Əsas fikir
SOC təhlükəsizlik siqnallarını qiymətləndirir, riskə görə prioritetləşdirir, cavabı əlaqələndirir və insidentlərdən öyrənir. Fəaliyyət modeli əhatəni, eskalasiya səlahiyyətlərini, monitorinq saatlarını və nəticələrin kimə çatdırılacağını aydın göstərməlidir.
SOC nədir?
SOC təşkilatın sistemlərini, məlumatlarını və rəqəmsal aktivlərini qorumaq üçün təhlükəsizlik fəaliyyətini mərkəzləşdirən əməliyyat funksiyasıdır. Bu iş insanlar, proseslər və texnologiya ilə aparılır: analitiklər telemetriyanı izləyir, hadisələri araşdırır, cavab qaydalarını tətbiq edir və nəticələrdən müdafiəni təkmilləşdirmək üçün istifadə edirlər. SOC daxili komanda, idarə olunan xidmət və ya hibrid model kimi qurula bilər. Əhatə olunan mənbələr, iş saatları, cavab səlahiyyətləri və təşkilata hesabat vermə qaydası modelin bir hissəsidir.
SOC-un altı əsas funksiyası
Bu funksiyalar monitorinqdən bərpaya və sonrakı təkmilləşdirməyə qədər uzanır. Təşkilatın ölçüsü və xidmət modeli hər funksiyanın kim tərəfindən yerinə yetirildiyini dəyişə bilər.
Fasiləsiz təhlükə monitorinqi
Şəbəkə, son nöqtələr, serverlər və digər razılaşdırılmış mənbələrdən hadisələr toplanır və şübhəli fəaliyyət əlamətləri izlənir. Faktiki monitorinq saatları və məlumat mənbələri xidmət modelində açıq göstərilməlidir.
Proaktiv təhlükə aşkarlanması
Təhlükə məlumatı, indikatorlar və müşahidə olunan nümunələr potensial hücum əlamətlərini seçməyə kömək edir; siqnallar kontekstdə yoxlanmalıdır.
İnsidentə cavab və təsirin azaldılması
Əvvəlcədən müəyyən edilmiş prosedur üzrə təhdid araşdırılır, təsirlənmiş sahə təcrid olunur, zərər məhdudlaşdırılır və xidmətlərin bərpası əlaqələndirilir.
Zəifliklərin idarə edilməsi
Qiymətləndirmə və səlahiyyət verilmiş penetrasiya testləri sistem, tətbiq və şəbəkədəki zəif nöqtələri üzə çıxara bilər. Düzəlişlər risk və dəyişiklik prosesinə uyğun prioritetləşdirilir.
Təhlükəsizlik maarifləndirilməsi və uyğunluq
Komanda maarifləndirmə fəaliyyətinə töhfə verə, uyğunluq göstəricilərini izləyə və audit hesabatlarını hazırlamağa kömək edə bilər. Bu iş təşkilatın ümumi nəzarət və uyğunluq məsuliyyətlərini əvəz etmir.
İnsidentdən sonra təhlil
Hadisənin səbəbi, istismar olunan zəifliklər, təsirlənmiş sistemlər və cavabın nəticəsi nəzərdən keçirilir. Tapıntılar prosedurları və müdafiəni yaxşılaşdırmaq üçün istifadə olunur.
Təşkilatlar SOC-u niyə qurur?
SOC biznes məqsədlərini təhlükəsizlik fəaliyyəti ilə əlaqələndirir: hadisələri izləmək, araşdırmanı əlaqələndirmək, audit sübutlarını hazırlamaq və xidmətlərin bərpasını dəstəkləmək.
İş vaxtından kənar monitorinq və növbətçilik
Təhdidlər təşkilatın iş qrafikindən kənar yarana bilər. Monitorinq növbələrini, çağırış üzrə növbətçilik qaydasını və eskalasiya müddətlərini xidmət razılaşmasında müəyyən edin.
Aşkarlama və cavab üçün əlaqələndirmə
Xəbərdarlıqların prioritetləşdirilməsi, araşdırma və eskalasiya prosesi hadisələrin kimin diqqətinə və hansı sürətlə çatacağını müəyyən edir.
Hadisə xərclərinə diqqət
Vaxtında araşdırma və koordinasiya pozuntunun təsirini məhdudlaşdıra bilər. Qurma və xidmət xərclərini ölçülə bilən əməliyyat nəticələri ilə müqayisə edin.
Audit və tənzimləyici hesabatlılıq
Müntəzəm monitorinq qeydləri, insident hesabatları və nəzarət sübutları audit işini dəstəkləyə bilər. Hansı sübutların tələb olunduğunu tətbiq olunan çərçivəyə görə müəyyənləşdirin.
İxtisas və alətlərə çıxış
Daxili, idarə olunan və hibrid modelləri komandanın bilik və resurslarına görə müqayisə edin. Daxili komandanı qurmaq və saxlamaq çətindirsə, xarici xidmət və ya hibrid model çatışmayan bilik və alətləri təmin etməyə kömək edə bilər. Məsuliyyət və xidmət sərhədlərini əvvəlcədən razılaşdırın.
Biznesin dayanıqlılığı
Hadisələrə mütəşəkkil cavab xidmətlərin bərpa planları ilə əlaqələndirildikdə fasilələrin azaldılmasına kömək edə bilər.
SOC analitiklərinin vəzifələri
Analitiklər yalnız xəbərdarlıq izləmirlər. Onlar siqnalı qiymətləndirir, cavab tədbirlərini əlaqələndirir, araşdırma aparır və nəticələri texniki və rəhbər auditoriyaya çatdırırlar.
Şəbəkə və sistem fəaliyyətini izləmək
SIEM və endpoint alətləri kimi mənbələrdən məlumatları nəzərdən keçirərək şəbəkə, server və cihazlarda anomaliyaları axtarmaq.
Təhdidləri qiymətləndirmək və prioritetləşdirmək
Siqnalın ciddiliyini, ehtimal olunan təsiri və təcililiyi qiymətləndirib araşdırmanın və eskalasiyanın ardıcıllığını müəyyən etmək.
Cavabı və təsirin azaldılmasını koordinasiya etmək
Prosedura uyğun olaraq təsirlənən sistemlərin təcridini, düzəlişləri və digər müdafiə tədbirlərini sistem sahibləri ilə əlaqələndirmək.
Forensik araşdırma aparmaq
Hadisənin necə baş verdiyini, hansı zəiflikdən istifadə olunduğunu, hansı sistem və məlumatların təsirləndiyini müəyyənləşdirib nəticələri sənədləşdirmək.
Proaktiv təhlükə ovlamaq
Təhlükə məlumatı və analitikadan istifadə edərək ənənəvi xəbərdarlıq yaratmayan, lakin zərərli ola bilən fəaliyyəti araşdırmaq.
Təhlükəsizlik üzrə tövsiyə vermək
Monitorinq və təhlildən alınan nəticələr əsasında siyasət, nəzarət və alətlərin yaxşılaşdırılması barədə tövsiyələr hazırlamaq.
Uyğunluq hesabatlarını dəstəkləmək
Tələb olunan göstəriciləri izləmək, audit materiallarını hazırlamaq və qeydləri təşkilatın uyğunluq məsuliyyətlərinə əsasən saxlamaq.
Hadisənin iş axını
Dəqiq mərhələlər təşkilatın proseduruna və insidentin növünə görə dəyişir. Bu ardıcıllıq növbənin təhvil verilməsini, məsuliyyət bölgüsünü və nəticələrin qeydə alınmasını aydınlaşdırmağa kömək edir.
Müşahidə edin və qeydə alın
Əhatə olunan mənbələrdən hadisələri toplayın; vaxtı, təsirlənən aktivləri və mənbə siqnalını qeyd edin.
Təsdiqləyin və prioritet verin
Konteksti və əlaqəli fəaliyyəti yoxlayın, yanlış siqnalları ayırın və riskə görə cavab səviyyəsini seçin.
Eskalasiyanı başladın
İnsidentə cavab üçün təyin edilmiş məsul şəxsi və sistemlər, hüquq, məxfilik və biznes üzrə müvafiq mütəxəssisləri xəbərdar edin.
Təsiri məhdudlaşdırın və bərpanı əlaqələndirin
Səlahiyyətli tərəflərlə təsirlənmiş sistemləri qoruyun, bərpa addımlarını əlaqələndirin və xidmətin vəziyyətini izləyin.
Nəticəni sənədləşdirin və təkmilləşdirin
Hadisənin səbəbini, təsirini, qərarları və açıq tədbirləri yazın; prosedur, nəzarət və maarifləndirmə ehtiyaclarını yenidən qiymətləndirin.
SOC modelini müəyyənləşdirən əməliyyat sualları
SOC-un adı təkbaşına xidmətin nələri əhatə etdiyini göstərmir. Modeli qurarkən məlumat mənbələrini, monitorinq saatlarını, növbə ötürülməsini, eskalasiya hədlərini, cavab tədbirlərinə kimin icazə verdiyini, forensik araşdırmanın dərinliyini, hesabat alan şəxsləri və insidentdən sonrakı təkmilləşdirməni razılaşdırın. İdarə olunan xidmət seçilirsə, bu mövzular xidmət sərhədi, öhdəliklər və cavab vaxtı barədə yazılı razılaşmada təsdiqlənməlidir.