SOC-Nachtschicht
Acht Stunden, ein Bildschirm, immer mehr Alarme. Der Drucker gähnt, die Kaffeemaschine funkt nach draußen, und irgendwo dazwischen laufen heute Nacht zwei echte Angriffe. Einer davon hat den Schweregrad „Niedrig“.
Schließen, wenn es ein Fehlalarm ist. Eskalieren weckt Dagmar aus der Bereitschaft. Weckt ihr sie zu oft umsonst, schaltet sie das Handy aus, auch für den Ernstfall. Stummschalten bringt eine ganze Alarmart zum Schweigen, im Guten wie im Schlechten. Ihr könnt sie jederzeit wieder aktivieren, nur was sie in der Zwischenzeit verschwiegen hat, kommt nicht nach.
Mehr als zwölf offene Alarme schließt die Automatik selbst, die ältesten zuerst und ohne hinzusehen. Und ohne Kaffee verschwimmt irgendwann alles. Ob ihr richtig lagt, erfahrt ihr erst bei der Übergabe um sechs.
Dauert vier Minuten, gemütlich gut sechs. Tasten: S schließen, E eskalieren, M stummschalten, U wieder aktivieren, K Kaffee, ↑ ↓ wechseln, P Pause. Kunden und Personen sind erfunden.
Was an dieser Nacht echt ist
- Warnung da, Reaktion nicht: Beim Einbruch bei der US-Handelskette Target 2013 schlug die Erkennungssoftware an. Der US-Senatsbericht fand keinen Hinweis darauf, dass auf die Warnungen zur Schadsoftware reagiert wurde, das Unternehmen räumte ein, sich gegen sofortiges Handeln entschieden zu haben (CNBC, Bloomberg).
- Die Angriffsschritte gibt es wirklich: So lange Push-Anfragen schicken, bis jemand entnervt bestätigt (MITRE T1621), Mails per Postfachregel verstecken (T1564.008), eigene Konten anlegen (T1136), Schattenkopien löschen (T1490) und zum Schluss verschlüsseln (T1486).
- Der Schweregrad ist nur eine Meinung: Eine Regel bewertet ein einzelnes Ereignis. Ob es gefährlich ist, zeigt oft erst der Zusammenhang: Wer war das, gibt es ein Ticket, passt die Uhrzeit, ist das sonst auch so?
- Regeln nachschärfen ist richtig, ganze Alarmarten abschalten nicht: Stört eine Regel, passt ihr sie an und dokumentiert das. Sonst schweigt sie auch dann, wenn es ernst wird.
Die Alarme, Kunden und Personen in diesem Spiel sind frei erfunden, IP-Adressen stammen aus den für Dokumentation reservierten Bereichen. Dagmar hat wirklich schlechte Laune, aber das ist nicht belegt.