მთავარი დასკვნა
უსაფრთხოების შედეგები მხოლოდ ხელსაწყოებზე არ არის დამოკიდებული: წინასწარ შეათანხმეთ, ვინ იკვლევს სიგნალს, წყვეტს რისკს და აღადგენს სისტემას.
რას აკავშირებს SecOps?
SecOps უსაფრთხოებისა და IT ოპერაციების მუშაობას რუტინულ ცვლილებებზე, რისკებსა და ინციდენტებზე ათანხმებს. განვითარების გუნდებს შეუძლიათ უსაფრთხოების ტესტებისა და გამოსწორებების გამოშვებამდე დაგეგმვა, IT‑ს — ანგარიშების, ქსელისა და მოწყობილობების მოქმედებების შესრულება, ანალიტიკოსებს კი — მონიტორინგი და გამოძიება. მიზანია უსაფრთხოების გადაწყვეტილებების ცვლილებებისა და სერვისების მფლობელებთან შეთანხმება.
SOC‑ის, TDR‑ისა და SecOps‑ის განსხვავებული როლები
SOC უსაფრთხოების ოპერაციების ცენტრია: გუნდი ან სერვისი, რომელიც უსაფრთხოებას აკონტროლებს, გაფრთხილებებს აფასებს და ინციდენტებს იკვლევს. ის შეიძლება ორგანიზაციაში, დისტანციურად ან პროვაიდერთან ერთად მუშაობდეს. TDR ზოგადი ტერმინია საფრთხეების გამოვლენის, ანალიზისა და რეაგირებისთვის; ფაქტობრივი შესაძლებლობები პროდუქტსა და ორგანიზაციის პრაქტიკებზეა დამოკიდებული. SecOps აერთიანებს უსაფრთხოების, IT ოპერაციებისა და განვითარების სპეციალისტებს. SIEM, EDR, XDR და SOAR მათ მუშაობას უჭერს მხარს, თუმცა უფლებამოსილება და პასუხისმგებლობები ცალკე უნდა შეთანხმდეს.
| ცნება | რას აღწერს | კითხვა |
|---|---|---|
| SecOps | უსაფრთხოებისა და ოპერაციების გუნდების თანამშრომლობა | როგორ მუშაობენ გუნდები ცვლილებებზე, მოწყვლადობებსა და ინციდენტებზე? |
| SOC | მონიტორინგისა და ინციდენტებზე რეაგირების გუნდი ან სერვისი | ვინ იკვლევს გაფრთხილებას და ვის გადაეცემა შემდეგ? |
| TDR | გამოვლენის, ანალიზისა და რეაგირების საქმიანობები და შესაძლებლობები | როგორ გამოვავლინოთ საფრთხე და შევზღუდოთ მისი გავრცელება? |
ინციდენტის სამუშაო პროცესი და გადაწყვეტილების წერტილები
გამოძიება შეიძლება SIEM ან EDR გაფრთხილებით დაიწყოს, თუმცა ჯერ დაადგინეთ, მოხდა თუ არა უსაფრთხოების ინციდენტი. ყოველი გადაცემისას განსაზღვრეთ, ვინ აგრძელებს გამოძიებას, რა გადაწყვეტილებაა საჭირო და სად აღირიცხება შედეგი.
გამოავლინეთ და დაამატეთ კონტექსტი
შეამოწმეთ წყარო, დრო, მომხმარებელი, მოწყობილობა და შესაძლო გავლენა; დააკავშირეთ იმავე აქტივობასთან დაკავშირებული მოვლენები.
გამოიძიეთ და განსაზღვრეთ პრიორიტეტი
ანალიტიკოსი აფასებს სიგნალის სანდოობასა და აქტივზე გავლენას, ინახავს მტკიცებულებებს და ეჭვს დადასტურებული ინციდენტისგან განასხვავებს.
შეათანხმეთ რეაგირება
სისტემის მფლობელთან განიხილეთ იზოლაციის, წვდომის გაუქმების, ტრაფიკის ბლოკირებისა და სხვა მოქმედებების გავლენა. წინასწარ განსაზღვრეთ, ვის შეუძლია ამ მოქმედებების ნებართვა, რა შეიძლება ავტომატიზდეს და რომელი გადაწყვეტილებები და მოქმედებები უნდა აღირიცხოს.
აღადგინეთ და ისწავლეთ
დანიშნეთ აღდგენის პასუხისმგებელი, განსაზღვრეთ დასრულების კრიტერიუმები და შემდგომი მონიტორინგი; გამოძიების მიხედვით განაახლეთ წესები და პროცედურები.
სამუშაოს გადაცემა შიდა გუნდებსა და პროვაიდერს შორის
პროვაიდერის გამოძიება შიდა გუნდის ცოდნას ბიზნესისა და მისი სისტემების შესახებ არ ცვლის. განსაზღვრეთ სასწრაფო კონტაქტები, თანხმობის საჭიროების მქონე მოქმედებები, გამოძიების ჩანაწერების დამცველი და იურიდიული თუ კონფიდენციალურობის სპეციალისტების ჩართვის დრო. აღდგენასა და საბოლოო ანგარიშზე პასუხისმგებლობა გაანაწილეთ. ინციდენტის სავარჯიშოში გამოსცადეთ სერვისის დაფარვა და ცვლებს შორის გადაცემა.
ორგანიზაციაში უსაფრთხოებაზე პასუხისმგებელი პირი
ადასტურებს პრიორიტეტს, პროვაიდერის მიგნებებს საქმიან რისკთან აკავშირებს და შემდგომ მოქმედებებს მფლობელებს უნიშნავს.
IT და სერვისის მფლობელი
აფასებს გავრცელების შეზღუდვისა და კონფიგურაციის ცვლილებების გავლენას სერვისზე და ასრულებს გამოსწორებასა და აღდგენას.
იურიდიული და კონფიდენციალურობის სპეციალისტები და ხელმძღვანელობა
შეთანხმებული უფლებამოსილების ფარგლებში მონაწილეობენ მონაცემთა დარღვევების, კლიენტთა შეტყობინებების, თანამშრომელთა მონაცემებისა და საქმიანობის უწყვეტობის გადაწყვეტილებებში.
მმართველობა და უწყვეტი გაუმჯობესება
SecOps მხოლოდ ხელსაწყოების რაოდენობით არ შეაფასოთ. აღრიცხეთ მოუგვარებელი კრიტიკული მიგნებები, გაფრთხილებიდან გადაწყვეტილებამდე და რეაგირებამდე დრო, განმეორებადი ინციდენტები, ესკალაციის წარმატება, მტკიცებულებების სისრულე და აღდგენის შემოწმებები. განსაზღვრეთ თითოეული მეტრიკის წყარო და პერიოდულობა, შემდეგ პროვაიდერის შედეგები შიდა გუნდთან და საქმიანი პროცესების მფლობელებთან განიხილეთ.
ხშირად დასმული კითხვები
მოკლე პასუხები SecOps‑ის, SOC‑ისა და TDR‑ის შესახებ.
SOC და SecOps ერთია?
არა. SOC მონიტორინგისა და ინციდენტებზე რეაგირების გუნდი ან სერვისია; SecOps უსაფრთხოების, IT ოპერაციებისა და განვითარების სპეციალისტების თანამშრომლობას აწყობს.
შეუძლია მცირე კომპანიას გარე SOC‑ის გამოყენება?
დიახ. ხელშეკრულებაში შეამოწმეთ მომსახურების საათები, მონაცემთა წყაროები, გამოძიების ფარგლები, დასაშვები მოქმედებები და გადაწყვეტილებები, რომლებიც კომპანიას რჩება.
TDR პროგრამული პროდუქტია?
TDR ჩვეულებრივ გამოვლენისა და რეაგირების სამუშაოს ფართო ტერმინია. პროდუქტებისა და სერვისების ფაქტობრივი შესაძლებლობები ცალ-ცალკე შეადარეთ.