Monitoring i SOC

SIEM to platforma, która zbiera logi, koreluje zdarzenia i generuje alerty, a SOC to obsadzony dyżur, który rozstrzyga, co dany alert oznacza. Różnica jest organizacyjna: platformę da się uruchomić bez zmiany sposobu pracy zespołu, natomiast SOC wymaga wskazania odbiorcy każdej eskalacji i mandatu do zatrzymania ataku. Oferty abonamentowe łączą oba elementy, więc sprawdź, czy w cenie jest praca analityków.

Ustal, kto realnie pełni dyżur: czy analitycy są zatrudnieni u dostawcy, czy noce przejmuje podwykonawca i w jakim języku prowadzona jest eskalacja po godzinach. Poproś o referencje ze środowiska zbudowanego na podobnych systemach, a nie o firmę podobnej wielkości. Sprawdź też, czy przewidziany jest okres próbny, w którym ocenisz jakość zgłoszeń na własnych danych, zanim usługa obejmie całe środowisko.

Mała firma podłącza zwykle kilka źródeł: stacje z EDR, system tożsamości i pocztę, i pracuje na standardowych regułach dostawcy z niewielkim strojeniem. Duża organizacja dokłada aplikacje własne i kilka środowisk chmurowych, więc reguły powstają pod konkretne systemy, a część weryfikacji zostaje przy wewnętrznym zespole. Podział obowiązków między dostawcę a Twoich administratorów waży wtedy więcej niż wybór platformy.

Monitoring w godzinach pracy utrzymasz wewnętrznie, jeśli ktoś zna środowisko i pisze reguły detekcji, natomiast dyżur ciągły wymaga obsady zmianowej, której średnia organizacja zwykle nie zbuduje. Rozwiązaniem pośrednim jest podział doby: własny zespół analizuje w dzień, dostawca przejmuje noce, weekendy i dni wolne. Ten model działa tylko przy jednej wspólnej kolejce zgłoszeń i jednej skali priorytetów.

Reguły detekcji wymagają przeglądu przy każdej zmianie, która zmienia obraz zdarzeń: nowej aplikacji, migracji do chmury, zmianie dostawcy poczty albo nowym narzędziu administracyjnym. Przegląd wywołuje też każdy incydent i każdy alert zamknięty jako fałszywy alarm, bo oba pokazują, że reguła jest zbyt wąska albo zbyt szeroka. Zapisz ten przegląd w umowie jako element usługi.

Najczytelniejszy sygnał to źródło wiedzy o incydencie: dowiadujesz się o nim od dostawcy czy od użytkowników i kontrahentów. Patrz na kierunek zmian MTTD i MTTR w kolejnych raportach oraz na udział alertów zamykanych jako fałszywy alarm, który po strojeniu powinien maleć. Najmocniejszy dowód daje test kontrolowany: uzgodnione działanie w Twoim środowisku, po którym sprawdzasz, czy alert powstał i dotarł do Ciebie.

SLA musi definiować klasy incydentów i moment, od którego liczony jest czas reakcji, bo inaczej każda strona mierzy go inaczej. Zapisz zakres nocny i świąteczny, kanał zgłoszenia oraz imienne osoby kontaktowe po obu stronach wraz z zastępstwami. Uzgodnij mandat dostawcy do działania w Twoich systemach, tryb dokładania nowych źródeł w trakcie umowy i listę systemów pozostawionych poza usługą.

Logi przekazane do monitorowania niosą dane osobowe, nazwy kont i adresy, więc współpraca wymaga umowy powierzenia przetwarzania. Ustal, gdzie fizycznie stoi platforma zbierająca zdarzenia, jak długo trzyma dane i czy ta retencja odpowiada Twoim potrzebom dowodowym. Zapytaj, którzy analitycy otwierają surowe zdarzenia, czy ich dostęp jest rejestrowany i jak oddzielane są dane z systemów o podwyższonej poufności.

Kupujący podłączają najpierw źródła najłatwiejsze technicznie, czyli firewall i ochronę stacji, a system tożsamości, poczta i konsole chmurowe zostają bez logowania. Monitoring obserwuje wtedy brzeg sieci, a przejęcie konta przechodzi niezauważone. Równie kosztowne jest przekazanie środowiska bez kontekstu: dopóki dostawca nie wie, które zadania administracyjne są planowane, będzie zgłaszał je jako podejrzane.

Uruchomienie trwa tyle, ile zajmuje przygotowanie każdego źródła do zbierania zdarzeń i uzgodnienie okien serwisowych, w których wolno je zmieniać. Źródła podłącza się falami, najpierw systemy krytyczne, dlatego pierwsze zgłoszenia incydentów przychodzą, zanim usługa obejmie całe środowisko. Potem biegnie strojenie na danych produkcyjnych, aż liczba fałszywych alarmów zejdzie do poziomu możliwego do obsłużenia.