O que é um centro de operações de segurança (SOC)?

Inventário de ativos. Um SOC precisa manter um inventário exaustivo de todos os itens que precisam ser protegidos, dentro ou fora do datacenter (por exemplo, aplicativos, bancos de dados, servidores, serviços em cloud, endpoints, etc.) e todas as ferramentas usadas para protegê-los (firewalls, ferramentas antivírus/anti-malware/anti-ransomware, software de monitoramento, etc.). Muitos SOCs utilizam uma solução de descoberta de ativos para esta tarefa.

Manutenção e preparação de rotina. Para maximizar a eficiência das ferramentas e medidas de segurança implementadas, o SOC realiza a manutenção preventiva, como aplicar correções e fazer upgrade de software, além de realizar a atualização contínua de firewalls, whitelists e blacklists e das políticas e procedimentos de segurança.

O SOC também pode criar backups de sistemas, ou auxiliar na criança de procedimentos ou políticas de backup, para garantir a continuidade dos negócios no caso de uma violação de dados, ataque de ransomware ou outros incidentes de segurança cibernética.

Planejamento de resposta a incidentes. O SOC é responsável pelo desenvolvimento de planos de resposta a incidentes, que define as atividades, funções e responsabilidades no caso de uma ameaça ou incidente, além das métricas pelas quais o sucesso de quaisquer resposta a incidentes será medido.

Teste contínuo. A equipe do SOC realiza avaliações abrangentes de vulnerabilidade que identificam a vulnerabilidade de cada recurso a ameaças em potencial, além dos custos associados. Ela também realiza testes de penetração que simulam ataques específicos em mais um sistemas. A equipe remedia ou aperfeiçoa aplicativos, políticas de segurança, melhores práticas e planos de resposta a incidentes com base nos resultados desses testes.

Manter-se atualizado. O SOC deve manter-se atualizado em relação às últimas soluções e tecnologias de segurança e às novidades em inteligência de ameaças: notícias e informações sobre ataques cibernéticos e os hackers que os executam, obtidas junto a redes sociais, fontes do setor e dark web.

Monitoramento de segurança contínuo, 24 horas por dia. O SOC monitora toda a infraestrutura estendida de TI, 24/7/365: aplicativos, servidores, software do sistema, dispositivos de computação, cargas de trabalho na cloud e a rede, em busca de atividades suspeitas e sinais de invasão.

Para muitos SOCs, a tecnologia central de monitoramento, detecção e resposta tem sido  Security Information and Event Management, ou SIEM. O SIEM monitora e agrega alertas e telemetria de software e hardware na rede em tempo real, para em seguida analisar os dados para identificar ameaças em potencial. Mais recentemente, alguns SOCs também adotaram a tecnologia Extended Detection and Response (XDR), que fornece telemetria e monitoramento mais detalhados, além da capacidade de automatizar a detecção e resposta a incidentes.

Gerenciamento de logs. O gerenciamento de logs, ou seja, a coleta e análise de dados de logs gerados por cada evento da rede, é um subconjunto do monitoramento que é importante o suficiente para ter o seu próprio parágrafo. Embora a maioria dos departamentos de TI coletem dados de log, é a análise que estabelece atividade normal ou de referência e revela as anomalias que indicam atividades suspeitas.

De fato, muitos hackers têm certeza que as empresas nem sempre analisam os dados de log, o que possibilita que seus vírus e malware não sejam detectados por semana ou até mesmo meses no sistema das vítimas. A maioria das soluções SIEM incluem recursos de gerenciamento de logs.

Detecção de ameaças. A equipe do SOC separa o joio do trigo, as indicações de ameaças cibernéticas e invasões de hackers dos falsos positivos, para em seguida fazer a triagem das ameaças por gravidade. Soluções modernas de SIEM incluem inteligência artificial (IA) que automatiza esses processos e 'aprende' com os dados para melhorar a detecção de atividades suspeitas com o tempo.

Resposta a incidentes. Em resposta a uma ameaça ou incidente real, o SOC entra em ação para limitar os danos. As ações podem incluir:

• Investigar a causa raiz para determinar as vulnerabilidades técnicas que deram aos hackers acesso ao sistema, além de outros fatores (como más práticas de senha ou baixo cumprimento de políticas) que possam ter contribuído com o incidente

• Encerrar endpoints comprometidos ou desconectá-los da rede

• Isolar as áreas comprometidas da rede ou redirecionar o tráfego da rede

• Pausar ou interromper aplicativos ou processos comprometidos

• Excluir arquivos danificados ou infectados

• Executar software antivírus ou anti-malware

• Desativar senhas para usuários internos e externos.

Muitas soluções permitem que SOCs automatizem e acelerem esses e outros tipos de resposta a incidentes.

Recuperação e remediação: depois que um incidente é contido, o SOC erradica a ameaça e trabalha para recuperar os ativos afetados ao seu estado anterior ao incidente (por exemplo, limpar, restaurar e reconectar discos, dispositivos de usuário e outros endpoints; restaurar o tráfego de rede; reiniciar aplicações e processos). No caso de uma violação de dados ou ataque de ransomware, a recuperação também pode envolver a transição para sistemas de backup e a redefinição de senhas e credenciais de autenticação.

Post-mortem e refinamento: para evitar uma recorrência, o SOC usa qualquer nova inteligência obtida com o incidente para lidar melhor com vulnerabilidades, atualizar processos e políticas, escolher novas ferramentas de cibersegurança ou revisar o plano de resposta a incidentes. Em um nível mais alto, a equipe do SOC também pode tentar determinar se o incidente revela uma tendência de cibersegurança nova ou em mudança para a qual a equipe precisa se preparar.

Gerenciamento de conformidade: é trabalho do SOC garantir que todas as aplicações, sistemas, ferramentas e processos de segurança estejam em conformidade com os regulamentos de privacidade de dados, como GDPR (Global Data Protection Regulation), CCPA (California Consumer Privacy Act), PCI DSS (Payment Card Industry Data Security Standard e HIPAA (Lei de portabilidade e responsabilidade de planos de saúde). Após um incidente, o SOC garante que usuários, reguladores, agentes de segurança pública e outras partes sejam notificados de acordo com os regulamentos e que os dados necessários do incidente sejam retidos para evidências e auditoria.