Центр мониторинга

Большинство атак на корпоративную инфраструктуру остаются незамеченными в течение нескольких недель. По данным IBM X-Force, среднее время обнаружения вторжения превышает 190 дней. За этот период злоумышленники успевают закрепиться в сети, изучить периметр и нанести ущерб, масштаб которого становится понятен только постфактум.

Построение операционного центра безопасности решает эту задачу структурно: формирует единую точку сбора, обработки и анализа событий, выстраивает процессы реагирования и обеспечивает непрерывный контроль над состоянием защиты.

SOC под ключ – это не покупка SIEM-платформы и найм двух аналитиков. Это проектирование архитектуры мониторинга, выбор технологического стека, разработка регламентов, обучение персонала и интеграция с существующей ИТ-инфраструктурой предприятия. Полный цикл развертывания включает несколько взаимосвязанных этапов.
Этапы построения SOC:


Ключевой технический выбор на этапе проектирования – централизованная или распределённая модель сбора данных.

Круглосуточная дежурная смена – функциональное ядро любого SOC. Без неё вся инвестиция в платформу превращается в дорогостоящий журнал событий, который никто не читает в режиме реального времени.

Услуги технической поддержки в рамках SOC охватывают три уровня:

• L1 (триаж): первичная обработка алертов, фильтрация ложных срабатываний, эскалация подтверждённых инцидентов. 
• L2 (расследование): глубокий анализ инцидента, построение цепочки атаки, взаимодействие с владельцами систем для локализации угрозы.
• L3 (threat hunting и форензика): проактивный поиск угроз, анализ вредоносного кода, разработка новых сигнатур и корреляционных правил.

Для организаций, где содержать три уровня штатных аналитиков экономически нецелесообразно, аутсорсинг ИБ в формате MSSP (Managed Security Service Provider) позволяет получить полный стек компетенций с фиксированной стоимостью. Мониторинг событий ИБ в этом случае ведётся удалённо через защищённые каналы, а SLA регламентирует время реакции на каждый класс инцидентов.

Критически важный параметр SLA для команды ИБ на аутсорсинге – MTTD (Mean Time to Detect) и MTTR (Mean Time to Respond). Для критических инцидентов MTTD не должен превышать 15 минут, MTTR – 4 часов.

Матрица MITRE ATT&CK – структурированная база знаний о тактиках, техниках и процедурах (TTPs) реальных группировок атакующих. Её практическое применение в SOC решает конкретную задачу: перевести мониторинг от реакции на сигнатуры к детектированию поведенческих паттернов.
Практическое преимущество этого подхода: защита от кибератак становится измеримой. Руководитель ИБ получает метрику покрытия вместо абстрактного отчёта.

Передача функций центра мониторинга ИБ на аутсорсинг экономически обоснована для организаций численностью до 2000 сотрудников и для компаний, работающих в регулируемых отраслях, где требования к ИБ высоки, но создание собственного SOC нерентабельно.
Сравнение моделей развёртывания SOC:


При выборе MSSP-провайдера для аутсорсинга ИБ необходимо верифицировать наличие лицензий ФСТЭК и ФСБ, аккредитации ГосСОПКА (для субъектов КИИ), а также проводить аудит физической и логической изоляции данных разных клиентов на платформе провайдера.
ИБ в госсекторе имеет дополнительное ограничение: передача данных о событиях безопасности государственных информационных систем сторонним организациям возможна только при соблюдении требований приказов ФСТЭК № 17 и № 239. Ряд категорий данных не может покидать периметр организации в принципе, что делает для таких заказчиков обязательным развертывание on-premise компонентов SIEM.

СЭД и техподдержка ИБ-компонентов – отдельный класс задач, который часто выносится на аутсорсинг: сопровождение средств защиты информации (СЗИ), обновление сигнатурных баз, управление политиками антивируса и межсетевого экрана. Технический центр ИТ на аутсорсинге берёт на себя операционную нагрузку, освобождая штатных специалистов для стратегических задач.

Непрерывность бизнес-процессов в контексте ИБ означает способность организации поддерживать критические функции даже в условиях активной атаки или после её последствий. SOC встраивается в эту функцию через четко описанные процессы управления инцидентами.
Реагирование на инциденты ИБ должно быть описано в виде runbook’ов – пошаговых инструкций для каждого класса инцидентов (шифровальщик, фишинг, утечка данных, DDoS). Runbook’и сокращают зависимость от квалификации конкретного аналитика и обеспечивают предсказуемость процесса.

Кредо-С – системный интегратор в сфере ИТ и информационной безопасности, работающий с корпоративными заказчиками и организациями госсектора. Компания проектирует и внедряет операционные центры безопасности с нуля: от выбора SIEM-платформы и разработки архитектуры до формирования регламентов дежурной смены и обучения аналитиков.

Выполняйте требования по защите КИИ и взаимодействию с ГосСОПКА на уровне лидеров отрасли, как мы реализовали это для предприятий Ростеха.