Главная мысль
Управляемый поиск связывает внешних аналитиков с системами организации и внутренней командой реагирования по согласованному графику. В соглашении определите источники данных, часы мониторинга, отчёты, полномочия на реагирование и дополнительные расходы.
Назначение услуги
Управляемый поиск угроз привлекает внешних специалистов для расследования активности, которая могла остаться незамеченной в сети организации, на конечных устройствах и других системах в согласованном охвате. Услуга может дополнить внутреннюю команду; охват, используемые ресурсы и обязанности по реагированию следует закрепить в договоре.
Когда стоит рассмотреть внешнюю команду
Организациям бывает трудно выстроить поиск угроз внутри из-за ограниченных ресурсов, опыта и времени. Внешняя команда может помочь закрыть эти пробелы; при оценке учитывайте лицензии, стоимость услуги, передачу данных и время, которое потребуется от внутренней команды.
Ограниченные ресурсы
Если сложно инвестировать в инструменты, телеметрию и опытных специалистов, уточните платформы в составе услуги, владельца лицензий и инфраструктуры, дополнительные платежи и возврат данных при завершении.
Доступность специалистов
Найм, обучение и удержание специалистов могут быть сложными. Уточните, какие роли предоставляет услуга, квалификацию аналитиков и порядок замены ключевых сотрудников.
Сложность и скорость атак
Отслеживание новых TTP может превышать возможности внутренней команды. Согласуйте часы мониторинга, охваченные активы, передачу смен и порядок участия внешней команды во внутреннем реагировании.
Охват и возможные работы
В предложении письменно укажите, входит ли каждая из следующих работ, какие источники данных используются и кто отвечает за выполнение. Отдельно подтвердите, ведётся ли мониторинг круглосуточно и какие активы охвачены.
Постоянный мониторинг
В предложении уточните график наблюдения за сетью и конечными устройствами, пробелы охвата, пороги уведомлений, передачу смен и плановые перерывы. Некоторые услуги предлагают круглосуточный мониторинг; подтвердите это обязательство с указанием часового пояса и перечня активов.
Данные об угрозах
Уточните источники, частоту их обновления и контекст, который они добавляют к выводам. Качество источников и охват могут влиять на результаты.
Совместное реагирование и отчёт о воздействии
Определите, как отчёт о подтверждённом инциденте покажет системы и файлы, которые могли пострадать, потребности в восстановлении и оставшиеся вопросы. Уточните, какие доказательства подтверждают выводы и какие задачи цифровой криминалистики входят в услугу.
Сигналы риска и рекомендации
Согласуйте, кому и по какому каналу передаются сведения о подозрительной активности, включены ли контекст и первичный анализ и кто принимает решение о реагировании.
Практические рекомендации
Укажите, предоставляются ли практические рекомендации по уязвимостям и обнаруженным действиям, как обосновывается приоритет исправлений и кто внедряет изменения.
Взаимодействие с внутренней командой
Внешняя команда поиска должна взаимодействовать с внутренним SOC, ИТ и ответственными за реагирование по согласованным каналам. Заранее согласуйте порядок передачи данных, сохранения доказательств, уведомления о риске и получения разрешений на действия, требования конфиденциальности и ответственного за эскалацию. Это помогает своевременно передавать результаты расследования тем, кто принимает меры.
Согласуйте охват и доступ
Перечислите активы, учётные записи и типы данных, согласуйте требования к защите и сроки хранения. Утвердите способы доступа внешней команды и порядок записи её действий в журналы.
Определите порядок уведомлений и полномочия
Определите контакт для критических сигналов, срок эскалации и лицо, которое разрешает изоляцию, блокировку учётной записи или изменение системы.
Обсудите отчёты и выводы
Согласуйте формат отчётов, руководителей и технических получателей, ссылки на доказательства, контроль оставшихся действий и участие внутренней команды в передаче знаний.
Что закрепить в соглашении об услуге
До начала работ письменно закрепите охваченные сети и устройства, часы мониторинга, хранение телеметрии, источники разведданных, отчёты, контакты и эскалацию, полномочия на реагирование, объём цифрового криминалистического расследования, согласованные показатели обслуживания и стоимость. Также определите конфиденциальность, местонахождение данных и их удаление или возврат после окончания договора.
Частые вопросы
Что ищут при проактивном поиске угроз?
Аналитики ищут подозрительную активность в телеметрии сети, конечных устройств и облака, которая могла обойти автоматическую защиту.
Каков результат поиска угроз?
Результат может включать подтверждённые находки, анализ причины, согласованные действия реагирования и рекомендации по усилению защиты.
Услуга постоянная или проводится в рамках проекта?
Продолжительность, охват и результаты поиска определяются задачами конкретного проекта.