SOC: cos'è un Security Operation Center
Il SOC (Security Operation Center) è la struttura, interna o affidata a un fornitore, in cui analisti di sicurezza sorvegliano sistemi e reti, valutano gli allarmi e coordinano la reazione agli incidenti.
In breve
Un SOC è fatto di tre cose: persone che sanno leggere un allarme, processi che dicono cosa fare in ogni caso, strumenti che raccolgono i dati, come il SIEM e gli agenti sugli endpoint. Senza una delle tre il SOC non funziona: strumenti senza persone producono allarmi che nessuno legge, persone senza strumenti non vedono nulla.
Come funziona
Le attività tipiche sono:
- monitoraggio continuo degli eventi e degli allarmi;
- triage: separare i falsi positivi dagli eventi reali e assegnare una gravità;
- analisi e risposta: capire cosa sta accadendo e contenerlo, in collaborazione con chi gestisce i sistemi;
- threat hunting e uso della threat intelligence per cercare ciò che gli allarmi non mostrano;
- miglioramento: nuove regole di rilevamento, riduzione del rumore, rapporti periodici.
Molti SOC organizzano gli analisti su livelli: il primo livello smista gli allarmi, il secondo indaga, il terzo affronta i casi complessi e la caccia alle minacce.
Interno o esterno, 8/5 o 24/7
Un SOC interno, attivo giorno e notte, richiede diverse persone specializzate solo per coprire i turni: è un investimento fuori portata per la maggior parte delle PMI. L'alternativa è il SOC affidato a un fornitore, spesso venduto come servizio MDR. La scelta pratica riguarda la copertura: in orario lavorativo (8 ore, 5 giorni) o continua (24 ore, 7 giorni), e chi decide le azioni di contenimento.
Il SOC non coincide con il CSIRT: il primo sorveglia e rileva in modo continuo, il secondo si attiva per gestire l'incidente, con ruoli anche non tecnici. In molte organizzazioni lavorano a stretto contatto.
Attenzione a SOC 2
La sigla SOC 2 non ha niente a che fare con il Security Operation Center: è uno standard di audit statunitense (System and Organization Controls) sui controlli di un fornitore di servizi. Ne parliamo nella pagina SOC 2.
Esempio
Alle 22:40 arriva un allarme: un account del reparto amministrazione ha effettuato decine di accessi falliti alla posta e poi uno riuscito da un paese insolito. L'analista del SOC verifica che non si tratta di un viaggio di lavoro, segnala l'accaduto al referente dell'azienda e propone il blocco dell'account e il cambio della password. La mattina dopo l'azienda trova sul tavolo l'evento, le azioni fatte e quelle ancora da decidere.
Termini collegati
Dove lo trovi in Dottor Box
Dentro Dottor Marc opera un Security Operation Center che esegue direttamente il monitoraggio e la rilevazione. Dottor Box si offre in tre livelli cumulativi: Security Monitor, MDR + SOC con ticket 8/5, MDR + SOC 24/7 con numero di telefono dedicato.
SOC e MDR
Il Security Operation Center di Dottor Marc: monitoraggio, risposta gestita e, se serve, presidio 24 ore su 24.
Scopri di più VedereSIEM e XDR gestito
Log centralizzati, correlazione degli eventi e risposta sugli endpoint, con analisti che filtrano il rumore.
Scopri di più GovernareIncident Response e Data Breach
CSIRT, fasi di gestione dell'incidente e registro delle violazioni con i tempi di notifica.
Scopri di più