SOC (Security Operations Center) מרכז תהליכי ניטור, בדיקה ותגובה לאירועי אבטחה. בשירות מנוהל חשוב לברר אילו מקורות מידע מכוסים, מהן שעות המענה האנושי ומי מוסמך לפעול. גודל הצוות, הכלים והעלות תלויים בהיקף ובמורכבות השירות.
מה SOC עושה בפועל
SOC מנוהל מבצע ארבע פעולות עיקריות, ברצף:
1. איסוף (Collection)
לוגים ממקורות שנבחרו, כגון חומת אש, שרתים, עמדות וענן, מועברים לכלי הניתוח. היקף האיסוף, השמירה והכיסוי מוגדר בהתאם לצורך וליכולות החיבור.
2. זיהוי (Detection)
חוקים, Machine Learning, ו-Threat Intelligence משולבים כדי לזהות דפוסים חשודים: - כניסה מארץ זרה - העברת כמות חריגה של מידע - שימוש בכלי Hacking - ניסיונות Brute Force - Lateral Movement ברשת
3. חקירה (Investigation)
התראות עוברות תיעדוף ובדיקה לפי כללי השירות; חלק מהבדיקות עשויות להיות אוטומטיות. בבדיקה אנושית נבחן: האם זה אירוע אמיתי (True Positive) או התרעת שווא (False Positive)? מה ההיקף? מי מושפע? מה וקטור הכניסה?
4. תגובה (Response)
לפי הממצאים, הרשאות הצוות והאישורים שסוכמו, פעולות אפשריות כוללות: - בידוד תחנה נגועה - חסימת IP או Domain - איפוס סיסמאות - הודעה למנהלי IT - תיעוד ודוח אירוע
SOC פנימי מול SOC מנוהל
השוו כיסוי ושעות פעילות, מומחיות הצוות, עלות הכלים והנתונים, תהליכי תגובה וקשר עם צוות ה־IT. בשירות חיצוני בדקו מה כלול ומה נותר באחריות הארגון. בצוות פנימי בחנו גם גיוס, הכשרה וכיסוי היעדרויות. אין מספר עובדים שמכריע לבדו את הבחירה.
טכנולוגיות שמפעילות SOC
SIEM (Security Information and Event Management) הלב של ה-SOC. אוסף לוגים, מנתח, ומייצר התראות. כלים נפוצים: Microsoft Sentinel, Splunk, IBM QRadar.
SOAR (Security Orchestration, Automation and Response) אוטומציה של תהליכי תגובה. אפשר לתכנן פעולות אוטומטיות או כאלה שממתינות לאישור, עם בדיקות ומנגנון טיפול בכשל.
Threat Intelligence מידע מודיעיני על איומים: IOCs (Indicators of Compromise), TTPs (טקטיקות של תוקפים), ומקורות מודיעין גלובליים. המידע מוסיף הקשר לבדיקה; ייחוס אירוע לתוקף מסוים מחייב ראיות נוספות ואינו תוצאה אוטומטית של התרעה.
EDR/XDR Integration SOC ללא EDR הוא חצי עיוור. ה-EDR על תחנות הקצה מספק את ה-telemetry — ה-SOC מנתח אותו.
מתי עסק צריך SOC
- צורך בבקרות ניטור שנקבע בהערכת סיכונים, בחוזה או במסגרת דרישה רלוונטית; אין להסיק שכל חוק או מסגרת מחייבים SOC כשירות
- אחרי אירוע אבטחה — "לא רוצים שזה יקרה שוב"
- עבודה עם לקוחות בינלאומיים שדורשים ניטור
- תנאי פוליסה מסוימת שמחייבים כיסוי ניטור, לאחר בדיקה עם גורם ביטוח מוסמך
- צמיחה מהירה שמגדילה את משטח ההתקפה
עלות והיקף השירות
עלות השירות תלויה במקורות המידע ובנפחו, בתקופות השמירה, בשעות המענה ובסמכויות התגובה. בקשו פירוט לגבי קליטת נתונים, רישיונות, תחקור, שמירת ראיות ושירותי תגובה נוספים.
בחינת השירות עם DLTS
DLTS מסייעת לחבר בין צורכי האבטחה, המערכות והגורמים המטפלים. לפני התקשרות מסכמים את הספקים והכלים, שעות השירות, יעדי תגובה וחלוקת האחריות. אין להניח שצוות אנושי רציף או כלי מסוים כלולים ללא פירוט בהצעה.
דברו איתנו על צורכי הניטור והתגובה
שאלות נפוצות
האם SOC מחליף EDR? לא. EDR הוא כלי — SOC הוא שירות. פתרון EDR מספק מידע ויכולות טיפול בעמדות המחוברות אליו. SOC יכול להשתמש במידע הזה לצד מקורות נוספים; התמונה שהוא מקבל תלויה בכיסוי שנבנה.
מה קורה בלילה או בשבת? יש שירותים עם מענה אנושי רציף ואחרים עם שעות מוגדרות. בדקו בחוזה זמינות, יעד תגובה ואיש קשר מוסמך גם מחוץ לשעות העבודה, ואת ההבדל בין התרעה לטיפול.
כמה זמן לוקח להקים SOC מנוהל? ההקמה כוללת חיבור מקורות, הגדרת כללים וכיול התראות. לוח הזמנים תלוי במספר המערכות, באיכות הנתונים ובתלות בספקים, ומסוכם לאחר מיפוי.
מה לדרוש מ-SOC כשירות
- הגדרות מדידה: מה נחשב אירוע, ממתי נמדד הזמן ועד איזו פעולה. מדדים ממוצעים אינם התחייבות לכל אירוע.
- כיסוי: אילו מערכות מחוברות, מה נשמר ואילו פערים ידועים.
- שעות ואחריות: מי בודק, מי מאשר פעולה ומתי מעורב צוות הארגון.
- דוחות: אירועים, מגמות, פערים והמלצות שניתן לפעול לפיהן.
- עלויות: רישוי, שימוש בנתונים ותחקור נוסף. לדוגמה, Microsoft Sentinel מתומחר לפי מסלולי שימוש ואינו חבילת שירות אנושית.
קראו גם: אבטחת מידע לעסקים | ניטור מערכות