Центр мониторинга безопасности (SOC)

Что это значит

Центр мониторинга безопасности, по-английски security operations centre или SOC, - команда людей, процессов и инструментов, которая непрерывно наблюдает за безопасностью информационных систем организации. Он отслеживает события, оценивает оповещения, отличает ложные тревоги от реальных атак и при инциденте координирует реагирование.

SOC работает прежде всего с данными системы SIEM, собирающей записи со всей инфраструктуры, и инструментов EDR на конечных устройствах. Аналитики обычно разделены на уровни: первый сортирует оповещения, второй подробно исследует подозрительные случаи, третий решает сложные инциденты и активно ищет скрытые угрозы.

SOC может быть внутренним, когда фирма строит его сама, или внешним, предоставляемым как услуга. Есть и гибридные модели, когда внутренняя команда решает обычные вопросы, а внешний партнёр обеспечивает круглосуточную работу и специализированные знания. Выбор зависит от размера фирмы, рисков и регуляторных требований.

Как это работает на практике

Собственный круглосуточный SOC требует нескольких аналитиков по сменам, инструментов и их обслуживания, что для большинства малых и средних фирм финансово нереально. Поэтому его покупают как услугу. Фирма платит ежемесячно в зависимости от числа устройств или объёма данных и получает мониторинг 24/7 и помощь при инцидентах.

При выборе поставщика рекомендуем проверить, какие источники данных он может отслеживать, за какое время реагирует на критические оповещения, вмешивается ли активно, например изолируя заражённое устройство, и как коммуницирует. Важно также соответствие ISO 27001 и опыт с требованиями NIS2 к сообщению об инцидентах.

Договор нужно дополнить внутренними порядками реагирования на инцидент: кто в фирме принимает оповещения, кто решает об отключении систем, кто общается с клиентами и ведомствами. Даже лучший внешний SOC бессилен, если ночью в фирме никого не застать. Услуга SOC может также улучшить условия киберстрахования.

На что обратить внимание

Осторожно с услугами, которые называются SOC, а на деле лишь пересылают автоматические оповещения без оценки человеком. Фирма тогда получает сотни писем, которые никто не читает. В договоре должно быть чётко указано, что делают аналитики, в какие сроки и какие результаты получает фирма.

SOC наблюдает, но сам по себе систему не защищает. Если фирма не обновляет программы, не делает резервных копий или использует слабые пароли, SOC, возможно, обнаружит атаку, но не предотвратит её. Мониторинг имеет смысл как часть общей программы кибербезопасности, а не как её замена.