SOC için Kaspersky

Araçlarla değil sonuçlarla başlayın. İş riskine göre tespit ve yanıt önceliklerinizi tanımlayın. İlk aşamalarda sağlam bir SIEM’i,EDR ve dış uzmanlık (MDR veya danışmanlık) ile birleştirin.

Çoğu gelişmiş SOC, araç öncelikli olarak oluşturulmamıştır; önce kullanım senaryosu oluşturulur, ardından teknoloji ve insanlar aracılığıyla operasyonel hâle getirilir.

MTTR (Ortalama Müdahale Süresi). Tespitten sonra bir olayı ne kadar çabuk kontrol altına aldığınız. Daha düşük = daha hızlı koruma, daha az etki

MTTD (Ortalama Tespit Süresi). İlk güvenlik ihlalinden başlayıp SOC’nin ilgili etkinliği bir güvenlik olayı olarak tanımlayıp tanıdığı noktaya kadar geçen süre. Düşük = daha erken görünürlük, azaltılmış bekleme süresi ve en aza indirilmiş saldırgan kalıcılığı

Gerçek Pozitif Hızı ve Uyarı Hacmi. Uyarılarınızdan kaçının gerçekten önemli olduğu. Yüksek sinyal/düşük ses, analistlerin yanlış alarmlara değil gerçek tehditlere odaklandığı anlamına gelir.

SOC Görünürlük Kapsamı. SOC’nizin, tespit etme ve yanıt verme özellikleriyle korunan altyapıyı ne kadar iyi kapsadığı.

Kritik Saldırı Tekniklerinin Kapsamı (MITRE ATT&CK). SOC’nin temel tekniklerde gerçek dünyadaki saldırgan davranışını ne kadar etkili tespit ettiği. Daha iyi kapsama alanı = daha az kör nokta.

Açıkçası, bu bir kilometre taşı değil aksine bir ilerlemedir.

• 9–12 ay — SOC çalışır hâle gelir (temel tespitler yerleşir, süreçler dengelenir, ekip güven kazanır, gürültü azalır)
• 18–24 ay — olgunlaşırsınız (otomasyon, güçlü kapsam, tutarlı sonuçlar)

Hızınız; başlangıç noktanıza, ekibinize, deneyiminize ve dış uzmanlıktan ne kadar yararlandığınıza bağlıdır. En büyük gecikmeler genellikle teknolojiden değil, süreçten ve insanlardan kaynaklanır.

Yüksek düzeyde, her başarılı SOC aynı temel aşamalardan geçer:

1. Amaçları ve kapsamı tanımlayın. Hangi riskleri azaltmak istediğiniz, hangi varlıkları korumanız, hangi “iyi” nin neye benzediği ve SOC’nin hangi hizmetleri sağlayacağı.

2. Mimari tasarlayın ve teknolojileri seçin. SIEM, EDR/XDR, NDR ve entegrasyonları teknolojilerin değil sizin kullanım senaryolarınızla uyumlu şekilde kullanın.

3. Algılama kullanım alanlarını kurun. Gerçek saldırı senaryolarını tespit mantığına ve kurallarına dönüştürün.

4. İşlemler ve taktikler kitapları oluşturun. Olay triyajı, üst noktaya taşıma ve yanıt; net, tekrarlanabilir ve ölçülebilir olmalı.

5. Ekibi iyileştirin. Yetenek konusundaki boşluklarını doldurmak için MDR/danışmanlık yardımıyla ile insanları işe alın, eğitin veya kapasitenizi artırın.

6. Veri kaynaklarını entegre edin ve ekleyin. Görünürlük; uç noktalarda, ağda, bulutta ve kimlikte belirlenir.

7. Ayarları yapın ve optimize edin. Yanlış pozitifleri azaltın, tespit kalitesini iyileştirin ve iş akışlarını güçlendirin.

8. Sürekli olarak ölçü yapın ve iyileştirin. MTTD, MTTR ve kapsamı takip edin ve gerçek olaylara ve tehdit ortamına göre değişiklikler yapın.

Bir SOC asla “tamamlanmaz” çünkü son aşama asla bitmez.

Şirket içi SOC (tamamen şirket içinde). Maksimum kontrol, maksimum sorumluluk.

İnsanlar, süreçler ve teknoloji dâhil her şeyi siz oluşturur ve çalıştırırsınız.

• Tam görünürlük ve veri mülkiyeti
• Dâhili ortam ile derin entegrasyon
• Yüksek ölçekte kişiselleştirme ve esneklik
• Yüksek düzeyde şirket içi uzmanlık ve 7 gün 24 saat çalışan personel gerektirir

Ödün: Sürekli olarak yüksek bir olgunluk düzeyinde tutması, oluşturması pahalıdır ve ölçeklenmesi yavaş, bakımı ise zordur.

Yönetilen SOC (MDR / dış kaynaklı SOC hizmetleri). Talebe bağlı hız ve uzmanlık.

İzleme, tespit etme ve genellikle yanıt verme işlemlerini bir üçüncü taraf sağlayıcı gerçekleştirir.

• Kısa sürede değer elde etme
• Deneyimli analistlere ve tehdit istihbaratına erişim
• Tam bir dâhili ekip oluşturmadan 7 gün 24 saat kapsama
• Standart ancak kanıtlanmış süreçler

Ödün: Daha az doğrudan kontrol, sağlayıcı iş akışlarına ve görünürlük sınırlarına bağımlı kalma ve uyarı analizi sırasında iş bağlamının sınırlı ölçüde anlama.

Karma SOC (paylaşılan model). Önemli olan yerlerde kontrol edin, ihtiyaç duyulan yerde ölçeklendirin.

Çoğu kuruluş için bu en pratik modeldir ve dâhili SOC özellikleri ile harici yönetilen hizmetlerin bir kombinasyonudur.

• Dâhili ekip; strateji, kritik varlıklar ve olay mülkiyetine odaklanır
• Harici sağlayıcı ise izleme, zenginleştirme veya Katman 1 / 7 gün 24 saat operasyonlarını gerçekleştirir
• Yeteneklerin zaman içinde esnek bir şekilde ölçeklendirilmesi
• Tam bir SOC kabiliyetine doğru olgunlaşan kuruluşlar için ortak bir “köprü” modeli

Ödün: Açıkça tanımlanmış sorumluluklar gerektirir (kim tespit ediyor, kim araştırıyor, kim yanıt veriyor).

Hız ve uzmanlığın kontrolden daha önemli olduğu zaman. MDR şu durumlarda güçlü bir seçimdir:

• Nitelikli analistlere veya 7 gün 24 saat hizmet kapsamına sahip değilseniz
• Tespit ve yanıtta acil düzeltmelere ihtiyacınız varsa
• Ekibiniz aşırı yoğunsa

Birçok kuruluş MDR’yi temel olarak kullanır ve zaman içinde bu aracın yeteneklerini kademeli olarak şirkete kazandırır.