Kontakt

Security Operations

Oblasť kybernetickej bezpečnosti

Security Operations

Security Operations pomáha bezpečnostným tímom zbierať signály, analyzovať incidenty, automatizovať reakcie a riadiť pripravenosť organizácie na incidenty.

Tematický hero obrázok pre oblasť Security Operations

Slovník skratiek

Prehľad vysvetľuje skratky použité v tejto časti, aby bolo jasné, ktorú bezpečnostnú funkciu označujú.

SIEM
Security Information and Event ManagementZber, normalizácia, korelácia a vyhodnocovanie bezpečnostných udalostí z viacerých zdrojov.
SOAR
Security Orchestration, Automation and ResponseOrchestrácia a automatizácia bezpečnostných reakcií, playbookov, schvaľovaní a integrácií.
UEBA
User and Entity Behavior AnalyticsAnalýza správania používateľov a entít na odhalenie odchýlok, kompromitácie účtov alebo insider rizika.

Čo táto oblasť rieši

Security Operations zastrešuje nástroje a procesy, ktoré pomáhajú bezpečnostným tímom pracovať s udalosťami, incidentmi, hrozbami a reakciou. Táto oblasť začína zberom logov, ale pokračuje koreláciou, prioritizáciou, automatizáciou, threat intelligence, incident managementom, reportingom a spätným zlepšovaním detekcie.

Prečo je dôležitá

Bez kvalitnej bezpečnostnej prevádzky sa aj dobré technológie menia na veľké množstvo izolovaných alertov. SIEM pomáha zhromažďovať a korelovať udalosti, SOAR automatizuje opakovateľné reakcie, UEBA sleduje správanie, threat intelligence pridáva kontext a incident management drží pod kontrolou celý životný cyklus incidentu. Dôležitá je aj kvalita dát, nie iba ich objem.

Ako sa v oblasti orientovať

V bezpečnostnej prevádzke je rozhodujúce, aby technológie nezvyšovali počet izolovaných konzol, ale pomáhali korelovať dáta, znižovať šum a urýchľovať rozhodovanie. SIEM, SOAR, XDR, threat intelligence, incident management a automatizácia majú zmysel vtedy, keď sú prepojené s jasnými use casmi, dátovým modelom, procesmi a merateľnou kvalitou detekcie.

Pri tejto oblasti je dôležité posúdiť zrelosť tímu. Menšia organizácia môže potrebovať jednoducho použiteľnú platformu alebo službu s vyššou mierou automatizácie. Väčšia organizácia často rieši integrácie, dátový model, playbooky, eskalácie, kvalitu detekčných pravidiel, threat hunting a merateľnosť reakcie.

Zoznam technológií nižšie slúži ako mapa oblasti Security Operations. Najprv je vhodné pomenovať konkrétny bezpečnostný problém, potom vybrať najbližšiu technologickú kategóriu a až následne porovnávať výrobcov. Takýto postup pomáha oddeliť podobne znejúce riešenia a znižuje riziko, že sa do architektúry pridá ďalší nástroj bez jasnej úlohy.

Technická schéma sekcie

Technická schéma oblasti Security Operations
Schéma zobrazuje hlavné vstupy, bezpečnostné vrstvy a výstupy oblasti Security Operations.

Otázky pri výbere riešenia

  • Aké zdroje udalostí sú dnes k dispozícii a ktoré chýbajú?
  • Je prioritou monitoring, korelácia, automatizácia alebo riadenie incidentov?
  • Kto bude alerty vyhodnocovať a kto bude vykonávať reakciu?
  • Sú definované detekčné use casy, playbooky, SLA a eskalačné cesty?
  • Ako sa bude merať zníženie šumu, rýchlosť reakcie a kvalita detekcie?

Ako používať túto sekciu

Každá technologická stránka rozvíja samostatnú kategóriu, vysvetľuje jej miesto v architektúre a uvádza výrobcov z portfólia SecTec, ktorí s danou oblasťou súvisia. Sekčná stránka preto funguje ako vstupný bod pre orientáciu, zatiaľ čo detailné stránky pomáhajú pri konkrétnom mapovaní na riešenia.

Výrobcovia z portfólia SecTec

Pokrytie útokov a obranný kontext

MITRE ATT&CK® Enterprise verzie 19.1 používame ako referenčný model. Mapovanie je odbornou interpretáciou SecTec a neznamená schválenie alebo odporúčanie zo strany MITRE.

Praktické typy útokov

Relevantné techniky ATT&CK

Facebook Twitter Linkedin Youtube
Kontakt