SIEM, SOC un MDR: ko jūs patiesībā pērkat?

SIEM apkopo kontekstu

SIEM apvieno drošības notikumus no dažādiem avotiem, ļauj tos meklēt un sasaistīt atklāšanas scenārijos. Lietotāja pieteikšanās kontā, galaiekārtas darbība un tīkla savienojums kopā var dot vairāk konteksta nekā katrs ieraksts atsevišķi. Tomēr platforma redz tikai tos datus, kurus tai piegādā un kurus tā spēj pareizi interpretēt.

Microsoft Sentinel dokumentācija ir konkrētas SIEM platformas piemērs: tā apraksta datu izmantošanu noteikšanai, izmeklēšanai un reaģēšanai. Tas nav solījums, ka jebkura uzstādīta SIEM instance automātiski veic šos uzdevumus jūsu vidē. Pircējam jāprasa, kuri scenāriji būs ieviesti, kādi avoti tiem vajadzīgi un kā tiks pārbaudīta darbība.

SOC ir cilvēku un procesu funkcija

SOC jeb drošības operāciju centrs organizē signālu izvērtēšanu, izmeklēšanu, eskalēšanu un spēju uzlabošanu. Tas var būt iekšējs, ārējs vai dalīts. Būtiski ir pienākumi, pieejamība un lēmumu pieņemšana, nevis atsevišķas telpas vai ekrānu siena. Iekšējais IT administrators var palīdzēt, bet viņa ikdienas noslodze jāņem vērā plānā.

Skaidri nodaliet automātisku datu saņemšanu no cilvēka darba laika. Sistēma var saņemt ierakstus naktī, kamēr pirmā analītiķa pārbaude notiek nākamajā rītā. Ja vajadzīga reakcija ārpus darba laika, vienojieties par dežūrām, aizvietošanu un lēmuma pieņēmēju. Nosaukums SOC pats par sevi nenosaka šos nosacījumus.

MDR pakalpojumu nosaka līgums

MDR parasti apvieno pārvaldītu draudu atklāšanu, izmeklēšanu un reaģēšanas atbalstu. Praktiskais saturs var atšķirties: viens pakalpojums fokusējas uz galaiekārtām, cits aptver arī identitātes, mākoņvidi un tīklu. Noskaidrojiet, vai sniedzējs tikai iesaka izolēt ierīci vai drīkst to izdarīt pats un kā šāds lēmums tiek dokumentēts. Pilnvaru sadalījumu sīkāk aprakstām ceļvedī par reaģēšanu un SLA.

EDR palīdz atklāt draudus darbstacijās un serveros, izmeklēt aizdomīgas darbības un reaģēt uz tām. Tas var būt svarīgs MDR datu avots, taču nav sinonīms visam monitoringa tvērumam. Kritiskai biznesa lietotnei vai mākoņa administrēšanas darbībai var būt vajadzīgi atsevišķi avoti. Neizdariet secinājumu par pārklājumu no viena produkta nosaukuma.

Salīdziniet vienādu uzdevumu

Kas par ko atbild – SIEM, iekšējs SOC un MDR

Uzdevums	SIEM (platforma)	Iekšējs SOC	MDR (pakalpojums)
Datu savākšana	Uzņem pieslēgtos avotus	Nosaka, kuri avoti vajadzīgi	Uzņem līgumā norādītos avotus
Atklāšanas noteikumi	Izpilda ieviestos scenārijus	Veido un uztur scenārijus	Sniedzējs uztur savu noteikumu kopu
Signāla izvērtēšana	Nenotiek; platforma parāda datus	Jūsu analītiķi	Sniedzēja analītiķi
Darba laiks	Datu uzņemšana nepārtraukti	Pēc jūsu grafika	Pēc saskaņotā SLA
Ierobežošanas pilnvaras	Tikai caur integrācijām	Jūsu komandai	Tikai rakstiski deleģētās
Izmeklēšanas materiālu glabāšana	Pēc jūsu iestatījumiem	Jūsu atbildība	Jāvienojas par termiņu un nodošanu

Pirms piedāvājumu salīdzināšanas sagatavojiet vienu prasību lapu: sistēmas, avoti, vēlamie scenāriji, analītiķu darba laiks, eskalācijas kontakti un ierobežošanas pilnvaras. Lūdziet katram sniedzējam atzīmēt, kas ir iekļauts, kas jānodrošina jums un kas maksā atsevišķi. Tas palīdz pamanīt atšķirību starp licenci, sākotnējo ieviešanu un regulāru operāciju darbu. Atsevišķās izmaksu pozīcijas apskatām izmaksu salīdzināšanas ceļvedī.

Pārbaudiet arī pakalpojuma izbeigšanas nosacījumus. Kam pieder noteikumi un izmeklēšanas materiāli? Kā saņemsiet savus datus? Kas noņems ārējās piekļuves? Saprotams pakalpojums apraksta gan ikdienas darbu, gan izmaiņas un izbeigšanu. Šī pārbaude bieži atklāj pienākumu robežas agrāk nekā tehniska demonstrācija.

Pārbaudiet ar scenāriju

Izvēlieties droši veicamu piemēru, piemēram, testa konta lomas maiņu ar iepriekšēju atļauju. Izsekojiet ceļu no avota līdz signālam, analītiķa izvērtējumam un atbildīgās personas paziņojumam. Pierakstiet, kas bija redzams un kas palika ārpus pārbaudes. Pieņemšanas kritērijam jābūt novērojamam rezultātam, nevis apgalvojumam, ka sistēma ir ieslēgta.

Darba sarunā dodiet abām pusēm vienu un to pašu piemēru: lietotāja konts ar plašām piekļuves tiesībām veic negaidītu administratīvu darbību. Lūdziet izskaidrot, kurš avots to parādīs, kurš pārbaudīs biznesa kontekstu un kurš varēs apturēt turpmāko darbību. Ja atbilde balstās tikai uz produkta funkciju sarakstu, pienākumu sadalījums vēl nav gatavs. Pirms budžeta apstiprināšanas ierakstiet šo sadalījumu piedāvājuma pielikumā un norādiet neatrisinātos jautājumus.