Questa è una serie di articoli in cui presenterò alcune informazioni sul Security Operations Center dopo aver fatto parte del Security Operations Center per più di 2 anni.

In questo particolare articolo scopriremo alcune informazioni generali sul Security Operations Center. A partire dai suoi obiettivi, dai suoi pilastri e dalla sua modalità operativa.

Cos'è un SOC?

Un Security Operations Center o semplicemente SOC, è un'unità centralizzata all'interno di un'organizzazione che è responsabile della gestione e della protezione delle informazioni e dei sistemi informativi di un'organizzazione.

Obiettivi di un SOC

In generale, il SOC dovrebbe mantenere i controlli di sicurezza per aiutare i suoi dipendenti con i loro compiti come il monitoraggio, l'analisi, la risposta agli incidenti.

• Monitoraggio : il SOC tiene d'occhio gli eventi e le anomalie relativi alla sicurezza sulla rete e sui sistemi dell'organizzazione.
• Analisi: il SOC esamina e analizza gli eventi e gli incidenti di sicurezza generati da più tecnologie utilizzate dal personale del SOC.
• Risposta agli incidenti: il SOC crea e implementa piani di risposta che includono procedure di contenimento, eradicazione e recupero.

Pilastri di un SOC

Possiamo identificare 3 pilastri principali:

• Persone
• Tecnologia
• Processi

Un team altamente qualificato ed esperto di professionisti della sicurezza, inclusi analisti SOC, soccorritori di incidenti e ingegneri della sicurezza che sono responsabili del monitoraggio e della protezione delle risorse informative dell'organizzazione. Le persone definiscono gli esseri umani che raggiungeranno gli obiettivi del team delle operazioni di sicurezza e il modo in cui saranno gestiti. Prima di pensare al reclutamento di talenti, è necessario considerare alcune domande:

• Come troveremo il personale e lo formeremo per svolgere i loro ruoli?
• Cosa faremo per trattenerli?
• Come gestiremo i carichi di lavoro del personale?
• Come convalideremo l'efficacia delle azioni del personale?

La tecnologia svolge un ruolo fondamentale nel raggiungere la visibilità delle informazioni necessarie per operazioni di sicurezza efficaci. Definisce ciò che è necessario per ottenere la visibilità delle informazioni necessarie nell'organizzazione delle operazioni di sicurezza. A volte, c'è un problema di strumenti in silo nel settore che porta a una varietà di problemi, tra cui un'ampia gestione dei fornitori, un uso limitato delle funzionalità, funzionalità duplicate. Si sta assistendo a un passaggio dai migliori strumenti in silo a piattaforme che forniscono tutte le funzionalità necessarie nel SOC senza la necessità di gestire strumenti diversi. Quando si valutano le scelte tecnologiche per un SOC, alcune domande importanti da considerare includono:

• Quale tecnologia verrà utilizzata per fornire la migliore visibilità?
• Quali sono i componenti più importanti che dovrebbero essere implementati?
• Come possiamo scegliere i migliori log da analizzare e ottenere la migliore visibilità?
• Come possiamo garantire che la tecnologia sia in grado di adattarsi ed evolversi man mano che il panorama delle minacce cambia?
• Come possiamo ridurre al minimo il numero di strumenti in silos e la gestione dei fornitori richiesti?
• Come scegliere un componente da diversi fornitori?
• Come possiamo garantire che la tecnologia sia user-friendly e facile da usare, per ridurre al minimo il degrado dell'utente e migliorare l'efficienza complessiva?

Processi

Il terzo pilastro per un SOC sono i processi. Hanno un ruolo importante nell'organizzazione delle operazioni di sicurezza, in quanto definiscono le procedure e i flussi di lavoro che vengono eseguiti per raggiungere la missione complessiva del SOC. Questi processi e procedure possono includere la risposta agli incidenti, la gestione delle vulnerabilità, la conformità, la gestione e la governance della sicurezza. Forniscono struttura e guida per il team delle operazioni di sicurezza, assicurando che le attività siano completate in modo efficiente ed efficace. Quando si valutano e si sviluppano processi per un SOC, alcune domande importanti da considerare includono:

• Quali processi devono essere definiti?
• Questi processi possono essere automatizzati?
• Con quale frequenza i processi dovranno essere rivisti e aggiornati?

Lo scopo delle operazioni di sicurezza è identificare, indagare e mitigare le minacce. Il punto più impegnativo nelle operazioni di sicurezza è ridurre al minimo il tempo di identificazione e il tempo di mitigazione in modo che gli analisti possano trovare il momento appropriato per indagare sulla causa principale degli incidenti.

La maggior parte del tempo dell'analista SOC viene impiegata nell'identificazione degli incidenti a causa degli avvisi a bassa fedeltà su cui devono lavorare. Pertanto, molto tempo viene speso anche nella fase di mitigazione causata dal peso del processo di risposta agli incidenti. Ciò è dovuto alla mancanza di rimedi automatizzati. La corretta implementazione di policy basate sulla prevenzione e la correlazione automatizzata aiutano a ridurre il tempo necessario per queste fasi.

L'implementazione di policy basate sulla prevenzione può aiutare a ridurre il tempo necessario per la fase di identificazione fornendo avvisi più accurati e attuabili. Gli strumenti di riparazione automatizzati possono anche aiutare a semplificare la fase di mitigazione, consentendo agli analisti di intraprendere azioni correttive in modo rapido ed efficiente per contenere e risolvere gli incidenti.

• Scelta delle regole: la progettazione e l'implementazione di regole ottimizzate sui sistemi di sicurezza può avere un grande impatto sul numero di falsi allarmi positivi. Le regole vanno valutate e migliorate ogni volta.
• Correzione automatica: può aiutare a semplificare il processo di mitigazione consentendo agli analisti di intraprendere azioni correttive in modo rapido ed efficiente per risolvere gli incidenti.
• Investire sugli strumenti: fornire agli analisti l'accesso a una gamma di strumenti investigativi, come l'analisi del traffico di rete e le piattaforme di intelligence sulle minacce, può aiutarli a valutare rapidamente le minacce e determinare la linea d'azione appropriata.
• Chiarire i processi del SOC: avere processi e procedure di risposta agli incidenti chiari e ben definiti può aiutare gli analisti a rispondere agli incidenti di sicurezza in modo rapido ed efficiente.
• Comunicazione e collaborazione: creando solide relazioni e una comunicazione efficace con altri team, come il team di risposta agli incidenti, Network Team può aiutare a semplificare il processo di indagine e ridurre il tempo necessario per contenere una violazione.

La scelta nella consegna delle operazioni di sicurezza è solitamente guidata da fattori chiave, tra cui le esigenze dell'azienda, la presenza globale, l'accesso alle risorse e il finanziamento.

In casa

Un SOC interno mantiene la conoscenza e il controllo dell'ambiente all'interno dell'azienda. Tuttavia, può richiedere un investimento iniziale considerevole, a seconda delle dimensioni dell'operazione. Dipende anche dalla capacità di tenere il passo con il personale interno, che rimane una sfida importante per le organizzazioni di sicurezza.

Una delle principali sfide per le organizzazioni quando si implementa un SOC interno è il personale. Tenere il passo con il personale interno può rappresentare una sfida importante per le organizzazioni di sicurezza, in quanto richiede l'assunzione, la formazione e il mantenimento di professionisti della sicurezza qualificati. Ciò può essere difficile a causa dell'attuale carenza di talenti della sicurezza informatica e dell'elevata domanda di professionisti della sicurezza qualificati.

Inoltre, il mantenimento di un SOC interno richiede anche investimenti continui in termini di tecnologia e strumenti per rimanere aggiornati con il panorama delle minacce in continua evoluzione e per mantenere le prestazioni del SOC a un livello ottimale. Richiede inoltre di mantenere il team aggiornato con le ultime conoscenze e competenze per adattarsi alle nuove tecnologie e minacce.

Nel complesso, mentre un SOC interno può fornire un maggiore livello di controllo e visibilità sull'ambiente di sicurezza dell'organizzazione, richiede anche un investimento significativo in termini di tecnologia e talenti.

Fuori casa

Operazioni di sicurezza esternalizzate, fornisce accesso a esperti, tecnologia avanzata, processi avanzati. Tuttavia, richiede ancora risorse interne per eseguire attività di correzione e può ridurre il numero di processi personalizzati che possono essere messi in atto. Richiede buoni accordi sul livello di servizio (SLA) tra il cliente e il fornitore di servizi di sicurezza gestiti (MSSP) e monitoraggio e test coerenti degli SLA per garantire la qualità. Questa configurazione può anche causare problemi di conformità in diverse località globali.

COSÌ?

Molte organizzazioni scelgono una soluzione ibrida con alcune funzioni esternalizzate, come gli analisti di livello 1, per identificare le attività prioritarie. Questa soluzione fornisce l'accesso a competenze aggiuntive che potrebbero non essere presenti internamente e può fornire flessibilità e scalabilità. Richiede accordi di interfaccia rigorosi e processi rigorosi su escalation e comunicazione. Un'opzione di consegna emergente consiste nell'utilizzare l'automazione robotica delle decisioni per ricoprire il ruolo di un analista di livello 1 e quindi in-source o esternalizzare le attività elevate di un SOC. Spesso etichettati come intelligenza artificiale, questi sistemi utilizzano matematica probabilistica avanzata che può essere addestrata a ragionare come un analista SOC e può identificare eventi ad alta fedeltà che richiedono ulteriori indagini.

A più livelli o instancabile?

Un SOC a più livelli è organizzato in diversi livelli o livelli, con ciascun livello responsabile di attività e responsabilità diverse. I livelli sono in genere organizzati in base al livello di esperienza e abilità richieste per le attività da svolgere. Ad esempio, una struttura SOC a più livelli comune include:

• Livello 1: questo livello è responsabile della valutazione e dell'analisi iniziale degli eventi e degli avvisi di sicurezza. Può anche gestire semplici attività di riparazione ed escalation a livelli superiori quando necessario.
• Livello 2: questo livello è responsabile di un'analisi più approfondita degli eventi e degli avvisi di sicurezza, nonché di attività di correzione più complesse. Può anche essere responsabile dello sviluppo e dell'implementazione dei piani di risposta agli incidenti.
• Livello 3: questo livello è responsabile dell'analisi e dell'indagine di alto livello degli eventi e degli avvisi di sicurezza, nonché delle attività di correzione avanzate. Può anche essere responsabile dello sviluppo e del mantenimento della posizione di sicurezza complessiva dell'organizzazione.

Un SOC instancabile, invece, non ha una struttura o una gerarchia definita. Tutti gli analisti del SOC devono invece avere un livello di competenza simile e sono responsabili della gestione di tutti gli aspetti delle operazioni di sicurezza, dal triage e dall'analisi alla risoluzione e alla risposta agli incidenti. Un SOC instancabile può essere più flessibile e può richiedere meno risorse per essere mantenuto, ma può anche essere meno efficiente a causa della mancanza di specializzazione.

Conclusione

In questo primo articolo, abbiamo un'idea generale del Security Operations Center. Nei prossimi articoli parleremo dei pilastri di un Security Operations Center in modo che il lettore abbia un'idea migliore e daremo un campione ed esempio sulle tecnologie che potresti utilizzare per un SOC in un ambiente professionale.