В чем разница между SOC и MDR? Нужны ли оба варианта для компании на 20 человек?

В SOC прайс обычно привязан к объему входящих логов: чем больше источников, тем выше счет. MDR тарифицируется поштучно за эндпоинт. 20 сотрудников плюс, допустим, 8 серверов — это 28 лицензий. По деньгам и поддержке все абсолютно прозрачно и прогнозируемо.

Вы точно вчитались в опросник клиента? Иногда там требуют строго факт детекта и реагирования 24/7 а иногда прямым текстом прописывают обязательное хранение всех логов компании минимум год. Если есть требование именно по хранению логов к MDR придется докинуть простейший облачный архив.

Если берете коммерческие предложения для прохождения аудита клиентом, однозначно выбирайте MDR. Контора, которая выставила 3.200 долларов за SOC, скорее всего, будет просто заваливать вас алертами. Кто в команде из 20 человек будет их разбирать? Если у вас нет штатного сотрудника, готового разгребать ночные уведомления, SOC просто сожрет ваш бюджет.

Мы в нашей команде из 35 человек 2 года назад начинали с SOC. Платили по 2.800 долларов в месяц, но почти все сыпавшиеся алерты оказывались безобидными системными процессами, и наши инженеры тратили на них кучу времени. Перешли на модель MDR: ежемесячные расходы упали до 1.300 долларов, а реагирование полностью взял на себя подрядчик.

для маленькх команд брать soc это как поставить пожарную сигнализацию и ждать пожарных в пустом доме. орать будет, а тушить некому. короче mdr хотя бы сам перекроет вентиль и всё разрулит при угрозе так что для вас это куда логичнее.

Настоятельно рекомендую внимательно изучить пункты Соглашения об уровне обслуживания (SLA) в договоре. Если в предложении по управляемому SOC гарантируется лишь время обнаружения инцидента, а не время реагирования на него, фактическое обеспечение безопасности и принятие мер останутся исключительно на вашей стороне.

В двух словах: SOC собирает логи и предупреждает вас, а MDR сразу блокирует угрозу на устройстве и вычищает ее. Без выделенной внутренней команды ИБ вы на 20 человек SOC не потянете; и для аудита, и для спокойной работы правильным выбором будет MDR.

Большое спасибо сегодня попробую.

Расскажу, как это делается на практике. Не стесняйтесь спрашивать, молчание всегда обходится дороже.

Пишите, если есть вопросы, отвечу по мере возможности.

Я бы не торопился. Если путь уведомления длинный, уведомление не приходит; а не пришедшее уведомление — это поздно обнаруженный инцидент.

Удачи.

Редко встретишь текст с такой ясностью изложения.

Мои сомнения развеялись, спасибо.

Я сталкивался с тем же.

Согласен с этим. Если разрешение и объем тестирования не зафиксированы письменно, тест не начинать.

Если напишете результат здесь, это поможет и другим.

У меня есть возражение. Если не зафиксировать это письменно с самого начала, потом возникнут споры.

Первые три месяца все идет хорошо, проблемы всплывают на четвертом. Удачи.

хорошо, что вы создали эту тему но при принятии решений записывайте и худший сценарий а не только лучший.

удачи.

У меня было наоборот, поэтому и пишу. Меры, принятые без инвентаризации, оставляют открытыми двери, о которых вы не знаете.

Конечно если ваша ситуация отличается всё меняется.

Нужно идти по порядку. Без измерений мы всегда приходим к одному и тому же.

Надеюсь, это будет полезно.