В современной кибербезопасности SOC (Security Operations Center) — это нервный центр защиты организации. Но как проверить, что ваш SOC (внутренний или аутсорсинговый) действительно работает в режиме 24/7, а не просто «галочка» в отчете? В этой статье разберем ключевые индикаторы работоспособности SOC, этапы его работы и критерии оценки эффективности.
Что такое SOC и почему важен его статус «Online»
SOC (Центр операций безопасности) — это централизованная команда специалистов, процессы и технологии, обеспечивающие непрерывный мониторинг, обнаружение, анализ и реагирование на инциденты информационной безопасности. Наличие статуса «Online» означает, что все четыре фазы жизненного цикла инцидента работают бесшовно и в реальном времени.
«SOC — это командный центр для кибербезопасности. Инженеры непрерывно мониторят инфраструктуру 24/7, используя инструменты вроде SIEM, EDR, SOAR и ITSM»., Раджниш Г., эксперт по кибербезопасности (LinkedIn, сен. 2025).
Четыре фазы работы SOC: чек-лист для проверки активности
Чтобы понять, работает SOC онлайн, нужно убедиться в активности на каждом из этапов. Если хотя бы одна фаза «зависла» или выполняется формально — центр не в полной мере онлайн.
Мониторинг (Monitoring) — Основа видимости
- Индикатор: Потоки логов поступают в SIEM без задержек (>99.9% uptime коннекторов).
- Проверка: Дашборд «Heartbeat» источников логов (Domain Controllers, Firewalls, EDR, Cloud, Proxy).
- Красный флаг: Пропавшие источники логов более 15-30 минут без тикета на расследование.
Обнаружение (Detection), Работа правил и Threat Intelligence
- Индикатор: Правила корреляции срабатывают, алерты генерируются, есть интеграция с Threat Intelligence фидами.
- Проверка: Количество алертов в час/день (базовая линия), процент срабатываний по MITRE ATT&CK техникам.
- Красный флаг: «Тишина» в консоли SIEM длительное время при активном трафике в сети.
Расследование (Investigation) — Работа аналитиков L1/L2
- Индикатор: Время реакции на алерт (MTTA — Mean Time To Acknowledge) в пределах SLA (обычно < 15 мин для Critical/High).
- Проверка: Наличие обогащения алерта (Whois, VT, внутренний CMDB, поведение пользователя/хоста).
- Красный флаг: Алерты висят в очереди «New» часами без присвоения аналитику.
Реагирование (Response / Incident Response) — Действия по сдерживанию
- Индикатор: Наличие плейбуков (Playbooks) в SOAR, автоматическое или полуавтоматическое блокирование IOC (IP, Hash, URL), изоляция хостов через EDR/NAC.
- Проверка: MTTR (Mean Time To Respond/Remediate), количество закрытых инцидентов с Root Cause Analysis.
- Красный флаг: Реагирование только ручное, отсутствие интеграции с инфраструктурой для блокировок.
Ключевые метрики (KPI) для подтверждения статуса «Online»
Не полагайтесь на слова «мы работаем». Просите отчеты по метрикам за последние 30 дней:
- Uptime SIEM / Log Ingestion: Должен стремиться к 100%. Просадки > 1% требуют инцидент-менеджмента.
- Alert Coverage (Покрытие MITRE ATT&CK): Какой процент техник покрыто правилами детекта.
- False Positive Rate: Нормально 70-90% FP, но они должны быстро закрываться (авто-закрытие или быстрый триаж). Если 100% FP и они не закрываются — SOC мертв.
- MTTA / MTTR: Среднее время к подтверждению и устранению.
- Analyst Utilization: Загрузка аналитиков. Перегруз (>80% времени на рутину) ведет к пропуску реальных атак.
Технологический стек: признаки живого SOC
Современный онлайн-SOC немыслим без автоматизации. Наличие и интеграция этих инструментов — маркер зрелости:
| Категория | Инструменты | Роль в онлайн-режиме |
|---|---|---|
| SIEM | Splunk, QRadar, Sentinel, Elastic, LogPoint | Центральный мозг, корреляция, хранение |
| EDR/XDR | CrowdStrike, SentinelOne, Defender for Endpoint, Kaspersky | Видимость на эндпоинтах, реагирование (изоляция, kill process) |
| SOAR | Cortex XSOAR, Splunk SOAR, Siemplify, Shuffle | Автоматизация триажа, обогащения, реагирования (Playbooks) |
| Threat Intel Platforms (TIP) | MISP, Anomali, ThreatConnect, OpenCTI | Обогащение алертов актуальными IOC |
| ITSM / Ticketing | Jira, ServiceNow, TopDesk | Управление жизненным циклом инцидента, SLA трекинг |
Человеческий фактор: смены, эскалация, обучение
Технологии бесполезны без людей. Признаки того, что команда SOC онлайн:
- Модель 24/7/365: Есть сменный график (Follow-the-sun или ночные дежурства в регионе). Нет «окон уязвимости» ночью/в выходные.
- Матрица эскалации: Четкий путь: L1 Triage -> L2 Investigation -> L3 Threat Hunting / IR Lead -> CISO / Management.
- Threat Hunting (Проактивный поиск): Если аналитики только ждут алерты — это реактивный SOC. Онлайн-SOC выделяет время на тинг (минимум 20% времени L2/L3).
- Непрерывное обучение: Участие в CTF, разбор свежих отчетов (APT, Ransomware), обновление правил детекта под новые TTP.
Красные флаги: когда SOC «Оффлайн» или «Фиктивный»
Обратите внимание на эти признаки (часто встречаются при аудите аутсорсинговых MSSP):
- Отсутствие доступа к консоли SIEM/SOAR у заказчика («черный ящик»).
- Отчеты приходят раз в месяц и содержат только статистику «закрыто N тикетов», без деталей инцидентов.
- Нет процедуры уведомления заказчика о критических инцидентах в реальном времени (звонок/Telegram/СМС в течение 15-30 мин).
- Аналитики не знают контекст бизнеса (какие серверы критичны, какие пользователи VIP, где лежат «кронштейны»).
- Правила детекта не обновлялись годами (последнее изменение > 6-12 месяцев назад).
Практический чек-лист аудита «SOC Online?»
Используйте этот список при выборе провайдера или аудите внутреннего центра:
- [ ] Тестовый инцидент (Purple Team): Запустите безобидную симуляцию атаки (Atomic Red Team, Caldera) и замерьте время детекта и реакции.
- [ ] Проверка «Heartbeat»: Отключите агент EDR / логи на тестовом хосте. За сколько минут SOC создаст тикет «Log source down»?
- [ ] Запрос Raw-доступа: Попросите доступ к Kibana / Splunk Search / Sentinel Logs для проверки свежести данных.
- [ ] Проверка SOAR Playbook: Попросите показать выполнение плейбука на реальном алерте (например, брутфорс или малварь в песочнице).
- [ ] Интервью с дежурным L1: Спросите: «Что вы сделаете, если придет алерт Suspicious PowerShell в 03:00 ночи субботы?». Оцените компетентность и доступ к плейбукам.
Узнать, работает SOC онлайн или нет, можно только через верификацию процессов и метрик, а не по презентациям. Настоящий онлайн-SOC — это не «мониторинг за мониторами», а работающая конвейерная линия: Лог -> Алерт -> Контекст -> Решение -> Действие -> Урок, крутящаяся 24/7 без участия человека на рутинных этапах (благодаря SOAR) и с экспертизой людей на сложных.
Требуйте прозрачности (доступ к дашбордам), измеримости (SLA, MTTR) и проактивности (Threat Hunting). Только так SOC перестает быть статьей расходов и становится инструментом устойчивости бизнеса.
Материал подготовлен на основе открытых источников и лучших практик индустрии (JISC Blog, LinkedIn Expert Posts, YouTube Channels по кибербезопасности). Контакты экспертов и ссылки на закрытые ресурсы скрыты (*).