Получили три КП на SOC — какую таблицу составить, чтобы сравнить покрытие и SLA?

По SLA смотрите, от чего отсчитывается MTTD и MTTR. Многие подрядчики запускают таймер не с момента попадания алерта в систему, а когда дежурный аналитик вручную подтвердит тикет. Так 15 минут отклика легко превращаются в 2 часа.

В прошлом году подписывали похожую инфраструктуру на 80 000 TL. Они просчитались с квотой на логи, на третий месяц серверы вылезли за лимит, и нам прилетел доп. счет на 28 000 TL. При согласовании сразу фиксируйте цену за перерасход суточного объема.

Никогда слепо не верьте плашке «24/7». В куче мест на ночной смене сидит стажер или дежурный L1 который просто смотрит в монитор. Если в 3 часа ночи шифровальщик пойдет по сети, L2/L3 спецы на связи, чтобы изолировать сервер или все будут ждать 9 утра?

Вот 4 главных пункта для сравнительной таблицы: 1) Стоимость перерасхода по суточным ГБ и EPS. 2) Переносятся ли неиспользованные часы IR на следующий месяц. 3) Частота обновления правил и тюнинга. 4) Срок хранения и индексации логов под аудиты.

у нас главной проблемой были ложные срабатывания. когда в день прилетает по 50 мусорных нотификаций, на них просто забивают. обязательно внесите в таблицу, сколько человеко-часов в месяц они выделяют на доработку правил и тюнинг.

Примечание: пишу на основе своего опыта, у других может быть иначе.

Для совета директоров делайте упор не на термины, а на риски и деньги. Сделайте колонку «Что не входит в покрытие». Если четко не расписать, какие шаги при инциденте делает ваша команда, а какие SOC, в кризис вы просто начнете перекладывать вину друг на друга.

До подписания требуйте PoC (проверку концепции) хотя бы на 15 дней. Подключите пару критичных серверов и пользователей. Пощупайте их дашборды и скорость алертов вживую, прежде чем отдавать такие деньги.

Кто админит EDR на рабочих станциях? Подрядчики просто собирают логи или у них есть права и инструменты, чтобы при угрозе сразу заизолировать подозрительное устройство от сети?

Я маленький бизнес, расскажу со своей стороны. Не стесняйтесь спрашивать, молчание всегда обходится дороже.

Конечно, если ваша ситуация отличается, всё меняется.

у нас было так. кстати если включена двухфакторная аутентификация украденный пароль бесполезен.

я бы пошел этим путем.

Мои сомнения развеялись, спасибо.

Я долго занимался этим вопросом... Автоматический отчет о сканировании и пентест — это не одно и то же.

Прежде чем принимать решение, посмотрите какие данные у вас есть.

Хорошо, что вы создали эту тему.

Отличная работа.

Извините, но это верно не во всех случаях. Если путь уведомления длинный, уведомление не приходит; а не пришедшее уведомление — это поздно обнаруженный инцидент.

Мне тоже интересно.

Полностью согласен. Изменение платежных данных никогда не подтверждается через тот же канал.

Краткое резюме для новичков: При принятии решений записывайте и худший сценарий, а не только лучший.

Большинство инцидентов начинается не с уязвимости, а с украденного пароля.