הסבר על SOC
פרקי ההרצאה: הסבר על SOC
תמלול ההרצאה: הסבר על SOC
הטקסט המלא של הדקות הראשונות בהרצאה «הסבר על SOC» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.
שלום לכולם, בהרצאה זו נדבר על מה זה SOC. SOC למעשה זה מרכז שאליו מתנקזים כל אירועי אבטחה. Security Operation Center. מערכת של סים מרכזת שם את כל האירועים שקורים בשרתים, מערכות של IDS ו-IPS שבאות לזהות ולמנוע חדירה, ו-IDRים.
IDRים זה שדרוג של אנטיווירוס בתחנת עבודה, EDR מזהה התנהגות לא נורמלית בתקשורת או בגישה לקבצים, בניגוד לאנטיווירוס שיודע לזהות רק וירוסים מוכרים, חותמות מוכרות, אולי איזושהי התנהגות קצת חריגה.
EDR הרבה יותר מתוחכם. EDR מנתח את התקשורת, את התעבורה. יודע לזהות פתאום שתחנה מתחילה להוציא המון טראפיק החוצה, לגשת לכתובות מוזרות.
למעשה EDR מחפש אנומליה, התנהגות לא נורמלית. כל הנתונים מתנקזים לחדר אחד והחדר הזה נקרא SOC ויש בתוכו SOC Team, צוות ה-SOC שאחראי על מוניטורינג, על ניטור, על להסתכל על כל האירועים שקורים ולהבין את התמונה הכוללת, להסיק מסקנה ולזהות Security Threats, את הסיכונים של אבטחה ואחרי שהם מזהים את
זה הם מתחילים לצוד את ה-threat הזה, את האיום הזה. חוץ מכל המוניטורינג הזה, לצוות הסוק יש גם נהלים ברורים מה לעשות.
זאת אומרת שאם אנחנו מזהים תחנה שמוציאה המון תקשורת החוצה ואין שום סיבה לזה, או שהתחנה מוציאה תקשורת ב-2 בלילה כשאף אחד לא עובד שמה, יש לנו נהלים ברורים מה עושים.
נניח מעבירים אותה לרשת נפרדת לווילן נפרד בשביל להמשיך לנתח אותה, או מכבים אותה, או מצלמים את המכונה ומעבירים אותה למכונה וירטואלית, כדי להמשיך לנתח.
אנחנו צריכים נהלים ברורים מה לעשות כדי לא להילחץ בזמן אמת. שהכל יהיה ברור וכתוב, שגם עובד פשוט בסוק ידע מה עושים. למעשה יש שלושה צעדים גדולים שצריך לעשות.
לעצור את המתקפה, לעצור את הבעיה, אחרי זה לחסל את המקור של הבעיה, נניח איזושהי תוכנה, ואחרי שאנחנו מחסלים את המקור, אנחנו רוצים לחזור לפעילות תקינה, לעשות ריקאברי.
ומי שעושה את זה זה לא רק צוות של SOC, אלא גם צוות מיוחד שנקרא Incident Response, צוות תגובה שאנחנו מזעיקים אותם, והם מתחילים לעזור לצוות SOC לתפעל את האירוע.
לרוב בצוות תגובה יהיו גם מומחים חיצוניים שאנחנו מזעיקים אותם בשעת צרה. לרוב זה מומחים מחברות צד שלישי. זאת אומרת צוות הסוק מנהל את האירוע בגדול, מנטר אותו, אוסף מידע, וצוות מומחים שנקרא צוות תגובה מתחיל לחקור הכל לעומק ולחשוב מה עושים.
איך עובד צוות סוק? צוות סוק אחראי על אבטחה יומיומית בארגון, על תפעול של כל מערך האבטחה. הוא פחות מתעסק בפיתוח של אסטרטגיה, ממציא דברים חדשים, זה פחות.
הוא מתפעל את המערכת הקיימת, את ה-SIM הקיים, את ה-IDSים, את ה-IPSים, את האידיארים הקיימים, מתפעל את הכל, כאשר יש אנשים אחרים שאחראים על הארכיטקטורה של אבטחת מידע, על התוכנית הגדולה.
צוות הסוג מורכב בעיקר מאנליסטים של אבטחת מידע, שאחראים על זיהוי של האיום, של הנכסים, תגובה ודיווח על כל האירוע ומניעה שלא בעתיד.
זה חדר כזה שיושב בו צוות אבטחת מידע ומנטרים את כל המערכות. הרבה פעמים יש להם גם מסכים כאלו גדולים באמצע החדר, כזה מסך משותף ענק.
חוץ מזיהוי, הערכת מצב ותגובה ובסוף דיווח, צוות עסוק גם יכול לעשות דברים יותר מתקדמים, כמו פורנזיקה, כמו לחקור תחנה נגועה, לחקור את המיילוויר, את הרוגלה, את הווירוס הזה שנכנס.
למעשה הדברים המתקדמים האלו זה מה שעושה צוות של תגובה, אינסדנט רספונס, ולמעשה במציאות כולם פועלים ביחד כי גם בצד השני הפורצים והתוכנה הזדונית גם עושים פעולות ואנחנו פה במרוץ נגד הזמן.
צריך לעצור אותם לפני שהם יתפשטו לנו ברשת. למעשה צוות הסוק עובד בשיתוף פעולה עם צוות של אינסדנט רספונס, צוות התגובה. כאשר צוות הסוק יותר מנטר, יותר מסתכל, בצוות תגובה, חוקר ומנסה לחשוב מה עושים.
צוות עסוק זה העיניים ואינצידנט רספונס טים זה הידיים. ובצוות של אינצידנט רספונס, בצוות התגובה, לרוב יושבים אנשים יותר מומחים, שיודעים ממש איך לעשות דברים. צוות עסוק למעשה מרכז את כל הנתונים, יותר מסתכל.
אבל הם כולם ביחד כל הזמן מדברים ביניהם וחושבים ביחד מה עושים. איזה תפקידים, איזה רולים יש לנו בתוך צוות עסוק?
אז כמובן שיש לנו דירקטור, איזה סמנכ"ל, מנהל כללי כזה שאחראי על אסטרטגיה באופן כללי, על תקציב, כאילו מנהל בגדול הוא פחות איש טכני, הוא יותר מתעסק במינהלה שמסביב, כי בכל זאת כשיש לך צוות של אנשים צריך איזשהו מנהל שיתעסק בכל החלק האדמיניסטרטיבי.
מתחתיו יש SOC Manager, שזה המנהל המקצועי שהוא עושה Day-To-Day Operations,