Кейси з впровадження центрів безпеки (SOC)

Банк середньої величини звернувся до нас із метою впровадження SIEM у власному дата-центрі. Цей банк мав деякі елементи центру операцій з безпеки (SOC) та попросив нас вдосконалити його, привести до сучасних стандартів та взяти на себе його підтримку.

Із декількох доступних моделей SOC/SIEM (on-premise SOC, хмарне впровадження, повний аутсорсинг тощо), клієнтом була обрана комбінована модель, яка передбачала роботу нашого персоналу з системами моніторингу, що фізично знаходяться у банку.

Спочатку ми провели інвентаризацію інформаційних активів клієнта, визначили джерела подій від більш ніж 5000 хостів, розташованих у 12 офісах та дата-центрах банку, у тому числі понад 50 серверів баз даних. Далі ми визначили профілі інцидентів, процедури реагування та підтримки, а також оцінили швидкість надходження подій становила близько 1500 EPS.

На базі кластера високої доступності IBM QRadar у дата-центрі банку ми реалізували такі функції та компоненти: управління журналами, управління подіями безпеки, аналітику загроз, управління ризиками та вразливостями, аналіз поведінки користувача та сутностей, машинне навчання, оркестровку і реагування, приманки та пошук загроз, цифрову криміналістику.

Наші фахівці розробили правила та процедури, написали відсутні кастомні парсери та оперативно підключили джерела подій від Microsoft Server Family, Microsoft System Center, Red Hat Enterprise Linux, Hitachi, IBM AIX, IBM Storage Manager, Cisco IOS/NX-OS, Check Point NGX, SAP, Citrix XenServer, XenDesktop, XenApp, Microsoft SQL, Oracle, Microsoft Exchange, SharePoint, UAG і багатьох інших типів систем.

Ми захистили компоненти системи міжмережевими екранами, а потоки даних - Site-to-Site VPN, визначили матриці рольового доступу до системи, налаштували безперервне оновлення, а також виконали тонке налаштування правил і протестували визначення аномалій та загроз.

Безпосередньо перед переведенням у продакшн ми розподілили ролі та обов'язки з безпеки між нашим персоналом і штатом замовника, провели його навчання та запустили систему в промислову експлуатацію.

Впровадження системи тривало 8 місяців.

Висновки. У результаті впровадження банк отримав сучасний центр безпеки на базі системи моніторингу подій та реагування на загрози безпеці в реальному часі. Крім іншого, ми оптимізували деякі технологічні процеси замовника, виявили застарілі активи, поліпшили управління доступом до серверів, налагодили збір та зберігання журналів подій безпеки відповідно до вимог PCI DSS та національних вимог до збору доказів, прийнятних у суді. Банк успішно пройшов кілька зовнішніх незалежних аудитів та забезпечив відповідність застосовним нормам і стандартам. Загальний річний збиток від інцидентів безпеки знизився в кілька разів.

Дізнатися більше про впровадження SOC та SOC як послугу.

Скористайтеся нашим досвідом та створіть свою наступну історію успіху разом із нами.