Hva er et sikkerhetsoperasjonssenter (SOC)?
Finn ut hvordan team i sikkerhetsoperasjonssentre raskt oppdager, prioriterer og sorterer potensielle cyberangrep.
Hva er et SOC?
Et SOC er en sentralisert funksjon eller et team som er ansvarlig for å forbedre organisasjonens cybersikkerhet og hindre, oppdage og svare på trusler. SOC-teamet, som kan være på stedet eller innleid, overvåker identiteter, endepunkter, servere, databaser, nettverksprogrammer, nettsteder og andre systemer for å avdekke potensielle cyberangrep i sanntid. Det gjør også proaktivt sikkerhetsarbeid ved å bruke den nyeste trusselinformasjonen for å holde seg oppdatert på trusselgrupper og infrastruktur og identifisere og håndtere system- eller prosesssårbarheter før angripere utnytter dem. De fleste SOC-er opererer døgnet rundt sju dager i uken, og store organisasjoner som strekker seg over flere land, kan også være avhengige av et globalt sikkerhetsoperasjonssenter (GSOC) for å holde oversikt over verdensomspennende sikkerhetstrusler og koordinere gjenkjenning og respons blant flere lokale SOC-er.
Funksjonene til et SOC
SOC-teammedlemmer tar på seg følgende funksjoner for å forhindre, svare på og gjenopprette fra angrep.
Ressurs- og verktøybeholdning
For å eliminere blindsoner og hull i dekning, trenger SOC innsyn i ressursene det beskytter og innsikt i verktøyene det bruker til å forsvare organisasjonen. Dette betyr å ta høyde for alle databaser, skytjenester, identiteter, programmer og endepunkter lokalt og over flere skyer. Teamet holder også oversikt over alle sikkerhetsløsningene som brukes i organisasjonen, for eksempel brannmurer, beskyttelse mot skadelig programvare, beskyttelse mot løsepengevirus og overvåkingsprogramvare.
Redusere angrepsoverflaten
Et viktig ansvar for SOC er å redusere organisasjonens angrepsoverflate. SOC gjør dette ved å vedlikeholde en oversikt over alle arbeidsbelastninger og ressurser, implementere sikkerhetsoppdateringer på programvare og brannmurer, identifisere feilkonfigurasjoner og legge til nye ressurser etter hvert som de kobles til. Teammedlemmer er også ansvarlige for å undersøke nye trusler og analysere eksponering, noe som hjelper dem med å holde seg i forkant av de nyeste truslene.
Kontinuerlig overvåking
Ved hjelp av sikkerhetsanalyseløsninger som en løsning for administrasjon av sikkerhetsinformasjon og -hendelser (SIEM), en løsning for sikkerhetsorkestrering, automatisering og respons (SOAR), eller en løsning for utvidet oppdagelse og svar (XDR), overvåker SOC-team hele miljøet – lokalt, i skyer, programmer, nettverk og enheter – hele dagen, hver dag, for å avdekke avvik eller mistenkelig atferd. Disse verktøyene samler telemetri, aggregerer dataene, og i noen tilfeller automatiserer hendelsesrespons.
Trusselinformasjon
SOC bruker også dataanalyse, eksterne feeder og produkttrusselrapporter for å få innsikt i angriperatferd, infrastruktur og motiver. Denne informasjonen gir et helhetsbilde av hva som skjer på nettet, og hjelper teamene med å forstå hvordan grupper opererer. Med denne informasjonen kan SOC raskt avdekke trusler og styrke organisasjonen mot nye risikoer.
Trusseloppdagelse
SOC-team bruker dataene som genereres av SIEM- og XDR-løsningene til å identifisere trusler. Dette begynner med å filtrere ut falske positiver fra de virkelige problemene. Deretter prioriterer de truslene etter alvorsgrad og potensiell innvirkning på bedriften.
Administrasjon av logger
SOC er også ansvarlig for å samle inn, vedlikeholde og analysere loggdata fra alle endepunkter, operativsystemer, virtuelle maskiner, lokale apper og nettverkshendelser. Analyse bidrar til å etablere en grunnlinje for normal aktivitet og viser avvik som kan indikere Informasjon om skadelig programvareskadelig programvare, løsepengevirus eller virus.
Hendelsesrespons
Når et cyberangrep er identifisert, iverksetter SOC raskt tiltak for å begrense skade på organisasjonen med så lite forstyrrelser i virksomheten som mulig. Fremgangsmåten kan omfatte å avslutte eller isolere berørte endepunkter og programmer, deaktivere kompromitterte kontoer, fjerne infiserte filer og kjøre programvare for å fjerne virus og skadelige programmer.
Gjenoppretting og utbedring
I etterkant av et angrep er SOC ansvarlig for å gjenopprette selskapets opprinnelige tilstand. Teamet sletter og kobler til disker, identiteter, e-post og endepunkter på nytt, starter programmer på nytt, går over til sikkerhetskopisystemer og gjenoppretter data.
Undersøkelse av rotårsak
For å forhindre at et lignende angrep skjer igjen, utfører SOC en grundig undersøkelse for å identifisere sårbarheter, dårlige sikkerhetsprosesser og andre forhold som bidro til hendelsen.
Sikkerhetsforbedring
SOC bruker all intelligens som samles inn under en hendelse, til å håndtere sårbarheter, forbedre prosesser og policyer og oppdatere sikkerhetsveikartet.
Samsvarsstyring
En viktig del av SOCs ansvar er å sørge for at programmer, sikkerhetsverktøy og prosesser er i samsvar med personvernforskrifter, som EUs personvernforordning (GDPR), California Consumer Privacy Act (CCPA) og Health Insurance Portability and Accountability Act (HIPPA). Team overvåker regelmessig systemer for å sikre forskriftssamsvar og sørge for at tilsynsmyndigheter, politimyndigheter og kunder blir varslet etter et databrudd.
Viktige roller i et SOC
Avhengig av størrelsen på organisasjonen inkluderer en typisk SOC følgende roller:
Direktør for hendelsesrespons
Denne rollen, som vanligvis bare finnes i svært store organisasjoner, er ansvarlig for å koordinere deteksjon, analyse, begrensning og gjenoppretting under en sikkerhetshendelse. De håndterer også kommunikasjon med de aktuelle interessentene.
SOC-leder
SOC overvåkes av lederen, som vanligvis rapporterer til IT-sikkerhetssjefen. Arbeidsoppgavene omfatter personalansvar, drift, opplæring av nyansatte og økonomistyring.
Sikkerhetsingeniører
Sikkerhetsingeniører holder organisasjonens sikkerhetssystemer oppe og går. Dette inkluderer utforming av sikkerhetsarkitekturen og forskning, implementering og vedlikehold av sikkerhetsløsninger.
Sikkerhetsanalytikere
Sikkerhetsanalytikerne, som er de første til å reagere på en sikkerhetshendelse, identifiserer trusler, prioriterer dem og iverksetter tiltak for å begrense skaden. Under et cyberangrep må de kanskje isolere verten, endepunktet eller brukeren som har blitt infisert. I noen organisasjoner er sikkerhetsanalytikere lagdelt basert på alvorlighetsgraden av truslene de er ansvarlige for å håndtere.
Trusseljegere
I noen organisasjoner kalles de mest erfarne sikkerhetsanalytikerne for trusseljegere. Disse personene identifiserer og reagerer på avanserte trusler som ikke blir plukket opp av automatiserte verktøy. Dette er en proaktiv rolle utformet for å styrke organisasjonens forståelse av kjente trusler og avdekke ukjente trusler før et angrep har funnet sted.
Kriminaltekniske analytikere
Store organisasjoner kan også ansette kriminaltekniske analytikere som samler informasjon etter et brudd for å fastslå de grunnleggende årsakene. De leter etter systemsårbarheter, brudd på sikkerhetsretningslinjene og mønstre for dataangrep som kan være nyttige for å forhindre lignende kompromitteringer i fremtiden.
Typer SOC-er
Det finnes flere måter organisasjoner konfigurerer sine SOC-er på. Noen velger å bygge et dedikert SOC med en heltidsansatte. Denne typen SOC kan være internt med en fysisk lokal plassering, eller det kan være virtuelt med ansatte som koordinerer eksternt ved hjelp av digitale verktøy. Mange virtuelle SOC-er bruker en kombinasjon av kontrakts- og heltidsansatte. Et outsourcet SOC, som også kan kalles et administrert SOC eller et sikkerhetsoperasjonssenter som en tjeneste, drives av en administrert sikkerhetstjenesteleverandør, som tar ansvar for å forebygge, oppdage, undersøke og svare på trusler. Det er også mulig å bruke en kombinasjon av interne ansatte og en administrert sikkerhetstjenesteleverandør. Denne versjonen kalles et samadministrert eller hybrid SOC. Organisasjoner bruker denne tilnærmingen til å styrke sine egne ansatte. Hvis de for eksempel ikke har trusseletterforskere, kan det være enklere å ansette en tredjepart i stedet for å prøve å ansette dem internt.
Viktigheten av SOC-team
Et sterkt SOC hjelper bedrifter, myndigheter og andre organisasjoner med å ligge i forkant av et cybertrusselbilde i stadig utvikling. Dette er ingen enkel oppgave. Både angriperne og forsvarssamfunnet utvikler stadig nye teknologier og strategier, og det krever tid og fokus å håndtere alle endringene. Ved hjelp av dets kunnskap om det generelle cybersikkerhetsmiljøet og dets forståelse av interne svakheter og forretningsprioriteringer kan SOC hjelpe organisasjonen med å utvikle et veikart for sikkerhet som er tilpasset virksomhetens langsiktige behov. SOC-er kan også begrense forretningspåvirkningen når et angrep skjer. Side de kontinuerlig overvåker nettverket og analyserer varslingsdata, er det større sannsynlighet for at de fanger opp trusler tidligere enn et team som er spredt mellom flere andre prioriteringer. Med regelmessig opplæring og veldokumenterte prosesser kan SOC håndtere en aktuell hendelse raskt – selv under ekstremt stress. Dette kan være vanskelig for team som ikke fokuserer på sikkerhetsoperasjoner hele dagen, hver dag.
Fordeler med et SOC
Ved å forene menneskene, verktøyene og prosessene som brukes til å beskytte en organisasjon mot trusler, hjelper SOC organisasjonen med å forsvare seg mot angrep og sikkerhetsbrudd på en mer effektiv måte.
Sterk sikkerhetsstatus
Å forbedre organisasjonens sikkerhet er en jobb man aldri blir ferdig med. Det kreves kontinuerlig overvåking, analyse og planlegging for å avdekke sårbarheter og holde seg oppdatert om teknologiske endringer. Når mennesker har konkurrerende prioriteringer, er det lett å forsømme dette arbeidet til fordel for oppgaver som føles mer akutte.
Et sentralisert SOC bidrar til å sikre at prosesser og teknologier forbedres kontinuerlig, noe som reduserer risikoen for et vellykket angrep.
Overholdelse av personvernregler
Bransjer, delstater, land og områder har ulike bestemmelser som styrer innsamling, lagring og bruk av data. Mange krever at organisasjoner rapporterer databrudd og sletter personlige data etter forespørsel fra en forbruker. Å ha de riktige prosessene og prosedyrene på plass er like viktig som å ha riktig teknologi. Medlemmer av et SOC hjelper organisasjoner med å overholde kravene ved å ta ansvar for å holde teknologien og dataprosessene oppdatert.
Hurtig hendelsesrespons
Det har mye å si hvor raskt et cyberangrep oppdages og stanses. Med de rette verktøyene, de rette personene og den rette informasjonen kan mange sikkerhetsbrudd stoppes før de gjør skade. Men de ondsinnede aktørene er også smarte når det gjelder å holde seg skjult, stjele store mengder data og øke privilegiene sine før noen oppdager det. En sikkerhetshendelse er også en svært stressende hendelse – spesielt for personer som ikke har erfaring med å håndtere hendelser.
Ved hjelp av enhetlig trusselinformasjon og veldokumenterte prosedyrer er SOC-teamene i stand til å raskt oppdage, reagere og gjenopprette etter angrep.
Reduserte kostnader ved brudd
Et vellykket brudd kan være svært dyrt for organisasjoner. Gjenoppretting fører ofte til betydelig nedetid, og mange bedrifter mister kunder eller sliter med å vinne nye kunder kort tid etter en hendelse. Ved å komme angriperne i forkjøpet og reagere raskt, hjelper SOC organisasjoner med å spare tid og penger når de kommer tilbake til normal drift.
Anbefalte fremgangsmåter for SOC-team
Med så mange ansvarsområder må et SOC være effektivt organisert og administrert for å oppnå resultater. Organisasjoner med sterke SOC-er implementerer følgende anbefalte fremgangsmåter:
Forretningsjustert strategi
Selv de mest kapitalsterke SOC-ene må ta beslutninger om hva de skal bruke tid og penger på. Organisasjoner starter vanligvis med en risikovurdering for å identifisere de største risikoområdene og de største mulighetene for virksomheten. Dette bidrar til å identifisere hva som må beskyttes. Et SOC må også forstå miljøet der ressursene befinner seg. Mange bedrifter har komplekse miljøer med data og applikasjoner både lokalt og i flere skyer. En strategi hjelper deg med å avgjøre om sikkerhetseksperter må være tilgjengelige hver dag og til alle døgnets tider, og om det er bedre å ha SOC internt eller bruke en profesjonell tjeneste.
Talentet, godt opplært personale
Nøkkelen til et effektivt SOC er høyt kvalifiserte ansatte som er under kontinuerlig forbedring. Det begynner med å finne de beste talentene, men det kan være vanskelig fordi markedet for sikkerhetspersonell er svært konkurranseutsatt. For å unngå et kompetansegap prøver mange organisasjoner å finne personer med ulik kompetanse, for eksempel innen system- og etterretningsovervåking, varslingshåndtering, hendelsesdeteksjon og -analyse, trusseljakt, etisk hacking, cyberetterforskning og omvendt utvikling. De tar også i bruk teknologi som automatiserer oppgaver, slik at mindre team kan bli mer effektive og øke resultatene til junioranalytikere. Investering i regelmessig opplæring hjelper organisasjoner med å beholde nøkkelpersonell, fylle et kompetansegap og øke utvikle personenes karriere.
Ende-til-ende-synlighet
Fordi et angrep kan starte med et enkelt endepunkt, er det avgjørende at SOC har innsyn i hele organisasjonens miljø, inkludert alt som administreres av en tredjepart.
De riktige verktøyene
Det er så mange sikkerhetshendelser at team enkelt kan bli overveldet. Effektive SOC-er investerer i gode sikkerhetsverktøy som fungerer godt sammen og bruker kunstig intelligens og automatisering til å avdekke betydelige risikoer. Interoperabilitet er avgjørende for å unngå hull i dekningen.
SOC-verktøy og -teknologier
Sikkerhetsinformasjon og hendelsesbehandling (SIEM)
Et av de viktigste verktøyene i et SOC er en skybasert SIEM-løsning, som samler data fra flere sikkerhetsløsninger og loggfiler. Ved hjelp av trusselintelligens og kunstig intelligens hjelper disse verktøyene SOC-ene med å oppdage nye trusler, reagere raskere på hendelser og ligge i forkant av angriperne.
Sikkerhetsordninger, automatisering og respons (SOAR)
En SOAR automatiserer gjentakende og forutsigbare berikelses-, respons- og utbedringsoppgaver, noe som frigjør tid og ressurser til mer dyptgående undersøkelser og jakt.
Utvidet oppdagelse og svar (XDR)
XDR er en programvare som en tjenesteverktøy som tilbyr helhetlig, optimalisert sikkerhet ved å integrere sikkerhetsprodukter og data i forenklede løsninger. Organisasjoner bruker disse løsningene til å proaktivt og effektivt håndtere et trusselbilde i stadig utvikling og komplekse sikkerhetsutfordringer i et hybridmiljø med flere skybaserte løsninger. I motsetning til systemer som endepunktsoppdagelse og -svar (EDR) utvider XDR omfanget for sikkerheten og integrerer beskyttelse på tvers av et bredere spekter av produkter slik som organisasjonenes endepunkter, servere, skyapper, e-postbokser med mer. Derfra kombinerer XDR forebygging, deteksjon, etterforskning og respons, for å gi synlighet, analyser, korrelerte hendelsesvarsler og automatiserte svar for å forbedre datasikkerheten og bekjempe trusler.
Brannmur
En brannmur overvåker trafikk til og fra nettverket, noe som tillater eller blokkerer trafikk basert på sikkerhetsregler definert av SOC.
Administrasjon av logger
En løsning for administrasjon av logger, som ofte inngår som en del av et SIEM, logger alle varsler fra alle programvarer, maskinvarer og endepunkter i organisasjonen. Disse loggene gir informasjon om nettverksaktivitet.
Disse verktøyene skanner nettverket for å identifisere eventuelle svakheter som kan utnyttes av en angriper.
Analyse av bruker- og enhetsatferd
Analyse av bruker- og enhetsatferd er innebygd i mange moderne sikkerhetsverktøy og bruker kunstig intelligens til å analysere data som er samlet inn fra ulike enheter for å etablere en grunnlinje for normal aktivitet for hver bruker og enhet. Når en hendelse avviker fra grunnlinjen, flagges den for videre analyse.
SOC og SIEM
Uten en SIEM ville det være svært vanskelig for et SOC å oppnå sitt mål. Et moderne SIEM tilbyr:
- Aggregering av logger: Et SIEM samler inn loggdata og korrelerer varsler, som analytikere bruker til å oppdage og jakte på trusler.
- Kontekst: Fordi en SIEM samler inn data på tvers av all teknologi i organisasjonen, kan den bidra til å koble sammen enkeltstående hendelser for å identifisere avanserte angrep.
- Færre varsler: Ved å bruke analyse og kunstig intelligens til å koordinere varsler og identifisere de mest alvorlige hendelsene, reduserer en SIEM antall hendelser som må gjennomgås og analyseres av mennesker.
- Automatisert respons: Innebygde regler gjør det mulig for SIEM-er å identifisere sannsynlige trusler og blokkere dem uten menneskelig interaksjon.
Det er også viktig å være oppmerksom på at en SIEM alene ikke er nok til å beskytte en organisasjon. Det kreves personer for å integrere SIEM med andre systemer, definere parameterne for regelbasert gjenkjenning og evaluere varsler. Derfor er det avgjørende å definere en SOC-strategi og ansette de rette medarbeiderne.
SOC-løsninger
Det finnes en rekke løsninger som kan hjelpe et SOC med å forsvare organisasjonen. De beste fungerer sammen for å gi fullstendig dekning lokalt og på tvers av skyer. Microsoft Security tilbyr omfattende løsninger for å hjelpe SOC-er med å eliminere dekningshull og få en 360-graders visning av miljøet. Microsoft Sentinel er en skybasert SIEM som integreres med Microsoft Defenders løsninger for utvidet gjenkjenning og respons for å gi analytikere og trusseljegere dataene de trenger for å finne og stoppe cyberangrep.
Mer informasjon om Microsoft Sikkerhet
Microsoft SIEM og XDR
Skaff deg integrert trusselbeskyttelse på tvers av enheter, identiteter, apper, e-postbokser, data og arbeidsbelastninger i skyen.
Microsoft Defender XDR
Stopp angrep med trusselbeskyttelse på tvers av domener drevet av Microsoft XDR.
Microsoft Sentinel
Avslør sofistikerte trusler og reager besluttsomt med en enkel og effektiv SIEM-løsning, levert av skyen og kunstig intelligens.
Microsoft Defender trusselinformasjon
Bidra til å identifisere og eliminere angripere og verktøyene deres med enestående innsikt i det stadig skiftende trussellandskapet.
Microsoft Defender-administrasjon for ekstern angrepsoverflate
Få kontinuerlig synlighet utover brannmuren for å hjelpe deg med å oppdage uadministrerte ressurser og oppdage svakheter på tvers av miljøet over flere skyer.
Vanlige spørsmål
-
Et nettverksoperasjonssenter (NOC) fokuserer på nettverksytelse og -hastighet. Det reagerer ikke bare på avbrudd, men overvåker også proaktivt nettverket for å identifisere problemer som kan gjøre trafikken langsom. Et SOC overvåker også nettverket og andre miljøer, men ser etter bevis på et cyberangrep. Siden en sikkerhetshendelse kan forstyrre nettverksytelsen, må NOC-er og SOC-er koordinere aktiviteten. Noen organisasjoner har SOC som en del av NOC for å oppmuntre til samarbeid.
-
SOC-team overvåker servere, enheter, databaser, nettverksprogrammer, nettsteder og andre systemer for å avdekke potensielle trusler i sanntid. De utfører også proaktivt sikkerhetsarbeid ved å holde seg oppdatert på de nyeste truslene og identifisere og utbedre sårbarheter i systemer eller prosesser før en angriper utnytter dem. Hvis organisasjonen blir utsatt for et vellykket angrep, er SOC-teamet ansvarlig for å fjerne trusselen og gjenopprette systemer og sikkerhetskopier etter behov.
-
Et SOC består av personer, verktøy og prosesser som bidrar til å beskytte en organisasjon mot cyberangrep. For å oppnå målene sine utfører det følgende funksjoner: kartlegging av alle ressurser og all teknologi, rutinemessig vedlikehold og beredskap, kontinuerlig overvåking, trusseloppdagelse, trusselinformasjon, loggbehandling, hendelsesrespons, gjenoppretting og utbedring, årsaksundersøkelser, sikkerhetsforbedring og samsvarsadministrasjon.
-
Et sterkt SOC hjelper en organisasjon med å administrere sikkerhet mer effektivt ved å forene forsvar, verktøy for trusseloppdagelse og sikkerhetsprosesser. Organisasjoner med SOC kan forbedre sikkerhetsprosessene sine, reagere raskere på trusler og bedre administrere overholdelse av regler og standarder enn selskaper uten SOC.
-
SOC er personene, prosessene og verktøyene som er ansvarlige for å beskytte en organisasjon mot cyberangrep. SIEM er et av mange verktøy som SOC bruker for å opprettholde innsyn og svare på angrep. SIEM samler loggfiler og bruker analyse og automatisering til å oppdage mulige trusler for medlemmene av SOC, som bestemmer hvordan de skal besvares.
Følg Microsoft