SOC dan Peringkatnya

Tahap 1 ialah barisan hadapan. Mereka memantau baris gilir amaran, melakukan saringan awal dan menentukan sama ada sesuatu amaran itu positif palsu, tidak berbahaya atau wajar dirujuk.

Mereka mengikut prosedur yang didokumenkan dan jarang membuat keputusan secara spontan. Kemahiran utama termasuk membaca catatan aktiviti dengan pantas, mengenali corak serangan yang lazim dan mengurus tiket dengan berdisiplin.

Penganalisis Tahap 1 yang baik menyingkirkan amaran tidak bermakna dengan pantas serta merujuk ancaman sebenar bersama catatan yang jelas dan lengkap.

Penganalisis Tahap 2 mengendalikan amaran yang dirujuk oleh Tahap 1. Mereka menyiasat dengan lebih mendalam, menghubungkaitkan peristiwa merentas sumber data dan menentukan skop serta impak.

Mereka menjejak merentas catatan aktiviti untuk menjawab soalan seperti: Apakah yang berlaku terlebih dahulu? Hos dan akaun manakah yang terlibat? Adakah data telah diakses atau dikeluarkan tanpa kebenaran?

Tahap 2 sering memimpin keputusan pembendungan awal semasa insiden yang sedang berlaku.

Tahap 3 ialah lapisan paling kanan: pemburu ancaman, penganalisis perisian hasad dan pakar forensik.

• Pemburuan ancaman — mencari secara proaktif ancaman yang terlepas daripada pengesanan
• Analisis perisian hasad — melakukan kejuruteraan songsang terhadap fail binari yang mencurigakan
• Forensik — membina semula aktiviti penyerang daripada cakera, memori dan catatan aktiviti

Tahap 3 juga menambah baik pengesanan dengan memasukkan semula penemuan ke dalam set peraturan.

Platform SIEM (Maklumat Keselamatan dan Pengurusan Peristiwa) ialah sistem saraf pusat SOC. Platform ini mengumpul, menyeragamkan dan menghubungkaitkan catatan aktiviti daripada pelbagai sumber serta menjana amaran berdasarkan peraturan pengesanan.

Sumber catatan aktiviti biasa yang disalurkan ke SIEM:

Alat SOAR (Penyelarasan Keselamatan, Automasi dan Tindak Balas) mengautomatikkan tugas SOC yang berulang. Alat ini mengurangkan keletihan penganalisis dan mempercepatkan tindak balas.

Automasi yang lazim:

• Memperkaya amaran secara automatik dengan risikan ancaman dan konteks aset
• Menyoal alamat web atau nilai cincangan terhadap perkhidmatan reputasi
• Mengasingkan hos melalui EDR dengan satu klik
• Membuka dan mengemas kini tiket secara automatik

Automasi mengendalikan kerja mekanikal supaya manusia dapat menumpukan perhatian pada pertimbangan.

Ancaman tidak menghormati waktu bekerja, jadi SOC menyasarkan liputan 24/7. Dua model yang lazim:

• Syif bergilir — penganalisis tempatan bekerja pada syif siang, petang dan malam
• Mengikut zon waktu — penyerahan tugas antara SOC di zon waktu yang berbeza supaya setiap pasukan bekerja pada waktu siang

Catatan penyerahan tugas syif yang baik amat penting supaya pasukan seterusnya menerima konteks, bukan kekeliruan.

Organisasi boleh membina SOC dalaman atau menyerahkan tugas kepada Penyedia Perkhidmatan Keselamatan Terurus (MSSP), yang kadangkala dipanggil MDR.

• Dalaman — konteks perniagaan yang mendalam dan kawalan penuh, tetapi kos serta beban penyediaan kakitangan lebih tinggi
• MSSP/MDR — liputan berkos efektif dan kepakaran yang luas, tetapi pengetahuan khusus tentang persekitaran lebih terhad

Banyak organisasi menggunakan pendekatan hibrid: Tahap 2/3 dalaman dengan MSSP mengendalikan pemantauan Tahap 1.

Laluan rujukan yang jelas menentukan pihak yang perlu dilibatkan dan masanya. Sesuatu amaran mungkin dirujuk daripada Tahap 1 kepada Tahap 2, manakala insiden yang disahkan dirujuk kepada ketua insiden, pasukan undang-undang, pasukan komunikasi dan pihak kepimpinan.

Tahap keterukan yang ditakrifkan, contohnya SEV1 hingga SEV4, mencetuskan jangkaan tindak balas yang berbeza. Mengetahui laluan ini mencegah kelewatan dan kepanikan semasa insiden sebenar.

Selain lapisan tersebut, SOC yang matang merangkumi peranan khusus:

• Pengurus SOC — bertanggungjawab atas kakitangan, proses dan metrik
• Jurutera Pengesanan — membina dan menala peraturan pengesanan
• Penganalisis Risikan Ancaman — menjejaki pihak lawan dan menyalurkan konteks
• Ketua Insiden — menyelaras tindak balas terhadap insiden besar

Peranan ini memastikan SOC terus bertambah baik dan bukan sekadar bertindak balas.

Anda telah mempelajari struktur SOC:

• SOC memantau, mengesan, menyiasat dan bertindak balas terhadap ancaman 24/7
• Tahap 1 menyaring amaran, Tahap 2 menyiasat rujukan, dan Tahap 3 memburu ancaman serta melakukan forensik
• SIEM memusatkan dan menghubungkaitkan catatan aktiviti; SOAR mengautomatikkan kerja rutin
• Liputan menggunakan syif bergilir atau pengendalian mengikut zon waktu, dengan penyerahan tugas yang baik
• SOC boleh berbentuk dalaman, MSSP/MDR atau hibrid, dengan laluan rujukan yang jelas dan peranan khusus

Seterusnya, anda akan mengikuti sesuatu amaran melalui aliran kerja saringan.