Centrum operacji bezpieczeństwa to zespół i jednostka, które monitorują incydenty bezpieczeństwa i reagują na nie. W dojrzałych organizacjach działa ono 24 godziny na dobę. Analitycy monitorują pulpity nawigacyjne, segregują alerty, badają anomalie i eskalują istotne kwestie. Centrum Operacji Bezpieczeństwa (SOC) to pierwsza linia frontu. Gdy coś się dzieje, SOC dostrzega to jako pierwsze.

Centra SOC występują w różnych formach. Dedykowane SOC jest własnością organizacji i obsadzane przez nią personelem. Zarządzane SOC zleca monitorowanie podmiotowi zewnętrznemu. Model hybrydowy łączy oba te modele. Wirtualne SOC korzystają ze zdalnych analityków zamiast fizycznego pomieszczenia. Struktura ma mniejsze znaczenie niż możliwości. Dobre SOC ma jasne ścieżki eskalacji, udokumentowane playbooki i metryki śledzące wydajność. Kluczowe są średni czas wykrycia i średni czas reakcji. SOC, które wykrywa zagrożenia w ciągu kilku minut, radzi sobie dobrze. Takie, które potrzebuje kilku dni, ponosi straty. Najtrudniejszą częścią jest obsada kadrowa. Wypalenie zawodowe analityków jest powszechne. Zmęczenie alertami powoduje, że ludzie odchodzą. Najlepsze SOC inwestują w automatyzację, aby ograniczyć powtarzalność pracy i szkolenia, aby utrzymać wysoki poziom umiejętności. Technologia pomaga, ale to ludzie robią różnicę.

Funkcje SOC

• Monitorowanie — śledź zdarzenia związane z bezpieczeństwem przez całą dobę
• Triage — ocena i priorytetyzacja alertów
• Śledztwo — zbadaj podejrzaną aktywność
• Reakcja — ograniczanie i rozwiązywanie incydentów
• Raportowanie — dokumentuj, co się wydarzyło i co zostało zrobione

SOC to zespół, a nie pomieszczenie. Monitory i pulpity nawigacyjne są mniej ważne niż ludzie, którzy je obserwują.