SOC, NOC i monitoring 24/7 — czym się różnią i czego naprawdę potrzebujesz

SOC, NOC i monitorowanie 24/7 pojawiają się w rozmowach handlowych zamiennie, co prowadzi do nieporozumień kosztownych na etapie wdrożenia. Organizacja kupuje jedno, a oczekuje drugiego, i dopiero przy pierwszym poważnym zdarzeniu okazuje się, że zakres był inny.

Rozróżnienie jest proste, jeżeli sprowadzić je do pytania, na które każdy z tych elementów odpowiada. SOC odpowiada na pytanie, czy ktoś próbuje nam zaszkodzić. NOC odpowiada na pytanie, czy wszystko działa. Monitorowanie całodobowe odpowiada wyłącznie na pytanie, o której godzinie ktoś to zauważy.

Trzeci element jest niezależny od dwóch pierwszych. Zarówno SOC, jak i NOC mogą pracować w trybie dziennym albo całodobowym — a wybór trybu jest decyzją organizacyjną i kosztową, nie technologiczną.

SOC, czyli centrum operacji bezpieczeństwa, to przede wszystkim zespół ludzi wyposażony w narzędzia i procedury. Kolejność ma znaczenie, ponieważ w rozmowach handlowych bywa odwrócona — dostawcy sprzedają narzędzie i nazywają je SOC, choć bez obsady i procedur pozostaje ono wyłącznie systemem generującym powiadomienia.

Praca SOC opiera się na zbieraniu zdarzeń z systemów organizacji, ich korelowaniu i wyławianiu tych, które mogą świadczyć o działaniu napastnika. Kluczową kompetencją jest odróżnienie zdarzenia rzeczywiście groźnego od tysięcy zdarzeń nieistotnych, a to zadanie wymaga zarówno technologii, jak i doświadczenia analityka.

Drugim elementem jest reakcja. Wykrycie bez reakcji nie zmienia sytuacji organizacji, dlatego dojrzały SOC ma zdefiniowane scenariusze postępowania: kogo powiadomić, co odizolować, kiedy eskalować i jak udokumentować przebieg zdarzenia na potrzeby późniejszej analizy oraz obowiązków zgłoszeniowych.

NOC, czyli centrum operacji sieciowych, odpowiada za to, żeby infrastruktura działała: żeby łącza były dostępne, serwery odpowiadały, a wydajność mieściła się w założonych parametrach. Jest to funkcja utrzymaniowa, historycznie starsza i w większości organizacji lepiej ugruntowana.

Różnica w sposobie myślenia jest zasadnicza. NOC reaguje na odchylenie od normy technicznej — spadek wydajności, brak odpowiedzi usługi, przekroczenie progu obciążenia. SOC szuka działania celowego, które bardzo często wygląda całkowicie normalnie z perspektywy parametrów technicznych.

Konsekwencja praktyczna: zespół utrzymaniowy, nawet bardzo dobry, nie zastąpi funkcji bezpieczeństwa. Logowanie administratora o trzeciej w nocy z nietypowej lokalizacji nie jest awarią i nie wygeneruje żadnego alertu w systemie monitorowania dostępności. Dla SOC jest to jedno z podstawowych zdarzeń wymagających weryfikacji.

Najczęstsze nieporozumienie dotyczy właśnie tego pojęcia. Monitorowanie całodobowe nie jest funkcją systemu — systemy pracują nieprzerwanie z natury. Jest to model obsady mówiący, że o każdej porze doby jest człowiek, który alert zobaczy, oceni i podejmie decyzję.

Rozróżnienie ma bardzo praktyczne konsekwencje. Organizacja może mieć wdrożone zaawansowane narzędzia detekcji i jednocześnie nie mieć monitorowania całodobowego, ponieważ alerty wygenerowane w piątek wieczorem zostaną przeczytane w poniedziałek rano. Napastnicy działają w tych oknach świadomie.

Warto też odróżnić dostępność od dyżuru. Deklaracja, że administrator ma włączony telefon, nie jest trybem całodobowym — to gotowość reagowania na wezwanie. Realny dyżur oznacza obsadzone stanowisko, określony czas reakcji i kogoś, kto nie śpi.

To jest arytmetyka, która najszybciej porządkuje dyskusję o modelu. Doba ma trzy zmiany ośmiogodzinne, rok ma trzysta sześćdziesiąt pięć dni. Utrzymanie jednego stanowiska obsadzonego nieprzerwanie wymaga około pięciu etatów po uwzględnieniu urlopów, zwolnień i szkoleń.

To jednak minimum teoretyczne, przy założeniu, że wystarczy jedna osoba na zmianie. W praktyce analityk pracujący samotnie w nocy nie ma z kim skonsultować wątpliwego przypadku, co przy zdarzeniach niejednoznacznych bywa krytyczne. Realny zespół zdolny do samodzielnej pracy całodobowej to zwykle kilkanaście osób wraz z kierownictwem i kompetencjami zapasowymi.

Do tego dochodzi wymiar trudno mierzalny: utrzymanie kompetencji. Analityk pracujący w organizacji, w której poważne zdarzenia zdarzają się kilka razy w roku, nie zbuduje doświadczenia porównywalnego z osobą obsługującą wiele podmiotów. To najczęściej przywoływany argument za usługą zarządzaną i jest on merytorycznie uzasadniony.

Organizacje mają w praktyce trzy drogi, a wybór zależy od skali, profilu ryzyka i tego, czy bezpieczeństwo jest dla nich obszarem strategicznym, czy funkcją wspierającą.

Model wewnętrzny daje pełną kontrolę i najlepsze zrozumienie kontekstu organizacji, wymaga jednak skali uzasadniającej utrzymanie zespołu. Model usługi zarządzanej przenosi obsadę i kompetencje na zewnątrz, w zamian za mniejszą znajomość specyfiki. Model mieszany łączy wewnętrzną odpowiedzialność za decyzje z zewnętrznym dyżurem.

W praktyce najczęściej sprawdza się model mieszany, ponieważ oddziela to, co da się kupić, od tego, czego kupić nie można. Dyżur i pierwszą analizę można powierzyć dostawcy. Znajomości procesów biznesowych, decyzji o odłączeniu systemu i odpowiedzialności wobec regulatora — nie.

Tu pojawia się kolejne nieporozumienie, wykorzystywane niekiedy w argumentacji sprzedażowej. Regulacje wymagają zdolności wykrywania zdarzeń, obsługi incydentów oraz ich zgłaszania w określonych terminach. Nie zawierają natomiast wprost nakazu utrzymywania obsady całodobowej.

Wymóg pojawia się jednak pośrednio, przez terminy. Jeżeli przepisy nakładają obowiązek wstępnego zgłoszenia poważnego incydentu w czasie liczonym w godzinach, a organizacja czyta alerty raz dziennie, dotrzymanie terminu staje się kwestią przypadku. Formalnie nikt nie wymaga dyżuru — praktycznie bez niego nie da się spełnić obowiązku.

Wniosek jest istotny dla decyzji zakupowej: punktem wyjścia powinny być terminy zgłoszeniowe i konsekwencje ich przekroczenia, a nie hasło o wymogu całodobowego monitorowania. Dopiero z terminów wynika, jaki tryb obsady jest w danej organizacji konieczny.

Nie każda organizacja go potrzebuje i warto to powiedzieć wprost, ponieważ jest to jeden z najczęściej przeszacowywanych wydatków w obszarze bezpieczeństwa.

Uzasadnienie pojawia się tam, gdzie przerwanie działalności poza godzinami pracy niesie realne konsekwencje: w produkcji ciągłej, handlu internetowym, usługach dostępnych stale, infrastrukturze krytycznej. Podobnie tam, gdzie terminy zgłoszeniowe są krótkie, a skala danych czyni organizację atrakcyjnym celem.

Odwrotnie: organizacja pracująca w trybie biurowym, której systemy poza godzinami pracy są w praktyce nieużywane, uzyska więcej z uporządkowania kopii zapasowych, kontroli dostępu i procedur niż z dyżuru nocnego. Kolejność wydatków ma tu większe znaczenie niż ich wysokość.

Uruchomienie monitorowania w nieuporządkowanym środowisku jest jednym z najczęstszych i najkosztowniejszych błędów. Efektem jest strumień alertów, którego nikt nie jest w stanie obsłużyć, i szybka utrata zaufania do całego rozwiązania.

Warunkiem wstępnym jest wiedza, co w ogóle podlega ochronie i skąd pochodzą dane. Bez inwentaryzacji zasobów nie da się ocenić, które zdarzenia są istotne. Bez uporządkowanych i kompletnych logów detekcja opiera się na fragmentarycznym obrazie.

Drugim warunkiem są procedury. Alert ma sens tylko wtedy, gdy wiadomo, co się dzieje po jego wygenerowaniu: kto go ocenia, kto decyduje o odłączeniu systemu, kogo i w jakim czasie powiadamia się na zewnątrz. Ta część nie wymaga żadnej technologii, a decyduje o skuteczności całości.

Rynek usług monitorowania jest zróżnicowany, a oferty bywają trudno porównywalne, ponieważ pod tą samą nazwą kryją się bardzo różne zakresy. Kilka pytań pozwala szybko ustalić, co faktycznie jest przedmiotem umowy.

Najważniejsze dotyczy granicy między informowaniem a działaniem. Część dostawców powiadamia o zdarzeniu i na tym kończy swoją rolę, część podejmuje działania powstrzymujące. Różnica jest zasadnicza dla organizacji, która nie ma własnego zespołu zdolnego zareagować w nocy.

Drugie pytanie dotyczy tego, co zostaje po zakończeniu współpracy. Reguły detekcji dostrojone do specyfiki organizacji, dokumentacja i historia zdarzeń mają wartość — o ile umowa przewiduje ich przekazanie. Bez takiego zapisu zmiana dostawcy oznacza rozpoczęcie od zera.

Powierzenie monitorowania na zewnątrz nie kończy zaangażowania organizacji. Regulacje wymagają nadzoru nad dostawcami, a w tym przypadku dotyczy on funkcji o bezpośrednim wpływie na zdolność wykrycia naruszenia.

Nadzór sprowadza się do trzech rzeczy: regularnego przeglądu raportowania, weryfikacji dotrzymywania parametrów umownych oraz okresowego sprawdzenia, czy zakres monitorowania nadal odpowiada środowisku. Ta ostatnia kwestia bywa pomijana, a systemy przybywają szybciej, niż aktualizowane są umowy.

Wartościową praktyką jest ćwiczenie: kontrolowane wywołanie zdarzenia i sprawdzenie, czy dostawca je wykrył oraz w jakim czasie zareagował. Jest to jedyny sposób weryfikacji skuteczności, który nie opiera się wyłącznie na jego własnym raporcie.

Poniższe błędy powtarzają się niezależnie od skali organizacji i zwykle wynikają z rozpoczęcia od zakupu narzędzia zamiast od ustalenia potrzeby.

Racjonalna kolejność jest odwrotna do tej, którą narzuca rynek. Zaczyna się nie od wyboru narzędzia ani dostawcy, lecz od ustalenia, jakie zdarzenia organizacja musi wykryć i w jakim czasie.

Odpowiedź na to pytanie wynika z analizy ryzyka oraz z obowiązków regulacyjnych i umownych. Dopiero mając ją, można sensownie ocenić, czy potrzebny jest tryb całodobowy, jaki zakres monitorowania ma sens i jakie parametry powinny znaleźć się w umowie z dostawcą.

Taka kolejność ma jeszcze jedną zaletę: pozwala rozmawiać z dostawcami z pozycji organizacji, która wie, czego potrzebuje. Różnica w otrzymywanych ofertach bywa wtedy znacząca.

Uczciwe wyznaczenie granic jest tu istotne, ponieważ rynek często ich nie rozróżnia. Doradztwo i prowadzenie dyżuru to dwie różne usługi, a łączenie ich w jednej ofercie tworzy konflikt interesów: podmiot rekomendujący zakres monitorowania nie powinien jednocześnie być jego jedynym dostawcą.

Nasza rola kończy się na doprowadzeniu organizacji do stanu, w którym monitorowanie ma sens, oraz na nadzorze nad jego jakością. Dobieramy i wdrażamy narzędzia, stroimy je, opracowujemy procedury zgłaszania incydentów i przekazujemy zdolność zespołowi klienta lub wskazanemu dostawcy.

Nie prowadzimy dyżurów, nie monitorujemy w trybie ciągłym i nie reagujemy na incydenty. Jeżeli organizacja potrzebuje usługi całodobowej, pomagamy wybrać dostawcę, ustalić parametry umowy i następnie weryfikować, czy są dotrzymywane — pozostając po stronie klienta, a nie po stronie oferenta.