Центр кибербезопасности (SOC)

SOC (Security Operations Center, центр мониторинга и реагирования на инциденты информационной безопасности) - структурное подразделение организации, отвечающее за оперативный мониторинг IT-среды и предотвращение киберинцидентов. Специалисты SOC собирают и анализируют данные с различных объектов инфраструктуры организации и при обнаружении подозрительной активности принимают меры для предотвращения атаки. SIEM (Security Information and Event Management, управление событиями и информационной безопасностью) – решение для обнаружения, анализа и устранения угроз безопасности. SIEM собирает и упорядочивает данные из различных источников, анализирует их и удаляет нерелевантную информацию. SIEM является неотъемлемой частью SOC. С помощью SIEM специалисты SOC получают информацию, необходимую для детектирования и управления событиями, связанными с информационной безопасностью.

Основные функции SOC:
▪️ Постоянный мониторинг ИТ-инфраструктуры, сбор и обработка данных в реальном времени. Специалисты SOC собирают информацию в режиме 24/7/365 со всех систем (конечные точки сети, сетевые устройства и т.д.) для максимально оперативного обнаружения возможных атак. Для этого используются SIEM-решения.
▪️ Анализ и оценка событий. Операторы SOC собирают и анализируют данные на степень опасности и характер угрозы. Реагирования на инциденты и восстановление. При обнаружении инцидента принимаются меры по его устранению, а также по устранению возможных последствий от атаки, например, если были повреждены какие-то системы.
▪️ Расследование. Процесс состоит из поиска причин инцидента и выявления слабых мест в ИТ-инфраструктуре. Это необходимо делать для того, чтобы предотвратить подобные случаи в будущем. Обеспечение работоспособности инструментов SOC. Включает в себя поддержку работы граничных систем сетевой безопасности и инфраструктуры SOC, создание собственных правил и сигнатур, а также подбор и внедрение решений, использующихся в работе SOC.

Стоимость SOC зависит от:
▪️ Лицензии SIEM. Стоимость лицензии SIEM определяется количеством поступающих событий в секунду (EPS);
▪️ Масштаба инфраструктуры. Чем масштабнее и разнообразнее инфраструктура организации, в рамках которой требуется выявлять инциденты безопасности, тем выше стоимость лицензии SIEM и объем выполняемых работ;
▪️ Объема работ по внедрению SOC. Зависит от масштаба инфраструктуры, желаемого функционала SOC и количества подключаемых источников;
▪️ Размера команды SOC и объема технической поддержки.

Для того, чтобы иметь представление об итоговой стоимости SOC нужно:
▪️ Обозначить желаемый функционал SOC;
▪️ Определиться с моделью построения SOC;
▪️ Определиться с нужным составом команды SOC и их квалификациями;
▪️ Определиться с используемыми техническими решениями.