Awesome SOC

Оперативное руководство и база знаний для построения, эксплуатации и развития SOC (включая CSIRT). Охватывает:

• основы SOC
• инженерию обнаружения
• киберразведку
• метрики/KPI SOC
• автоматизацию SOC
• сценарии использования ИИ и лучшие практики
• SOP (плейбуки SOC)

Это моё видение, основанное на собственном опыте аналитика SOC/CSIRT и руководителя команды, а также на известных публикациях. Акцент сделан больше на SOC, чем на CERT/CSIRT.

Мой девиз: без реакции (реагирования) обнаружение бесполезно.

Примечание: в целом здесь SOC относится к деятельности по обнаружению, а CERT/CSIRT — к деятельности по реагированию на инциденты. CERT — это широко известная (ранее) торговая марка США, управляемая CERT-CC, но я предпочитаю термин CSIRT, поскольку он точно относится к реагированию на инциденты.

Содержание

• Обязательно к прочтению
• Фундаментальные концепции
• Критически важные средства (инструменты/сенсоры)
• Внутреннее устройство/ядро SOC
• ИИ (ML, LLM, GenAI, Agentic AI)
• IT/безопасность: мониторинг
• SOAR
• Инженерия обнаружения
• Киберразведка
• Плейбуки/SOP
• Метрики SOC (KPI/SLA)
• Управление SOC
• HR и обучение
• IT-архитектура
• Идём дальше (следующие шаги)
• Приложение

Обязательно к прочтению

Для SOC

• Построение SOC:
  • MITRE, 11 стратегий для SOC мирового класса (или используйте локальный файл): часть 0 (Основы).
  • FIRST, Построение SOC
  • NCSC, Построение SOC
  • Gartner, Руководство по модели SOC
  • Splunk, Состояние безопасности 2025
  • Microsoft, Защитите свой бизнес с помощью 365
• Подготовка SOC к собеседованию:
  • LetsDefend Вопросы для собеседования аналитика SOC
• Управление SOC:
  • FIRST, Практическая ценность ISO 27035 для CSIRT и SOC
  • SANS, Обзор SOC 2025
  • SOC CMM, Метрики SOC
  • Gartner, Руководство по рынку управляемого обнаружения и реагирования
• Оценка SOC:
  • CMM, SOC-CMM
  • Rabobank CDC, DeTTECT
  • SANS, Непрерывный purple teaming

Для CERT/CSIRT

• Общий обзор:
  • SANS, Реагирование на инциденты
  • FlexibleIR, Фазы реагирования на инциденты
• Построение CSIRT:
  • FIRST, CERT-in-a-box
  • FIRST, CSIRT Services Framework
• Управление реагированием на инциденты безопасности:
  • ENISA, Хорошие практики управления инцидентами
  • EE-ISAC Белая книга по реагированию на инциденты
  • LinkedIn Pulse, Управление инцидентами безопасности согласно ISO 27035
  • Microsoft/EY/Edelman, Справочное руководство по реагированию на инциденты
  • Microsoft, Уроки реагирования на инциденты: компрометация облачных идентификаторов
• Форензика:
  • NIST, SP800-86, интеграция форензических техник в реагирование на инциденты
  • ForensicsArtefacts
  • ForensicsWiki
• Плейбуки и методология реагирования на инциденты:
  • Kaspersky, Плейбук реагирования на инциденты: утечки из даркнета
  • CISA, Плейбуки реагирования на инциденты
  • CERT-SG, Методология реагирования на инциденты