Центр мониторинга безопасности (SOC)
Простыми словами
SOC — команда и операционная функция, которая наблюдает за безопасностью, проверяет сигналы и координирует действия при инцидентах. Это не помещение и не одна SIEM: центр объединяет людей, процессы, данные и технологии.
Как применяется
SOC определяет сценарии мониторинга, подключает приоритетную телеметрию, распределяет уровни анализа и взаимодействует с владельцами систем и реагированием. Качество оценивают по покрытию рисков, времени и точности решений, а не по числу собранных событий.
Пример применения
Сигнал о подозрительном входе обогащается данными IdP, VPN и EDR. Аналитик подтверждает захват учётной записи, отзывает сессии через согласованный процесс и передаёт владельцу вывод о причине и необходимых изменениях.
Не путать с
- ГосСОПКАГосСОПКА — государственная система, с которой отдельные организации взаимодействуют по установленным требованиям.
Как это работает
- Получить сигналТелеметрия и правила формируют событие или инцидент с исходным контекстом.
- Провести триажАналитик проверяет достоверность, актив, пользователя, критичность и возможный сценарий.
- РасследоватьСвязывают события, собирают артефакты и определяют масштаб, причину и необходимые действия.
- Закрыть циклРеагирование ограничивает ущерб, вывод документируется, а детектирование и меры улучшаются.
Продолжить изучение
Частые вопросы
Нужна способность мониторинга и реагирования; она может быть внутренней, совместной или предоставляться внешним центром в зависимости от риска.
Сколько событий должен собирать SOC?Не максимальное число, а достаточные источники для приоритетных сценариев с известным качеством и сроком хранения.
Чем L1 отличается от L2/L3?Модели различаются, но обычно L1 выполняет первичный триаж, L2 расследует, а L3 развивает сложную аналитику и hunting.