SOC Technologies and processes

Editor's Notes

• #11: Анализ в режиме реального времени Телефонный информационный центр Полезные советы, отчеты об инцидентах и запросы на услуги по защите компьютерной сети для заказчиков по телефону, электронной почте, сообщений на сайте SOC и пр. Центр является аналогом обычной службы IT-поддержки, но имеет более узкую специализацию.   Мониторинг и сортировка в режиме реального времени Сортировка и первичный анализ канала данных в режиме реального времени (системные журналы и предупреждения) для обнаружения потенциальных атак. По истечении определенного срока события безопасности подвергаются анализу и дальнейшей проверке со стороны команды реагирования. Обычно является синонимом аналитиков SOC Tier 1, фокусирующихся на каналах событий в режиме реального времени и других способах визуализации данных. Примечание. Является одной из самых легко узнаваемых и визуально понятных возможностей SOC. Однако без сопутствующего анализа инцидентов и возможностей реагирования, описанных далее, функция бесполезна.
• #15: Анализ инцидентов и реагирование Анализ инцидентов. Продолжительный, исчерпывающий анализ потенциальных вторжений и рекомендаций, направленных другими специалистами SOC. Данная функция обычно выполняется аналитиками второго уровня и выше, если инцидент передается на рассмотрение на более высокий уровень. Задача должна быть выполнена в определенный срок, чтобы обеспечить адекватность и эффективность реагирования. Данная функция обычно включает в себя анализ данных, полученных при помощи различных средств, для того, чтобы определить кем/чем, когда, где и почему совершено вторжение; определить его масштаб, найти способы уменьшить ущерб и восстановить систему. Аналитик фиксирует подробности анализа в письменном виде, обычно с предоставлением рекомендаций для реализации дальнейших действий. Методы сбора информации. Тщательно согласованные действия по борьбе с вредоносным ПО, в соответствии с которыми специалисты SOC детально изучают и анализируют тактику, методы и процедуры, используемые злоумышленником для лучшего их понимания, а также с целью проинформировать о результатах производимых наблюдений. Данная функция отлична от остальных тем, что (1) иногда подразумевает использование специально подобранного сетевого и системного оснащения (например, Honeypot), необходимого для работы с соответствующими действиями злоумышленника, (2) злоумышленник сможет продолжить свою деятельность, не будучи немедленно отключенным от системы. Данная функция тесно связана с функцией отслеживания тенденций, а также анализом вредоносного ПО и скрытых уязвимостей, что, в свою очередь, помогает при создании службы кибераналитики. Координация реагирования на инциденты. Работа с уязвимыми системами, направленная на сбор дополнительной информации об инциденте, его значимости, и оценку воздействия от выполняемой операции. Более того, данная функция включает в себя согласование ответных действий и составление отчета об инциденте. Настоящая служба не подразумевает непосредственное применение мер противодействия центром SOC. Применение мер противодействия. Фактическое применение мер реагирования на инцидент с целью обнаружить, заблокировать и избавиться от злоумышленника или его действий, наносящих ущерб. Возможные меры противодействия включают в себя логическую или физическую изоляцию атакованных систем, защиту межсетевым экраном, использование DNS-карантина (DNS black holes), изоляцию IP-адресов, использование пакетов обновлений и деактивацию учетной записи. Реагирования на инцидент на объекте заказчика. Работа на объекте заказчика, выполняемая в рамках реагирования на инцидент и восстановления системы после него. Данная функция обычно требует от специалистов SOC, находящихся на объекте заказчика или отправляющихся туда, проанализировать ущерб, устранить изменения, внесенные злоумышленником, и восстановить систему до исходного рабочего состояния. Эти работы осуществляются совместно с заказчиком и системными администраторами. Реагирования на инцидент на удаленной основе. Проведение удаленных работ по восстановлению системы после произошедшего инцидента. В рамках проведения настоящих работ выполняются те же действия, что и при выезде на объект заказчика. Однако, в этом случае специалисты SOC принимают сравнительно меньшее участие в восстановлении системы и сборе свидетельств, связанных с инцидентом. Удаленная поддержка может быть оказана по телефону или электронной почте, либо, в некоторых случаях, при помощи удаленного терминала или административного интерфейса, такого как Microsoft Terminal Services или Secure Shell (SSH).
• #17: Анализ сведений, связанных с инцидентом Обработка данных ретроспективного анализа сведений, связанных с инцидентом Сбор и хранение свидетельств, связанных с инцидентом (с жесткого диска или съемных носителей), таким образом, чтобы полученные данные можно было использовать во время судебных разбирательств. В зависимости от юрисдикции, при составлении документация о передаче ответственности может потребоваться использование мультимедийных носителей для обеспечения безопасности хранения данных и создания точной копии сведений об инциденте, предоставляемых в качестве доказательства. Анализ вредоносного ПО и скрытых уязвимостей. Функция также известна как обратная разработка вредоносного ПО или сокращенно "реверсинг". Извлечение из сетевого пространства или образов вредоносного ПО (вирусов, троянов, скрытых уязвимостей, загрузчиков, и т.д.) и анализ их с целью определения характера. Специалисты SOC обычно обращают внимание на первичный вектор заражения, поведение, а также нестрогое использование атрибутов, чтобы определить масштабы вторжения и иметь возможность своевременно отреагировать на инцидент. Эта процедура может включать в себя как статический анализ кода посредством декомпиляции, так и динамический анализ (например, так называемая "детонация"), или же используются оба метода. Данная функция используется с целью обеспечения эффективности отслеживания и реагирования. Несмотря на то, что функция подразумевает использование тех же методов, что традиционное расследование инцидентов (forensics), она не обязательно будет использоваться в целях проведения судебного разбирательства. Ретроспективный анализ сведений, связанных с инцидентом. Анализ цифровых носителей информации (мультимедийных носителей, сетевого трафика, мобильных устройств), проводимый с целью получения сведений об инциденте в полном объеме, как правило, путем восстановления детальной хронологии событий. Используются практически те же методы, применяемые при анализе вредоносного ПО и скрытых уязвимостей, однако они сопровождаются более строгим процессом составления документации. Обычно документация составляется таким образом, чтобы впоследствии она могла использоваться в судебных разбирательствах против виновников инцидента.
• #18: Добавить скриншот с подписями
• #19: Cбор информации и отслеживание тенденций Сбор и анализ данных службой кибераналитики; cбор, использование и анализ отчетов службы кибераналитики (cyber intelligence); отчеты службы обнаружения вторжений (cyber intrusion); обзор текущих событий, касающихся сферы информационной безопасности, охватывающий новые потенциальные угрозы, уязвимости, продукты и исследования в этой области. Материалы проверяются на наличие информации, которая должна быть отправлена заказчику, или ее обработка подразумевает ответ специалистов SOC. Информация может быть получена из различных источников: из центров SOC, от разработчиков, на веб-сайтах новостных интернет-порталов и онлайн-форумах, а также из адресной рассылки по электронной почте. Распространение данных службы кибераналитики. Обобщение, резюмирование и перенаправление отчетов службы кибераналитики (cyber intelligence), отчетов службы обнаружения вторжений (cyber intrusion), обзора текущих событий, касающихся сферы информационной безопасности специалистам заказчика как на регулярной основе (еженедельное или ежемесячное информационное письмо), так и в экстренном порядке (уведомление о выходе экстренного обновления или предупреждение о фишинг-атаке). Создание службы кибераналитики. Разработкой системы оповещений службы кибераналитики (к примеру, уведомлений об угрозах или наиболее важных событиях) напрямую занимаются специалисты SOC, основываясь на собственных исследованиях. Например, это может быть анализ новых угроз и уязвимостей, не встречавшихся ранее. Обычно специалисты используют информацию об инцидентах, зарегистрированных в SOC, данные ретроспективного анализа (forensic analysis), анализа вредоносного ПО и средств борьбы с ним. Объединение информации от служб кибераналитики. Извлечение данных служб кибербезопасности и обобщение с целью создания новых сигнатур, содержимого и понимания тактики, методов и процедур, используемых злоумышленником. Таким образом, настоящая функция способствует развитию процессов отслеживания (например, появление новых сигнатур или информационных ресурсов системы управления информационной безопасностью и событиями (SIEM)). Отслеживание тенденций. Долгосрочный анализ каналов с информацией о событиях, обнаруженного вредоносного ПО, а также данных об инциденте с целью выявления признаков аномальной активности или для лучшего понимания нужд заказчика или тактики, методов и процедур, используемых злоумышленником. Сюда можно включить неструктурированный, допускающий изменения, глубокий анализ различных данных в режиме реального времени, отслеживание тенденций и сопоставление данных журнала событий, анализ данных в режиме “low and slow", а также методы обнаружения аномальной активности. Оценка угроз. Целостный подход к оценке киберугроз, вызванных различными факторами, для заказчика и его замкнутых систем либо направлений деятельности. Оценка угроз подразумевает использование существующих ресурсов, таких как канал новостей службы кибераналитики и службы отслеживания тенденций, наряду с архитектурой предприятия и степени опасности уязвимости. Обычно осуществляется согласованно с другими лицами, вовлеченными в обеспечение информационной безопасности.
• #22:   Обеспечение жизненного цикла инструментов SOC Средства защиты границ O&M. Эксплуатация и техническое обслуживание (operations and management - O&M) средств защиты границ (например, межсетевых экранов, прокси-серверов и фильтров содержимого). Включает в себя обновления и управление настройками (CM) политик устройств, иногда в качестве ответа на угрозу или инцидент. Все действия тщательно согласуются с центром управления сетью (Network Operation Center, NOC) Инфраструктура SOC O&M. Эксплуатация и техническое обслуживание (O&M) оборудования SOC, выходящие за рамки задач по настройке сенсорных устройств. Сюда входит техническое обслуживание и обеспечение бесперебойной работы IT-оборудования центра SOC: серверов, рабочих станций, принтеров, реляционных баз данных, систем обработки заявок на устранение неисправностей, сетевых систем хранения данных (SANs), а также устройств для резервного копирования на магнитной ленте. Если SOC располагает собственной замкнутой системой, то также проводится техническое обслуживание маршрутизаторов, коммутаторов, межсетевых экранов и контроллеров домена, если таковые имеются. Сюда же может быть включена эксплуатация и техническое обслуживание систем отслеживания, операционных систем и аппаратного обеспечения. Сотрудники, занимающиеся поддержкой данной службы имеют привилегии суперпользователя (root) при работе с оборудованием SOC. Настройка и техническое обслуживание сенсорного оборудования. Техническое обслуживание и обеспечение бесперебойной работы сенсоров SOC: системы обнаружения вторжений (IDS), системы предотвращения вторжений (IPS), системы управления информационной безопасностью и событиями (SIEM) и прочих. Данная задача включает в себя обновление системы обнаружения вторжений (IDS)/системы предотвращения вторжений (IPS) и системы управления информационной безопасностью и событиями (SIEM) с добавлением новых сигнатур, настройкой комплектов сигнатур с целью ограничения объема событий, сокращения количества ложных срабатываний, а также контроль включения/выключения сенсоров и каналов данных передачи данных. Специалисты SOC, работающие с данной службой, должны быть осведомлены о требованиях центра SOC относительно отслеживания систем, чтобы всегда им соответствовать и идти в ногу с изменениями в среде кибербезопасности. Изменения, вносимые в любые встроенные устройства для предотвращения вторжений (HIPS/NIPS), должны согласовываться с центром управления сетью (Network Operation Center, NOC) или другими отделами департамента IT. Данная функция может включать в себя разработку специального сценария по переносу данных и интеграции инструментов. Создание собственных сигнатур. Разработка и внедрение оригинального содержимого для систем отслеживания (IDS сигнатур, сценариев использования системы управления информационной безопасностью и событиями (SIEM)) на основе текущих угроз, уязвимостей, протоколов, миссий или других особенностей систем заказчика. Данная функция использует инструменты, находящиеся в распоряжении центра SOC, чтобы заполнить пробелы в сигнатурах, предоставляемых на коммерческой или общественной основе. SOC может делиться разработанными сигнатурами с другими центрами SOC. Разработка и внедрение инструментов Исследование рынка, оценка продукта, разработка прототипа, разработка, интеграция, внедрение и обновления оборудования SOC осуществляется при помощи бесплатного программного обеспечения/программного обеспечения с открытым исходным кодом (FOSS) или при помощи доступных в продаже технологий (COTS). Данная служба подразумевает планирование бюджета, приобретение и регулярное усовершенствование систем SOC. Специалисты, занимающиеся поддержкой данной службы, должны внимательно следить за меняющимся характером угроз и соответствовать требованиям выполняемой миссии. Разработка и исследование инструментов. Разработка и исследование (R&D) собственных инструментов в случае, когда для выполнения определенной задачи нет подходящих коммерческих инструментов/инструментов с открытым исходным кодом. Диапазон работ в рамках данной задачи простирается от разработки кода, позволяющего решать известные и четко сформулированные проблемы, до решения более сложных проблем, требующих многолетних научных исследований.
• #23:   Сканирование и оценка Топология сети. Последовательное и регулярное построение карты сетевой инфраструктуры заказчика, необходимое для более точного понимания размера, формы, компонентного состава и интерфейсов периметра, вручную или при помощи автоматизированных средств. Такие карты обычно создаются по согласованию с заказчиком и передаются другим заинтересованным лицам. Сканирование уязвимостей. На узел заказчика при помощи автоматизированных и распространяемых инструментов отправляется запрос о статусе уязвимостей и соблюдении политики безопасности. Так же как и в случае с построением карты сетевой инфраструктуры, данная функция позволяет центру SOC лучше разобраться в системе, требующей защиты. SOC может предоставить полученные данные специалистам заказчика в виде отчета или краткого описания. Данная задача выполняется на регулярной основе и является частью конкретной оценки или проверки. Оценка уязвимостей. Доскональная и открытая проверка состояния безопасности сайта, закрытой системы или системы заказчика, также известна под названием “Blue Teaming.” Специалисты SOC совместно с владельцами системы и системными администраторами осуществляют доскональную проверку архитектуры системы безопасности и выявляют уязвимости посредством сканирования, проверки системной конфигурации, технической документации по системе и проведения опросов. Для выполнения этой задачи может потребоваться использование инструментов для сканирования сети и уязвимостей, а также более инвазивных технологий для проверки конфигурации и статуса системы. Эта проверка позволяет специалистам создать отчет с результатами исследования и предоставить рекомендации по решению выявленных проблем безопасности. Центры SOC используют оценку уязвимостей для расширения области отслеживания и пополнения аналитиками знаний о системе заказчика. Тестирование на проникновение. Оценка, проводимая при отсутствии сведений или ограниченных сведениях об определенных участках системы заказчика, также известна под названием “Red Teaming.” Специалисты SOC осуществляют имитацию атаки на сегмент сети заказчика с целью определить степень устойчивости системы к настоящей атаке. Эти операции обычно проводятся только после уведомления и с разрешения высокопоставленных руководителей со стороны заказчика и без предупреждения. Используются различные методы проведения атак: переполнение буфера, внедрение SQL-кода и фаззинг входных данных. Красная команда обычно ограничивает цели и ресурсы моделированием определенной ситуации, однако имитация атаки злоумышленника может начаться с фишинга. После завершения операции команда составляет отчет о выявленных проблемах безопасности, так же как и выполнении оценки уязвимостей. Однако тестирование на проникновение ставит перед собой достаточно узкий круг задач, в отличие от работ по оценке уязвимостей, оно не позволяет досконально изучить все аспекты системной конфигурации и составить практические рекомендации. В некоторых случаях специалисты SOC занимаются только координацией действий Красной команды, когда большая часть работ по тестированию выполняется с привлечением третьих лиц. Это делается для того, чтобы убедиться, что специалисты по тестированию не знакомы с системой заказчика и не имеют данных об их уязвимостях.     Аудит и внутренние угрозы Сбор данных аудита и их распространение. Сбор событий безопасности для последующей их корреляции и проведения анализа. Схема сбора может быть настроена таким образом, чтобы предоставить возможность для распространения данных аудита и их выдачи по требованию заказчика в целях проведения анализа либо расследования, выходящего за рамки задач, поставленных перед SOC. Данная функция предоставляет возможность долгосрочного хранения данных о безопасности с открытым доступом для заказчика. Создание содержания аудита и управление аудитом. Создание и сборка система управления информационной безопасностью и событиями (SIEM) или содержимого журналов (корреляционные данные, информационные таблицы, отчеты и пр.) с целью дальнейшего анализа результатов аудита заказчиком и обнаружения следов несанкционированных действий. Данная функция поддерживает возможность распространения данных аудита, обеспечивает работу канала необработанных данных и представляет информацию в доступном для заказчика виде. Поддержка анализа внутренних угроз. Поддержка анализа внутренних угроз и проведение двухэтапного расследования: 1 Обнаружение следов потенциальных внутренних угроз (например, злоупотребление ИТ-ресурсами компании, финансовые махинации, промышленный шпионаж и воровство). SOC также информирует о создавшейся ситуации соответствующие правоохранительные органы. 2. При поддержке правоохранительных органов SOC проводит дальнейший мониторинг, сбор данных и их анализ в целях подтверждения подозрения о несанкционированной активности. Расследование внутренних угроз. SOC может проводить самостоятельное расследование обнаруженных внутренних угроз, например осуществлять мониторинг деятельности отдельных людей. Но в большинстве случаев SOC работает под управлением другой уполномоченной организации.
• #27:   Образовательно-информационные мероприятия Оценка продукта. Тестирование функций обеспечения безопасности указанных продуктов по запросу заказчика. Аналогично мероприятиям по оценке уязвимостей одного или нескольких узлов, настоящее тестирование позволяет провести исчерпывающий анализ определенных сильных и слабых сторон продукта с точки зрения безопасности. Может быть произведено локальное тестирование продуктов вместо удаленной оценки работающих систем или систем на стадии подготовки к выпуску. Консультации по вопросам безопасности. Предоставление заказчику рекомендаций, выходящих за рамки CND, в области кибербезопасности, ; поддержки новой структуры системы, достижения устойчивости функционирования предприятия, планирования мер по аварийному восстановлению, политики кибербезопасности; предоставление руководств по безопасной настройке, и пр. Тренинги и повышение информированности. Превентивные образовательно-информационные мероприятия для заказчиков, включающие в себя обучение пользователей, составление бюллетеней и других образовательных материалов, которые смогут помочь разобраться в различных вопросах кибербезопасности. Основная цель - помочь заказчику защититься от основных угроз вроде фишинга/фарминга, лучше защитить свои серверные системы, повысить осведомленность о службах SOC, а также научить правильно сообщать об инцидентах. Ситуативная осведомленность. Регулярная перекомпоновка информации, получаемой центром SOC, об активах, сетевой инфраструктуре, угрозах, инцидентах и уязвимостях системы заказчика и перенаправление этой информации заказчику. Данная функция выходит за пределы распространения данных службы кибераналитики, позволяя заказчику получить сведения об уровне безопасности и принять эффективное решение на любом уровне. Эта информация может быть предоставлена автоматически через веб сайт SOC, а также при помощи веб портала или по электронной почте. Распространение информации о тактике, методах и процедурах. Постоянный обмен внутренними разработками центра SOC с заказчиками (партнерами или подведомственными центрами SOC) в оформленном, отредактированном и структурированном виде. Сюда могут быть включены практически все собственные разработки SOC (например, инструменты, службы кибераналитики, отчеты об инцидентах, а также поверхностные наблюдения). Зачастую срабатывает принцип обмена данными на взаимной основе: информация передается между центрами SOC как в прямом, так и в обратном направлении. Работа со СМИ. Прямое взаимодействие с новостными СМИ. SOC обязуется раскрывать информацию без ущерба для репутации заказчика и не создавая помех для деятельности по предупреждению инцидентов.