Aufbau eines Unternehmens-SOC: Architektur von SIEM, SOAR und Threat-Intel-Pipeline

Die Unternehmens-Cybersicherheit hat in den letzten fünf Jahren eine grundlegende Transformation durchlaufen. Wir sind in eine Ära eingetreten, in der das Modell der Perimeter-Verteidigung (Firewall + Antivirus + IPS) nicht mehr ausreicht und das Modell Zero Trust + kontinuierliche Überwachung + schnelle Reaktion dominant geworden ist. Das operative Zentrum dieser Transformation ist das SOC (Security Operations Center) — eine Sicherheitsfunktion, die 24/7 läuft, Telemetrie sammelt, Anomalien erkennt, auf Vorfälle reagiert und kontinuierlich reift. In der Türkei positionieren das KVKK-Gesetz zum Schutz personenbezogener Daten, die BDDK-Informationssystemverordnung, EPDK-Regularien und Cyber-Versicherungsverträge ein SOC heute nicht mehr als good to have, sondern als must have.

Im Rahmen unserer Dienstleistungen SOC-Operations-Setup-Engineering, Incident-Response-Services und Threat-Intelligence-Services haben wir in den vergangenen 24 Monaten 11 Unternehmens-SOC-Projekte in den Sektoren Finanzen, Gesundheit, Energie und E-Commerce durchgeführt. In diesem Artikel führen wir Sie in sieben praktischen Schritten durch den Aufbau einer Unternehmens-SOC-Architektur von Grund auf: Scope-Definition, Log-Sammlung, SIEM-Auswahl, MITRE-ATT&CK-Mapping, Threat-Intel-Pipeline, SOAR-Automatisierung und kontinuierlicher Reifeprozess.

1. Strategische Entscheidung — Scope, Modell und Reifeziel

Die erste Frage lautet nicht Splunk oder Wazuh?; sie sollte lauten was schützen wir, gegen wen, in welchem Reifegrad?. Drei Kerndimensionen:

Scope: welche Assets stehen unter SOC-Überwachung? Typische Schichten: (1) Endpoint (Nutzerrechner, Server), (2) Netzwerk (Firewall, Router, Switch, IDS/IPS), (3) Cloud (AWS/Azure/GCP Control Plane + Workload), (4) Identität (Active Directory, Azure AD, MFA), (5) Anwendung (Webanwendungen, API-Gateway), (6) SaaS (Microsoft 365, Google Workspace, Slack). Jede Schicht erfordert eigene Log-Quellen, Detection-Regeln und Tuning. Der Ansatz alles überwachen ist destruktiv — konzentrieren Sie sich zu Beginn auf die 2-3 kritischsten Schichten und erweitern Sie mit Reife.

Modell (in-house / MSSP / hybrid):

• In-House: volle Kontrolle, maximale Vertraulichkeit, aber für 24/7-Schichten mindestens 6-8 Analysten (jährlich TRY 4-7 Mio. Personal) und lange Ramp-up-Phase. Für sensible Sektoren (Verteidigung, kritische Infrastruktur, Großfinanz) zwingend.
• MSSP (Managed Security Service Provider): schneller Start (4-8 Wochen), 24/7-Schicht steht bereit, jährlich TRY 1,5-3,5 Mio. Nachteil: Logs fließen zu einer externen Organisation — für KVKK müssen DPA + Log-Standort in den Vertrag. Ein inländischer MSSP wird bevorzugt.
• Hybrid: MSSP L1 (Alert-Triage) + L2 (Initial Investigation), in-house L3 (Deep Investigation) + Incident Response + Threat Hunting. Das dominante Modell für mittel- bis großgroße Unternehmen — bestes Verhältnis von Kosten zu Umfang.

Reifeziel: SOC-Reife entwickelt sich über Jahre. Das SANS-SOC-Maturity-Model definiert 5 Stufen:

Stufe	Definition	Unternehmensschwelle
Level 1	Ad-hoc, nicht dokumentiert	Erste 6 Monate
Level 2	Wiederholbar, grundlegende KPIs	6-18 Monate
Level 3	Definierter Prozess, MITRE-ATT&CK-Mapping, Threat Intel	18-36 Monate
Level 4	Gemessen und kontinuierlich verbessert, aktives Threat Hunting	3-5 Jahre
Level 5	Optimiert, KI-augmentierte Detection, proaktiv	5+ Jahre

Praktisches Ziel: Level 2-3 in den ersten 12 Monaten; Level 3-4 in 24-36 Monaten. Lassen Sie sich nicht von Level-5-Marketingansprüchen täuschen — echte Level-5-SOCs gibt es bei sehr wenigen Organisationen (Big Tech, staatliche Cyber-Verteidigung).

2. Log-Sammlung — Telemetrie-Qualität bestimmt alles

Der am wenigsten glamouröse, aber kritischste Schritt eines SOC ist die Log-Sammlung. Mit unvollständiger oder qualitativ schwacher Telemetrie läuft selbst das beste SIEM ins Leere. Fünf kritische Quellen:

Endpoint-Logs (EDR): Process Creation, File Modification, Registry Change, Network Connection, PowerShell Execution. Microsoft Defender for Endpoint, CrowdStrike Falcon, SentinelOne, Wazuh-Agent — die Enterprise-Optionen. Sysmon (Microsoft) ist eine kostenlose Alternative; mit einer korrekten sysmon-config (z. B. SwiftOnSecurity) liefert es 80 Prozent des EDR-Wertes.

Netzwerk-Logs: Firewall (Deny/Allow mit Quelle/Ziel), Proxy (HTTP-Request, User-Agent), DNS (Query-Log — kritisch für DNS-Exfiltrations-Detection), NetFlow/IPFIX (Traffic-Baseline). DNS-Logs werden oft übersprungen, sind aber die wertvollste Quelle für Lateral Movement und C2-Callback-Detection.

Identitäts-Logs: Active-Directory-Event-Log (4624 Login, 4625 Failed Login, 4688 Process, 4720 User Created), Azure-AD-Sign-In-Log, MFA-Challenge, Privileged Access. Hier werden Pass-the-Hash-, Golden-Ticket- und Kerberoasting-Angriffe erkannt.

Cloud-Logs: AWS CloudTrail (API-Call-Log), Azure Activity Log, GCP Audit Log — wer hat wann was an welcher Ressource gemacht. Ereignisse wie das Öffentlichmachen eines S3-Buckets, IAM-Policy- und VPC-Änderungen erscheinen hier.

Anwendungs-Logs: Webanwendungs-Access-Logs, API-Gateway (Rate-Limit-Verletzungen, Auth-Failures), Datenbank (Query-Audit), SaaS (Microsoft 365 Unified Audit Log, Google Workspace Admin-Log).

Log-Sammlungs-Architektur, Standard-Pattern:

[Log-Quelle]
    ↓ (Syslog, Agent, API)
[Log-Shipper: Fluent Bit / Logstash / Wazuh-Agent]
    ↓ (Normalisierung, Anreicherung)
[Puffer: Kafka / Redis] (bei hohem Volumen)
    ↓
[SIEM: Wazuh / ELK / Splunk / Sentinel]
    ↓
[Langzeit-Archiv: S3 / Azure Blob / MinIO]

Aus KVKK-Sicht zwei kritische Punkte: (1) Enthalten Logs personenbezogene Daten (Benutzername, IP, E-Mail), müssen Sie als Datenverantwortlicher den Verarbeitungszweck (Sicherheitsüberwachung) in einer schriftlichen Richtlinie erklären und die Aufbewahrungsdauer definieren (in der Regel 6-12 Monate hot, 12-24 Monate Archiv). (2) Log-Standort sollte innerhalb der Türkei oder der EU bleiben; bei Einsatz von US-Cloud-Diensten sind DPA + Standardvertragsklauseln zwingend.

Data-Engineering-Infrastruktur ist für die SOC-Log-Pipeline häufig kritisch — ohne Kenntnis von Kafka-Clustern, ETL-Jobs und Archive-Policies lässt sich ein nachhaltiges SOC nicht aufbauen.

3. SIEM-Auswahl — Entscheidungsmatrix Wazuh, ELK, Splunk, Sentinel

Das SIEM (Security Information and Event Management) ist das Gehirn des SOC — es leitet Logs durch Korrelationsregeln und erzeugt Alerts. Eine falsche SIEM-Wahl produziert in 1-2 Jahren ein Migrationsprojekt; die richtige Wahl trägt 5-7 Jahre.

Wazuh (Open Source, kostenlos):

• Vorteile: kostenlos, On-Prem-KVKK-konform, starkes agentenbasiertes Sammeln, integriertes MITRE-ATT&CK-Rule-Mapping; FIM (File Integrity Monitoring) + SCA (Security Configuration Assessment) + Vulnerability Detection in einem Paket.
• Nachteile: rohe UI (Wazuh Dashboard nutzbar, aber nicht auf Splunk-Niveau), Skalierung über 5K EPS (Events per Second) erfordert Elasticsearch-Tuning, Team braucht Linux- und Elasticsearch-Betrieb.
• Beste Passung: KMU und Mittelstand (200-2.000 Nutzer), KVKK-kritische Sektoren, Open-Source-Philosophie.

ELK Stack / OpenSearch:

• Vorteile: sehr starke Log-Analytics, individuelle Dashboards, gute Skalierung.
• Nachteile: allein kein SIEM — Korrelationsregeln müssen manuell geschrieben werden; Elastic Security (X-Pack) ist kostenpflichtig (jährlich ~USD 125/Host).
• Beste Passung: Organisationen, die bereits ELK nutzen, mit hohem Bedarf an Custom-Analytics.

Splunk Enterprise Security:

• Vorteile: UI und Suchsprache (SPL) sind Branchenstandard, breite App-Marketplace (1.500+ Integrationen), Enterprise-Security-Premium-Add-on (Korrelation, Threat Intel, Asset Framework).
• Nachteile: Lizenz teuer — perpetual oder term-basiert, jährlich USD 500-2.000/GB-Tag; für 10TB/Tag jährlich USD 1,8 Mio.-7,3 Mio. Wegen ingestion-basierten Pricings für KMU unerreichbar.
• Beste Passung: Großfinanz, Telco, Retail (5.000+ Nutzer) mit millionenschweren Sicherheitsbudgets.

Microsoft Sentinel (cloud-native, Azure):

• Vorteile: Azure-Ökosystem-Integration, KQL (Kusto Query Language) stark, KI-getriebenes UEBA + Fusion-Correlation, Pay-per-Ingestion (~USD 2-5/GB), native Microsoft-365/Defender-Integration.
• Nachteile: Azure-gebunden; für KVKK muss EU-Region (West Europe / North Europe) gewählt und DPA unterzeichnet werden. Für reine On-Prem-Organisationen ungeeignet.
• Beste Passung: Microsoft-365/Azure-lastige Organisationen, Cloud-First-Strategie, mittel- bis großgroße Skala.

Entscheidungsmatrix:

Kriterium	Wazuh	ELK	Splunk	Sentinel
Jahreskosten (2K Nutzer)	TRY 500K-2M	TRY 1M-3M	USD 250K-1M+	USD 150K-600K
KVKK On-Prem	Voll	Voll	Voll	EU-Region + DPA
Setup-Dauer	8-12 Wochen	8-14 Wochen	16-24 Wochen	4-8 Wochen
MITRE-ATT&CK-Support	Nativ	Manuell	Nativ (ES)	Nativ
Compliance-Reporting	Mittel	Manuell	Stark	Stark
Team-Skills	Linux+Elastic	Elastic+Lucene	SPL+Admin	KQL+Azure

Praktische Empfehlung: KMU/Mittelstand = Wazuh; Microsoft-Ökosystem = Sentinel; großes Enterprise = Splunk oder Sentinel. Falscher Reflex: Splunk ist das Beste — Splunk ist mit dem richtigen Team und Budget am stärksten, aber für ein kleines Team wird es unter Kosten- und Betriebslast erdrückt.

4. MITRE-ATT&CK-Mapping — gemeinsame Sprache und Detection-Coverage

Das MITRE-ATT&CK-Framework ist die gemeinsame Sicherheitssprache, die reales Angreiferverhalten strukturiert klassifiziert. 14 Taktiken (Reconnaissance, Resource Development, Initial Access, Execution, Persistence, Privilege Escalation, Defence Evasion, Credential Access, Discovery, Lateral Movement, Collection, Command and Control, Exfiltration, Impact) mal 200+ Techniken plus 600+ Sub-Techniken. Ein produktives SOC muss dieses Framework für drei Hauptzwecke nutzen:

Detection-Coverage-Map: Sie mappen Ihre SIEM-Regeln auf ATT&CK-Technique-IDs und sehen, welche Techniken überwacht und welche blinde Flecken sind. Beispiel-Mapping:

Detection-Regel	ATT&CK-Technique
PowerShell-encoded-Command-Execution	T1059.001
Mimikatz-Signature auf Disk	T1003.001
LSASS-Process-Memory-Zugriff	T1003.001
Neue Dienstanlage auf Remote-Host	T1543.003
Verdächtige DNS-Query (DGA-Pattern)	T1071.004
Massen-Dateiverschlüsselung (Ransomware)	T1486

Der ATT&CK Navigator (kostenloses Webtool) visualisiert dieses Mapping — Grün = covered, Gelb = teilweise, Rot = uncovered. Für ein produktives SOC sollte die Coverage mindestens 60 Prozent anstreben (Enterprise-Reife 75-85 Prozent). 100 Prozent sind unmöglich und unnötig; einige Techniken (Insider-Threat mit legitimem Zugriff) lassen sich nicht über Signature-Detection fangen, sondern über Behaviour Analytics + DLP.

Purple-Team-Übung: Das Red Team simuliert bestimmte ATT&CK-Techniken (Atomic Red Team, Caldera, Cobalt Strike), das Blue Team validiert die Detections. Monatlicher Zyklus: Red plant → führt aus → Blue prüft, ob gesehen → blinder Fleck → neue Regel schreiben → erneut testen. Unser Red-Team-Simulation-Service führt diesen Zyklus als externes Team aus; das In-House-Team gewinnt Validierung.

Threat-Intel-Mapping: Welche Techniken nutzt ein definierter Bedrohungsakteur (APT29, FIN7, Conti, Lazarus, MuddyWater) — das TTPs-Profil wird von der ATT&CK-Groups-Seite gezogen, organisationsspezifische Detection-Regeln werden geschrieben. Beispiel: APT29 nutzt häufig die Kette T1078 (Valid Accounts) + T1098 (Account Manipulation) + T1059.001 (PowerShell); eine Korrelationsregel, die diese Drei-Techniken-Kombination fängt, wird geschrieben.

Tool zur ATT&CK-Reifebewertung: DeTT&CT (Open Source) automatisiert die Coverage-Gap-Analyse und erkennt fehlende Log-Quellen. Organisationen, die jährlich bewerten, kommen in 18-24 Monaten von 35-40 Prozent auf 70-75 Prozent Coverage.

5. Threat-Intelligence-Pipeline — externe Aufklärung in Detection wandeln

Threat Intelligence (TI) ist die Umwandlung externer Erkenntnisse wer, was, wie angreift in Detection, Prevention und Response. Drei Qualitätsstufen:

Strategic TI: sektorale Bedrohungslandschaft für das Management — APT-Trends, Angriffsmotive auf Landesebene, Dark-Web-Untergrundökonomie. Jahresberichtsformat. Microsoft Digital Defense Report, CrowdStrike Global Threat Report, ENISA Threat Landscape, BTK-USOM-Berichte.

Operational TI: aktive Kampagneninformation für SOC-Analysten — welche APT-Gruppe greift aktuell welchen Sektor an, welcher Initial-Access-Vector wird genutzt, welche Malware-Familie ist aktiv. Recorded Future, Mandiant Advantage, CrowdStrike Falcon Intelligence, offene STIX/TAXII-Feeds (AlienVault OTX, MISP), USOM-Cyber-Threat-Bulletins für die Türkei.

Tactical TI / IoC (Indicators of Compromise): direkt vom SIEM konsumiert — bösartige IP-Adresse, Malware-Hash, malicious Domain, URL-Pattern, JA3-Fingerprint, Yara-Rule. STIX 2.1 als Standard, TAXII 2.1 als Transportprotokoll. Beispiel-Feeds:

Feed	Typ	Kosten
AlienVault OTX	Community, breit	Kostenlos
Abuse.ch URLhaus / Feodo / SSL BL	Malware-C2, Ransomware	Kostenlos
Spamhaus	Botnet, Spam	Kostenlos / kostenpflichtig
MISP-Community-Sharing	Sektor-spezifisch	Kostenlos
Recorded Future	Enterprise Premium	USD 50K-300K/Jahr
Mandiant Advantage	APT, deep	USD 100K-500K/Jahr
USOM Türkiye	Lokale Bedrohung	Kostenlos (organisatorische Registrierung)

Pipeline-Architektur:

[TI-Feeds: STIX/TAXII, JSON, CSV]
    ↓
[TI-Plattform: MISP / OpenCTI / ThreatConnect]
    ↓ (Deduplication, Scoring, Tagging)
[SIEM-Enrichment: Kontext beim IoC-Match]
    ↓
[SOAR-Playbook: automatisches Block / Quarantine / Alert-Eskalation]

Wichtige Praxis: IoC-Qualität wird gemessen an Alter + Quelle + Validierung. Einen unvalidierten Feed direkt ins SIEM zu speisen erzeugt einen False-Positive-Ausbruch — die Analystenlast steigt für Stunden, während echte Bedrohungen übersehen werden. Scoring (high confidence / medium / low) und TTL (z. B. Ablauf nach 30 Tagen) auf IoCs ist Pflichtdisziplin.

MISP (Malware Information Sharing Platform, Open Source) ist in türkischen SOCs populär — sektorale Sharing-Communities (das geschlossene MISP der BDDK-Mitgliedsbanken, die Koordination von TÜBİTAK BİLGEM und USOM) organisieren den IoC-Austausch.

Unser Threat-Intelligence-Service liefert die Beratungsschicht, die diese Pipeline mit organisationsspezifischer TTPs-Analyse anreichert.

6. SOAR-Automatisierung — Playbooks und MTTR-Reduktion

SOAR (Security Orchestration, Automation and Response) ist das Muskelgedächtnis des SOC — es automatisiert wiederkehrende Schritte der Incident Response über Playbooks, senkt MTTR (Mean Time To Respond) und entlastet L1-Analysten.

Typische Playbook-Beispiele:

Phishing-E-Mail-Response:

1. Vom Nutzer gemeldete Phishing-E-Mail landet im Inbox
2. Automatisch: URLs in Sandbox scannen (URLscan, VirusTotal, ANY.RUN)
3. Attachment-Hash in MISP/VT prüfen
4. Bei Bösartigkeit: dieselbe E-Mail aus allen Nutzer-Postfächern löschen (Microsoft 365 Compliance API)
5. Absender-Domain im E-Mail-Gateway blockieren
6. Nutzer benachrichtigen
7. Ticket als gelöst schließen, Dashboard-Metriken aktualisieren
8. Manuell: 30 Min. SOAR: 2-3 Min.

Malware-Detection auf Endpoint:

1. EDR-Alert → SIEM-Korrelation
2. Automatisch: Endpoint-Host vom Netzwerk isolieren (CrowdStrike/Defender-API)
3. Process Tree + File Hash ziehen
4. VirusTotal + Hybrid Analysis abfragen
5. Manager des Nutzers benachrichtigen
6. Ticket an L2-Analyst zuweisen (mit Artefakten)
7. Nutzer-Kommunikationsnotiz vorbereiten

Failed-Login-Burst (Brute Force):

1. SIEM-Detection: 50+ Fehlanmeldungen für denselben User binnen 10 Minuten
2. Automatisch: Source-IP für 1 Stunde vorübergehend blocken (Firewall-API)
3. Account temporär sperren (AD-API) — nur bei Insider-Source
4. MFA-Challenge erzwingen
5. SMS-Benachrichtigung an Nutzer
6. Ticket an L1-Analyst — manueller Review

Beliebte SOAR-Plattformen:

Plattform	Typ	Lizenz
Cortex XSOAR (Palo Alto)	Enterprise, Marktführer	USD 100K-500K/Jahr
Splunk SOAR	Splunk-Ökosystem	USD 60K-300K/Jahr
Microsoft Sentinel Playbooks	Azure-nativ, Logic Apps	Pay-per-Execution
Tines	Modern, No-Code	USD 20K-100K/Jahr
Shuffle	Open Source	Kostenlos
n8n + Custom	Allgemeiner Workflow	Kostenlos / gehostet

Kritische Warnung — Playbook-Design braucht Disziplin:

• Ein schlecht entworfenes Playbook verdächtige IP automatisch sperren kann in Produktion das Unternehmens-VPN oder eine Kunden-IP sperren. Das nennt sich Automation-Self-DoS.
• Pattern: in den ersten 6 Monaten läuft es als Decision Support — Playbook-Schritte laufen automatisch, der letzte Schritt hängt an einem L2-Analyst-Approval-Gate. Gates werden mit wachsendem Vertrauen entfernt.
• Jedes Playbook braucht einen Rollback-Pfad: Was Sie getan haben, müssen Sie rückgängig machen können (z. B. eine versehentlich in Quarantäne genommene Datei wiederherstellen).
• Audit-Log ist Pflicht: welches Playbook hat wann welche Aktion gemacht — für KVKK + forensische Prüfung.

Unser Incident-Response-Service reift die Response-Fähigkeit des SOC durch eine Playbook-Bibliothek, Tabletop-Übungen und Post-Incident-Review-Schleifen.

7. Kontinuierliche Reife — Metriken, Threat Hunting, Schulung

Ein SOC ist kein Projekt, das an seinem Go-live-Tag endet; es ist eine lebende Disziplin. Nach den ersten sechs Monaten beginnt die eigentliche Arbeit. Drei parallele Ströme:

Metriken und KPIs: numerische Indikatoren der SOC-Gesundheit. Mindestsatz:

Metrik	Ziel	Bedeutung
MTTD (Mean Time To Detect)	<30 Min P1, <4 Std P2	Wie schnell wird die Bedrohung erkannt
MTTR (Mean Time To Respond)	<2 Std P1, <8 Std P2	Wie schnell ist die Reaktion abgeschlossen
Alert-Volumen / Tag	Trends verfolgen	Spitzen signalisieren Tuning-Bedarf
False-Positive-Rate	<15 Prozent	Hohe Rate bedeutet Tuning nötig
Analyst-touched-Alert-Rate	70 Prozent+	L1-Produktivität
ATT&CK-Coverage	60 Prozent+	Detection-Reife
Closed-Ticket-SLA	90 Prozent+	Operative Disziplin
Threat-Hunting-Stunden / Woche	8-20 Std	Proaktive Kapazität

Dashboard: SIEM-Metriken auf Grafana visualisieren + wöchentliches Ops-Review-Meeting.

Threat Hunting: proaktive, nicht alert-getriebene Bedrohungssuche. Hypothesenbasiert: wenn APT29 in unserer Umgebung wäre, welche Log-Patterns würde sie hinterlassen? → Logs manuell durchsuchen → Befund validieren → neue Detection-Regel schreiben. 8-20 Stunden pro Woche, Senior-Analyst (L3) macht es. Threat Hunting + ATT&CK-Coverage-Gap-Analyse ist der schnellste Reifeweg.

Schulung: kontinuierliche Entwicklung des SOC-Teams. Monatliches In-House-Tabletop (fiktiver Incident, Rollenspiel, Entscheidungen), Sechs-Monats-Zertifizierungsziel (SC-200 für Sentinel, Splunk Power User, SANS GCIH/GCFA, Wazuh Certified Security Analyst), jährliche Konferenzbesuche (Black Hat, BSides Istanbul, SOC Forum Türkiye).

Post-Incident-Review: nach jedem P1/P2-Incident eine schuldlose Retro — was haben wir gefangen, was haben wir spät gesehen, was haben wir verpasst, welche Detection müssen wir hinzufügen. Retrospektive-Notizen kommen ins Wiki, vierteljährliche Trendanalyse.

Praktische Zusammenfassung — Startcheckliste

Die richtige Reihenfolge für Ihr erstes produktives SOC:

1. Scope-Definition: welche 2-3 Schichten zuerst, welche Phase 2.
2. Modell-Entscheidung: unter 500 Nutzern = MSSP; 500-2.000 = hybrid; 2.000+ sensibel = in-house.
3. Log-Sammlungs-Architektur: Shipper + Puffer + SIEM + Archiv. KVKK-Retention-Politik schriftlich.
4. SIEM-Auswahl: KMU/Mittelstand = Wazuh; Microsoft-lastig = Sentinel; großes Enterprise = Splunk/Sentinel.
5. Endpoint-EDR: Defender / CrowdStrike / SentinelOne / Wazuh-Agent. Sysmon-Konfiguration (SwiftOnSecurity).
6. MITRE-ATT&CK-Mapping: erstes Ziel 50 Prozent, 70 Prozent+ in 12 Monaten. ATT&CK Navigator + DeTT&CT.
7. Threat-Intel-Pipeline: mit kostenlosen Feeds starten (OTX, Abuse.ch, USOM), MISP deployen, Scoring + TTL-Disziplin.
8. SOAR: erste 5-10 Playbooks im Decision-Support-Modus, nach 6 Monaten Voll-Automatisierung.
9. Metrik-Dashboard: Grafana + wöchentliches Ops-Review; monatlicher KPI-Bericht ans Management.
10. Kontinuierliche Reife: Threat Hunting (wöchentlich), Purple Team (monatlich), Tabletop (monatlich), Zertifizierungen (sechsmonatlich), Post-Incident-Review (nach jedem P1/P2).

Diese Liste ist Mindestdisziplin. Darüber kommen sektorale Ergänzungen (Zusatzberichte für die BDDK-Informationssystemverordnung, Integration des 72-Stunden-KVKK-Vorfallsmeldeprozesses, EWCS — Early Warning Cyber System für EPDK-kritische Infrastruktur). Der Wert eines SOC liegt nicht im Existieren, sondern im jede Woche messbar reifen — auf die Fragen, warum Metriken fallen oder welche Prozesse griffen, dokumentierte Antworten geben zu können.

Unser Team in Şanlıurfa Karaköprü hat über SOC-Operations-Setup-Engineering und Incident-Response-Services SOC-Pipelines in Finanzen, Gesundheit, Energie und E-Commerce aufgebaut. Für einen Enterprise-SOC-Pilot, SIEM-Auswahl-Beratung oder Reife-Bewertung eines bestehenden SOC erreichen Sie uns über das Kontaktformular — das erste Bewertungsgespräch ist kostenlos.

---

eCloud Tech — Ein in Şanlıurfa (Türkei) ansässiges Team für Unternehmenssoftware, KI, Blockchain und Cybersicherheit. Building Tomorrow.