Главная мысль
Результат зависит не только от инструментов: заранее определите, кто расследует сигнал, принимает решение о риске и восстанавливает систему.
Что объединяет SecOps?
SecOps связывает безопасность и IT-операции вокруг ежедневных изменений, рисков и инцидентов. Команда разработки может планировать проверки безопасности и исправления до выпуска, IT — выполнять действия с учётными записями, сетью и устройствами, а аналитики — вести мониторинг и расследования. Цель — согласовывать решения безопасности с владельцами изменений и сервисов.
Разные роли SOC, TDR и SecOps
SOC — центр операций безопасности: команда или служба, которая ведёт мониторинг, первичную оценку оповещений и расследование инцидентов. Она может работать внутри организации, удалённо или совместно с поставщиком услуг. TDR — общий термин для обнаружения угроз, анализа и реагирования; конкретные возможности зависят от продукта и практики организации. SecOps объединяет специалистов по безопасности, IT-эксплуатации и разработке. SIEM, EDR, XDR и SOAR помогают им в работе, но распределение полномочий и ответственности нужно согласовать отдельно.
| Понятие | Что означает? | Вопрос |
|---|---|---|
| SecOps | Взаимодействие команд безопасности и IT-эксплуатации | Как команды работают над изменениями, уязвимостями и инцидентами? |
| SOC | Команда или служба мониторинга и реагирования на инциденты | Кто расследует оповещение и кому его передаёт? |
| TDR | Деятельность и возможности обнаружения, анализа и реагирования | Как обнаружить угрозу и ограничить её? |
Рабочий процесс и решения по инциденту
Расследование может начаться с оповещения SIEM или EDR, но сначала нужно установить, произошло ли нарушение безопасности. При передаче работы определите, кто продолжит расследование, какое решение требуется и где будет записан результат.
Обнаружить и добавить контекст
Проверьте источник, время, пользователя, устройство и возможное влияние; объедините события, относящиеся к одной активности.
Исследовать и определить приоритет
Аналитик оценивает достоверность сигнала и влияние на актив, сохраняет доказательства и отличает подозрение от подтверждённого инцидента.
Согласовать реагирование
Обсудите влияние изоляции, отзыва доступа, блокировки трафика и других мер с владельцем системы. Заранее определите, кто вправе одобрять эти действия, что можно автоматизировать и какие решения и действия нужно записывать в журнал.
Восстановить работу и извлечь уроки
Назначьте ответственного за восстановление, определите критерии его завершения и организуйте последующий мониторинг; обновите правила и процедуры по итогам расследования.
Передача работы между командой и поставщиком
Расследование поставщика не заменяет знание внутренней команды о бизнесе и системах. Заранее определите контакты для срочной связи, действия с обязательным согласованием, ответственного за сохранность материалов расследования и порядок привлечения юристов и специалистов по конфиденциальности. Назначьте ответственных за восстановление и итоговый отчёт. Проверьте охват услуги и передачу работы между сменами на учебном инциденте.
Ответственный за безопасность в организации
Подтверждает приоритет, связывает выводы поставщика с бизнес-риском и назначает ответственных за дальнейшие действия.
IT и владелец сервиса
Оценивает влияние изоляции и изменения конфигурации на сервис, выполняет исправление и восстановление.
Юристы, специалисты по конфиденциальности и руководство
Участвуют в решениях об утечке данных, уведомлении клиентов, данных работников и непрерывности бизнеса в пределах заранее согласованных полномочий.
Управление и постоянное улучшение
Оценивайте SecOps не по числу инструментов. Отслеживайте нерешённые критические проблемы, время от оповещения до решения и реагирования, повторные инциденты, успешность эскалации, полноту доказательств и проверку восстановления. Определите источник и периодичность показателей; разбирайте результаты поставщика вместе с внутренней командой и ответственными за бизнес-процессы.
Частые вопросы
Краткие ответы о терминах SecOps, SOC и TDR.
SOC и SecOps — одно и то же?
Нет. SOC — команда или служба мониторинга и реагирования на инциденты; SecOps — организация совместной работы специалистов по безопасности, IT-эксплуатации и разработке.
Может ли небольшая компания привлечь внешний SOC?
Да. Проверьте в договоре часы работы службы, источники данных, объём расследований и разрешённые действия, а также решения, которые остаются за компанией.
TDR — это программный продукт?
TDR обычно является широким термином для работы по обнаружению и реагированию. Сравнивайте функции продукта и услуги отдельно.