Gartner наскоро въведе нова категория за оценка на инструменти за сигурност: Интегриран оперативен център за сигурност (Integrated Security Operations Center – ISOC). Въпреки че SIEM системите няма да изчезнат, бързо развиващият се пейзаж от заплахи налага промяна в логиката на индустрията, която се отразява в появата на тази нова категория.

В продължение на години SIEM доминираше като всеобхватна категория. Но SIEM системите вече не са достатъчни за събиране на данни, подпомагане на разследвания и управление на инциденти; вместо това SIEM се раздели на отделни архитектурни слоеве. SIEM платформите, които остават основната система за сигурност за събиране, нормализиране, търсене и анализиране на данни за събития, вече се разграничават от решенията за Интегриран оперативен център за сигурност (ISOC). Задачата на ISOC е да обедини откриването, разследването, управлението на казуси и реакцията в различните домейни за сигурност и потоци от данни за сигурност и наблюдаемост.

Тъй като изкуственият интелект дава нови възможности на атакуващите и се появяват все повече пейзажи от заплахи, това разслояване става съществено. Управлението на данни, анализите и оперативната реакция вече са отделни проблеми и в резултат на това изискват отделни решения. Именно тук ISOC намира своето място: да намали разходите, забавянето (латентността) и оперативното триене.

Целта на определянето на ISOC като нова категория е да се адаптира и оцени способността на даден доставчик да интегрира класическата SIEM логика с разширени възможности за откриване на заплахи, разследване и реакция (TDIR). Намалената сложност е от ключово значение особено за малките екипи, които приоритизират ефективността и оптимизираните работни процеси, а целта на ISOC е да намали триенето, което възниква при обединяването на голямо разнообразие от различни инструменти за сигурност с цел постигане на пълна видимост.

Накратко, ISOC адресира основния проблем, пред който е изправен всеки екип по сигурността днес. Вместо да се жонглира с набор от разединени инструменти от различни доставчици, един-единствен доставчик оптимизира процеса, предоставяйки гъвкаво и адаптивно, но същевременно цялостно и прозрачно решение за сигурност. Това дава на бизнеса ефективността и гъвкавостта да намали разходите, да съкрати времето за внедряване и да смекчи нарастващата сложност на SIEM системите.

Общите характеристики на ISOC, както пише Gartner, включват вградени услуги за откриване и реакция, управление на казуси при инциденти и разширено управление на приемането на данни. ISOC трябва да намали триенето между инструментите за сигурност и забавянето между данните, контекста, решението и действието. Реакциите със скоростта на машина са по-важни от всякога в епоха, в която атакуващите са въоръжени с най-модерните инструменти с изкуствен интелект.

Предизвикателствата със забавянето при вграденото откриване и реакция, собствеността върху данните за сигурност, управлението на казуси при инциденти, корелацията между домейни, автоматизацията и агентната реакция, както и отворената структура за приемане на данни и реакция, се превръщат в проблеми, които бизнесът не може да си позволи да пренебрегне.

Откриването и реакцията трябва да работят върху едни и същи основни данни за сигурност, а не чрез слабо свързани отделни продукти. Вградените контроли намаляват забавянето между сигнала, корелацията, разследването и действието. ISOC започва с контрол върху слоя с данни: приемане, нормализиране, обогатяване, съхраняване и предоставяне на телеметрия за откриване и логически изводи с изкуствен интелект. Ако платформата не контролира модела на данните, всеки следващ анализ или агент работи през интеграционни граници.

Сигналите за тревога, обектите, доказателствата, времевите линии и действията на анализаторите се събират в постоянен обект на инцидента. Казусът се превръща в оперативна единица за разследване и реакция, вместо отделните сигнали. Телеметрията от крайни точки, мрежи, идентичности, облачни услуги, приложения и трети страни трябва да бъде корелирана спрямо обща схема и контекстуален модел. Това позволява на слабите отделни сигнали да се превърнат в ясна картина на атаката с висока степен на сигурност.

Автоматизацията трябва да работи директно върху нормализирани данни и контекст на инцидента, позволявайки на AI агентите и сценариите за действие да разследват, обогатяват, препоръчват и изпълняват действия, без многократно да изграждат контекста наново. ISOC трябва да се свързва широко със съществуващата инфраструктура за сигурност, като същевременно свежда до минимум триенето при преобразуване на данни и работа с API.

Целта е обща равнина за данни и контрол, където инструментите на трети страни допринасят със сигнали и се превръщат в повърхности за реакция.

Поглед напред

С разрастването на пазара на SIEM, пазарният дял ще се раздели, за да включи доставчици на ISOC, които ще разширят своите предложения с покритие за управление на идентичности, облачни/SaaS услуги и сигурност на електронната поща.

Пазарът само отразява динамиката, която екипите по сигурността усещат от години и която се изостри експоненциално от възприемането на изкуствения интелект от злонамерените субекти. Простото натрупване на повече инструменти не е нито стратегическо, нито ефективно. А подходът с един доставчик е ключов за постигане на правилния баланс между ефективност и опростеност. Намирането на правилното портфолио от инструменти вече означава намиране на правилния доставчик.

Пазарът потвърждава това, което Stellar Cyber формулира: съвременните оперативни нужди изискват интегрирани, унифицирани възможности. От задаването на отворен стандарт за интеграция до включването на вградени AI възможности, ISOC средите са предназначени да опростят операциите без компромис с покритието или видимостта.

Предвиждането на ограниченията на фрагментираните стекове за сигурност води до изначално унифицирани оперативни платформи. Чрез нормализиране на необработени данни от всеки източник посредством технология за схеми с висок контекст, съвременните ISOC решения предоставят прецизните, консолидирани и готови за употреба резултати, които сега се очакват на пазара.

Оперативен център за сигурност с изкуствен интелект (AI SOC), който започва работа едва след сигнал от чужда система, вече е закъснял.

Stellar Cyber събира и нормализира телеметрия, открива подозрителна активност, корелира доказателства, изгражда казуси, разследва инциденти, приоритизира констатации и управлява реакцията от една и съща архитектура за сигурност. Това дава на хората и изкуствения интелект достъп до доказателствата зад сигнала за тревога – а не само до самия сигнал.