SIEM és incidenskezelés, SOC szolgáltatás

Mit építünk fel konkrétan

A szervereid, tűzfalaid és alkalmazásaid naplóit egy központi gyűjtőbe irányítjuk, ahol korrelációs szabályokkal keressük az összefüggő eseményeket: több sikertelen bejelentkezés, majd jogosultság-emelés, majd szokatlan kimenő forgalom. A riasztásokat a MITRE ATT&CK keretrendszer szerint kategorizáljuk, hogy lásd, a támadás mely fázisában tartasz, és előre elkészített választerveket (playbook) kapcsolunk a leggyakoribb incidenstípusokhoz. A bevezetés a naplóforrások feltérképezésével kezdődik, majd fokozatosan bővítjük a korrelációs szabályokat, hogy a rendszer a te konkrét infrastruktúrádhoz igazodjon, ne egy általános sablonhoz.

• Központi naplógyűjtés a szerverekről, tűzfalakról és alkalmazásokból
• Korrelációs szabályok, nem csak egyedi riasztások
• MITRE ATT&CK szerint kategorizált találatok
• Előre elkészített választervek (playbook) a gyakori incidensekhez

Az AI-kor: korreláció és triázs gépi segítséggel

A támadási minták ma gyorsabban változnak, mint ahogy egy statikus szabálykészletet frissíteni lehet, ezért a riasztások előszűrésébe gépi korrelációt is beépítünk: a hasonló eseményeket csoportosítjuk, a normál viselkedéstől eltérő mintákat (UEBA-alapon) kiemeljük, és a triázst gyorsítjuk, hogy a valódi incidens ne merüljön el a rutinriasztások között. A cél nem a döntés automatizálása, hanem hogy a csapat a releváns riasztásra fókuszáljon.

Megfelelés és jelentés

A naplók az EU-ban maradnak, a frankfurti adatközpontban. NIS2 hatálya alá tartozó szervezetek számára ez fontos alap a kötelező bejelentési határidők teljesítéséhez; a pontos folyamatot mindig a szervezet besorolása alapján egyeztetjük, mert a jelentési kötelezettség szervezetenként eltérő. A dokumentált riasztási lánc és az incidens utáni jelentés azt is igazolja egy partner vagy hatóság felé, hogy a szervezet ténylegesen figyeli és kezeli a biztonsági eseményeket, nem csak papíron rendelkezik eljárásrenddel.

Hogyan dolgozunk

1. Forrás-leltár

   Feltérképezzük, mely szerverek, alkalmazások és hálózati eszközök naplóit kell bevonni, és beállítjuk a gyűjtést mindegyikhez.

2. Korrelációs szabályok

   Felépítjük a szabályokat és a MITRE ATT&CK szerinti kategorizálást, hogy a riasztások a valós támadási mintákat tükrözzék.

3. Riasztási lánc

   Beállítjuk, ki és hogyan értesül egy riasztásról, és hozzárendeljük az előre elkészített választerveket a gyakori incidenstípusokhoz.

4. Incidens és utóelemzés

   Esemény esetén segítünk a válaszban, majd dokumentált utóelemzést adunk: mi történt, mit zártunk le, mit érdemes megváltoztatni.

Felhasználási esetek

Technológiák

• Wazuh
• Grafana Loki
• Prometheus
• Suricata
• MITRE ATT&CK
• Sigma szabályok
• SOAR playbook-ok

Gyakori kérdések

• Mi a különbség a SIEM és a SOC között?

  A SIEM a szoftver, amely összegyűjti és korrelálja a naplókat, és riasztást generál. A SOC (biztonsági műveleti központ) a folyamat és a csapat, amely ezeket a riasztásokat figyeli, kivizsgálja és válaszol rájuk. A kettő együtt ad valódi védelmet, önmagában a szoftver nem elég.

• Mennyibe kerül egy SOC szolgáltatás kkv-nak?

  A bevezetés és a havi hangolás a DevOps órák terhére megy, a pontos igény a naplóforrások számától és az érzékenységtől függ. Ajánlatot a rendszereid feltérképezése után adunk, mert egy kis webalkalmazás és egy több szerveres infrastruktúra igénye jelentősen eltér.

• Kell-e SIEM a NIS2 megfeleléshez?

  A NIS2 hatálya alá tartozó szervezeteknek dokumentált eseménykezelési és bejelentési képességre van szükségük, amihez a naplózás és a korrelált riasztás gyakorlati alapot ad. A pontos kötelezettséget a szervezet besorolása és mérete határozza meg, ezt egyedileg nézzük át.

• Mit tegyek incidens esetén?

  Ha van bekötött SIEM-ed nálunk, a riasztási lánc automatikusan értesíti a csapatot, és a kapcsolódó választerv szerint indul a vizsgálat. Utólag dokumentált utóelemzést kapsz arról, mi történt, mit zártunk le, és milyen intézkedést javaslunk a jövőre.

• Meddig tárolják a naplókat?

  A megőrzési időt a szervezet igényével egyeztetjük, jellemzően úgy, hogy elég visszamenőleges adat álljon rendelkezésre egy incidens teljes lefolyásának rekonstruálásához. A tárolás az EU-ban, a frankfurti adatközpontban történik, a hozzáférés pedig szigorúan naplózott és korlátozott a jogosult csapattagokra.

• A SOC 24/7 figyeli a rendszert?

  A riasztási lánc és a korrelációs szabályok folyamatosan futnak, a csapat pedig a DevOps órák és az egyeztetett elérhetőség szerint reagál. A konkrét lefedettséget és a reakcióidőt a rendszer kritikussága alapján állítjuk be veled közösen.