SOC-практика: от практики к теории и обратно

За последние годы многие компании создали (или сделали первые попытки создания) Security Operations Center. Первый опыт в любом деле как правило даёт больше вопросов чем ответов. Самый очевидный - что дальше? Но через некоторое время попыток ответа на этот вопрос как первоочередной возникает и вопрос осмысления полученных результатов, правильности акцентов. 

В рамках тренинга мы обсудим как практические элементы создания, «эксплуатации» и развития SOC, так и ключевые, проверенные практикой, принципы и концепции без осознания которых невозможно целеполагание и планомерное движение вперёд. 

Семинар основан на опыте команды кибербезопасности Сбербанка, анализе лучших мировых практик, обсуждении самых актуальных подходов с руководителями SOC российских и международных компаний в рамках Академии Кибербезопасности Сбербанка.

00:20 О плане доклада

02:35 Базовые технологии и процессы Security Operations Center (SOC)

03:56 Теория или практика: что важнее? Практический опыт

05:53 Теория: полезная литература

08:53 О внедрении SOC в ПАО «Сбербанк»: начало и развитие

11:35 О применении теории на практике

13:47 Другой взгляд на SOC. Зачем это нужно организации?

16:00 Нужен общий словарь для продуктивной работы в сфере информационной безопасности

19:34 О принятии решений в условиях неопределенности

20:20 Возьмите на заметку: полезная модель по ситуационной осведомленности

25:55 О том, что должен уметь позволять делать SOC как операционная структура: операционные возможности

31:19 SOC: «базовый процесс». Кейс по массовому заражению ВПО

33:20 Кейс по badrabbit (проактивное реагирование)

33:43 SOC: от практики к модели

34:15 Как категоризировать инциденты: схема L2

35:43 Ситуация требует разбудить начальника в 3:30 утра? Будите! Схема эскалации инцидентов и SLA

37:50 О философии SOC

40:14 Пентесты, аутсорсинг, страхование: альтернативы развитию внутренних практик

41:35 «Иногда нужно спуститься из космоса на землю». Развитие практик: технологии, процессы, люди

43:06 Куда двигаться дальше? Развитие SecOps и SOC

47:43 Разные типы систем необходимо интегрировать в общую систему operations

50:06 Вопрос: проясните, пожалуйста, ситуацию: если мы собираем информацию online с фичей, маршрутизаторов, файрволов и проводим анализ online, то это будет мониторингом сообщений?