Security Operation Center (SOC): come gestire con efficacia la sicurezza IT

Un Security Operation Center è un’importantissima risorsa per tutte le aziende che vogliono delineare una strategia di sicurezza completa e vincente.
Una soluzione oggi quanto mai necessaria per sopravvivere in un mondo dove i rischi informatici crescono a dismisura giorno dopo giorno, ponendo l’attenzione sul tema critico e attuale della cyber security.

In cosa consiste quindi un Security Operation Center? Quali servizi e funzionalità offre?
Analizziamo ogni dettaglio in questo articolo.

Cos’è il Security Operation Center?

Il Security Operation Center (SOC) è un centro operativo che fornisce i servizi necessari per garantire la sicurezza dei sistemi informativi di un’azienda, occupandosi della gestione, dell’analisi e del monitoraggio.
Non si limita ai servizi erogati internamente dall’azienda, ma coordina anche i servizi esterni.

Le attività vengono svolte da un team esperto di professionisti e lo scopo è offrire una strategia di security ben orchestrata, completa ed efficace.
In particolare si esamina l’intero flusso di dati che transita nella rete aziendale e si controlla ogni dispositivo connesso per individuare i rischi e prevenire possibili attacchi.

Un SOC supervisiona ogni attività di gestione delle funzionalità di sicurezza, monitora in tempo reale ogni aspetto dell’infrastruttura e offre servizi proattivi ideati per migliorare e aumentare il livello di protezione dell’ecosistema aziendale.
Tiene sotto controllo rete, traffico, applicazioni, server, endpoint e database e grazie a software specifici automatizza diversi processi.

Non esiste un unico modello di Security Operation Center, perché questo viene strutturato completamente su misura dell’azienda di riferimento, garantendo esattamente ciò di cui ha bisogno quel determinato business.
Sono però disponibili alcune linee guida o framework utili per implementare un SOC funzionale e adeguato.

Tutti i principali vantaggi

Affidarsi a un Security Operation Center significa puntare sulla sicurezza e beneficiare di una strategia completa e ben strutturata per gestire ogni aspetto relativo.
I vantaggi che ne derivano sono quindi numerosi e nello specifico è possibile:

• Esaminare e monitorare anomalie e attività sospette, prevenendo rischi e minacce nella rete o nel perimetro aziendale.
• Proteggere i dati e le risorse informatiche, garantendo massima tutela della privacy.
• Gestire i sistemi hardware e software in maniera centralizzata.
• Migliorare le comunicazioni interne tra i reparti aziendali, puntando su collaborazione e consapevolezza.
• Assicurare controlli e trasparenza in tema di cyber security.
• Ottimizzare il piano di incident response, riducendo al minimo l’impatto di un eventuale attacco in termini economici e di Business Continuity.
• Porre l’attenzione sul rispetto e la conformità alle normative vigenti in merito al trattamento dei dati.
• Definire con più precisione i ruoli e le responsabilità necessari per garantire sicurezza aziendale.

SOC: quali servizi offre

Quali sono i servizi e le funzionalità offerti da un Security Operation Center?
In linea generale un SOC monitora il sistema informatico di un’azienda, gestisce le vulnerabilità riscontrate e trova delle soluzioni per risolvere problemi o incidenti.

Facendo un’analisi più dettagliata, quindi, i servizi che si possono individuare sono:

• Analisi e gestione delle risorse IT: è possibile analizzare costantemente, 24 ore su 24, e in maniera centralizzata tutti i sistemi e le tecnologie necessari a garantire sicurezza informatica.
  In questo modo si possono individuare anomalie e potenziali attacchi, esaminarli e sottoporli a chi di dovere identificando nel team il professionista preposto. Il SOC è infatti estremamente specializzato e ogni figura coinvolta ha un ruolo e competenze ben precisi.
  Gli strumenti utilizzati, inoltre, sono scalabili e flessibili.
  
• Security Alert: invio ai clienti di notifiche e avvisi di sicurezza in caso vengano individuate vulnerabilità o possibili minacce. Consente di agire con tempestività e di adottare tutti gli accorgimenti possibili per mitigare i danni.
  
• Mitigazione dei DDoS: il SOC si occupa di limitare gli effetti di un attacco di tipo Distributed Denial of Service (DDoS), volto a esaurire le risorse di un sistema informatico. Per farlo attiva delle procedure specifiche pianificate per fronteggiare il problema, adottando delle contromisure e ripulendo la rete. Al termine invia una notifica di attacco risolto.
  
• Reportistica: tutti i log registrati vengono esaminati e rielaborati per essere presentati al cliente in maniera più chiara. Un’attività che serve a segnalare e annotare gli incidenti che si sono verificati, i tentativi di intrusione e le misure preventive attuate.
  
• Assistenza tecnica: per tutto ciò che concerne la sicurezza viene offerta un’assistenza tecnica completa e costante, sia da remoto che in loco.

A questi si aggiungono il Security Device Management e il Security Assessment, che approfondiamo di seguito.

Monitorare l’infrastruttura grazie al Security Device Management

Un importante servizio offerto da un Security Operation Center è quello di Security Device Management (SDM), che si articola in Fault Management e Configuration Management.

Il Fault Management, o gestione del guasto, è un servizio che si occupa di assicurare un funzionamento ottimale e costante dell’intera infrastruttura di sicurezza preposta dal cliente, monitorandone l’aspetto sistemistico e l’efficacia.
Può quindi rilevare e segnalare le anomalie, individuare un piano di risposta adeguato, attuare le procedure atte a contrastare le vulnerabilità e ripristinare le configurazioni in modo da riportare il sistema al suo stato originale.

Il Configuration Management, o gestione della configurazione, è invece il servizio che garantisce l’allineamento delle regole di firewalling alle necessità del cliente.
Coinvolge l’intera infrastruttura gestita dal SOC e configura le policy riguardanti il traffico dati definendo indirizzo sorgente, indirizzo di destinazione, protocollo di rete, protocollo di servizio e logging del traffico.

Fare una valutazione con il Security Assessment

Grazie a un Security Operation Center si può abilmente fare il punto della situazione e valutare il livello di sicurezza a cui effettivamente il proprio sistema informatico è sottoposto.
Per farlo entra in gioco il servizio di Security Assessment, che comprende il Vulnerability Assessment e il Penetration Test.

Il Vulnerability Assessment (VA), chiamato anche Test di Vulnerabilità, è un test di sicurezza che individua tutte le potenziali vulnerabilità di sistemi informatici e applicazioni web.
Rileva i punti deboli del sistema di sicurezza, valuta quali possono essere i potenziali danni in caso di attacco e aiuta a individuare e pianificare tutte le operazioni necessarie per migliorare i sistemi difensivi in atto.
Il vantaggio di questa tipologia di test è che, una volta identificati i punti deboli di un sistema, li può isolare e classificare, offrendo ai tecnici una perfetta panoramica dei problemi e delle criticità su cui agire.

Il Penetration Test è la simulazione di un attacco informatico che ha l’obiettivo di testare la vulnerabilità della rete o sistema operativo che si sta utilizzando.
Si attua vestendo i panni di un vero e proprio hacker e tentando concretamente di entrare nel proprio sistema informatico seguendo ogni passaggio in maniera approfondita.
In questo modo si potranno testare sul campo tutti gli strumenti di difesa in dotazione e valutare una volta per tutte se gli accorgimenti adottati sono efficaci, adatti al contesto in esame e di numero sufficiente.

Security Operation Center: i servizi di livello 1 e livello 2

ll servizio principale offerto da un Security Operation Center è sicuramente il Security Incident Detetion and Monitoring, che deve essere garantito da qualsiasi SOC considerato di livello 1.
Questo tipo di servizio rileva le anomalie nel traffico dati e comprende attività di:

• Log Management: raccolta e analisi dei dati tracciati e relativi agli eventi verificatosi.
• Security Monitoring and Alerting: monitoraggio dei dati registrati.
• Security Incident Management: ricerca di risposte e soluzioni in caso di incidenti.

Queste attività possono essere eseguite grazie ai SIEM (Security Information and Event Management), che aggregano dati significativi provenienti da fonti diverse per fornire analisi e pattern in tempo reale e individuare potenziali minacce.

In caso di concreto attacco il SOC può offrire un piano di Incident Response (IR) e il Security Operation Center viene così definito di livello 2.
Il team preposto per l’IR esamina gli alert inviati dal SOC, li integra con le informazioni di cui già dispone e delinea le procedure necessarie a risolvere il problema e risanare il sistema.
Fornisce assistenza in ogni passaggio utile al recovery e ripristino e collabora in stretto contatto con il reparto tecnico dell’azienda e del SOC.

In alcuni casi i professionisti dell’Incident Reponse suggeriscono al Security Operation Center delle modifiche e dei cambiamenti da attuare per migliorare ulteriormente il livello di sicurezza offerto.

Le figure chiave di un Security Operation Center

In un SOC lavorano e collaborano diverse figure professionali, ognuna con competenze differenti e preposta a un ambito ben preciso.
In particolare i professionisti che possiamo individuare sono:

• SOC Manager: è il capo dell’intera infrastruttura ed è il responsabile operativo del SOC e di tutte le risorse coinvolte nella cyber security aziendale. Coordina e supervisiona le attività dei vari membri del SOC e comunica costantemente con i responsabili aziendali, aggiornandoli tramite report e insight rielaborati per essere comprensibili anche a chi non lavora nel settore.
  
• Incident responder: gestisce e mitiga gli attacchi delineando un piano di difesa efficace per eliminare definitivamente la minaccia.
  
• Investigatore forense: individua le cause di un incidente e ne ricostruisce le dinamiche, fornendo informazioni utili all’incident responder che può così trovare una soluzione più facilmente.
  
• Analista: predispone e organizza i sistemi di allerta sfruttando i log generati dai sistemi di monitoraggio e analizza i risultati ottenuti dai test di Vulnerability Assessment. Possiede ottime competenze in materia di programmazione, sa come amministrazione i sistemi e conosce perfettamente tutto ciò che concerne la sicurezza informatica.
  
• Ethical hacker: esegue i test di Vulnerability Assessment e Penetration Test, simulando gli attacchi come farebbe un vero hacker e individuando così i punti deboli del sistema di sicurezza. Lavora a stretto contatto con gli analisti.
  
• Compliance auditor: si assicura che tutte le procedure eseguite dal SOC siano conformi alle normative vigenti e alle policy aziendali, proponendo eventualmente alternative e modifiche.

Non necessariamente tutte queste figure sono sempre presenti in un SOC: il numero di membri varia in base al budget e alla complessità delle mansioni richieste.

SOC interno e SOC esterno a confronto

Quando si decide di affidarsi a un Security Operation Center, si può optare per una soluzione interna o esterna. Cosa cambia?
Parlando di tecnologie, funzionalità, risorse e processi, in realtà, non ci sono grosse differenze: a determinare l’ago della bilancia è il personale e il team preposto a occuparsi del SOC.

Sono infatti i professionisti incaricati a occuparsi di attività come l’intelligence e a compiere tutto il necessario per individuare le minacce e analizzare i rischi e dipende quindi da loro l’efficacia o meno dell’operato di un SOC.
Per questo, prima di scegliere se puntare su un Security Operation Center interno o esterno, è molto importante capire chi dovrà occuparsene e valutare se il personale a disposizione è adeguatamente formato e competente.

Se il team aziendale può contare su buoni analisti, allora si può optare su un SOC interno, in caso contrario è meglio affidarsi a una struttura esterna.