Al giorno d’oggi, è quasi impossibile negare la necessità di un sistema di sicurezza informatica. Le minacce informatiche possono concretizzarsi creando dei veri e propri incidenti in azienda, con gravi conseguenze a livello economico, legale e di immagine. Gli incidenti di sicurezza possono riguardare non solo le risorse IT, ma anche il personale stesso. Un SOC si inserisce proprio in questo contesto, fornendo un sistema di controllo completo della sicurezza informatica di un’azienda.
Un SOC (Security Operation center) è un centro operativo tramite il quale vengono garantiti i servizi di gestione, analisi, monitoraggio e difesa della sicurezza IT di un’azienda. Attraverso un team di professionisti, un SOC analizza l’intero flusso dei dati ed esercita un controllo su tutti i dispositivi aziendali, compresi quelli cloud e di terze parti, individuando e contrastando gli attacchi e le minacce alla cyber security prima che abbiano un impatto sull’azienda.
Un Security Operation Center può quindi occuparsi, nel dettaglio, di:
Potremmo quindi dire che il SOC è responsabile di garantire la sicurezza delle informazioni aziendali.
Vi sono differenti funzioni che un Security Operation Center può ricoprire. Alcune rientrano nella mission principale di un SOC. Altre appartengono a una visione più evoluta del contesto dinamico e complesso della cyber security, e sono di fatto dei servizi aggiuntivi, che spesso si confondono con le aree di competenza del CERT (Computer Emergency Response Team), come vedremo in seguito.
In generale, possiamo dire che un SOC è preposto al monitoraggio, alla gestione delle vulnerabilità riscontrate, al risanamento e a trovare risposta a eventuali incidenti rilevati. Tra i principali servizi offerti, troviamo:
Innanzitutto, un SOC di livello 1 deve rilevare anomalie all’interno dei flussi di dati fra l’esterno e l’interno dell’azienda. Si tratta dell’attività centrale di un Security Operation Center, che si identifica tipicamente nelle 3 attività di:
Tutte queste attività, a partire dalla raccolta delle informazioni sul traffico dei dati riguardanti server, sistemi di sicurezza, impianti IT dell’azienda, vengono effettuate attraverso i SIEM (Security Information and Event Management). Il SIEM si occupa di aggregare dati significativi provenienti da tutte queste fonti per stabilire in tempo reale analisi e correlazioni e individuare comportamenti anomali o segnali critici. In questo caso, i SIEM inviano degli alert, aiutando gli analisti a rintracciare tempestivamente gli eventuali incidenti di sicurezza.
Si tratta quindi di un servizio che include raccolta e analisi dei dati, combinate ad attività di monitoraggio e rilevamento di possibili incidenti di sicurezza. Incidenti a cui il SOC può offrire supporto rivolgendosi al team di Incident Response.
L’Incident Response (IR), anche chiamato SOC di livello 2, è un servizio che sfocia nella sfera operativa presa in prestito dal CERT (Computer Emergency Response Team) o dal CSIRT (Computer Security Incident Response Team).
Gli esperti di IR analizzano le segnalazioni del SOC di livello 1 e le integrano con altre informazioni di Threat Intelligence in loro possesso e con dati relativi agli asset IT coinvolti nell’incidente, come configurazioni, processi gestiti o altro. Tutto questo fornendo infine assistenza nelle procedure di recovery dagli incidenti di sicurezza informatica individuati dal SOC 1.
Una volta raccolte tutte le informazioni necessarie, infatti, gli specialisti IR definiscono l’attività di risanamento e la gestiscono lavorando in sinergia sia con i responsabili dei sistemi IT sia con gli analisti del SOC di livello 1. Questo lavoro di squadra permette di risolvere problematiche molto specifiche e di suggerire agli esperti del SOC i cambiamenti da effettuare sui sistemi di sicurezza e di monitoraggio per farsi trovare pronti di fronte a future nuove minacce e rischi.
Il servizio di Vulnerability Assessment offerto da un SOC è attribuito ad un livello 3, più specializzato nell’analisi proattiva. L’obiettivo è quello di esaminare la sicurezza di applicazioni, database, network, computer, attraverso una serie di Penetration test. Grazie a questi test, è possibile stimare i rischi della sicurezza e del rispetto le normative, come il GDPR, prevenendo danni reputazionali ed economici ed evitando la paralisi del lavoro.
L’insieme degli ulteriori servizi attribuibili ad un SOC può essere molto ampio, e dipende dalla centralità che il SOC ricopre all’interno dell’azienda. Oggi, infatti, il ruolo del Security Operation Center si è sviluppato sempre di più, inglobando al suo interno attività non propriamente tipiche del SOC.
Per questo è necessario fare un ulteriore approfondimento, parlando meglio della simbiosi tra SOC e CERT.
Non si può parlare di SOC senza citare i Computer Emergency Response Team (CERT).
I CERT sono unità funzionali sorte direttamente dal bisogno di gestire situazioni di crisi nel digitale. Come abbiamo accennato poco fa, la loro sfera d’azione si accosta alle tradizionali funzioni di risposta all’incidente (response), di cui talvolta si appropriano anche i SOC più evoluti (SOC di livello 2).
Ma un CERT non è solo questo: nel tempo, il campo di azione si è ampliato e dalla semplice risposta all’incidente è passato alla readiness, ovvero la capacità di fornire nuovi standard di attività, servizi e funzioni per far sì che la sicurezza di un’organizzazione sia pronta a schivare futuri attacchi cibernetici. La readiness agisce quindi come prevenzione del problema, e la response come contrattacco o rimedio appena il rischio di una minaccia si concretizza in un incidente di sicurezza.
In realtà, come abbiamo detto, molti centri operativi per la sicurezza sono stati potenziati con servizi e attività prese in prestito dalle funzioni del CERT. In ogni caso, non c’è dubbio che SOC e CERT hanno molti punti in comune e, anzi, la loro sinergia può essere fortemente strategica. Ne è un esempio proprio la gestione del SIEM: una tecnologia che è sì gestita dal Security Operation Center ma che sfrutta le funzioni di readiness del CERT nel riconoscere e rilevare tecniche e tattiche in uso da criminali informatici e gruppi hacker.
Un altro esempio è l’attività di Threat Intelligence, altro baluardo del CERT che viene talvolta attribuita al SOC: ulteriore dimostrazione dei punti di contatto e della forte sinergia fra le due sfere del Computer Emergency Response Team e del Security Operation Center.
Un attacco nell’ambito della sicurezza informatica comprende qualunque manovra da parte di individui o di organizzazioni che colpiscono sistemi informatici, infrastrutture o dispositivi elettronici tramiti azioni malevoli, quali furto, alterazione o distruzione di specifici obiettivi.
Il SOC è estremamente utile per evitare determinati tipi di attacchi o, se dovessero verificarsi, per inviare una risposta tempestiva evitando danni consistenti. Di seguito una serie di attacchi informatici che implicano utenti, siti web e i fornitori stessi.
Un Security Operation Center è caratterizzato dalla presenza di un SOC manager. Il suo compito è conoscere le esigenze dell’azienda e definire una struttura del sistema di sicurezza. Allo stesso tempo, dovrà condividere le informazioni con il Chief Information Security Officer (CISO) e con altre risorse aziendali coinvolte nella cyber security.
La struttura del sistema di sicurezza comprende sia gli strumenti di sicurezza, ad esempio i software e le tecnologie utilizzati, sia gli individui che compongono il team SOC, che comprende:
A seconda delle dimensioni di un’azienda, un membro del team SOC può svolgere più ruoli, e soddisfare le esigenze dell’ente stesso.
In generale, possiamo dire che coloro che lavorano nel SOC Level 1 hanno capacità sistemistiche, utili a monitorare; chi opera nell’Incident Response e nel Vulnerability Management (SOC 2), invece, ha conoscenze maggiori di programmazione, applicazioni e sicurezza in generale.
Dotarsi di un SOC significa sicuramente impiegare infrastrutture e strumenti specifici, ma ancora di più vuol dire investire nelle persone che si occuperanno di attività cruciali come l’intelligence e la valutazione del rischio. Le risorse umane interne al SOC devono possedere competenze elevate, da aggiornare con una formazione continua. Si tratta dunque di un’importante voce di costo da prendere in considerazione.
Proprio qui bisogna porre l’accento per capire se per un’azienda sia più conveniente scegliere un Security Operation Center interno o esterno.
La creazione di un SOC interno richiede un investimento assolutamente rilevante per raggiungere una soglia minima. Bisogna infatti creare un team di analisti con competenze elevate che lavorano 7 giorni su 7, 24h su 24h. Non è un caso che siano molto poche le aziende che intraprendono la strada di un Security Operation Center interno.
La maggior parte delle imprese, invece, optano più spesso per affidare le funzionalità di SOC a fornitori esterni specializzati in questi servizi come Maticmind. Le attività vengono gestite in questo caso attraverso sistemi di gestione in remoto. ll che offre anche un altro vantaggio: l’investimento economico può essere infatti studiato in base al volume di dati e attività monitorate. La collaborazione con un servizio di SOC può essere modulata anche attivando solo determinati servizi. Il centro di sicurezza esterno si troverebbe dunque a supportare l’attività di un eventuale team interno o degli amministratori IT dell’azienda, con benefici che vanno al di là della sfera economica e sfociano negli aspetti organizzativi.
Sia che sia esterno o interno, il vantaggio principale di un centro operativo di sicurezza è certamente il miglioramento del rilevamento degli incidenti di sicurezza attraverso il monitoraggio e l’analisi continui dell’attività dei dati.
Per questo si tratta di un investimento fondamentale, anche perché le possibili ripercussioni a livello legale, di immagine ed economico non sono da sottovalutare, soprattutto in un mondo che cambia rapidamente e che vede il dilagare di nuove minacce alla sicurezza informatica, ormai pressoché quotidiane. La costituzione di un SOC potrebbe essere un metodo per massimizzare la capacità di difesa e la tempestività della reazione da parte dell’azienda, migliorandone persino la sua organizzazione in termini di infrastrutture IT.
Il Security Operation center rappresenta quindi la migliore risposta alle esigenze delle organizzazioni in un campo che sta diventando sempre più complesso e pervasivo: l’unica strada per garantire concretamente una sicurezza informatica a 360°.
Sei interessato a scoprire di più sui nostri servizi di sicurezza gestita?