Security Operations Center (SOC) aneb nepřeceňujte jeden článek systému, část I.

V relativně krátké době jsme byli vystaveni intenzivním změnám, které přímo souvisejí s masivním využitím informačních a komunikačních technologií1 ve všech oblastech našich životů a činností. Člověk je subjektem, kterému by technologie měla sloužit, ale zároveň je nejzranitelnějším a současně klíčovým prvkem celého systému z pohledu kybernetické bezpečnosti.

SOC         CERT/CSIRT         kyberbezpečnost       kybernetické hrozby a útoky       Morrisův červ

část I.

Úvod

„Kybernetické hrozby dnes dosahují bezprecedentní úrovně, což významně souvisí s rozmachem digitalizace společnosti. Pokračuje trend, kdy se mnoho tradičních bezpečnostních hrozeb zcela nebo alespoň částečně přesouvá do kyberprostoru a dává vzniknout novým hrozbám specifickým pro toto prostředí. Dochází rovněž k silnějšímu prolínání různých hrozeb a hybridizaci bezpečnostního prostředí, jehož dynamiku a rozsah umocňují právě kyberprostor a moderní technologie. Všechny tyto hrozby mají jedno společné – jsou již natolik komplexní, že podrobují zkoušce důvěru veřejnosti ve stát a jeho instituce a v krajních případech mohou narušit stabilitu země, společnosti a demokratické uspořádání státu.“²

Na popsané hrozby je třeba reagovat a vytvořit prostor pro implementaci principů kybernetické bezpečnosti a bezpečnosti informací na všech úrovních, ve všech dotčených procesech a vůči všem zainteresovaným subjektům.

Kybernetická bezpečnost představuje relativně ucelený systém zahrnující technická, organizační, právní a jiná opatření, vzdělávací a jiné aktivity, které směřují k zajištění ochrany ICT, IT služeb, aplikací, dat a uživatelů. Kybernetickou bezpečnost je také třeba vnímat jako schopnost reagovat na kybernetické hrozby či útoky a jejich následky, jakož i plánování obnovy funkčnosti těchto systémů a služeb s nimi spojených, přijímání účinných opatření včetně závěrečného poučení se z krizové situace.³

Tento článek ani jeho autoři si nekladou za cíl představit komplexní řešení, ale představují možnosti a dílčí řešení zvládání kybernetické bezpečnosti v organizaci nejen za použití Security Operations Center⁴. V druhé části článku pak bude prezentována možnost fungování distribuovaného SOC zaměřeného na oblast zdravotnictví.

Od bezpečnostních týmů k SOCu

Kybernetickou bezpečnost je možné charakterizovat jako neustále se vyvíjející a měnící se proces, který je závislý na řadě proměnných. Proměnnými mohou být data, uživatelé, samotné prvky ICT, nastavené procesy, jejich revize, přístup k řešení kybernetických hrozeb a útoků aj.

Bezpečnost měly organizace snahu řešit primárně na úrovni fyzické, personální a administrativní. Na počátku 70. let 20. století byly ale nuceny začít reagovat na nový typ hrozby, konkrétně útoky typu malware⁵. Za první významnější počin v oblasti komplexního budování kybernetické bezpečnosti lze považovat reakci na Morris worm Roberta Tappana Morrise ze dne 2. listopadu 1988.⁶ „Zástupci univerzit, výpočetních center a agentury se shodli, že hlavním problémem je neexistující koordinace a komunikace – chyběl varovný systém a pravidla, jak v případě podobného incidentu postupovat.“⁷

Na základě uvedeného došlo na Carnegie Mellon University ke vzniku Computer Emergency Response Team (CERT). Tento první ad-hoc sestavený kybernetický bezpečnostní tým měl za úkol analyzovat Morissova červa, nalézt účinnou obranu a navrhnout řešení dané situace.

Nejcennějším výsledkem činnosti tohoto týmu bylo zjištění, že nejdůležitější je být na možnost narušení bezpečnosti předem připraven a v okamžiku problému spustit předem definovaný a vyzkoušený záchranný plán obrany a obnovy, a ne teprve začít zkoumat, co je nutné udělat a v jakých krocích. Výsledek práce tohoto prvního CERT týmu tak odstartoval éru budování světové komunity týmů tohoto typu.⁸

CERT (Computer Emergency Response Team) a CSIRT (Computer Security Incident Response Team) představují týmy, které jsou ve svém jasně definovaném poli působnosti zodpovědné za řešení bezpečnostních incidentů a (kyber) hrozeb z pohledu uživatelů vlastní organizace, tzv. constituency, nebo jiných týmů. Jedná se o místo, na které se osoby mohou obrátit se zjištěným bezpečnostním incidentem, se žádostí o spolupráci, koordinaci, výměnu informací, pomoc, návrh reaktivního opatření apod. Základní povinností každého CERT/CSIRT týmu je reakce na hrozbu („response“) a spolupráce a koordinace činností při řešení incidentů.

Z hlediska ochrany aktiv primárních či podpůrných nejde „o nic převratného a v praxi neexistujícího“. Každá větší organizace, poskytovatel připojení nebo poskytovatel služeb provozuje bezpečnostní tým⁹. Rozdíl mezi běžným bezpečnostním týmem a týmem typu CERT/CSIRT je zejména v zapojení do světové bezpečnostní komunity, sdílení informací v rámci této komunity a dodržování stanovených formálních postupů¹⁰ včetně ověření stupně vyspělosti daného týmu v rámci definovaného SIM3 CSIRT Maturity modelu¹¹.

Je zřejmé, že s tím, jak dochází k stále větší integraci ICT, služeb na ně navázaných, jakož i stále komplexnějším útokům, je třeba i ve větší míře řešit kybernetickou bezpečnost, která výrazně přesahuje technologickou rovinu a vyžaduje komplexní přístup umožňující budování odolné informační společnosti.

Další vývojový stupeň na pomyslné škále vyspělosti organizace v řešení a řízení kybernetické bezpečnosti může na základě proaktivního přístupu představovat budování Security Operations Centre (SOC).

Security Operations Centre (SOC)

Co to vlastně SOC je? Velmi často je zejména v poslední době prezentováno, že SOC představuje unikátní, všespásné a komplexní řešení kybernetické bezpečnosti, které je schopné organizacím dodat kyberbezpečnost. Oponenti namítají, že se jedná o nový buzzword a prostředek pro získání financování na budování kybernetické bezpečnosti či integrální součást nutnou pro kooperaci a sdílení znalostí mezi bezpečnostními týmy. Laici pak uvádějí, že se jedná o pracoviště či konkrétní službu řešící kybernetickou bezpečnost pro IT prostředí koncové organizace aj.

Komplexnější odpověď bude výrazně složitější a vychází ze základních konceptů pro výstavbu SOC, které byly definovány organizacemi, jako je CISCO, IBM, SANS, MITRE či Symantec.

CISCO¹² definuje SOC jako službu či činnost v rámci níž dochází k následujícím klíčovým činnostem ve vztahu ke kybernetickým hrozbám či incidentům:

• identifikování,
• ochrana,
• detekce,
• reakce,
• obnovení.

IBM definuje SOC jako interní či externí tým odborníků zabývajících se bezpečností IT, který nepřetržitě (24/7) monitoruje celou ICT infrastrukturu organizace, aby v reálném čase zjišťoval kybernetické bezpečnostní události a tyto řešil co nejrychleji a nejefektivněji. Činnosti SOC je možné rozdělit do tří obecných kategorií:

• příprava, plánování a prevence,
• monitoring, detekce a reakce,
• obnova, zdokonalení se a respektování právních norem (compliance).¹³

Dle MITRE je SOC tým primárně složený z bezpečnostních analytiků organizovaných tak, aby byli schopni:

• detekovat,
• analyzovat,
• reagovat,
• podávat zprávy,
• předcházet kybernetickým bezpečnostním incidentům.¹⁴

Symantec definuje SOC jako tzv. Cyber Defense Center, které implementuje bezpečnostní politiky jako služby. CDC definuje katalog služeb a dává podmínky, které pak pomáhají zajistit, aby členové CDC byli vybaveni správným školením, službami a technologiemi. Hlavní kategorie služeb CDC¹⁵:

• Strategické řízení CDC.
• Analýza v reálném čase.
• Hloubková analýza.
• Reakce na incidenty.
• Kontrola a vyhodnocení.
• Shromažďování, analýza a vyhodnocování zpravodajských informací o hrozbách.
• Vývoj a údržba platforem CDC.
• Podpora interní reakce na podvody.
• Aktivní vztahy s externími stranami.

Z výše uvedených definic je zřejmé, že neexistuje jednotná, obecně přijímaná definice toho, co je to SOC. Na základě analýzy nejen uvedených definic je však možné vyvodit závěr, že SOC představuje relativně komplexní prostředí, které do sebe implementuje následující ucelené prvky/triády kybernetické bezpečnosti¹⁶:

1. Lidi, Technologie a Procesy (Prvky kybernetické bezpečnosti).
2. Prevence, Detekce a Reakce (Životní cyklus kybernetické bezpečnosti).

Uvedené prvky/tirády je třeba využít nejen v rámci řešení kybernetických hrozeb či incidentů, ale i v rámci budování a zlepšování kybernetické bezpečnosti v organizaci.

K výše uvedeným triádám je dále třeba doplnit i oblast „compliance“, tedy soulad s pravidly či právními normami jak na mezinárodní (např. Nařízení GDPR, Směrnice NIS, návrhy Směrnic NIS 2, DSA¹⁷ aj.), tak na národní úrovni (např. zákon č. 181/2014 Sb., o kybernetické bezpečnosti aj.). Do oblasti compliance ale také spadají požadavky či podmínky vyplývající se smluvního vztahu uzavřeného typicky mezi provozovatelem SOC a subjektem, který tyto služby využívá.

Pracovníci SOC by měli úzce spolupracovat s dalšími organizačními jednotkami či bezpečnostními týmy v prostředí, kde je služba SOC poskytována. Rozdíl ve vnímání SOC a týmů typu CERT/CSIRT je možné znázornit následujícím diagramem.

Další odlišností oproti týmům typu CERT/CSIRT je skutečnost, že SOC bývají výrazně méně formalizované a aktéři mohou nabízet v rámci SOC různé služby v odlišných oblastech. Z tohoto pohledu je významné zaměřit se na účel, rozsah a cíl činnosti budovaného či outsourcovaného SOC.

Pokud jde o účel, je možné do něj typicky zařadit:

• Sběr dat.
• Analýzu dat.
• Detekci definovaných událostí.
• Threat Intelligence.
• Budování situačního povědomí.
• Reakci na kybernetické bezpečnostní události a incidenty.
• Reportování.
• Edukaci aj.

V případě rozsahu je třeba charakterizovat oblast působnosti SOC:

• Organizace jako celek.
• Určená infrastruktura.
• Definované služby.
• Kompetence aj.

Vlastní SOC může představovat centralizovanou jednotku v rámci dané organizace či může jít o službu, kterou si daná organizace nebo její část pronajme jako službu.

Cíle činnosti SOC pak mohou být různorodé. Může se jednat o:

• monitoring a predikci (tj. prevence),
• reakci a eskalaci

kybernetických hrozeb, událostí a incidentů, ale i výpadků technologií, sítí, služeb v souvislosti s kybernetickými útoky aj.

Stěžejní, v případě charakteristiky působnosti daného SOC je tak vymezení katalogu nabízených služeb, definice vyspělosti jednotlivých schopností SOC, určení hlavních procesů, definice rolí a zodpovědností a vytvoření technickoorganizačního modelu¹⁹.

Obr. 2: SOC capabilities (pozn. pod čarou 20)

Vysvětlivky: Lidé: operátor (L1), analytik (L2), KB specialista (L3), doménový specialista (L4).

Modely SOC

Na základě vydefinovaných oblastí, které má činnost SOC pokrýt, je možné začít řešit otázku, jaký druh SOC využít. V současnosti jsou prezentovány různé modely těchto center, které jsou členěny zejména na základě velikosti, pravomocí, typu organizace aj., a to dle:

Umístění (určení) služby SOC

• In-house
• Outsourced
• Hybrid²¹

Velikosti

• Virtuální
• Malý
• Velký
• Stupňovitý
• Národní
• Hybrid²²

Každý tento model pak přináší rozdílné nároky jak na lidi a technologie, tak i na nastavené procesy. Ve všech uvedených případech je třeba zhodnotit zejména:

• prostředky, které je organizace ochotna na danou činnost vynaložit,
• lidské zdroje, které jsou dostupné v organizaci či které budou dedikovány na zajištění činnosti SOC pro organizaci,
• velikost a druh činnosti organizace,
• definovanou úroveň kompetencí,
• počet využívaných prostředků ICT, poskytovaných služeb, zabezpečovaných uživatelů, přenášených a ukládaných dat aj.,
• objem a typy bázových dat proudících z organizace,
• míru rizika kybernetické bezpečnostní události či incidentu pro danou organizaci,
• útoky prováděné na segment, ve kterém organizace působí aj.²³

Až teprve na základě analýzy výše uvedených klíčových prvků je možné začít řešit otázku, zda a jaký SOC organizace potřebuje.

Zřejmě nejlepším a nejkomplexnějším řešením bude vybudování In-house SOCu, avšak takovýto SOC klade enormní nároky na všechny popsané prvky (technologie, procesy a lidi) kybernetické bezpečnosti. Současně bude jeho budování představovat dlouhodobý a kontinuální proces. Nejkritičtější se pak jeví nábor a udržení schopných a kvalitních lidí.

obr

Teoreticky nejjednodušší přístup představuje outsourcování služeb SOC mimo infrastrukturu dané organizace, ale i v tomto případě zde existují významná rizika pro organizaci. Mezi tato rizika je možné zařadit např. „vendor lock-in“, nutnost nastavit velmi precizně podmínky (jak technicky, tak právně), vymezení oprávnění „zásahu“ daného SOC (bude existovat právo aktivního zásahu do infrastruktury či služeb nebo bude jen informovat pověřené osoby v organizaci aj.), podmínky reportingu aj.

Zřejmě nejvhodnějším přístupem se jeví budování hybridního SOC, kde dochází ke kombinování obou výše uvedených přístupů. Této problematice se bude věnovat druhá část našeho článku.

Dílčí závěr

Na základě specifikace cílů, které má činnost SOC naplnit, výběru konkrétních služeb, sestavení rozpočtu a zajištění dostatečných personálních kapacit je možné uvažovat o vybudování či pronajmutí si služby SOC.

Je mylné žít v představě, že SOC je všespásné řešení, s jehož vybudováním či pronájmem končí potřeba řídit kybernetickou bezpečnost v organizaci. Že toto centrum bude fungovat bez bázových dat organizace, popisu procesů, definice rozsahu a obsahu dodávaných služeb SOC, koordinace a kooperace s reaktivní složkou organizace (CERT/CSIRT tým), součinností pracovníků organizace, ve které je budován nebo pro kterou je nasmlouván. SOC je pouze jednou ze součástí pro zajištění efektivního a včasného zásahu, pokud veškerá nastavená proaktivní opatření selžou nebo jsou porušena.

Lze koupit drahý systém a v ideálním stavu ho i nakonfigurovat. Takový systém je však třeba používat, vyhodnocovat data, rekonfigurovat atd. K uvedeným činnostem je ale současně potřeba disponovat i pokročilou sadou znalostí a dovedností. Otázkou pak je, jak udržet odbornost a potřebné kompetence uvnitř organizace a zároveň mít velmi dobře ošetřené servisní smlouvy, postupy, únikové strategie, otázky předávání dat, zajištění kontinuity služeb, obnovy po haváriích aj.

Řešením je i budování uvedených kompetencí uvnitř organizace a paralelní a postupný přechod k přístupu typu SOAR, tedy Security Orchestration, Automation and Response, který je založen na třech základních principech:

Security Orchestration

• Integrace a propojení různorodých interních či externích nástrojů prostřednictvím vestavěných integračních rozhraní či API.
• Skenery zranitelností, EDR řešení, analýzy chování koncových uživatelů, AV řešení, firewally, IDS/IPS, SIEM, Threat Intelligence feeds aj.

Security Automation

• Příjem a analýza dat, informací, upozornění a událostí ze Security Orchestration.
• Vytváření opakovatelných automatizovaných procesů nahrazujících manuální činnosti za pomoci tzv. automatizačních playbooků.
• Skenování zranitelností, analýza protokolů, kontrola ticketů a audity aj.

Security Response

• Plánovaní, řízení, monitoring a reporting činností po odhalení hrozby/incidentu.
• Včetně case managementu a sdílení informací z Cyber Threat Intelligence.

Takovéto řešení může být v počátku výrazně náročnější a dražší, nicméně dlouhodobě se jistě jedná o udržitelnější způsob, který organizaci navíc i výrazně řeší problém s odchodem personálních kapacit, tedy lidí s již nabytými znalostmi a zkušenostmi, které jsou pro organizaci typicky tím nejcennějším aktivem.

V rámci budování či outsourcování SOC by bylo možné použít diagram: Rychle, Kvalitně, Levně.

Je zřejmé, že pole působností jednotlivých SOC týmů může být značně různorodé, a dalo by se konstatovat, že nebudou existovat dvě „stejná“ SOC centra.

Článek částečně vznikl v rámci projektu „Centrum excelence pro kyberkriminalitu, kyberbezpečnost a ochranu kritických informačních infrastruktur č. CZ.02.1.01/0.0/0.0/16_019/0000822“.
Tato e-mailová adresa je chráněna před spamboty. Pro její zobrazení musíte mít povolen Javascript.Tato e-mailová adresa je chráněna před spamboty. Pro její zobrazení musíte mít povolen Javascript.

Tato e-mailová adresa je chráněna před spamboty. Pro její zobrazení musíte mít povolen Javascript.

Poznámky pod čarou:

1. Dále jen ICT
2. Národní strategie kybernetické bezpečnosti České republiky na období let 2021–2025 [online]. [cit. 2022-05-09]. Dostupné z: https://www.nukib.cz/ download/publikace/strategie_akcni_plany/narodni_strategie_kb_2020-2025_%20cr.pdf
3. KOLOUCH, Jan a Pavel BAŠTA, 2019. CyberSecurity. Praha: CZ.NIC. ISBN 978-80-88168-31-7. s. 44–45
4. Dále jen SOC
5. History of malware – 1970s. Creeper. [online]. [cit. 2022-05-01]. Dostupné z: http://www.viruslist.com/en/viruses/encyclopedia?chapter=153310937
6. Blíže viz např. Příchod Hackerů: červ Roberta Morrise. [online]. [cit. 2018-07-01]. Dostupné z: https://www.root.cz/clanky/prichod-hackeru-cerv-roberta- morrise/
7. Příchod hackerů: zrod CERT a CSIRT. [online]. [cit. 2018-07-01]. Dostupné z: https://www.root.cz/clanky/prichod-hackeru-zrod-cert-a-csirt/
8. KOLOUCH, Jan a Pavel BAŠTA. CyberSecurity. Praha: CZ.NIC. 2019. ISBN 978-80-88168-31-7. s. 505
9. Trusted Indroducer – Team Database. [online]. [cit. 2022-05-18]. Dostupné z: https://www.trusted-introducer.org/directory/country_LICSA.html
10. TF-CSIRT [online]. [cit. 2022-05-01]. Dostupné z: https://www.trusted-introducer.org/
11. SIM3 Model & References. [online]. [cit. 2022-05-11]. Dostupné z: https://opencsirt.org/csirt-maturity/sim3-and-references/
12. MUNIZ, Joseph, Gary MCINTYRE a Nadhem ALFARDAN, 2015. Security Operations Center. United States: Pearson Education. ISBN 9780134052014.
13. Security Operations Center (SOC) [online]. [cit. 2022-05-09]. Dostupné z: https://www.ibm.com/topics/security-operations-center
14. ZIMMERMAN, Carson, 2014. Ten Strategies of a World-Class Cybersecurity Operations Center. Bedford, United States of America: The MITRE Corporation. ISBN 978-0-692-24310-7. s. 9
15. TADDEI, Arnaud. Meet the Game Changing Cyber Defence Centre Framework [online]. [cit. 2022-05-12]. Dostupné z: https://symantec-enterprise-blogs. security.com/blogs/expert-perspectives/meet-game-changing-cyber-defence-centre-framework
16. Viz např. HSU, D. Frank a Dorothy MARINUCCI (eds.). Advances in cyber security: technology, operations, and experiences. New York: Fordham University Press, 2013. ISBN 978-0-8232-4456-0. s 41. KADLECOVÁ, Lucie. Konceptuální a teoretické aspekty kybernetické bezpečnosti. [online]. [cit. 21. 7. 2018]. Dostupné z: https://is.muni.cz/el/1423/ podzim2015/BSS469/um/Prezentace_FSS_Konceptualni_a_teoreticke_aspekty_KB.pdf
17. NAŘÍZENÍ EVROPSKÉHO PARLAMENTU A RADY (EU) 2016/679 ze dne 27. dubna 2016, o ochraně fyzických osob v souvislosti se zpracováním osobních údajů, o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů). SMĚRNICE EVROPSKÉHO PARLAMENTU A RADY (EU) 2016/1148 ze dne 6. července 2016, o opatřeních k zajištění vysoké společné úrovně bezpečnosti sítí a informačních systémů v Unii. Návrh SMĚRNICE EVROPSKÉHO PARLAMENTU A RADY o opatřeních k zajištění vysoké společné úrovně kybernetické bezpečnosti v Unii a o zrušení směrnice (EU) 2016/1148. Dostupné z: https://eur-lex.europa.eu/legal-content/CS/TXT/HTML/?uri=CELEX:52020PC0823&from=EN Návrh NAŘÍZENÍ EVROPSKÉHO PARLAMENTU A RADY o jednotném trhu digitálních služeb (akt o digitálních službách) a o změně směrnice 2000/31/ES. Dostupné z: https://eur-lex.europa.eu/legal-content/CS/TXT/HTML/?uri=CELEX:52020PC0825&from=CS
18. Upravený a doplněný diagram z: The Complete Guide to CSIRT Organization: How to Build an Incident Response Team [online]. [cit. 2022-05-10]. Dostupné z: https://www.exabeam.com/incident-response/csirt/
19. FORZIERI, Antonio. Building a Cyber Defence Centre [online]. [cit. 2022-05-11]. Dostupné z: https://www.securityforum.at/wp-content/uploads/ 2015/05/building_a_cyber_defence_centre.pdf
20. MUNIZ, Joseph, Gary MCINTYRE a Nadhem ALFARDAN, 2015. Security Operations Center. United States: Pearson Education. ISBN 9780134052014. s. 100
21. Blíže viz: The SOC hiring handbook [online]. [cit. 2022-05-10]. Dostupné z: https://logrhythm.com/uk-soc-hiring-handbook/?utm_program=EMEAcpc1&utm _source=google&utm_medium=cpc&utm_campaign=LogRhythm_-_NEUR_-_T1_-_Generics_-_SOC&utm_adgroup=Generics_-_SOC_-_Cyber&utm _term=cyber%20security%20operations%20center&matchtype=b&utm_region=EMEA&utm_language=en&gclid=EAIaIQobChMIgai11NzV9wIVNxoGAB2e0gw _EAAYASAAEgKQ3fD_BwE
22. VIELBERTH, Manfred, Fabian BOHM, Ines FICHTINGER a Gunther PERNUL, 2020. Security Operations Center: A Systematic Study and Open Challenges. IEEE Access [online]. 8, 227756-227779 [cit. 2022-05-10]. ISSN 2169-3536. Dostupné z: doi:10.1109/ACCESS.2020.3045514

23. VIELBERTH, Manfred, Fabian BOHM, Ines FICHTINGER a Gunther PERNUL, 2020. Security Operations Center: A Systematic Study and Open Challenges. IEEE Access [online]. 8, 227756-227779 [cit. 2022-05-10]. ISSN 2169-3536. Dostupné z: doi:10.1109/ACCESS.2020.3045514

24. The SOC hiring handbook [online]. [cit. 2022-05-10]. Dostupné z: https://logrhythm.com/uk-soc-hiring-handbook/?utm_program=EMEAcpc1&utm_source=google&utm_medium=cpc&utm_campaign=LogRhythm_-_NEUR_-_T1_-_Generics_-_SOC&utm_adgroup=Generics_-_SOC_-_Cyber&utm_term=cyber%20security%20operations%20center&matchtype=b&utm_region=EMEA&utm_language=en&gclid=EAIaIQobChMIgai11NzV9wIVNxoGAB2e0gw_EAAYASAAEgKQ3fD_BwE

25. NÁZORY: Lze stavět zároveň rychle, levně a kvalitně? [online]. [cit. 2022-05-11]. Dostupné z: http://zpravy.ckait.cz/vydani/2020-01/lze-stavet-zaroven-rychle-levne-a-kvalitne/