Skupina Slo-Techovcev v IT Sec?

secops je 22. apr 2022 ob 09:26 izjavil:

kiberpunk je 20. apr 2022 ob 10:32 izjavil:

Mi smo postali kar veliki ponudnik SOC storitev v Evropi, sicer podjetje je del Evropske skupine, ampak smo pa načeloma slovenci. Z rastjo SOC-a, smo pričeli tudi ustanavljati posamične stebre z lastnimi ekipami (Incident Response, Threat Detection, Threat Intelligence, Vulnerablity Management, ipd.).

Mislim da je v Sloveniji praktično nemogoče dobiti izkušen kader za tovrstno delo (predvsem govorim za delo v SOC oddelkih). Če že želiš izkušene, potem žal moraš poachat. Alternativa pa je seveda investicija v mlajši kader, ki ima vsaj neko izmed IT znanj (IT Engineer, Programer, ipd.) in se potem priuči potrebno. To na srečo je dobra alternativa danes, ko smo dovolj veliki, da si lahko privoščimo imeti nekoga pod mentorstvom nekaj mescev. Pravtako zaposlujemo veliko.

Zakaj si jaz ne morem predstavljati, da bi, kot developer zamenjal svojo udobno in dobro plačano pozicijo za izmensko delo?

Lahko poveš kako to izgleda (Incident Response, Threat Detection, Threat Intelligence, Vulnerablity Management, ipd.) ali gre samo za marketinški bullshit?

Incident Response deluje tako, da ponujamo retainer. To si predstavljal kot nam ponujajo zavarovalnice njihove storitve - mesecno placujes, ce se ti slucajno kaj zgodi in pol smo mi pripravljeni da izvedemo IR proces, kadar nas poklicejo. Lahko je pa tudi del SOC storitve, torej v tem primeru bi nasi SOC analitiki zaznali incident (T1 poda sum, T2 potrdi, Incident Response gre v akcijo). Zadnje case nas veliko klicejo (imamo 'hotline' stevilko) torej varijanta 'on-demand' IR. Veliko je iz tujine, ampak opazamo v 2021-2022 znaten narascaj v Sloveniji, vendar je zal v vecino primerih ransomware in mnogo prepozno (ko dobimo klic je ze vse zakriptirano). V takih primerih poskusamo ugotoviti Initial Access (da preprecimo ponovni napad) ter seveda pomagamo z backupiranjem, da se izvede primerno (ce so le preziveli backupi). Vcasih se uporabi kaksen encryption ki ga lahko reverse-amo, npr. PartyTicket je tak ki se je nedavno uporabljal v napadih na Ukrajino in se je pricel tudi uporabljat na privat organizacije po svetu. Kadar pa ni prepozno, je prvotni cilj IR zajeti incident, da se ne nek malware ne siri po omrezju naprej, ampak ga omejimo na tisto okuzeno napravo (ali network segment). Ce to uspemo, potem sledi analiza okuzene delovne postaje, da poskusimo pridobiti cimvec IOC (indikatorji o zlorabi), da potem s pomocjo Threat Intelligence ugotovimo kaksen malware se je uporabil, kdo je tipicen Threat Actor ki to uporablja, ipd. Na podlagi tega dobis TTPs (Tactics, Techniques and Procedures), ki pa so nam kljucni za odkrivanje se neodkritega pri stranki oz. zdrugimi besedami, sprozimo Threat Hunting misije, kjer iscemo se tiste dodatne IOCs po omrezju, da poskusimo najt se morebiti dosedaj nezaznano okuzbo kje drugje. Kadar s "containment" fazo zakljucimo, se lotimo "eradication" faze, kjer pocistimo sisteme temeljito. Na koncu pa se izvedemo "remediacijo", kjer pomagamo stranki vzpostaviti nazaj njihovo delovno okolje.

Threat Detection ekipa skrbi za razvoj lastnih pravil za zaznavo. Poglaviten fokus imamo tukaj na EDR (Endpoint Detection in Response) in SIEM orodjih. Deluje pa v simbiozi s Threat Intelligence ekipo, kjer je TI ekipa priskrbi zadnje (relevantne) informacije o groznjah, ki bi lahko vplivale na to stranko in potem Threat Detection ekipa poskusi razviti smiselna zaznavna pravila (ce le to niso samo IOCs). Zelo popularen je postal MITRE ATT&CK Framework, ki navaja veliko uporabljenih tehnik in taktik pri napadih, katere mi potem lahko prevedemo v zaznavna pravila. V to ekipo tudi sodi Threat Hunting - proaktivno iskanje grozenj. Torej pri TH ne spises zaznavnih pravil, ampak definiras neko hipotezo in poskusis to hipotezo potrdit v strankinem okolju. Navadno to ponovno lepo sovpada z najdbami Threat Intelligence.

Threat Intelligence pa kot sem zdaj ze vmes veckrat omenil nekako povezuje vse te 'stebre' v SOC-u. Pri IR je pomemben za odkrivanje Threat Actorja in stem pridobitev novih IOCs ter informacij ki pomagajo zajeziti incident cim hitreje. V kontektsu Threat Detection pa pomaga z idejami za nova zaznavna pravila ali Threat Hunting misije. Je del SOC storitve v osnovni. Premium TI pa recimo posega potem v to da stranka dobi prilagojena TI porocila, s katerimi lahko ugotavljajo v kaj bi bilo smiselno investirati naslednje glede na aktualne groznje ipd.

Ti trije so naprimer posebej ekipe v nasem primeru. Potem imas seveda tipicno SOC Analitiki ekipo, kjer so vkljuceni Tier 1 in Tier 2 analitiki. Ti navadno delajo 24/7. Medtem ko IR in TI so bolj "on-call" v primeru incidenta ali kaj podobnega, v nasprotnem normalen delovnik.


Malce mi je tezko vse opisati v Forum sporocilu, ampak upam da sem vsaj visokonivojsko uspel predstaviti. Tudi sam sem pricel kariero kot SW Developer in sem tranzicioniral v cybersecurity. Mi je zelo vsec ta panoga, zelo dinamicna in polna izzivov.