Главная мысль
SOC оценивает сигналы безопасности, расставляет приоритеты по риску, координирует реагирование и извлекает уроки из инцидентов. В рабочей модели должны быть ясны охват, полномочия при эскалации, часы мониторинга и получатели отчётов.
Что такое SOC?
SOC — это операционная функция, которая централизует работу по защите систем, данных и цифровых активов организации. Работа опирается на людей, процессы и технологии: аналитики наблюдают за телеметрией, расследуют события, применяют правила реагирования и используют результаты для улучшения защиты. SOC может быть внутренней командой, управляемой услугой или гибридной моделью. К модели относятся источники в охвате, часы работы, полномочия реагирования и порядок отчётности организации.
Шесть основных функций SOC
Эти функции охватывают путь от мониторинга до восстановления и последующего улучшения. В зависимости от размера организации и модели обслуживания исполнители каждой функции могут различаться.
Непрерывный мониторинг угроз
События из согласованных источников — сети, конечных устройств, серверов и других систем — собирают и проверяют на признаки подозрительной активности. Источники и фактические часы мониторинга должны быть указаны в модели обслуживания.
Проактивное обнаружение угроз
Данные об угрозах, индикаторы и наблюдаемые закономерности помогают выявлять возможные признаки атаки; сигналы нужно проверять с учётом контекста.
Реагирование на инциденты и снижение воздействия
По заранее установленной процедуре расследуют угрозу, изолируют затронутую область, ограничивают ущерб и координируют восстановление сервисов.
Управление уязвимостями
Оценка и санкционированное тестирование на проникновение могут выявить слабые места систем, приложений и сетей. Исправления расставляются по приоритету с учётом риска и процесса управления изменениями.
Повышение осведомлённости и соответствие требованиям
Команда может участвовать в повышении осведомлённости, отслеживать показатели соответствия и помогать готовить отчёты для аудита. Эта работа не заменяет общие обязанности организации по контролю и соответствию требованиям.
Анализ после инцидента
Анализируют причину инцидента, использованные уязвимости, затронутые системы и результат реагирования. Выводы используют для улучшения процедур и защиты.
Зачем организациям SOC?
SOC связывает бизнес-цели с работой по безопасности: наблюдением за событиями, координацией расследований, подготовкой аудиторских материалов и поддержкой восстановления сервисов.
Мониторинг и дежурство вне рабочего дня
Угрозы могут возникнуть вне рабочего графика организации. Укажите в соглашении об услуге смены мониторинга, порядок дежурства по вызову и сроки эскалации.
Координация обнаружения и реагирования
Приоритизация оповещений, расследование и эскалация определяют, кто и как быстро получит информацию о событии.
Управление затратами на инциденты
Своевременное расследование и координация могут ограничить последствия инцидента. Сопоставляйте затраты на создание или обслуживание SOC с измеряемыми операционными результатами.
Аудит и отчётность по требованиям
Записи мониторинга, отчёты об инцидентах и документы о выполненных защитных мерах помогают при аудите. Состав нужных материалов зависит от применимых требований.
Доступ к экспертизе и инструментам
Сравните внутреннюю команду, внешнюю услугу и гибридную модель с учётом доступных специалистов и ресурсов. Если собственную команду сложно создать и удержать, внешняя услуга или гибридная модель могут дополнить недостающие знания и инструменты. Заранее согласуйте границы обслуживания и ответственность.
Устойчивость бизнеса
Организованное реагирование, связанное с планами восстановления сервисов, может помочь сократить сбои.
Задачи аналитиков SOC
Аналитики не ограничиваются просмотром оповещений. Они оценивают сигналы, координируют реагирование, расследуют события и доводят выводы до технических специалистов и руководителей.
Наблюдать за сетью и системами
Изучать данные таких источников, как SIEM и средства защиты конечных устройств, чтобы обнаруживать аномалии в сети, на серверах и устройствах.
Оценивать угрозы и расставлять приоритеты
Оценивать серьёзность сигнала, возможное воздействие и срочность, определяя порядок расследования и эскалации.
Координировать реагирование и снижение воздействия
По процедуре координировать с владельцами систем изоляцию затронутых систем, исправления и другие защитные меры.
Проводить криминалистическое расследование
Установить, как произошёл инцидент, какая уязвимость была использована и какие системы или данные затронуты, а затем задокументировать выводы.
Проактивно искать угрозы
Использовать данные об угрозах и аналитику для поиска потенциально вредоносной активности, которая не вызвала обычного оповещения.
Давать рекомендации по безопасности
На основе мониторинга и анализа рекомендовать улучшения политик, защитных мер и инструментов.
Поддерживать отчётность по соответствию
Отслеживать требуемые показатели, готовить материалы для аудита и хранить записи с учётом обязанностей организации по соответствию.
Рабочий цикл инцидента
Конкретные этапы зависят от процедуры организации и типа инцидента. Эта последовательность помогает определить передачу дежурства, ответственность и фиксацию результатов.
Наблюдайте и фиксируйте
Собирайте события из источников в охвате; фиксируйте время, затронутые активы и источник сигнала.
Проверьте и расставьте приоритеты
Проверьте контекст и связанную активность, отделите ложные сигналы и выберите уровень реагирования по риску.
Запустите эскалацию
Уведомите назначенного ответственного за реагирование и нужных специалистов по системам, праву, конфиденциальности и бизнесу.
Ограничьте воздействие и скоординируйте восстановление
Совместно с уполномоченными сторонами защитите затронутые системы, скоординируйте восстановление и отслеживайте состояние сервиса.
Задокументируйте результат и улучшите процесс
Зафиксируйте причину, воздействие, решения и оставшиеся действия; пересмотрите процедуры, защитные меры и потребности в обучении.
Операционные вопросы при выборе модели SOC
Само название SOC не показывает, что входит в услугу. При выборе модели согласуйте источники данных, часы мониторинга, передачу смены, пороги эскалации, полномочия на ответные меры, глубину криминалистического расследования, адресатов отчётов и улучшения после инцидента. Для управляемой услуги эти вопросы следует закрепить в письменном соглашении об охвате, обязанностях и времени реагирования.