Первичная оценка при выборе управляемого SOC
Сначала описываются текущие источники журналов, средства защиты, объём инцидентов, роли внутренней команды, потребность в уведомлениях и полномочия на реагирование. Само выражение «услуга SOC» не говорит, что именно в неё входит: мониторинг, triage, threat hunting, incident response или лицензии на инструменты.
Как измерить зрелость обнаружения и реагирования?
Охват сценариев обнаружения измеряется не подсчётом техник MITRE, а необходимым источником журналов, срабатыванием, шагом triage, долей ложных срабатываний и доказательством закрытия. Обнаружение, уведомление, рекомендация по сдерживанию и полномочия на прямое реагирование — разные границы услуги.
Критерии отчётности, SLA и эскалации
Определение severity, часы обслуживания, начало измерения, ожидание и паузы, канал связи, срочная эскалация и согласие клиента должны быть зафиксированы письменно. Помимо объёма оповещений отчёт должен показывать реальные инциденты, повторы, качество данных, настройку и открытые риски.
Чек-лист выбора поставщика SOC
Короткая контрольная таблица ниже — практический ориентир для проектов по выбору управляемого SOC:
| Область контроля | Ожидаемый результат |
|---|---|
| Объём | Источники журналов, сценарии и объём данных |
| Эксплуатация | Triage, severity, часы и эскалация |
| Разрешение | Уведомление, рекомендация и граница прямого реагирования |
| Подтверждение | Оповещение в PoC, отчёт, настройка и закрытие |