Как распределять задачи в SOC | Блог Касперского

[KL FC Bot]

Корпоративным центрам мониторинга информационной безопасности (SOC) становится все сложнее противостоять современным продвинутым киберугрозам. Никуда не пропадают и внутренние проблемы: нехватка кадров в сфере безопасности, профессиональное выгорание и зачастую недостаточные бюджеты. Типичный SOC состоит из аналитиков, берущих на себя первичную сортировку и разбор уведомлений, группы экспертов, анализирующих продвинутые угрозы, специалистов по работе с данными об угрозах, а также команды менеджеров. Наибольшие объемы задач приходятся на аналитиков, а значит, им необходимо организовывать свою работу с максимальной эффективностью.

Согласно данным отчета ESG, существует три подхода к организации структуры SOC и обработки уведомлений, и все они примерно одинаково популярны. Больше четверти (28%) организаций утверждают, что специалисты их SOC разделены на группы по уровню их навыков и степени ответственности. В 36% фирм сотрудники группируются по векторам атак. В оставшихся 36% компаний аналитики обрабатывают уведомления в порядке общей очереди, вне зависимости от своих навыков или типов угроз.

В этом посте мы рассмотри эти три подхода подробнее, оценим их плюсы и минусы и поговорим о лайфхаках, которые сделают работу сотрудников SOC проще и эффективнее. Однако не стоит забывать: ничто из описанного не является железным правилом, и реальные компании обычно используют смешанные подходы в зависимости от своих потребностей.

1. Классический подход

Подход, которого придерживаются 28% организаций, отражает традиционный взгляд на структуру SOC. Аналитики распределены по нескольким линиям, первая из которых обрабатывает все входящие уведомления. После первичной сортировки эта линия решает проблемы, с которыми может справиться своими силами. Если же инцидент слишком сложен и у первой линии нет инструкций, как на него реагировать (или в случае, если понятно, что атака не автоматизирована и ей в режиме реального времени управляют люди), он передается второй линии.

У этих специалистов второй линии обычно больше навыков и опыта. Они либо работают «единым фронтом», разбирая инциденты по мере появления, либо специализируются в разных областях: например, одни эксперты анализируют угрозы операционной системе (Linux или Windows), а другие — сетевые угрозы. Иногда используется и третья линия с еще более узкими специализациями. Такая система позволяет специалистам первой линии заниматься рутинными инцидентами, второй — сосредоточиться на продвинутых угрозах, а самые сложные случаи отправлять на третью линию.

В этой структуре массовый наплыв уведомлений затрагивает только первую линию, где начинающие аналитики могут оттачивать свои навыки. Более квалифицированные сотрудники второй и третьей линий в свою очередь применяют и углубляют свои специализированные знания. В таком режиме эффективность обработки уведомлений постоянно повышается за счет того, что накапливаемый опыт помогает сотрудникам справляться со все более запутанными случаями. Однако эта система не сможет работать без максимально подробных инструкций для первой линии, а значит, требует большого объема подготовительной работы по их составлению.

 

View the full article