SOC-tjeneste: hva det er, og når en liten bedrift trenger det
De fleste små bedrifter har antivirus, og mange har Microsoft Defender gjennom Microsoft 365 Business Premium. Verktøyene varsler når noe er galt. Spørsmålet er hvem som leser varselet når det kommer klokken 02.30 natt til lørdag.
Det er det en SOC svarer på. Her er hva en SOC-tjeneste er, hva begrepene betyr, og hvordan dere vurderer om bedriften trenger det.
Hva er en SOC?
SOC står for Security Operations Center, et sikkerhetssenter der analytikere overvåker IT-miljøet til kundene døgnet rundt. De følger med på varsler fra PC-er, servere, brukerkontoer og skytjenester, vurderer hva som er reelt, og griper inn når noe er galt.
For en liten bedrift er SOC nesten alltid en tjeneste dere kjøper, ikke noe dere bygger selv. Å bemanne overvåking hele døgnet, hele året, krever flere spesialister og er uaktuelt for de fleste. Med en SOC-tjeneste deler dere de samme analytikerne med mange andre virksomheter.
Hvorfor tidspunktet betyr så mye
Et angrep starter sjelden med noe dramatisk. Det starter ofte med en innlogging fra et uvanlig sted, en konto som plutselig får nye rettigheter, eller et program som begynner å kryptere filer på én PC. Får noen stoppet det tidlig, blir det en hendelse på én maskin. Får det gå ubemerket i timevis, kan det bli et angrep på hele bedriften.
Angripere vet at IT-ansvarlige har fri. Kvelder, helger og ferier er populære tidspunkt nettopp fordi ingen følger med. Sikkerhetsselskapet Fence beskriver den første timen etter at en angriper har kommet seg inn som avgjørende. Det er den timen en SOC skal fange opp.
Verktøy alene er ikke nok
Defender og andre sikkerhetsverktøy kan stoppe mye automatisk. Men mange varsler krever at et menneske vurderer dem: Er dette en ansatt på reise, eller noen som har stjålet passordet? Uten noen som leser varslene, blir de liggende.
Begrepene du møter
Leverandørene bruker mange forkortelser. Dette er de vanligste:
| Begrep | Hva det betyr | Hva det gir dere |
|---|---|---|
| EDR | Endpoint Detection and Response | Overvåker PC-er og servere, oppdager mistenkelig oppførsel og kan isolere en maskin |
| ITDR | Identity Threat Detection and Response | Overvåker brukerkontoer og innlogginger, og oppdager kapring av kontoer |
| XDR | Extended Detection and Response | Samler signaler fra flere kilder, som PC-er, e-post, kontoer og nettverk, i ett bilde |
| SIEM | Security Information and Event Management | Samler og analyserer logger fra hele miljøet over tid |
| MDR | Managed Detection and Response | Overvåking og respons levert som en tjeneste, med folk som følger med |
En SOC-tjeneste for en liten bedrift starter gjerne med EDR og ITDR, altså PC-ene og kontoene. Større eller mer utsatte virksomheter legger på XDR og SIEM for å se hele miljøet samlet.
Hva skjer når noe oppdages
Rekkefølgen varierer mellom leverandører, men et typisk forløp ser slik ut:
- Varsel. Et sikkerhetsverktøy reagerer på noe uvanlig, for eksempel en innlogging fra et annet land eller et program som oppfører seg som løsepengevirus.
- Analyse. En analytiker vurderer varselet, gjerne med hjelp av automatisk analyse og kunnskap om hvordan kjente angrep ser ut.
- Tiltak. Er det reelt, stoppes angrepet: en maskin kan isoleres fra nettverket, eller en konto kan sperres og logges ut.
- Varsling. Kontaktpersonen deres får beskjed om hva som har skjedd og hva som er gjort.
- Oppfølging. Dere får hjelp til å rydde opp, finne årsaken og tette hullet.
Det viktigste spørsmålet å avklare på forhånd er hvilke tiltak SOC-en har lov til å gjøre uten å ringe dere først. Klokken tre om natten er det ofte bedre at en maskin isoleres med en gang enn at noen venter på at dere svarer.
Trenger en liten bedrift en SOC?
Ikke alle trenger det fra dag én. Men det er verdt å vurdere hvis ett eller flere av disse punktene stemmer:
- Dere har Microsoft 365 Business Premium eller andre sikkerhetsverktøy, men ingen som følger med på varslene.
- Kunder eller oppdragsgivere stiller krav til overvåking i sikkerhetsvedlegg eller anbud.
- Dere behandler sensitive opplysninger om kunder, pasienter eller økonomi.
- Dere har ingen egen IT-avdeling som kan rykke ut utenfor arbeidstid.
- En driftsstans på noen dager vil koste mer enn tjenesten.
SOC kommer etter det grunnleggende
En SOC erstatter ikke de grunnleggende tiltakene. Har dere ikke tofaktor på alle kontoer, oppdaterte maskiner og en backup som faktisk kan gjenopprettes, er det der dere bør begynne. Overvåking gir mest når grunnmuren er på plass, og en god SOC-leverandør vil si det samme. Se hvilke tiltak vi anbefaler først.
Microsoft 365 og Defender
Bruker dere Microsoft 365 Business Premium, har dere allerede Microsoft Defender for Business og bedre beskyttelse av kontoene gjennom Entra ID. Det er gode verktøy som stopper mye på egen hånd. Det de ikke gjør, er å ringe noen når et varsel krever en vurdering.
Mange SOC-tjenester kan derfor kobles direkte på Microsoft-verktøyene dere allerede har. Da betaler dere for overvåkingen og responsen, ikke for et nytt sett med programmer.
Slik leverer vi SOC-tjenester
Digital Rådgiver drives av Øyvind Fjæråsen, som er leder for IT-løsning i OfficeLink Mobil og IT. OfficeLink har et samarbeid med det norske sikkerhetsselskapet Fence om SOC-overvåking 24/7/365.
- SOC-en til Fence og de sertifiserte analytikerne deres er tilgjengelige hele døgnet.
- Overvåkingen bygger på teknologi fra det finske sikkerhetsselskapet WithSecure, som beskytter og overvåker PC-er, servere og kontoer.
- Fence er sertifisert etter ISO/IEC 27001:2022 og godkjent i Nasjonal sikkerhetsmyndighets kvalitetsordning.
- Tjenesten finnes i flere nivåer, fra overvåking av PC-er og kontoer (EDR og ITDR) til hele miljøet med XDR og SIEM.
- Den kan bygges på Microsoft 365 og Defender som dere allerede har.
Vi hjelper dere å finne riktig nivå, få på plass det grunnleggende først, og koble overvåkingen til miljøet deres. Les mer om SOC-tjenesten.
Spørsmål å stille en SOC-leverandør
Uansett hvem dere velger, bør dere få klare svar på dette:
- Hva overvåkes: bare PC-ene, eller også kontoer, e-post, servere og nettverk?
- Er det mennesker som følger med hele døgnet, eller bare automatiske varsler utenfor arbeidstid?
- Hvilke tiltak kan SOC-en gjøre uten å spørre dere først?
- Hvem ringer de, og hva skjer hvis de ikke får tak i noen?
- Hvor raskt reagerer de, og står det i avtalen?
- Hvilken rapportering får dere, og hvor ofte?
- Hvor lagres loggene og dataene deres, og hvem har tilgang?
- Hvilke sertifiseringer har leverandøren?
- Hva skjer med dataene og oppsettet hvis dere vil bytte leverandør?
Ofte stilte spørsmål
Hva er forskjellen på antivirus og en SOC?
Antivirus er et program som prøver å stoppe kjent skadevare på en maskin. En SOC er mennesker som overvåker hele miljøet, vurderer varslene og griper inn når noe er galt, også det verktøyene ikke stopper selv.
Er en SOC bare for store bedrifter?
Nei. Fordi tjenesten deles mellom mange kunder, er den tilgjengelig også for små bedrifter. Prisen avhenger gjerne av hvor mange brukere og maskiner som overvåkes, og hvilket nivå dere velger.
Må vi bytte ut verktøyene vi har?
Ikke nødvendigvis. Bruker dere Microsoft 365 Business Premium med Defender, kan overvåkingen ofte bygges på det dere allerede har.
Hva er MDR?
MDR, Managed Detection and Response, er overvåking og respons levert som en tjeneste. I praksis brukes MDR og SOC-tjeneste ofte om det samme.
Hjelper en SOC hvis vi allerede er angrepet?
En SOC er laget for å oppdage og stoppe angrep tidlig. Er dere allerede rammet, trenger dere hendelseshåndtering. Les hva dere gjør de første timene, og ta kontakt.
Vil dere vite om SOC er riktig for bedriften, eller hva som bør på plass først? Book 30 minutter eller ta kontakt.
