Сравнение услуг коммерческих SOC (Security Operations Center). Часть 2

Вторая часть сравнения имеет цель дополнить перечень лидирующих в России коммерческих центров мониторинга и реагирования на инциденты информационной безопасности (SOC — Security Operations Center), которые уже были подробно описаны в первой части.

То, что такое коммерческий SOC и что должно в нем быть, мы подробно описывали во вводной главе первой части, а также в анализе российского рынка услуг и продуктов для центров мониторинга информационной безопасности (SOC). Поэтому не будем углубляться в рассказы о видах SOC в России и сосредоточимся на самом сравнении.

Организационно SOC представляет собой группу экспертов по защите информации, отвечающую за постоянный контроль и анализ состояния безопасности организации, используя комбинацию технологических решений и действуя в рамках четко выстроенных процессов. SOC обычно укомплектованы аналитиками и инженерами в области безопасности, а также сервис-менеджерами, которые обеспечивают оперативное взаимодействие с клиентом. Кроме того, для быстрого устранения последствий инцидентов подключается группа реагирования.

Деятельность коммерческих SOC в России обычно тесно связана с предложением сопутствующих сервисов. Самый популярный тип таковых — это MSSP (Managed Security Service Provider — предоставление управляемых сервисов безопасности). Управляемые услуги безопасности нужны для контроля и администрирования конкретных защитных решений и могут предлагаться довольно широким набором: от настройки инфраструктуры до управления безопасностью или активного (самостоятельного) реагирования на инциденты.

Важными критериями при выборе SOC могут являться услуги центра ГосСОПКА. Поскольку объекты критической информационной инфраструктуры (КИИ) и некоторые другие сущности обязаны подключаться к НКЦКИ, возможность собирать «правильные» инциденты ИБ или хотя бы приводить их к нужным форматам — хорошее дополнение к коммерческому сервису SOC.

Выбирая поставщика SOC, заказчики ожидают как минимум получить классические преимущества любого облачного сервиса: доступ к наиболее продвинутым техническим решениям без необходимости следить за особенностями конкретных вендоров и актуальностью версий. К таким средствам принято относить управление журналами и событиями (Log Management/SIEM), реагирование на инциденты (Incident Response Platform, IRP), киберразведку (Threat Intelligence Platform, TIP), обслуживание обращений (Service Desk), анализ трафика и сетевые расследования (Network Traffic Analysis / Network Forensics, NTA / NFR), детектирование и реагирование на конечных точках (Endpoint Detection and Response, EDR), подключение к источникам данных о репутации или базам индикаторов компрометации (IoC). 

Разумеется, существуют минимальные требования к инфраструктуре заказчика и к уровню зрелости его ИБ в целом. Этим обусловлен своего рода ценз (в том числе — финансовый) при рассмотрении возможности приобретения аутсорсингового SOC. Перечень конкретных требований может быть расплывчатым, но для получения результата почти все поставщики сходятся в следующем.

1. Должна быть возможность получения событий с хостов или установки агента на конечных точках.
2. Должны быть, как минимум, базовые источники для получения протоколов (AD, FW).
3. Следует определить периметр сети или по крайней мере описать ключевые инфраструктурные средства защиты.
4. Необходимо обеспечить доступ к системам анализа сетевого трафика или возможность установки NTA.

При разработке методологии сравнения мы исходили из реальной практики оказания услуг SOC отечественными поставщиками. Краеугольным камнем любого сравнения является набор критериев, по которому оно проводится. Их количество зависит от ряда факторов: глубины исследования, степени различий между провайдерами SOC, разброс и наполнение которых весьма широки. В то же время важно не только количество критериев, выбранных в рамках сравнения, но и содержание развернутых ответов по каждому из них, так как сервисы могут серьезно различаться даже на этом уровне.

В сравнении используется набор из 179 критериев, которые идентичны тем, что были использованы в первой части.

Для удобства все критерии разделены на следующие категории:

1. Общие сведения
2. Тестовый период
3. Личный кабинет
4. Мониторинг и управление событиями безопасности
5. Управление инцидентами
6. Расследование инцидентов
7. Управление средствами защиты
8. Услуги центра ГосСОПКА
9. Дополнительные услуги
10. Технологии поставщика SOC
11. Персонал SOC
12. Возможность двусторонней интеграции с инфраструктурой клиента
13. Гарантии качества (SLA)
14. Система оповещения и отчетность
15. Режим работы и техническая поддержка
16. Предоставление актуальных в рамках SOC средств защиты в аренду (MSSP)
17. Ценовая политика

Для участия в сравнении были отобраны три из наиболее известных в России коммерческих SOC:

• МТС SOC
• Infosecurity ISOC
• «Перспективный мониторинг»

Несмотря на изначальный оптимизм в отношении состава второй части сравнения, мы не смогли включить в него большее количество участников. Несколько компаний, чьи имена были на слуху, отказались от участия, понимая недостаточный уровень зрелости своих услуг относительно конкурентов.

Другие компании не подошли нам по причине несоответствия определению рынка. Здесь необходимо краткое пояснение. Учитывая еще не устоявшиеся границы рынка коммерческих SOC, под их видом предлагают услуги по аутсорингу услуг обнаружения и реагирования на инциденты информационной безопасности (Managed Detection and Response, MDR) и киберразведки (Threat Intelligence Platform, TIP). В большинстве случаев эти услуги предлагаются вендорами и зачастую могут работать только с данными от собственных и партнерских средств защиты. К этой группе можно отнести, например, такие компании, как Group-IB, «Лаборатория Касперского», Positive Technologies и другие.

С другой стороны, услуги MDR от вендоров с точки зрения рынка можно рассматривать как альтернативу коммерческим SOC, востребованную частью заказчиков. Но сравнивать их напрямую некорректно из-за серьезных идеологических и технологических различий. Поэтому мы приняли решение не смешивать SOC с MDR и выделить последний в особое сравнение рынка, которое будет готово в первом квартале 2020 года.

Появление серьезной конкуренции на рынке коммерческих SOC, которой не было еще 2-3 года назад, оказывает благоприятное влияние на общее качество услуги в стране. Так, почти всеми рассмотренными в данной части сравнения поставщиками SOC применяется актуальный стек технологий, в том числе еще не повсеместно распространенные Threat Hunting Platform (THP) и Network Traffic Analysis (NTA).

С учетом отечественного законодательства все без исключения рассматриваемые игроки обязаны работать в правовом поле и имеют соответствующие лицензии регуляторов, основная из которых — ФСТЭК ТЗКИ с пунктом «в». А вот подтверждений качества со стороны внешних сертификаций по ИБ у участников второй части сравнения пока нет. Сроки подключения услуги вполне разумны и составляют в среднем 1 месяц, с возможностью ознакомительного пробного периода.

Личный кабинет специально под сервис разработан только у «Перспективного мониторинга», у остальных есть возможность попасть в собственную консоль SIEM или IRP, ограниченную правами конкретного клиента. При необходимости организация канала VPN согласно алгоритмам по ГОСТу также не является проблемой.

При всем существующем ажиотаже вокруг темы критической информационной инфраструктуры и центров ГосСОПКА у двух из трех участников сравнения пока нет реализованных проектов с функцией взаимодействия с НКЦКИ.

За исключением Infosecurity ISOC, участники данного сравнения не раскрывают данные о численности персонала по линиям и ее динамику. Аутсорсинг эксплуатации клиентских средств защиты информации предлагают все без исключения поставщики. Портфель каждого участника содержит широкий спектр сопутствующих сервисов, прямо не связанных с основной деятельностью SOC. К ним можно отнести управление уязвимостями, внутренние технические аудиты, compliance-проверки, Threat Hunting, инвентаризацию инфраструктуры клиента на периодической основе и другие. Интересно, что, в отличие от первой части сравнения, средства защиты в аренду в полном объеме предоставляет только MTS SOC.

Все сервис-провайдеры заявляют гибкие сценарии по работе с инцидентами и ретроспективный анализ, а накапливаемый опыт отражается в индивидуальной «тонкой настройке» сервиса. Все три участника предоставляют услуги по обратной разработке (reverse engineering) образцов вредоносных программ.

У всех поставщиков есть возможность оказания технической поддержки 24х7, но конкретная сервисная программа может зависеть от тарифа. Оповещение об инцидентах и любое другое взаимодействие с заказчиком может быть налажено почти по любому современному каналу связи. Увы, все три участника сравнения не раскрывают информацию о стоимости своих услуг.