Как выглядит рабочий день, когда аналитика киберугроз встроена в SOC
09:20. Аналитик открывает утренний дайджест из TIP-платформы. За ночь подтянулись фиды, индикаторы размечены, дубли схлопнуты. Читать весь поток не нужно, отобрано то, что касается вашего стека и вашей отрасли.
10:00. В списке новая уязвимость в продукте, который стоит на периметре. По CVSS она не в топе, но в фиде отмечено, что ее уже эксплуатируют в атаках на российские компании. Заявка на внеочередное окно уходит админам с обоснованием, а не с формулировкой «критично, ставьте срочно».
11:30. По свежему отчету о группировке аналитик пишет правило Sigma под технику закрепления, которую та использует. Правило уезжает в SIEM. К обеду оно уже работает.
14:00. Threat hunting. Гипотеза: если группировка ходит через легитимный инструмент удаленного управления, стоит поискать его запуски там, где его быть не должно. Проверка занимает полчаса. В этот раз чисто.
16:00. Приходит алерт. Индикатор в нем уже обогащен: известна группировка, известна техника, известно, что обычно идет следующим шагом. Аналитику остается пройти по знакомому сценарию и проверить, где атака успела продвинуться.
17:30. Короткая сводка для директора по информационной безопасности. Без списка хэшей: что изменилось в ландшафте угроз за неделю, какие риски выросли, что закрыли.
Такой день складывается там, где Threat Intelligence оформлен как процесс: кто собирает, кто валидирует, куда уходят данные, кто принимает решение по приоритетам. Подписка на фид сама по себе такого дня не дает.
На программе “Аналитик киберугроз” этот процесс собирают руками: развертывание MISP, реконструкция сценария атаки по матрице MITRE ATT&CK, интеграция фидов в SIEM с готовым сценарием реагирования, отчет и дашборд для руководства.
09:20. Аналитик открывает утренний дайджест из TIP-платформы. За ночь подтянулись фиды, индикаторы размечены, дубли схлопнуты. Читать весь поток не нужно, отобрано то, что касается вашего стека и вашей отрасли.
10:00. В списке новая уязвимость в продукте, который стоит на периметре. По CVSS она не в топе, но в фиде отмечено, что ее уже эксплуатируют в атаках на российские компании. Заявка на внеочередное окно уходит админам с обоснованием, а не с формулировкой «критично, ставьте срочно».
11:30. По свежему отчету о группировке аналитик пишет правило Sigma под технику закрепления, которую та использует. Правило уезжает в SIEM. К обеду оно уже работает.
14:00. Threat hunting. Гипотеза: если группировка ходит через легитимный инструмент удаленного управления, стоит поискать его запуски там, где его быть не должно. Проверка занимает полчаса. В этот раз чисто.
16:00. Приходит алерт. Индикатор в нем уже обогащен: известна группировка, известна техника, известно, что обычно идет следующим шагом. Аналитику остается пройти по знакомому сценарию и проверить, где атака успела продвинуться.
17:30. Короткая сводка для директора по информационной безопасности. Без списка хэшей: что изменилось в ландшафте угроз за неделю, какие риски выросли, что закрыли.
Такой день складывается там, где Threat Intelligence оформлен как процесс: кто собирает, кто валидирует, куда уходят данные, кто принимает решение по приоритетам. Подписка на фид сама по себе такого дня не дает.
На программе “Аналитик киберугроз” этот процесс собирают руками: развертывание MISP, реконструкция сценария атаки по матрице MITRE ATT&CK, интеграция фидов в SIEM с готовым сценарием реагирования, отчет и дашборд для руководства.
Просмотры: 134