Главная
Что такое SOC и почему растёт спрос на их услуги?
Только за I квартал 2024 года количество DDoS-атак увеличилось на 74%. Уже пострадало несколько крупных российских бизнесов, а число угроз растёт. Обычных средств — антивирусов или брандмауэров — уже не хватает, нужны более комплексные, сложные и эффективные решения.
Например, ситуационные центры информационной безопасности (ИБ), или SOC (security operations center). Это подразделение специалистов по защите информации, которые непрерывно ведут мониторинг угроз, в том числе техническими средствами контроля. Они отслеживают, проводят анализ, отвечают на происшествия в сфере ИБ.
Как работают подобные платформы, кто представляет эффективные решения в этой сфере, какие у них перспективы развития, — в этой статье.
Введение
Количество киберугроз растёт, развивается хактивизм, появляются новые схемы для нападений, увеличивается число гибридных атак, а сами нападения становятся дешевле — в этом контексте проактивная защита выходит на первый план.
Эффективный инструмент для этого — центры мониторинга, которые позволяют организациям оперативно обнаруживать и реагировать на кибератаки, а также предвосхищать их.
> 18% атак приводят к остановкам производства и сбоям поставок.
60% организаций финсектора в 2023 году столкнулись с атаками на цепочки поставок.
Что такое SOC?
Security operations center (SOC), центр оперативного реагирования на инциденты информационной безопасности (ИБ) или мониторинга кибербезопасности — вариантов названия много. Такие сервисы создают комплекс из технологических решений, процессов, навыков специалистов высокого уровня для формирования системы, защищающей от киберугроз. Цель — непрерывный контроль цифровой инфраструктуры бизнеса, минимизация рисков, а также последствий возможных атак
Владимир Дащенко,
эксперт по кибербезопасности Kaspersky ICS CERT, международного центра исследования безопасности промышленных систем и реагирования на инциденты:
SOC мониторит всю инфраструктуру с привлечением огромной базы знаний мирового состояния киберугроз (новых индикаторов компрометации, тактики и техники атак и т. д.). Эти технические артефакты применяют к каждому заказчику, анализируют не только отдельные «звоночки», но их совокупности, определяя признаки угроз любого уровня. SOC начинает расследование не постфактум, а непосредственно в момент обнаружения угрозы.
Специалисты по защите информации (системный администратор, аналитик, специалисты по настройке внутренних структур обработки инцидентов (SIEM, SOAR, IRP и т. д.), по реверс-инжинирингу, по киберразведке, форензик-эксперт) в реальном времени отслеживают угрозы с помощью технических средств, обнаруживают, анализируют, отвечают на происшествия. Менеджер SOC адаптирует техническую информацию от этой команды, позволяя руководству и собственникам понимать, какие угрозы возникают, какой наносят ущерб.
Такие структуры могут быть внутренними или внешними (аутсорсинговыми). Первые формирует сама компания, нанимая экспертов ИБ в штат, выстраивая нужную платформу. Аутсорсинговая структура предоставляет те же услуги, но от внешней группы экспертов и частично внешней же инфраструктуры, в соответствии с поставленными по договору KPI. Подобная структура не требует расширения штата, запустить постоянную работу можно оперативнее.
Андрей Шаляпин,
руководитель BI.ZONE TDR:
На создание и ввод в работу собственного SOC у компании может уйти несколько лет. Для выявления инцидентов, которые не попадают в фокус стандартных превентивных средств, SOC должен достичь определённого уровня зрелости. Расширение экспертной базы правил, по которым выявляют подозрительные события, непрерывная их актуализация, выстраивание процессов, подготовка плейбуков — всё это требует много времени, ресурсов и глубокой экспертизы. Запуск внешнего центра часто можно уложить в несколько недель.
Преимущества SOC
При этом эксперты подчёркивают, что значимый фактор успеха — широта покрытия мониторингом ИТ-инфраструктуры организации.
Андрей Шаляпин,
руководитель BI.ZONE TDR:
Слепые зоны для мониторинга могут оставаться всегда, поскольку появляются в тех местах, куда не дотягиваются процессы инвентаризации ИТ-инфраструктуры. Если выстроить эти процессы правильно, можно минимизировать возможность успешных кибератак, снизить вероятный ущерб. Поэтому специалистам важно знать, что есть в инфраструктуре и что необходимо охватить мониторингом.
Евгения Хамракулова,
руководитель направления развития бизнеса центра противодействия кибератакам Solar JSOC:
Например, продвинутые атаки порой проходят ниже радаров стандартных средств, поэтому могут быть выявлены только посредством отслеживания аномалий на сети (технология NTA) или конечных точках (EDR).
Функции SOC
Коммерческие SOC — обзор рынка России
При росте рынка ИБ в целом на 15—35% в 2023 году рынок центров реагирования вырос на 50—60%. Тренду на повышение способствовало усиление законодательства в области ИБ, требующего от бизнеса соблюдения ряда стандартов и норм. Но ещё сильнее повлияла быстрая цифровизация бизнеса, открыв новые каналы для атак.
Российский рынок представлен сразу несколькими крупными игроками:
Что учитывать при выборе коммерческого SOC?
Методология сравнения
При выборе коммерческого Security Operations Center, важно провести детальное сравнение различных предложений, чтобы выбрать наиболее подходящее решение для вашей организации. Рассмотрим критерии выбора.
Уровень экспертизы команды
Изучите квалификацию команды. Убедитесь, что у сотрудников есть необходимые сертификаты (например, CISSP, CEH, GIAC) и опыт работы в области ИБ. Некоторые security operations center могут специализироваться на отраслях — здравоохранении, энергетике и других.
Функционал и услуги
Технологии и инструменты
Поддерживаемые стандарты и соответствие требованиям
Масштабируемость и гибкость
Отчетность и прозрачность
Стоимость и условия обслуживания
Ограничения SOC
У security operations center есть и ряд ограничений.
Общие сведения и тестовый период
Тестовый период позволяет заказчику оценить качество услуг и соответствие предложения своим потребностям перед заключением долгосрочного контракта. Проведение тестирования проходит в пять шагов.
1. Определение целей и задач тестирования
На этом этапе определяются показатели эффективности (KPI), которые будут использоваться заказчиком для оценки работы. Например, время обнаружения инцидента, скорость реакции, количество ложных срабатываний, уровень удовлетворённости пользователей.
2. Планирование и подготовка
Разработка плана тестирования, включающего:
3. Проведение пилотного проекта
В рамках пилотного проекта security operations center начинает работу с ограниченным набором функций и сервисов. Так проверяется взаимодействие между командами, выявляются возможные проблемы и оптимизируются процессы.
4. Оценка результатов
После завершения пилотного проекта проводится анализ полученной информации и сравнение с установленными KPI. На основе этого анализа заказчик делает вывод о том, насколько эффективно работает security operations center и какие улучшения необходимо внести.
5. Принятие решения
По итогам тестирования потенциальный заказчик принимает решение о продолжении сотрудничества или отказе от услуг. Если результаты положительные, подписывается контракт.
Услуги и технологии поставщиков
Поставщики коммерческих SOC предлагают спектр услуг и технологий, чтобы обеспечить неуязвимость данных заказчиков.
Услуги коммерческих SOC
10 главных технологий коммерческого SOC
Кому не подходит SOC
Для малых предприятий с ограниченным бюджетом траты на создание и поддержание такой платформы могут быть непропорционально высокими по сравнению с потенциальными рисками. В таких случаях более эффективными могут быть MSS или облачные решения. Также организации с низким уровнем киберугроз, возможно, не получат достаточной выгоды от внедрения SOC. Для них может быть достаточно базовых мер: антивирусов или брандмауэров.
Андрей Шаляпин:
Сказать, что SOC востребованы только крупным бизнесом, нельзя. Среди наших заказчиков есть компании, чья ИТ-инфраструктура насчитывает от нескольких десятков хостов до нескольких тысяч. Скорее, процессы мониторинга и реагирования на инциденты внедряют те организации, у которых ИТ-сеть с обрабатываемыми в ней данными являются критичными элементами бизнес-процессов, поэтому в случае кибератаки бизнес понесёт существенный ущерб.
Если нет чёткой стратегии, выстроенного управления данными (неструктурированные затрудняют анализ взаимосвязей) или не хватает ресурсов, security operations center также не будет эффективен.
Евгения Хамракулова:
SOC не запустится, если внутри компании не работают процессы цифровой безопасности. При этом какие-то из них можно отдать на аутсорс, а что-то должно оставаться внутри. Если проигнорировать даже один процесс, то компания может работать в иллюзии защищённости, при этом не имея реальной возможности справиться с потенциальной атакой.
Перспективы рынка
Компании проявляют всё больший интерес к рынку ИБ, так как количество цифровых угроз непрерывно растёт. По оценкам аналитиков F.A.C.C.T., в 2023 году было обнаружено на 68% больше фишинговых доменов, чем в 2022 году. «Лаборатория Касперского» находит по 40—50 уязвимостей в программах с открытым кодом, а также по 100—150 уязвимостей высокого уровня. Бизнесу нужна эффективная защита, способная адаптироваться под постоянно изменяющиеся условия, SOC как раз направлен на решение подобной задачи. Поэтому, по оценкам экспертов, мировой рынок таких услуг будет в среднем расти на 10,3% ежегодно в прогнозируемый период до 2030 года.
Андрей Шаляпин:
Ключевыми трендами в развитии SOC в ближайшие 2—3 года будут, во-первых, внедрение методов машинного обучения в процессы обнаружения инцидентов. А во-вторых, развитие концепции расширенного обнаружения и реагирования XDR (Extended Detection & Response), которая направлена на сокращение времени реакции на происшествия и автоматическое прерывание кибератак.
Евгения Хамракулова:
Очевидно, рынок будет расти — видим тенденцию появления новых сервис-провайдеров в этой области. Также будет увеличиваться спрос на услуги в среднем сегменте бизнеса. В компаниях этого уровня есть не только запрос на мониторинг и реагирование на киберугрозы, но также понимание того, что услуги коммерческого SOC стоят меньше выстраивания работы внутри компании. Зрелая коммерческая платформа с большим количеством клиентов всегда имеет колоссальное преимущество в скорости накопления экспертизы, широте обзора киберугроз.