«Кто ты, воин?» SOC vs CERT. Объясняем на пальцах

1. Что такое SOC?

SOC (Security Operations Center) – это структурное подразделение организации, отвечающее за оперативный мониторинг информационной среды и предотвращение киберинцидентов.

Основными целями Центра являются: минимизация воздействия кибератак и их повторения, обеспечение конфиденциальности данных, целостность и доступность информационных активов.

Специалисты SOC собирают и анализируют данные из различных источников информационной инфраструктуры. При обнаружении подозрительной активности оповещают уполномоченных сотрудников организации об инцидентах информационной безопасности или иных происшествиях и принимают меры для их предотвращения.

2. Функции SOC

В сферу ответственности центра входит:

· Активный мониторинг информационной среды и сбор данных об инцидентах, с целью раннего обнаружения и предотвращения кибератак, а также минимизации их последствий.

· Анализ подозрительных событий для классификации инцидентов по характеру и степени опасности, установления мотива злоумышленников и выработку предложений по оповещению и реагированию на выявленные киберугрозы.

· Реагирование на угрозы – оперативное принятие мер по устранению и минимизации ущерба.

· Оказание помощи в устранении последствий инцидента и восстановлении пострадавших систем, файлов и так далее.

· Расследование инцидентов – участие в поиске причин киберинцидента, с целью исключения и предотвращения возможности повторения подобных событий в будущем.

· Ведение реестра ресурсов организации, включая объекты входящие в контур безопасности предприятия и продукты информационной безопасности, используемые для защиты объектов.

· Менеджмент соответствия требованиям – обеспечение соответствия приложений, инструментов и процессов безопасности государственным и международным требованиям регулирующим сферу безопасности данных, проверка систем и уведомление регулирующих и правоохранительных органов, а также частных лиц об утечках данных.

Функционал SOC может отличаться в зависимости от масштаба предприятия и его организационной структуры.

3. Состав SOC

В зависимости от размера организации, штат центра может состоять из следующих специалистов:

· Директор по реагированию на инциденты (только в крупных организациях) – отвечает за координацию обнаружения, анализа и противодействие киберинцидентам, а также восстановление пострадавших систем.

· SOC-менеджер – подчиняется директору по информационной безопасности (Chief Information Security Officer, CISO). В обязанности входит контроль персонала, управление операциями, обучение новых сотрудников и управление финансами.

· Инженеры по безопасности – поддерживают работоспособность систем безопасности организации, включая проектирование архитектуры безопасности, исследование, внедрение и поддержку решений безопасности.

· Аналитики безопасности – отвечают за оперативное реагирование на инциденты, выявление угроз, определение их приоритетности и принятие мер по противодействию.

· Охотники за угрозами (как правило, самые опытные аналитики) – отвечают за превентивное обнаружение киберугроз, которые не могут обнаружить автоматизированные поисковые системы, и выработку решений по противодействию им.

· Судебные аналитики (в крупных организациях) – проведение расследований произошедших кибератак, определение основных причин, поиск уязвимостей системы, нарушения политик безопасности и модели кибератак, с целью исключения возможности повторения аналогичного события в будущем.

4. Инструменты и технологии, применяемые в SOC

· Управление информацией о безопасности и событиями (Security information and event management, SIEM) – объединяет данные из нескольких решений безопасности и журналов киберинциндентов и используя анализ угроз и технологии на основе искусственного интеллекта, обеспечивает превентивное обнаружение негативно развивающихся событий, что позволяет реагировать на них, опережая действия злоумышленников.

· Организация безопасности, автоматизация и реагирование (Security orchestration, automation, and response, SOAR) собирает и обрабатывает данные о событиях информационной безопасности из различных источников, автоматизируя процессы типовых сценариев реагирования на них.

· Расширенное обнаружение и реагирование (Extended detection and response, XDR) – это класс систем информационной безопасности, предназначенных для автоматического упреждающего выявления угроз на разных уровнях информационной инфраструктуры, реагирования на них и противодействия сложным атакам.

· Брандмауэр (Firewall) отслеживает входящий и исходящий трафик в информационной сети, разрешая или блокируя его основываясь на правилах безопасности, определенных SOC.

· Управление журналами – часто входит в состав SIEM, регистрирует все оповещения, поступающие от каждого компонента системы (программного обеспечения, оборудования и конечных точек, работающих в организации), предоставляя информацию о сетевой активности.

· Управление уязвимостями – выявляет незащищенные места системы, которыми может воспользоваться злоумышленник.

· Аналитика поведения пользователей и объектов – инструмент безопасности, с использованием технологии искусственного интеллекта, для анализа данных, собранных с различных устройств, с целью выявления аномалий поведения пользователей и объектов.

5. Организационные формы SOC

Большинство SOC функционируют круглосуточно семь дней в неделю.

Центры могут существовать в форме отдельного подразделения компании, в виде команды специалистов из разных отделов, совмещающих задачи SOC, аутсорсинговых специализированных компаний, предоставляющих услуги по удаленному мониторингу информационной среды и реагированию на киберугрозы. А также в виде трансграничных операционных центров безопасности, охватывающих несколько стран, которые контролируют глобальные угрозы безопасности и координируют деятельность сети региональных SOC.

6. Будущее центров управления безопасностью

Новые тенденции и технологии, которые будут определять будущее SOC, включают:

· Искусственный интеллект и машинное обучение расширят возможности аналитиков, автоматизируя повседневные задачи, анализируя большие объемы данных и выявляя закономерности, которые указывают на киберугрозы, позволив сотрудникам сосредоточиться на стратегических действиях более высокого уровня и эффективно реагировать на инциденты.

· Облачные SOC. По мере перехода организаций к облачным технологиям, возникает потребность в облачных SOC для защиты приложений, инфраструктуры и данных, сохраняя при этом гибкость и масштабируемость облака.

7. Что такое CERT?

CERT (Computer emergency response team – группа реагирования на компьютерные чрезвычайные ситуации) представляет собой группу экспертов по информационной безопасности, в обязанности которых входит защита информационной инфраструктуры, обнаружение и реагирование на масштабные киберинциденты, которые затрагивают национальную, региональную или отраслевую безопасность.

Как правило, CERT финансируется государством, поэтому основная задача группы заключается в управлении инцидентами и поддержании безопасности критически важной инфраструктуры, такой как электросети, транспортные системы и финансовый сектор, а также других цифровых систем, представляющих национальный интерес.

В большинстве случаев CERT является основной организацией предоставляющей консультации и поддержку по вопросам обеспечения оптимальной безопасности цифровых систем и минимизации последствий от таких угроз, как вредоносное программное обеспечение, программы-вымогатели, «фишинговые» атаки и другие формы киберинцидентов.

8. Ключевые функции CERT

· Мониторинг сетей цифровой инфраструктуры на предмет выявления вредоносной деятельности и возможных уязвимостей, которые могут быть использованы злоумышленниками;

· Разработка политик и внедрение протоколов, определяющих общий подход к кибербезопасности. Проведение регулярных проверок, гарантирующих эффективную реализацию и соблюдение этих политик, обеспечивая надежную систему кибербезопасности;

· Реагирование и управление инцидентами кибербезопасности, минимизируя последствия инцидента предлагая решения и методы восстановления системы;

· Регулярное проведение учебных занятий и программ повышения осведомленности сотрудников заинтересованных организаций. Программы охватывают такие аспекты, как распознавание фишинговых писем, соблюдение политик паролей, защита конечных устройств и своевременное оповещение о подозрительных действиях в информационных сетях.

9. Международное сотрудничество и обмен информацией

На сегодняшний день, практически во всех государствах мира созданы национальные CERT. В глобальной цифровой экосистеме киберугрозы вышли за рамки географических границ, что делает международное сотрудничество между CERT важнейшим аспектом мировой кибербезопасности. Сотрудничество заключается в обмене информацией о новых угрозах и уязвимостях, а также о стратегиях по минимизации их воздействия, с целью укрепления национальной киберсистемы.

Платформы обмена информацией и совместные усилия, такие как Форум групп реагирования на инциденты и безопасности (Forum of Incident Response and Security Teams, FIRST), облегчают это глобальное сотрудничество, создавая сеть, в которой CERT могут обмениваться важной информацией о кибербезопасности.

10. CERT в развивающейся среде кибербезопасности

С ростом внедрения новых технологий, таких как Интернет вещей, 5G и искусственный интеллект, ландшафт киберугроз становится сложнее, поэтому CERT отводится важная роль в обеспечении безопасного внедрения этих технологий, понимании связанных с ними рисков и реализации стратегий их смягчения.

CERT адаптируются к меняющейся среде кибербезопасности. Будущее CERT предполагает адаптацию к новым технологиям, понимание возникающих угроз и постоянное развитие своих стратегий по защите организационных активов в растущем цифровом мире.

Резюмируя вкратце, по сути SOC взаимодействует с CERT, либо может входить в его состав. Основным отличием этих подразделений является то, что специалисты CERT осуществляют свою деятельность по уже произошедшим фактам кибератак, выдавая организациям рекомендации и стратегии по защите информационной инфраструктуры. В то время как сотрудники SOC осуществляют эти мероприятия в реальном времени.

​