SOC – allt du behöver veta om Security Operations Center

Det finns inget hundraprocentigt cyberskydd. Därför behöver organisationer en strategi för hur man upptäcker och stoppar de hot som tagit sig förbi organisationens skyddsåtgärder. Det är här en SOC kommer in i bilden.

Vad är en SOC?

SOC står för Security Operations Center och är en slags säkerhetsavdelning, eller en övervakningscentral, bestående av IT-säkerhetsexperter som arbetar dygnet runt med att övervaka och skydda en organisation mot cyberhot. Ett security Operations Center kan byggas upp internt inom en organisation, eller köpas som en funktion av en tredjepartsleverantör. De flesta företag väljer att köpa det som en funktion, då det är både kostsamt och tidskrävande att bygga en egen SOC.

SOC-teamet övervakar en organisations IT-infrastruktur dygnet runt för att upptäcka, analysera och agera på säkerhetsincidenter i realtid. När ett hot eller en attack upptäcks genomför teamet åtgärder för att skydda organisationen och förhindra ytterligare skador. Utöver detta ansvarar SOC för att kontinuerligt analysera hotdata och hålla sig ajour med nya attackmetoder – allt för att upprätthålla ett så starkt cyberskydd som möjligt.

Ett Security Operations Center utgörs av ett flertal roller med olika ansvarsområden.

Teamet består i huvudsak av tre olika roller:

• Security Analysts vars ansvar är att korrelera, analysera och klassificera incidenter.

• Security Researchers: vars ansvar är att löpande analysera den föränderliga hotbilden, och komma med input till detektionsutveckling och Threat Hunting.

• Incident Responders: vars ansvar är att arbeta med att lösa komplexa incidenter.

En SOC kan även inkludera ansvarsområden som att ha kontroll på och klassificera en organisations alla tillgångar och sårbarheter, samt strategier och implementering av olika skyddsåtgärder för att reducera risken för intrång. I de fall dessa funktioner inte ligger inom SOC, så krävs nära samarbete med de avdelningar som arbetar med detta.

Arbetet leds av en SOC-chef som i sin tur vanligen rapporterar till en CISO (Chief Information Security Officer) eller en CIO (Chief Information Officer).

Vad gör ett Security Operations center?

Ett Security Operations Center arbetar med cybersäkerhet utifrån ett helhetsperspektiv. Detta innebär både att åtgärda incidenter när de inträffar, och att minimera riskerna för nya attacker och hot.

SOC-teamets ansvarsområden är många och inkluderar;

• Inventering av tillgångar: SOC teamet utför, eller arbetar nära den gruppering som utför, inventeringar av alla organisationens tillgångar som behöver skyddas. Detta innefattar t.ex. applikationer, databaser, servrar, molntjänster, endpoints etc. Man inventerar även alla de verktyg som används för att skydda dem så som brandväggar, antivirus- och anti-malwareverktyg, övervakningsprogram etc.) Detta för att skapa en tydlig översikt.
  
  
• Planering av incidentrespons: SOC:en ansvarar för att utveckla organisationens incidenthanteringsplan, som definierar aktiviteter, roller och ansvarsområden vid händelse av ett hot eller ett intrång, samt vilka mått som ska användas för att mäta hur framgångsrik incidenthanteringen är.
  
  
• Regelbunden testning: SOC-teamet utför sårbarhetsanalyser för potentiella hot, vilken påverkan dessa skulle ha på organisationen, samt vilka kostnader som finns förknippade med dessa. I vissa fall utför SOC även penetrationstester för att simulera specifika attacker mot ett eller flera system. Teamet åtgärdar eller finjusterar sedan applikationer, säkerhetspolicyer, och incidentresponsplaner baserat på resultaten av dessa tester.
  
  
• Kontinuerlig säkerhetsövervakning dygnet runt: SOC:en övervakar organisationens hela IT-infrastruktur – applikationer, servrar, systemprogramvara, datorenheter, molnbaserade tjänster och nätverk – dygnet runt, året runt, för att upptäcka abnormaliteter, kända exploateringar och annan misstänkt aktivitet. SOC:en använder central teknik för övervakning, detektering och respons så som SIEM (Security Information and Event Management) och EDR. Med hjälp av dessa teknologier kan SOC-teamet övervaka och sammanställa varningar om abnormaliteter från mjuk- och hårdvara i nätverket i realtid. Datan analyseras sedan för att identifiera potentiella hot.
• Datainsamling: SOC:en samlar in information i realtid. Detta görs i huvudsak på tre olika sätt;

• genom att monitorera aktivetering på endpoints (EDR) 
• genom att monitorera aktiviteter baserat på logginformation (SIEM)
• genom att monitorera nätverksaktivitet (NDR)
• Av dessa brukar de flesta organisationer börja med EDR, då det går snabbt att implementera och ger både en bra detektionsförmåga samt en bra förmåga att utföra response-åtgärder. När EDR är på plats kan man gå vidare med NDR och SIEM för ett starkt skydd.
•  
• Relaterat innehåll: Vad är EDR och varför är det så viktigt att skydda en organisations arbetsdatorer? 
•  

• Logghantering: SOC:en samlar in loggdata över aktiviteter som sker på nätverk eller applikationer, och analyserar dessa. Genom analysen kan man fastställa vad som är normal aktivitet och kan upptäcka avvikande beteenden som tyder på misstänkt aktivitet. Eftersom de flesta företag själva inte förmår övervaka loggdata räknar hackare generellt med att deras virus och skadliga program kan köras oupptäckta i veckor eller till och med månader. Genom en effektiv logghantering kan ett Security Operations Center upptäcka abnormaliteter i realtid och sätta in åtgärder för att stoppa att attacken fortskrider.
  
  Relaterat innehåll: Vad är SIEM och hur minskar det en organisations sårbarhet? 
  
  
• Threat detection: SOC-teamet sorterar de larm som SIEM-verktygen genererar för att utläsa faktiska cyberhot mot positiva falsklarm och rangordnar sedan hoten efter allvarlighetsgrad. Med hjälp av artificiell intelligens (AI) och Machine learning (ML) kan SOC:en automatisera vissa av dessa processer genom att låta verktygen ”lära sig” av data för att bli bättre på att upptäcka misstänkt aktivitet över tid.
  
  
• Incident response: När en incident i form av ett cyberhot eller en attack sker vidtar SOC-teamet åtgärder för att stoppa angreppet och begränsa skadan. Åtgärderna kan bland annat omfatta:
  • Undersökning av grundorsaken till angreppet för att fastställa hur angriparen tog sig in.
  • Stänga av, eller koppla bort komprometterade enheter från nätverket.
  • Isolera delar av nätverket eller omdirigera nätverkstrafik.
  • Pausa påverkade applikationer och processer.
  • Radera skadade eller infekterade filer.
    
    

• Relaterat innehåll: MDR – en introduktion till Managed Detection and Response och dess nyckelkomponenter 
•  

• Utvärdering och förbättring: För att förhindra att incidenter upprepas använder SOC:en de insikter som erhållits från incidenten för att förfina sitt säkerhetsarbete. På en mer övergripande nivå tittar SOC-teamet också på om incidenten är en del av en större trend och om angripares tillvägagångssätt är på väg att förändras – detta för att säkerställa att man är förberedd, och har rätt verktyg och processer på plats, för att kunna möta det föränderliga hotlandskapet. 

När behövs ett Security Operations Center? 

Att veta att ett intrång eller en attack har ägt rum först veckor efter att det inträffat är för de flesta organisationer inte tillräckligt nu när allt fler av en organisations viktigaste tillgångar finns digitalt. För att uppnå ett starkt cyberskydd behövs det någon som reagerar på larmet när något inträffar, som upptäcker potentiella brister och kan samordna säkerheten så att hoten och attackerna kan avvärjas innan de nått de kritiska delarna av en verksamhet. Ett Security Operations Center är inte längre en lyx för storföretag utan är idag en nödvändighet för organisationer i alla storlekar.

Utan ett SOC som övervakar en organisations IT-infrastruktur kan inkräktare röra sig oupptäckta i veckor, och till och med månader, innan de stöter på patrull. Under denna tid kan mycket skada göras på en verksamhet. I den liknelse som beskriver IT-säkerhetsarbetet som organisationer gör själva som vallgrav, stängsel och lås, kan ett Security Operations Center liknas vid en patrullerande vaktstyrka, som med hjälp av övervakningskameror,  rörelsedetektorer och inpasseringskontroller bevakar miljön dygnet runt. Ett Security Operations Center höjer med andra ord en organisations IT-säkerhet rejält.

Vill du veta mer om SOC och hur vi på Iver hjälper våra kunder med denna typ av övervakning? Se videon nedan där Marcus Jonsson, Team Lead på Iver SOC berättar mer, eller ta kontakt med oss via formuläret nedan för att se hur vi kan hjälpa just din verksamhet.