Security Operation Center (SOC) нового покоління: будувати чи купувати?

Кожна компанія рано чи пізно опиняється на такому етапі розвитку, що з'являється необхідність мати центр безпеки, in-house чи на аутсорсі - про це поговоримо далі. Побудова власного SOC є досить дороговартісним та тривалим процесом, має свої підводні камені та певні правила і процеси. Тож, в цій статті ми хочемо детально розібрати тему створення SOC (Security Operations Center) та який вид краще обрати.

Почнемо з основ SOC

Security Operation Center (SOC) виступає серцем кібербезпеки кожної організації. Операційний центр безпеки (SOC) – це центр, де поєднуються технології та люди - висококваліфіковані фахівці з кібербезпеки, що здійснюють моніторинг в режимі реального часу та розслідують інциденти. Вони мають завдання ідентифікувати, розслідувати та ефективно реагувати на кіберзагрози, використовуючи поєднання людських ресурсів, встановлених процедур і передових технологій.

У більшості випадків, SOC ґрунтується на інтеграції технологічних інструментів, процесів та кваліфікованих фахівців для ефективного збору, обробки та розслідування інцидентів безпеки. Розглянемо основні складові центру безпеки, які є фундаментом SOC та забезпечують його безперервне функціонування:

Людські ресурси. Від аналітиків до менеджерів з реагування на інциденти, у сфері безпеки працюють висококваліфіковані професіонали. Головною їх метою є оцінка подій для оперативного реагування на потенційні проблеми.

Процеси. Процеси SOC розроблені для моніторингу та адміністрування безпеки інформаційних систем. Вони спрямовані на забезпечення постійного моніторингу інформаційної безпеки, виявлення та вирішення інцидентів безпеки, а також постійне вдосконалення SOC на основі оцінки процесів, аналізу еволюції загроз та врахування нормативних змін.

Технології. Усі інструменти, що використовуються для збору, кореляції, зберігання та звітування про події безпеки, отримали назву "інструменти безпеки". Основними рішенням для SOC є:

SIEM (Security Information and Event Management) – система управління подіями та інформацією безпеки.

Більш детально розповідаємо про важливість SIEM систем для SOC в нашій статті: Сучасний SOC: чому SIEM-системи є необхідними?

EDR (Endpoint Detection and Response) - це рішення безпеки кінцевих точок, з можливістю виявлення загроз, автоматичного реагування на них та аналізу на основі правил.

NDR (Network Detection and response) - рішення для виявлення та реагування на мережу, щоб виявляти підозрілу мережеву активність.

Honeypot - інструмент, який є приманкою для хакерів для збору інформації про зловмисників, їх тактику та методи.

Vulnerability Assessment (оцінка вразливості) — це систематична перевірка системи на наявність слабких місць безпеки, недоліків та вразливостей та призначення їм ступеня небезпечності.

Організаційна структура SOC

Штат безпеки та організаційна структура SOC зазвичай складається з менеджера безпеки, аналітиків безпеки, спеціалістів з реагування на інциденти, інженерів/архітекторів безпеки та мисливців за загрозами. Підпорядковується SOC зазвичай CISO, а той в свою чергу CIO чи напряму CEO компанії. CISO може бути як в штаті компанії або при його відсутності або для підсилення існуючої команди з кібербезпеки - на аутсорсі, так званий Віртуальний CISO (Virtual CISO, vCISO).

Менеджер SOC: керує командою, відповідає за управління повсякденними операціями SOC, контролює всі операції з безпеки та звітує перед CISO організації (головним спеціалістом з інформаційної безпеки).

Аналітики безпеки (SOC аналітики): також їх називають дослідниками безпеки або спеціалістами з реагування на інциденти – які, по суті, першими реагують на загрози або інциденти кібербезпеці. Аналітики виявляють, досліджують і сортують (визначають пріоритети) загрози; потім вони ідентифікують постраждалі хости, кінцеві точки та користувачів і вживають відповідних заходів для пом’якшення та стримування впливу, загрози чи інциденту. (У деяких організаціях слідчі та спеціалісти з реагування на інциденти є окремими ролями, класифікованими як аналітики рівня 1 та рівня 2 відповідно.)

Мисливці за загрозами (Threat hunters): спеціалізуються на виявленні та стримуванні розширених загроз – нових загроз або варіантів загроз, яким вдається прослизнути повз автоматичний захист.

Інженер/архітектор з безпеки: створюють і керують архітектурою безпеки організації. Це включає в себе оцінку, тестування, рекомендації, впровадження та підтримку засобів і технологій безпеки, таких як міжмережеві екрани, системи виявлення вторгнень і антивірусне програмне забезпечення. Інженери з безпеки також співпрацюють із командами розробників або DevOps/DevSecOps, щоб переконатися, що архітектура безпеки організації включає цикли розробки програм.

Команда SOC може включати і інших спеціалістів, залежно від розміру організації чи галузі. Більші компанії можуть мати директора з реагування на інциденти, відповідального за комунікацію та координацію реагування на інциденти. А деякі SOC включають судових слідчих (Forensic Investigators), які вивчають та аналізують структуру загрози, компоненти, джерело, мету та ступінь проникнення та впливу на бізнес-системи. Також, в команді SOC може бути аудитор відповідності (Compliance Auditor), який допомагає стандартизувати процеси та контролює дотримання протоколів.

SOC In-house чи на аутсорсі?

Вибір між внутрішнім (In-house) та зовнішнім (SOC as a Service) Security Operations Center (SOC) залежить від конкретних потреб, ресурсів і стратегічних цілей кожної компанії. Ось кілька факторів, які виділили експерти ESKA, що суттєво можуть вплинути на рішення:

Розмір і склад компанії: Великі корпорації зазвичай мають ресурси для створення та утримання внутрішнього SOC. Для невеликих компаній може бути вигідно отримати SOC як послугу на стороні провайдера, оскільки це дозволяє скористатися послугами висококваліфікованих експертів без значних витрат.

Бюджет: Для створення та утримання власного SOC необхідні значні інвестиції в обладнання, програмне забезпечення та найм персоналу. SOC на аутсорс може бути економічно більш вигідним варіантом, особливо для компаній з обмеженим бюджетом.

Експертиза: Внутрішній SOC надає більший контроль і можливість налаштовувати систему з урахуванням специфічних потреб компанії. З іншого боку, зовнішній SOC може надати доступ до широкого спектру експертизи та досвіду, якого може бракувати у власній команді.

Гнучкість: Аутсорсинг може бути гнучким рішенням, особливо якщо компанія стикається зі змінною потребою в кібербезпеці. З іншого боку, внутрішній SOC може бути більш адаптованим до конкретних вимог і політик компанії.

Відповідність: У деяких галузях (наприклад, фінансовій чи медичній) є обов'язкові вимоги до відповідності. Зовнішній SOC може забезпечити відповідність з правовими та регуляторними вимогами.

Підсумовуючи, важливо провести ретельний аналіз потреб і можливостей компанії, оцінити бюджет та врахувати внутрішні та зовнішні фактори, щоб обрати оптимальний варіант SOC.

Що таке SOC-as-a-Service?

SOC-as-a-Service означає "Security Operations Center as a Service" (Центр операцій з безпеки як послуга). Це концепція, за якою компанії можуть використовувати послуги центру операцій з безпеки (SOC) через хмарні технології чи зовнішніх провайдерів замість будівництва та управління власним SOC.

SOC відповідає за моніторинг, виявлення та реагування на потенційні загрози для безпеки інформації та комп'ютерних систем у реальному часі. SOC-as-a-Service надає компаніям можливість залучити експертів з безпеки провайдера, його потужності, простір та технології, на основі підписки місячної або річної.

Цей підхід може бути особливо корисним для компаній сегменту SMB, які не володіють необхідними ресурсами або бажанням будувати та управляти власним SOC. Замість цього вони можуть звертатися до зовнішніх постачальників, які спеціалізуються на наданні послуг SOC.

Переваги SOC-as-a-Service

З рішенням SOC-as-a-Service ви довіряєте безпеку команді експертів зі сфери кібербезпеки. Компанії можуть отримати користь від керованих послуг SOC різними способами, зокрема:

🛡️ Поліпшення кадрового забезпечення:

Умови сучасного ринку кібербезпеки можуть створювати труднощі у пошуку та наймі кваліфікованого персоналу з безпеки. Постачальник SOC-as-a-Service може ефективно покращити та доповнити існуючу групу безпеки організації, закриваючи вакансії та забезпечуючи неперервний моніторинг.

🛡️ Доступ до досвідчених експертів з кібербезпеки:

Час від часу організаціям потрібні конкретні знання у сфері безпеки, такі як експерти з реагування на інциденти, аналітики зловмисного програмного забезпечення та архітектори хмарної безпеки. Постачальник SOC-as-a-Service може надати доступ до компетентних фахівців з кібербезпеки, що дозволяє зберегти потрібні навички без зусиль найму та тримання в штаті.

🛡️  Економія на утриманні та обслуговуванні:

Розгортання, обслуговування та експлуатація SOC всередині компанії можуть бути витратними. Використання послуги SOC as a Service дозволяє організаціям зекономити на купівлі і впровадженні технологій та рішень, операційних витратах та витратах за персонал і зосередитись на інших важливих для бізнесу питаннях.

🛡️ Підвищена зрілість безпеки:

Процес розробки зрілої програми кібербезпеки та здобуття досвіду може займати багато часу. Партнерство з постачальником SOC-as-a-Service дозволяє компаніям отримати доступ до вже налаштованого стеку рішень та експертів з безпеки, що значно прискорює цей процес.

🛡️ Сучасна безпека:

З обмеженим бюджетом на ІТ та безпеку важко триматися в курсі найновіших інструментів та можливостей SOC. Керований SOC, завдяки своїй масштабованій інфраструктурі, може надати клієнтам доступ до передових засобів безпеки, забезпечуючи ефективний контроль і захист.

SOC: Тренди та прогнози 2024

Ми запитали експертів ESKA і ділимось з вами деякими ключовими трендами та прогнозами на наступний рік, які виділили наші спеціалісти: 

Імплементування штучного інтелекту в SOC: Збільшення випадків використання штучного інтелекту для автоматизації процесів виявлення та реагування на кіберзагрози. ШІ розпізнає аномалії та використовує великі обсяги даних для точного прогнозування та миттєвого реагування. Застосування ШІ значно спрощує роботу спеціалістів SOC, знімає навантаження з них, та дозволяє спрямувати їх увагу та більш важливі задачі.

Розширене виявлення та реагування (XDR, або Extended Detection and Response): цілісний підхід, який об’єднує дані з різних рішень безпеки і забезпечує повну видимість у всьому ІТ-ландшафті, що охоплює мережу, хмару, кінцеві точки та домени безпеки електронної пошти.

XDR спрощує виявлення загроз, дослідження та реагування на них, зменшуючи складність управління декількома інструментами безпеки. Цей комплексний підхід набуде більшої популярності у 2024 році.

Розвиток архітектури нульової довіри Zero Trust: Підхід нульової довіри перетвориться з технічної моделі безпеки мережі на адаптивну та комплексну модель у 2024 році. Очікується, що впровадження моделі безпеки з нульовою довірою збільшиться, коли жодна сутність, внутрішня чи зовнішня, не є надійною за замовчуванням. Ця концепція безперервної автентифікації додає більший рівень безпеки. 

Безпека Хмари та SOC: Міграція інфраструктур в хмару, розвиток нових стратегій безпеки для хмарних інфраструктур, враховуючи їхню унікальну природу, та інтеграція цих стратегій у роботу SOC.

Зростання популярності SOC як послуги (SOC as a Service): Побудувати власний SOC є великим викликом і не кожній компанії під силу. Ринок праці для ІТ-фахівців неймовірно обмежений. Кваліфіковані ІТ-фахівці користуються великим попитом, але їх важко знайти. Також, утримання власного SOC досить витратне і з точки зору обслуговування на придбання рішень та технологій з кібербезпеки. 

Тому, все більше організацій звертають увагу на SOC на стороні провайдера. Керований SOC, який також часто називають SOC як послуга, дозволяє вам використовувати послуги та досвід зовнішніх експертів з кібербезпеки, які відстежують ваше середовище, пристрої, журнали та мережу на наявність загроз. Керований SOC базується на моделі підписки. Ви сплачуєте щомісячну або щорічну плату за виявлення загроз і реагування на них.

Завдяки SOC as a Service ви отримуєте переваги цілодобового моніторингу вашої ІТ-інфраструктури без значних інвестицій у програмне забезпечення безпеки, апаратне забезпечення, експертів із безпеки та навчання.

Загрози безпеці, які наберуть обертів в 2024 році:

1. Більш вдосконалені та складні атаки програм-вимагачів.
2. Активне використання вразливостей ланцюга постачання.
   
3. Збільшення кількості атак на пристрої IoT і Edge.
   
4. Суворіші нормативні вимоги щодо кібербезпеки.
   
5. Соціальна інженерія та фішингові атаки наступного рівня. 
   
6. Збільшення кількості загроз, спрямованих на системи штучного інтелекту та великі дані, зокрема атаки на моделі машинного навчання.
   

Як визначити, чи є SOCaaS правильним вибором

Перш ніж вирішувати, чи варто обрати SOCaaS, організаціям важливо ретельно проаналізувати свої потреби, цілі та можливості. 

Фактори, які слід враховувати при проектуванні SOC:

Стратегія компанії: слід проконсультуватися із загальною стратегією бізнесу та ІТ, щоб визначити, яка операційна модель найкраще підходить. 

Сектор промисловості: галузь промисловості, в якій в основному працює компанія, значною мірою впливає на обсяг необхідного SOC.

Розмір: Розмір компанії також впливає на рішення, оскільки невелика компанія може бути не в змозі створити та запустити SOC самостійно, а найкращий варіант для неї буде запустити SOC на стороні провайдера.

Вартість: витрати на внутрішнє впровадження та підтримку SOC слід порівняти з вартістю аутсорсингу операцій безпеки. 

Витрати на пошук, найм і навчання персоналу SOC є суттєвим чинником, особливо тому, що вони можуть зрости через тенденцію до збільшення нестачі кваліфікованих кадрів та зростання попиту на ринку.

Час: для побудови власного SOC потрібно багато часу. Тому необхідно узгодження з планами та термінами компанії. Крім того, час для створення SOC слід порівняти з часом, необхідним для отримання SOC as a Service. 

Відповідність: залежно від галузі необхідно враховувати різні норми. Деякі можуть примусити впровадження SOC як послуги; інші можуть взагалі заборонити аутсорсинг операцій SOC або принаймні окремим постачальникам, які не дотримуються відповідних правил.

Експертиза: потрібні час і гроші, щоб накопичити досвід. Нелегко знайти необхідні навички для роботи з SOC. Наймання та утримання персоналу є вирішальним фактором для внутрішніх SOC. Однак необхідні навички вже є для зовнішніх постачальників SOC як послуги. 

Розглядаючи створення SOC для свого бізнесу, обов’язково чітко визначте свої вимоги та порівняйте їх із функціональністю, яку надає кожне рішення - SOC in-hose чи SOC as a Service. Якщо ви маєте сумніви щодо остаточного рішення або вам не вистачає досвіду в компанії, важливо поговорити з експертом.

ESKA розробляє та впроваджує рішення для побудови як власного SOC так і бере на себе повністю забезпечення SOC на своїй стороні.

Якщо вам потрібна допомога, зв'яжіться з нами зручним для вас способом. Наші експерти з кібербезпеки будуть раді розповісти вам про відмінності між власними та сторонніми рішеннями та відповісти на будь-які ваші запитання.