Awesome SOC

Un manuale operativo e una base di conoscenza per costruire, gestire e far maturare un SOC (incluso un CSIRT). Copre:

• nozioni di base sul SOC
• detection engineering
• threat intelligence
• metriche/KPI del SOC
• automazione del SOC
• casi d'uso dell'IA e best practice
• SOP (playbook del SOC)

Queste sono le mie opinioni, basate sulla mia esperienza come analista SOC/CSIRT e manager di team, nonché su documenti ben noti. L'attenzione è maggiormente rivolta al SOC che al CERT/CSIRT.

Il mio motto è: senza reazione (risposta), il rilevamento è inutile.

NB: in generale, qui SOC si riferisce all'attività di rilevamento, e CERT/CSIRT all'attività di risposta agli incidenti. CERT è un marchio registrato (in precedenza) statunitense ben noto, gestito da CERT-CC, ma preferisco il termine CSIRT poiché si riferisce precisamente alla risposta agli incidenti.

Indice

• Letture indispensabili
• Concetti fondamentali
• Mezzi mission-critical (strumenti/sensori)
• Interni/core del SOC
• IA (ML, LLM, GenAI, Agentic AI)
• Monitoraggio IT/sicurezza
• SOAR
• Detection engineering
• Threat intelligence
• Playbook/SOP
• Metriche del SOC (KPI/SLA)
• Gestione del SOC
• Risorse umane e formazione
• Architettura IT
• Per approfondire (passi successivi)
• Appendice

Letture indispensabili

Per un SOC

• Costruzione del SOC:
  • MITRE, 11 strategies for a world-class SOC (oppure usa il file locale): parte 0 (Fondamenti).
  • FIRST, Building a SOC
  • NCSC, Building a SOC
  • Gartner, SOC model guide
  • Splunk, State of Security 2025
  • Microsoft, Secure your business with 365
• Formazione per il colloquio SOC:
  • LetsDefend SOC analyst interview questions
• Gestione del SOC:
  • FIRST, ISO 27035 Practical value for CSIRT and SOCs
  • SANS, 2025 SOC survey
  • SOC CMM, SOC Metrics
  • Gartner, Market Guide for Managed Detection and Response
• Valutazione del SOC:
  • CMM, SOC-CMM
  • Rabobank CDC, DeTTECT
  • SANS, Continous purple teaming

Per un CERT/CSIRT

• Panoramica generale:
  • SANS, Incident Response
  • FlexibleIR, IR phases
• Costruzione del CSIRT:
  • FIRST, CERT-in-a-box
  • FIRST, CSIRT Services Framework
• Gestione della risposta agli incidenti di sicurezza:
  • ENISA, Good practice for incident management
  • EE-ISAC Incident Response whitepaper
  • LinkedIn Pulse, Security incident management according to ISO 27035
  • Microsoft/EY/Edelman, Incident response reference guide
  • Microsoft, IR lessons on cloud ID compromise
• Forense:
  • NIST, SP800-86, integration forensics techniques into IR
  • ForensicsArtefacts
  • ForensicsWiki
• Playbook e metodologia di risposta agli incidenti:
  • Kaspersky, Incident Response Playbook: Dark Web Breaches
  • CISA, Incident Response playbooks
  • CERT-SG, Incident Response Methodology