Wat is SecOps? Een toelichting op beveiligingsactiviteiten

De meeste organisaties hebben twee teams die nauw zouden moeten samenwerken, maar vaak in aparte werelden opereren: IT-operations, dat de systemen draaiende houdt, en beveiliging, dat ze veilig houdt. Wanneer die twee functies in silo’s werken, worden de hiaten tussen beide precies het soort blinde vlekken waar aanvallers misbruik van maken. Patches worden uitgesteld vanwege zorgen over de uptime. Beveiligingswaarschuwingen worden niet onderzocht omdat niemand verantwoordelijk is voor de responsworkflow. Incidenten die binnen enkele minuten hadden kunnen worden ingeperkt, duren dagen om op te lossen.

Security Operations, of SecOps, is de organisatorische aanpak die deze hiaten opvult. Het brengt beveiligings- en IT-functies samen in één geïntegreerde werkwijze die gericht is op continue monitoring, detectie van bedreigingen en snelle reactie. Voor MSP’s en de bedrijven die zij ondersteunen, is de beveiligingsstack van Kaseya (waaronder Kaseya MDR, Kaseya SIEM en Datto EDR) ontworpen om die geïntegreerde dekking te bieden zonder dat daarvoor een speciaal beveiligingsteam nodig is.

Wat zijn beveiligingsactiviteiten (SecOps)?

SecOps, een afkorting van ‘security operations’, is de geïntegreerde aanpak waarbij beveiligings- en IT-operaties worden samengevoegd tot één enkele, op samenwerking gerichte discipline. In plaats van beveiliging te beschouwen als een afzonderlijke functie die pas achteraf op problemen reageert, integreert SecOps het beveiligingsdenken in de dagelijkse IT-operaties. Monitoring, detectie, incidentrespons en kwetsbaarheidsbeheer worden allemaal doorlopende operationele activiteiten in plaats van periodieke handelingen.

De term weerspiegelt een bredere verschuiving in de manier waarop organisaties cyberbeveiliging benaderen. Perimetergebaseerde verdedigingsmaatregelen en periodieke beveiligingsaudits waren bedoeld voor een wereld waarin bedreigingen minder vaak voorkwamen, minder geavanceerd waren en minder gericht dan tegenwoordig het geval is. SecOps is een reactie op de realiteit dat bedreigingen voortdurend aanwezig zijn en dat voortdurende waakzaamheid de enige effectieve oplossing is.

SecOps versus traditionele IT- en beveiligingssilo’s

In een traditioneel model werken IT-operaties en beveiliging vanuit verschillende uitgangspunten. IT-operaties leggen de nadruk op beschikbaarheid (systemen in de lucht houden, applicaties draaiende houden en gebruikers productief houden). Beveiliging legt de nadruk op bescherming (risico’s beperken, controles handhaven en reageren op incidenten). Die doelstellingen staan niet haaks op elkaar, maar wanneer de teams die deze doelstellingen nastreven niet met elkaar communiceren, vallen afwegingen vaak uit in het voordeel van degene die als laatste een ticket heeft aangemaakt.

SecOps maakt een einde aan die scheiding. Eén geïntegreerd team heeft tegelijkertijd inzicht in zowel de operationele status van de omgeving als de beveiligingsstatus ervan. Een patch die moet worden geïmplementeerd, hoeft niet te wachten tot een apart beveiligingsteam deze als kritiek markeert. Een waarschuwing die tijdens een onderhoudsvenster wordt geactiveerd, wordt onderzocht in plaats van als ‘ruis’ te worden afgedaan. Het resultaat is een beveiligingsaanpak die sneller en consistenter is en minder afhankelijk is van overdrachten tussen teams om te kunnen functioneren.

Belangrijkste taken van een beveiligingsteam

SecOps-teams hebben een breed takenpakket, maar de meeste programma’s zijn gericht op vier kernfuncties die samen bepalen hoe de dagelijkse praktijk van operationele beveiliging eruitziet.

Monitoring en detectie

Continue monitoring vormt de basis van SecOps. Dit houdt in dat er 24 uur per dag telemetriegegevens worden verzameld van endpointsen, netwerken, clouddiensten, identiteitssystemen en applicaties, en dat deze gegevens worden geanalyseerd op tekenen van verdachte activiteiten. Er is sprake van detectie wanneer de monitoring een gebeurtenis aan het licht brengt die nader onderzoek vereist, of het nu gaat om een bekende malwaresignatuur, een afwijkend gedragspatroon of een samenhang tussen gebeurtenissen in meerdere systemen die afzonderlijk onschuldig lijken.

De kwaliteit van een monitoring- en detectieprogramma wordt afgemeten aan de dekking en de nauwkeurigheid. De dekking bepaalt wat het team kan waarnemen; de nauwkeurigheid bepaalt in hoeverre het de moeite waard is om actie te ondernemen op basis van wat ze waarnemen. Alarmmoeheid (overweldigd raken door grote hoeveelheden waarschuwingen van lage kwaliteit) is een van de meest voorkomende operationele tekortkomingen binnen SecOps, en om dit aan te pakken is een voortdurende afstemming van detectieregels en drempelwaarden nodig.

Incidentafhandeling

Zodra een detectie uitgroeit tot een bevestigde dreiging, neemt de incidentrespons het over. Dit is het gestructureerde proces waarbij de dreiging wordt ingeperkt, de omvang ervan wordt onderzocht, de dreiging uit de omgeving wordt verwijderd en de normale bedrijfsvoering wordt hersteld. Een goed gedocumenteerd incidentresponsplan legt vast wie wat doet, in welke volgorde en onder welke omstandigheden, zodat het team bij een incident volgens een vast draaiboek te werk gaat in plaats van onder druk te moeten improviseren.

De kwaliteit van de incidentrespons wordt voornamelijk afgemeten aan de snelheid. De gemiddelde tijd tot detectie (MTTD) en de gemiddelde tijd tot respons (MTTR) zijn de belangrijkste maatstaven. Snelle detectie beperkt de tijd die een aanvaller heeft om zich lateraal te verplaatsen, bevoegdheden uit te breiden of gegevens te exfiltreren. Een snelle respons beperkt de schade die de aanvaller kan aanrichten zodra hij is ontdekt. Elk uur vertraging brengt meetbare kosten met zich mee.

Beheer van kwetsbaarheden

SecOps-teams reageren niet alleen op actieve bedreigingen. Ze werken ook proactief om zwakke plekken op te sporen en te verhelpen voordat aanvallers daar misbruik van kunnen maken. Kwetsbaarheidsbeheer omvat het scannen van de omgeving op bekende kwetsbaarheden, het rangschikken daarvan op basis van risico en het coördineren van de herstelmaatregelen door middel van patches, configuratiewijzigingen of compenserende maatregelen.

Patchbeheer is het onderdeel van deze functie dat operationeel gezien de grootste uitdaging vormt. Aangezien er elk jaar duizenden CVE’s worden gepubliceerd, kan geen enkel team alles onmiddellijk patchen. Prioriteringskaders die zich richten op de kwetsbaarheden die in de huidige dreigingsomgeving het meest waarschijnlijk worden uitgebuit, zijn essentieel om ervoor te zorgen dat de herstelwerkzaamheden gericht blijven op wat er werkelijk toe doet.

Naleving en rapportage

SecOps-teams zijn vaak verantwoordelijk voor het aantonen dat de organisatie voldoet aan wettelijke en contractuele beveiligingseisen. Dit omvat het bijhouden van auditklare documentatie over beveiligingsmaatregelen, het verzamelen van bewijsmateriaal voor nalevingsbeoordelingen en het bijhouden van statistieken die aantonen dat het beveiligingsprogramma naar behoren functioneert.

Voor MSP’s geldt deze functie ook voor klanten. Het aantonen van een goed functionerend SecOps-programma, met bewijs van continue monitoring, gedocumenteerde incidentrespons en naleving van patchvoorschriften, wordt steeds vaker als basisvereiste gesteld in klantcontracten en bij aanvragen voor cyberverzekeringen.

SecOps en het SOC: hoe ze met elkaar verband houden

SecOps is het vakgebied. Het Security Operations Center (SOC) is de organisatorische structuur waarin dat vakgebied in de praktijk wordt gebracht. In organisaties die groot genoeg zijn om een SOC op te zetten, bestaat het SOC uit een speciaal team van analisten, technici en incidentbeheerders die werken vanaf een gemeenschappelijk platform met een uniform overzicht van de omgeving.

Niet elke organisatie beschikt over een SOC, en de meeste kleine en middelgrote bedrijven hebben er geen. Dat betekent niet dat ze geen SecOps kunnen toepassen. Een MSP die zijn klanten managed detection and response aanbiedt, een IT-team van twee personen dat een EDR en een SIEM beheert, of een organisatie die gebruikmaakt van een beheerde beveiligingsdienst van een derde partij: zij passen allemaal SecOps toe op een manier die past bij hun omvang. Het SOC is de bedrijfsgerichte uitwerking van SecOps; het is geen voorwaarde ervoor.

Voor meer informatie over wat een SOC precies doet, hoe het personeelsbestand is samengesteld en hoe het is opgezet, kun je onze uitgebreide gids over het Security Operations Center raadplegen.

Belangrijke SecOps-tools en -oplossingen

SecOps-programma’s draaien op een combinatie van technologieplatforms die zorgen voor monitoring, detectie, respons en beheer. Er is geen enkele tool die het volledige spectrum van SecOps bestrijkt; voor deze werkwijze is een stack nodig, en de effectiviteit van die stack hangt in hoge mate af van hoe goed de onderdelen ervan op elkaar zijn afgestemd.

Endpoint Detection and Response (EDR) biedt continue monitoring en reactiemogelijkheden op apparaatniveau. EDR-agents volgen procesactiviteit, bestandswijzigingen, netwerkverbindingen en ander gedrag van endpointsen, en kunnen een apparaat isoleren, een bestand in quarantaine plaatsen of een proces beëindigen als reactie op een gedetecteerde bedreiging. Voor de meeste SecOps-programma’s is EDR de belangrijkste bron van telemetriegegevens over endpointsen. In onze gids over Endpoint Detection and Response wordt hier uitgebreid op ingegaan.

Security Information and Event Management (SIEM) verzamelt log- en gebeurtenisgegevens uit de gehele omgeving en past correlateregels toe om bedreigingen aan het licht te brengen die zich over meerdere systemen uitstrekken. SIEM biedt SecOps-teams het omgevingoverschrijdende inzicht dat ze nodig hebben om gedistribueerde aanvallen te detecteren die geen enkele tool op basis van één enkele bron zou kunnen identificeren. Zie voor meer informatie onze inleiding tot SIEM.

Managed Detection and Response (MDR) voegt een laag van externe analisten toe aan de detectie- en responsstack. MDR-aanbieders combineren detectietechnologie met een team van beveiligingsanalisten die namens hun klanten de klok rond toezicht houden, onderzoeken uitvoeren en reageren. Voor organisaties die intern geen 24/7 SecOps-dekking kunnen realiseren, is MDR de praktische oplossing voor continue bescherming. Bekijk ons MDR-overzicht voor een volledig overzicht.

Security Orchestration, Automation and Response (SOAR) automatiseert de workflows die nodig zijn om op beveiligingsincidenten te reageren, maatregelen tussen verschillende tools te coördineren, responsprocedures uit te voeren en de handmatige inspanningen bij triage en inperking te verminderen. SOAR vergroot de capaciteit van een SecOps-team zonder dat er extra personeel nodig is.

Tools voor kwetsbaarheidsbeheer en patchbeheer zorgen voor de proactieve kant van SecOps: het scannen op zwakke plekken, het bijhouden van de status van herstelmaatregelen en het up-to-date houden van software in de hele omgeving. Deze tools zorgen ervoor dat de cirkel rond is tussen het identificeren van een risico en het bevestigen dat dit is verholpen.

De rol van AI en automatisering in SecOps

De hoeveelheid beveiligingstelemetrie die door een moderne IT-omgeving wordt gegenereerd, overtreft ruimschoots wat een team van mensen handmatig kan beoordelen. Hierdoor zijn AI en automatisering een centraal onderdeel geworden van de werking van SecOps-programma’s, niet als een toekomstige ontwikkeling, maar als een huidige operationele noodzaak.

AI draagt vooral bij aan detectie en triage. Machine learning-modellen die zijn getraind op basis van grote datasets met bedreigingen, kunnen subtiele aanvalspatronen herkennen die bij op regels gebaseerde detectie over het hoofd zouden worden gezien, signalen uit verschillende bronnen met elkaar in verband brengen tot samenhangende incidentverslagen en waarschuwingen beoordelen op basis van betrouwbaarheidsniveau, zodat analisten zich kunnen concentreren op de detecties die het meest waarschijnlijk echt zijn. Het resultaat is een aanzienlijke vermindering van het aantal valse waarschuwingen en een snellere escalatie van echte bedreigingen.

Automatisering draagt vooral bij aan de reactiesnelheid. Geautomatiseerde playbooks kunnen binnen enkele seconden na een betrouwbare detectie inperkingsmaatregelen uitvoeren, zoals het isoleren van een endpoints, het beëindigen van een sessie of het blokkeren van een domein. Bij snel evoluerende bedreigingen zoals ransomware maakt die snelheid het verschil tussen een beperkt incident en een organisatiebrede storing.

Het praktische voordeel voor SecOps-teams met beperkte middelen is een krachtvermenigvuldigend effect. Een klein team met goed afgestemde AI-detectie en geautomatiseerde respons kan op effectieve wijze een bereik aan monitoring en respons bestrijken waarvoor anders aanzienlijk meer personeel nodig zou zijn. Dit is met name relevant voor MSP’s die SecOps beheren voor een groot klantenbestand, waar handmatige afhandeling op grote schaal economisch gezien simpelweg niet haalbaar is.

Kaseya Intelligence brengt dit tot leven binnen het Kaseya-platform, door gebruik te maken van agentgebaseerde AI om bruikbare inzichten te genereren, routinematige beveiligings- en IT-workflows te automatiseren en telemetrie om te zetten in autonome acties. Zowel voor interne IT-teams als voor MSP’s vermindert dit de handmatige inspanningen die gepaard gaan met het beheren van een SecOps-programma, zonder dat dit ten koste gaat van het inzicht of de controle.

Kengetallen voor beveiligingsactiviteiten: hoe meet je wat er echt toe doet?

Een SecOps-programma dat zijn eigen prestaties niet meet, kan zich niet systematisch verbeteren. De volgende statistieken zijn de indicatoren die vanuit operationeel oogpunt het meest bruikbaar zijn om de gezondheid van een SecOps-programma te beoordelen:

• De gemiddelde detectietijd (MTTD) geeft aan hoe lang het duurt voordat het programma een bedreiging identificeert nadat deze in de omgeving is binnengedrongen. Dit is de belangrijkste indicator voor het detectievermogen. Een hoge MTTD betekent dat aanvallers meer tijd hebben om zich lateraal te verplaatsen, bevoegdheden uit te breiden en schade aan te richten voordat ze worden ontdekt.
• De gemiddelde responstijd (MTTR) geeft aan hoe lang het duurt om een bevestigde bedreiging onder controle te krijgen en op te lossen. Dit geeft een beeld van de effectiviteit van de incidentresponsprocessen, de mate van automatisering en de duidelijkheid van de responsprocedures.
• De verhouding tussen waarschuwingen en incidenten geeft aan welk percentage van de waarschuwingen wordt bevestigd als incident. Een hoge verhouding kan wijzen op onvoldoende afstemming van de detectie; een zeer lage verhouding kan erop duiden dat echte bedreigingen worden genegeerd. Door dit in de loop van de tijd bij te houden, wordt duidelijk of de detectiekwaliteit verbetert of verslechtert.
• De patch-nalevingsgraad geeft aan welk percentage van de bekende kwetsbaarheden binnen de vastgestelde SLA-termijnen is verholpen. Dit is een voorlopende indicator voor het risico op inbreuken. Organisaties met een lage patch-nalevingsgraad bieden aanvallers systematisch een groter aanvalsoppervlak dat kan worden misbruikt.
• De gemiddelde tijd tot het aanbrengen van een patch (MTTP) vormt een aanvulling op het nalevingspercentage door te meten hoe snel het team de stap zet van het identificeren van een kwetsbaarheid naar het bevestigen van de oplossing. Een hoge MTTP in combinatie met aanvaardbare nalevingspercentages kan wijzen op knelpunten in het proces in plaats van op problemen met de werkdruk.

Door deze indicatoren in de loop van de tijd te vergelijken met de uitgangswaarde, verandert het beheer van SecOps-programma’s van een kwalitatieve exercitie in een datagestuurde aanpak. Het NIST Cybersecurity Framework 2.0 biedt een veelgebruikte gestructureerde aanpak voor het organiseren van beveiligingsresultaten gedurende de volledige levenscyclus van ‘Govern’, ‘Identify’, ‘Protect’, ‘Detect’, ‘Respond’ en ‘Recover’, en vormt een nuttig referentiekader voor teams die een SecOps-meetprogramma opzetten of verder ontwikkelen.

Best practices voor SecOps

Bij het opzetten van een effectief SecOps-programma gaat het niet zozeer om het inzetten van de juiste tools, maar veeleer om de manier waarop die tools, processen en mensen samenwerken. De volgende werkwijzen laten zien wat het verschil is tussen SecOps-programma’s die ook onder druk goed functioneren en programma’s die er alleen op papier goed uitzien.

Zorg eerst voor een centraal overzicht voordat je de detectie optimaliseert. De meest voorkomende tekortkoming in SecOps-programma’s die nog in de kinderschoenen staan, is onvolledige dekking. Als EDR niet op elk eindpunt is geïmplementeerd, als de activiteit van cloudapplicaties niet in het SIEM-systeem wordt opgenomen of als het netwerkverkeer niet wordt gemonitord, worden die blinde vlekken voor aanvallers de gemakkelijkste toegangswegen. Eerst dekking, dan optimalisatie.

Leg responsprocedures vast voordat u ze nodig hebt. Incidentresponsonder druk verloopt chaotisch wanneer deze afhankelijk is van individueel oordeel en geïmproviseerde coördinatie. Gedocumenteerde responsprocedures voor de meest voorkomende soorten incidenten (ransomware, phishing, misbruik van inloggegevens, gegevensdiefstal) zorgen voor een consistente afhandeling, ongeacht wie er dienst heeft op het moment dat zich een incident voordoet.

Integreer uw tools: EenEDR, SIEM en MDR die als losstaande producten functioneren, leiden tot dubbel werk en een tragere reactietijd dan wanneer dezelfde tools gegevens en context met elkaar delen. Wanneer telemetriegegevens van eindpunten automatisch naar het SIEM-systeem worden gestuurd voor correlatie, en MDR-analisten inzicht hebben in beide systemen, functioneert het programma als één systeem in plaats van als een verzameling losse onderdelen.

Beschouw kwetsbaarheidsbeheer als een continu proces. Organisaties die elk kwartaal kwetsbaarheidsscans uitvoeren, beoordelen een momentopname van hun risicoprofiel. Organisaties die continu scannen en de SLA’s voor het verhelpen van kwetsbaarheden bijhouden, beheren dat profiel in realtime. Het verschil in blootstelling tussen deze twee benaderingen is aanzienlijk, met name in omgevingen waar regelmatig nieuwe systemen en applicaties worden geïmplementeerd.

Plan vanaf het begin op schaalbaarheid. VoorMSP’s zijn SecOps-programma’s die vanaf dag één zijn ontworpen om op te schalen naar het gehele klantenbestand, veel duurzamer dan programma’s die zijn opgebouwd rond individuele klantconfiguraties. Gestandaardiseerde tools, gedeelde detectielogica, gecentraliseerd inzicht in alle klanten en gedocumenteerde escalatieprocedures maken het mogelijk om consistente SecOps-dekking te bieden naarmate het klantenbestand groeit, zonder dat het personeelsbestand evenredig hoeft mee te groeien.

Hoe Kaseya beveiligingsactiviteiten ondersteunt

Het beveiligingsaanbod van Kaseya sluit naadloos aan op de kernfuncties van een SecOps-programma, waardoor MSP’s en IT-teams over de tools beschikken om te monitoren, te detecteren, te reageren en te rapporteren, zonder dat ze een versnipperde verzameling losstaande producten hoeven samen te stellen.

Datto EDR zorgt voor de bewaking en detectie van endpointsen. Gedragsbewaking vindt continu plaats op Windows-, macOS- en Linux-apparaten, waarbij elke detectie wordt gekoppeld aan het MITRE ATT&CK-raamwerk voor onmiddellijke context. Meer dan 65 geautomatiseerde responsacties zorgen voor inperking zonder dat er hoeft te worden gewacht op beoordeling door een analist, en de ransomware-rollback biedt een hersteloptie wanneer er versleutelingsactiviteit wordt gedetecteerd. Dankzij de integratie met Datto RMM en Kaseya VSA blijft de beveiliging van endpointsen binnen dezelfde beheerworkflow die MSP’s al gebruiken.

Kaseya MDR biedt de laag van beheerde analisten die de meeste kleine en middelgrote bedrijven en MSP’s niet op kosteneffectieve wijze intern kunnen bemannen. Analisten in de VS houden de omgevingen 24 uur per dag in de gaten, waarbij AI-gestuurde correlatie het aantal valse alarmen vermindert, zodat analisten hun tijd kunnen besteden aan echte bedreigingen. De dekking omvat endpointsen, Microsoft 365 en firewalls. Voor MSP's is Kaseya MDR de praktische manier om 24/7 SecOps-dekking te bieden aan hun klantenbestand zonder een speciaal SOC vanaf nul op te bouwen.

Kaseya SIEM zorgt voor omgevingsoverschrijdende correlatie en logboekbeheer, waarbij telemetriegegevens van endpointsen en SaaS-toepassingen worden verzameld in één dashboard met meer dan 60 native connectoren en een bewaartermijn van 400 dagen voor logboeken. Het werkt samen met Kaseya MDR in plaats van dit te vervangen, en verzorgt de logboekaggregatie, nalevingsrapportage en historisch onderzoek, terwijl MDR zich richt op realtime detectie en respons. Voor teams die verschillende benaderingen vergelijken, geeft onze vergelijking tussen MDR en SIEM aan waar elk systeem het beste past en hoe ze elkaar aanvullen.

Samen ondersteunen deze tools de volledige SecOps-levenscyclus. Continue monitoring en detectie via Datto EDR en Kaseya SIEM, beheerde respons via Kaseya MDR, en het geïntegreerde inzicht dat ervoor zorgt dat elke functie effectiever is dan wanneer deze afzonderlijk zou worden ingezet. Voor teams die een SecOps-programma opzetten met een realistisch budget, ligt de praktische meerwaarde juist in die integratie.