Центр моніторингу безпеки (SOC)

Що це означає

Центр моніторингу безпеки, англійською security operations centre або SOC, - команда людей, процесів та інструментів, яка безперервно наглядає за безпекою інформаційних систем організації. Він відстежує події, оцінює сповіщення, відрізняє хибні тривоги від реальних атак і під час інциденту координує реагування.

SOC працює передусім з даними системи SIEM, що збирає записи з усієї інфраструктури, та інструментів EDR на кінцевих пристроях. Аналітики зазвичай поділені на рівні: перший сортує сповіщення, другий докладно досліджує підозрілі випадки, третій розв'язує складні інциденти й активно шукає приховані загрози.

SOC може бути внутрішнім, коли фірма будує його сама, або зовнішнім, що надається як послуга. Є й гібридні моделі, коли внутрішня команда вирішує звичайні питання, а зовнішній партнер забезпечує цілодобову роботу й спеціалізовані знання. Вибір залежить від розміру фірми, ризиків і регуляторних вимог.

Як це працює на практиці

Власний цілодобовий SOC потребує кількох аналітиків за змінами, інструментів і їх обслуговування, що для більшості малих і середніх фірм фінансово нереально. Тому його купують як послугу. Фірма платить щомісяця залежно від кількості пристроїв чи обсягу даних і отримує моніторинг 24/7 та допомогу під час інцидентів.

Обираючи постачальника, радимо перевірити, які джерела даних він може відстежувати, за який час реагує на критичні сповіщення, чи втручається активно, наприклад ізолюючи заражений пристрій, і як комунікує. Важливі також відповідність ISO 27001 і досвід із вимогами NIS2 щодо повідомлення про інциденти.

Договір треба доповнити внутрішніми порядками реагування на інцидент: хто у фірмі приймає сповіщення, хто вирішує про вимкнення систем, хто спілкується з клієнтами й органами. Навіть найкращий зовнішній SOC безсилий, якщо вночі у фірмі нікого не застати. Послуга SOC може також поліпшити умови кіберстрахування.

На що звернути увагу

Обережно з послугами, що називаються SOC, а насправді лише пересилають автоматичні сповіщення без оцінки людиною. Фірма тоді отримує сотні листів, які ніхто не читає. У договорі має бути чітко зазначено, що роблять аналітики, у які строки й які результати отримує фірма.

SOC наглядає, але сам собою системи не захищає. Якщо фірма не оновлює програм, не робить резервних копій чи використовує слабкі паролі, SOC, можливо, виявить атаку, але не запобіжить їй. Моніторинг має сенс як частина загальної програми кібербезпеки, а не як її заміна.