Vai al contenuto
BigTree108

SOC as a service e monitoraggio della sicurezza

SOC as a service e monitoraggio della sicurezza: un SOC gestito che copre le ore che sceglie, deployment e migrazione di SIEM, onboarding dei log, detection engineering, gestione di EDR e XDR, retainer di incident response, gestione delle vulnerabilità, automazione della risposta e threat hunting, con analisti SOC e detection engineer dedicati per il Suo team.

I servizi di security operations che offriamo

  • SOC gestito

    Alert del Suo SIEM e dell’EDR classificati dagli analisti durante il Suo orario di lavoro o h24, incidenti confermati inoltrati al Suo servizio di reperibilità entro i tempi di risposta concordati, e un report mensile su ciò che è stato visto, che cosa è stato chiuso e quali rilevamenti sono stati ottimizzati.

  • Deployment e migrazione di SIEM

    Microsoft Sentinel nel portale Defender, Splunk Enterprise Security, Elastic Security, Google Security Operations o Wazuh configurati con limiti di conservazione, accesso e costo pianificati prima che arrivino i dati, e migrazioni tra SIEM con ogni rilevamento ricostruito e testato sulla nuova piattaforma prima di spegnere la vecchia.

  • Onboarding delle fonti di log

    Audit log del cloud, accessi a Entra ID e Okta, attività di Microsoft 365 e Google Workspace, firewall, EDR e Sue applicazioni analizzati in un unico schema come ASIM, ECS o OCSF, con Cribl o la pipeline del SIEM che scarta il rumore prima che venga fatturato.

  • Detection engineering

    Regole di rilevamento mantenute come codice in Git, scritte in Sigma o direttamente in KQL, SPL o ES|QL, mappate su MITRE ATT&CK, testate con attacchi simulati tramite Atomic Red Team prima del rilascio e ottimizzate finché gli analisti si fidano di ciò che si attiva.

  • Gestione di EDR e XDR

    Microsoft Defender for Endpoint, CrowdStrike Falcon o SentinelOne distribuiti su ogni server e laptop con la tamper protection attiva, esclusioni mantenute brevi e riviste, e dispositivi isolati dalla console non appena una compromissione è confermata.

  • Retainer di incident response

    Condizioni concordate prima che accada qualsiasi cosa: referenti, accessi, gestione delle evidenze e orari in cui rispondiamo. Quando arriva un incidente seguono contenimento, raccolta forense con Velociraptor, eradicazione e un rapporto scritto, e le ore non spese per gli incidenti vanno al lavoro di preparazione, come la revisione dei playbook e le esercitazioni di risposta.

  • Gestione delle vulnerabilità

    Server, container, laptop e risorse cloud sottoposti a scansione con Tenable, Qualys, Rapid7 o Microsoft Defender Vulnerability Management, risultati ordinati per sfruttabilità con EPSS e il catalogo Known Exploited Vulnerabilities della CISA, e scadenze di correzione per gravità seguite fino alla chiusura con il team responsabile.

  • SOAR e automazione della risposta

    Regole di automazione di Sentinel e playbook Logic Apps, Splunk SOAR, Tines o Torq che arricchiscono ogni alert, aprono il ticket e avvisano la persona giusta, con i passaggi che disabilitano un account o isolano un dispositivo in attesa dell’approvazione di un analista.

  • Threat hunting

    Ricerche che partono da un’ipotesi, da un nuovo rapporto sulle minacce o da una tecnica ATT&CK che i Suoi rilevamenti non coprono ancora, eseguite su mesi di log conservati, ciascuna conclusa con una nuova regola di rilevamento o con una nota scritta sul perché l’ipotesi non ha retto.

Ingaggiare Analisti SOC e detection engineer

  • Analisti SOC e detection engineer dedicati

    Analisti SOC e detection engineer che entrano a tempo pieno nel Suo team, lavorano con i Suoi strumenti e il Suo processo e rispondono al Suo responsabile. Li intervista Lei; noi ci occupiamo del contratto ucraino, delle buste paga, della fatturazione e delle ferie.

  • Progetti di Security operations

    Un’attività di security operations ben definita, con un perimetro, un piano fisso e un responsabile nominato da parte nostra che risponde del risultato e riferisce sull’avanzamento nei Suoi canali.

  • security operations su base continuativa

    Security operations come servizio continuativo: le stesse persone ogni mese, un backlog di cui Lei stabilisce le priorità e ore che può vedere nel nostro portale e in fattura.

La pagina sul team dedicato spiega come gli specialisti entrano nel Suo team, e la pagina sull’outsourcing tratta la realizzazione di progetti, le prese in carico e il modo in cui fatturiamo.

Chi si occupa di security operations per Lei

  • Analisti SOC

    Triage e escalation degli alert, primo e secondo livello

  • Detection engineer

    Regole come codice, ottimizzazione e simulazione di attacchi

  • Ingegneri SIEM

    Configurazione della piattaforma, pipeline di log e costo di ingestione

  • Incident responder

    Contenimento, analisi forense e rapporti sugli incidenti

  • Threat hunter

    Ricerche guidate da ipotesi sui log conservati

Come svolgiamo le security operations

Prima che il monitoraggio inizi concordiamo che cosa è coperto, gli orari, il tempo di risposta per ogni gravità e chi nel Suo team viene chiamato per che cosa. Ogni tipo di alert ha un runbook, ogni escalation è documentata nel Suo sistema di ticketing e gli analisti lavorano con account nominativi e il solo accesso che il triage richiede, così che le loro stesse azioni compaiano nell’audit log.

I rilevamenti sono trattati come codice: sotto controllo di versione, rivisti, testati con attacchi simulati e misurati in base a quante volte si attivano per nulla. I risultati dei penetration test e degli incidenti tornano come nuove regole, così la stessa tecnica viene intercettata la volta successiva. Controlliamo allo stesso modo i nostri dispositivi: i nostri laptop sono controllati da un agente che abbiamo scritto in Rust rispetto alla nostra baseline di sicurezza, su Windows, macOS e Ubuntu, con controlli mappati su ISO 27001, CIS, Cyber Essentials, Essential Eight e SOC 2.

Altri servizi di cloud, DevOps e sicurezza

Panoramica: Cloud, DevOps e sicurezza

Domande su SOC e monitoraggio della sicurezza

In quali settori lavorano i vostri analisti SOC?

Soprattutto aziende di cybersecurity, con servizi di managed detection e contenuti di rilevamento nei propri prodotti; fintech, banche e assicurazioni, dove monitoraggio e segnalazione degli incidenti sono obblighi normativi ai sensi di DORA e PCI DSS; aziende industriali ed energetiche che sorvegliano reti d’ufficio e di stabilimento; e-commerce, per proteggere gli account dei clienti da furti e frodi; aziende SaaS i cui clienti si aspettano un monitoraggio continuo; e provider di hosting e telecomunicazioni e sistemi del settore pubblico.

Monitorate h24?

Sì, quando serve: orario d’ufficio nel Suo fuso orario, orario esteso o copertura 24/7 a turni, concordati prima dell’avvio del monitoraggio. Ogni opzione prevede tempi di risposta scritti per gravità e un percorso di escalation nominativo verso il Suo team.

Potete lavorare con il SIEM e l’EDR che abbiamo già?

Sì. La maggior parte degli incarichi si svolge sul Microsoft Sentinel, Splunk, Elastic, Google Security Operations o Wazuh del cliente e sull’EDR già installato, così i dati restano nel Suo tenant e sotto le Sue licenze. Gli analisti accedono con account che Lei emette e può revocare.

Che cosa succede quando un analista trova un incidente reale?

L’analista lo conferma, chiama il Suo referente indicato entro il tempo di risposta concordato e, dove Lei lo ha approvato in anticipo, lo contiene: un account disabilitato, un dispositivo isolato, un token revocato. Gli incident responder raccolgono poi le evidenze, individuano la causa radice e scrivono il rapporto, comprese le comunicazioni dovute a autorità e clienti e le relative scadenze.

Con quale rapidità possono iniziare Analisti SOC e detection engineer?

Quando è disponibile il profilo giusto per il ruolo di analista SOC, l’avvio dipende soltanto dal Suo colloquio e dalla firma dell’NDA e della cessione della proprietà intellettuale. Altrimenti avviamo una ricerca, che di norma produce profili di candidati entro due o tre settimane, e nessuno inizia finché Lei non ha detto di sì.

Come ingaggiare Analisti SOC e detection engineer tramite BigTree108?

Ci indichi il lavoro, il livello di seniority e l’impegno orario necessario. Le proponiamo una o due persone con i rispettivi profili, Lei le intervista come farebbe con una Sua assunzione e firma un unico contratto con BIG TREE 108 LLC, ricevendo una sola fattura al mese.

A chi appartiene il lavoro che producono?

A Lei. Ogni specialista ha un contratto firmato con BigTree108 che cede all’azienda tutto il lavoro prodotto, e il nostro accordo con Lei lo cede a sua volta. Codice, design e documenti vengono consegnati nei Suoi repository e strumenti, non conservati dove solo noi possiamo modificarli.

Ha bisogno di un SOC o di monitoraggio della sicurezza?

Ci dica che cosa gestisce, quali strumenti di sicurezza ha e le ore che devono essere coperte. Riceve una risposta entro un giorno lavorativo: una proposta di copertura, un piano per il Suo SIEM o profili di candidati.

Scrivere a hello@bigtree108.comCome rispondiamo