Nos han recomendado un servicio "SOC": ¿qué es exactamente y tiene sentido para nuestro tamaño?

El consultor ha intentado venderte el paquete externo que tenía a mano. Analizar logs cuando ni siquiera tienen activado el doble factor en el correo de los empleados es tirar la plata. Casi todos los ataques a PYMEs entran por phishing o puertos de escritorio remoto abiertos, no hace falta un SOC para cerrar eso.

Antes de pensar en un SOC, apliquen estas tres medidas básicas: 1) Comprueben una vez al mes si la copia de seguridad que hacen cada noche se puede restaurar de verdad. 2) Den acceso al servidor de contabilidad solo desde una IP autorizada. 3) Hagan que todo el personal trabaje con permisos de usuario estándar, que nadie tenga la contraseña de admin. Estas tres cosas les protegerán de la inmensa mayoría de los ataques comunes.

Hace dos años contratamos un SOC por una recomendación similar para nuestra fábrica de 60 empleados. Pagábamos 38.000 TL al mes. A fin de mes lo único que llegaba era un gráfico automático de 20 páginas. Tuvimos un intento de ransomware una vez y lo cazó el software del endpoint; el equipo del SOC mandó un correo por la mañana diciendo "hubo movimiento esta noche, para su información". Cuando acabó el contrato no lo renovamos.

edit: he corregido unas erratas.

si contratas un soc y a las 03:00 de la mañana te mandan un mensaje diciendo "se ejecutó un powershell raro en tu servidor" ¿tienes personal técnico en la empresa q se despierte y apague ese servidor? si no lo tienes es tirar el dinero.

Pregúntele claramente al consultor: "¿Este servicio solo monitorea y avisa (SOC) o en cuanto ve un ataque corta el internet del servidor y resuelve el incidente (MDR)?". Si solo avisan no tiene ninguna utilidad práctica para una PYME, rechace la oferta directamente.

¿Las grandes marcas corporativas que son sus clientes o su compañía de seguros le exigen por contrato un informe de un centro de monitoreo de seguridad independiente? Si no hay una obligación legal o presión de los clientes, ¿no es más lógico gastar ese presupuesto en modernizar la infraestructura?

Teniendo en cuenta la escala de su organización, resultará más racional desde el punto de vista del coste orientarse hacia soluciones de licenciamiento que incorporen capacidades de detección y respuesta gestionadas (MDR), en lugar de un SOC integral. Este enfoque les permitirá bloquear automáticamente las amenazas críticas sin generar una carga operativa adicional.

En nuestra empresa solo tenemos el firewall del módem y un antivirus básico en los ordenadores. ¿Este servicio de SOC del que hablan no hace lo mismo que el antivirus? pues ¿cuál es la diferencia exacta entre ambos?

Ed: ya se preguntó abajo, dejé la respuesta en el segundo mensaje.

No puedo estar totalmente de acuerdo. la verdad si obtienes tres respuestas distintas sobre un tema la pregunta está mal formulada.

Las decisiones apresuradas son las que hay que corregir seis meses después. Espero que le sea útil.

Estoy de acuerdo. Si el camino de la notificación es largo, la notificación no llega; una notificación que no llega significa un incidente detectado tarde.

Que todo el mundo haga algo no significa que sea lo correcto. Por supuesto, cambia si tu situación es diferente.

dejo una advertencia. no confíes en una sola medida; ve capa por capa.

esta es mi opinión, no lo escribo como una verdad absoluta.

Guardado.

Correcto. Las soluciones que funcionan a pequeña escala se rompen al crecer, aprendí esto tarde.

Espero que le sea útil.

Separemos los conceptos, se están confundiendo. La mayoría de los incidentes no empiezan por una vulnerabilidad, sino por una contraseña filtrada.

Si escribís el resultado aquí, también servirá de ayuda a otros.

tomo nota gracias.

Yo también tengo curiosidad.

Gracias por escribir.