Przejdź do treści
BigTree108

SOC jako usługa i monitorowanie bezpieczeństwa

SOC jako usługa i monitorowanie bezpieczeństwa: zarządzany SOC obejmujący wybrane przez Państwa godziny, wdrożenie i migracja SIEM, podłączanie logów, inżynieria detekcji, obsługa EDR i XDR, umowy retainer na reagowanie na incydenty, zarządzanie podatnościami, automatyzacja reakcji i threat hunting, z dedykowanymi analitykami SOC i inżynierami detekcji w Państwa zespole.

Usługi operacji bezpieczeństwa, które świadczymy

  • Zarządzany SOC

    Alerty z Państwa SIEM i EDR segregowane przez analityków w Państwa godzinach pracy lub całodobowo, potwierdzone incydenty eskalowane do Państwa dyżuru w uzgodnionych czasach reakcji oraz miesięczny raport o tym, co zaobserwowano, co zamknięto i które detekcje dostrojono.

  • Wdrożenie i migracja SIEM

    Microsoft Sentinel w portalu Defender, Splunk Enterprise Security, Elastic Security, Google Security Operations lub Wazuh skonfigurowane z retencją, dostępem i limitami kosztów zaplanowanymi, zanim pojawią się dane, oraz migracje między systemami SIEM, w których każda detekcja jest odbudowana i przetestowana na nowej platformie, zanim stara zostanie wyłączona.

  • Podłączanie źródeł logów

    Dzienniki audytu chmury, logowania Entra ID i Okta, aktywność Microsoft 365 i Google Workspace, zapory, EDR i Państwa własne aplikacje parsowane do jednego schematu, takiego jak ASIM, ECS lub OCSF, z Cribl lub własnym potokiem SIEM odrzucającym szum, zanim zostanie naliczona opłata.

  • Inżynieria detekcji

    Reguły detekcji utrzymywane jako kod w Git, pisane w Sigma lub bezpośrednio w KQL, SPL czy ES|QL, powiązane z MITRE ATT&CK, testowane na symulowanych atakach z Atomic Red Team przed wydaniem i dostrajane, aż analitycy zaufają temu, co się uruchamia.

  • Obsługa EDR i XDR

    Microsoft Defender for Endpoint, CrowdStrike Falcon lub SentinelOne wdrożone na każdym serwerze i laptopie z włączoną ochroną przed manipulacją, wyjątkami utrzymywanymi krótko i przeglądanymi oraz urządzeniami izolowanymi z konsoli, gdy tylko potwierdzone zostanie przejęcie.

  • Umowy retainer na reagowanie na incydenty

    Warunki uzgodnione, zanim cokolwiek się wydarzy: kontakty, dostęp, postępowanie z dowodami i godziny, w których odpowiadamy. Gdy pojawia się incydent, następują ograniczenie szkód, zabezpieczenie dowodów za pomocą Velociraptor, usunięcie przyczyny i pisemny raport, a godziny niewykorzystane na incydenty trafiają na prace nad gotowością, takie jak przeglądy playbooków i ćwiczenia reagowania.

  • Zarządzanie podatnościami

    Serwery, kontenery, laptopy i zasoby chmurowe skanowane za pomocą Tenable, Qualys, Rapid7 lub Microsoft Defender Vulnerability Management, ustalenia szeregowane według możliwości wykorzystania z użyciem EPSS i katalogu Known Exploited Vulnerabilities CISA oraz terminy napraw dla każdego poziomu krytyczności śledzone do zamknięcia z zespołem odpowiedzialnym.

  • SOAR i automatyzacja reakcji

    Reguły automatyzacji Sentinel i playbooki Logic Apps, Splunk SOAR, Tines lub Torq wzbogacające każdy alert, otwierające zgłoszenie i powiadamiające właściwą osobę, z krokami wyłączającymi konto lub izolującymi urządzenie, które czekają na zatwierdzenie analityka.

  • Threat hunting

    Polowania zaczynające się od hipotezy, nowego raportu o zagrożeniu lub techniki ATT&CK, której Państwa detekcje jeszcze nie obejmują, prowadzone na logach z wielu miesięcy retencji, a każde kończy się nową regułą detekcji lub pisemną notatką, dlaczego hipoteza się nie potwierdziła.

Zatrudnienie: analitycy SOC i inżynierowie detekcji

  • Dedykowani analitycy SOC i inżynierowie detekcji

    Analitycy SOC i inżynierowie detekcji dołączają do Państwa zespołu na pełny etat, pracują w Państwa narzędziach i procesie oraz podlegają Państwa liderowi. Państwo przeprowadzają rozmowy kwalifikacyjne, a my bierzemy na siebie ukraińską umowę, wynagrodzenia, fakturowanie i urlopy.

  • Projekty: Operacje bezpieczeństwa

    Wydzielona część prac w obszarze „operacje bezpieczeństwa”, z określonym zakresem, stałym planem i wskazanym liderem po naszej stronie, który odpowiada za wynik i raportuje postępy w Państwa kanałach.

  • Stała współpraca: operacje bezpieczeństwa

    Usługa ciągła w obszarze „Operacje bezpieczeństwa”: ci sami ludzie co miesiąc, backlog, któremu Państwo ustalają priorytety, oraz godziny widoczne w naszym portalu i na fakturze.

Strona o dedykowanym zespole wyjaśnia, jak specjaliści dołączają do Państwa zespołu, a strona o outsourcingu opisuje realizację projektów, przejęcia i sposób rozliczania.

Kto realizuje Państwa prace w obszarze „operacje bezpieczeństwa”

  • Analitycy SOC

    Segregacja i eskalacja alertów, pierwsza i druga linia

  • Inżynierowie detekcji

    Reguły jako kod, dostrajanie i symulacja ataków

  • Inżynierowie SIEM

    Konfiguracja platformy, potoki logów i koszt pobierania danych

  • Specjaliści reagowania na incydenty

    Ograniczanie szkód, analiza kryminalistyczna i raporty z incydentów

  • Łowcy zagrożeń

    Polowania oparte na hipotezach w przechowywanych logach

Jak prowadzimy operacje bezpieczeństwa

Zanim monitoring ruszy, uzgadniamy, co jest objęte, godziny, czas reakcji dla każdego poziomu krytyczności i kogo w Państwa zespole wywołuje się w jakiej sprawie. Każdy typ alertu ma runbook, każda eskalacja jest opisana w Państwa systemie zgłoszeń, a analitycy pracują na imiennych kontach z dostępem ograniczonym do tego, czego wymaga segregacja alertów, dzięki czemu ich własne działania widać w dzienniku audytu.

Detekcje traktujemy jak kod: są wersjonowane, przeglądane, testowane na symulowanych atakach i mierzone tym, jak często uruchamiają się bez powodu. Ustalenia z testów penetracyjnych i incydentów wracają jako nowe reguły, więc ta sama technika zostanie wychwycona następnym razem. Własne urządzenia obserwujemy w ten sam sposób: nasze laptopy są sprawdzane przez napisanego przez nas w Rust agenta względem naszego wzorca bezpieczeństwa, w systemach Windows, macOS i Ubuntu, a kontrole są powiązane z ISO 27001, CIS, Cyber Essentials, Essential Eight i SOC 2.

Pozostałe usługi chmury, DevOps i bezpieczeństwa

Chmura, DevOps i bezpieczeństwo: przegląd

Pytania o SOC i monitorowanie bezpieczeństwa

W jakich branżach pracują Państwa analitycy SOC?

Głównie firmy cyberbezpieczeństwa, przy zarządzanych usługach detekcji i treściach detekcyjnych w ich produktach; fintech, bankowość i ubezpieczenia, gdzie monitoring i zgłaszanie incydentów są obowiązkami regulacyjnymi wynikającymi z DORA i PCI DSS; firmy przemysłowe i energetyczne obserwujące sieci biurowe i zakładowe; e-commerce, chroniące konta klientów przed przejęciem i oszustwami; firmy SaaS, których klienci oczekują ciągłego monitoringu; a także dostawcy hostingu i telekomunikacji oraz systemy sektora publicznego.

Czy monitorują Państwo całodobowo?

Tak, gdy jest to potrzebne: w godzinach pracy w Państwa strefie czasowej, w godzinach wydłużonych albo w trybie 24/7 w systemie zmianowym, uzgodnionym przed rozpoczęciem monitoringu. Każda opcja ma spisane czasy reakcji dla każdego poziomu krytyczności i wskazaną ścieżkę eskalacji do Państwa zespołu.

Czy mogą Państwo pracować z naszym obecnym SIEM i EDR?

Tak. Większość współprac działa na własnym Microsoft Sentinel, Splunk, Elastic, Google Security Operations lub Wazuh klienta i już wdrożonym EDR, więc dane pozostają w Państwa środowisku i na Państwa licencjach. Analitycy logują się przez konta, które Państwo wydają i mogą cofnąć.

Co się dzieje, gdy analityk znajdzie prawdziwy incydent?

Analityk go potwierdza, dzwoni do wskazanej osoby kontaktowej w uzgodnionym czasie reakcji i, jeśli zatwierdzili to Państwo z góry, ogranicza szkody: wyłącza konto, izoluje urządzenie, unieważnia token. Następnie specjaliści reagowania na incydenty zabezpieczają dowody, ustalają pierwotną przyczynę i piszą raport, wraz z tym, o czym i do kiedy trzeba poinformować organy regulacyjne i klientów.

Jak szybko mogą zacząć analitycy SOC i inżynierowie detekcji?

Gdy odpowiedni analityk SOC jest dostępny, o terminie startu decydują wyłącznie Państwa rozmowa oraz NDA i przeniesienie praw własności intelektualnej. W przeciwnym razie prowadzimy poszukiwania, które zwykle dają profile kandydatów w ciągu dwóch do trzech tygodni, a nikt nie zaczyna pracy, dopóki Państwo nie powiedzą „tak”.

Jak wygląda zatrudnienie przez BigTree108: analitycy SOC i inżynierowie detekcji?

Prosimy o informację o zakresie pracy, poziomie doświadczenia i potrzebnych godzinach. Proponujemy jedną lub dwie osoby wraz z ich profilami, Państwo przeprowadzają z nimi rozmowy tak, jak z własnym kandydatem, podpisują jedną umowę z BIG TREE 108 LLC i otrzymują jedną fakturę miesięcznie.

Do kogo należy praca, którą wykonują?

Do Państwa. Każdy specjalista ma podpisaną z BigTree108 umowę, która przenosi wszystkie rezultaty pracy na spółkę, a nasza umowa z Państwem przenosi je dalej. Kod, projekty i dokumenty są przekazywane do Państwa własnych repozytoriów i narzędzi, a nie przechowywane tam, gdzie zmieniać je możemy tylko my.

Potrzebują Państwo SOC lub monitorowania bezpieczeństwa?

Prosimy opisać, co Państwo uruchamiają, jakie narzędzia bezpieczeństwa mają i jakie godziny mają być objęte. Odpowiedź otrzymają Państwo w ciągu jednego dnia roboczego: propozycja pokrycia, plan dla SIEM lub profile kandydatów.

E-mail: hello@bigtree108.comJak odpowiadamy