SOC as a Service یا مرکز عملیات امنیت به عنوان خدمت، موضوعی است که این روزها در جلسات امنیتی خیلی از سازمان های ایرانی شنیده می شود. ایده ساده است: به جای ساخت یک تیم داخلی گران و پیچیده، سازمان پایش مداوم شبکه، تشخیص تهدید و پاسخ به حادثه را به شکل سرویس میخرد. برای سازمان هایی که با کمبود نیروی متخصص و موج حملات باج افزاری دست به گریبان اند، این مدل، بخصوص در قالب Kaspersky MDR، میتواند کوتاهترین مسیر برای بالا بردن بلوغ امنیتی باشد. در این مقاله سعی کرده ایم تصویر عملیاتی بدهیم؛ با مقایسه سه مدل، معرفی محصولات کسپرسکی و یک نقشه راه سه مرحله ای برای استقرار.
SOC داخلی یعنی چه و چرا ساختنش سخت است؟
کسپرسکی که خودش سالهاست SOC عملیاتی دارد، استقرار یک مرکز عملیات امنیت را در بازه ۹ تا ۱۲ ماه و رسیدن به بلوغ را در ۱۸ تا ۲۴ ماه توصیف می کند. یعنی نزدیک دو سال طول می کشد تا تیم واقعا به پای خودش بایستد و بدون کمک بیرونی کارش را پیش ببرد؛ عدد کمی نیست. جزئیات این مسیر را کسپرسکی در صفحه SOC شرکتش نوشته و بد نیست سر بزنید.
SOC داخلی یا SOC مدیریت شده؟
در مقابل، مدل خدمتی هزینه و زمان راه اندازی را به یک سرویس قابل مدیریت تبدیل می کند. Kaspersky MDR پایش ۲۴/۷ می دهد، حادثه را تشخیص می دهد و مدیریت می کند، شکار تهدید خودکار دارد و تحلیلگران SOC آن هم در دسترس تیم شما هستند. هشدارها را اول کسانی غربال می کنند که کارشان همین است. به این ترتیب تیم داخلی سازمان میتواند روی دارایی های حیاتی و تصمیم های راهبردی تمرکز کند.
جدول زیر سه مدل را کنار هم گذاشته است:
| معیار | SOC داخلی | SOC مدیریتشده / MDR | مدل ترکیبی |
| زمان راهاندازی | ماه‌ها تا بیش از یک سال | سریع؛ Kaspersky MDR معمولا حدود ۱۵ دقیقه | سرویس بیرونی زود می‌آید، توان داخلی تدریجی رشد میکند |
| هزینه اولیه | بالا: نیرو، SIEM، | مبتنی بر اشتراک و قابل | متوسط؛ سرمایه گذاری |
| معیار | SOC داخلی | SOC مدیریتشده / MDR | مدل ترکیبی |
| EDR/XDR و آموزش | پیش بینی | روی موارد حیاتی | |
| پوشش ۲۴/۷ | نیازمند تیم شیفتی و بودجه مستمر | ذاتی سرویس است | پایش شبانه بیرونی، تصمیم حیاتی داخلی |
| کنترل داده | حداکثر کنترل | تابع قرارداد و محدوده Telemetry | دارایی حساس داخلی، بقیه بیرونی |
| مناسب برای | سازمانهای بسیار بزرگ با تیم بالغ | سازمانهای بدون SOC یا کم نفر | بیشتر سازمانهای متوسط و بزرگ در حال بلوغ |
در عمل، بیشتر سازمانهای متوسط و بزرگ در حال بلوغ، مدل ترکیبی را عملیترین گزینه می دانند. تیم داخلی مالک ریسک و دارایی های حیاتی و تصمیم نهایی میماند و ارائه دهنده خدمات هم پایش Tier-1 و غنی سازی هشدار و پاسخ اولیه را به عهده می گیرد. تجربه ما در گروه آتنا هم همین را می گوید؛ مشتری هایی که از مدل ترکیبی شروع کرده اند کمتر به بن بست خورده اند و دیرتر پشیمان شده اند.
چرا سازمان های ایرانی دیر یا زود به MDR نیاز پیدا میکنند؟
بسیاری از سازمان های ما هنوز به فایروال محیطی و آنتی ویروس تکیه می کنند، در حالی که حملات شکل دیگری دارند. مهاجم با ابزارهای قانونی خود سیستم جلو می رود، با حسابهای معتبر، با اسکریپت و حرکت جانبی، و از کنترل های امضا محور راحت عبور می کند. Kaspersky MDR دقیقا برای همین دسته از تهدیدها طراحی شده است: APT، باج افزار، نفوذ انسان محور، سرقت اعتبارنامه، تهدید داخلی، بدافزار Fileless و رفتار مشکوک کاربر یا Endpoint.
یک مشکل دیگر هم هست که مخصوص ایران نیست: کمبود نیرو. طبق داده های خود کاسپرسکی، ۴۱ درصد تیم های امنیت کمبود نیرو دارند و ۷۶ درصد متخصصان، خستگی ناشی از هشدار های زیاد را چالش اصلی می دانند.
حالا این دو عدد را با محدودیت جذب تحلیلگر SOC باتجربه در بازار ایران و الزامات گزارش دهی حوزه های حساس ترکیب کنید؛ معما روشن میشود. چند سال است که در حوزه هایی مثل بانک و مخابرات، الزام گزارشدهی رخداد به مرجع نظارتی هم اضافه شده و بدون پایش شبانه روزی، پاسخگو ماندن عملا ممکن نیست.
Kaspersky MDR چطور کار می کند؟
MDR یک سرویس مدیریت شده است. Telemetry را از محصولات امنیتی سازمان می گیرد، با هوش تهدید و یادگیری ماشین تحلیلش می کند و حوادث مشکوک را برای بررسی به تحلیلگران SOC می فرستد. اگر تهدید تایید شود، سازمان توصیه های پاسخ دریافت می کند یا خود کسپرسکی اقدام مدیریت شده را انجام می دهد؛ بسته به سطح سرویسی که خریده اید.
چرخه کاریاش را می توان در پنج قدم خلاصه کرد:
- جمع آوری Telemetry: Endpoint و سرور و شبکه و Cloud رویداد تولید می کنند؛ در صورت نیاز محیط های ICS صنعتی هم وارد تصویر می شوند.
- اولویت بندی هشدار: هوش مصنوعی و قواعد خودکار، هشدارهای کم اهمیت و False Positive را می گیرند تا تیم غرق هشدار نشود.
- شکار تهدید: تحلیلگران و موتورهای خودکار، رفتار مشکوک و نشانه های حمله را در کل داده ها بررسی می کنند.
- تحلیل حادثه: ریشه حادثه و سیستم های آسیب دیده و مسیر حمله مشخص می شود تا اصلاح بر اساس واقعیت انجام شود.
- پاسخ و اصلاح: قرنطینه فایل، ایزوله سازی Endpoint، حذف فرایند مخرب یا اجرای اسکریپت پاسخ؛ بسته به سطح سرویس و تایید سازمان.
کسپرسکی می گوید فعال شدن MDR معمولن حدود ۱۵ دقیقه طول می کشد و تغییر اساسی در زیرساخت نمی خواهد. میانگین MTTR سرویس را هم حدود ۳۰ دقیقه اعلام کرده است؛ یعنی از لحظه حادثه تا خنثی شدنش معمولا نیم ساعت می گذرد. البته این اعداد را باید در محیط خودتان آزمود، اما خب، با ۹ تا ۱۲ ماه راه اندازی SOC داخلی قابل مقایسه نیست.
محصولات کسپرسکی برای SOC as a Service کدام اند؟
سراغ انتخاب محصول که میرسید، معیار باید سطح بلوغ سازمان باشد، بعد تعداد Endpoint و وجود یا نبود تیم امنیت و حساسیت داده؛ نه اسم و برچسب محصول. این فهرست را نقشه خرید ببینید، نه چک لیست اجباری.
نقش هر محصول را در جدول زیر خلاصه کرده ایم:
| محصول | نقش در SOC as a Service | مناسب برای |
| Kaspersky Endpoint Security for Business | لایه پیشگیری EPP روی Endpoint و سرورها؛ تولید رویداد پایه | همه سازمان‌ها به عنوان پایه امنیتی |
| Kaspersky EDR Optimum | دید عمیق‌تر روی Endpoint، تحلیل ریشه حادثه، پاسخ خودکار | سازمانهایی که EDR می‌خواهند ولی SOC ندارند |
| Kaspersky MDR Optimum | پایش ۲۴/۷، شکار تهدید خودکار، بررسی و پاسخ راهنمایی شده | سازمانهای متوسط و بزرگ بدون تیم SOC کامل |
| Kaspersky MDR Expert | شکار تهدید مدیریت شده، دسترسی به Threat Intelligence Portal و API | سازمانهایی با تیم امنیت داخلی که ظرفیت تحلیل می‌خواهند |
| Kaspersky XDR Expert | دید فرامحیطی و همبستگی داده از چند دامنه | سازمانهای بزرگ با زیرساخت پیچیده |
| Kaspersky KATA | تشخیص تهدید پیشرفته، Sandbox و تحلیل حملات هدفمند | بانکها، اپراتورها و سازمانهای حیاتی |
| Kaspersky SIEM | تجمیع و همبستگی رویداد برای تشخیص و تحقیق | SOCهای داخلی و هیبریدی |
| Kaspersky CyberTrace و Threat Data Feeds | عملیاتی کردن هوش تهدید و بهبود Detection | تیم‌های Incident Response |
| Kaspersky Incident Response | پاسخ تخصصی به حادثه و اصلاح پس از حمله | سازمانهایی که آمادگی قراردادی می‌خواهند |
نکتهای برای کسانی که دنبال بسته آماده هستند: Kaspersky Optimum Security ترکیبی از EPP و EDR و MDR را یک جا می دهد. سازمان میتواند بین EDR خودکار، MDR مدیریت شده یا ترکیب هر دو انتخاب کند و بعدا هم مسیرش را عوض کند. مستندات فنی کسپرسکی هم سازگاری MDR را با محصولات Endpoint Security و EDR Optimum و کنسولهایی مثل Kaspersky Security Center تایید می کند.
معماری پیشنهادی برای سازمان های ایرانی
یک معماری واقع بینانه می تواند سه مرحله داشته باشد. عجله هم نکنید؛ قرار نیست روز اول همه چیز را بخرید. چیزی که پای بیشتر پروژه های امنیتی شکست خورده را به مصراع می کشد، خرید ابزار قبل از تعریف فرایند و مالکیت است. این را در چند پروژه دیده ایم، پس اصرار ما بی دلیل نیست.
مرحله اول، دید و پیشگیری
در مرحله اول، Kaspersky Endpoint Security را روی سرورها و Workstation ها و در صورت لزوم VDI مستقر می کنید و سیاست های Hardening و کنترل اجرای برنامه را فعال می کنید. محدود کردن ابزارهای پرخطری مثل PowerShell هم از همین جا شروع می شود.
بعد سرورهای حیاتی و Domain Controller ها و سیستم های رو به اینترنت را با EDR پوشش می دهید. EDR داده ها و الگوهای رفتاری Endpoint را ثبت می کند و MDR از همین دادهها برای اولویت بندی و تحلیل حوادث استفاده می کند؛ بدون این لایه، پایش بیرونی هم چشمش به جایی نمی افتد.
مرحله دوم، تشخیص و پاسخ مدیریت شده
در مرحله دوم، Kaspersky MDR Optimum را برای پایش ۲۴/۷ فعال می کنید؛ اما قبل از آن، مالک حادثه و کانال ارتباطی اضطراری و سطوح تایید را تعیین کرده اید. برای سناریوهای پرتکرار هم Playbook طراحی کنید؛ باج افزار و سرقت اعتبارنامه و حرکت جانبی معمولا اولین ها هستند. Kaspersky MDR می تواند پاسخها را بصورت توصیه شده بدهد یا با تنظیم Auto-acceptance کارهایی مثل قرنطینه فایل آلوده را خودش انجام دهد. تجربه نشان داده که مشخص کردن مرز “کدام اقدام نیاز به تایید ما دارد” از روز اول، دردسرترین بخش قرارداد است.
مرحله سوم، بلوغ و دفاع فعال
مرحله سوم برای سازمانهایی است که ریسک شان بالاست: افزودن KATA یا XDR، استفاده از Kaspersky SIEM و CyberTrace برای همبستگی رویدادها، و انجام Compromise Assessment و Tabletop Exercise برای سنجش آمادگی. کسپرسکی برای SOC های بالغ، علاوه بر MDR، سرویس هایی مثل SOC Consulting و Incident Response و Threat Intelligence و شبیه سازی مهاجم هم دارد. ولی اینها برای روز بعد از تثبیت است، نه روز اول.
چه سازمان هایی بیشترین سود را می برند؟
این سرویس برای همه یکسان نیست، ولی در چند گروه بازگشت سرمایه معمولا روشنتر است. بانکها و fintech ها و شرکته ای پرداخت به خاطر ریسک سرقت اعتبارنامه و تقلب و الزامات نظارتی، همیشه در معرض حادثه هستند. صنایع تولیدی و نفت و گاز و برق هم تداوم عملیات شان حیاتی است و ریسک حملات به OT/ICS را هم جدی باید گرفت. اپراتورها و شرکت های نرم افزار و خدمات ابری سطح حمله گسترده ای دارند و اعتماد مشتری در میان است.
مدل مدیریت شده کسپرسکی برای سازمان هایی که تیم امنیت داخلی ندارند یا پایش شبانه روزی ندارند مناسب است؛ برای SOC های موجود هم نقش تقویت کننده دارد و بار تحلیلگران را کم می کند. جالب است که بدانید بیشترین تفاوت را معمولا در همین سازمان های متوسطی می سازد که تازه EDR خریده اند؛ چون EDR خام را به یک سیستم قابل مدیریت تبدیل می کند. و بحث هزینه را هم شفاف بگوییم؛ مدل اشتراکی بودجه سالانه را قابل محاسبه می کند که برای گزارش به مدیریت ارزش دارد.
پیش از خرید چه چیزهایی را روشن کنید؟
قرارداد را قبل از امضا شفاف کنید. چند سوال هست که اگر از روز اول جواب نداشته باشد، وسط راه دردسر می شود:
- محدوده پایش را روشن کنید: کدام Endpoint ها و سرورها و شبکه ها و سیستم های OT باید پوشش داده شوند و کدام دارایی ها اولویت دارند.
- سطوح تصمیم و پاسخ را مشخص کنید: در حادثه بحرانی چه کسی حق ایزوله سازی سرور یا غیرفعال کردن حساب را دارد، و سازمان فقط توصیه می خواهد یا پاسخ خودکار و مدیریت شده لازم دارد.
- شرایط داده و شاخص ها را بنویسید: محل ذخیره Telemetry و مدت نگهداری و شرایط خروج از سرویس، و اینکه MTTD و MTTR و نرخ True Positive و پوشش تکنیک های MITRE ATT&CK از روز اول اندازه گرفته شوند.
سازگاری با ابزارهای موجود سازمان را هم چک کنید؛ Kaspersky Security Center و EDR و SIEM فعلی باید بتوانند با سرویس جدید حرف بزنند. قابل ذکر است که کسپرسکی برای سنجش اثربخشی SOC همین شاخص ها را پیشنهاد می کند: MTTD و MTTR و نسبت هشدار واقعی به حجم هشدار و پوشش دید. چیزی که اندازه نگیرید، نمی توانید نشان دهید بودجه امنیت کجا رفته است.
حرف آخر
SOC as a Service برای سازمان های ایرانی دیگر یک انتخاب لوکس نیست. کمبود نیرو را جبران می کند، زمان تشخیص و پاسخ را کوتاه می کند و امنیت را از یک پروژه ابزارمحور به یک قابلیت عملیاتی تبدیل می کند. به نظرم در اکثر موارد مسیر روشن است: شروع با Kaspersky Endpoint Security به همراه EDR Optimum و MDR Optimum، و بعد افزودن تدریجی XDR و SIEM و سرویس های تخصصی تر مثل Incident Response.
پیشتر در وبلاگ آتنا مقاله “آموزش و آگاهی امنیت سایبری کارکنان با راهکارهای کسپرسکی” را منتشر کرده ایم؛ مکمل همین بحث است و خواندنش را از دست ندهید. اگر هم سوالی درباره انتخاب مدل یا استقرار Kaspersky MDR دارید، ما در گروه آتنا به عنوان نماینده رسمی کسپرسکی در ایران پاسخگوی شما هستیم.