Мониторинг событий ИБ (SOC)

Мониторинг событий информационной безопасности — критически важная функция для своевременного обнаружения и реагирования на киберугрозы. Современные атаки происходят с высокой скоростью, и задержка в обнаружении может привести к масштабному ущербу.

КРЕДО-С эксплуатирует собственный центр мониторинга и реагирования на инциденты (SOC) с 2020 года. Услуга мониторинга включает круглосуточное наблюдение за событиями безопасности в ИТ-инфраструктуре заказчика с использованием платформ SIEM, XDR, EDR.

Проект начинается с аудита ИТ-инфраструктуры для определения источников событий безопасности: серверы, рабочие станции, сетевое оборудование, средства защиты информации. Настраивается централизованный сбор логов, производится интеграция с SIEM-системой (MaxPatrol SIEM, RuSIEM, KUMA или другими решениями).

Аналитики SOC ежедневно анализируют события безопасности, выявляют аномалии и индикаторы компрометации. Используются корреляционные правила, модели поведения пользователей и систем, актуальные базы индикаторов угроз (threat intelligence). При обнаружении инцидента запускается процедура реагирования: изоляция поражённых систем, сбор артефактов, анализ масштаба компрометации.

Заказчику предоставляется регулярная отчётность о состоянии информационной безопасности: еженедельные сводки по инцидентам, ежемесячные аналитические отчёты, квартальные обзоры ландшафта угроз. Для субъектов КИИ обеспечивается подключение к ГосСОПКА с передачей необходимых данных в Национальный координационный центр по компьютерным инцидентам (НКЦКИ).

Выбор платформы мониторинга событий информационной безопасности зависит от масштаба инфраструктуры, бюджета и отраслевых требований. КРЕДО-С предлагает несколько сегментированных решений: для организаций без бюджета на коммерческие продукты — Wazuh (открытая платформа SIEM + EDR); для инфраструктур на базе решений «Инфотекс» и госсектора — ViPNet IDS в связке с ViPNet TIAS; для субъектов КИИ с обязательным подключением к ГосСОПКА — RuSIEM; для коммерческого сегмента — F.A.C.C.T. Managed XDR с полным циклом обнаружения и реагирования на целевые атаки.

Мониторинг событий информационной безопасности входит в перечень мер защиты информации, учитываемых при расчёте показателя защищённости КЗИ по приказу ФСТЭК России № 117. Наличие непрерывного мониторинга и выстроенных процессов реагирования на инциденты напрямую влияет на значение показателя состояния технической защиты информации организации. Результаты работы SOC-центра документируются и могут использоваться при аттестации информационных систем и прохождении проверок ФСТЭК.

КРЕДО-С — обладатель лицензии ФСТЭК России на техническую защиту конфиденциальной информации и лицензии ФСБ на криптографию. Компания использует комбинацию коммерческих и opensource решений, что позволяет оптимизировать стоимость услуги мониторинга без потери качества. Собственный SOC-центр и более 33 лет на рынке информационной безопасности обеспечивают экспертный уровень защиты для организаций финансового сектора, госорганов, промышленности и субъектов КИИ.