SOC (Security Operations Center), po slovensky bezpečnostné operačné centrum, je útvar alebo služba, ktorá sústavne sleduje dianie v IT prostredí organizácie, vyhodnocuje bezpečnostné udalosti a pri podozrení na útok spúšťa reakciu. Nejde len o miestnosť s obrazovkami – SOC tvoria ľudia, procesy a technológie, ktoré spolu fungujú často v režime 24/7.

Ak prirovnáme bezpečnostné opatrenia k zámkom a kamerám, SOC je strážna služba, ktorá záznamy z kamier skutočne sleduje a vie, čo robiť, keď niekto vypáči dvere.

Ako SOC funguje

  • Zber dát – logy a udalosti zo serverov, koncových zariadení, sietí, cloudových služieb a identít sa sústreďujú do nástroja typu SIEM.
  • Detekcia – pravidlá a analytika upozorňujú na podozrivé správanie, napríklad nezvyčajné prihlásenia alebo laterálny pohyb.
  • Triáž – analytici oddeľujú falošné poplachy od skutočných hrozieb a určujú prioritu.
  • Reakcia – izolácia zariadenia, zablokovanie účtu, eskalácia a koordinácia incident response.
  • Zlepšovanie – poznatky z incidentov sa premietajú do nových detekčných pravidiel a opatrení.

Vlastný alebo externý SOC?

Vlastný SOC znamená kontrolu a hlbokú znalosť prostredia, ale vyžaduje viacero špecialistov na zmeny, licencie a neustále udržiavanie detekcií. Preto mnohé organizácie volia externú službu (často označovanú ako SOC as a Service alebo MDR) alebo hybridný model, v ktorom monitoring zabezpečuje dodávateľ a interný tím rieši reakciu a komunikáciu.

Čo SOC potrebuje, aby fungoval

SOC dokáže len toľko, koľko vidí. Ak chýba prehľad o zariadeniach, logy sa nezbierajú zo všetkých systémov alebo Active Directory obsahuje nekontrolované privilegované účty, upozornení je buď príliš veľa, alebo prídu neskoro. Preto má zmysel najprv upratať základy – zraniteľnosti, aktualizácie, hardening a identity – ako to PosAm opisuje v článku o systematickom posilňovaní kybernetickej odolnosti.

Dôležité je aj prepojenie s prevádzkou IT: zistený incident treba evidovať, prideliť riešiteľovi a sledovať až po uzavretie. Tu pomáha manažment incidentov a zmien podľa ITIL, aký ponúka napríklad riešenie Servio.

Časté otázky

Aký je rozdiel medzi SOC a SIEM?

SIEM je nástroj na zber a koreláciu udalostí. SOC je tím a proces, ktorý s výstupmi SIEM-u pracuje a rozhoduje o reakcii.

Potrebuje SOC aj menšia organizácia?

Potrebuje schopnosť včas odhaliť útok a reagovať; tú však môže zabezpečiť aj externá služba alebo zdieľaný model.

Ak chcete pred zavedením monitoringu zistiť stav svojej infraštruktúry, pozrite si, ako PosAm pristupuje k starostlivosti o IT infraštruktúru.