TL;DR
Gwarantujemy lojalność i pełną transparentność. Bierzemy na siebie ochronę Twojej infrastruktury i skutecznie wzmacniamy obecny zespołu bezpieczeństwa / IT. Nasz model pracy eliminuje zbędne bariery komunikacyjne, zapewniając bezpośredni dostęp do ekspertów i reakcję w trybie 24/7. Poniżej przedstawiamy fundamenty naszej współpracy:
- Pracujemy w modelu jednoliniowym. Każdy analityk ma kompetencje ofensywne i defensywne potwierdzone certyfikatami.
- Działamy proaktywnie. Sprawdzamy każdy sygnał o podejrzanej aktywności. Nie ograniczamy się do ustalonych scenariuszy. Polujemy i eliminujemy zagrożenia na wczesnym etapie.
- Pracujemy bezpośrednio na systemach EDR/XDR, NDR, Identity Protection i SIEM.
- Zapewniamy monitoring, analizę i reakcję na incydenty. W pełnym zakresie. Przez 24 godziny na dobę.
- Gwarantujemy kompleksową obsługę w zakresie taktyczno-operacyjnym: od wystąpienia alertu, przez drobiazgową analizę do bezpośredniej, punktowej reakcji.
- Do dyspozycji masz zaawansowane zdolności operacyjne w zakresie: DFIR, CTI, ASM, wdrożeń, wsparcia i integracji systemów cyberbezpieczeństwa, audytów, Threat Hunting i Detection Engineering.
- Pracujemy na systemach klienta lub uzbrajamy monitorowane środowisko w systemy z najwyższej półki.
- Monitorujemy ponad 200 tys. endpointów i tożsamości w kilkudziesięciu organizacjach na całym świecie. Dlatego nasi ludzie mają praktyczne doświadczenie, które jest codziennie wzbogacane starciami na cybernetycznym polu walki.
- Mamy imponujące doświadczenie w pracy z systemami: SentinelOne, CrowdStrike, Microsoft XDR, Elastic Security, Greycortex, Fidelis Security, DarkTrace i innymi. Sami używamy tych narzędzi na dużą skalę. Od wielu lat.
- Cenimy współpracę w modelu hybrydowym: wspólne kanały na komunikatorach, pełna przejrzystość w zakresie procesów, narzędzi i technologii, dzielenie się wiedzą (warsztaty, szkolenia), pełne wsparcie techniczne systemów.
- Jesteśmy elastyczni w zakresie ścieżek kontaktowych i eskalacji, dostępów i autoryzacji, zakresu usług i narzędzi oraz integracji. Dopasujemy się do każdej organizacji.
Pracujemy przez 24 godziny na dobę, aby nasi klienci mogli skoncentrować się na swojej misji.
Unikalne podejście SOC360
SOC360 wykorzystuje interfejsy API do monitorowania rozwiązań cyberbezpieczeństwa, takich jak portal Microsoft Security oraz systemy XDR, EDR, NDR i SIEM, pod kątem alertów. W przypadku wystąpienia nowego alertu, automatycznie tworzone jest zgłoszenie w systemie obsługi incydentów, które wzbogacane jest o artefakty alertu. System sprawdza, czy podobne alerty wystąpiły już w przeszłości i czy zostały wcześniej przeanalizowane przez zespół. Następnie zgłoszenie trafia do analityków SOC360, którzy rozpoczynają szczegółową analizę incydentu.
Analitycy SOC360 łączą się bezpośrednio z konsolą systemu, który był źródłem alertu w celu przeprowadzenia szczegółowej analizy. Podczas analizy odpowiadają na pytania: Co to jest? Czy stanowi zagrożenie? Skąd pochodzi? Jaki jest zasięg zdarzenia? Proces analizy obejmuje między innymi: badanie telemetrii dostępnej w konsoli systemu, weryfikację zebranych danych w źródłach TI i OSINT, pivoting, pobranie i analizę podejrzanych plików, śledzenie wiadomości e-mail, analizę aktywności użytkowników, research, krzyżowe sprawdzanie danych w innych dostępnych systemach. Na koniec każdej analizy formułowany jest werdykt: incydent/fałszywy alarm. Incydenty są klasyfikowane zgodnie z ustaloną taksonomią. Wszystkie informacje uzyskane podczas analizy i wnioski są rejestrowane w systemie obsługi incydentów i niezwłocznie przekazywane klientowi zgodnie z ustalonymi metodami komunikacji.
W przypadku wykrycia incydentu zespół SOC360 podejmuje działania IR (zatrzymanie procesu, kwarantanna plików, izolacja hosta, zakończenie sesji użytkownika, wymuszenie wylogowania użytkownika, blokada konta, czarna lista nadawców/domeny e-mail itp.) zgodnie z przypisanymi uprawnieniami, autoryzacją i procedurami. Niezależnie od podjętych działań, informujemy klienta o incydencie zgodnie z ustalonymi kanałami komunikacji (telefon, e-mail, Teams, Slack, system zgłoszeń klienta). W uzasadnionych przypadkach podejmujemy działania DFIR w celu ustalenia wektora ataku, TTP atakujących, pacjenta zero, potencjalnych wycieków danych itp. Po zakończeniu obsługi incydentu klient otrzymuje szczegółowy raport.
Gdy analiza wykaże, że alert jest fałszywym alarmem, zespół SOC360 bada możliwość wprowadzenia zmian w konfiguracji systemów (dodanie wyjątku w regułach detekcji, modyfikacja reguł detekcji, biała lista nadawców / domen e-mail, aplikacji), aby ograniczyć występowanie podobnych alertów w przyszłości. Jest to ważna część usług SOC360, która pozwala zwiększyć skuteczność systemów bezpieczeństwa, a w większości przypadków zastępuje automatyzację obsługi alertów.
W środowiskach, które tego wymagają, przeprowadzamy implementację systemu klasy SIEM. Wdrożenie, podłączenie źródeł logów, aktywacja i dostrajanie reguł detekcji oraz tworzenie nowych reguł to zadania, które są wykonywane równolegle do wyżej wymienionych działań. Z naszego doświadczenia wynika, że uruchomienie i dostrojenie systemu SIEM to proces, który nigdy się nie kończy, a w niektórych organizacjach może być nieuzasadniony ekonomicznie. Automatyzacja obejmuje zestawy działań, które należy przećwiczyć i opracować manualnie, zanim będzie można je zautomatyzować. Dzięki naszemu podejściu możemy dostarczyć wartościowe usługi zwiększające bezpieczeństwo w zaledwie kilka dni po podpisaniu umowy. System SIEM / SOAR jest dostosowywany w trakcie trwania usługi w celu zwiększenia zasięgu bezpieczeństwa, ale proces ten nie ogranicza możliwości monitorowania bezpieczeństwa i reagowania na incydenty.
Takie podejście wymaga wysoko wykwalifikowanego zespołu, zorganizowanego w modelu jednoliniowym, który nie bazuje na szczegółowych scenariuszach do realizacji swoich zadań. Z tego powodu SOC360 utrzymuje wysokie kompetencje w całym zespole analityków, którzy pracują bez podziału na linie.
Wdrożenie usługi SOC360
Rozpoczęcie współpracy w zakresie operacyjnego wsparcia oferowanego przez operacyjne centrum bezpieczeństwa SOC360 jest możliwe niemal natychmiast po podpisaniu umowy. Proces wdrożenia obejmuje kompleksową integrację platformy SOC360 z monitorowanymi systemami bezpieczeństwa klienta. W ramach tego etapu przeprowadzany jest audyt konfiguracji istniejących systemów, mający na celu ocenę ich stanu oraz zgodności z wymaganiami bezpieczeństwa. Jednocześnie realizowany jest inicjalny tuning systemu, który pozwala na ograniczenie liczby fałszywych alarmów, co zwiększa skuteczność monitorowania i reagowania.
Kluczowym elementem wdrożenia jest ustalenie operacyjnych zasad współpracy. Obejmuje to określenie punktów kontaktowych, opracowanie ścieżek eskalacji incydentów oraz wyznaczenie poziomów autoryzacji do autonomicznych działań SOC360 w reakcji na incydenty. Dzięki temu możliwe jest precyzyjne dopasowanie działania systemu do potrzeb organizacji.
Integralną częścią wdrożenia są warsztaty, podczas których zespół SOC poznaje szczegóły architektury środowiska IT klienta, w tym jego specyfikę, priorytety oraz potencjalne słabe punkty. Podczas warsztatów klient może zapoznać się z procesami i narzędziami SOC360.Takie podejście pozwala na lepsze dostosowanie usługi do unikalnych wymagań klienta oraz zapewnienie maksymalnej efektywności ochrony.
Unikalne przewagi SOC360
SOC360 pracuje w nowoczesnym modelu organizacyjnym bez podziału na linie. Utrzymujemy najwyższy poziom kompetencji w obrębie całego zespołu, dlatego możemy zagwarantować naszym klientom:
Szybszy czas reakcji: W modelu jednoliniowym zagrożenia bezpieczeństwa są rozwiązywane natychmiast po ich wykryciu, bez opóźnień wynikających z eskalacji przez kolejne linie SOC. Pomaga to znacznie skrócić czas reakcji i zminimalizować potencjalne szkody;
Zwiększoną wydajność: W modelu tradycyjnym czas i zasoby mogą być marnowane na niepotrzebne kroki związane z eskalacją. Model jednoliniowy omija te kroki, umożliwiając analitykom bezpośrednie reagowanie na zagrożenia;
Lepszy przepływ wiedzy: W modelu jednoliniowym wszyscy członkowie zespołu są zaangażowani w radzenie sobie z szerszym zakresem zagrożeń, co prowadzi do rozwoju umiejętności i lepszej wymiany wiedzy. Dzięki temu możemy lepiej komunikować się z klientami i utrzymywać świadomość sytuacyjną;
Stałą gotowość: W przeciwieństwie do modelu tradycyjnego, w którym dostępność wykwalifikowanego personelu może być ograniczona grafikiem, model jednoliniowy zapewnia naszym klientom stały poziom gotowości do podejmowania skomplikowanych zadań w każdej chwili.
SOC360 to zespół ludzi o wysokich kompetencjach. Każdy z naszych analityków dysponuje wiedzą z zakresu bezpieczeństwa ofensywnego i defensywnego oraz praktycznym doświadczeniem zdobytym podczas analizowania i reagowania na tysiące incydentów.
Zespół pracuje w trybie 24/7, w wydzielonym, zabezpieczonym pomieszczeniu wyposażonym w dedykowane stacje robocze i hosty przesiadkowe do obsługi systemów klientów. Nasza sieć jest chroniona technologiami najwyższej klasy i stale monitorowana.
W przypadku złożonych, ważnych lub zakrojonych na szeroką skalę incydentów, wyznaczamy zespół Incident Response (IR) do ich obsługi, aby zapewnić odpowiednie zasoby i jeden punkt kontaktowy.
Dzielimy się wiedzą. Zapewniamy szkolenia operacyjne oraz szkolenia dla osób utrzymujących bezpieczeństwo po stronie klienta. Szkolenia obejmują: procesy i procedury, wykorzystanie narzędzi, współpracę z zespołem SOC360. Nasze usługi sprawdzają się w modelu hybrydowym.
Współpracujemy z naszymi klientami nad dostosowaniem procedur operacyjnych SOC360 do potrzeb organizacji, biorąc pod uwagę polityki bezpieczeństwa, ścieżki eskalacji, kontekst incydentu, wpływ na systemy i misję organizacji.
Obecnie SOC360 (Q4 2025) zatrudnia 40 analityków. Kompetencje zespołu są stale rozwijane i potwierdzone uznanymi certyfikatami w zakresie cyberbezpieczeństwa defensywnego i ofensywnego, które posiada każdy analityk pracujący operacyjnie.