Построение SOC на Dozor
Разворачиваем Dozor в вашем контуре, подключаем источники и настраиваем обнаружение под ваши системы. Пишем регламенты смены и обучаем аналитиков работать с ИИ-расследованием.
- INC-2041Внешний SSH-вход сервисной учётной записиКритичный
- INC-2038Серия неудачных входов в VPN с одного адресаВысокий
- INC-2035Новая служба на контроллере доменаВысокий
- INC-2029Запуск PowerShell из почтового вложенияСредний
- INC-2024Плановое обновление признано штатной работойЗакрыт
Смена видит очередь по критичности и сроку SLA
Что входит
- Источники
- Агенты Dozor на серверах и рабочих станциях, журналы сетевого оборудования, облаков и вашей SIEM.
- Обнаружение
- Правила под ваши системы и сценарии атак, проверка покрытия по MITRE ATT&CK.
- Реагирование
- Сценарии и права на меры реагирования с подтверждением вторым сотрудником.
- Процессы
- Регламент смены, уровни критичности, сроки SLA, передача смен и эскалация.
- Люди
- Обучение аналитиков, разбор учебных атак и поддержка в первые месяцы работы.
Фотографии
Фото: NASA Johnson Space Center, общественное достояние; Cody Logan, CC BY-SA 4.0; Christopher Bowns, CC BY-SA 2.0; Syced, CC0, Wikimedia Commons.
С чего начинаем
Рядом с SIEM
Если SIEM уже есть, подключаем её к Dozor как источник, и ИИ расследует её алерты.
С нуля
Если мониторинга нет, начинаем с агентов и журналов ключевых систем и наращиваем покрытие.
Своя смена
Платформу и процессы передаём вашей команде вместе с обучением и регламентами.
Как строим
- 01
Обследование
Изучаем инфраструктуру, источники событий, текущие процессы и требования регуляторов.
- 02
Проект
Определяем источники, сценарии атак, роли смены и метрики работы.
- 03
Внедрение
Устанавливаем Dozor, подключаем источники, настраиваем правила и сценарии реагирования.
- 04
Учебные атаки
Проверяем обнаружение на сценариях MITRE ATT&CK и закрываем пропуски.
- 05
Передача
Обучаем смену, передаём регламенты и сопровождаем первые месяцы работы.
Что вы получаете
- Работающий мониторинг на Dozor в вашем контуре.
- Карту покрытия MITRE ATT&CK с проверенными правилами.
- Регламенты смены, эскалации и реагирования.
- Обученных аналитиков и отчёт по учебным атакам.
Вопросы
Задать свой вопросСколько людей нужно для своего SOC?
Это зависит от числа источников и режима работы: круглосуточной смене нужно больше аналитиков, чем дневной. Расчёт делаем на обследовании.
Можно ли оставить нашу SIEM?
Да. Dozor принимает её алерты по syslog, CEF, LEEF или JSON, и ИИ расследует их вместе с данными агентов.
Где хранятся данные мониторинга?
На ваших серверах. Dozor работает в вашем контуре, внешние подключения выключены, пока вы их не включите.
Обсудить задачу
Опишите задачу и сроки. Мы ответим, уточним границы работ и предложим план.
- Договор. Начинаем с договора и соглашения о конфиденциальности. Границы работ и разрешения фиксируем письменно.
- Границы. Цели, системы, сроки и контакты на случай сбоя согласуем до начала работ.
- Работа. Держим вас в курсе хода работ и сразу сообщаем о критичных находках.
- Отчёт. Передаём отчёт для руководства и технический отчёт с доказательствами и рекомендациями.
Или напишите нам: info@dozorsecurity.kz