10 критичних загроз кібербезпеки: як SOC стає стратегічним активом для бізнесу та CISO

Сучасний бізнес розвивається в умовах безпрецедентного рівня кіберзагроз. І події останніх днів 2024 року тільки підтверджують аксіому – зламати можуть усіх, питання тільки коли. Тому саме сьогодні, як ніколи, стає актуальним відомий вислів «Securty is a process, not a product» («Безпека це процес, а не продукт»), що на практиці означає, що напрацювання для зменшення ризиків потрібно робити постійно. І якщо говорити чесно, то це стає у деякому сенсі рутиною, щоденною операційною роботою.

З розвитком технологій, а особливо в останні майже три роки, компанії стикаються з дедалі складнішими атаками, які можуть призвести зокрема до значних фінансових втрат, порушення роботи компанії, шкоди репутації та навіть юридичних наслідків. У таких умовах роль Центру операцій безпеки (SOC) стала критично важливою для забезпечення кіберстійкості підприємств та організацій, а особливо – в критичних секторах економіки.

Для керівників рівня CISO та CIO, SOC — це не лише технічна функція, а й стратегічний інструмент для захисту бізнесу. SOC забезпечує безперервний моніторинг, оперативне реагування на інциденти, аналіз загроз та запобігання їхньому впливу. У цій статті ми розглянемо десять найбільш критичних кіберзагроз, від яких допомагає захистити організацію SOC, і як ці загрози впливають на бізнес.

У той же час, для керівників рівня CEO та CFO – це також інструмент забезпечення стійкості бізнесу (Business Resilience) і можливість керувати ризиками, які пов’язані саме з сервісами, які побудовані з використанням ІТ технологій.

З іншого боку, якщо ваш бізнес не використовує взагалі ІТ для надання послуг (що дуже малоймовірно  у сучасному світі), то звісно ризиків з кібербезпекою у вас може й не бути. Проте і в такому випадку ви точно є споживачем різних ІТ продуктів, а це означає, що вам також потрібно знати про ознаки та наслідки кіберінцидентів проти інформаційних систем, до яких ви можете бути дотичні. Також не треба забувати про supply-chain атаки (або ж атаки через ланцюжок постачальників), яких стало набагато більше протягом 2022-2024 років.

А отже, на думку нашої компанії і мою особисто, досягнути потрібного рівня зрілості з точки зору кіберстійкості (cyber resilience) без впровадження операційного підходу на базі свого SOC (Security Operation Center) або керованих послуг MDR (Managed Detection and Response) SOC – просто НЕможливо.

Тому пропонуємо ще раз проговорити, що таке SOC та у випадку яких найбільших загроз (або проблем) він міг би допомогти, щоб знизити ваші ризики, пов’язані з кібербезпекою. 

Що таке SOC і які основні задачі він виконує

Ця стаття не має на меті надати детальний опис, що таке SOC та навіщо він потрібен, або які головні задачі та функції SOC. Цю інформацію ви легко зможете отримати на спеціалізованих курсах, наприклад, у SET University або звернувшись до нас з цим питанням.

Існує багато описів, що ж таке SOC, але насправді кожен з них нам хотілося б спростити до зрозумілих та практичних пойнтів, тобто SOC – це:

• Організаційний підрозділ компанії
• Внутрішній, або зовнішній, або гібридний
• Повний або частковий аутсорсинг, або гібридна модель
• Який об’єднує технології, людей та процеси
• З метою безперервного (continious) аналізу існуючого стану роботи систем ІТ та систем кібербезпеки
• У режимі реального (або майже реального) часу
• З метою аналізу індикаторів компрометацій (IoC), індикаторів атаки (IoA) та аномалій
• Ідентифікації алертів та інцидентів, з метою їх детектування, розслідування, реагування
• Ескалації та комунікації по інцидентах
• Використання проактивних та offenceметодів захисту та протидії
• Аналізу інцидентів та покращення роботи систем ІТ та кібербезпеки – в тому числі розробці нових IoC, IoA та аномалій і проектуванню нових контролів
• Необхідної звітності для стратегічного, тактичного та операційного рівня

Слід зазначити, що завдяки комбінації технологічного стека, кваліфікації та навичок персоналу і наявності процесів, зазвичай визначається зрілість надання послуг SOC як внутрішнім, так і зовнішнім замовникам і перелік тих послуг, які можуть надаватися у рамках цього підрозділу Security Operation Center. 

Докладніше про архітектуру SOC з точки зору PPT (People, Process, Technology)

Ключові рівні команд у SOC (People):

• L1 (Monitoring & Triage): Аналітики, які здійснюють початкове сортування (тріаж) подій, перевірку валідності алертів і ескалацію інцидентів.
• L2 (Incident Investigation & Analysis): Глибший аналіз інцидентів, пошук кореневих причин, формування плану реагування.
• L3 (Threat Hunting, Advanced Forensics): Проактивний пошук загроз (Threat Hunting), розробка спеціальних правил детектування (Detection Engineering), аналіз складних/цільових атак.
• Threat Intelligence Team: Робота з TI-фідами (Open Source, комерційними), інтеграція зі SIEM/UEBAта налаштування Playbook’ів у SOAR.
• Інженерна команда за напрямками з наявних технологій

Основні технології SOC (Technology):

• SIEM (Security Information and Event Management)
• SOAR (Security Orchestration, Automation, and Response)
• Service Desk / Incident Response Platform
• EDR/XDR (Endpoint / eXtended Detection and Response)
• NDR (Network Detection and Response)
• Cyber Deception
• UEBA (User and Entity Behavior Analytics)
• Threat Intelligence Platforms (TIP)
• Vulnerability Management Systems (VMS)
• Asset Management

Ключові процеси в SOC (Process):

• Загальна стратегія побудови та використання SOC (Strategic Planning)
• Процедури моніторингу та виявлення (24/7) (Monitoring and Detection): аналіз логів, мережевого трафіку, алертів від EDR/XDR.
• Процедури керування розслідуванням та реагуванням на інциденти (Incident investigation andResponse Management): Формалізація інцидентів, розслідування, документування, реагування.
• Процедури комунікації (Communication)
• Процедури ескалації (Escalation)
• Процедури з покращення (Lesson Learned): Постійне вдосконалення правил детектування, оновлення Playbook’ів у SOAR, застосування уроків (Lessons Learned).

Ключові Use Cases використання SOC

Давайте тепер детальніше подивимося, у випадку яких, на наш погляд, найбільших критичних загроз може допомогти SOC, одночасно нагадуючи, що SOC – це не «срібна куля», яка врятує вас від всіх проблем та зможе захистити від атаки, якщо немає правильно побудованої системи захисту з урахуванням специфіки вашої організації. Проте захист – це окрема і дуже важлива тема.

Отже основні напрямки, де може бути найбільш корисною наявність SOC – це:

1. Розширені Цільові Атаки (APT)
2. 0-day загрози та атаки з використанням 0-day експлоітів
3. Inside Threats (внутрішні загрози) та аномальна поведінка користувачів
4. Ransomware атаки
5. Фішингові атаки та атаки через соціальні мережі
6. Атаки на ланцюги постачання (supply-chain attack)
7. Складні атаки з метою крадіжки облікових даних та заволодінням аккаунтами користувачів
8. Атаки на хмарні середовища
9. Атаки на промислові системи та IoTсередовище
10. Захист мобільних пристроїв та їх контроль і моніторинг

Крім того, надзвичайно важливо, що наявність технологій, процесів та людей,  об’єднаних в рамках підрозділу SOC, дозволяє реалізувати додаткові сервіси, які значно підвищують загальний рівень кіберзахисту:

• Можливість ефективного використання платформ Threat Intelligence (TIP) для детектування вже існуючих загроз на різних рівнях, як базових (IP, DNS, Hash), так і більш розширених (використання інструментів, тактик технологій та процесів, які притаманні атакуючим групам)
• Адаптація існуючих фреймворків атакуючих та захисних (наприклад MITRE ATT&CK та DEF3ND), Atomic Red, а також можливості впровадження відповідності вимог стандартів та інших вимог (compliance – ISO 27001, PCI DSS, SOC1, SOC2 та інші) з метою покращення якості контролів з кібербезпеки та їх постійному вдосконаленню
• Реалізація безперервного та найбільш прогреcивного сервісу проактивного пошуку загроз, які не детектуються сервісами SOC, – Threat Hunting Services (TH).
• Генерація своїх індикаторів компрометацій (IoC), індикаторів атаки (IoA) та аномалій у форматі ThreatIntelligenceзвітності
• Впровадження сервісів цифрової експертизи (Forensic)
• Та інших більш вузько направлених

Роль SOC у досягненні бізнес-цілей

SOC не просто реагує на інциденти, а й допомагає бізнесу досягати стратегічних цілей, серед яких:

1. Захист репутації.
   Компанії, які ефективно захищають свої системи, викликають більше довіри у клієнтів, партнерів і інвесторів.

2. Безперервність бізнесу.
   SOC дозволяє мінімізувати ризики перебоїв у роботі, зберігаючи стабільність бізнес-процесів навіть під час кібератак.

3. Відповідність нормативним вимогам.
   Завдяки SOC компанії можуть впевнено відповідати міжнародним стандартам (ISO 27001, GDPR, PCI DSS тощо).

4. Оптимізація витрат.
   SOC проактивно запобігає інцидентам, що зменшує загальні витрати на кібербезпеку та ліквідацію наслідків атак. Також завдяки наявності SOC ви краще розумієте ваші ключові та пріоритетні ІТ системи та їхні слабкі місця, що дозволяє впроваджувати точкові проекти, які дають максимальний ефект.

5. Підвищення довіри клієнтів.
   Демонстрація надійного рівня кібербезпеки сприяє залученню нових клієнтів і утриманню існуючих.

Прогноз розвитку кіберзагроз і еволюція ролі SOC

Кількість і складність кіберзагроз продовжують зростати. До 2030 року очікується (а насправді це вже відбувається), що атаки на основі штучного інтелекту (ШІ) та автоматизації стануть стандартом для зловмисників. У відповідь SOC розвиватиметься, інтегруючи нові технології, такі як:

• AI/ML технології для прогнозування вразливостей та можливих загроз у реальному часі.
• Завдяки AI/ML та постійному аналізу загроз команда SOC зможе мати можливість прогнозувати та частково передбачати атаки ще до їхньої реалізації.
• Концепція цифрового двійника та/або використання AIдля моделювання роботи систем ІТ та кібербезпеки, а також проведення аналітичної роботи дозволить проактивно будувати модель загроз і ризиків та реалізовувати концепцію offensiveта проактивного захисту.
• Інтеграція SIEMта SOAR дозволить автоматизувати більшість процесів розслідування та реагування, залишаючи людині лише стратегічні рішення.
• Впровадження більш складних атакуючих технологій, у тому числі і тих, які зараз детектуються не всіма системами антивірусного захисту, або навіть EDR/ XDR, буде каталізатором появи більш вдосконалених систем захисту для серверів і робочих станцій, впроваджуючи такі класи технологій – dynamicdefencepoweredbymovingtargetdefenceapproach, complexbehaviouralanalysis, automateddefence, self-healingsystems, profilingandanomalydetections.
• Впровадження більш складних систем класу CyberDeceptionз технологіями класу AMTD (Automated Moving Target Defense) з використанням технологій AI/ML для детектування складних загроз, включаючи 0-day, APTатак.
• Впровадження автоматизованих систем безперервного аналізу рівня захисту та pentest (рішення класу BAS – BreachandAttackSimulation) дозволить отримувати інформацію про існуючий рівень захисту в режимі реального часу.
• Крім того, зараз набирає популярність термін FusionCenter – як подальший розвиток технологій SOC, завдяки більш тісній інтеграції усіх технологій, подальшій автоматизації та розширення функцій SOC.

Центр операцій безпеки (SOC) є основним «нервовим» елементом у стратегії кіберзахисту будь-якої сучасної організації. Завдяки SOC компанії отримують можливість не лише захистити свої дані та системи, але й забезпечити стабільність бізнесу, підвищити довіру клієнтів і відповідати регуляторним вимогам.

Для керівників рівня CISO та CIO SOC — це не просто технічне рішення, а стратегічний актив, який дозволяє зменшити ризики, оптимізувати витрати та досягати довгострокових бізнес-цілей. Інвестиції у SOC — це інвестиції у майбутнє компанії, де кіберстійкість стає ключовим фактором успіху.

Слідкуйте за нашими новими матеріалами, щоб знати більше про ключові напрямки застосування SOC в вашій компанії, – та залишайтеся в цифровій безпеці.