Cơ sở tập trung vào việc phát hiện, điều tra và ứng phó với các mối đe dọa an ninh mạng trong toàn tổ chức theo thời gian thực.
Khái niệm
Trung tâm Vận hành An ninh (SOC) là nơi làm việc của đội ngũ chịu trách nhiệm phòng thủ an ninh mạng: tinh chỉnh SIEM, săn tìm mối đe dọa, ứng phó sự cố và điều tra pháp y sau sự cố. Nếu một NOC theo dõi tình trạng hoạt động của các dịch vụ, thì SOC theo dõi tính toàn vẹn của chính các dịch vụ đó.
Trên tường có gì
Một tường video SOC thường hiển thị: các bảng điều khiển SIEM (Splunk, Elastic, QRadar), bản đồ tấn công trực tiếp, hàng đợi cảnh báo EDR, nguồn cấp threat-intel, mức độ bao phủ Mitre ATT&CK hiện tại và một luồng cầu nối sự cố khi có P1 đang hoạt động. Việc ghi lại quy trình thao tác của điều hành viên là thông lệ phổ biến để phục vụ rà soát sau sự cố.
Vì sao quan trọng
Thời gian ứng phó trung bình (MTTR) là chỉ số sống còn đối với SOC. Rút ngắn nó từ hàng giờ xuống còn vài phút chính là khác biệt giữa một sự cố được khoanh vùng và một vụ rò rỉ ở tầm hội đồng quản trị. Xem NOC và phòng chỉ huy.