Monitorizarea ameninţărilor şi alertelor SOC

Scurt rezumat

SOC eficace se bazează pe trei piloni: integralitatea telemetriei, detectarea calității și disciplina operațională (prioritizare, escaladare, post-incident și îmbunătățire). Scopul: identificarea rapidă a intrușilor prin indicatori comportamentali și de semnătură, răspunsul în cadrul SLO și minimizarea pozitivelor false fără a pierde acoperirea.

Arhitectura de monitorizare SOC

SIEM - receptie, normalizare si corelare evenimente; tablouri de bord, căutare, alertare.
UEBA - analiza comportamentală utilizator/gazdă, profiluri de bază și anomalii.
SOAR - automatizarea răspunsului: îmbogățirea alertelor (TI, CMDB), orchestrarea acțiunilor de izolare.
TI (Threat Intelligence) - IOC/TTP/fluxuri de vulnerabilitate critică; context pentru reguli și îmbogățire.
Depozitare - „fierbinte” 7-30 zile pentru investigații, „rece” 90-365 + pentru conformitate/retrospectivă.

Surse de jurnal (minim suficient)

• IdP/SSO (OIDC/SAML), MFA, PAM, VPN/ZTNA, directoare (AD/AAD).

• EDR/AV, Sysmon/ETW (Windows), auditd/eBPF (Linux), MDM (telefoane mobile).

• Firewall-uri (L3/L7), WAF/WAAP, balansoare (NGINX/Envoy), DNS, proxy, NetFlow/sFlow/Zeek.

• CloudTrail/Activity Logs, KMS/Key Vault, evenimente IAM, Kubernetes (audit, server API), securitate containere.

• Audit admin, acces la PII/plăți, DDL/drepturi, evenimente de afaceri critice (retragere, bonus, plată).

• Detectare phishing/spam, DLP, clicuri URL, atașamente.

Normalizare: format unic (de exemplu, ECS/CEF), câmpuri obligatorii: 'timestamp', 'src/dst ip', 'user', 'action', 'resource', 'result', 'request _ id/trace _ id'.

Taxonomia amenințării și cartografierea ATT&CK

Construieste reguli si tablouri de bord in sectiunea MITRE ATT&CK: Acces Initial, Executie, Persistenta, Escaladare Privilegiu, Evaziune Aparare, Acces Acreditare, Descoperire, Miscare Laterala, C2, Colectare/Exfiltrare/Impact.
Pentru fiecare tactică - detectări minime și panouri de control „acoperire vs. fidelitate”.

Politica de alertă și prioritizare

• P1 (critică): C2 activ, furt de succes ATO/token, criptare, exfiltrare de plată/PII.
• P2 (High): implementarea în infrastructură/cloud, escaladarea privilegiilor, ocolirea MAE.
• P3 (Mediu): anomalie suspectă, încercări repetate nereușite, comportament rar.
• P4 (Low): zgomot, ipoteze, meciuri TI fără confirmare.
• Escaladare: P1 - imediat de gardă (24 × 7), P2 - în timpul programului de lucru ≤ 1 oră, restul - prin cozi.
• Roll-up: Alerte agregate de obiect/sesiune pentru a evita „furtuna”.

SLI/SLO/SLA SOC

SLI: timpul de detectare (MTTD), timpul de confirmare (MTTA), timpul până la izolare (MTTC), proporția de fals pozitiv (FP) și ratat (FN) pe clustere de scenarii.

• MTTD P1 ≤ 5 min; MTTC P1 ≤ 30 min.
• Rata FP în conformitate cu regulile de severitate ridicată ≤ 2 %/zi.
• Acoperirea tehnicilor cheie ATT&CK ≥ 90% (prezența a cel puțin o detectare).
• SLA (extern): coordonează cu afacerea (ex. P1 notificarea proprietarilor ≤ 15 min).

Reguli de detectare: semnături, euristică, comportament

Sigma (exemplu: acces suspect la panoul de administrare din afara țării)

yaml title: Admin Panel Access Outside Allowed Country id: 5c6c9c1d-8f85-4a0e-8c3a-1b7cabc0b001 status: stable logsource:
product: webserver detection:
selection:
http. request. uri: /admin http. response. status: 200 filter_country:
geoip. country: /^(?!UA    PL    GE)$/
condition: selection and filter_country level: high fields: [user, ip, geoip. country, user_agent, trace_id]
falsepositives:
- Service connections from SOC/VPN (add allow-list)

KQL (exemplu: creșterea numărului de conectări eșuate + conturi diferite de la același IP)

kusto
SigninLogs where ResultType!= 0 summarize fails=count(), users=dcount(UserPrincipalName) by bin(TimeGenerated, 10m), IPAddress where fails > 50 and users > 5

Aplicație (SQL, acces PII în afara programului)

sql
SELECT user_id, count() AS reads
FROM audit_pii
WHERE ts > now() - interval '1 hour'
AND user_id NOT IN (SELECT user_id FROM roster WHERE role IN ('DPO','Support'))
AND extract(hour from ts) NOT BETWEEN 8 AND 21
GROUP BY 1 HAVING count() > 5;

UEBA și context

Profiluri de activitate de bază după utilizator/rol/serviciu (ceas, ASN, dispozitiv).
Anomalii: IP/ASN rare, dispozitiv nou, secvențe API neobișnuite, schimbare bruscă a timpului de activitate.
Evenimente cu scor de risc = semnale (TI, anomalie, sensibilitate la resurse) × greutăți.

SOAR și automatizarea răspunsului

Îmbogățire: reputația TI de IP/domeniu/hash, CMDB (care deține gazda/serviciul), HR (statutul angajaților), rolul IAM.
Acțiuni: izolarea gazdelor (EDR), blocarea IP/ASN/JA3, retragerea temporară a jetoanelor/sesiunilor, rotirea forțată a secretelor, interzicerea retragerii fondurilor/înghețarea bonusurilor.
Șine de pază: pentru acțiuni critice - aparate cu doi factori; TTL pe încuietori.

Procese SOC

1. Triaj: verificarea contextului, eliminarea duplicatelor, reconcilierea TI, clasificarea primară ATT&CK.
2. Investigație: colectarea de artefacte (PCAP/EDR/busteni), ipoteze, cronologie, evaluarea daunelor.
3. Izolare/Eradicare: izolare, revocare cheie/token, patching, încuietori.
4. Recuperare: controlul curățeniei, rotație, monitorizarea recurenței.
5. RCA/Lecții: Post-incident, Reguli de actualizare/Tablouri de bord, Adăugați cazuri de testare.

Reglarea și calitatea detectărilor

Modul umbră pentru reguli noi: citiți, dar nu blocați.
Pachetul regional: o bibliotecă de evenimente „bune/rele” pentru testele regulilor CI.
Remedierea FP: excluderi pe cale/rol/ASN; regula „răului în mod implicit” este numai după canari.
Monitorizarea derivei: modificarea activității de bază → adaptarea pragurilor/modelelor.

Tablouri de bord și recenzii

Operațional: alerte active, P1/P2, harta de atac (geo/ASN), „talkers de top”, banda TI-match.
Tactică: acoperire ATT&CK, tendințe FP/FN, MTTD/MTTC, surse zgomotoase.
Afaceri: incidente pe produse/regiuni, impact asupra KPI-urilor (conversie, Time-to-Wallet, eșecuri de plată).

Stocare, confidențialitate și conformitate

Reținere: cel puțin 90 de zile de jurnale „calde”, ≥ arhivă de 1 an, dacă este necesar (fintech/regulatoare).
PII/secrete: tokenizare/mascare, acces rol, criptare.
Cerințe legale: raportarea incidentelor, păstrarea lanțurilor decizionale, consistența ceasului (NTP).

Echipa Purple și verificarea acoperirii

Vânătoare de amenințări: ipoteze TTP (de ex. T1059 PowerShell), interogări ad-hoc în SIEM.
Purple Team: Sprinturi comune roșii + albastre - care rulează TTP, verificarea declanșatoarelor, finalizarea regulilor.
Teste auto de detectare: re-joc periodic al evenimentelor de referință (teste atomice) în prod non-prod și „umbră”.

Specificitatea iGaming/fintech

Domenii critice: login/înregistrare, depozite/concluzii, promo, acces la PII/fin. rapoarte.
Scenarii: ATO/umplutură de acreditare, testarea cardurilor, abuz de bonus, acces din interior la plăți.
Reguli: viteza la '/login ', '/retrage', idempotența și HMAC ale cârligelor web, mTLS la PSP, detectarea pentru a accesa tabele cu PAN/PII.
Declanșează afaceri: o creștere bruscă a eșecurilor de plată/chargeback, anomalii în conversii, explozii de depozite „zero”.

Exemple de cărți de alergare (prescurtat)

P1: ATO confirmat și retrageri

1. SOAR blochează sesiunea, recheamă tokenurile de reîmprospătare, îngheață pinii (TTL 24 ore).
2. Anunțați proprietarul produsului/finanțelor; începe parola reset/2FA-rebind.
3. Verificați conturile vecine după coloana dispozitiv/IP/ASN; extinde blocul de clustere.
4. RCA: adăugați detectări repetate, creșteți pragul de viteză la „/retragere ”.

P2: Execuție pe server (T1059)

1. Izolarea EDR, îndepărtarea memoriei/artefactului.
2. Inventarierea ultimelor depozite/secrete; rotație cheie.
3. vânătoare de flote CIO; verificarea C2 în DNS/Proxy.
4. Post-incident: Regula „Parent = nginx → bash” + Sigma pentru Sysmon/Linux-audit.

Greșeli frecvente

Supraîncărcare SIEM cu zgomot fără normalizare și TTL.
Detectări nemachiate pe ATT&CK → pete oarbe.
Nu SOAR/îmbogățire - lung MTTA, rutine manuale.
Ignorarea UEBA/comportament - sărind peste insiders „lent”.
Blocuri rigide globale TI fără TTL → reduce traficul de afaceri.
Lipsa testelor de regresie a regulilor.

Foaie de parcurs pentru implementare

1. Inventarul și normalizarea jurnalului (ECS/CEF), „set minim”.
2. Matricea de acoperire ATT&CK și detectările de bază cu risc ridicat.
3. SLO și cozi: P1-P4, de gardă și escaladare.
4. Cărți de redare SOAR: îmbogățire, acțiuni de izolare, blocuri TTL.
5. UEBA și scoring de risc: profile, anomalii, monitorizare în derivă.
6. Testele Purple Team/Detect: modul umbră, canari, pachet de regresie.
7. Raportare și conformitate: retenție, confidențialitate, tablouri de bord de afaceri.

Rezultat

SOC matur este telemetrie completă + detectări calitative + disciplină de răspuns. Reguli de legătură cu MITRE ATT&CK, automatizați îmbogățirea și izolarea în SOAR, măsurați rezultatul cu metrici SLO, verificați în mod regulat acoperirea pe echipa Purple - iar monitorizarea dvs. va fi rezistentă la zgomot, va răspunde rapid la amenințări reale și va menține valorile de afaceri.