Рынок перегрет кибератаками, IT-инфраструктуру компаний взламывают каждый день, а СМИ спорят, какая сфера под большей угрозой. На этом фоне игнорировать вопросы кибербезопасности – слишком рискованно. Неудивительно, что бизнес заинтересовался системами SOC (Security Operations Center). Это центр мониторинга инцидентов в информационных системах. В этой статье разберу, как защититься от взломов.
Как организовать в компании мониторинг информационной безопасности
SOC должен работать в режиме 24/7. Это связка из трех элементов: продвинутых инструментов мониторинга, выстроенных процессов и, самое главное, «мозгов» – аналитиков, которые способны быстро отличить легитимный запрос администратора от действий хакера.
ИБ-устойчивость обеспечивается не самим фактом мониторинга (пересылка уведомлений о взломе), а за счет реагирования. В IT-инфраструктуру интегрируют:
- EDR-агента – это программный модуль, который устанавливается на устройства в сети (серверы, компьютеры) и непрерывно мониторит активность, выявляет аномальное поведение, автоматически или с помощью аналитика «отключает» зараженные устройства от сети и предотвращает атаки, которые пропускают классические антивирусы.
- SIEM-системы (Security Information and Event Management) – это ПО, которое анализирует события безопасности в реальном времени, собирает информацию (логи) с сетевых устройств, серверов и приложений. Система выявляет подозрительную активность и помогает в расследовании инцидентов безопасности.
Центр операционной безопасности должен решать одну задачу – предотвращать атаку хакера на ранней стадии. При этом атакующий не намерен ждать, пока штатные IT-специалисты придут на работу и прочитают уведомление о присутствии злоумышленника в сети.
Свой центр ИБ или отдать на аутсорс: сравнение моделей
Собственный SOC раньше был привилегией для банков или госкорпораций. И пока одни компании продолжают медлить и верить, что SOC – это дорого и только «для больших», другие предприниматели смотрят в сторону аутсорсинга SOC, чтобы получить готовый сервис «под ключ». Ведь делегировать сложный процесс анализа инцидентов ИБ зачастую дешевле и быстрее, чем организовать отдел мониторинга самостоятельно: собрать команду аналитиков L2/L3, закупить лицензии и интегрировать в инфраструктуру SIEM-систему.
При сравнении моделей логично учесть четыре значимых фактора:
- Затраты. Свой SOC – это тяжелый CAPEX (Capital Expenditure, капитальные затраты – железо, лицензии), объемный фонд оплаты труда и полноценное вложение «вдолгую». Аутсорсинг переводит это в прогнозируемый OPEX (операционный расход).
- Штат и экспертиза. Нанять и удержать отдел аналитиков из 5-7 человек уровня Middle и Senior для работы в три смены – задача со звездочкой. У провайдера эти эксперты уже есть, как и насмотренность на разные инфраструктуры.
- Масштабируемость. Любой бизнес имеет свойство расти и трансформироваться. Увеличение или снижение объема мониторинга при аутсорсинге – вопрос изменения подписки. В случае своего отдела – это закупка новых серверов и расширение штата или простой и сокращения.
- Оценка возврата инвестиций (ROI). Свой центр строится от 6 до 12 месяцев, что не исключает атак, пока идет настройка правил корреляции. Подключение к готовому сервису занимает от пары недель до месяца, и даже на этапе пилота могут быть значимые результаты.
Организовать свой SOC – процесс трудоемкий, но это целесообразно для крупных компаний, которые имеют объемную инфраструктуру, множество сервисов и филиалов, соответственно, оснований вкладываться в собственное направление мониторинга и экспертизу.
При аутсорсинге SOC все функции передаются исполнителю. Провайдер берет на себя круглосуточный сбор событий, их корреляцию и первичный анализ. В лучшем варианте на узлы устанавливаются EDR-агенты, которые позволяют не просто видеть атаку, а блокировать подозрительные процессы или изолировать зараженный хост прямо из консоли мониторинга. То есть, атака будет остановлена, даже если бизнес спит, а персонал находится в отпуске.
Какие задачи решает SOC для бизнеса
- Предотвращение и минимизация ущерба. В ИБ время решает, поэтому главная метрика эффективности SOC – это время реакции. Хакеру нужны часы, а иногда минуты, чтобы развернуть шифровальщик. Если SOC только мониторит и информирует, вы узнаете о взломе утром, когда бизнес уже встал. SOC с акцентом на реагирование сокращает время локализации угрозы до минимума. Благодаря EDR-агентам аналитик может изолировать подозрительный ноутбук бухгалтера или сервер в филиале мгновенно, не дожидаясь, пока штатный админ проснется и прочитает уведомление.
- Непрерывность бизнес-процессов. Для ритейла, логистики или производства каждый час простоя стоит миллионы. SOC обеспечивает «иммунитет» против атак, направленных на остановку деятельности. Выявляет подготовки к атаке на этапе сканирования, фишинга или нелегитимных действий инсайдера. Контроль доступа подрядчиков и внешних интеграций.
- Выполнение требований законодательства. Для многих отраслей мониторинг инцидентов – это требование регуляторов (например, для объектов КИИ, компаний финансового сектора). В случае инцидента на руках есть юридически значимые логи и экспертная аналитика, что критически важно для разбора последствий и взаимодействия с госорганами.
- Объективная картина состояния ИБ. Руководители часто находятся в информационном вакууме: «вроде бы все работает, антивирус стоит». SOC способен пролить свет на реальный уровень ИБ. Ежемесячные отчеты показывают не только количество отраженных атак, но и «дыры» в инфраструктуре, которые эти атаки выявили. Это готовая дорожная карта для развития зрелости информационной безопасности бизнеса.
Мониторинг IT-инфраструктуры на ИБ-инциденты позволяет получить гарантированное время реакции и повышает шансы предотвратить кибератаку. Информационная безопасность становится управляемым процессом.
Как выбрать провайдера SOC
Важно смотреть на перечень технологий и обязательства исполнителя. Вот, какие условия должны быть зафиксированы в договоре, и на что обратить внимание:
- Время оповещения об инциденте.
- Сроки первичной оценки.
- Гарантированное время локализации угрозы для критических инцидентов.
- Условия на лицензии EDR/XDR.
- Партнерские отношения с SIEM-провайдерами, наличие инструментов Threat Intelligence.
Какие лицензии и сертификации должны быть у провайдера? Я бы отметил лицензию ФСТЭК на ТЗКИ с открытым разделом на мониторинг (это обязательно), сертификаты ISO 27001. Отличный вариант для мониторинга на аутсорсе – Центр ГосСОПКА класса «А». Дополнительно стоит учитывать расположение инфраструктуры и соответствие требованиям локализации данных в России, а также гибкость тарифов, чтобы формат SOC-мониторинга можно было масштабировать под задачи компании.
Выводы
Когда стоит выбор между аутсорсингом SOC и собственным мониторингом, в первом случае бизнес покупает быстрое внедрение, масштабирование и гарантированное время локализации угроз, что исключает критические простои и многомиллионные убытки. Во втором – необходимо тщательно взвесить «за» и «против», а также иметь достаточно оснований для запуска такого направления. В обоих случаях, помимо технической устойчивости, компания закрывает с помощью мониторинга инцидентов ИБ вопросы комплаенса и получает дорожную карту для устранения уязвимостей в IT-инфраструктуре на основе реальных доказательств.
Также читайте:
