SOC (Security Operations Center) to zespół ludzi, procesów i narzędzi odpowiedzialny za ciągłe monitorowanie bezpieczeństwa organizacji. Analitycy obserwują alerty z systemów takich jak SIEM, oceniają ich wagę, prowadzą wstępne śledztwa i koordynują reakcję na incydenty.
Jak pracuje SOC?
Zespół zwykle działa całodobowo w kilku poziomach: analitycy pierwszej linii sortują alerty, wyższe poziomy badają poważne przypadki, a eksperci zajmują się analizą zagrożeń i doskonaleniem reguł. Każdy incydent przechodzi przez etapy wykrycia, analizy, ograniczenia skutków i usunięcia przyczyny.
Własny SOC czy usługa?
Budowa własnego centrum jest kosztowna, dlatego mniejsze firmy korzystają z usług zewnętrznych dostawców, określanych jako SOC as a Service lub MDR. Dostawca monitoruje środowisko i informuje o zagrożeniach.
SOC a zespoły reagowania
W Polsce incydenty można zgłaszać do zespołu CERT Polska, a w skali Europy działają krajowe zespoły CSIRT. Procedury reagowania opisują zwykle standardy takie jak NIST SP 800-61.