SOC intern, MSSP și MDR

În ecosistemul modern de securitate cibernetică, înțelegerea diferenței dintre un SOC intern, un MSSP (Managed Security Service Provider) și un MDR (Managed Detection and Response) este crucială pentru orice analist care dorește să colaboreze eficient cu echipele externe sau să construiască propria infrastructură. Aceste modele definesc nu doar cine execută monitorizarea, ci și nivelul de responsabilitate, viteza de reacție și costurile asociate. Pentru un viitor profesionist Blue Team, cunoașterea acestor distincții îți permite să navighezi mai bine în cerințele jobului și să înțelegi limitele propriilor instrumente versus serviciile externalizate.

Concepte cheie

• SOC Intern: Este o echipă de securitate angajată direct de organizație, care deține control total asupra datelor, proceselor și priorităților, oferind cea mai mare personalizare dar necesitând investiții majore în personal și tehnologie.
• MSSP: Furnizează servicii de gestionare a securității prin supraveghere continuă și răspuns la incidente, bazându-se adesea pe reguli statice și alerte predefinite, fiind ideal pentru companiile care doresc acoperire de bază la un cost fix.
• MDR: Merge dincolo de simpla monitorizare, oferind detecție avansată, investigare proactivă și remediere ghidată de către experți umani, reducând semnificativ timpul de răspuns la incidente complexe.
• Triaj (Triage): Procesul critic de filtrare a alertelor pentru a determina dacă sunt false pozitive sau amenințări reale, activitatea principală a unui junior SOC analyst în majoritatea structurilor.
• SLA (Service Level Agreement): Angajamentul contractual privind timpii de răspuns și rezoluție, esențial în relația cu MSSP/MDR pentru a asigura că incidentele critice sunt tratate cu prioritate maximă.
• Threat Intelligence: Contextul adăugat alertelor (IOCs, TTPs) care ajută analiștii să distingă între zgomot și atacuri țintite, diferind în profunzime între soluțiile automate și cele umane ale MDR.

Exemplu practic

Să presupunem că primești o alertă de la un SIEM intern: „Utilizatorul admin a încercat să acceseze un server finance de la o locație neobișnuită”.

Într-un SOC intern, tu verifici logurile locale, intervezi cu utilizatorul prin telefon pentru a confirma activitatea și, dacă este legitim, creezi un ticket de aprobare. Dacă este fraudulos, izolezi contul imediat conform procedurilor interne.

Într-un scenariu cu MSSP, ai trimite alerta către vendor. Ei vor verifica dacă IP-ul este cunoscut ca malicious în baza lor de date globală. Dacă nu, pot închide alerta ca „false positive” sau o pot escalada către tine pentru investigație suplimentară, în funcție de SLA.

În cazul MDR, analistul lor uman va investiga contextul complet: istoricul logurilor, comportamentul proceselor pe endpoint și posibilele semne de lateral movement, oferindu-ți un raport detaliat cu pași concreți de remediere, nu doar o alertă brută.

// Exemplu de alertă brută vs. context MDR
{
  "alert_id": "ALERT-9821",
  "source": "SIEM_Internal",
  "event": "Failed Login - Geo Anomaly",
  "mdr_enrichment": {
    "is_malicious": true,
    "reason": "IP associated with known C2 infrastructure",
    "recommended_action": "Isolate host immediately, reset credentials"
  }
}

Greșeli frecvente

1. Confundarea volumului cu valoarea: Credearea că primirea a 10.000 de alerte pe zi înseamnă o securitate bună, când de fapt 99% sunt zgomot nesupravegheat.
2. Ignorarea contextului business: Blocarea unui utilizator critic fără a verifica dacă activitatea sa este legitimă pentru departamentul său, cauzând downtime inutil.
3. Dependența excesivă de automatizare: Așteptarea ca tool-urile să rezolve totul, fără a înțelege logica din spatele alertelor, ceea ce duce la incapacitatea de a gestiona incidente noi (zero-day).
4. Lipsa documentării: Nu se notează pașii de investigație, făcând imposibilă reproductibilitatea în caz de incidente similare viitoare sau audit.

Întrebări de interviu

Care este diferența principală dintre un MSSP și un MDR? MSSP-ul oferă în principal monitorizare și alertare bazată pe reguli, în timp ce MDR include investigație proactivă și răspuns la incidente realizat de experți umani, oferind un nivel superior de context și acțiune.

Cum gestionezi o alertă de tip „False Positive” recurentă? O documentez, o analizez pentru a identifica cauza rădăcină, discut cu echipa de dezvoltare sau administrare pentru a ajusta configurația sau regula de detecție, și actualizez whitelist-ul dacă este necesar, evitând să o ignor pur și simplu.

De ce este importantă Threat Intelligence într-un SOC? Aceasta transformă alertele brute în informații acționabile, oferind context despre actorii de threat, tehnicile folosite și indicatorii de compromis, permițând analiștilor să prioritizeze corect și să răspundă mai rapid.

Exercițiu

Alocă 45 de minute pentru a analiza un set de 5 alerte simulate (poți genera date mock sau folosi un lab local). Pentru fiecare alertă, scrie un scurt rezumat de 2-3 rânduri care să includă: verdictul (True/False Positive), raționamentul bazat pe context și acțiunea recomandată. Scopul este să exersezi gândirea critică și triajul, nu doar cititul alertelor.