SOC — Центр реагирования на инциденты

📋

Что такое SOC?

SOC (Security Operations Center) — централизованный центр, который круглосуточно мониторит события безопасности, обнаруживает атаки и реагирует на инциденты. SOC — это не только технологии, но и люди, процессы и инструменты.

Задачи SOC

🔍 Мониторинг событий безопасности 24/7
⚡ Обнаружение инцидентов в реальном времени
🎯 Реагирование и митигация угроз
📊 Анализ и расследование инцидентов
📝 Документирование и отчётность
🔄 Улучшение детектирующей логики

Компоненты SOC

🖥️ SIEM — сбор и корреляция событий
🛡️ EDR — защита конечных точек
🌐 NDR — мониторинг сети
📋 IRP — управление инцидентами
🕵️ Threat Intelligence — киберразведка
👥 Аналитики и специалисты

Требования к источника данных

SOC должен собирать информацию со всех конечных точек сети: серверы, рабочие станции, сетевое оборудование, принтеры, IoT-устройства. Также необходим доступ к данным киберразведки (Threat Intelligence) для обнаружения подготовительных операций злоумышленников.

👥

Линии SOC

1-я линия

Первичный анализ алертов. Фильтрация ложных срабатываний. Эскалация подозрительных событий.

24/7 • 5+ человек • Три смены

2-я линия

Детальное расследование инцидентов. Анализ артефактов. Разработка корреляционных правил.

8/5 • 2+ человека • Экспертиза

3-я линия

Глубокий анализ. Reverse engineering. Разработка стратегии защиты. Поддержка SIEM/IRP.

8/5 • 2+ человека • Архитекторы

Дополнительные роли

• SIEM-администратор — поддержка и настройка SIEM
• SOC-инженер — подключение источников событий
• Руководитель SOC — управление и координация

• IR-специалист — реагирование на инциденты
• Threat Hunter — активный поиск угроз
• Forensic Analyst — форензика

🏗️

3 модели SOC

🏢

In-house SOC

Собственная команда

Плюсы

✅ Полный контроль над данными
✅ Глубокое понимание инфраструктуры
✅ Быстрое реагирование

Минусы

❌ 8–15+ специалистов
❌ 1–2 года на запуск
❌ Высокая стоимость
❌ Сложно найти и удержать экспертов

Подходит: крупный бизнес, целевые атаки

🔀

Гибридный SOC

Свои + сторонние ресурсы

Плюсы

✅ Гибкость распределения задач
✅ 24/7 мониторинг от подрядчика
✅ Собственная экспертиза

Минусы

❌ Зависимость от поставщика
❌ Сложность координации
❌ Конфликты доступов

Подходит: средний и крупный бизнес

☁️

MSSP

Полный аутсорсинг SOC

Плюсы

✅ Быстрый запуск (1–2 месяца)
✅ Не нужна инфраструктура
✅ Готовая экспертиза

Минусы

❌ Данные на сторонних серверах
❌ Зависимость от провайдера
❌ Ограничения по источникам

Подходит: малый бизнес, нет экспертов

🗺️

Этапы создания SOC

1. Запуск процессов + SIEM

Внедрение SIEM-системы (open-source или коммерческой). Определение процессов для работы аналитиков.

2. Подключение источников

Подключение к SIEM всех источников событий. Включение расширенного аудита (Sysmon, auditd).

3. Фильтрация событий

Отключение неинформативных событий. Оптимизация пропускной способности SIEM.

4. Нормализация и правила

Парсинг, нормализация событий. Разработка и настройка корреляционных правил.

5. Кейс-менеджмент

Внедрение IRP-системы или ServiceDesk. Настройка карточек инцидентов, эскалации, уведомлений.

6. Оптимизация

Уменьшение ложноположительных срабатываний. Добавление исключений. Расширение покрытия.

🖥️

SIEM — Ядро SOC

Core

SIEM (Security Information and Event Management) — система сбора, нормализации и корреляции событий безопасности. Это центральный компонент любого SOC.

Коммерческие SIEM

🔵 Microsoft Sentinel — облачный, интеграция с Azure
🟠 Splunk Enterprise Security — мощная аналитика
🟡 IBM QRadar —Enterprise, встроенная аналитика
🟣 Exabeam — UEBA, поведенческий анализ
🔵 LogRhythm — комплексный мониторинг

Open-source SIEM

🟢 Wazuh — HIDS + SIEM, бесплатно
🟠 ELK Stack — Elasticsearch + Logstash + Kibana
🔵 Graylog — сбор и анализ логов
🟡 OSSEC — HIDS, детекция вторжений
🟣 Security Onion — полный пакет для SOC

# Архитектура SIEM

Источники событий              SIEM                 Действия
┌─────────────────┐        ┌──────────────┐        ┌──────────────┐
│ Sysmon / EDR    │───────▶│              │───────▶│ Алерты       │
│ Firewall logs   │───────▶│  Нормализация│───────▶│ IRP-карточки │
│ AD / LDAP       │───────▶│  Корреляция  │───────▶│ Отчёты       │
│ Proxy / DNS     │───────▶│  Агрегация   │───────▶│ Dashboard    │
│ VPN / DHCP      │───────▶│              │───────▶│ Эскалация    │
│ Cloud / SaaS    │───────▶│              │───────▶│ Автоматизация│
└─────────────────┘        └──────────────┘        └──────────────┘

📊

Ключевые метрики SOC

MTTD

Mean Time to Detect

Среднее время обнаружения

MTTR

Mean Time to Respond

Среднее время реагирования

MTTC

Mean Time to Contain

Среднее время сдерживания

Производительность

• Количество алертов в день
• Процент ложноположительных (FPR)
• Время расследования инцидента
• Количество закрытых инцидентов

Покрытие

• Процент покрытия инфраструктуры
• Количество подключённых источников
• Количество корреляционных правил
• Полнота логирования

✅

Как выбрать MSSP-провайдера

Критерии выбора

✅ Наличие пилотного проекта
✅ SLA по времени реагирования
✅ Количество подключаемых источников
✅ Полнота обратной связи и отчётов
✅ Ограничения по EDR-агентам
✅ Аккредитация ГосСОПКА
✅ Соответствие 152-ФЗ

На что обратить внимание

⚠️ Где хранятся данные (внутри/снаружи)
⚠️ Скорость подключения (1–2 месяца)
⚠️ Зависимость от провайдера
⚠️ Ограничения по источникам в пилоте
⚠️ Стоимость дополнительных услуг
⚠️ Возможность пентеста для проверки