sysadmins №24. Что такое SOC? Версия от «Лаборатории Касперского»

• Обсуждение СОК - команды, которая занимается обнаружением, анализом и реагированием на инциденты информационной безопасности.  

• СОК - это команда, а не только технические средства.  

• Базовый уровень: нет выделенной команды безопасников, используются базовые средства защиты.  

• Средний уровень: появляется команда безопасников, внедряются продвинутые средства защиты.  

• Оптимальный уровень: выделенная команда занимается мониторингом и реагированием на инциденты, используются специализированные инструменты.  

• Съем - система сбора, нормализации и корреляции событий безопасности.  

• Современные системы съем включают модули машинного обучения и аналитики.  

• СОК - команда, состоящая из аналитиков, экспертов и администраторов.  

• Первая линия СОК занимается сортировкой и анализом инцидентов, вторая линия - более глубоким анализом и рекомендациями по реагированию.  

• Сок (сокр. от "центр оперативного реагирования") - это группа специалистов, которые занимаются реагированием на инциденты информационной безопасности.  

• Сок обычно не имеет полномочий на изменение конфигурации системы, но может рекомендовать блокировку IP-адресов или портов.  

• В случае критичных инцидентов, сок может принимать экстренные меры, но обычно требуется официальное разрешение от владельцев ресурсов.  

• В мире происходят крупные инциденты информационной безопасности, такие как недавний инцидент с Garmin, когда их сервисы были зашифрованы.  

• Такие инциденты могут быть вызваны как целенаправленными атаками, так и ошибками в системе безопасности.  

• Компании, которые не могут содержать штат для работы сока, могут обратиться к аутсорсингу или передаче функций безопасности другим организациям.  

• Информационная безопасность стала национальной угрозой для государства, и законодательство в этой сфере развивается.  

• В разных странах существуют национальные центры реагирования на инциденты, которые координируют действия при национальных и международных инцидентах.  

• Соки (Security Operations Center) - это группы реагирования на инциденты, которые реагируют на уже известные инциденты.  

• Соки стали появляться в конце 1980-х годов на базе университета Карнеги-Меллон.  

• Соки изначально были группой реагирования, которая реагировала на уже известные инциденты, которые могли быть репортированы различными способами.  

• Интеллидженс (Intelligence) - это разведывательные данные о злоумышленниках, их методах и тактике.  

• Гарднер сформировал четыре вида интеллидженс: технический, операционный, стратегический и тактический.  

• Технический интеллидженс - это гигантские потоки данных, такие как списки зловредных ссылок и подозрительных IP-адресов.  

• Операционный интеллидженс - это анализ и корреляция данных, полученных от технического интеллидженса, для выявления подозрительных действий пользователей.  

• Стратегический и тактический интеллидженс - это более сложные виды, которые требуют более глубокого анализа и принятия решений на основе полученных данных.  

• Технический интеллегенс - большие массивы данных, используемые для автоматического и полуавтоматического детектора.  

• Операционный интеллегенс - дополнительная информация о объектах, полученная из внешних источников (например, в Total).  

• Тактический интеллегенс - описание поведения известных злоумышленников и индикаторы компрометации.  

• Стратегический интеллегенс - тренды, целевые данные, масштабные события и решения.  

• Технический интеллегенс передается в формате JSON.  

• Тактический и стратегический интеллегенс передаются в виде отчетов (PDF).  

• Операционный интеллегенс передается через веб-сайты и порталы.  

• В рамках проактивного подхода к информационной безопасности, специалисты используют данные, полученные из различных источников, для анализа и реагирования на инциденты.  

• Это может включать мониторинг, инцидент-репортеры, отчеты об инцидентах и другие источники данных.  

• Аналитики в сок отвечают за анализ отчетов об инцидентах, разработку детектирующей логики и обучение пользователей.  

• Они также могут участвовать в разработке инструкций для пользователей и рекомендациях по расширению осведомленности.  

• Источники данных могут включать сетевые устройства, антивирусы, логи винды и другие системы.  

• Для работы сок могут использоваться системы анализа угроз, такие как песочницы, системы по агрегации данных и специализированные средства по реверс-инжинирингу.  

• Также необходимы системы регистрации и учета инцидентов.  

• Як - прекрасный продукт, но требует дополнительных усилий для реализации некоторых фич.  

• Опенсорс продукты требуют дополнительных ресурсов для обслуживания и допиливания.  

• Атрибуция - определение того, кто стоит за атакой.  

• Примеры ошибок злоумышленников: использование гугл транслейт, использование русских слов в коде, ошибки операторов.  

• Атрибуция по переиспользованию кода и тулов.  

• Пример: использование кода Вон и Край в атаке двухлетней давности.  

• Злоумышленники используют методы проникновения в организации, которые они использовали ранее.  

• Атрибуция атак помогает определить, кто стоит за атакой, и подготовиться к ней.  

• Машинный лен может быть полезен, но требует квалифицированных специалистов и времени для развития.  

• Искусственный интеллект может выдавать много ложных срабатываний, и его эффективность требует настройки и обучения.  

• Интеграция с бизнес-системами может быть полезна для обнаружения и реагирования на угрозы.  

• Важно описать детектирующую логику и план реагирования заранее.  

• В видео обсуждается интеграция систем и информационная безопасность.  

• Отмечается, что в России ценность информации и важность информационной безопасности понимают не все организации.  

• Упоминается, что некоторые организации, такие как банки, уже доросли до уровня информационной безопасности и имеют зрелые процессы.  

• Обсуждается, что в России есть нормативка, обязывающая организации заниматься вопросами мониторинга, реагирования и инвентаризации.  

• В видео говорится, что идеального сока не существует, и каждая организация должна определить свои собственные цели и ресурсы для создания индивидуальной системы.  

• Упоминается важность команды и квалификации персонала для создания и развития сока.  

• Обсуждаются различные инструменты, которые могут быть использованы для создания сока, включая съем, ЕДР, аналитическую информацию и специализированные сен-боксы.  

• Недостаток кадров в области информационной безопасности является ключевой проблемой во всем мире.  

• Можно либо нанимать готовые кадры, либо взращивать их внутри компании, вкладываясь в их образование и развитие.  

• Обучение специалистов в области информационной безопасности может быть организовано через курсы, стажировки и работу в реальных проектах.  

• Важно совмещать теорию с практикой и иметь опыт в области безопасности.  

• Компания Касперского предлагает стажировки и вакансии для студентов и специалистов без опыта.  

• Стажировки позволяют совмещать учебу и работу, а многие студенты остаются работать после окончания университета.  

• Компания Касперского проводит вебинары на различные темы, связанные с информационной безопасностью и реагированием на инциденты.  

• Гости приглашают слушателей присоединиться к их сообществу и продолжить общение по конкретным вопросам и проектам.