Con gli Stati-nazione, gli hacktivisti e altri attori malintenzionati che aumentano costantemente il ritmo e il livello di sofisticazione degli attacchi informatici, molte organizzazioni raggiungono un punto di svolta quando si rendono conto di non essere più in grado di monitorare, Detect e rispondere adeguatamente alle minacce. Alla fine, creano una struttura centralizzata che consente ai team di sicurezza di condividere informazioni e collaborare in materia di difesa e risposta, comunemente denominata “centro operativo di sicurezza” (SOC).
La centralizzazione della sicurezza accelera la capacità di un’organizzazione di Detect e rispondere agli attacchi informatici, ma la creazione di un SOC non può avvenire senza una certa riflessione e un certo impegno.
Per potenziare le operazioni di sicurezza e creare un SOC agile in modo rapido ed efficiente, Endpoint ha intervistato tre esperti.
«I SOC non sono soluzioni chiavi in mano», afferma Wim Remes, CEO e fondatore della società di consulenza Wire Security. «Non si tratta di acquistare una serie di dispositivi tecnologici, mettere un gruppo di persone davanti alle tastiere e poi aspettarsi che il SOC funzioni», afferma. «Si tratta innanzitutto di sviluppare le capacità essenziali, per poi migliorare e ampliare progressivamente le capacità del SOC nel corso del tempo.»
Fissate i vostri obiettivi
"I SOC non hanno sempre gli stessi obiettivi iniziali", afferma Gal Shpantzer, cofondatore della società di consulenza virtuale in materia di sicurezza informatica Security Outliers. Per capire quali siano gli obiettivi di un’organizzazione, egli raccomanda di porre alcune domande:
- Chi sono i primi clienti del SOC?
- L’obiettivo è fornire dashboard ai dirigenti, garantire la conformità normativa o gestire la risposta agli incidenti relativi all’ ?
- Quali sono le aspettative in materia di monitoraggio, avvisi, analisi e risposta?
Per rispondere a questo tipo di domande, sarebbe forse meglio affidarsi alla saggezza collettiva dell’organizzazione nel suo complesso. Ecco perché le interviste con diverse parti interessate possono aiutare a individuare gli obiettivi.
«. Non si tratta di… mettere un gruppo di persone alle tastiere e poi aspettarsi che il SOC funzioni.»Wim Remes, CEO e fondatore di Wire Security
«Gli architetti e gli ingegneri della sicurezza dovrebbero condurre colloqui con le varie unità aziendali per individuare in che modo queste desiderino interagire e comunicare con i team addetti alle operazioni di sicurezza», afferma Michael Lyborg, vicepresidente senior per la sicurezza globale e l’IT aziendale presso Swimlane, società che fornisce consulenza alle aziende in materia di automazione delle operazioni di sicurezza.
«Proceda quindi a ritroso, individuando i risultati desiderati, gli obiettivi relativi all’esperienza utente, le azioni di risposta e gli schemi di notifica.»
Effettuare un'analisi delle lacune
La vostra organizzazione potrebbe già disporre internamente di alcune delle competenze necessarie per raggiungere i vostri obiettivi, afferma Remes. Il passo successivo consiste nell’ , individuare le aree in cui la vostra organizzazione è forte e quelle che necessitano di miglioramenti.
Forse l’organizzazione è già efficiente nella gestione delle vulnerabilità e dispone di un pannello di controllo della sicurezza efficiente che fornisce informazioni dettagliate sugli eventi in corso. D'altra parte, potrebbero mancare funzionalità di ricerca delle minacce ( ) e di risposta agli incidenti. Una volta individuate le lacune, potrete elaborare un piano per colmarle internamente o ricorrendo a risorse esterne.
Assumete i talenti giusti
Tra le funzionalità essenziali di un SOC figurano il monitoraggio e i test di sicurezza, la definizione delle priorità degli avvisi, la risposta agli incidenti, l’amministrazione della sicurezza, le misure correttive, la ricerca proattiva delle minacce, la ricerca e altro ancora. Queste competenze vanno ben oltre il semplice insieme di strumenti: coinvolgono la mente che opera dietro la tastiera.
Le persone di cui avete bisogno potrebbero già far parte della vostra organizzazione, ma operare in settori correlati quali l’amministrazione di sistema o la sicurezza.
L'assunzione interna può spesso rivelarsi una buona scelta. «Comprendere l’ambiente è fondamentale, poiché non è possibile reagire in un ambiente che non si conosce», afferma Remes. «Non sarete efficienti quanto persone che, pur avendo minori competenze in materia di sicurezza, conoscono effettivamente l’organizzazione.»
A seconda della natura dell’ambiente tecnologico aziendale, il SOC dovrà essere composto da membri del team dotati di una varietà di competenze. Potrebbero essere richieste competenze in ogni ambito, dai moderni sistemi operativi ai mainframe, dai sistemi legacy alle architetture cloud.
Integrare i flussi di dati essenziali
Un SOC rappresenta fondamentalmente uno strumento per analizzare e gestire il flusso di dati proveniente da tutta l’organizzazione. Per un nuovo SOC, i flussi di dati iniziali dovrebbero provenire dai sistemi più sensibili e critici per l’attività aziendale.
Lyborg di Swimlane consiglia ai dirigenti impegnati nella creazione di un SOC di nuova costituzione di tenere in considerazione la tipologia e la tassonomia dei dati. È inoltre importante creare un modello di dati comune per accelerare l’integrazione degli strumenti e semplificare la mappatura delle informazioni. In genere, i dati provengono non solo dalle suite di strumenti di sicurezza, ma anche dai server e dagli endpoint , , da diversi ambienti cloud, dai sistemi on-premise, dalle operazioni di rete e infrastrutturali e dai sistemi di gestione delle identità.
Per mappare le fonti di dati, Shpantzer consiglia di valutare dove si trovano fisicamente: «Si trovano in locale? Si trovano in sistemi cloud? E dispongo delle competenze necessarie in materia di ingegneria dei dati, sia internamente che tramite consulenti, per creare sostanzialmente ciò che alcuni definirebbero una “data pipeline”, al fine di acquisire tali log provenienti da vari metodi, sia tradizionali che moderni?”
Adottate gli strumenti più recenti
La soluzione più sensata consiste nel mettere in funzione innanzitutto un solido insieme di funzionalità fondamentali e partire da lì per sviluppare ulteriormente il sistema. Per un nuovo SOC, integri innanzitutto il monitoraggio della sicurezza e il rilevamento degli eventi nelle Sue capacità di risposta. Una volta messi a punto gli elementi fondamentali, è il momento di valutare l’aggiunta di funzionalità più avanzate, quali l’ , il threat hunting, il red teaming, l’analisi forense e la threat intelligence, tra le altre specializzazioni.
In un sondaggio intitolato “ 2021 ” (), il SANS Institute ha rilevato che i SOC utilizzano più comunemente strumenti e tattiche quali le reti private virtuali (VPN), la gestione delle informazioni e degli eventi di sicurezza (SIEM), la sicurezza della posta elettronica, i sistemi anti-malware, la correzione delle vulnerabilità, il rilevamento e la risposta basati su host, i firewall, i sistemi di rilevamento delle intrusioni (IDS) e i sistemi di prevenzione delle intrusioni (IPS). Da questa serie di strumenti emerge che la maggior parte degli intervistati era interessata a garantire la sicurezza delle proprie comunicazioni SOC, assicurando al contempo il monitoraggio delle minacce, la prevenzione degli attacchi e la risposta agli incidenti.
Decidete cosa esternalizzare
Considerando che milioni di posti di lavoro nel settore della sicurezza informatica rimangono vacanti, potrebbe risultare più pratico ed economico per le organizzazioni esternalizzare le attività che non possono essere facilmente assegnate internamente.
«Gli architetti e gli ingegneri della sicurezza dovrebbero condurre colloqui con le varie unità aziendali per individuare le modalità con cui queste desiderano interagire e comunicare con i team delle operazioni di sicurezza.»Michael Lyborg, vicepresidente senior per la sicurezza globale e l’IT aziendale presso Swimlane
Dal sondaggio condotto da SANS è emerso che il 38% degli intervistati gestisce il proprio SOC internamente per 24 ore al giorno; il 15% affida interamente il proprio SOC a fornitori esterni; e il 31% ricorre a una combinazione di monitoraggio interno ed esterno. Per contenere i costi, il 16% non gestisce il proprio SOC 24/7.
Spesso le organizzazioni non dispongono di un carico di lavoro sufficiente a tenere occupati gli specialisti dedicati. Molti, pertanto, ricorrono all’esternalizzazione di competenze specialistiche in base alle esigenze. Secondo quanto emerso dal sondaggio condotto dal SANS, tra le attività più frequentemente affidate a fornitori esterni figurano i test di penetrazione, le simulazioni di attacchi (red teaming), l’analisi forense e l’intelligence sulle minacce.
Impegnatevi a raggiungere una maturità continua
Una volta che un SOC è operativo, la priorità si sposta sull’aggiunta di funzionalità, sul perfezionamento di quelle già esistenti e sull’ottimizzazione delle operazioni nel corso del tempo. Un quadro di riferimento basato sulle migliori pratiche può aiutare a identificare immediatamente le capacità essenziali e a valutare il livello di maturità. Tra i framework più diffusi figurano il Cybersecurity Framework del National Institute of Standards and Technology (CSF del NIST ), il framework ATT&CK di Mitre e il modello di capacità e maturità SOC (SOC-CMM).
In generale, un SOC raggiunge la maturità man mano che vengono aggiunte ulteriori funzionalità, che un numero crescente di operazioni può essere automatizzato, che la sicurezza copre una quota sempre maggiore delle risorse critiche dell’organizzazione e che le minacce vengono classificate in ordine di priorità e mitigate in base al rischio aziendale.
«È importante non aspettarsi troppo in così poco tempo», afferma Remes. «Non sarà una questione di premere semplicemente un interruttore.» «Inizierete con operazioni di base e molto manuali, per poi passare, col tempo, a procedure più strutturate e automatizzate.»
In breve: non lasciate che il perfetto sia nemico del buono. Dopotutto, la creazione di un team agile dedicato alle operazioni di sicurezza è una maratona che segue lo sprint iniziale.
