SOC (Trung tâm Vận hành An ninh)

Khái niệm

Trung tâm Vận hành An ninh (SOC) là nơi làm việc của đội ngũ chịu trách nhiệm phòng thủ an ninh mạng: tinh chỉnh SIEM, săn tìm mối đe dọa, ứng phó sự cố và điều tra pháp y sau sự cố. Nếu một NOC theo dõi tình trạng hoạt động của các dịch vụ, thì SOC theo dõi tính toàn vẹn của chính các dịch vụ đó.

Trên tường có gì

Một tường video SOC thường hiển thị: các bảng điều khiển SIEM (Splunk, Elastic, QRadar), bản đồ tấn công trực tiếp, hàng đợi cảnh báo EDR, nguồn cấp threat-intel, mức độ bao phủ Mitre ATT&CK hiện tại và một luồng cầu nối sự cố khi có P1 đang hoạt động. Việc ghi lại quy trình thao tác của điều hành viên là thông lệ phổ biến để phục vụ rà soát sau sự cố.

Vì sao quan trọng

Thời gian ứng phó trung bình (MTTR) là chỉ số sống còn đối với SOC. Rút ngắn nó từ hàng giờ xuống còn vài phút chính là khác biệt giữa một sự cố được khoanh vùng và một vụ rò rỉ ở tầm hội đồng quản trị. Xem NOC và phòng chỉ huy.

Thuật ngữ liên quan

• NOC (Trung tâm Vận hành Mạng)
• Phòng chỉ huy (trung tâm chỉ huy)
• KVM (bàn phím, video, chuột) qua IP