Мониторинг и реагирование: SOC, SIEM, разбор инцидента

Событие и инцидент

Серверы, компьютеры, межсетевые экраны и антивирусы непрерывно пишут журналы. Каждая запись — событие: вход сотрудника, запрос к сайту, запуск программы. В «Чайной лавке» их тысячи в день, в крупной компании — миллионы.

Инцидент — событие или цепочка событий, которые угрожают безопасности: успешный вход злоумышленника, заражение компьютера, утечка данных. Работа мониторинга — найти инциденты среди огромного потока обычных событий.

SOC и SIEM

SOC (security operations center) — центр мониторинга безопасности: команда, которая круглосуточно следит за событиями. Крупные компании держат свой SOC, небольшие — покупают эту услугу у специализированных компаний.

Главный инструмент SOC — SIEM-система. Она:

1. собирает журналы со всех систем в одно место;
2. приводит их к общему виду;
3. по правилам корреляции ищет подозрительные сочетания событий;
4. создаёт тревогу (алерт), которую разбирает аналитик.

Пример правила: «Если с одного адреса было больше 20 неудачных входов, а затем успешный вход — тревога высокого уровня». По отдельности эти события обычны: люди ошибаются в паролях и входят в систему. Вместе — признак успешного подбора пароля.

Линии SOC

Линия	Чем занята
Первая (L1)	Разбирает тревоги: настоящая угроза или ложное срабатывание. Простые случаи закрывает сама, сложные передаёт дальше
Вторая (L2)	Расследует инциденты глубже: что произошло, как далеко зашёл злоумышленник
Третья (L3)	Сложные атаки, поиск скрытых угроз, улучшение правил и защиты

Первая линия — самый частый вход в профессию. Работа требует внимательности: большая часть тревог оказывается ложной, но пропустить настоящую нельзя.

Как реагируют на инцидент

Ночью SIEM «Чайной лавки» подняла тревогу: после 300 неудачных попыток был успешный вход на сервер под учётной записью admin, а через минуту кто-то начал копировать базу заказов. Реагирование идёт по шагам:

1. Обнаружить и подтвердить. Аналитик проверяет: это не администратор, адрес чужой, копирование базы — не плановое.
2. Сдержать. Заблокировать адрес, отключить учётную запись admin, при необходимости отключить сервер от сети. Цель — остановить ущерб.
3. Устранить причину. Сменить пароли, запретить вход по паролю, удалить следы злоумышленника, закрыть уязвимость.
4. Восстановить работу. Проверить, что система чистая, и вернуть её в работу, при необходимости — из резервной копии.
5. Сделать выводы. Разобрать, почему атака удалась и как не допустить повтора.

Всё это время аналитик записывает время, действия и находки. Если утекли персональные данные клиентов, компания обязана уведомить регулятора в короткий срок — об этом в уроке 7. Без записей восстановить картину будет невозможно.