CNews: SOC-центры часто сталкиваются с проблемой «замыливания» глаз при «конвеерной» обработке инцидентов. Возможно ли обеспечить индивидуальный подход к каждому алерту, не раздувая штат линейных аналитиков и затрат на услугу?

Михаил Шеховцов: Специалист любого уровня устает от разбора срабатываний плейбуков по расследованию с типичными рекомендациями. Для того, чтобы глаза «не замыливались» можно увеличить отводимое на расследование время и число специалистов на линии, а также распределить повторяющиеся сценарии у каждого инженера. Это позволит разбирать инциденты внимательнее и без спешки. Однако такой подход нередко приводит к росту штата и ухудшению параметров мониторинга.

Некоторые провайдеры пытаются сгладить «конвеерную» обработку прямыми уведомлениями и последующим дорасследованием. Первичные результаты передаются в рамках ранее заключенного договора (SLA), а окончательный вердикт по инциденту направляется после расследования. При этом сроки дополнительного анализа зачастую никак не регламентируются, что негативно влияет на клиентский опыт.

На мой взгляд, если возможно, лучше передать рутинный анализ автоматизированным системам. Они могут быстро отсеивать очевидные ложные срабатывания и объединять повторяющиеся уведомления, избавляя специалистов от лишней работы. В результате меняется сам подход: машина собирает и обогащает контекст, а человек сосредотачивается на принятии решений и разборе действительно важных инцидентов.

Марина Громова: Решить это противоречие можно только через глубокую автоматизацию рутины. Когда поток событий растет, ручная обработка становится не просто медленной и дорогой, но и приводит к ошибкам внимания — тем самым «ложноотрицательным» заключениям, о которых часто говорят коллеги.

Система класса SOAR (Security Orchestration, Automation and Response) забирает на себя всю типовую, повторяющуюся работу: первичное обогащение данных, проверку по базам угроз, выполнение стандартных процедур. Это позволяет аналитикам SOC-центра не тратить ресурс на однотипные алерты, а уделять время сложным, нетривиальным кейсам, требующим индивидуального подхода.

Таким образом, сохраняется высокое качество расследований и рентабельность услуги, при этом, не раздувается штат сотрудников первой линии. Автоматизация становится тем инструментом, который позволяет масштабировать бизнес без потери качества – каждый алерт получает именно тот уровень внимания, который он заслуживает.

CNews: Главная боль современных центров мониторинга — не столько в обнаружении угроз, сколько в скорости реакции на них. Где сегодня проходит граница между задачами, которые можно оставить за внутренним подразделением ИБ, и процессами, которые целесообразно полностью отдать на откуп внешнему SOC? Готовы ли заказчики делегировать реагирование на инциденты центру мониторингу или же чаще используется формат «консультационного реагирования» с активным вовлечением специалистов заказчика.

Михаил Шеховцов: Скорость реагирования на угрозы во многом зависит от масштаба компании и уровня зрелости центра мониторинга безопасности. Чаще всего организации выбирают модель MDR: разворачивают средства защиты на конечных устройствах, заранее определяют набор рисков, на которые система реагирует автоматически, и обходятся небольшой командой ИБ-специалистов внутри компании.

Еще один распространенный вариант — это реагирование силами собственных специалистов при поддержке внешних экспертов. Такой подход дает больше управляемости и более высокую вероятность обнаружения злоумышленника до момента нанесения ущерба инфраструктуре. При этом не требуется содержать собственный центр мониторинга и квалифицированных специалистов — они не будут загружены весь рабочий день, и это не повлечет за собой дополнительные издержки.

Третий по распространенности подход — построить центр мониторинга полностью на своей стороне. Обычно это выбирают крупные компании. Однако даже они могут столкнуться с ситуацией, когда бюджет уже исчерпан, а серьезные инциденты продолжают происходить из-за нехватки квалифицированных специалистов и сложностей с их наймом.

Наиболее эффективной мне кажется модель консультационного реагирования: коммерческий центр полностью берет на себя выявление угроз, а решения и ответные действия выполняют внутренние специалисты компании. При этом часть типовых сценариев может запускаться автоматически силами центра через средства автоматизации на стороне заказчика.

Марина Громова: Граница сегодня гибкая, и рынок движется к гибридным моделям. Мы видим несколько сценариев: от простого уведомления («мы нашли – вы решаете») до полного делегирования реагирования по согласованным сценариям.

Ключевая функция SOAR здесь — выступать не просто инструментом учета задач для технических специалистов, а полноценной автоматизированной платформой управления инцидентами. SOAR интегрируется не только с системами внутри инфраструктуры заказчика, но и обеспечивает прозрачный обмен информацией между различными технологическими платформами, в том числе между внутренними системами компании и внешним центром мониторинга.

Важно, что вне зависимости от выбранной модели заказчик не теряет контроль. Он видит в интерфейсе SOAR, какие решения были приняты, почему была заблокирована та или иная учетная запись, и может в любой момент вмешаться в процесс. Прозрачность и скорость – два ключевых преимущества такого подхода.

CNews: Может ли комплекс средств автоматизации, который уже используется в периметре организации или планируется к внедрению, дополнять и повышать эффективность использования внешнего SOC?

Михаил Шеховцов: Главный вопрос — готова ли внутренняя ИБ-служба использовать средства автоматизации? Как правило, к автоматизации прибегают в двух случаях: когда штатные специалисты признают недостаточность своих компетенций или когда ИБ-служба слишком часто запускает сценарии реагирования на регулярно срабатывающие инциденты низкой и средней степеней критичности. В таких случаях возможно некоторое масштабирование — первичные действия по реагированию производятся автоматически при отправке уведомления со стороны внешнего SOC. Далее в расследование инцидента включаются внутренние специалисты. Это позволяет держать первичный круглосуточный мониторинг силами команды без привлечения сервисов, например, MDR, и обеспечивать фактическое реагирование с помощью внутренних специалистов в рабочее время.

Марина Громова: Более того, наличие собственной платформы автоматизации у заказчика часто становится катализатором качества услуг внешнего провайдера.

Security Vision SOAR универсален и поддерживает различные модели взаимодействия.

1. Внутри внешнего SOC: провайдер использует платформу для массовой обработки инцидентов и уведомления своих клиентов об обнаруженной активности.
2. Гибридная модель: SOAR развёрнут у заказчика, но внешний центр выступает интегратором — переносит свои лучшие практики и плейбуки в инфраструктуру клиента, помогая настроить сценарии под его специфику. Провайдер также направляет в SOAR заказчика уведомления об обнаруженной подозрительной активности и рекомендации по реагированию.
3. In-house использование: заказчик применяет SOAR самостоятельно, но получает выгоду от библиотек лучших практик, которыми делятся партнеры.

Такой подход особенно ценен в условиях кадрового дефицита. Большинство компаний, кроме крупнейших финансовых структур, не могут позволить себе содержать в штате дорогостоящих специалистов уровня L2/L3. Благодаря SOAR и экспертизе внешнего центра заказчик получает уровень зрелости процессов крупного провайдера, не нанимая при этом целый штат архитекторов безопасности.

Кроме того, SOAR обеспечивает более широкий охват инфраструктуры по сравнению с точечными решениями. Если EDR воздействует только на те машины, куда установлен агент, то SOAR может работать с сетевыми устройствами, доменными контроллерами, блокировать учетные записи — то есть реагировать комплексно, на уровне всей ИТ-среды.

CNews: Внедрение SOAR-систем часто буксует из-за сложности настройки плейбуков под уникальную инфраструктуру заказчика. Как преодолеть проблему «долгой настройки», чтобы автоматизация начинала работать сразу, а не через полгода после старта проекта?

Михаил Шеховцов: Low-code/No-code архитектура сокращает время и силы на разработку. Там, где раньше требовалось несколько полноценных разработчиков с минимальными познаниями в области ИБ и четко прописанное техническое задание, теперь достаточно просто качественного брифа со стороны заказчика и сформированного представления финального результата.

При внедрении SOAR-систем нередко возникает упрощенное представление о процессе, сводящееся к цепочке «оповещение центра мониторинга — автоматическое реагирование по сценарию». Однако подобный подход упускает из виду необходимость проведения расследования и установления причин срабатывания. Это должна контролировать внедренная платформа, выступающая «подстраховкой» для специалистов.

Марина Громова: Именно Low-code / No-code архитектура Security Vision становится тем самым ключом к такому быстрому старту. Мы сознательно уходим от необходимости писать код для каждого сценария. Наш визуальный конструктор дает возможность собирать плейбуки быстро, используя готовые логические блоки. Это позволяет оперативно задействовать наработанную экспертизу.

Партнеры и заказчики берут обкатанные сценарии реагирования и адаптируют их под конкретный набор СЗИ и требования бизнеса за дни, а не месяцы. Инженер SOC самостоятельно настраивает логику, не привлекая разработчиков вендора. Автоматизация начинает работать практически сразу после подключения источников: база типовых сценариев уже сформирована и легко кастомизируется под специфику инфраструктуры. А если внедрением занимаются эксперты уровня «Бастиона», они используют свою библиотеку готовых решений и быстро адаптируют их под набор СЗИ заказчика — в результате автоматизация приносит пользу с первых недель проекта.

CNews: Интеграция разнородных средств защиты с системами сбора событий и реагирования часто превращается в набор самописных легаси-решений без документации. Как обеспечить бесшовное взаимодействие между средствами защиты разных вендоров, системами мониторинга и реагирования и различными командами (ИТ, ИБ, внешний SOC), чтобы не терять контекст инцидента?

Михаил Шеховцов: Единая точка интеграции различных систем на стороне заказчика значительно помогает в отслеживании корректности работы различных каналов коммуникации и оповещения. Например, при отсутствии SOAR почта и мессенджеры не гарантируют доставку уведомлений о каждом срабатывании. SOAR создает гарантированный канал оповещения клиента по всем заранее определенным им каналам связи в согласованном формате, а так же оперативное выполнение компенсирующих мер.

Марина Громова: Проблема «лоскутной автоматизации» и самописных скриптов хорошо известна: они работают, пока не обновится система или не уйдет автор скрипта. Решение — в использовании платформы с развитой библиотекой готовых, поддерживаемых коннекторов.

Security Vision обеспечивает единый стандарт интеграции. Неважно, сколько разных вендоров используется в инфраструктуре — для SOAR это единый язык взаимодействия. Единая точка интеграции на стороне платформы упрощает жизнь всем участникам процесса:

• Для инженеров SOC: не нужно учиться работать с десятками разных интерфейсов, все воздействия происходят через единую панель.
• Для команд ИТ и ИБ: сохраняется полный контекст инцидента, данные не теряются при передаче между системами.
• Для взаимодействия с внешним центром мониторинга: ускоряется уведомление специалистов заказчика, так как система автоматически запускает согласованные сценарии реагирования во всех связанных системах защиты.

Кроме того, такая архитектура обеспечивает лучшую корреляцию с правилами, которые использует внешний центр мониторинга. Поскольку провайдер изучает инфраструктуру заказчика и подключает только те источники, которые важны для выявления инцидентов, перенос плейбуков в SOAR происходит точечно и с учетом всей фактуры. Это исключает потерю информации на стыках технологий и обеспечивает бесшовный процесс от алерта до закрытия инцидента.

CNews: Low-code архитектура в ИБ-инструментах: это реальный способ демократизации сложных процессов или маркетинговый ход? Насколько глубоко инженер SOC может кастомизировать логику реагирования без привлечения разработчиков вендора?

Михаил Шеховцов: На мой взгляд, low-code в ИБ – это уже давно не маркетинговая история. Конечно, многое зависит от самой платформы, но современные решения могут быть очень полезны на начальных этапах интеграции.

В нашей практике были проекты, где стандартных процессов не хватало, и мы полностью перестраивали сценарии реагирования под требования заказчика. Для этого вместе с его командой проектировали новую логику, настраивали карточки инцидентов, дорабатывали обработчики событий, меняли маршруты обработки и строили многоуровневые процессы с отдельными подпроцессами, чтобы система оставалась понятной и удобной в сопровождении. Без написания большого объема кода можно также настраивать интеграции с SIEM, Service Desk, CMDB, средствами защиты и другими системами, создавать собственные дашборды, отчеты и SLA-модели, автоматизировать уведомления и контроль сроков обработки инцидентов.

Сегодня SOC-инженер может самостоятельно кастомизировать значительную часть процессов реагирования и операционной работы, но стоит отметить, что каждый проект индивидуален. Участие разработчиков обычно требуется в нестандартных случаях, например, когда нужно реализовать уникальную интеграцию или функциональность.

Марина Громова: Low-code — это абсолютная реальность и необходимость, продиктованная дефицитом кадров. Он реально передает контроль над автоматизацией в руки инженеров SOC, которые лучше всех понимают логику расследования.

Инженер может самостоятельно менять условия срабатывания плейбуков при изменении инфраструктуры, добавлять новые шаги реагирования, а также при необходимости встраивать кастомные скрипты (Python, PowerShell) внутрь визуальных блоков для решения специфических задач.

Кроме того, Low-code открывает отличные возможности для визуализации. Мы можем гибко настраивать дашборды для руководства, отображая не просто технические метрики, а бизнес-показатели: SLA, время обнаружения (MTTD) и реагирования (MTTR), статистику отработанных инцидентов, их критичность и др. Это делает работу центра мониторинга прозрачной и понятной для бизнеса, что является важным преимуществом для обоснования затрат на безопасность.

И что особенно ценно — такие дашборды можно предоставлять руководству заказчика в удобном формате, демонстрируя реальную ценность услуг мониторинга и реагирования.

CNews: На что в первую очередь смотрят заказчики при выборе провайдера SOC? Являются ли возможности провайдера по интеграции и дальнейшему сопровождению средств автоматизации, в том числе SOAR – конкурентным преимуществом для компании?

Михаил Шеховцов: Заказчики смотрят на отзывы рынка и параметры сервиса, а также на подписанное ранее соглашение (SLA). Малые тайминги в показателях SLA без автоматизации достигаются только путем потери качества — от человеческой ошибки не застрахован никто, а повторение однотипных действий снижает эффективность работы, поэтому высокая степень автоматизации внешнего сервиса становится важным конкурентным преимуществом.

Заказчику к старту процесса автоматизации необходимо четко определить, какую именно операцию и с какой целью планируется оптимизировать, а также иметь общее представление о способах реализации. Наличие в штате ИБ-экспертов важно, но подключение провайдера с необходимой экспертизой значительно упрощает работу и сокращает суммарные расходы. Преимущество в современном мире получает команда, грамотно оптимизирующая рутину и использование ресурсов.

Марина Громова: При выборе провайдера заказчики оценивают два ключевых фактора: технологическую зрелость платформы и глубину экспертизы команды, которая с ней работает. Возможности по интеграции и профессиональному сопровождению средств автоматизации, включая SOAR, сегодня — это не просто «приятное дополнение», а существенное конкурентное преимущество.

Партнерство таких компаний, как «Бастион» и Security Vision, закрывает обе потребности рынка: мы объединяем передовые российские технологии оркестрации и богатую сервисную экспертизу в части разработки плейбуков, настройки СЗИ, выявления и расследования инцидентов. Для заказчика это означает возможность получить уровень кибербезопасности и скорости реакции, который ранее был доступен только финансовым гигантам, но в формате, адаптированном под задачи среднего и крупного бизнеса. Эта модель закрывает одну из главных «болей» рынка — кадровый голод, и позволяет бизнесу получать экспертизу уровня L3 без зависимости от текучки собственных специалистов, сохраняя при этом полную прозрачность и контроль над процессами.