Собственный SOC кажется самым контролируемым вариантом: команда внутри, процессы свои, инфраструктура под рукой.
Но на практике вместе с этим компания получает и весь объем постоянной операционной нагрузки: поиск и удержание специалистов, поддержание их компетенций, круглосуточные смены, развитие правил корреляции, расследования, донастройку средств мониторинга и постоянную адаптацию под изменения инфраструктуры.
Именно нехватку квалифицированных специалистов, сложность поддержания компетенций собственной команды и высокую нагрузку на ИБ-подразделение мы видим среди основных проблем при построении мониторинга.
Полностью внешний SOC решает часть этих вопросов, но не всегда дает тот уровень вовлеченности во внутренние процессы, который нужен крупной инфраструктуре.
Поэтому для нас рабочий вариант — гибридный SOC. В этой модели внешняя команда берет на себя круглосуточный мониторинг, расследование и часть операционной экспертизы, а внутренняя ИБ-команда сохраняет контекст, приоритеты и контроль над своей инфраструктурой. Но ценность SOC определяется не самим фактом круглосуточного мониторинга.
Гибридный SOC должен помогать развивать сам контур мониторинга:
- закрывать слепые зоны
- приоритизировать источники
- дорабатывать правила корреляции
- улучшать качество данных
- давать рекомендации по донастройке СЗИ
- подключать Threat Hunting и сценарии реагирования там, где это действительно нужно.
Наш гибридный подход строится так: круглосуточный мониторинг сочетается с развитием уже существующих у заказчика средств и процессов. Мы не предлагаем строить еще один SOC рядом с действующим — задача в том, чтобы сделать текущий контур обнаружения и реагирования эффективнее.
При этом контроль и бизнес-контекст остаются внутри компании, а мы подключаемся там, где нужны дополнительные ресурсы, 24/7 и специализированная экспертиза. Чтобы внутренней команде не приходилось закрывать весь этот объем задач своими силами.
