Три начини за водење безбедносни операции
Центарот за безбедносни операции (SOC) е функција, а не просторија: луѓето, процесите и алатките што ги следат вашите системи, одлучуваат кои предупредувања се вистински напади и го координираат одговорот. Вистинското прашање е кој ја води.
Давателите ги користат овие називи прилично слободно, затоа споредувајте што е вклучено, а не како се вика услугата во понудата. Грубо, моделите се разликуваат вака:
| Модел | Кој го води | Што обично следи | Кој реагира на потврден напад |
|---|---|---|---|
| Сопствен SOC | Вашите аналитичари, на алатки што ги купувате и одржувате | Сè што ќе одлучите да поврзете | Вашиот тим |
| MDR | Давател, често околу сопствена платформа за крајни точки или XDR | Главно крајни точки, сè почесто и облак и идентитети | Давателот, во договорени граници |
| Управуван SOC | Давател, со вашите постојни алатки и логови | Логови и телеметрија од крајни точки, сервери, облак, мрежа и идентитети | Давателот, во договорени граници |
| Ко-управуван SOC | Вашиот тим и давател заедно | Договорена поделба, често давателот ги покрива ноќите и викендите | Заедно, според договорен план |
Што бара покривање 24/7 во сопствена режија
Неделата има 168 часа. Аналитичар со полно работно време работи околу 40 од нив, па за едно место покриено деноноќно потребни се 4,2 луѓе, пред некој да земе годишен одмор, државен празник, боледување или обука. Кога ќе се пресметаат и тие, реалната бројка е поблиску до пет луѓе по место.
Едно место ретко е доволно. На SOC што функционира му треба и искусен човек до кого се ескалира во 3 часот наутро, некој што пишува и подесува правила за детекција и некој што ја одржува платформата за логови. Додајте ги алатките, изворите на разузнавачки податоци за закани и времето потребно за вработување и обука на аналитичари, и сопствениот SOC станува долгорочна програма, а не набавка.
Затоа сопствен SOC обично им одговара на големи организации со зрел безбедносен тим, постојан тек на предупредувања и причина сè да остане внатре. За многу средни организации давателот е побрзиот пат до покривање 24/7, а сопствените луѓе остануваат на работата што бара познавање на бизнисот.
Каде се разликуваат MDR и управуван SOC
Двата модела се надворешни, двата работат деноноќно и двата ветуваат детекција и одговор. Разликите се во деталите:
- Опфат на податоците. MDR често се потпира на агентот за крајни точки на давателот. Управуваниот SOC обично собира и логови од сервери, firewall-и, облак-платформи и системи за идентитет, што е важно кога нападот почнува со украдена лозинка, а не со злонамерен софтвер. Некои MDR услуги денес собираат ист опсег на логови, затоа споредувајте ги списоците на извори на податоци, а не називите.
- Вашите постојни алатки. Некои MDR услуги бараат да преминете на платформата на давателот, а други работат со алатките што ги имате. Управуваниот SOC обично работи со она што веќе го имате и ви кажува каде има празнини.
- Овластување за одговор. Прашајте точно што смее давателот да направи сам, на пример да изолира лаптоп или да оневозможи сметка, а за што е потребно ваше одобрение. Брзото автоматско дејство ја ограничува штетата, но неодобрено блокирање може да запре и продукциски систем.
- Докази. За регулираните организации записот за случајот е важен колку и самата детекција: хронологијата на тоа што е забележано, одлучено и направено е она што го бараат регулаторите и ревизорите.
Што очекуваат NIS2 и DORA кога користите надворешен давател
Кога SOC го доверувате на друг, одговорноста останува кај вас. Според Директивата NIS2, органот на управување на суштински или важен субјект ги одобрува мерките за управување со сајбер ризици, го надгледува нивното спроведување и може да одговара за прекршувањата на тие обврски од страна на субјектот (член 20). Справувањето со инциденти и безбедноста на синџирот на снабдување се меѓу задолжителните мерки (член 21), па вашиот давател на SOC е дел од синџирот на снабдување што мора да го процените.
DORA оди подалеку за финансиските субјекти. Тие остануваат целосно одговорни за усогласеноста кога користат ИКТ-давател од трета страна (член 28), а договорот мора, меѓу другото, да наведе каде се обработуваат податоците, нивоата на услуга, помошта при ИКТ-инциденти и што се случува со вашите податоци по раскинувањето на договорот (член 30).
Роковите за пријавување се кратки во двата режими. Раното предупредување според NIS2 се поднесува во рок од 24 часа откако ќе дознаете за значаен инцидент, а првичното известување според DORA во рок од четири часа откако инцидентот ќе се класифицира како голем, а најдоцна 24 часа откако ќе дознаете за него (или во рок од четири часа од подоцнежна класификација). Кој и да го води вашиот SOC, мора да може да ви ги даде фактите многу пред тие рокови.
Прашања за секој давател на SOC
- Кои извори на податоци ќе ги следите и што нема да гледате?
- Каде се чуваат и обработуваат нашите логови и податоците за случаите и кој има пристап до нив?
- Кои дејства можат вашите аналитичари да ги преземат без да нè прашаат и како секое од нив се евидентира и враќа?
- Како и на кој јазик ескалирате и колку брзо ноќе и за викенд?
- Колку трае вклучувањето и кога детекциите се подесуваат на нашата околина?
- Што содржат записите за случаите и дали одговараат на нашите обврски за пријавување според NIS2, DORA или GDPR?
- Ако заминеме, што се случува со нашите податоци и дали ги задржуваме правилата за детекција изработени за нас?
Како нашиот управуван SOC пристапува кон нив
Нашиот SOC во Скопје е достапен за организации во Македонија и низ Европа, Блискиот Исток и Африка. Работи со вашите постојни извори на логови и алатки, користи AI за да ја подготви првата анализа на секое предупредување, а секое дејство за задржување го одобрува аналитичар, со документирано враќање каде што мерката го дозволува. Секој клиент има изолирана околина, ескалацијата е на македонски или англиски, а вклучувањето обично трае од две до четири недели. Прашајте нè за локацијата на податоците, времето на реакција ноќе и условите при заминување уште при дефинирањето на опфатот, за да бидат запишани во договорот.
Како помагаме
Управуван SOC 24/7: Мониторинг, детекција и одговор деноноќно, со тријажа поддржана од AI и аналитичари кои ја донесуваат конечната одлука.