Co to jest SOC? Centrum operacji bezpieczeństwa w praktyce.
SOC (Security Operations Center) to zespół ludzi, procesów i narzędzi, który na bieżąco monitoruje infrastrukturę firmy, wykrywa ataki i reaguje na incydenty. Wyjaśniamy, jak wygląda jego praca na co dzień, kto w nim pracuje i kiedy bardziej opłaca się SOC jako usługa niż własny zespół.
Damian Waszczak, CBO, Senior Security AnalystZaktualizowano
SOC w jednym akapicie
W SOC zbiegają się sygnały o bezpieczeństwie całej firmy: logi z serwerów i firewalli, telemetria ze stacji roboczych, zdarzenia z poczty, chmury i systemów tożsamości. Analitycy przeglądają alerty, oddzielają fałszywe alarmy od prawdziwych zagrożeń i reagują, zanim atak zdąży narobić szkód.
Słowo „centrum” bywa mylące. SOC nie musi być salą z ekranami na ścianie. Może być wewnętrznym zespołem, usługą zewnętrznego dostawcy albo połączeniem obu. Liczy się to, czy ktoś realnie patrzy na alerty i wie, co z nimi zrobić.
Jak działa SOC: od zdarzenia do zamkniętej sprawy
- 1
Zbieranie danych
Agenty na stacjach i serwerach oraz integracje z firewallami, pocztą, chmurą i Active Directory przesyłają zdarzenia do jednej platformy, najczęściej SIEM albo XDR.
- 2
Detekcja
Reguły korelacyjne i analiza zachowań wyłapują to, co odbiega od normy: nietypowe logowanie, podejrzane drzewo procesów, ruch do znanego serwera C2.
- 3
Triage
Analityk ocenia alert w kontekście: czy to prawdziwe zagrożenie, jak poważne i których systemów dotyczy. Większość alertów okazuje się fałszywymi alarmami i właśnie tu zapada ta decyzja.
- 4
Reakcja
Izolacja zainfekowanego hosta, blokada konta, unieważnienie sesji, zabezpieczenie dowodów. Im szybciej, tym mniejsze straty.
- 5
Raport i wnioski
Opis incydentu, oś czasu, przyczyna i zalecenia. Po każdej poważnej sprawie SOC stroi detekcję, żeby podobny atak został wykryty szybciej.
Kto pracuje w SOC
| Rola | Czym się zajmuje |
|---|---|
| Analityk L1 | Pierwsza linia: przegląda alerty, odsiewa fałszywe alarmy i eskaluje to, co wygląda groźnie. |
| Analityk L2 | Analizuje incydenty w głąb, ustala zakres ataku i prowadzi reakcję. |
| Analityk L3, threat hunter | Szuka zagrożeń, których nie wykryły reguły, analizuje malware i pisze nowe detekcje. |
| Inżynier detekcji | Utrzymuje platformę, podłącza źródła logów i stroi reguły, żeby alertów było mniej, a były trafniejsze. |
| Kierownik SOC | Odpowiada za procesy, grafik dyżurów, raportowanie i kontakt z zarządem. |
W mniejszych zespołach jedna osoba łączy kilka ról. W SOC jako usłudze wszystkie zapewnia dostawca.
Ile osób potrzeba do SOC 24/7?
Tydzień ma 168 godzin, a etat około 40. Obsadzenie jednego stanowiska przez całą dobę wymaga więc ponad czterech etatów, a po doliczeniu urlopów, zwolnień i szkoleń zwykle pięciu, sześciu. To tylko pierwsza linia, bez analityków L2 i L3, inżyniera detekcji i osoby, która tym wszystkim zarządza.
Dlatego własny SOC 24/7 budują głównie duże organizacje. Średnim firmom częściej opłaca się SOC jako usługa, w którym koszt dyżuru rozkłada się na wielu klientów.
Własny SOC czy SOC jako usługa
| Kryterium | Własny SOC | SOC jako usługa |
|---|---|---|
| Czas uruchomienia | Zwykle wiele miesięcy: rekrutacja, narzędzia, procedury | Zwykle jeden do dwóch tygodni dla środowiska do 100 urządzeń |
| Zespół | Rekrutujesz i utrzymujesz co najmniej pięć, sześć etatów | Gotowy zespół analityków dostawcy |
| Narzędzia | Kupujesz i utrzymujesz licencje SIEM, EDR, SOAR | Platforma jest częścią usługi |
| Kontrola | Pełna, łącznie z tym, co i jak monitorować | Zakres i procedury ustalone w umowie |
| Koszt | Wysoki i stały, niezależnie od liczby incydentów | Stała miesięczna stawka zależna od skali |
SOC, NOC, SIEM, MDR: czym się różnią
SOC a NOC
NOC (Network Operations Center) dba o dostępność i wydajność sieci, SOC o jej bezpieczeństwo. Ten sam skok ruchu dla NOC jest problemem z wydajnością, dla SOC może być wyciekiem danych.
SOC a SIEM
SIEM to narzędzie, które zbiera i koreluje logi. SOC to zespół, który z niego korzysta. Sam SIEM bez ludzi generuje alerty, na które nikt nie patrzy.
SOC a MDR
MDR to usługa: dostawca monitoruje środowisko i reaguje na zagrożenia w Twoim imieniu. W praktyce to SOC kupiony jako usługa, razem z narzędziami.
SOC a CSIRT
CSIRT to zespół reagowania na incydenty. W Polsce działają też CSIRT-y krajowe, do których podmioty objęte ustawą o KSC zgłaszają poważne incydenty.
Najczęstsze pytania o SOC
Co oznacza skrót SOC?
Security Operations Center, po polsku centrum operacji bezpieczeństwa. Tym samym skrótem określa się zarówno zespół, jak i usługę.
Czy SOC to to samo co SOC 2?
Nie. SOC 2 to amerykański standard raportu z audytu kontroli w organizacji świadczącej usługi (System and Organization Controls). Z centrum operacji bezpieczeństwa łączy go tylko skrót.
Czy mała firma potrzebuje SOC?
Własnego zwykle nie, ale potrzebuje kogoś, kto zauważy atak, zanim zaszyfruje on dane. Dla małych i średnich firm najrozsądniejszy jest SOC jako usługa, na przykład SOC Lite: monitoring przez całą dobę i reakcja w godzinach pracy.
Czy ustawa o KSC wymaga SOC?
Nie wprost. Wymaga wykrywania i obsługi incydentów oraz zgłaszania ich w terminie. Można to robić we własnych strukturach albo z dostawcą usług zarządzanych w zakresie cyberbezpieczeństwa.
Jak szybko SOC reaguje na incydent?
To zależy od umowy. W SOC Pro analitycy pełnią dyżur 24/7, a na krytyczny alert reagujemy w mniej niż 30 minut.
Ile kosztuje SOC?
Zależy od liczby urządzeń, źródeł logów i wymaganego czasu reakcji. Koszt własnego zespołu i usługi porównujemy na stronie o kosztach SOC.
Sprawdź, jak SOC wyglądałby u Ciebie
Opisz swoje środowisko: liczbę urządzeń, systemy i chmurę. Powiemy, jaki zakres monitoringu ma sens i od czego zacząć.
Zadzwoń do nas+48 455 575 753Porozmawiaj bezpośrednio z inżynierem bezpieczeństwa. contact@fluencesecurity.com