SOC (Security Operations Center) – подразделение или внешний сервис, который круглосуточно отслеживает события информационной безопасности, выявляет атаки и инциденты, расследует их и организует реагирование. SOC объединяет людей (аналитиков разных уровней), процессы и технологии.
Технологии SOC
- SIEM – сбор и корреляция событий.
- SOAR – автоматизация реагирования.
- EDR и XDR – обнаружение на конечных точках.
- NTA/NDR – анализ сетевого трафика.
- Threat Intelligence – данные об угрозах.
- Системы управления инцидентами и база знаний.
Модели
- Собственный SOC.
- Коммерческий SOC (MSSP) – услуги по подписке.
- Гибридный: часть функций у компании, часть – у провайдера.
В России
Для субъектов КИИ важно взаимодействие с ГосСОПКА: центры ГосСОПКА передают сведения об инцидентах в НКЦКИ. Многие коммерческие SOC имеют лицензии ФСТЭК и ФСБ и аккредитацию как центры ГосСОПКА.
