Ci hanno proposto un servizio "SOC": cos'è esattamente, ha senso per la nostra scala?

Il consulente ha semplicemente cercato di rifilarvi il pacchetto preconfezionato che aveva a catalogo. Fare analisi dei log quando il personale non ha nemmeno la verifica in due passaggi sulle email è buttare soldi. La quasi totalità degli attacchi alle PMI arriva da email di phishing o porte RDP lasciate aperte, per chiudere quelle non serve un SOC.

Prima di pensare a un SOC, mettete sul piatto queste tre misure fondamentali: 1) Testate una volta al mese se il backup fatto ogni notte si ripristina davvero. 2) Date l'accesso al server di contabilità solo da un unico indirizzo IP autorizzato. 3) Fate lavorare tutto il personale con permessi utente standard, nessuno deve avere la password di amministratore. Queste tre cose vi proteggono dalla stragrande maggioranza degli attacchi comuni.

Nel nostro stabilimento produttivo di 60 persone, due anni fa abbiamo attivato un SOC su un consiglio simile. Pagavamo 38.000 TL al mese. L'unica cosa che arrivava a fine mese era un report automatico di 20 pagine pieno di grafici. Una volta c'è stato un tentativo di ransomware, che è stato comunque bloccato dall'antivirus sugli endpoint; il team del SOC ci ha mandato una mail la mattina dopo dicendo 'per vostra informazione, stanotte c'è stata un'attività anomala'. Scaduto il contratto, non abbiamo rinnovato.

edit: ho corretto alcuni errori di battitura.

se prendete un soc e alle 03:00 di notte vi mandano un messaggio tipo 'rilevata esecuzione insolita di powershell sul server', avete in azienda personale tecnico che si sveglia per spegnere quel server? se la risposta è no sono soldi buttati.

Chiedete chiaramente al consulente: 'Questo servizio si limita a monitorare e avvisare (SOC), oppure, appena rileva un attacco stacca il server da internet e blocca l'incidente (MDR)?' Se si limitano solo ad avvisare, per una PMI non ha alcuna utilità pratica, rifiutate direttamente la proposta.

I vostri clienti che sono grandi aziende o la vostra compagnia assicurativa vi impongono per contratto un report di monitoraggio della sicurezza da parte di un centro indipendente? Se non c'è un obbligo legale o una richiesta esplicita dei clienti, non ha più senso investire quel budget nell'ammodernamento dell'infrastruttura?

Considerando le dimensioni della vostra organizzazione, orientarsi verso soluzioni su licenza dotate di funzionalità Managed Detection and Response (MDR) risulterebbe economicamente più razionale rispetto a un SOC completo. Questo approccio consente di bloccare automaticamente le minacce critiche senza generare ulteriore carico operativo.

Nella nostra azienda abbiamo solo il firewall del modem e un antivirus base sui computer... Questo servizio SOC di cui parlate non fa la stessa cosa dell'antivirus, qual è esattamente la differenza tra i due?

PS: è stato chiesto qui sotto, ho scritto la risposta nel secondo messaggio.

Non posso essere d'accordo al 100%. Se ricevete tre risposte diverse su un argomento, la domanda è posta male.

Le decisioni affrettate diventano decisioni da correggere sei mesi dopo... Spero che le sia utile.

Sono d'accordo. Se il percorso di notifica è lungo, la notifica non arriva; una notifica mancante significa un evento scoperto tardi.

Il fatto che tutti facciano una cosa non significa che sia quella giusta. Naturalmente cambia se la vostra situazione è diversa.

lascio un avvertimento poi non fidatevi di una sola misura di sicurezza; procedete per livelli.

questa è la mia opinione, non la scrivo come verità assoluta.

Salvato.

Corretto. Le soluzioni che funzionano su piccola scala crollano quando si cresce, l'ho imparato tardi.

Spero che le sia utile.

Separiamo i concetti, vengono confusi. La maggior parte degli incidenti non inizia da una vulnerabilità, ma da una password trapelata.

Se scrivete qui il risultato, sarà utile anche ad altri.

presso nota, grazie.

Mi chiedo anch'io.

Grazie per aver scritto.