Wat is SecOps? Een uitleg over beveiligingsactiviteiten

De meeste organisaties hebben twee teams die nauw zouden moeten samenwerken, maar vaak in hun eigen wereldje opereren: IT Operations, dat de systemen draaiende houdt, en Security, dat ze beveiligt. Wanneer die twee afdelingen in silo’s werken, ontstaan er precies het soort blinde vlekken waar aanvallers misbruik van maken. Patches worden uitgesteld uit bezorgdheid over de uptime. Beveiligingswaarschuwingen worden niet onderzocht omdat niemand verantwoordelijk is voor de responsprocedure. Incidenten die binnen enkele minuten hadden kunnen worden opgelost, duren dagen.

Beveiligingsoperaties, ook wel SecOps genoemd, is de organisatorische aanpak die deze hiaten opvult. Het brengt beveiligings- en IT-functies samen in één geïntegreerde werkwijze die gericht is op continue monitoring, detectie van bedreigingen en snelle respons. Voor MSP’s en de bedrijven die zij ondersteunen, is de beveiligingsstack van Kaseya (waaronder Kaseya MDR, Kaseya SIEM en Datto EDR) ontworpen om die geïntegreerde dekking te bieden zonder dat er een speciaal beveiligingsteam voor de onderneming nodig is.

Wat zijn beveiligingsactiviteiten (SecOps)?

SecOps, een afkorting van security operations, is de geïntegreerde aanpak waarbij beveiligings- en IT-beheerfuncties worden samengevoegd tot één gezamenlijke discipline. In plaats van beveiliging te beschouwen als een afzonderlijke functie die pas achteraf op problemen reageert, integreert SecOps beveiligingsdenken in de dagelijkse IT-activiteiten. Monitoring, detectie, incidentrespons en kwetsbaarheidsbeheer worden allemaal doorlopende operationele activiteiten in plaats van periodieke handelingen.

Deze term weerspiegelt een bredere verschuiving in de manier waarop organisaties cyberbeveiliging benaderen. Verdedigingsmechanismen die zich richten op de perimeter en periodieke beveiligingsaudits zijn ontworpen voor een wereld waarin bedreigingen minder vaak voorkwamen, minder geavanceerd waren en minder gericht waren dan tegenwoordig het geval is. SecOps is een reactie op de realiteit dat bedreigingen voortdurend aanwezig zijn en dat voortdurende waakzaamheid de enige effectieve oplossing is.

SecOps versus traditionele IT- en beveiligingssilo’s

In een traditioneel model werken IT-operations en beveiliging vanuit verschillende doelstellingen. IT-operations legt de nadruk op beschikbaarheid (systemen in de lucht houden, applicaties draaiende houden en gebruikers productief houden). Beveiliging legt de nadruk op bescherming (risico’s beperken, controles handhaven en reageren op incidenten). Die doelstellingen staan niet haaks op elkaar, maar wanneer de teams die ze nastreven niet met elkaar communiceren, vallen afwegingen vaak in het voordeel uit van degene die als laatste een ticket heeft aangemaakt.

SecOps maakt een einde aan die scheiding. Een geïntegreerd team heeft tegelijkertijd inzicht in zowel de operationele status van de omgeving als de beveiligingsstatus ervan. Een patch die moet worden geïmplementeerd, hoeft niet te wachten tot een apart beveiligingsteam deze als kritiek markeert. Een waarschuwing die tijdens een onderhoudsperiode wordt geactiveerd, wordt onderzocht in plaats van als onbelangrijk te worden afgedaan. Het resultaat is een beveiligingsaanpak die sneller en consistenter is en minder afhankelijk is van overdrachten tussen teams om te kunnen functioneren.

De belangrijkste taken van een beveiligingsteam

SecOps-teams hebben een breed takenpakket, maar de meeste programma’s zijn gericht op vier kernfuncties die samen bepalen hoe de dagelijkse praktijk van operationele beveiliging eruitziet.

Monitoring en detectie

Continue monitoring vormt de basis van SecOps. Dit houdt in dat er 24 uur per dag telemetriegegevens worden verzameld van eindpunten, netwerken, clouddiensten, identiteitssystemen en applicaties, en dat deze gegevens worden geanalyseerd op tekenen van verdachte activiteiten. Er is sprake van detectie wanneer de monitoring een gebeurtenis aan het licht brengt die nader onderzoek vereist, of het nu gaat om een bekende malwaresignatuur, een afwijkend gedragspatroon of een samenhang tussen gebeurtenissen in meerdere systemen die afzonderlijk onschuldig lijken.

De kwaliteit van een monitoring- en detectieprogramma wordt afgemeten aan de dekking en de nauwkeurigheid. De dekking bepaalt wat het team kan waarnemen; de nauwkeurigheid bepaalt in hoeverre het de moeite waard is om actie te ondernemen op basis van wat ze waarnemen. Alarmmoeheid (overweldigd raken door grote hoeveelheden waarschuwingen van lage kwaliteit) is een van de meest voorkomende operationele tekortkomingen bij SecOps, en om dit aan te pakken is een voortdurende afstemming van detectieregels en drempelwaarden nodig.

Reactie op incidenten

Zodra een detectie een bevestigde dreiging wordt, neemt de incidentrespons het over. Dit is het gestructureerde proces waarbij de dreiging wordt ingeperkt, de omvang ervan wordt onderzocht, de dreiging uit de omgeving wordt verwijderd en de normale bedrijfsvoering wordt hersteld. Een goed gedocumenteerd incidentresponsplan legt vast wie wat doet, in welke volgorde en onder welke omstandigheden, zodat het team bij een incident volgens een vast draaiboek te werk gaat in plaats van onder druk te moeten improviseren.

De kwaliteit van incidentrespons wordt vooral afgemeten aan de snelheid. De gemiddelde tijd tot detectie (MTTD) en de gemiddelde tijd tot reactie (MTTR) zijn de belangrijkste indicatoren. Snelle detectie beperkt de tijd die een aanvaller heeft om zich lateraal te verplaatsen, rechten te escaleren of gegevens te stelen. Een snelle reactie beperkt de schade die de aanvaller kan aanrichten zodra hij is ontdekt. Elk uur vertraging brengt meetbare kosten met zich mee.

Beheer van kwetsbaarheden

SecOps-teams reageren niet alleen op actieve bedreigingen. Ze werken ook proactief aan het opsporen en verhelpen van kwetsbaarheden voordat aanvallers daar misbruik van kunnen maken. Kwetsbaarheidsbeheer omvat het scannen van de omgeving op bekende kwetsbaarheden, het rangschikken daarvan op basis van risico en het coördineren van de oplossing door middel van patches, configuratiewijzigingen of compenserende maatregelen.

Patchbeheer is het meest veeleisende onderdeel van deze functie. Aangezien er elk jaar duizenden CVE’s worden gepubliceerd, kan geen enkel team alles onmiddellijk patchen. Prioriteringsmodellen die zich richten op de kwetsbaarheden die in de huidige bedreigingsomgeving het meest waarschijnlijk worden misbruikt, zijn essentieel om ervoor te zorgen dat de herstelwerkzaamheden gericht blijven op wat er werkelijk toe doet.

Naleving en rapportage

SecOps-teams hebben vaak de taak om aan te tonen dat de organisatie voldoet aan wettelijke en contractuele beveiligingseisen. Dit omvat het bijhouden van auditklare documentatie over beveiligingsmaatregelen, het verzamelen van bewijsmateriaal voor nalevingsbeoordelingen en het bijhouden van statistieken die aantonen dat het beveiligingsprogramma naar behoren functioneert.

Voor MSP’s geldt dit ook voor hun klanten. Het aantonen van een goed functionerend SecOps-programma, met bewijs van continue monitoring, gedocumenteerde incidentrespons en naleving van patchvoorschriften, wordt steeds vaker als basisvoorwaarde gesteld in klantcontracten en bij het aanvragen van cyberverzekeringen.

SecOps en het SOC: hoe ze met elkaar verband houden

SecOps is het vakgebied. Het Security Operations Center (SOC) is de organisatorische structuur waarin dat vakgebied wordt toegepast. In organisaties die groot genoeg zijn om een SOC op te zetten, bestaat het SOC uit een speciaal team van analisten, technici en incidentbeheerders die werken vanaf een gemeenschappelijk platform met een uniform overzicht van de omgeving.

Niet elke organisatie beschikt over een SOC, en de meeste kleine en middelgrote bedrijven hebben er geen. Dat betekent niet dat ze geen SecOps kunnen toepassen. Een MSP die managed detection and response aan zijn klanten levert, een IT-team van twee personen dat een EDR en een SIEM beheert, of een organisatie die gebruikmaakt van een beheerde beveiligingsdienst van een derde partij: zij passen allemaal SecOps toe op een manier die past bij hun omvang. Het SOC is de bedrijfsmatige uitwerking van SecOps; het is geen vereiste daarvoor.

Voor meer informatie over wat een SOC precies doet, hoe het personeelsbestand is samengesteld en hoe het is opgezet, kun je onze uitgebreide gids over het Security Operations Center raadplegen.

Belangrijke SecOps-tools en -oplossingen

SecOps-programma’s draaien op een combinatie van technologieplatforms die zorgen voor monitoring, detectie, respons en beheer. Er is geen enkele tool die het volledige spectrum van SecOps bestrijkt; voor deze praktijk is een stack nodig, en de effectiviteit van die stack hangt sterk af van hoe goed de onderdelen ervan op elkaar zijn afgestemd.

Endpoint Detection and Response (EDR) biedt continue monitoring en reactiemogelijkheden op apparaatniveau. EDR-agents volgen procesactiviteit, bestandswijzigingen, netwerkverbindingen en ander gedrag van eindpunten, en kunnen een apparaat isoleren, een bestand in quarantaine plaatsen of een proces beëindigen als reactie op een gedetecteerde bedreiging. Voor de meeste SecOps-programma’s is EDR de belangrijkste bron van telemetriegegevens over eindpunten. In onze gids over Endpoint Detection and Response wordt hier uitgebreid op ingegaan.

Security Information and Event Management (SIEM) verzamelt log- en gebeurtenisgegevens uit de hele omgeving en past correlatietools toe om bedreigingen aan het licht te brengen die zich over meerdere systemen uitstrekken. SIEM biedt SecOps-teams het omgevingoverschrijdende inzicht dat ze nodig hebben om gedistribueerde aanvallen op te sporen die geen enkele tool op basis van één enkele bron zou kunnen identificeren. Zie voor meer informatie onze inleiding tot SIEM.

Managed Detection and Response (MDR) voegt een laag van externe analisten toe aan het detectie- en responssysteem. MDR-aanbieders combineren detectietechnologie met een team van beveiligingsanalisten die namens hun klanten de klok rond toezicht houden, onderzoek doen en reageren. Voor organisaties die intern geen 24/7 SecOps-dekking kunnen realiseren, is MDR de praktische oplossing voor continue bescherming. Bekijk ons MDR-overzicht voor een volledig overzicht.

Security Orchestration, Automation and Response (SOAR) automatiseert de workflows die nodig zijn om op beveiligingsincidenten te reageren, maatregelen tussen verschillende tools te coördineren, responsprocedures uit te voeren en de handmatige inspanningen bij het triëren en indammen van incidenten te verminderen. SOAR vergroot de capaciteit van een SecOps-team zonder dat er extra personeel nodig is.

Tools voor kwetsbaarheidsbeheer en patchbeheer zorgen voor de proactieve kant van SecOps: het opsporen van zwakke plekken, het bijhouden van de status van herstelmaatregelen en het up-to-date houden van software in de hele omgeving. Deze tools zorgen ervoor dat de cirkel rond is tussen het identificeren van een risico en het bevestigen dat dit is verholpen.

De rol van AI en automatisering in SecOps

De hoeveelheid beveiligingstelemetrie die door een moderne IT-omgeving wordt gegenereerd, overtreft ruimschoots wat een team van mensen handmatig kan controleren. Hierdoor zijn AI en automatisering niet langer een toekomstige ontwikkeling, maar een actuele operationele noodzaak geworden voor de werking van SecOps-programma’s.

AI levert vooral een bijdrage aan detectie en triage. Machine learning-modellen die zijn getraind op basis van omvangrijke datasets met bedreigingen, kunnen subtiele aanvalspatronen herkennen die bij op regels gebaseerde detectie onopgemerkt zouden blijven. Ze brengen signalen uit verschillende bronnen samen tot een samenhangend beeld van incidenten en rangschikken waarschuwingen op basis van betrouwbaarheid, zodat analisten zich kunnen concentreren op de detecties die het meest waarschijnlijk echt zijn. Dit leidt tot een aanzienlijke vermindering van het aantal valse waarschuwingen en een snellere escalatie van daadwerkelijke bedreigingen.

Automatisering draagt vooral bij aan de reactiesnelheid. Geautomatiseerde playbooks kunnen binnen enkele seconden na een betrouwbare detectie inperkingsmaatregelen uitvoeren, zoals het isoleren van een eindpunt, het beëindigen van een sessie of het blokkeren van een domein. Bij snel evoluerende bedreigingen zoals ransomware maakt die snelheid het verschil tussen een beperkt incident en een organisatiebrede storing.

Het praktische voordeel voor SecOps-teams met beperkte middelen is een versterkend effect. Een klein team met goed afgestemde AI-detectie en geautomatiseerde respons kan op effectieve wijze een bereik aan monitoring en respons bestrijken waarvoor anders aanzienlijk meer personeel nodig zou zijn. Dit is met name relevant voor MSP’s die SecOps beheren voor een groot klantenbestand, waar handmatige monitoring op grote schaal economisch gezien simpelweg niet haalbaar is.

Kaseya Intelligence brengt dit tot leven binnen het Kaseya-platform, door gebruik te maken van agent-gebaseerde AI om bruikbare inzichten te genereren, routinematige beveiligings- en IT-workflows te automatiseren en telemetrie om te zetten in autonome acties. Voor zowel interne IT-teams als MSP's vermindert dit de handmatige overhead van het uitvoeren van een SecOps-programma, zonder dat dit ten koste gaat van de zichtbaarheid of controle.

Kengetallen voor beveiligingsactiviteiten: hoe meet je wat er echt toe doet?

Een SecOps-programma dat zichzelf niet meet, kan zich niet systematisch verbeteren. De volgende statistieken zijn de meest bruikbare indicatoren voor de gezondheid van een SecOps-programma:

• De gemiddelde detectietijd (MTTD) geeft aan hoe lang het duurt voordat het programma een bedreiging opspoort nadat deze de omgeving is binnengedrongen. Dit is de belangrijkste indicator voor het detectievermogen. Een hoge MTTD betekent dat aanvallers meer tijd hebben om zich lateraal te verplaatsen, hun rechten uit te breiden en schade aan te richten voordat ze worden ontdekt.
• De gemiddelde responstijd (MTTR) geeft aan hoe lang het duurt om een bevestigde bedreiging in te dammen en op te lossen. Dit geeft een beeld van de effectiviteit van de incidentresponsprocessen, de mate van automatisering en de duidelijkheid van de responsprocedures.
• De verhouding tussen waarschuwingen en incidenten geeft aan welk percentage van de waarschuwingen daadwerkelijk tot incidenten wordt bevestigd. Een hoge verhouding kan duiden op onvoldoende afstemming van de detectie; een zeer lage verhouding kan erop wijzen dat echte bedreigingen worden genegeerd. Door deze verhouding in de loop van de tijd bij te houden, wordt duidelijk of de detectiekwaliteit verbetert of verslechtert.
• De patch-nalevingsgraad geeft aan welk percentage van de bekende kwetsbaarheden binnen de vastgestelde SLA-termijnen is verholpen. Dit is een belangrijke indicator voor het risico op inbreuken. Organisaties met een lage patch-nalevingsgraad bieden aanvallers systematisch een groter aanvalsoppervlak dat misbruikt kan worden.
• De gemiddelde tijd tot patching (MTTP) vormt een aanvulling op het nalevingspercentage door te meten hoe snel het team de stap zet van het opsporen van kwetsbaarheden naar het bevestigen van de oplossing. Een hoge MTTP in combinatie met aanvaardbare nalevingspercentages kan wijzen op knelpunten in het proces in plaats van op problemen met de werkdruk.

Door deze statistieken in de loop van de tijd te vergelijken met de uitgangswaarde, verandert het beheer van SecOps-programma’s van een kwalitatieve in een datagestuurde aangelegenheid. Het NIST Cybersecurity Framework 2.0 biedt een veelgebruikte gestructureerde aanpak voor het ordenen van beveiligingsresultaten binnen de volledige levenscyclus van ‘Govern, Identify, Protect, Detect, Respond en Recover’, en vormt een nuttig referentiekader voor teams die een SecOps-meetprogramma opzetten of verder ontwikkelen.

Best practices voor SecOps

Bij het opzetten van een effectief SecOps-programma gaat het niet zozeer om het inzetten van de juiste tools, maar vooral om de manier waarop die tools, processen en mensen samenwerken. De volgende werkwijzen laten zien wat het verschil is tussen SecOps-programma’s die ook onder druk goed functioneren en programma’s die er alleen op papier goed uitzien.

Zorg eerst voor een volledig overzicht, pas daarna voor geoptimaliseerde detectie
De meest voorkomende tekortkoming bij SecOps-programma’s die nog in de kinderschoenen staan, is onvolledige dekking. Als EDR niet op elk eindpunt is geïnstalleerd, als de activiteiten van cloudapplicaties niet in het SIEM-systeem worden opgenomen of als het netwerkverkeer niet wordt gemonitord, worden die blinde vlekken voor aanvallers de gemakkelijkste route. Eerst dekking, dan optimalisatie.

Stel draaiboeken voor incidentrespons op voordat u ze nodig hebt
Incidentrespons onder druk verloopt chaotisch wanneer deze afhankelijk is van individueel oordeel en geïmproviseerde coördinatie. Gedocumenteerde draaiboeken voor de meest voorkomende soorten incidenten (ransomware, phishing, misbruik van inloggegevens, gegevensdiefstal) zorgen voor een consistente aanpak, ongeacht wie er dienst heeft wanneer zich een incident voordoet.

Integreer uw tools
Een EDR, SIEM en MDR die als afzonderlijke producten functioneren, leiden tot dubbel werk en een tragere respons dan wanneer dezelfde tools gegevens en context met elkaar delen. Wanneer telemetriegegevens van eindpunten automatisch naar het SIEM-systeem worden gestuurd voor correlatie, en MDR-analisten inzicht hebben in beide systemen, functioneert het programma als een samenhangend geheel in plaats van als een verzameling losse onderdelen.

Beschouw kwetsbaarheidsbeheer als een continu proces
Organisaties die elk kwartaal kwetsbaarheidsscans uitvoeren, beoordelen een momentopname van hun risicoprofiel. Organisaties die continu scannen en SLA’s voor het verhelpen van kwetsbaarheden bijhouden, beheren dat profiel in realtime. Het verschil in blootstelling tussen deze twee benaderingen is aanzienlijk, met name in omgevingen waar regelmatig nieuwe systemen en applicaties worden geïmplementeerd.

Plan vanaf het begin op schaalbaarheid
Voor MSP’s zijn SecOps-programma’s die vanaf dag één zijn ontworpen om op te schalen naar een klantenbestand, veel duurzamer dan programma’s die zijn opgebouwd rond individuele klantconfiguraties. Gestandaardiseerde tools, gedeelde detectielogica, gecentraliseerd inzicht in alle klanten en gedocumenteerde escalatieprocedures maken het mogelijk om consistente SecOps-dekking te bieden naarmate het klantenbestand groeit, zonder dat het personeelsbestand evenredig hoeft mee te groeien.

Hoe Kaseya beveiligingsactiviteiten ondersteunt

Het beveiligingsaanbod van Kaseya sluit naadloos aan op de kernfuncties van een SecOps-programma, waardoor MSP’s en IT-teams over de tools beschikken om te monitoren, te detecteren, te reageren en te rapporteren, zonder dat ze een versnipperde verzameling losstaande producten hoeven samen te stellen.

Datto EDR zorgt voor de bewaking en detectie van eindpunten. Gedragsbewaking vindt continu plaats op Windows-, macOS- en Linux-apparaten, waarbij elke detectie wordt gekoppeld aan het MITRE ATT&CK-raamwerk voor onmiddellijke context. Meer dan 65 geautomatiseerde responsacties zorgen voor inperking zonder dat er hoeft te worden gewacht op beoordeling door een analist, en de ransomware-rollback biedt een hersteloptie wanneer er versleutelingsactiviteit wordt gedetecteerd. Dankzij de integratie met Datto RMM en Kaseya VSA blijft de beveiliging van eindpunten binnen dezelfde beheerworkflow die MSP’s al gebruiken.

Kaseya MDR biedt de laag van beheerde analisten die de meeste kleine en middelgrote bedrijven en MSP’s niet op kosteneffectieve wijze intern kunnen bemannen. Analisten in de VS houden de omgevingen 24 uur per dag in de gaten, waarbij AI-gestuurde correlatie het aantal valse alarmen vermindert, zodat analisten hun tijd kunnen besteden aan echte bedreigingen. De dekking omvat eindpunten, Microsoft 365 en firewalls. Voor MSP's is Kaseya MDR de praktische manier om 24/7 SecOps-dekking te bieden aan hun klantenbestand zonder een speciaal SOC vanaf nul op te bouwen.

Kaseya SIEM zorgt voor omgevingsoverschrijdende correlatie en logboekbeheer, waarbij telemetriegegevens van eindpunten en SaaS-toepassingen worden verzameld in één dashboard met meer dan 60 native connectoren en een bewaartermijn van 400 dagen voor logboeken. Het werkt samen met Kaseya MDR in plaats van dit te vervangen, en verzorgt de logboekaggregatie, nalevingsrapportage en historisch onderzoek, terwijl MDR zich richt op realtime detectie en respons. Voor teams die verschillende benaderingen vergelijken, geeft onze vergelijking tussen MDR en SIEM aan waar elk systeem het beste past en hoe ze elkaar aanvullen.

Samen ondersteunen deze tools de volledige SecOps-levenscyclus. Continue monitoring en detectie via Datto EDR en Kaseya SIEM, beheerde respons via Kaseya MDR, en het geïntegreerde inzicht dat ervoor zorgt dat elke functie effectiever is dan wanneer deze afzonderlijk zou worden ingezet. Voor teams die een SecOps-programma opzetten met een realistisch budget, ligt de praktische meerwaarde juist in die integratie.