Was gilt es bei der Auswahl eines MDR-Dienstes zu beachten?

2. Suche nach Cyberbedrohungen

Die Suche nach solchen Gefahren ist eine wichtige Komponente der MDR-Dienste. Richtig durchgeführt, erfordert sie ein hohes Maß an Fachwissen und relevante sowie kontextbezogene Daten. Die Suche nach Gefahren (Threat Hunting) sollte eine kontextbezogene Sicht auf wahrscheinlich bösartige Akteure und deren Taktiken, Techniken und Verfahren sowie ein klares Verständnis der zu verteidigenden Geschäfts- und IT-Umgebung umfassen. Beim Evaluieren des Dienstes sollten diese Fragen nicht unbeantwortet bleiben:

• Wie wird die Suche nach Bedrohungen definiert?
• Wie wird diese Suche gemessen?
• Welche Leistungsindikatoren stehen bereit?
• Inwieweit erfolgt die Suche automatisiert?
• Wie wird Threat Intelligence in das Threat-Hunting-Programm integriert?
• Was sind die Ziele und Ergebnisse des Programms?
• Was löst eine Suche nach Bedrohungen aus?

3. 24/7-Betrieb

Auf den ersten Blick mag es einfach erscheinen, zu beurteilen, ob ein MDR-Dienst einen 24/7-Betrieb anbietet. Aber selbst eine solche Angabe kann vieles bedeuten. Mit den richtigen Fragen versteht man gründlich die betrieblichen Abläufe, erfährt den Personalbestand und den Standorts der mit dem Schutz Ihrer Daten betrauten Analysten erlangen. Diese Fragen sollte man stellen:

• Gibt es Abrufverfahren außerhalb der Geschäftszeiten?
• Ist Personal außerhalb der Geschäftszeiten im Einsatz?
• Folgen die Einsatzzeiten „der Sonne“ in den jeweiligen Zeitzonen?
• Wird ein Remote-SOC, ein Co-Sourcing-SOC oder ein von der Region unabhängiges SOC angeboten? Dabei geht es darum, ob ein Analystenteam remote für einen einzigen Kundenstamm arbeitet, oder ob verschiedene SOC in internationalen Regionen die Kunden aus derselben Region betreuen.

Fazit:

MDR-Dienste können eine wichtige Zusatzressource für Unternehmen sein, die nicht über das Fachwissen oder die Mittel verfügen, um selbst die entsprechenden Abläufe aufzubauen. Sie dienen darüber hinaus als Sicherheitsnetz, wenn andere Kontrollen versagen. Ein zentraler Mehrwert ist der kontinuierliche Überblick über die Umgebung eines Unternehmens und seine individuelle Gefahrenlage. Da es noch keine MDR-Industriestandards gibt, liegt es in der Verantwortung der Unternehmen, die richtigen Fragen zu stellen, um potenzielle Dienste und Partner zu bewerten und die Sicherheit im Unternehmen nachhaltig zu verbessern.