Теоретическая база знаний
Большинство атак на корпоративную инфраструктуру остаются незамеченными в течение нескольких недель. По данным IBM X-Force, среднее время обнаружения вторжения превышает 190 дней. За этот период злоумышленники успевают закрепиться в сети, изучить периметр и нанести ущерб, масштаб которого становится понятен только постфактум.
Построение операционного центра безопасности решает эту задачу структурно: формирует единую точку сбора, обработки и анализа событий, выстраивает процессы реагирования и обеспечивает непрерывный контроль над состоянием защиты.
Создание операционного центра безопасности (SOC) под ключ
SOC под ключ – это не покупка SIEM-платформы и найм двух аналитиков. Это проектирование архитектуры мониторинга, выбор технологического стека, разработка регламентов, обучение персонала и интеграция с существующей ИТ-инфраструктурой предприятия. Полный цикл развертывания включает несколько взаимосвязанных этапов.
Этапы построения SOC:
| Этап | Содержание | Результат |
|---|
| 1. Обследование | Инвентаризация активов, анализ текущих векторов атак, оценка зрелости ИБ | Карта защищаемых объектов и пробелов |
| 2. Проектирование | Выбор архитектуры SIEM/SOAR, схема подключения источников логов | Техническое задание на развертывание |
| 3. Развертывание | Установка и настройка платформы, интеграция с AD, межсетевыми экранами, EDR | Работающая система сбора событий |
| 4. Наполнение правилами | Разработка корреляционных правил, настройка дашбордов, baseline-профилирование | Детектирование аномалий |
| 5. Запуск дежурной смены | Формирование процессов мониторинга, эскалации, отчётности | Непрерывная работа центра мониторинга ИБ |
| 6. Оптимизация | Регулярный пересмотр правил, снижение false positive, обновление threat intelligence | Повышение точности детектирования |
Ключевой технический выбор на этапе проектирования – централизованная или распределённая модель сбора данных.
Услуги технической поддержки и дежурная смена ИБ
Круглосуточная дежурная смена – функциональное ядро любого SOC. Без неё вся инвестиция в платформу превращается в дорогостоящий журнал событий, который никто не читает в режиме реального времени.
Услуги технической поддержки в рамках SOC охватывают три уровня:
- L1 (триаж): первичная обработка алертов, фильтрация ложных срабатываний, эскалация подтверждённых инцидентов.
- L2 (расследование): глубокий анализ инцидента, построение цепочки атаки, взаимодействие с владельцами систем для локализации угрозы.
- L3 (threat hunting и форензика): проактивный поиск угроз, анализ вредоносного кода, разработка новых сигнатур и корреляционных правил.
Для организаций, где содержать три уровня штатных аналитиков экономически нецелесообразно, аутсорсинг ИБ в формате MSSP (Managed Security Service Provider) позволяет получить полный стек компетенций с фиксированной стоимостью. Мониторинг событий ИБ в этом случае ведётся удалённо через защищённые каналы, а SLA регламентирует время реакции на каждый класс инцидентов.
Критически важный параметр SLA для команды ИБ на аутсорсинге – MTTD (Mean Time to Detect) и MTTR (Mean Time to Respond). Для критических инцидентов MTTD не должен превышать 15 минут, MTTR – 4 часов.
Работа с матрицей MITRE ATT&CK и threat intelligence
Матрица MITRE ATT&CK – структурированная база знаний о тактиках, техниках и процедурах (TTPs) реальных группировок атакующих. Её практическое применение в SOC решает конкретную задачу: перевести мониторинг от реакции на сигнатуры к детектированию поведенческих паттернов.
Практическое преимущество этого подхода: защита от кибератак становится измеримой. Руководитель ИБ получает метрику покрытия вместо абстрактного отчёта.
Аутсорсинг мониторинга информационной безопасности
Передача функций центра мониторинга ИБ на аутсорсинг экономически обоснована для организаций численностью до 2000 сотрудников и для компаний, работающих в регулируемых отраслях, где требования к ИБ высоки, но создание собственного SOC нерентабельно.
Сравнение моделей развёртывания SOC:
| Параметр | Собственный SOC | SOC на аутсорсинге (MSSP) | Гибридная модель |
|---|
| Время развёртывания | 12–18 месяцев | 1–3 месяца | 6–9 месяцев |
| CAPEX | Высокий (лицензии, оборудование) | Минимальный | Средний |
| OPEX | Высокий (ФОТ аналитиков) | Фиксированный по SLA | Средний |
| Контроль данных | Полный | Ограниченный (данные покидают периметр) | Высокий |
| Экспертиза | Зависит от найма | Гарантирована провайдером | Зависит от разделения функций |
| Соответствие требованиям ФСБ/ФСТЭК | Проще | Требует проверки провайдера | Требует проверки |
При выборе MSSP-провайдера для аутсорсинга ИБ необходимо верифицировать наличие лицензий ФСТЭК и ФСБ, аккредитации ГосСОПКА (для субъектов КИИ), а также проводить аудит физической и логической изоляции данных разных клиентов на платформе провайдера.
ИБ в госсекторе имеет дополнительное ограничение: передача данных о событиях безопасности государственных информационных систем сторонним организациям возможна только при соблюдении требований приказов ФСТЭК № 117 (действует с 01.03.2026, заменил приказ № 17) и № 239. Ряд категорий данных не может покидать периметр организации в принципе, что делает для таких заказчиков обязательным развертывание on-premise компонентов SIEM.
СЭД и техподдержка ИБ-компонентов – отдельный класс задач, который часто выносится на аутсорсинг: сопровождение средств защиты информации (СЗИ), обновление сигнатурных баз, управление политиками антивируса и межсетевого экрана. Технический центр ИТ на аутсорсинге берёт на себя операционную нагрузку, освобождая штатных специалистов для стратегических задач.
Непрерывность бизнес-процессов и управление инцидентами
Непрерывность бизнес-процессов в контексте ИБ означает способность организации поддерживать критические функции даже в условиях активной атаки или после её последствий. SOC встраивается в эту функцию через четко описанные процессы управления инцидентами.
Реагирование на инциденты ИБ должно быть описано в виде runbook’ов – пошаговых инструкций для каждого класса инцидентов (шифровальщик, фишинг, утечка данных, DDoS). Runbook’и сокращают зависимость от квалификации конкретного аналитика и обеспечивают предсказуемость процесса.
Кредо-С – системный интегратор в сфере ИТ и информационной безопасности, работающий с корпоративными заказчиками и организациями госсектора. Компания проектирует и внедряет операционные центры безопасности с нуля: от выбора SIEM-платформы и разработки архитектуры до формирования регламентов дежурной смены и обучения аналитиков.
Выполняйте требования по защите КИИ и взаимодействию с ГосСОПКА на уровне лидеров отрасли, как мы реализовали это для предприятий Ростеха.
