Outsourcing SOC (Security Operation Center)

1. Wdrożenie  

SOC = SIEM (kolektor logów) +SOAR (automatyzacja)  

• Wdrożenie systemu SIEM, SOAR, 

• Podpięcie wszystkich elementów systemu do SIEMa (Routery, Firewalle, Switche, serwery, macierz) – gromadzenie logów, „parsowanie” logów, wizualizacja do „dashbordu”,   

• Implementacja źródeł zewnętrznych (feedów), 

• Implementacja notyfikacji mailowej przez SOAR dla żądanej kategorii incydentu,  

• Implementacja automatu raportowania, 

• Zachowujemy format raportu „postincydentalnego” do wytycznych KNF: 

Raport „postincydentalny” dla incydentów o priorytecie Poważnym i Wysokim będzie zawierał informacje: 

• Unikalny identyfikator zdarzenia, 
• Data/Czas wystąpienia incydentu, 
• Data/Czas wykrycia incydentu 
• Właściciel incydentu (proces/osoba), 
• Opis incydentu,  
• Miejsce (fizyczne/logiczne) incydentu, 
• Przyczyna wystąpienia incydentu, 
• Czynności zapobiegawcze/naprawcze. 

2. Utrzymanie systemu SOC i monitorowanie w trybie 24h: 

1 Linia SOC 24h: Monitoring dostępności urządzeń/usług i analiza bezpieczeństwa: 

• przyjmowanie zgłoszeń bezpieczeństwa od użytkowników 24h: telefon, 

• monitorowanie stanu systemów 24h: aplikacji, urządzeń, serwisów, zasobów, stanu hardware (SNMP) i certyfikatów, 

• monitorowanie działań użytkowników / kont uprzywilejowanych (admin, root itp, alarmy w SIEM), 

• klasyfikacja incydentów i zgłoszeń (odrzucanie false-positive), 

• reakcja na alerty z systemu SIEM (identyfikowanie incydentów poważnych), 

• eskalacja incydentów do 2 linii SOC (gdy odnotowano znamiona incydentu poważnego). 

2 Linia SOC: Inżynierowie bezpieczeństwa: 

• analiza szczegółowa, rozpoznanie sytuacji i obsługa incydentu,  

• zabezpieczenie i gromadzenie dowodów (logi świadczące o incydencie, ślady włamań itp.), 

• analiza „postincydentalna” (raport po zakończeniu obsługi incydentu poważnego), 

• minimalizacja zagrożeń i rekomendowanie działań naprawczych, 

• eskalacja incydentu do 3 linii SOC w przypadku zaawansowanych incydentów lub incydentów trwających, 

• raportowanie. 

3 Linia SOC: Eksperci bezpieczeństwa: 

• zaawansowana analiza incydentu, 

• zaawansowana analiza oprogramowania złośliwego, 

• namierzanie i śledzenie atakującego (jeśli jest aktywność niepożądana), 

• gromadzenie i zabezpieczanie śladów zgodnie z praktykami informatyki śledczej.