Il s'agit d'une série d'articles dans lesquels je présenterai des informations sur Security Operations Center après avoir fait partie de Security Operations Center pendant plus de 2 ans.

Dans cet article particulier, nous découvrirons quelques informations générales sur Security Operations Center. A commencer par ses objectifs, ses piliers et son mode de fonctionnement.

Qu'est-ce qu'un SOC ?

Un centre d'opérations de sécurité ou simplement connu sous le nom de SOC, est une unité centralisée au sein d'une organisation qui est responsable de la gestion et de la protection des informations et des systèmes d'information d'une organisation.

Objectifs d'un SOC

En règle générale, le SOC doit maintenir des contrôles de sécurité pour aider son personnel dans ses tâches telles que la surveillance, l'analyse et la réponse aux incidents.

• Surveillance : Le SOC garde un œil sur les événements et les anomalies liés à la sécurité sur le réseau et les systèmes de l'organisation.
• Analyse : Le SOC examine et analyse les événements et incidents de sécurité générés par les multiples technologies utilisées par le personnel du SOC.
• Réponse aux incidents : le SOC crée et met en œuvre des plans de réponse qui incluent des procédures de confinement, d'éradication et de récupération.

Piliers d'un SOC

On peut identifier 3 piliers principaux :

• Personnes
• Technologie
• Processus

Une équipe hautement qualifiée et expérimentée de professionnels de la sécurité, comprenant des analystes SOC, des intervenants en cas d'incident et des ingénieurs en sécurité qui sont responsables de la surveillance et de la protection des actifs informationnels de l'organisation. Les personnes définissent les humains qui accompliront les objectifs de l'équipe des opérations de sécurité et comment ils seront gérés. Avant de penser à recruter des talents, quelques questions sont à considérer :

• Comment allons-nous trouver du personnel et le former pour qu'il remplisse son rôle ?
• Que ferons-nous pour les retenir ?
• Comment allons-nous gérer la charge de travail du personnel ?
• Comment allons-nous valider les actions du personnel pour l'efficacité ?

La technologie joue un rôle essentiel dans la visibilité des informations nécessaires à des opérations de sécurité efficaces. Il définit ce qui est nécessaire pour obtenir une visibilité sur les informations nécessaires à l'organisation des opérations de sécurité. Parfois, il y a un problème d' outils cloisonnés dans l'industrie qui entraîne une variété de problèmes, y compris une gestion étendue des fournisseurs, une utilisation limitée des fonctionnalités, des fonctionnalités en double. On observe un changement pour s'éloigner des meilleurs outils cloisonnés et vers des plates-formes qui fournissent toutes les fonctionnalités nécessaires dans le SOC sans avoir besoin de gérer différents outils. Lors de l'évaluation des choix technologiques pour un SOC, certaines questions importantes à prendre en compte incluent :

• Quelle technologie sera utilisée pour offrir la meilleure visibilité ?
• Quels sont les composants les plus importants à mettre en œuvre ?
• Comment choisir les meilleurs logs à analyser et obtenir la meilleure visibilité ?
• Comment pouvons-nous nous assurer que la technologie est capable de s'adapter et d'évoluer à mesure que le paysage des menaces change ?
• Comment pouvons-nous minimiser le nombre d'outils cloisonnés et la gestion des fournisseurs nécessaires ?
• Comment choisir un composant parmi différents fournisseurs ?
• Comment pouvons-nous nous assurer que la technologie est conviviale et facile à utiliser, afin de minimiser la dégradation des utilisateurs et d'améliorer l'efficacité globale ?

Processus

Le troisième pilier d'un SOC concerne les processus. Ils jouent un rôle important dans l'organisation des opérations de sécurité, car ils définissent les procédures et les flux de travail qui sont exécutés pour réaliser la mission globale du SOC. Ces processus et procédures peuvent inclure la réponse aux incidents, la gestion des vulnérabilités, la conformité, la gestion et la gouvernance de la sécurité. Ils fournissent une structure et des conseils à l'équipe des opérations de sécurité, garantissant que les tâches sont exécutées de manière efficace et efficiente. Lors de l'évaluation et du développement de processus pour un SOC, certaines questions importantes à prendre en compte incluent :

• Quels processus doivent être définis ?
• Ces processus peuvent-ils être automatisés ?
• À quelle fréquence les processus devront-ils être révisés et mis à jour ?

Le but des opérations de sécurité est d'identifier, d'enquêter et d'atténuer les menaces. Le point le plus difficile dans les opérations de sécurité consiste à minimiser le temps d'identification et le temps d'atténuation afin que les analystes puissent trouver le moment approprié pour enquêter sur la cause première des incidents.

La majeure partie du temps de l'analyste SOC est consacrée à l'identification des incidents en raison des alertes peu fiables sur lesquelles il doit travailler. Ainsi, beaucoup de temps est également consacré à la phase d'atténuation causée par le poids du processus de réponse aux incidents. Ceci est dû au manque de correction automatisée. Une politique basée sur la prévention correctement mise en œuvre et une corrélation automatisée contribuent à réduire le temps nécessaire à ces phases.

La mise en œuvre d'une politique basée sur la prévention peut aider à réduire le temps nécessaire à la phase d'identification en fournissant des alertes plus précises et exploitables. Les outils de remédiation automatisés peuvent également aider à rationaliser la phase d'atténuation en permettant aux analystes de prendre rapidement et efficacement des mesures correctives pour contenir et résoudre les incidents.

• Choix des règles : la conception et la mise en œuvre de règles optimisées sur les systèmes de sécurité peuvent avoir un impact important sur le nombre de fausses alertes positives. Les règles doivent être évaluées et améliorées à chaque fois.
• Correction automatisée : peut aider à rationaliser le processus d'atténuation en permettant aux analystes de prendre rapidement et efficacement des mesures correctives pour résoudre les incidents.
• Investissez dans les outils : donner aux analystes l'accès à une gamme d'outils d'investigation, tels que l'analyse du trafic réseau et les plates-formes de renseignement sur les menaces, peut les aider à évaluer rapidement les menaces et à déterminer le plan d'action approprié.
• Clarifier les processus du SOC : disposer de processus et de procédures de réponse aux incidents clairs et bien définis peut aider les analystes à répondre aux incidents de sécurité rapidement et efficacement.
• Communication et collaboration : en établissant des relations solides et une communication efficace avec d'autres équipes, telles que l'équipe de réponse aux incidents, Network Team peut aider à rationaliser le processus d'enquête et à réduire le temps nécessaire pour contenir une violation.

Le choix de la prestation des opérations de sécurité est généralement motivé par des facteurs clés, notamment les besoins de l'entreprise, la présence mondiale, l'accès aux ressources et le financement.

En interne

Un SOC interne conserve la connaissance et le contrôle de l'environnement au sein de l'entreprise. Cependant, cela peut nécessiter un investissement initial considérable, en fonction de la taille de l'opération. Cela dépend également de la capacité à suivre le rythme du personnel interne, qui reste un défi majeur pour les organisations de sécurité.

L'un des principaux défis pour les organisations lors de la mise en œuvre d'un SOC interne est la dotation en personnel. Le maintien du personnel interne peut être un défi majeur pour les organisations de sécurité, car cela nécessite l'embauche, la formation et la rétention de professionnels de la sécurité qualifiés. Cela peut être difficile en raison de la pénurie actuelle de talents en cybersécurité et de la forte demande de professionnels de la sécurité qualifiés.

De plus, le maintien d'un SOC interne nécessite également un investissement continu en termes de technologie et d'outils pour rester au courant de l'évolution du paysage des menaces et pour maintenir les performances du SOC à un niveau optimal. Cela nécessite également de maintenir l'équipe à jour avec les dernières connaissances et compétences pour s'adapter aux nouvelles technologies et menaces.

Dans l'ensemble, si un SOC interne peut fournir un niveau de contrôle et de visibilité accru sur l'environnement de sécurité de l'organisation, il nécessite également un investissement important en termes de technologie et de talents.

Appentis

Opérations de sécurité externalisées, donne accès à des experts, une technologie de pointe, des processus avancés. Cependant, cela nécessite toujours des ressources internes pour effectuer les tâches de correction et peut réduire le nombre de processus personnalisés pouvant être mis en place. Cela nécessite de bons accords de niveau de service (SLA) entre le client et le fournisseur de services de sécurité gérés (MSSP), ainsi qu'une surveillance et des tests cohérents des SLA pour garantir la qualité. Cette configuration peut également entraîner des problèmes de conformité à différents endroits dans le monde.

Donc?

De nombreuses organisations choisissent une solution hybride avec certaines fonctions externalisées, comme les analystes de niveau 1, pour identifier les tâches prioritaires. Cette solution donne accès à des compétences supplémentaires qui peuvent ne pas être présentes en interne et peut offrir à la fois flexibilité et évolutivité. Cela nécessite des accords d'interface stricts et des processus serrés autour des escalades et de la communication. Une option de livraison émergente consiste à utiliser l'automatisation robotique des décisions pour remplir le rôle d'un analyste de niveau 1, puis à intégrer ou externaliser les tâches élevées d'un SOC. Souvent qualifiés d'intelligence artificielle, ces systèmes utilisent des mathématiques probabilistes avancées qui peuvent être entraînées à raisonner comme un analyste SOC et peuvent identifier des événements haute fidélité qui justifient une enquête plus approfondie.

À plusieurs niveaux ou infatigable ?

Un SOC à plusieurs niveaux est un SOC qui est organisé en différents niveaux ou niveaux, chaque niveau étant responsable de différentes tâches et responsabilités. Les niveaux sont généralement organisés en fonction du niveau d'expertise et de compétence requis pour les tâches exécutées. Par exemple, une structure SOC commune à plusieurs niveaux comprend :

• Niveau 1 : ce niveau est responsable du triage et de l'analyse initiale des événements et des alertes de sécurité. Il peut également gérer des tâches de correction simples et une escalade vers des niveaux supérieurs en cas de besoin.
• Niveau 2 : ce niveau est responsable d'une analyse plus approfondie des événements et alertes de sécurité, ainsi que des tâches de correction plus complexes. Il peut également être chargé d'élaborer et de mettre en œuvre des plans d'intervention en cas d'incident.
• Niveau 3 : ce niveau est responsable de l'analyse et de l'investigation de haut niveau des événements et alertes de sécurité, ainsi que des tâches de correction avancées. Il peut également être responsable du développement et du maintien de la posture de sécurité globale de l'organisation.

Un SOC infatigable, en revanche, n'a pas de structure ou de hiérarchie définie. Au lieu de cela, tous les analystes du SOC doivent avoir un niveau d'expertise similaire et sont responsables de la gestion de tous les aspects des opérations de sécurité, du triage et de l'analyse à la résolution et à la réponse aux incidents. Un SOC infatigable peut être plus flexible et nécessiter moins de ressources pour sa maintenance, mais il peut également être moins efficace en raison du manque de spécialisation.

Conclusion

Dans ce premier article, nous avons une idée globale du Security Operations Center. Dans les prochains articles, nous parlerons des piliers d'un Security Operations Center afin que le lecteur se fasse une meilleure idée et nous donnerons un échantillon et un exemple sur les technologies que vous pouvez utiliser pour un SOC dans un environnement professionnel.