Уявіть кімнату з великими екранами, картою світу та червоними лініями атак. Забудьте цю картинку — вона з реклами. Насправді центр операцій безпеки найчастіше виглядає як кілька людей за звичайними ноутбуками, а вся його сила ховається в чергуванні, сценаріях та дисципліні. Розберемо, як він влаштований і кому справді потрібен.
Що таке центр операцій безпеки
SOC (Security Operations Center) — команда, процеси та інструменти, які безперервно спостерігають за станом захищеності організації, виявляють атаки, запускають реагування. Це «диспетчерська» кіберзахисту: тут сходяться сигнали з усіх систем, тут-таки ухвалюють рішення.
Складників рівно три, і жоден із них не працює поодинці:
- люди — аналітики чергової зміни, фахівці з розслідувань, інженери;
- процеси — сценарії опрацювання, критерії ескалації, регламент чергування;
- технології — платформа кореляції журналів (див. SIEM: що це), EDR, стрічки індикаторів.
Купити можна лише третє. Перші два доводиться будувати.
Як його називають — і де в назві криється пастка
Українською той самий підрозділ позначають кількома зворотами:
- центр операцій безпеки — найпоширеніший переклад;
- центр операцій інформаційної безпеки — та сама річ, просто розгорнутіше;
- центр моніторингу інформаційної безпеки — і ось тут варто зупинитися.
Різниця в останній назві не косметична. Моніторинг — це спостереження й виявлення. Реагування — окрема, значно дорожча функція. Коли в договорі написано «моніторинг», а замовник чекає, що вночі хтось ізолює заражений сервер, — розчарування настане в найгіршу мить. Перевіряйте не вивіску, а перелік дій.
Чим центр операцій безпеки займається щодня
- спостереження за інфраструктурою — цілодобово або в робочі години, залежно від моделі;
- виявлення атак та підозрілої активності;
- тріаж сигналів тривоги: справжнє чи хибне (докладно — у матеріалі як подія стає інцидентом);
- координація реагування — хто що робить і в якому порядку;
- полювання на загрози (threat hunting) — активний пошук того, що не спрацювало за жодним правилом;
- утримання правил та джерел — нові правила виявлення, підключення нових журналів, зняття шуму;
- звітність — для керівництва, аудиторів та регуляторів.
Останній пункт часто недооцінюють, а він єдиний, який бачить бізнес.
Лінії та ролі
Класична модель будується рівнями. Це не ієрархія посад, а розподіл глибини занурення:
| Роль | Що робить | Головна навичка |
|---|---|---|
| Аналітик 1-ї лінії | тріаж потоку тривог, відсів хибних, ескалація справжніх | швидкість та дисципліна |
| Аналітик 2-ї лінії | розслідування підтверджених випадків: масштаб, ланцюжок дій | глибина аналізу |
| Аналітик 3-ї лінії / мисливець | пошук «тихих» загроз, розробка нових правил виявлення | гіпотези й нестандартність |
| Інженер підрозділу | платформа, джерела журналів, правила кореляції, інтеграції | інженерія, а не аналітика |
| Керівник підрозділу | пріоритети, регламенти, звітність, місток до бізнесу | управління |
Локалізацією й усуненням загрози зазвичай займається окрема команда реагування — про неї в матеріалі як влаштований CSIRT. У невеликих організаціях усі ці ролі виконує одна людина, і це нормально — доки записано, у якій ролі вона зараз.
Арифметика чергування: чому «поставимо двох чергових» не працює
Ось розрахунок, який економить компаніям сотні тисяч гривень та місяці ілюзій.
У тижні 168 годин. Робочий тиждень працівника в Україні — 40 годин. Поділіть: щоб одне крісло було зайняте цілодобово, потрібно щонайменше 4,2 людини. І це в ідеальному світі — без відпусток, лікарняних, навчання й звільнень.
З урахуванням реальності галузева оцінка інша: 8–12 аналітиків, щоб одне крісло було надійно закрите 24/7 без вигорання команди. Підкреслимо: одне крісло й лише перша лінія. Друга лінія, інженер та керівник — понад це.
Саме ця арифметика, а не ціна ліцензій, найчастіше й вирішує вибір моделі.
Власний, зовнішній чи гібридний
- Власний. Повний контроль, глибоке знання своєї інфраструктури, миттєвий доступ до систем. Ціна — штат, ліцензії, утримання експертизи й 6–18 місяців до виходу на робочий режим.
- Зовнішній. Спостереження купують як послугу. Стартує швидко, коштує передбачувано, але потребує довіри й чіткого договору.
- Гібридний. Власна команда вдень, підрядник — уночі й у вихідні. Або зовнішня перша лінія, а розслідування й рішення лишаються всередині. На практиці саме ця модель приживається найчастіше.
- Розподілений. Команди в різних часових поясах передають чергування одна одній, і ніч ні для кого не настає. Модель для великих компаній.
Що ховається за назвами зовнішніх послуг
Ринок вживає кілька позначень, а різниця між ними — не в маркетингу, а в тому, що відбувається після тривоги:
- одні постачальники сповіщають замовника: надсилають звернення, а діяти має внутрішня команда;
- інші діють самі — ізолюють пристрій, блокують обліковий запис, зупиняють процес.
Друге дорожче, і воно ж єдине має сенс о третій ночі, коли внутрішньої команди немає. Питання «ви повідомляєте чи зупиняєте?» — головне на перемовинах.
Послуги центру операцій безпеки: про що питати постачальника
Перелік, який варто мати перед підписанням договору:
- Обсяг. Тільки спостереження й виявлення — чи також дії з локалізації?
- SLA на реакцію, а не на відповідь. Не «відповімо на звернення за 30 хвилин», а «почнемо діяти за N хвилин від спрацювання».
- Повноваження. Хто має право вимкнути сервер о третій ночі й чи потрібне погодження.
- Дані. Де зберігаються журнали, хто ними володіє, чи можна забрати їх при розірванні договору.
- Правила. Хто пише правила виявлення під нашу специфіку — і чи заберемо ми їх із собою.
- Прозорість. Чи бачимо ми сирі журнали й чергу тривог, чи лише підсумковий звіт.
- Покриття. Цілодобово, у робочі години чи «за викликом» — і що саме означає чергування вночі.
- Звітність. Періодичність, зміст, мова.
Пункти 4 і 5 згадують найрідше, а страждають від них найболючіше: при зміні підрядника компанія з подивом виявляє, що два роки напрацювань лишилися в чужій платформі.
Кому це потрібно — і що робити решті
Центр операцій безпеки виправданий, коли збігаються хоча б дві умови: є критичні сервіси з відчутною ціною простою, є чутливі дані, є регуляторна вимога або є реальний ризик цілеспрямованої атаки.
Малому бізнесу зазвичай достатньо базових заходів (див. безпека корпоративної мережі) плюс зовнішнє спостереження за потреби. Орієнтир — оцінка ризиків (див. ISO 27005), а не мода на технології.
Мінімум, який має бути навіть без окремого підрозділу: увімкнене журналювання, призначена людина, яка ці журнали переглядає, і записаний план реагування на кіберінциденти.
Чотири щаблі зрілості
- Журнали є — ніхто в них не дивиться. Формально все ввімкнено, фактично сліпа зона.
- Журнали збирають та переглядають вибірково. Реакція постфактум, зазвичай після скарги.
- Є чергування й тріаж за сценаріями. З'явилися час реакції та власник кожної тривоги.
- Є полювання на загрози й керовані показники. Команда шукає те, чого правила ще не знають.
Перескочити щабель не вийде: платформа четвертого рівня в організації з першого дасть лише дорогий шум. Зрілість вимірюється не бюджетом, а тим, чи хтось справді читає тривоги.