Подключение к Центру мониторинга информационной безопасности SOC

SOC (Security Operations Center) — Центр мониторинга информационной безопасности, который обеспечивает постоянный контроль событий ИБ, выявление подозрительной активности, обнаружение компьютерных инцидентов и реагирование на угрозы.

Подключение к SOC позволяет организовать мониторинг информационной инфраструктуры без необходимости самостоятельно создавать и содержать собственный центр мониторинга.

Что такое SOC

SOC — это специализированный центр мониторинга информационной безопасности, специалисты которого контролируют события ИБ, анализируют подозрительную активность и участвуют в реагировании на инциденты.

В работе SOC могут участвовать аналитики информационной безопасности, специалисты по реагированию на инциденты, эксперты по расследованию и инженеры SIEM и средств защиты информации.

Что контролирует SOC

В зависимости от инфраструктуры организации к мониторингу могут подключаться:

• серверы и рабочие станции;
• Active Directory;
• сетевое оборудование;
• межсетевые экраны;
• почтовые серверы;
• антивирусные системы;
• EDR;
• IDS/IPS;
• WAF;
• VPN-серверы;
• Proxy-серверы;
• веб-сайты;
• другие источники событий информационной безопасности.

Какие угрозы выявляет SOC

Несанкционированный доступ

Выявление подозрительных попыток входа, подбора учетных данных и других признаков несанкционированного доступа.

Вредоносная активность

Анализ событий, связанных с вирусами, троянами, шифровальщиками и другими видами подозрительной активности.

Подозрительные действия пользователей

Выявление нетипичного поведения пользователей и действий, которые могут указывать на компрометацию учетной записи или нарушение установленных правил.

Попытки утечки данных

Контроль событий, которые могут свидетельствовать о попытках передачи конфиденциальной информации за пределы защищаемой инфраструктуры.

Атаки на ИТ-инфраструктуру

Мониторинг событий на серверах, рабочих станциях, сетевых устройствах и других компонентах информационной инфраструктуры.

Как работает услуга SOC

1. Подключение инфраструктуры

На первом этапе специалисты определяют источники событий информационной безопасности и организуют их передачу в систему мониторинга.

• определение источников событий ИБ;
• сбор информации о подключаемой инфраструктуре;
• настройка защищенного канала связи;
• подключение источников событий к SIEM;
• настройка SIEM;
• настройка правил детектирования инцидентов;
• определение порядка взаимодействия сторон;
• проведение приемо-сдаточных испытаний.

2. Постоянный мониторинг

После подключения специалисты SOC анализируют события информационной безопасности и выявляют признаки подозрительной активности.

В зависимости от выбранного варианта обслуживания может использоваться режим 8×5 или 24×7.

3. Реагирование на инциденты

При выявлении инцидента специалисты проводят анализ события и выполняют предусмотренные услугой действия по локализации, нейтрализации и минимизации последствий.

Возможен гибридный формат реагирования, при котором специалисты SOC работают совместно с сотрудниками заказчика, либо управляемое реагирование, выполняемое специалистами Центра мониторинга.

4. Отчетность

По результатам мониторинга заказчик получает регулярную отчетность по событиям и инцидентам информационной безопасности.

• статистика событий ИБ;
• динамика событий за отчетный период;
• перечень подозрений на инциденты;
• перечень подтвержденных инцидентов;
• анализ правил корреляции;
• описание новых правил детектирования;
• результаты мониторинга;
• рекомендации по усилению защиты.

Варианты подключения к SOC

Пилотный проект

Краткосрочное подключение для демонстрации возможностей SOC и оценки эффективности мониторинга на реальной инфраструктуре организации.

Полноценное подключение

Постоянный мониторинг событий информационной безопасности с реагированием, регулярной отчетностью, технической поддержкой и актуализацией правил детектирования.

Облачный и гибридный SOC

В зависимости от архитектуры организации мониторинг может быть организован в различных форматах.

• Облачный SOC (CSOC) — источники событий подключаются к SIEM-инфраструктуре Центра мониторинга.
• Гибридный SOC (HSOC) — SIEM размещается в инфраструктуре заказчика.
• MDR — мониторинг и управляемое реагирование с использованием дополнительных средств защиты, включая EDR.
• Гибридный MDR (HMDR) — управляемое реагирование при размещении SIEM в инфраструктуре заказчика.

Дополнительные услуги SOC

При необходимости состав услуги может быть расширен дополнительными модулями:

• Compromise Assessment — проактивный поиск признаков компрометации;
• Threat Hunting — поиск скрытой вредоносной активности;
• адаптация правил корреляции под инфраструктуру заказчика;
• целевая корреляция событий по запросу заказчика;
• тестирование на проникновение;
• сканирование уязвимостей;
• расследование инцидентов информационной безопасности.

Расследование инцидентов ИБ

При необходимости специалисты могут провести отдельное расследование инцидента информационной безопасности.

Работы могут включать сбор информации об инциденте и ИТ-инфраструктуре, определение задействованных устройств, анализ собранных данных, анализ вредоносного программного обеспечения и подготовку итогового отчета.

Кому подходит услуга SOC

• компаниям с распределенной ИТ-инфраструктурой;
• организациям с большим количеством серверов и рабочих станций;
• компаниям, которым необходим мониторинг ИБ 24/7;
• организациям, не имеющим собственного SOC;
• компаниям, которым требуется централизованный анализ событий ИБ;
• организациям, которым необходимо усилить контроль киберугроз;
• компаниям, которым необходима регулярная отчетность по событиям и инцидентам.

Что получает заказчик

• централизованный мониторинг событий информационной безопасности;
• выявление подозрительной активности;
• анализ и классификацию инцидентов;
• реагирование на инциденты в соответствии с выбранным форматом услуги;
• актуализацию правил детектирования;
• регулярную отчетность;
• рекомендации по усилению защиты инфраструктуры;
• возможность подключения дополнительных сервисов информационной безопасности.

От чего зависит стоимость SOC

Стоимость услуги рассчитывается индивидуально с учетом особенностей инфраструктуры и необходимого состава работ.

На стоимость влияют:

• количество и типы источников событий ИБ;
• количество серверов и рабочих станций;
• состав сетевого оборудования;
• используемые средства защиты информации;
• режим мониторинга 8×5 или 24×7;
• формат реагирования;
• необходимость расследования инцидентов;
• Threat Hunting;
• Threat Intelligence;
• Compromise Assessment;
• сканирование уязвимостей;
• другие дополнительные услуги.

Часто задаваемые вопросы

Что такое SOC простыми словами?

SOC — это центр мониторинга информационной безопасности, специалисты которого постоянно контролируют события ИБ, выявляют подозрительную активность и участвуют в реагировании на инциденты.

Нужно ли иметь собственную SIEM?

Нет. В зависимости от выбранного формата источники событий могут подключаться к SIEM Центра мониторинга либо к SIEM, размещенной в инфраструктуре заказчика.

Можно ли подключить только часть инфраструктуры?

Да. Перечень источников событий определяется инфраструктурой организации и выбранным составом услуги.

Можно ли начать с пилотного проекта?

Да. Пилотное подключение позволяет оценить возможности мониторинга на реальной инфраструктуре организации.

Есть ли мониторинг 24/7?

Да. Доступен круглосуточный режим мониторинга информационной безопасности 24×7.