Центры мониторинга и реагирования на инциденты информационной безопасности (SOC) должны эволюционировать от ресурсоемких, реактивных сред к устойчивым, программно-ориентированным и осведомленным об атаках организациям, пишет на портале InformationWeek Ира Голдштейн, генеральный директор UltraViolet Cyber.

Самая большая проблема для современного SOC заключается не в недостатке инструментов. Она заключается в том, что инструменты не работают вместе, чтобы обеспечить более эффективную защиту. Руководители инвестировали в технологии обнаружения, индикаторы компрометации (TI feeds), управление информацией и событиями безопасности (SIEM), а также автоматизацию, но по-прежнему не могут достаточно быстро отвечать на самые важные вопросы. Что происходит? Что важно? Кто этим занимается?

Согласно результатам глобального исследования SANS Institute «2025 Global SOC Survey», SOC остаются перегруженными и испытывают нехватку ресурсов. Команды сталкиваются с бесконечным потоком оповещений, ограниченной видимостью в различных средах (особенно в средах поставщиков услуг) и разрывами между обнаружением и реагированием. Они вынуждены использовать нескоординированный набор инструментов, который оставляет слишком много места для ручного труда, что делает современные SOC устаревшими. Это поднимает вопрос: как будет выглядеть SOC в 2026 г.?

Обнаружение как код (Detection-as-Code, DaC) — это критически важный первый шаг, который помогает определить правила обнаружения угроз с помощью структурированного кода с контролем версий, который команды могут тестировать, проверять и развертывать согласованно в разных средах. Непрерывная проверка является ключом к принятию более эффективных решений, превращая обнаружение из предположения в доказательство. Наконец, многие команды испытывают трудности с объединением операций, которое приводит к значительным и эффективным изменениям в работе SOC. Оно позволяет командам сочетать наступательные тактики с защитной телеметрией для проверки эффективности мер защиты.

Проблемы SOC

В течение многих лет мы говорили, что усталость от оповещений вызвана слишком большим количеством шума; это приводит к пропущенным сигналам и подрывает приоритизацию. Но мы также должны говорить о разрозненных инструментах, которые ограничивают видимость, контекст и корреляцию.

Это ставит SOC в оборонительную позицию, вынуждая к реактивному реагированию, поскольку угрозы распространяются быстрее, чем команда может с ними справиться. Угрозы, управляемые ИИ, еще больше усложняют работу защитников. Без надлежащих процессов и экспертного контроля даже передовые инструменты испытывают проблемы с масштабированием.

Современные угрозы требуют изменения стратегии

SOC будущего должен определяться сетевыми эффектами, а не просто инструментами. Каждый инцидент, моделирование атаки и реагирование должны вносить вклад в общий слой знаний, который приносит пользу всем клиентам. Речь идет не только об автоматизации реагирования; речь также идет о прямой связи результатов обеспечения безопасности приложений, наступательной безопасности и управления рисками угроз с развивающейся логикой обнаружения.

SOC завтрашнего дня должен строиться как ПО. Передовые CISO переходят к подходу DaC, в котором логика обнаружения имеет версионный контроль, постоянно проверяется и развертывается как код.

Это позволяет ускорить логику обнаружения, снизить зависимость от коллективных знаний и масштабировать автоматизацию реагирования. Это сдвиг, требующий изменения мышления, сочетающего имитацию действий противника, автоматизированный анализ телеметрии и непрерывную проверку. Он также признает важность человеческого фактора, признавая, что организациям необходимы надежные, опытные операторы и партнеры для обеспечения устойчивости SOC в будущем.

Что должны предпринять CISO: пять стратегических шагов

Чтобы команды могли видеть, знать и защищать больше, став менее реактивными и более устойчивыми, CISO должны использовать сервисы, поддерживающие гибкие модели предоставления услуг, которые соответствуют уровню развития безопасности организаций. В частности, для обеспечения устойчивости SOC в будущем CISO должны инвестировать в:

1. Защиту, основанную на разведке угроз. Она подпитывается непрерывным анализом наступательных данных, встроенным в повседневные операции, превращая каждую смоделированную атаку в возможность усилить защиту. Разовых тестов на проникновение и аудитов уже недостаточно, и они выявляют слепые зоны слишком поздно. Сегодня «фиолетовая» команда — объединение «красных» (наступательных) и «синих» (защитных) команд для обмена информацией и совместной работы над целенаправленными, регулярными оценками — предоставляет более глубокие и оперативные инсайты для обеспечения готовности организации, одновременно усиливая защиту от потенциальных угроз.

2. DaC. Для кодификации логики обнаружения, масштабируемой по мере необходимости, реализация DaC должна включать написанную на предметно-ориентированных языках декларативную логику, описывающую то, что команды пытаются обнаружить; «источник истины» для обнаружения, который имеет версионный контроль, отслеживается, проверяется и легко откатывается при необходимости; и обеспечивать повторяемость, чтобы обнаружения можно было тестировать и проверять так же, как и код приложения.

3. Единую телеметрию и централизованные озера данных, которые хранят информацию в исходном формате, для устранения слепых зон. Команды ограничены отсутствием видимости между сильно разрозненными инструментами и наборами данных. Объединяя все это, SOC устраняют слепые зоны и обеспечивают корреляцию и контекст, необходимые для выявления предыдущих закономерностей, слабых мест и сложных наступательных техник.

4. Сценарии оркестрации, автоматизации и реагирования в области безопасности (SOAR). Расширяя концепции, лежащие в основе единой телеметрии и озер исходных данных, SOAR повышает видимость и реагирование в реальном времени, сокращая время пребывания и перемещения противников. Это не панацея, но это шаг в правильном направлении, позволяющий операторам с помощью новейших средств автоматизации создавать SOC будущего.

5. Симуляцию реальных угроз. Слишком часто команды считают эти симуляции трудоемкими, сводя их в лучшем случае к учениям «раз в год». К счастью, современные технологии позволяют проводить симуляции, которые гораздо более гибкие и эффективные, что приводит к более частому и эффективному тестированию. Это дает своевременные данные, позволяющие командам немедленно принимать меры. Если SOC действительно хочет устранить пробелы в обнаружении, он должен начать мыслить как противник.

Инвестируя в DaC, непрерывную проверку и унифицированные операции, CISO будут сочетать наступательные и оборонительные тактики для улучшения своего подхода к SecOps. Благодаря тому, что все обнаружения, симуляции атак и ответные действия поступают в общую базу знаний, их команды получат выгоду от современного SOC, созданного на перспективу.