Implementierung eines SOC (System zur zentralen Angriffserkennung in der IT-Infrastruktur)

Die ÜSTRA Hannoversche Verkehrsbetriebe Aktiengesellschaft ist nach dem BSI-Gesetz in einzelnen Teilbereichen als kritische Infrastruktur eingestuft. Nach den Vorgaben des BSI ist ein System zur Angriffserkennung für diese Bereiche notwendig. Die Bereiche sind dabei: - Schienennetz und Stellwerke des öffentlichen Straßenpersonenverkehrs (ÖSPV) - Leitzentrale des ÖSPV Darüberhinausgehend soll das System auch große Teile der sonstigen IT-Infrastruktur überwachen. Zielkonzept aus Co-Managed SIEM und Managed SOC: Die geplante Architektur umfasst ein "Co-Managed SIEM" auf Basis einer Elastic-Lösung, - ein beim AG On-Prem gehosteter Elastic Stack bestehend aus Elasticse-arch, Kibana und Integrationen (auch als ELK-Stack bekannt) in Enterprise-Lizenzierung, der Einbringung von Regeln und Use-Cases in dieses SIEM durch den SOC-Partner sowie die Abdeckung des 24/7 Monitorings durch SOC-Partner (siehe schematische Darstellung unten). Der SOC-Partner wird die Regeln aus den gemeinsam definierten Use-Cases und Playbooks in der Elastic-Lösung des AG einbringen und pflegen. Die Anbindung der Log-Quellen und der Betrieb der SIEM-Lösung (Elastic) als Data Lake (exkl. SIEM-Regeln) obliegt dem AG. Derzeit ist ein externes Managed SOC mit einem anderen SIEM/SOC-Zielkonzept eingesetzt, welches abgelöst werden soll. Im Rahmen der Ausschreibung soll die Auswahl eines SOC-Betreibers inkl. erforderlicher Daten- und Informationsquellen sowie Analyseumgebung erfolgen, um das Sicherheitsniveau der ÜSTRA zu erhöhen und den Anforderungen des BSI nachzukommen. Implementierung eines SOC (System zur zentralen Angriffserkennung in der IT-Infrastruktur)