מרכז תפעול אבטחת מידע

**מרכז תפעול אבטחת מידע** (באנגלית: **Security Operations Center**, בקיצור **SOC**) הוא יחידה ארגונית המרכזת את פעולות ההגנה בסייבר: ניטור מתמשך של מערכות, מידע ותעבורת רשת, זיהוי אנומליות ואירועים, חקירה ראשונית, תיאום תגובה לאיומים ושיקום לאחר אירוע. ה־SOC פועל בשילוב של **אנשים, תהליכים וטכנולוגיה**, ומסתמך על כלים כגון SIEM/SOAR ו-EDR/XDR לצבירת לוגים, מתאם והתראות. ארגונים מפעילים SOC פנימי או נעזרים בספק חיצוני (MSSP), ולעיתים במודל משולב.

## תחומי אחריות עיקריים של SOC
מרכז תפעול אבטחת מידע אחראי על **זיהוי, ניתוח ותגובה** לאיומי סייבר בארגון.

בין תחומי הפעילות העיקריים:
* **ניטור מתמשך (Continuous Monitoring):** מעקב בזמן אמת אחר תעבורת רשת, יומני מערכות ופעילות משתמשים כדי לזהות חריגות והתנהגות חשודה.
* **ניהול אירועים ותגובה (Incident Response):** תיאום פעולות בעת גילוי מתקפה או פריצה, לרבות ניתוח ראשוני, בלימה, תיקון ושיקום.
* **מודיעין איומים (Threat Intelligence):** איסוף וניתוח נתונים ממקורות חיצוניים כדי לזהות מגמות וחתימות התקפה חדשות.
* **[[בדיקת חדירות|בדיקות חדירוּת]] והערכת פגיעויות:** בדיקות יזומות לזיהוי נקודות תורפה במערכות ובתשתיות.
* **דיווח ועמידה ברגולציה:** הפקת דו"חות שוטפים וניטור עמידה בתקנים כגון ISO/IEC 27001 ו־27035.

## רכיבים ותהליכים עיקריים
SOC טיפוסי פועל סביב שלושה רכיבים משלימים:

# **אנשים:** אנליסטים, חוקרי סייבר, מנהלי SOC וציידי איומים.
# **תהליכים:** נהלים לניטור שוטף, טיפול באירועים, תיעוד והפקת לקחים.
# **טכנולוגיה:** כלים ממוחשבים לאיסוף נתונים, ניתוח אוטומטי והפעלת תגובות.

תהליכי העבודה כוללים בדרך כלל:
* **זיהוי** (Detection)**:** איסוף וניתוח נתונים מכלים כמו SIEM ו־EDR.
* **תגובה** (Response)**:** הפעלת צעדים מידיים לבלימת מתקפה.
* **שחזור** (Recovery)**:** השבת מערכות לתפקוד תקין.
* **למידה ושיפור** (Lessons Learned)**:** ניתוח האירועים והפקת לקחים לטובת שיפור עתידי.

## שירותים אפשריים המוצעים על ידי ה-SOC
* ניתוח וניהול יזום של מערכות וטכניקות אבטחת IT
* ניהול מכשירי אבטחה
* דיווח
* אזעקת אבטחה
* בקרת נזקי DoS
* הערכת נזקי וסיכוני אבטחת מידע
* עזרה טכנית

### ניתוח וניהול יזום של מערכות וטכניקות אבטחת IT
מטרת שירות זה היא ניתוח יזום של מערכות וטכניקות אבטחת IT 24 שעות ביממה (IDS, IPS, חומת אש וכו'). מערכות האנטי-פריצה מאפשרות ניהול מרכזי של שיטות אבטחת מידע, כך שניתן לזהות התקפות פוטנציאליות מהמחשב ומהאינטרנט והאינטראנט. הצוות המוזמן לכך הוא בדרך כלל מאוד מיוחד ומוסמך.

מנתחי אבטחה יודעים רק את הפונקציות של כלי הניטור במקום הציוד הכולל הנרחב של אמצעי הזהירות. המדרגיות של הכלים של ה-SOC היא גורם קריטי נוסף; למשל, קל יחסית להוסיף IDS (מערכת זיהוי חדירות) חדשה לקיימים. לעיתים קרובות ה-SOC מנהל גם חלק הקשור לניהול מדיניות, למשל נלקחת בחשבון התצורה מחדש של ציוד הבטיחות. יש לעדכן כל הזמן את התצורה המקורית של המכשירים ומדיניות האבטחה על ידי מעקב אחר התפתחות הרשת של הלקוח.

### ניהול מכשירי אבטחה
ניהול התקני אבטחה (SDM) מתפתח במיוחד סביב שני התהליכים החשובים ביותר:
* ניהול שגיאות
* ניהול תצורה.

#### ניהול שגיאות
המטרה העיקרית של ניהול תקלות היא להבטיח תפעול מיטבי ורציף של תשתית הבטיחות. הפעילויות כוללות:
* הפיקוח המתמיד על ציוד הבטיחות של הלקוח על ידי ה-SOC
* זיהוי ואזעקה במקרה של תקלות (כרטיס תקלה בהפעלה)
* קבע איזו פעולה לנקוט כדי לתקן את המצב
* יישום אמצעי התיקון המתאימים
* שחזור תצורות במקרה של אובדן לאחר תקלה

#### ניהול תצורה
המטרה העיקרית של ניהול התצורה היא להבטיח שמבני חומת האש יהיו מותאמים כל הזמן לצורכי הלקוח. זה מכסה את כל המכשירים המנוהלים על ידי ה-SOC. ניהול תצורה כולל את פעילויות התצורה ומתאים מסנני מדיניות או הרשאות לזרימת תעבורת נתונים ממקור חיצוני למקור פנימי (או להפך), בהתבסס על:
* כתובת המקור
* כתובת משרד היעד
* פרוטוקול רשת
* יומן שירות
* רישום נתוני תנועה.

### דיווח
היומנים מהקונסולות או מהמכשירים הפרוסים מנותחים בדרך כלל בקפידה ומעובדים מחדש כך שניתן יהיה להבין אותם בקלות על ידי הלקוח. דיווח זה חשוב במיוחד מכיוון שבנוסף לפרטי ניסיונות חדירה אפשריים של יחידות לא מורשות או קשיים בלתי צפויים שנראו בתקופת הדיווח, הלקוח יכול לנקוט באמצעי זהירות.

### אזעקת אבטחה
שירות התראת אבטחה פותח על מנת להודיע ללקוחות על גילוי פערי אבטחה חדשים במהירות האפשרית על מנת ליצור מיידית את אמצעי הנגד הנדרשים כדי למתן או לנטרל את ההשפעות של הפגיעויות החדשות.

### בקרת נזקים DDoS
מטרת הגבלת הנזק של DDoS היא לצמצם את ההשלכות של מתקפה מסוג "מניעת שירות מבוזרת". המשימה של שירות זה היא להבטיח התחלה נכונה של האמצעים הדרושים לסגירת פער האבטחה אם לקוח קיבל אות אזעקה. אמצעי הנגד שיש ליישם מוערכים ותהליך "ניקוי" ואפשרי תעבורת הנתונים מנותבת מחדש. הודעה מונפקת כשההתקפה הסתיימה.

### הערכת אבטחה
כמה מרכיבים שהם בדרך כלל חלק מפעילויות ניהול האבטחה הם: הערכת הפגיעות ובדיקת החדירה.

הערכת הפגיעות פותחה כדי לזהות חולשות שזוהו במערכות ובשירותים המותקנים עליהן. פעילות כזו מתקיימת בעזרת טכנולוגיות ספציפיות; הם מוגדרים בנפרד, משופרים ומותאמים אישית לכל הערכה.

בדיקת החדירה מתבצעת כדי לזהות חולשות ידועות או לא ידועות עדיין במערכת, בשירותים ובאפליקציות הרשת הפועלות עליה. תהליך בדיקת החדירה מסוגל להדגיש ביעילות רבה את רמתו של איום אבטחה מסוים ואת ההערכה המתאימה של השפעתו. פעילות כזו מתבצעת בעזרת מספר רב של טכנולוגיות המוגדרות, משופרות ומותאמות אישית לכל הערכה, אך גם באופן ידני לכל שירות, מערכת ואפליקציה.

### עזרה טכנית
באופן כללי, ה-SOC יכול גם להציע ללקוח תמיכה טכנית מיוחדת לכל הבעיות התפקודיות, הפרות מערכת, אך גם חידושים ותצורות לחומרה ותוכנה אבטחה. הסיוע הטכני לפתרון הבעיות הנזכרות יכול להתבצע מרחוק או באתר, בהתאם לבעיה ולתנאי ההתקשרות בין הצדדים המתקשרים.

## ראו גם
* אבטחת מידע
* פרצת אבטחה
* גלישת חוצץ
* אקספלויט
* חומת אש
* אנטי-וירוס

## הערות שוליים

קטגוריה:אבטחת מחשבים