🎥 Что важнее SOCа — запись вебинара

Публикуем запись вебинара, который 17 сентября провели вместе с ГК "Гарда". Рекомендуем к просмотру, если SOC у вас уже подключен или вы его выбираете: разговор шел не о мониторинге, а о том, что происходит после того, как SOC обнаружил атаку.

Отправная точка — разрыв между обнаружением и сдерживанием. В типовой схеме SOCaaS данные уходят из инфраструктуры на восьмой минуте атаки, а письмо заказчику об инциденте приходит через сорок. Пока алерт читают, ищут ответственных и согласуют блокировку, злоумышленник успевает закрепиться и переместиться по узлам.

Что обсудили

— девять зон, которые мониторинг не закрывает: сеть без логов, первые минуты инцидента, непропатченные уязвимости, продажа доступов в даркнете, тихое горизонтальное перемещение, фишинг сотрудников, выезд на инцидент, форензика после "очистки" и проверка, не был ли злоумышленник внутри раньше
— какие функции дополняют SOC в каждой зоне: NDR, MDR, VM как сервис, OSINT-мониторинг, ловушки и токены, учебный фишинг, ретейнер реагирования, DFIR и compromise assessment
— на реальных инцидентах — что меняется, когда функция есть, и что происходит, когда ее нет: Volt Typhoon в сети коммунальной компании, Target, Equifax, Snowflake, Uber, Maersk, Colonial Pipeline, Marriott
— какие полномочия, контакты и сценарии согласовать до инцидента, а не во время
— как оценивать собственный контур не по числу алертов, а по способности команды действовать в критический момент

Спикеры

Станислав Грибанов, руководитель продуктового направления ГК "Гарда",
Сергей Прохоров, эксперт в области кибербезопасности ITG Security.

Запись доступна по ссылке, там же можно скачать презентацию — 33 слайда со схемами контура и разбором кейсов.

Если после просмотра остались вопросы по вашему контуру — задайте их в комментариях.

@finance_ciso