По следам прошедшей конференции AM Live.
Одним из вопросов был срок создания собственного in-house SOC. Не подключения к MSSP, а именно собственного SOC с необходимыми инструментами и людьми. И разброс был от двух месяцев до трёх лет.

Давайте представим, какие действия нужно выполнить:

1. Выбрать техническое решение SIEM. А для этого - понять, что необходимо по качественным и количественным характеристикам. Проверить на пилотах+референсах. В случае собственного SOC выбор SIEM - сродни свадьбе, потому что съехать потом с него будет намного дольше, сложнее и дороже, чем с сервиса от MSSP.

2. Получить стоимость решения, которое удовлетворяет требованиям.

3. Защитить бюджет с учётом стоимости решения, его внедрения и настройки, а также расширения команды, которая будет работать с SIEM и инцидентами.

4. Подготовить процессы в компании по реагированию на инциденты, чтобы SOC стал очевидным и логичным инструментом автоматизации.

5. Купить.

6. Внедрить. В том числе подключение источников.

7. Настроить. В том числе и контент с профилированием под компанию.

8. Набрать и обучить команду.

9. Включить обработку инцидентов в процессы компании.

10. Дальше с этим жить, мотивировать команду, совершенствовать и развивать SOC.

Посчитайте, сколько это времени займёт в вашей компании.