Přeskočit na obsah
BigTree108

SOC jako služba a bezpečnostní monitoring

SOC jako služba a bezpečnostní monitoring: spravovaný SOC pokrývající hodiny, které si zvolíte, nasazení a migrace SIEM, onboarding logů, detection engineering, provoz EDR a XDR, retainery pro reakci na incidenty, správa zranitelností, automatizace reakcí a threat hunting, s dedikovanými SOC analytiky a inženýry detekce pro váš tým.

Služby bezpečnostních operací, které poskytujeme

  • Spravovaný SOC

    Upozornění z vašeho SIEM a EDR, která třídí analytici během vaší pracovní doby nebo nepřetržitě, potvrzené incidenty eskalované vaší pohotovosti v dohodnutých časech reakce a měsíční zpráva o tom, co se zachytilo, co se uzavřelo a které detekce se ladily.

  • Nasazení a migrace SIEM

    Microsoft Sentinel v portálu Defender, Splunk Enterprise Security, Elastic Security, Google Security Operations nebo Wazuh nastavené s uchováváním, přístupem a limity nákladů naplánovanými dříve, než data dorazí, a migrace mezi SIEM, při nichž se každá detekce přestaví a otestuje na nové platformě dříve, než se ta stará vypne.

  • Onboarding zdrojů logů

    Auditní logy cloudu, přihlášení Entra ID a Okta, aktivita Microsoft 365 a Google Workspace, firewally, EDR a vaše vlastní aplikace normalizované do jednoho schématu, například ASIM, ECS nebo OCSF, s Cribl nebo vlastní pipeline SIEM, které šum zahodí dříve, než se zúčtuje.

  • Detection engineering

    Detekční pravidla držená jako kód v Gitu, psaná v Sigma nebo přímo v KQL, SPL či ES|QL, namapovaná na MITRE ATT&CK, před vydáním testovaná na simulovaných útocích s Atomic Red Team a laděná, dokud analytici nevěří tomu, co se spustí.

  • Provoz EDR a XDR

    Microsoft Defender for Endpoint, CrowdStrike Falcon nebo SentinelOne nasazené na každém serveru a notebooku se zapnutou ochranou proti neoprávněným zásahům, s krátkými a revidovanými výjimkami a zařízeními izolovanými z konzole, jakmile se potvrdí kompromitace.

  • Retainery pro reakci na incidenty

    Podmínky dohodnuté dříve, než se cokoli stane: kontakty, přístup, zacházení s důkazy a hodiny, ve kterých odpovídáme. Když incident přijde, následuje omezení škod, forenzní sběr dat pomocí Velociraptor, odstranění příčiny a písemná zpráva a hodiny nevyčerpané na incidenty se věnují přípravě, například revizím playbooků a cvičením reakce.

  • Správa zranitelností

    Servery, kontejnery, notebooky a cloudové zdroje skenované pomocí Tenable, Qualys, Rapid7 nebo Microsoft Defender Vulnerability Management, zjištění seřazená podle zneužitelnosti podle EPSS a katalogu Known Exploited Vulnerabilities od CISA a termíny oprav podle závažnosti sledované do uzavření s týmem, který zdroj vlastní.

  • SOAR a automatizace reakcí

    Automatizační pravidla Sentinelu a playbooky Logic Apps, Splunk SOAR, Tines nebo Torq, které každé upozornění obohatí, otevřou tiket a upozorní správného člověka, s kroky, které zakáží účet nebo izolují zařízení, čekajícími na schválení analytika.

  • Threat hunting

    Hunty vycházející z hypotézy, nové zprávy o hrozbách nebo techniky ATT&CK, kterou vaše detekce zatím nepokrývají, prováděné nad logy uchovávanými měsíce, každý zakončený novým detekčním pravidlem nebo písemnou poznámkou, proč hypotéza neobstála.

SOC analytici a inženýři detekce do vašeho týmu

  • Dedikovaní SOC analytici a inženýři detekce

    SOC analytici a inženýři detekce, kteří nastoupí do vašeho týmu na plný úvazek, pracují ve vašich nástrojích a procesu a zodpovídají se vašemu vedoucímu. Pohovor s nimi vedete vy; my neseme ukrajinskou smlouvu, mzdy, fakturaci a dovolenou.

  • Projekty v oblasti „Bezpečnostní operace“

    Vymezená část práce v oblasti „bezpečnostní operace“ s rozsahem, pevným plánem a jmenovaným vedoucím na naší straně, který odpovídá za výsledek a o postupu informuje ve vašich kanálech.

  • Průběžná spolupráce v oblasti „bezpečnostní operace“

    Průběžná služba v oblasti „Bezpečnostní operace“: každý měsíc stejní lidé, backlog, kterému určujete priority, a hodiny, které vidíte v našem portálu i na faktuře.

Stránka o dedikovaném týmu vysvětluje, jak se specialisté připojují k vašemu týmu, a stránka o outsourcingu pokrývá dodávku projektů, převzetí systémů a jak účtujeme.

Kdo pracuje na vašem zadání v oblasti „bezpečnostní operace“

  • SOC analytici

    Třídění a eskalace upozornění, první a druhá linie

  • Inženýři detekce

    Pravidla jako kód, ladění a simulace útoků

  • Inženýři SIEM

    Nastavení platformy, pipeline logů a náklady na příjem dat

  • Řešitelé incidentů

    Omezení škod, forenzní analýza a zprávy o incidentech

  • Threat hunteři

    Hunty vedené hypotézou napříč uchovávanými logy

Jak provozujeme bezpečnostní operace

Než monitoring začne, dohodneme, co je pokryto, hodiny, dobu reakce pro každou závažnost a koho ve vašem týmu volat s čím. Každý typ upozornění má runbook, každá eskalace je zapsána ve vašem ticketingovém systému a analytici pracují přes pojmenované účty jen s přístupem, který třídění potřebuje, takže jejich vlastní akce jsou vidět v auditním logu.

Detekce se berou jako kód: verzované, revidované, testované na simulovaných útocích a měřené podle toho, jak často se spustí zbytečně. Zjištění z penetračních testů a incidentů se vracejí jako nová pravidla, takže stejná technika se zachytí příště. Stejně sledujeme i vlastní zařízení: naše notebooky kontroluje agent, kterého jsme napsali v Rustu, vůči naší bezpečnostní základně na Windows, macOS a Ubuntu, s kontrolami namapovanými na ISO 27001, CIS, Cyber Essentials, Essential Eight a SOC 2.

Další služby cloudu, DevOps a bezpečnosti

Přehled: Cloud, DevOps a bezpečnost

Dotazy k SOC a bezpečnostnímu monitoringu

V jakých oborech vaši SOC analytici pracují?

Většinou u firem kybernetické bezpečnosti, na službách řízené detekce a na detekčním obsahu v jejich produktech; ve fintechu, bankovnictví a pojišťovnictví, kde jsou monitoring a hlášení incidentů regulatorní povinností podle DORA a PCI DSS; u průmyslových a energetických firem sledujících kancelářské i provozní sítě; v e-commerce, kde chrání zákaznické účty před převzetím a podvody; u SaaS firem, jejichž zákazníci očekávají nepřetržitý monitoring; a u poskytovatelů hostingu a telekomunikací a ve veřejném sektoru.

Monitorujete nepřetržitě?

Ano, když to potřebujete: pracovní doba ve vašem časovém pásmu, prodloužená doba nebo pokrytí 24/7 ve směnách, dohodnuté před zahájením monitoringu. Ke každé variantě patří písemné doby reakce podle závažnosti a pojmenovaná eskalační cesta do vašeho týmu.

Dokážete pracovat s naším stávajícím SIEM a EDR?

Ano. Většina zakázek běží na vlastním Microsoft Sentinelu, Splunku, Elasticu, Google Security Operations nebo Wazuhu klienta a na už nasazeném EDR, takže data zůstávají ve vašem tenantu a pod vašimi licencemi. Analytici se přihlašují přes účty, které vydáte a můžete odvolat.

Co se stane, když analytik najde skutečný incident?

Analytik ho potvrdí, zavolá vašemu určenému kontaktu v dohodnuté době reakce a tam, kde jste to předem schválili, incident omezí: zakáže účet, izoluje zařízení, odvolá token. Řešitelé incidentů poté shromáždí důkazy, najdou příčinu a napíšou zprávu, včetně toho, co a do kdy se musí oznámit regulátorům a zákazníkům.

Jak rychle mohou nastoupit SOC analytici a inženýři detekce?

Když je k dispozici ten pravý SOC analytik, začátek brzdí jen váš pohovor, NDA a převod práv duševního vlastnictví. Jinak vedeme hledání, které obvykle přinese profily kandidátů do dvou až tří týdnů, a nikdo nenastoupí, dokud neřeknete ano.

Jak probíhá najímání přes BigTree108 (role: SOC analytici a inženýři detekce)?

Řekněte nám, jakou práci, jakou seniority a kolik hodin potřebujete. Navrhneme jednoho nebo dva lidi s jejich profily, pohovoříte s nimi stejně jako s vlastním zaměstnancem a podepíšete jednu smlouvu s BIG TREE 108 LLC a budete dostávat jednu fakturu měsíčně.

Komu patří práce, kterou vytvářejí?

Vám. Každý specialista má podepsanou smlouvu s BigTree108, která převádí všechny výsledky práce na společnost, a naše smlouva s vámi je převádí dál. Kód, návrhy a dokumenty se dodávají do vašich vlastních repozitářů a nástrojů, ne do míst, kde je můžeme měnit jen my.

Potřebujete SOC nebo bezpečnostní monitoring?

Sdělte nám, co provozujete, jaké bezpečnostní nástroje máte a jaké hodiny potřebujete pokrýt. Do jednoho pracovního dne dostanete odpověď: návrh pokrytí, plán pro váš SIEM nebo profily kandidátů.

Napište na hello@bigtree108.comJak odpovídáme