Kæden fra log til handling
Arbejdet følger en fast kæde.
Indsamling. Logs og telemetri fra servere, pc’er, netværk, cloudtjenester og Microsoft 365 samles ét sted, typisk i et SIEM-system.
Detektion. Regler, trusselsefterretninger og adfærdsanalyse markerer det mistænkelige. Et logon fra et uventet land. En proces, der krypterer filer. En bruger, der pludselig henter gigabytes data.
Triage. En analytiker vurderer, om alarmen er reel.
Respons. Ved bekræftede hændelser bliver maskiner isoleret og konti spærret. Gerne automatisk via XDR, inden mennesket overhovedet har set alarmen.
Læring. Hændelsen dokumenteres, og detektionen bliver bedre.
Forskellen på med og uden SOC måles i tid. Uden overvågning bliver et indbrud opdaget efter uger eller måneder, ofte først når løsesumsbeskeden lander. Med en SOC taler vi minutter til timer.
Hvem der har brug for en
Flere end dem, der har en i dag.
I er i målgruppen, hvis I er omfattet af NIS2 eller DORA, som begge kræver evnen til at opdage og håndtere hændelser. Eller hvis I håndterer persondata eller forretningskritiske systemer, hvor nedetid og læk rammer hårdt. Eller hvis I leverer til omfattede virksomheder og det offentlige og møder krav i udbud. Eller hvis jeres cyberforsikring stiller krav om detektion og respons, hvilket bliver mere og mere almindeligt.
Størrelse afgør ikke behovet. Angriberne skelner ikke. Automatiserede angreb rammer en virksomhed med 20 ansatte lige så villigt som en koncern.
Egen SOC eller managed SOC?
En intern SOC med døgndækning kræver mindst otte til ti dedikerede medarbejdere alene til vagtplanen. Det er urealistisk under flere hundrede ansatte.
Derfor vælger SMV’er og kommuner en managed SOC, hvor overvågningen, analysen og responsen leveres som en tjeneste, mens I beholder ejerskabet til beslutningerne. I betaler en forudsigelig månedspris i stedet for tre årsværk og får adgang til specialister, ingen enkelt SMV kan rekruttere selv. Hos os hedder det systemovervågning.