Почему внедрение SIEM не заканчивается подключением логов

После запуска SIEM инфраструктура продолжает меняться: появляются новые приложения, обновляются средства защиты, сотрудники получают новые роли.

Вместе с этим меняются события и привычная активность.
Поэтому правила обнаружения приходится регулярно проверять и дорабатывать.

У каждого важного сценария должен быть ответственный, который понимает, какие данные нужны правилу, какую угрозу оно выявляет и как проверить его работоспособность.

Полезно регулярно задавать три вопроса:

— продолжают ли поступать нужные события
— выявляет ли правило тот сценарий, ради которого его создавали
— может ли аналитик по срабатыванию принять обоснованное решение.

В рамках работы SOC-центра мы часто дорабатываем или заменяем базовую экспертизу SIEM своими правилами.

Это нормальная практика развития базового контента. Она нужна для более качественных и точных обнаружений, релевантных конкретной инфраструктуре.

Необходимость таких правил выявляется еще в начале работ, а значительная часть доработок приходится на первый квартал работы.

Где помогает гибридный SOC

В гибридной модели внешняя команда может заниматься мониторингом, первичной проверкой сигналов, расследованиями и развитием правил обнаружения.

Внутренняя ИБ-команда помогает оценить происходящее с учетом устройства конкретной компании.

Допустим, обнаружена массовая выгрузка файлов.
Внешний аналитик собирает последовательность действий и оценивает признаки подозрительной активности.

Внутренняя команда выясняет, связана ли выгрузка с согласованной миграцией, кто владеет данными и какие ограничения допустимы для этой системы.

Такая работа требует понятного распределения ответственности и доступного канала связи. Если контекст нельзя получить вовремя, проверка сигнала затягивается.

Поэтому активное взаимодействие — один из основополагающих факторов успешной работы гибридного SOC-центра.

SIEM дает SOC общую основу для обнаружения и расследования. События можно сопоставлять, проверять и восстанавливать по ним ход действий.

Но ее практическая ценность проявляется в конкретном результате: команда замечает подозрительную активность, понимает, что произошло, и успевает принять меры.

Для этого нужны качественные данные, проверенные правила и люди, которые знают, что делать со срабатыванием.

#SIEM #SOC #ЭкспертизаAxxtel