Il Security Operations Center (SOC): il ruolo nella risposta agli incidenti di sicurezza

Anche se le dimensioni del personale dei team SOC variano a seconda delle dimensioni dell’organizzazione e del settore, la maggior parte ha più o meno gli stessi ruoli e responsabilità. Un SOC è una funzione centralizzata all’interno di un’organizzazione che impiega persone, processi e tecnologia per monitorare e migliorare continuamente la posizione di sicurezza di un’organizzazione, prevenendo, rilevando, analizzando e rispondendo agli incidenti di cybersecurity. 

• Prevenzione e rilevamento: quando si tratta di cybersicurezza, la prevenzione è sempre più efficace della reazione. Piuttosto che rispondere alle minacce nel momento in cui si verificano, un SOC lavora per monitorare la rete 24 ore al giorno. In questo modo, il team SOC può rilevare le attività dannose e prevenirle prima che possano causare danni. Quando l’analista SOC vede qualcosa di sospetto, raccoglie quante più informazioni possibili per un’indagine più approfondita;
• Indagine: durante la fase di indagine, l’analista SOC analizza l’attività sospetta per determinare la natura di una minaccia e la misura in cui è penetrata nell’infrastruttura. L’analista di sicurezza vede la rete e le operazioni dell’organizzazione dalla prospettiva di un aggressore, cercando gli indicatori chiave e le aree di esposizione prima che vengano sfruttate. L’analista identifica ed esegue un triage sui vari tipi di incidenti di sicurezza, comprendendo come si svolgono gli attacchi e come rispondere efficacemente prima che sfuggano di mano. L’ analista SOC combina le informazioni sulla rete dell’organizzazione con le più recenti threat intelligence globali, che includono informazioni specifiche sugli strumenti, le tecniche e le tendenze degli aggressori, per eseguire un triage efficace;
• Risposta: dopo l’indagine, il team SOC coordina una risposta per risolvere il problema. Non appena viene confermato un incidente, il SOC agisce come primo soccorritore, eseguendo azioni quali l’isolamento degli endpoint e la terminazione dei processi dannosi. In seguito ad un incidente, il SOC lavora per ripristinare i sistemi e recuperare i dati persi o compromessi. Ciò può includere la cancellazione e il riavvio degli endpoint, la riconfigurazione dei sistemi o, nel caso di attacchi ransomware, di backup validi per aggirare il ransomware. Se il passaggio ha successo, la rete tornerà allo stato in cui si trovava prima dell’incidente.