Центр мониторинга безопасности (SOC)
§§IBT7§§¶@definition¶SOC — центр мониторинга безопасности, который выявляет, анализирует и координирует обработку событий и инцидентов ИБ.¶@plain¶SOC — команда и операционная функция, которая наблюдает за безопасностью, проверяет сигналы и координирует действия при инцидентах. Это не помещение и не одна SIEM: центр объединяет людей, процессы, данные и технологии.¶@use¶SOC определяет сценарии мониторинга, подключает приоритетную телеметрию, распределяет уровни анализа и взаимодействует с владельцами систем и реагированием. Качество оценивают по покрытию рисков, времени и точности решений, а не по числу собранных событий.¶@example¶Сигнал о подозрительном входе обогащается данными IdP, VPN и EDR. Аналитик подтверждает захват учётной записи, отзывает сессии через согласованный процесс и передаёт владельцу вывод о причине и необходимых изменениях.¶@compare¶ГосСОПКА¦/slovar-informacionnoy-bezopasnosti/regulyatorika-rf/gossopka¦ГосСОПКА — государственная система, с которой отдельные организации взаимодействуют по установленным требованиям.¶@steps¶Получить сигнал¦Телеметрия и правила формируют событие или инцидент с исходным контекстом.¤Провести триаж¦Аналитик проверяет достоверность, актив, пользователя, критичность и возможный сценарий.¤Расследовать¦Связывают события, собирают артефакты и определяют масштаб, причину и необходимые действия.¤Закрыть цикл¦Реагирование ограничивает ущерб, вывод документируется, а детектирование и меры улучшаются.¶@resources¶Курсы для аналитиков SOC¦https://ibcourses.ru/soc¦Курс¤Как стать аналитиком SOC с нуля¦https://ibcourses.ru/kak-stat-analitikom-soc-s-nulya¦Статья¤Уровни SOC Tier 1, 2 и 3¦https://ibcourses.ru/soc-tier-1-2-3-raznica-rost¦Статья¶@related¶¶@faq¶Нужен ли SOC небольшой компании?¦Нужна способность мониторинга и реагирования; она может быть внутренней, совместной или предоставляться внешним центром в зависимости от риска.¤Сколько событий должен собирать SOC?¦Не максимальное число, а достаточные источники для приоритетных сценариев с известным качеством и сроком хранения.¤Чем L1 отличается от L2/L3?¦Модели различаются, но обычно L1 выполняет первичный триаж, L2 расследует, а L3 развивает сложную аналитику и hunting.