Plan stałej obsługi
SOC
Od wykrycia zagrożenia do opanowania incydentu
Analitycy łączą sygnały z Twojego środowiska, oceniają zagrożenie i wykonują zatwierdzone działania ograniczające jego skutki. Obsługa obejmuje prowadzenie incydentu aż do uzgodnionego zamknięcia.
Zakres podstawowy
Co wykonujemy w planie SOC?
Zagrożenie jest analizowane, otrzymuje priorytet i właściciela, a zatwierdzone działania ograniczające jego skutki są wykonywane również poza godzinami pracy Twojej organizacji.
Plan obejmuje także uzgodniony zakres:
Integracja źródeł bezpieczeństwa
Podłączenie uzgodnionych logów i alertów z endpointów, serwerów, systemów tożsamości, urządzeń sieciowych, poczty, chmury i aplikacji. Normalizacja danych potrzebnych do analizy.
Kontrola pokrycia i jakości telemetrii
Sprawdzanie, czy objęte ochroną źródła dostarczają dane, agenty działają, a integracje zachowują poprawność. Wykrywanie i obsługa luk w widoczności w granicach odpowiedzialności usługi.
Utrzymanie reguł detekcji i korelacji
Uruchomienie i dostrajanie zestawu scenariuszy wykrywania odpowiadających dostępnej telemetrii i środowisku klienta, np. podejrzanych logowań, zmian uprawnień i aktywności procesów.
Triage alertów 24/7
Weryfikacja kontekstu, wiarygodności i znaczenia alertu. Oddzielanie fałszywych alarmów od zdarzeń wymagających dalszej analizy oraz nadawanie priorytetów.
Analiza incydentu i określenie zasięgu
Badanie powiązanych kont, urządzeń i zdarzeń. Odtworzenie dostępnej osi czasu, poszukiwanie wskaźników kompromitacji w objętych usługą źródłach oraz ocena rozpoznanego wpływu.
Ograniczanie zagrożenia — containment
Wykonywanie wcześniej autoryzowanych działań, np. izolacji endpointu, zablokowania wskaźnika zagrożenia, ograniczenia dostępu lub unieważnienia sesji, jeżeli pozwalają na to wdrożone narzędzia i uprawnienia.
Standardowe działania eliminujące zagrożenie
Realizacja czynności dostępnych w uzgodnionych narzędziach, np. kwarantanny złośliwego pliku lub usunięcia wskazanego nieuprawnionego mechanizmu dostępu. Zmiany o większym wpływie wymagają właściwej ścieżki akceptacji.
Koordynacja dalszych działań naprawczych
Przygotowanie zadań dla klienta lub S&VM, śledzenie ich wykonania i weryfikacja rezultatów w dostępnej telemetrii. Prowadzenie sprawy do uzgodnionego zamknięcia, a nie zakończenie obsługi na wysłaniu wiadomości.
Zabezpieczenie podstawowego materiału operacyjnego
Zachowanie istotnych logów, alertów, eksportów i zapisów wykonanych czynności. Dokumentowanie źródeł danych, czasu pozyskania oraz ograniczeń analizy.
Wykorzystanie informacji o zagrożeniach
Wzbogacanie analizy o dostępne informacje o kampaniach, wskaźnikach kompromitacji i sposobach działania napastników. Aktualizacja standardowych detekcji na podstawie nowych informacji.
Utrzymanie playbooków i testy gotowości
Aktualizacja procedur po incydentach i zmianach środowiska. Okresowe sprawdzanie działania wybranych detekcji, kanałów eskalacji i zatwierdzonych mechanizmów reakcji.
Komunikacja i dokumentowanie incydentów
Informowanie uprawnionych osób o rozpoznanym zdarzeniu, stanie obsługi i potrzebnych decyzjach. Przygotowanie raportu incydentowego oraz danych technicznych potrzebnych klientowi do dalszych zgłoszeń i ocen.
Raportowanie i doskonalenie ochrony
Miesięczne zestawienie incydentów, jakości detekcji, czasów obsługi i otwartych zaleceń. Wprowadzanie uzgodnionych usprawnień w regułach, integracjach i procedurach.
Zasady współpracy
Jasny zakres. Uzgodnione działania.
Odpowiedzialność opisujemy w karcie usługi: wraz z listą zasobów, narzędziami, uprawnieniami i ścieżką eskalacji.
- Reakcja obejmuje wcześniej autoryzowane działania możliwe do wykonania w uzgodnionych narzędziach. Czynności o większym wpływie przechodzą właściwą ścieżkę akceptacji.
- SOC nie obejmuje automatycznie obsługi wszystkich awarii NOC, pełnej odbudowy infrastruktury, nieograniczonej informatyki śledczej ani dowolnych prac administracyjnych.
- Wyszukiwanie powiązanych śladów podczas analizy incydentu należy do podstawy. Dodatkowe kampanie threat huntingowe, prowadzone niezależnie od alertów, wymagają uzgodnionego rozszerzenia.
- Gdy zadanie wykracza poza zakres lub uprawnienia SOC, ustalamy jego wykonawcę i koordynujemy dalsze działania. Samo wystąpienie incydentu nie zmienia podstawowej obsługi w usługę dodatkową.
- Dokumentujemy działania i dostarczamy dane techniczne wspierające dalsze oceny oraz zgłoszenia klienta. Pełne usługi GRC i pozostałe obowiązki organizacji wymagają odrębnego zakresu.
SLA podjęcia sprawy określamy oddzielnie od czasu opanowania incydentu i przywrócenia usługi. Obsługa 24/7 nie jest gwarancją dostępności systemów klienta.
Uruchomienie usługi
Zanim zaczniemy obsługiwać zdarzenia.
Ustalamy zakres
Inwentaryzujemy zasoby, źródła danych, właścicieli usług, kontakty oraz oczekiwane rezultaty.
Podłączamy i konfigurujemy
Uruchamiamy standardowe integracje, dostęp, alerty i procedury właściwe dla wybranego planu.
Sprawdzamy gotowość
Testujemy telemetrię, eskalację i zatwierdzone działania. Uzgadniamy kryteria odbioru oraz rozpoczęcia obsługi.
Standardowe wdrożenie jest elementem uruchomienia planu i może mieć osobną opłatę wdrożeniową. Dedykowane konektory lub zmiany kodu aplikacji uzgadniamy jako odrębne prace.
Wybór planu
Najczęstsze pytania
Czy ograniczanie zagrożenia jest już w podstawie SOC?
Tak. Podstawowy SOC obejmuje analizę, prowadzenie incydentu i wcześniej autoryzowane działania containment, np. izolację endpointu, blokadę wskaźnika lub unieważnienie sesji. Ich wykonanie zależy od wdrożonych narzędzi, dostępów i uzgodnionej matrycy uprawnień.
Czym analiza incydentu różni się od dodatkowego threat huntingu?
W analizie incydentu szukamy powiązanych śladów i określamy zasięg zdarzenia w dostępnych źródłach. Advanced Threat Hunting to odrębna kampania badawcza z ustalonymi hipotezami, źródłami i zakresem, prowadzona także bez bieżącego alertu.
Czy zakup SOC obejmuje naprawianie awarii i odtworzenie całego IT?
SOC koordynuje obsługę incydentu bezpieczeństwa, ale nie przejmuje automatycznie całego utrzymania ani odbudowy infrastruktury. Obsługę awarii zapewnia NOC, wspólne operacje — Enterprise, a rozbudowaną odbudowę i dodatkowe zasoby określamy odrębnie.
Powiązane kompetencje
Połącz działania, które się uzupełniają.
Kolejny krok
Ustalmy zakres, który ma sens dla Twojej organizacji.
Porozmawiajmy o środowisku, priorytetach i odpowiedzialności zespołów. Na tej podstawie określimy zakres prac, wymagane dostępy oraz warunki obsługi.