Kritische Lücken in Security Operations Centern

85 Prozent der von SANS Institute befragten SOC-Analysten sagen, dass Endpunktwarnungen die Reaktion vorantreiben, doch 42 Prozent der Security Operations Center (SOC) verfügen über keine Strategie für die Verwaltung eingehender Daten. [...]

Die weltweite SOC-Umfrage 2025 des SANS Institute offenbart eine eklatante Diskrepanz zwischen der Reaktion auf Warnmeldungen und der Datenstrategie in Security Operations Centern (SOC). Während 85 Prozent der SOC-Analysten Endpoint-Sicherheitswarnungen als primären Auslöser für ihre Reaktion angeben, geben 42 Prozent zu, alle eingehenden Daten ohne Plan für deren Abruf oder Analyse in ein SIEM zu speichern.

Der kürzlich veröffentlichte Bericht hebt diese und andere wichtige Erkenntnisse hervor, die von Tausenden von Fachleuten weltweit gewonnen wurden, und bietet den branchenweit umfassendsten, herstellerneutralen Benchmark für den Reifegrad, die Tools und die Personalausstattung von SOCs.

„SOCs sind das Rückgrat der modernen Cyberabwehr, aber viele sind nach wie vor überlastet und unterbesetzt“, erklärt Christopher Crowley, zertifizierter Ausbilder am SANS Institute und Hauptautor der Umfrage. „Die Daten aus diesem Jahr bieten einen klaren Einblick, wie sich SOCs an die Anforderungen des 24/7-Betriebs, der KI-Integration und der Remote-Arbeit anpassen – und zeigen gleichzeitig häufige Fehler und Bereiche mit Verbesserungspotenzial auf.“

Die wichtigsten Ergebnisse des Berichts

• 82 Prozent der SOCs geben an, rund um die Uhr in Betrieb zu sein.
• 85 Prozent der SOC-Analysten nennen Endpunktwarnungen als wichtigsten Auslöser für ihre Reaktionen.
• 73 Prozent erlauben SOC-Mitarbeitern in gewissem Umfang Remote-Arbeit.
• 42 Prozent senden alle eingehenden Daten an ein SIEM, ohne über eine definierte Strategie für deren Verwaltung oder Abruf zu verfügen.
• 42 Prozent nutzen KI-/ML-Tools ohne Anpassung in ihrer Standardkonfiguration.

„Wenn die Unternehmensleitung nicht bereit ist, die erforderlichen Ressourcen für den effektiven Einsatz eines Tools bereitzustellen, sollte man besser ganz darauf verzichten“, sagt Crowley. „Eine glänzende neue Technologie, die wie eine großartige Lösung erscheint, erfordert Budget, Schulungen, Zeit und die Integration in den Arbeitsablauf.“

In der Umfrage wird ein SOC anhand seiner Fähigkeiten, seiner Architektur, seiner Personalausstattung und danach definiert, ob diese Funktionen intern oder extern bereitgestellt werden. Der Bericht hilft Sicherheitsverantwortlichen zu verstehen, wie andere ihre SOCs aufbauen und weiterentwickeln und wo sie im Vergleich dazu stehen.

Um den vollständigen Bericht aufzurufen oder sich für den Webcast anzumelden, besuchen Sie: https://www.sans.org/webcasts/sans-2025-soc-survey/ und https://www.sans.org/white-papers/sans-2025-soc-survey