Аббревиатура SOC — security operations center — переводится по-разному: «Центр операций по безопасности», «Центр мониторинга кибербезопасности» или «Центр обеспечения компьютерной безопасности». Означает одно и то же: SOC — это группа специалистов по защите информации, которые непрерывно контролируют сообщения, поступающие от технических средств, чтобы как можно оперативнее устранить ИБ-угрозы.

☑️ Решили собрать главное о деятельности SOC в пятничном лонгриде!

🌟Что вообще такое инцидент информационной безопасности?

Инцидент ИБ – это одно или несколько нежелательных или неожиданных событий, которые со значительной вероятностью указывают на компрометацию бизнес-процессов или реализованную угрозу информационной безопасности.

🌟Какие задачи стоят перед специалистами SOC?

Основная задача — мониторить и оперативно реагировать на инциденты, а также не допускать злоумышленников в инфраструктуру. А если киберпреступнику удалось обойти эшелонированную защиту, то его необходимо оперативно «выкинуть» из инфраструктуры. Следующая задача инженеров SOC — понять, что нужно сделать, чтобы в будущем не допустить подобных сценариев.

🌟Как среди множества событий, поступающих из различных источников, выделить реальные угрозы?

Универсального ответа нет. Чтобы понять, аномалия это или нет, нужно разбираться в том, как работают ИТ-системы и инфраструктура в целом — что для нее нормально, что аномально. И, конечно, понимать, как действуют хакеры. У них есть определенный набор утилит, в том числе «самописных», и у всех этих утилит есть свои паттерны поведения — свои отклонения от нормального функционирования системы. Если знать, как работают эти утилиты и как действует хакер, то можно отличить нормальное от аномального.

🌟Из-за чего чаще всего происходят инциденты?

Основным слабым местом является отсутствие базовых знаний по ИБ у пользователей — ненадежные пароли и их нерегулярная смена, открытие подозрительных ссылок, писем и сайтов, работа под чужой учетной записью. Не делайте так :)

#mws_article