🤦🏽 🍃 👷🏻 एक दूरस्थ साइट पर एसओसी। क्या सोचने लायक है? 👦🏾 👨🏿‍✈️ 🤴🏾

एक एसओसी विश्लेषक, जब उन्होंने उसे घर से काम करने के लिए स्थानांतरित करने का फैसला किया, तो एक पवित्र प्रश्न पूछा: "मैं अपनी प्रेमिका और उसकी बिल्ली के साथ odnushka में रहता हूं, जिसे मैं (एक बिल्ली के रूप में, लड़की नहीं) एलर्जी से एलर्जी है। उसी समय, हमारे पास केवल एक मेज है, जिस पर हम भोजन करते हैं, और अतिरिक्त-साधारण समय में, मेरी लड़की उस पर चित्र बनाती है, वह कपड़े की एक फैशन डिजाइनर-डिजाइनर है। और आप मुझे 3 मॉनिटर लगाने के लिए कहां से आदेश देते हैं कि मुझे अस्थायी रूप से काम करने की अनुमति दी गई थी? " खैर, चूंकि यह SOC (सिक्योरिटी ऑपरेशंस सेंटर) के कर्मचारियों को रिमोट साइट पर ट्रांसफर करते समय उठने वाले कई सवालों में से एक है, इसलिए मैंने अपना अनुभव साझा करने का फैसला किया; विशेष रूप से विचारअभी हमारे ग्राहकों में से एक के लिए हम सिर्फ एक साइबर सुरक्षा निगरानी केंद्र (एसओसी) को खरोंच से डिजाइन कर रहे हैं और उसने अपने जूते बदलने का फैसला किया और अपने विश्लेषकों और घर से घटना की जांच विशेषज्ञों के काम की संभावना को ध्यान में रखने के लिए कहा।

एक महामारी में, कई कंपनियों को उनके कर्मचारियों के भाग को दूरस्थ कार्य में स्थानांतरित करना या स्थानांतरित करना आवश्यक था। इस और एसओसी विशेषज्ञों का कटोरा पास नहीं हुआ। हालांकि, यह तुरंत ध्यान दिया जाना चाहिए कि घरेलू नियामकों, उनकी आवश्यकताओं के अनुसार, आउटसोर्सिंग एसओसी के निषिद्ध विशेषज्ञ जो अपने ग्राहकों को घर से काम करने से सेवाएं प्रदान करते हैं, क्योंकि आईएस निगरानी के लिए लाइसेंस प्राप्त करने के लिए शर्तों में से एक (और एक वाणिज्यिक एसओसी एक लाइसेंस प्राप्त गतिविधि का प्रकार है) केवल प्रावधान का पता नहीं था। सेवाएं, लेकिन इसकी सूचना प्रणाली का प्रमाणीकरण भी, जो किसी दूरस्थ साइट पर आपातकालीन संक्रमण के लिए भी असंभव बनाता है (और आपातकालीन एक भी नहीं)। सही है, हमारे राज्य में, कानूनी आईएस शून्यवाद और निरीक्षण करने के लिए एक अस्थायी इनकार,आप इस बारीकियों को अनदेखा कर सकते हैं - व्यवसाय की आवश्यकताएं और लोगों के जीवन और स्वास्थ्य के संरक्षण इस मामले में बहुत अधिक महत्वपूर्ण हैं। विशेष रूप से इस तथ्य पर विचार करते हुए कि साइबर अपराधियों ने अपनी गतिविधि को कम नहीं किया। इसके अलावा, उन्होंने कोरोनावायरस के विषय को ध्वज पर उठाया और घर पर उपयोगकर्ताओं पर हमला करना शुरू कर दिया, जो अपने स्वयं के उपकरणों पर छोड़ दिए गए थे और सामान्य से भी एक कमजोर लिंक बन गए थे। इसलिए, एक दूरस्थ साइट पर एसओसी (या सूचना सुरक्षा निगरानी) का विषय कई कंपनियों के लिए काफी प्रासंगिक हो जाता है। खैर, चूंकि सिस्को ने काफी संख्या में एसओसी बनाने और ऑडिट में मदद की, और हमारे अपने एसओसी "वर्चुअल एसओसी" मॉडल पर 10 से अधिक वर्षों से काम कर रहे हैं, हमने कई युक्तियों को संचित किया है जिन्हें हम साझा करना चाहते हैं।उन्होंने कोरोनावायरस के विषय को ध्वज में उठाया और घर पर उपयोगकर्ताओं पर हमला करना शुरू कर दिया, जो अपने स्वयं के उपकरणों पर छोड़ दिए गए और सामान्य से भी कमजोर लिंक बन गए। इसलिए, एक दूरस्थ साइट पर एसओसी (या सूचना सुरक्षा निगरानी) का विषय कई कंपनियों के लिए काफी प्रासंगिक हो जाता है। खैर, चूंकि सिस्को ने काफी संख्या में एसओसी के निर्माण और ऑडिट में मदद की है, और हमारे अपने एसओसी "वर्चुअल एसओसी" मॉडल पर 10 से अधिक वर्षों से काम कर रहे हैं, हमने कई युक्तियों को संचित किया है जिन्हें हम साझा करना चाहते हैं।उन्होंने कोरोनावायरस के विषय को ध्वज में उठाया और घर पर उपयोगकर्ताओं पर हमला करना शुरू कर दिया, जो अपने स्वयं के उपकरणों पर छोड़ दिए गए और सामान्य से भी एक कमजोर लिंक बन गए। इसलिए, एक दूरस्थ साइट पर एसओसी (या सूचना सुरक्षा निगरानी) का विषय कई कंपनियों के लिए काफी प्रासंगिक हो जाता है। खैर, चूंकि सिस्को ने काफी संख्या में एसओसी के निर्माण और ऑडिट में मदद की है, और हमारे अपने एसओसी "वर्चुअल एसओसी" मॉडल पर 10 से अधिक वर्षों से काम कर रहे हैं, हमने कई युक्तियों को संचित किया है जिन्हें हम साझा करना चाहते हैं।और हमारे अपने एसओसी "वर्चुअल एसओसी" मॉडल पर 10 से अधिक वर्षों से काम कर रहे हैं, हमने कई युक्तियों को संचित किया है जिन्हें हम साझा करना चाहते हैं।और हमारे अपने एसओसी "वर्चुअल एसओसी" मॉडल पर 10 से अधिक वर्षों से काम कर रहे हैं, हमने कई युक्तियों को संचित किया है जिन्हें हम साझा करना चाहते हैं।

लेकिन मैं रिमोट मॉनिटरिंग और घटना की जांच की तकनीकी विशेषताओं के साथ नहीं शुरू करना चाहूंगा, हम उनके बारे में नीचे बात करेंगे, लेकिन हम अक्सर भूल जाते हैं। घर से दूरसंचार को भाग या एसओसी के सभी विश्लेषकों को स्थानांतरित करने में मुख्य समस्या मानव कारक से संबंधित है। यहां तक कि अगर आपने सभी प्रक्रियाओं का निर्माण किया है, और टूलकिट आपको सिएम या एसओएआर कंसोल से कनेक्ट करने और दूरस्थ उपयोगकर्ताओं के कंप्यूटर से दूरस्थ रूप से कलाकृतियों को इकट्ठा करने की अनुमति देता है, तो यह ऐसे लोग हैं जो एसओसी में सबसे कमजोर कड़ी बन सकते हैं जिन्होंने अपने स्थापित स्थानों को छोड़ दिया है।

माइंडफुलनेस और तनाव

अध्ययनों के अनुसार, होमवर्क में स्थानांतरण से उत्पादकता में 15% की कमी आती है (एक व्यक्ति आधिकारिक कर्तव्यों को निभाने में अधिक समय खर्च कर सकता है, लेकिन क्या यह प्रभावी है?)। तनाव और बेचैनी (अगर बच्चे इधर-उधर भाग रहे हैं, और एक पड़ोसी ने अचानक दीवार के बाहर मरम्मत करने का फैसला किया), साथ ही जब पत्नी खाना बनाती है तो ध्यान केंद्रित करने में असमर्थता होती है या दोस्त एक ही कमरे में योग करते हैं, चौकसता कम करते हैं। और सपना है कि ऐसा लगता है? कार्यालय में काम करते हुए, आप अभी भी उसके साथ किसी भी तरह से निपट सकते हैं, लेकिन घर पर होने के नाते, एक सो रहे व्यक्ति के साथ एक गर्म और आकर्षक बिस्तर देखकर, यह बहुत मुश्किल है। और यह इस तथ्य के बावजूद कि रात में किसी भी व्यक्ति का प्रदर्शन बस विनाशकारी रूप से गिरता है।

इसलिए, एसओसी विशेषज्ञों की प्रभावशीलता को मापना बहुत महत्वपूर्ण हो जाता है। रिमोट काम आराम कर रहा है और हर कोई इसके लिए तैयार नहीं है। दूरस्थ काम करते समय एसओसी कर्मचारियों को अपने व्यवहार को बदलने की आवश्यकता होती है। और उनके प्रबंधकों को प्रत्येक विश्लेषक के प्रदर्शन की निगरानी करने की आवश्यकता होती है और जब वे सीमा मूल्यों से परे जाते हैं, तो समय पर जवाब देते हैं। और यह "काम करने के लिए एक घटना लेने के औसत समय" या "किसी घटना की प्रतिक्रिया / स्थानीयकरण का औसत समय" के बारे में नहीं है, बल्कि विकसित प्लेबुक के ढांचे के भीतर प्रत्येक चरण या कार्य को मापने के बारे में है। मान लीजिए कि आपके पास संदिग्ध उपयोगकर्ता गतिविधि का विश्लेषण करने के लिए एक प्लेबुक है और इसके लिए औसत प्रतिक्रिया समय (एक पल से एक संकेत केएमईएम में प्राप्त होता है और एक खाते को फ्रीज़ करने के लिए, एक संगरोध VLAN में एक नोड रखकर और अन्य नोड्स और उपयोगकर्ताओं के लिए खोज किया जाता है)जो पीड़ित से संबंधित हो सकता है) आपको लगभग 28 मिनट लगते हैं। आप दूरस्थ रूप से काम की घटनाओं के आंकड़ों को देखते हैं और आप देखते हैं कि यह संकेतक 19 से 37 मिनट की सीमा में थोड़ा कूदता है, लेकिन औसतन यह 28 मिनट है कि यह विश्लेषकों के संचालन के मोड में बदलाव से पहले था। सब कुछ ठीक लग रहा है।

लेकिन अगर आपके पास प्लेबुक के सभी व्यक्तिगत चरणों / कार्यों की निगरानी करने का अवसर था, तो आप देखेंगे कि संकेतक की पहचान के लिए पारंपरिक 1-3 मिनट के बजाय, TI प्लेटफ़ॉर्म में उन्हें जाँचने के लिए 1-3 मिनट, निर्णय लेने के लिए 1-2 मिनट, खाते को फ्रीज करने के लिए 3 मिनट, आदि, अलार्म प्राप्त करने के तुरंत बाद आपका विश्लेषक उपयोगकर्ता और उसकी साइट को संगरोध में रखता है, या यहां तक कि बिना जांच के घटना को अगले स्तर पर, L2 विश्लेषकों को भेजता है। और, लगभग 9-10 मिनट के लिए, यह बिल्कुल स्पष्ट नहीं है कि विश्लेषक क्या कर रहा था। या तो वह खुद को कॉफी डालने के लिए रसोई में चली गई, या उसने टीवी पर समाचार देखने का फैसला किया, या शायद वह सिर्फ टहलने के लिए, बालकनी में चली गई। लेकिन आपकी घटना विशिष्ट मीट्रिक से मिलती है। इसलिए, जब रिमोट काम पर स्विच किया जाता है, तो एसओसी की प्रभावशीलता का आकलन करने के लिए मौजूदा मैट्रिक्स को संशोधित करना आवश्यक है।

वर्णित मामले में, वैसे, एक और समाधान स्वचालन उपकरण की शुरूआत हो सकती है जो अधिकांश मैनुअल कार्यों को समाप्त कर देती है और प्लेबुक में लिखे गए को स्वचालित कर देती है। लेकिन यह दूरस्थ कार्य की परवाह किए बिना किया जा सकता है - एसओएआर प्लेटफॉर्म सिर्फ एसओसी विश्लेषकों के काम को स्वचालित करने के लिए डिज़ाइन किए गए हैं और न केवल घटनाओं की जांच और प्रतिक्रिया की प्रक्रिया को तेज करते हैं, बल्कि उनके साथ काम की प्रभावशीलता को मापने के लिए एक उपकरण भी है। इसलिए, सिस्को ने एक नया और निशुल्क सूचना सुरक्षा प्रबंधन प्लेटफ़ॉर्म विकसित किया है - सिस्को सिक्योरएक्स, जिसका कार्य घटना प्रतिक्रिया प्रक्रिया सहित कई सिस्को समाधानों के प्रबंधन (और अन्य निर्माताओं से सैकड़ों) को स्वचालित करना है।

टीम वर्क

एसओसी लगभग हमेशा टीम वर्क होता है। एक विशिष्ट एसओसी में, इसके विशेषज्ञ तंग जगहों पर कंधे से कंधा मिलाकर काम करते हैं और जब वे रिमोट काम पर स्विच करने के लिए मजबूर होते हैं, तो तुरंत कठिनाइयां पैदा होती हैं, जिसके लिए एसओसी अक्सर तैयार नहीं होता है। वैसे, यह कानून की आवश्यकताओं द्वारा भी सुविधाजनक है, जो एसओसी को एक निश्चित कमरे में एक लाइसेंस प्राप्त गतिविधि के रूप में मानते हैं, जैसा कि मैंने ऊपर उल्लेख किया है। रूस में वर्चुअल या मोबाइल एसओसी की अवधारणा बहुत स्वीकार्य नहीं है, खासकर जब सूचना सुरक्षा और घटना की प्रतिक्रिया की निगरानी के लिए सेवाएं प्रदान करते हैं (अपने स्वयं के प्रयोजनों के लिए, निश्चित रूप से, आप अपने किसी भी उपलब्ध आर्किटेक्चर का उपयोग करके एसओसी का निर्माण कर सकते हैं)। रिमोट टीमवर्क एक नई चुनौती है जिसका आपको अभी भी उपयोग करने की आवश्यकता है। एसओसी के इस पहलू के लिए क्या देखना है।

अनुसूची

समीक्षा करें और संभवतः अपनी शिफ्ट अनुसूची को संशोधित करें। प्रत्येक विश्लेषक को न केवल उसकी भूमिका और उसके कार्य का शेड्यूल पता होना चाहिए, बल्कि सही विशेषज्ञ से संपर्क करने या उसे बदलने में सक्षम होने के लिए अन्य टीम के सदस्यों की भूमिका और अनुसूची भी, किसी कारण से, वह काम करने के लिए नहीं आया है (इसके अलावा) अस्पताल में प्रवेश, आप अनिवार्य आत्म-अलगाव / क्लासिक ऑक्सीमोरोन के नियमों का उल्लंघन करने के लिए 15 दिनों के लिए प्रशासनिक गिरफ्तारी के तहत प्राप्त कर सकते हैं / जब आप बस पास के तालाब पर टहलने जाते थे)। वैसे, यदि आपका विश्लेषक एक देश के घर में काम कर रहा है और उसकी बिजली या इंटरनेट अचानक से कट गया है, तो निश्चित रूप से उसे एक आभासी "ट्रून्सी" रिकॉर्ड करने की आवश्यकता नहीं है, लेकिन उसे अपने दूरस्थ कार्य केंद्र के पुनर्प्राप्ति समय के साथ बदलने के लिए तैयार रहना चाहिए।लेकिन उपरोक्त कारणों के अलावा, चीजों का एक पूरा गुच्छा हो सकता है जिन्हें ध्यान में रखा जाना चाहिए - पड़ोसियों ने बाढ़, आग लगाई, किसी प्रियजन को अस्पताल ले जाना जरूरी है, आदि। और यह सब पहली और दूसरी पंक्ति के विश्लेषकों के लिए सबसे पहले ध्यान में रखा जाना चाहिए, जिनके लिए कार्यस्थल पर एक स्थायी प्रवास सबसे अधिक प्रासंगिक है।

सलाह

एसओसी पदानुक्रम के निचले स्तरों पर कर्मियों के काफी उच्च रोटेशन की शर्तों के तहत, नए लोगों पर अधिक अनुभवी सहयोगियों का उल्लेख करना उनमें व्यापक है। वे सलाह के साथ मदद करते हैं, देखभाल करते हैं, समर्थन करते हैं। और इसे एक दूरस्थ साइट पर कैसे करें? कैसे अपने उपकरणों के लिए छोड़ दिया एक शुरुआती मदद करने के लिए? उत्तर सरल है - सही और निरंतर संचार !!!

संचार योजना

दूरस्थ कार्य में संचार इसकी प्रभावशीलता के सबसे महत्वपूर्ण तत्व बन जाते हैं। इसके अलावा, संचार न केवल एक विशेष घटना की जांच का हिस्सा है, बल्कि "बस उस तरह" भी है। 15 मिनट के लिए इकट्ठा करने और विचारों, विचारों का आदान-प्रदान करने के लिए दिन में दो बार; एक तनावपूर्ण स्थिति में एक दूसरे का समर्थन करें (और जो कोई भी कुछ भी कहता है, लेकिन वर्तमान स्थिति ठीक तनाव है जो हमारी क्षमताओं और क्षमताओं को नकारात्मक रूप से प्रभावित करता है)। हमारे एसओसी विश्लेषकों ने हमेशा ऐसा किया है, लेकिन सामान्य कर्मचारियों ने "आभासी कॉफी ब्रेक" की प्रथा हाल ही में शुरू की है। जैसा कि अनुभव से पता चलता है, कई लोगों को वास्तव में सहकर्मियों के साथ संचार की कमी है; और यहां तक कि अंतर्मुखी विश्लेषकों कोई अपवाद नहीं हैं।

यदि आपके पास पहले से ही संचार योजना है, तो आपको इसका विश्लेषण करना चाहिए और, सबसे अधिक संभावना है, इसकी समीक्षा करें। इसमें कम से कम शामिल होना चाहिए:

, , — e-mail , . /wiki SOC, ( ).
. , , , . , ? ? ( , IVR), , ?
, , , , « » « ». . Cisco, , Cisco Webex Teams, , . , .
- , . , , SOC, . grid card, , .
FAQ - RACI , / /use case.
, war room CSIRT , . , , , . « ?», . .
. , , SOC, , -? ? ? , , — .

?

एक जांच के दौरान, सबसे मूल्यवान संसाधन समय है। इसे बर्बाद मत करो। दूरस्थ जांचकर्ता एक दूसरे के काम की नकल कर सकते हैं वे विभिन्न समूहों और संचार के साधनों में एक ही चर्चा दोहरा सकते हैं। संदेशवाहक, जो अक्सर एक घटना के हिस्से के रूप में संवाद करने के लिए उपयोग किया जाता है, उदाहरण के लिए, व्हाट्सएप, इस कार्य के लिए बहुत उपयुक्त नहीं हैं, क्योंकि वहां दस्तावेजों और कलाकृतियों को खोजना और काम करना बहुत मुश्किल है; खासकर जब एक चैट में आपके पास बहुत सारी अलग-अलग घटनाएं होती हैं और उनके बीच भ्रम की स्थिति शुरू होती है। प्रत्येक घटना के लिए अलग चैट बनाने से समस्या हल हो सकती है, लेकिन मैं इस पथ को सुविधाजनक नहीं कह सकता। फिर भी, दूत इस कार्य के लिए डिज़ाइन नहीं किए गए हैं। इसके अलावा, आपके लिए व्यक्तिगत लोगों से सेवा चैट अलग करना मुश्किल होगा,और आप बाहरी प्रबंधन सर्वरों पर भी निर्भर हो जाएंगे, जिसका संचालन बाधित हो सकता है यदि कोई भी सरकारी एजेंसी एक बार फिर सशर्त टेलीग्राम के साथ संघर्ष करना शुरू कर देती है, या यदि संदेशवाहक का निर्माता कई समूहों या चैट में एक साथ पोस्टिंग पर प्रतिबंध लगाता है, तो लड़ना फर्जी खबरों के साथ

घटना के ढांचे के भीतर प्रभावी संचार के लिए, आपके द्वारा उपयोग किया जाने वाला समाधान डेस्कटॉप पर चैट, फ़ाइल साझाकरण और दूरस्थ पहुंच को व्यवस्थित करने में सक्षम होना चाहिए। उदाहरण के लिए, वीबेक्स टीम्स का उपयोग करके, आप इसमें प्रत्येक घटना के लिए एक अलग स्थान बना सकते हैं, जहाँ आप न केवल सभी आवश्यक साक्ष्य एकत्र कर सकते हैं, बल्कि घटना में शामिल सभी प्रतिभागियों के साथ संवाद भी कर सकते हैं। और चैटबॉट लिखने और सुरक्षा उपकरणों के साथ वीबेक्स टीमों को एकीकृत करने की क्षमता के कारण, आप तुरंत प्राप्त कलाकृतियों की जांच और समृद्ध कर सकते हैं।

यदि आप वीबेक्स टीम्स का उपयोग नहीं करते हैं, तो एक समान विचार लागू किया जा सकता है, उदाहरण के लिए, निम्न लिंक पर: एक विशिष्ट घटना के लिए एक अलग स्लैक चैनल (और एक सामान्य संचार चैनल, जिसे सभी घटनाओं के लिए एक तरह के सूचकांक के रूप में इस्तेमाल किया जा सकता है), चर्चा के लिए ज़ूम रूम (आप इसके लिए एक भुगतान किया हुआ खाता होना चाहिए और यदि आप इस सेवा की निरंतर आईबी समस्याओं से भ्रमित नहीं हैं) और नोट एकत्र करने के लिए Confluence पेज। फिर, घटना सारांश जानकारी आईआरपी में दर्ज की जाती है, जो या तो कई जीरा या विशेष घटना प्रबंधन समाधानों से परिचित हो सकती है।

बुद्धिशीलता के लिए व्हाइटबोर्डिंग

क्या आपके SOC में मंथन बोर्ड है? मुझे लगता है कि यह है। दूरस्थ कार्य के लिए, आपको व्हाइटबोर्ड की आवश्यकता हो सकती है - ऐसा फ़ंक्शन संचार के विभिन्न साधनों में उपलब्ध है। आप दूर से सहयोगियों के साथ विचारों को आकर्षित और साझा कर सकते हैं। और यदि आपने टीम के कार्यों को नियंत्रित करने के लिए कानबन बोर्डों का उपयोग किया है, तो आपको रिमोट उपयोग की आवश्यकता होगी, उदाहरण के लिए, ट्रेलो यदि आपके पास कॉर्पोरेट समाधान नहीं है। लेकिन जब टीमवर्क के लिए क्लाउड-आधारित समाधानों का उपयोग करते हैं, तो उचित एक्सेस अधिकारों को कॉन्फ़िगर करना न भूलें ताकि बाहरी लोग आपकी सुरक्षा समस्याओं के बारे में न सीखें और जांच और प्रतिक्रिया प्रक्रिया में हस्तक्षेप न कर सकें।

दूर का कमरा

आपने निर्णय लिया कि SOC विश्लेषक दूरस्थ रूप से काम करेंगे। और आप जानते हैं कि यह न केवल तकनीकी रूप से, बल्कि मनोवैज्ञानिक और संगठनात्मक रूप से भी करना है। लेकिन, क्या आपने खुद से पूछा, क्या आपके एसओसी विश्लेषकों का अपना अपार्टमेंट है या एक छात्रावास में रहता है? आपकी पहली पंक्ति के विश्लेषक कौन हैं? उच्च श्रेणी के विशेषज्ञ SOC में कई वर्षों से काम कर रहे हैं और स्पैरो हिल्स पर अपना पेंटहाउस बना रहे हैं? या ये हाल ही में छात्रों को माँ, पिताजी और छोटे भाई-बहनों के साथ रहने वाले हैं? आपके एसओसी में, आप उन्हें एक कार्यस्थल और तीन मॉनिटर प्रदान कर सकते हैं ताकि "हिस्टैक में सुई" की निगरानी की जा सके। क्या आपके विश्लेषक के पास घर पर 3 या कम से कम दो मॉनिटर के लिए जगह है? और अगर उसका भाई PlayStation में उससे एक मीटर की दूरी पर कट जाता है और उसे "जलती हुई रबड़" या "डूबा हुआ लाश" की आवाज़ से विचलित करता है? यदि जगह की कमी के कारण विश्लेषक घर से काम करने में असमर्थ है,आपको शिफ़्ट की संरचना और शेड्यूल में परिवर्तन करने की आवश्यकता होगी।

विश्लेषकों के लिए काम की सुविधा और आराम सुनिश्चित करना भी महत्वपूर्ण है। कॉर्पोरेट SOC में, आप सही प्रकाश व्यवस्था, शोर अलगाव, reverb, एयर कंडीशनिंग, आरामदायक कुर्सियाँ, आदि चुनने के लिए बहुत प्रयास और संसाधन खर्च कर सकते हैं। लेकिन घर पर अक्सर, अफसोस, हमारे पास ऐसी विलासिता नहीं है। और इसलिए, हमें और अधिक बारीकी से निगरानी करने की आवश्यकता है कि विश्लेषकों का प्रदर्शन पहले कैसे बदल गया है (यदि, निश्चित रूप से, आपने उन्हें एकत्र किया है) और एक दूरस्थ साइट के लिए जाने के बाद। और उनका विश्लेषण करने के बाद, उचित निष्कर्ष निकालें। अन्यथा, दूरस्थ एसओसी एक "कद्दू" में बदल जाएगी - ऐसा लगता है, लेकिन यह अपनी समस्या को हल नहीं करता है, क्योंकि विश्लेषक बस अपने स्वयं के अपार्टमेंट में काम करने में असमर्थ हैं।

और यह मत भूलो कि जिस कमरे में पर्याप्त संवेदनशील जानकारी प्रसारित होती है, उसकी भौतिक सुरक्षा भी महत्वपूर्ण है।

एसओसी वास्तुकला

एक महामारी में, आपकी सुरक्षा घटनाओं में वृद्धि होगी। सबसे पहले, आपको अपने वीपीएन क्लस्टर या रिमोट एक्सेस क्लस्टर्स पर सक्रिय रूप से निगरानी रखनी होगी, जिसके माध्यम से उपयोगकर्ता कॉर्पोरेट नेटवर्क के भीतर अनुप्रयोगों और डेटा से जुड़ेंगे या जो बाहरी क्लाउड सेवाओं के लिए उपयोगकर्ता ट्रैफ़िक को "आगे" करेंगे। दूसरे, आपको क्लाउड वातावरण की निगरानी करने की आवश्यकता हो सकती है यदि आईटी सेवा ने अस्थायी रूप से या पहले से ही कुछ डेटा और कुछ अनुप्रयोगों के प्रसंस्करण को बादलों में स्थानांतरित करने का निर्णय लिया है। और अंत में, आपके पास विभिन्न प्रणालियों का एक बढ़ता हुआ चिड़ियाघर है जो उपयोगकर्ताओं के साथ घर पर हैं जो सुरक्षा घटनाओं को उत्पन्न करना शुरू कर देंगे और जिसका विश्लेषण करना होगा। लेकिन वह सब नहीं है।

SOC से रिमोट कनेक्शन

सिएम, आईआरपी / एसओएआर, टिकटिंग, टीआई प्लेटफॉर्म ... क्या उनके पास एक सुरक्षित कनेक्शन के माध्यम से रिमोट कंसोल से कनेक्ट करने की क्षमता है (वे कितने भाग्यशाली हैं जो क्लाउड एसओसी / एसईजीएस का उपयोग करते हैं, जहां अंतर्निहित फ़ंक्शन है)? यदि नहीं, तो आपको आरडीपी / वीडीआई या वीपीएन के माध्यम से भेजे गए अन्य कनेक्शन विधियों के माध्यम से रिमोट एक्सेस के साथ विकल्प पर विचार करने की आवश्यकता है (इस स्थान पर मोबाइल या वर्चुअल एसओसी लागू करने की संभावना के बारे में सोचने का समय)। अंत में, आपके पास SOC टूल के साथ काम करने के लिए एक विशेष वर्चुअल मशीन, LiveCD या LiveUSB हो सकता है; यद्यपि हमने लगभग अंतिम विकल्प कभी नहीं देखे थे - यह उपयोगकर्ताओं के लिए अपने घर के कंप्यूटरों से काम करने के लिए किया जाता है, जब कॉर्पोरेट अनुप्रयोगों और घर वालों को अलग करना आवश्यक होता है जिनके साथ आपके रिश्तेदार काम करते हैं।

हमारी राय में, VDI (लेकिन वीपीएन के माध्यम से भी) एक्सेस कंट्रोल के दृष्टिकोण से और संवेदनशील जानकारी के साथ काम करने के लिए सबसे अच्छा विकल्प होगा, लेकिन अगर सही तरीके से कॉन्फ़िगर किया गया है तो सीधे एक्सेस भी पूरी तरह से काम करने का विकल्प है। दोनों मामलों में, न केवल बहु-कारक प्रमाणीकरण का उपयोग करना आवश्यक है, बल्कि सूचना सुरक्षा (इंस्टॉल किए गए पैच, पासवर्ड सुरक्षा सेटिंग्स, एंटीवायरस या EDR की उपस्थिति, आदि) की आवश्यकताओं के अनुपालन के लिए कनेक्टिंग पीसी एनालिटिक्स की जांच करना भी सुनिश्चित करें। यदि आपके पास परिधि पर एक सिस्को एएसए है या नेटवर्क के अंदर एक सिस्को आईएसई तैनात है, तो आप उन पर इस तरह की जांच की व्यवस्था कर सकते हैं। हम अनुशंसा करते हैं कि आप कॉर्पोरेट SOC से कनेक्ट होने वाले कंप्यूटर पर विभाजित टनलिंग को अक्षम करें। यह ज्यादा सुरक्षित होगा; और एक दूरस्थ साइट पर आम उपयोगकर्ताओं के लिए भी।

और यह स्पष्ट करना न भूलें कि क्या आईबी की पवित्रता को प्राप्त करने के लिए कंपनी की ओर सीमा उपकरणों के एसीएल में परिवर्तन आवश्यक हैं? ACL में परिवर्तन करने की सामान्य प्रक्रिया क्या है? क्या यह एक लंबी अनुमोदन प्रक्रिया लेगा, और यहां तक कि आवेदन पर हस्तलिखित हस्ताक्षर की आवश्यकता होगी? अब हस्ताक्षर एकत्र करने और मालिकों के बीच चलाने की असंभवता की स्थिति में अपनी कार्य क्षमता को देखते हुए अपनी सभी नीतियों और निर्देशों को संशोधित करना एक अच्छा विचार होगा। और यहां तक कि अगर आपके पास एक इलेक्ट्रॉनिक दस्तावेज़ प्रबंधन प्रणाली है, तो यह मुद्दों के शीघ्र समाधान के लिए कितनी अच्छी तरह से अनुकूलित है?

दूरस्थ पीसी पर दूरस्थ जांच

जांचकर्ता इस तथ्य के आदी हैं कि वे घटना में शामिल कर्मचारी के पास आ सकते हैं और उसके कंप्यूटर से सभी लॉग / मेमोरी डंप / और अन्य कलाकृतियों को हटा सकते हैं। लेकिन इसे दूर से कैसे करें? कोई व्यक्ति दूरस्थ विशेषज्ञों का उपयोग करता है, आईटी विशेषज्ञों से परिचित है, कोई आरडीपी, कोई व्यवसाय के लिए स्काइप या अन्य उपकरण। मुख्य बात यह है कि इन उपकरणों की सुरक्षात्मक कार्यक्षमता को सही ढंग से कॉन्फ़िगर करने के लिए मत भूलना और आईटी / आईएस कर्मचारियों के लिए प्रमाणीकरण प्रक्रिया पर कर्मचारियों के साथ सहमत होना दूरस्थ रूप से कनेक्ट कर रहा है (ठीक है, कानूनी पहलुओं के बारे में मत भूलना, जैसा कि बाद में चर्चा की जाएगी)। कोई मुफ्त में जीआरआर, ऑस्क्वेरी, बिल्ट-इन सीसमॉन या ऑटोरन यूटिलिटी या कमर्शियल एनकैस (एंडपॉइंट के लिए सिस्को एएमपी के उपयोगकर्ता) को चिंता करने की ज़रूरत नहीं है - उनके पास सिस्को ऑर्बिटल जैसा एक उपकरण है जो रिमोट जांच करता है)।कुछ मामलों में, आप उपयोगकर्ताओं को आवश्यक स्क्रिप्ट चलाने के लिए सिखा सकते हैं, जो स्वयं आवश्यक साक्ष्य एकत्र करेंगे और विश्लेषण के लिए इसे सुरक्षित रूप से एसओसी को हस्तांतरित करेंगे। आपके लिए खुद तय करना महत्वपूर्ण है, इन उपकरणों को पहले से स्थापित किया जाना चाहिए (कॉर्पोरेट उपकरणों के लिए कॉर्पोरेट ओएस छवि पर उन्हें सभी अनुप्रयोगों के साथ प्रीइंस्टॉल्ड करने में कोई समस्या नहीं है) या उन्हें किसी भी समस्या के मामले में स्थापित करने की आवश्यकता है। हालांकि, बाद के मामले में, एक जोखिम है कि ऐसा करने से हम हमलावर को पता चल जाएगा कि उसकी गतिविधि का पता चला है और वह अपने शिकार को "छोड़" सकता है, साथ ही साथ उसके द्वारा छोड़े गए सभी निशान मिटा देगा। यह एक मुश्किल सवाल है, जो निश्चित रूप से, "एशोर" को हल किया जाता है, न कि एक दूरस्थ घटना की जांच करने की प्रक्रिया में।जो स्वयं आवश्यक साक्ष्य एकत्र करेगा और विश्लेषण के लिए सुरक्षित रूप से एसओसी को हस्तांतरित करेगा। आपके लिए खुद तय करना महत्वपूर्ण है, इन उपकरणों को पहले से स्थापित किया जाना चाहिए (कॉर्पोरेट उपकरणों के लिए कॉर्पोरेट ओएस छवि पर उन्हें सभी अनुप्रयोगों के साथ प्रीइंस्टॉल्ड करने में कोई समस्या नहीं है) या उन्हें किसी भी समस्या के मामले में स्थापित करने की आवश्यकता है। हालांकि, बाद के मामले में, एक जोखिम है कि ऐसा करने से हम हमलावर को पता चल जाएगा कि उसकी गतिविधि का पता चला है और वह अपने शिकार को "छोड़" सकता है, साथ ही साथ उसके द्वारा छोड़े गए सभी निशान मिटा देगा। यह एक मुश्किल सवाल है, जो निश्चित रूप से, "एशोर" को हल किया जाता है, न कि एक दूरस्थ घटना की जांच करने की प्रक्रिया में।जो स्वयं आवश्यक साक्ष्य एकत्र करेगा और विश्लेषण के लिए सुरक्षित रूप से एसओसी को हस्तांतरित करेगा। आपके लिए खुद तय करना महत्वपूर्ण है, इन उपकरणों को पहले से स्थापित किया जाना चाहिए (कॉर्पोरेट उपकरणों के लिए सभी अनुप्रयोगों के साथ कॉर्पोरेट ओएस छवि पर उन्हें प्रीइंस्टॉल्ड करने में कोई समस्या नहीं है) या उन्हें किसी भी समस्या के मामले में स्थापित करने की आवश्यकता है। हालांकि, बाद के मामले में, एक जोखिम है कि ऐसा करने से हम हमलावर को पता चल जाएगा कि उसकी गतिविधि का पता चला है और वह अपने शिकार को "छोड़" सकता है, साथ ही साथ उसके द्वारा छोड़े गए सभी निशान मिटा देगा। यह एक मुश्किल सवाल है, जो निश्चित रूप से, "एशोर" को हल किया जाता है, न कि एक दूरस्थ घटना की जांच करने की प्रक्रिया में।इन उपकरणों को पहले से स्थापित किया जाना चाहिए (कॉर्पोरेट उपकरणों के लिए सभी अनुप्रयोगों के साथ कॉर्पोरेट ओएस छवि पर उन्हें स्थापित करने में कोई समस्या नहीं है) या उन्हें किसी भी समस्या के मामले में स्थापित किया जाना चाहिए। हालांकि, बाद के मामले में, एक जोखिम है कि ऐसा करने से हम हमलावर को पता चल जाएगा कि उसकी गतिविधि का पता चला है और वह अपने शिकार को "छोड़" सकता है, साथ ही साथ उसके द्वारा छोड़े गए सभी निशान मिटा देगा। यह एक मुश्किल सवाल है, जो निश्चित रूप से, "एशोर" को हल किया जाता है, न कि एक दूरस्थ घटना की जांच करने की प्रक्रिया में।इन उपकरणों को पहले से स्थापित किया जाना चाहिए (कॉर्पोरेट उपकरणों के लिए सभी अनुप्रयोगों के साथ कॉर्पोरेट ओएस छवि पर उन्हें प्रीइंस्टॉल्ड करने में कोई समस्या नहीं है) या उन्हें किसी भी समस्या के मामले में स्थापित किया जाना चाहिए। हालांकि, बाद के मामले में, एक जोखिम है कि ऐसा करने से हम हमलावर को पता चल जाएगा कि उसकी गतिविधि का पता चला है और वह अपने शिकार को "छोड़" सकता है, साथ ही साथ उसके द्वारा छोड़े गए सभी निशान मिटा देगा। यह एक मुश्किल सवाल है, जो निश्चित रूप से, "एशोर" को हल किया जाता है, न कि एक दूरस्थ घटना की जांच करने की प्रक्रिया में।बेशक, एक दूरस्थ घटना की जांच करने की प्रक्रिया के बजाय "आश्रय" को हल करना बेहतर है।बेशक, एक दूरस्थ घटना की जांच करने की प्रक्रिया के बजाय "आश्रय" को हल करना बेहतर है।

मुझे लगता है कि मैं दूरस्थ जांच और साक्ष्य संग्रह पर अलग-अलग सामग्री के साथ लौटूंगा, लेकिन अब मैं केवल उन कई प्रश्नों का उल्लेख करता हूं, जिन्हें आपको दूरस्थ जांच में उत्तर देने के लिए तैयार रहने की आवश्यकता है:

घर, मोबाइल और कॉर्पोरेट रिमोट डिवाइस तक कैसे पहुंचें? घरेलू उपकरणों की चिड़ियाघर की स्थिति में, यह प्रश्न उतना सरल नहीं है जितना लगता है। यह मोबाइल उपकरणों के लिए विशेष रूप से सच है, जिसे जांच उपायों की भी आवश्यकता हो सकती है।
सूचना सुरक्षा के लॉग और डेटा का उपयोग कैसे करें और दूरस्थ उपकरणों पर सामान्य लॉग और कलाकृतियों की हमें क्या आवश्यकता है? उन्हें चुनिंदा तरीके से कैसे इकट्ठा किया जाए?
क्या आपको जांच और प्रतिक्रिया के लिए प्रशासनिक रिमोट एक्सेस की आवश्यकता है, उदाहरण के लिए, सेवा खाते, sudo, SSH कुंजियाँ? क्या मुझे रिमोट एक्सेस के लिए घर के राउटर पर एसीएल में बदलाव करने की आवश्यकता है (और यदि वे सेवा प्रदाता द्वारा प्रदान और प्रबंधित किए जाते हैं)?
क्या जांच और साक्ष्य उपकरणों के संचालन के लिए अनुप्रयोगों के श्वेतसूची में संशोधन करना आवश्यक है?
जांच और सबूत संग्रह के लिए उपकरण को दूरस्थ रूप से कैसे स्थापित करें?
जब जांच के लिए दूरस्थ उपकरणों को चालू किया जाता है तो कैसे ट्रैक किया जाए?
आप पीड़ित के साथ कैसे संवाद करेंगे?

इन सवालों के जवाब मौजूदा बुनियादी ढांचे, इस्तेमाल किए गए उपकरणों, सिस्टम और एप्लिकेशन सॉफ़्टवेयर के लिए कॉर्पोरेट मानकों की उपलब्धता, साथ ही कर्मचारियों को घर से काम करने के लिए व्यक्तिगत उपकरणों का उपयोग करने का अधिकार पर निर्भर हैं।

आउटसोर्सिंग सेवा प्रदाता

शायद एक महामारी में, आप अस्थायी रूप से एक आउटसोर्स एसओसी और एक एमडीआर प्रदाता की सेवाओं का उपयोग करने का निर्णय लेते हैं। इसके अलावा, आप उनसे अब छूट प्राप्त कर सकते हैं :-) लेकिन यह समझना अधिक महत्वपूर्ण है कि आपके वर्तमान आउटसोर्सिंग अनुबंध या अनुबंध आपके विश्लेषकों के दूरस्थ कार्य को ध्यान में रखते हैं? MSSP / MDR / TIP / CERT / FinCERT / GosSOPKA अपने कर्मचारियों से अपने व्यक्तिगत फोन या ई-मेल पते से संदेश स्वीकार करते हैं? क्या वे कॉरपोरेट आईपी पते से नहीं पहुंच को ब्लॉक करते हैं? क्या विभाजित टनलिंग का उपयोग करके, कॉर्पोरेट वीपीएन के माध्यम से बाहरी प्रदाताओं से डैशबोर्ड से कनेक्ट करना संभव है?

कानूनी आवश्यकताएं

मैंने पहले ही FSTEC की सीमाओं के कारण एक वाणिज्यिक SOC के दूरस्थ संचालन की असंभवता के बारे में लिखा था। लेकिन ऐसे कई विषय हैं जिन्हें दूर से संचालित किए जाने वाले एसओसी को याद रखना चाहिए। क्या आप एक ताज़ा मज़ाक जानते हैं? “मेरे बच्चे घर पर पढ़ते हैं। मैं स्कूल प्रशासन से नए पर्दे, पेंटिंग की दीवारों और फर्नीचर की मरम्मत के लिए पैसे दान करने के लिए कहता हूं। ”तो कई देशों में एक प्रथा है जहां कर्मचारी अपार्टमेंट और घर के कंप्यूटर को काम के उपकरण के रूप में इस्तेमाल करने के लिए नियोक्ता से मुआवजे की मांग करने लगते हैं। मुझे लगता है कि रूस में यह हमें अभी तक धमकी नहीं देता है, लेकिन उदाहरण खुद काफी संकेत है।

यह संभावना नहीं है कि एसओसी कर्मचारियों को व्यक्तिगत कंप्यूटर (हालांकि ....) से अपने आधिकारिक कर्तव्यों को निभाने की पेशकश की जाती है, लेकिन साधारण कर्मचारी घरेलू उपकरणों से कॉर्पोरेट संसाधनों से आसानी से जुड़ सकते हैं। और इसलिए, एक वैध सवाल उठता है - किस कानूनी आधार पर नियोक्ता को कर्मचारी के दूरस्थ और व्यक्तिगत कंप्यूटर तक पहुंच प्राप्त करने, जांच करने, कलाकृतियों को इकट्ठा करने, आदि का लाभ मिलता है? क्या आपके पास रोजगार अनुबंध में एक कर्मचारी की निगरानी या इसके लिए एक अतिरिक्त समझौते में कंपनी के अधिकार पर एक खंड है? क्या इस तरह की निगरानी के ढांचे के भीतर क्या संभव है और क्या नहीं किया जा सकता है, इस पर एक विस्तृत नियमन है। यदि नहीं, तो आप लागू कानून का उल्लंघन कर रहे हैं और कर्मचारी को आपके व्यक्तिगत डिवाइस तक पहुंचने का प्रयास करने पर आपको भेजने का पूर्ण अधिकार है। डीएलपी एजेंटों की स्थापना या होम कंप्यूटर पर टाइम ट्रैकिंग टूल के लिए भी यही बात लागू होती है।

और यह मत भूलो कि आपका एसओसी कुछ अंतरराष्ट्रीय सूचना सुरक्षा प्रबंधन मानक के दायरे में आ सकता है (उदाहरण के लिए, रूस में कई एसओसी पहले ही आईएसओ 27001 प्रमाणीकरण पारित कर चुके हैं)। विचार करें कि आपको अपने दूरस्थ एसओसी के साथ कैसे ऑडिट किया जाएगा? आप कर्मचारियों के अपार्टमेंट में ऑडिटर का नेतृत्व नहीं करेंगे। या करोगे? ।।

निष्कर्ष

रूस, और सीआईएस देशों सहित आईएस के निगरानी केंद्रों में सुधार के लिए डिजाइनिंग, ऑडिटिंग और विकासशील योजनाओं के दौरान हमें क्या करना है, इसके बारे में ये रेखाचित्र हैं। यह कहना नहीं है कि ये सभी युक्तियां संभव नहीं हैं या महत्वपूर्ण वित्तीय, समय और मानव लागतों की आवश्यकता है। इनमें से कई को लागू करना आसान है। मुख्य बात यह नहीं है कि इन मुद्दों को ब्रेक पर फिसलने दें, क्योंकि उन्हें अनदेखा करने से न केवल दूरस्थ कार्य के दौरान घटनाओं की जांच के लिए समय बढ़ सकता है, बल्कि उन्हें लंघन भी हो सकता है। इसके अलावा, यह मत सोचो कि वर्तमान महामारी एक अस्थायी घटना है और जल्द ही सब कुछ बाहर निकल जाएगा। यदि संगठन गंभीरता से व्यवसाय की निरंतरता के बारे में सोचता है और जानता है कि स्थिति को कई कदम आगे की गणना कैसे करें, तो हम समझेंगे कि COVID-19 सिर्फ एक संकेत है; एक संकेत है कि स्थिति को अगले सर्दियों में दोहराया जा सकता है।इसलिए, "स्लेज को गर्मियों में तैयार किया जाना चाहिए।" किसी भी मामले में, ऊपर वर्णित युक्तियां साधारण एसओसी जीवन में भी अधिक नहीं होंगी।

खतरा। और वैसे, विश्लेषकों के वहां लौटने से पहले मुख्य एसओसी परिसर को पवित्र करना न भूलें।

एक दूरस्थ साइट पर एसओसी। क्या सोचने लायक है?