После запуска SIEM инфраструктура продолжает меняться: появляются новые приложения, обновляются средства защиты, сотрудники получают новые роли.
Вместе с этим меняются события и привычная активность.
Поэтому правила обнаружения приходится регулярно проверять и дорабатывать.
У каждого важного сценария должен быть ответственный, который понимает, какие данные нужны правилу, какую угрозу оно выявляет и как проверить его работоспособность.
Полезно регулярно задавать три вопроса:
— продолжают ли поступать нужные события
— выявляет ли правило тот сценарий, ради которого его создавали
— может ли аналитик по срабатыванию принять обоснованное решение.
В рамках работы SOC-центра мы часто дорабатываем или заменяем базовую экспертизу SIEM своими правилами.
Это нормальная практика развития базового контента. Она нужна для более качественных и точных обнаружений, релевантных конкретной инфраструктуре.
Необходимость таких правил выявляется еще в начале работ, а значительная часть доработок приходится на первый квартал работы.
Где помогает гибридный SOC
В гибридной модели внешняя команда может заниматься мониторингом, первичной проверкой сигналов, расследованиями и развитием правил обнаружения.
Внутренняя ИБ-команда помогает оценить происходящее с учетом устройства конкретной компании.
Допустим, обнаружена массовая выгрузка файлов.
Внешний аналитик собирает последовательность действий и оценивает признаки подозрительной активности.
Внутренняя команда выясняет, связана ли выгрузка с согласованной миграцией, кто владеет данными и какие ограничения допустимы для этой системы.
Такая работа требует понятного распределения ответственности и доступного канала связи. Если контекст нельзя получить вовремя, проверка сигнала затягивается.
Поэтому активное взаимодействие — один из основополагающих факторов успешной работы гибридного SOC-центра.
SIEM дает SOC общую основу для обнаружения и расследования. События можно сопоставлять, проверять и восстанавливать по ним ход действий.
Но ее практическая ценность проявляется в конкретном результате: команда замечает подозрительную активность, понимает, что произошло, и успевает принять меры.
Для этого нужны качественные данные, проверенные правила и люди, которые знают, что делать со срабатыванием.
