Перейти до вмісту
BigTree108

SOC як сервіс і моніторинг безпеки

SOC як сервіс і моніторинг безпеки: керований SOC у години, які ви оберете, розгортання та міграція SIEM, підключення джерел логів, розробка правил виявлення, експлуатація EDR і XDR, retainer на реагування на інциденти, керування вразливостями, автоматизація реагування та threat hunting, а також виділені аналітики SOC та інженери з виявлення загроз у вашу команду.

Послуги security operations, які ми надаємо

  • Керований SOC

    Сповіщення з вашого SIEM та EDR проходять тріаж у аналітиків протягом ваших робочих годин або цілодобово; підтверджені інциденти ескалуються вашому черговому у погоджені терміни реагування; щомісячний звіт про те, що було зафіксовано, що закрито і які правила виявлення налаштовано.

  • Розгортання та міграція SIEM

    Microsoft Sentinel у порталі Defender, Splunk Enterprise Security, Elastic Security, Google Security Operations або Wazuh, налаштовані так, що строки зберігання, доступ і ліміти витрат плануються до надходження даних; а також міграції між SIEM, під час яких кожне правило виявлення перебудовується й тестується на новій платформі до вимкнення старої.

  • Підключення джерел логів

    Журнали аудиту хмар, входи в Entra ID та Okta, активність у Microsoft 365 і Google Workspace, брандмауери, EDR та ваші власні застосунки, розібрані в єдину схему на кшталт ASIM, ECS чи OCSF; Cribl або власний пайплайн SIEM відсікає шум ще до того, як за нього нараховується плата.

  • Розробка правил виявлення

    Правила виявлення, які зберігаються як код у Git, пишуться на Sigma або одразу на KQL, SPL чи ES|QL, зіставляються з MITRE ATT&CK, перед випуском перевіряються на змодельованих атаках за допомогою Atomic Red Team і налаштовуються, доки аналітики не почнуть довіряти тому, що спрацьовує.

  • Експлуатація EDR і XDR

    Microsoft Defender for Endpoint, CrowdStrike Falcon або SentinelOne, розгорнуті на кожному сервері й ноутбуці зі ввімкненим захистом від втручання (tamper protection); винятки, яких небагато і які регулярно переглядаються; пристрої, ізольовані з консолі, щойно підтверджено компрометацію.

  • Retainer на реагування на інциденти

    Умови погоджуються до того, як щось станеться: контакти, доступ, поводження з доказами та години, у які ми відповідаємо. Коли трапляється інцидент, далі йдуть стримування, збір криміналістичних даних через Velociraptor, повне усунення загрози та письмовий звіт, а години, не витрачені на інциденти, спрямовуються на підготовчу роботу, як-от перегляд плейбуків і тренування з реагування.

  • Керування вразливостями

    Сервери, контейнери, ноутбуки й хмарні ресурси, які скануються за допомогою Tenable, Qualys, Rapid7 чи Microsoft Defender Vulnerability Management; знахідки, ранжовані за можливістю експлуатації за EPSS і каталогом Known Exploited Vulnerabilities від CISA; строки виправлення залежно від критичності, які відстежуються до закриття разом із командою-власником.

  • SOAR та автоматизація реагування

    Правила автоматизації Sentinel і плейбуки Logic Apps, Splunk SOAR, Tines чи Torq, які збагачують кожне сповіщення даними, створюють тікет і оповіщають потрібну людину, а кроки, що вимикають акаунт або ізолюють пристрій, чекають на підтвердження аналітика.

  • Threat hunting

    Пошуки, які починаються з гіпотези, нового звіту про загрози або техніки ATT&CK, яку ваші правила виявлення ще не покривають, ведуться по логах, збережених за кілька місяців, і кожен завершується новим правилом виявлення або письмовою нотаткою про те, чому гіпотеза не підтвердилася.

Наші аналітики SOC та інженери з виявлення загроз для вашої команди

  • Виділені аналітики SOC та інженери з виявлення загроз

    Аналітики SOC та інженери з виявлення загроз, які приєднуються до вашої команди на повний робочий день, працюють у ваших інструментах і за вашим процесом і звітують вашому керівнику. Співбесіду проводите ви, а український договір, зарплата, рахунки й відпустки на нас.

  • Security operations як окремий проєкт

    Окремий проєкт (напрям: security operations) з визначеним обсягом, фіксованим планом і призначеним керівником з нашого боку, який відповідає за результат і звітує про хід роботи у ваших каналах.

  • Постійна співпраця: security operations

    Security operations як постійна послуга: ті самі люди щомісяця, беклог, пріоритети в якому визначаєте ви, і години, які видно в нашому порталі та в рахунку.

На сторінці виділеної команди пояснено, як фахівці приєднуються до вашої команди, а на сторінці аутсорсингу описано реалізацію проєктів, прийняття систем від інших команд і те, як ми беремо оплату.

Хто працює над вашим проєктом (напрям: security operations)

  • Аналітики SOC

    Тріаж і ескалація сповіщень, перша та друга лінії

  • Інженери з виявлення загроз

    Правила як код, налаштування та симуляція атак

  • SIEM-інженери

    Налаштування платформи, пайплайни логів і вартість завантаження даних

  • Фахівці з реагування на інциденти

    Стримування, цифрова криміналістика та звіти про інциденти

  • Фахівці з threat hunting

    Пошук за гіпотезами у збережених логах

Як ми організовуємо security operations

До початку моніторингу ми погоджуємо, що охоплено, години роботи, час реагування для кожного рівня критичності та кого з вашої команди залучають у яких випадках. Для кожного типу сповіщень є ранбук, кожна ескалація фіксується у вашій системі тікетів, а аналітики працюють через іменні акаунти лише з тим доступом, якого потребує тріаж, тож їхні власні дії потрапляють до журналу аудиту.

Правила виявлення ми ведемо як код: вони під контролем версій, проходять рев'ю, тестуються на змодельованих атаках, а їхню якість вимірює те, як часто вони спрацьовують даремно. Знахідки з тестів на проникнення та інцидентів повертаються як нові правила, тож наступного разу ту саму техніку буде виявлено. Власні пристрої ми контролюємо так само: наші ноутбуки на Windows, macOS і Ubuntu перевіряє на відповідність нашим базовим вимогам безпеки агент, якого ми написали на Rust, а перевірки зіставлено зі стандартами ISO 27001, CIS, Cyber Essentials, Essential Eight і SOC 2.

Інші послуги з хмари, DevOps і безпеки

Хмара, DevOps і безпека: огляд

Запитання про SOC і моніторинг безпеки

У яких галузях працюють ваші аналітики SOC?

Здебільшого це компанії з кібербезпеки: керовані сервіси виявлення загроз і контент виявлення в їхніх продуктах; фінтех, банківська справа й страхування, де моніторинг і звітування про інциденти є регуляторними обов'язками за DORA та PCI DSS; промислові й енергетичні компанії, що стежать за офісними та виробничими мережами; e-commerce, що захищає клієнтські акаунти від захоплення та шахрайства; SaaS-компанії, чиї клієнти очікують постійного моніторингу; а також хостинг- і телеком-провайдери та системи державного сектору.

Чи ведете ви моніторинг цілодобово?

Так, коли це потрібно: робочі години у вашому часовому поясі, подовжені години або цілодобове покриття 24/7 за графіком чергувань, погоджене до початку моніторингу. Кожен варіант має письмово зафіксований час реагування для кожного рівня критичності та іменний шлях ескалації до вашої команди.

Чи можете ви працювати з SIEM та EDR, які в нас уже є?

Так. Більшість проєктів працюють на власних Microsoft Sentinel, Splunk, Elastic, Google Security Operations чи Wazuh клієнта й уже розгорнутому EDR, тож дані залишаються у вашому тенанті та під вашими ліцензіями. Аналітики входять через акаунти, які видаєте і можете відкликати ви.

Що відбувається, коли аналітик виявляє справжній інцидент?

Аналітик підтверджує інцидент, зв'язується з визначеною вами контактною особою у межах погодженого часу реагування і, якщо ви заздалегідь це схвалили, стримує його: вимикає акаунт, ізолює пристрій, відкликає токен. Далі фахівці з реагування на інциденти збирають докази, знаходять першопричину та пишуть звіт, зокрема про те, що саме й до якого строку потрібно повідомити регуляторам і клієнтам.

Як швидко можуть стати до роботи аналітики SOC та інженери з виявлення загроз?

Якщо відповідний аналітик SOC вільний, старт залежить лише від вашої співбесіди, NDA і передачі прав на інтелектуальну власність. Інакше ми проводимо пошук, який зазвичай дає профілі кандидатів за два-три тижні, і ніхто не починає роботу, доки ви не скажете «так».

Як найняти фахівців через BigTree108, якщо вам потрібні аналітики SOC та інженери з виявлення загроз?

Розкажіть про роботу, рівень і години, які вам потрібні. Ми пропонуємо одну-двох людей з їхніми профілями, ви проводите з ними співбесіду так, як зі своїм власним кандидатом, підписуєте один договір із ТОВ «БІГ ТРІ 108» і отримуєте один рахунок на місяць.

Кому належать результати їхньої роботи?

Вам. Кожен фахівець має підписаний із BigTree108 договір, за яким усі результати роботи передаються компанії, а наш договір із вами передає їх далі. Код, дизайн-макети та документи постачаються у ваші власні репозиторії та інструменти, а не зберігаються там, де змінити їх можемо лише ми.

Потрібен SOC або моніторинг безпеки?

Розкажіть, що у вас працює, які засоби безпеки ви використовуєте і в які години потрібне покриття. Ви отримаєте відповідь протягом одного робочого дня: пропозицію щодо покриття, план для вашого SIEM або профілі кандидатів.

Напишіть на hello@bigtree108.com Як ми відповідаємо