איך נראה "לפני" ברוב ה-SOCs הישראליים
לפני שנלך על ציר הזמן, בואו נהיה כנים לגבי קו הבסיס. זו המציאות היומיומית של צוותי SOC בארגונים ישראליים בינוניים עד גדולים לפני פריסת מנוע אוטומציית תשתיות ייעודי:
לפני — משמרת SOC טיפוסית
אחרי — יום 31 עם Cyberm8
יום-אחר-יום: מה קורה אחרי הפריסה
Container נפרס, Connectors ראשונים עולים
Container של Cyberm8 נפרס על שרת Linux או Kubernetes pod. Connectors ראשונים מוגדרים: בדרך כלל Active Directory (LDAP) ו-vendor ה-firewall הראשי (Check Point או Fortinet). הגדרת credentials ראשונית לוקחת 30-60 דקות עם צוות הרשת.
מה צוות ה-SOC שם לב: כלום בינתיים. ה-container רץ במצב תצפית, לומד את המצב הנוכחי של כל המערכות המחוברות בלי לבצע שינויים.
Baseline קונפיגורציה מלא נקבע
Cyberm8 לוכד snapshot מלא של כל מדיניות firewall, ACL, security group וחברויות בקבוצות AD בכל המערכות המחוברות. זה הופך ל"מצב תקין ידוע" — קו הבסיס שלפיו כל שינויים עתידיים נעקבים וכל drift מזוהה.
מה צוות ה-SOC שם לב: מנהל ה-SOC מקבל דוח baseline שמראה את המצב הנוכחי של כל הפרימטרים. עבור צוותים רבים, זו הפעם הראשונה שהם רואים תצוגה אחידה של כל ה-firewalls מרובי ה-vendors בדוח אחד.
ב-14 מתוך 20+ הפריסות שלנו, לכידת ה-baseline חשפה חוסר עקביות בקונפיגורציה בין firewalls שהצוות לא ידע שקיים. חוקים שהיו אמורים להיות זהים בין אתרים סטו זה מזה לאורך חודשים של שינויים ידניים. Cyberm8 מצא אותם תוך שעות.
סנכרון AD-to-Firewall מורד מה-SIEM
ה-workflow הראשון עולה לאוויר: שינויים בחברות קבוצות Active Directory מפעילים אוטומטית עדכוני ACL ב-firewall. כלל הניתוב ב-SIEM מוגדר לשלוח אירועי תשתית ל-Cyberm8 במקום ל-SOAR playbook.
מה אנליסט ה-SOC שם לב: ספירת האירועים הלילית יורדת. עדיין לא דרמטית — אולי 60-80 אירועים פחות למשמרת. אבל האירועים שנעלמו הם המשעממים. אלה שתמיד לחצתם "acknowledge" בלי לחקור. הדשבורד מרגיש נקי יותר.
מה מהנדס הרשת שם לב: לא העירו אותו ב-3 בלילה כי סקריפט סנכרון ה-AD נכשל. זה השבוע השקט הראשון מזה חודשים. הוא משתמש בזמן כדי סוף סוף לתעד את ארכיטקטורת הפרדת הרשתות שהוא מתכנן לעדכן מינואר.
Workflows נוספים מועברים, זיהוי Drift פעיל
workflows נוספים של תשתית מועברים מה-SIEM/SOAR: ניטור תפוגת תעודות, זיהוי drift של cloud security groups, הקצאת משתמשי VPN. אימות מצב רציף מופעל — Cyberm8 בודק כל שעה שכל ההתקנים תואמים את הקונפיגורציה המאושרת.
מה אנליסט ה-SOC שם לב: ספירת האירועים ירדה 35-45% לעומת ה-baseline לפני הפריסה. כל אירוע בדשבורד עכשיו שווה חקירה. ה-triage של הבוקר שנהג לקחת 90 דקות עכשיו לוקח 40. מתחילים להקדיש את הזמן המשוחרר ל-threat hunting. מוצאים דברים שלעולם לא היה לכם זמן לחפש.
הצוות מפסיק לחשוב על סנכרון תשתיות
זו נקודת המפנה. צוות ה-SOC מפסיק לשים לב לאירועי סנכרון תשתיות כי הם כבר לא נראים. מפסיקים לשאול "הסקריפט רץ?" כי דשבורד הסטטוס של Cyberm8 מראה ירוק בכל ה-workflows. מהנדס הרשת שנהג לתחזק את סקריפטי ה-Python הקצה מחדש את הזמן הזה לפרויקט micro-segmentation שהוא מנסה להתחיל כבר 6 חודשים.
מה מנהל ה-SOC שם לב: MTTD (זמן ממוצע לזיהוי) השתפר באופן מדיד. לא כי האנליסטים הפכו מהירים יותר — כי הרעש ירד. אותו צוות, עם אותם כישורים, מוצא איומים מוקדם יותר כי הם לא קבורים מתחת לאירועי תשתית. דוח המדדים השבועי נראה אחרת. ה-CISO שם לב.
תוצאות מדידות
ביום 30, כל פריסה שביצענו מראה שיפורים עקביים ומדידים בארבעה ממדים:
מה משתנה לכל תפקיד
עבור אנליסט ה-SOC (Tier 1-2)
- לפני: triage של 300+ אירועים למשמרת, 40-60% רעש תשתיתי. alert fatigue הוא מציאות יומיומית. מפספסים דברים כי טובעים בשגרה.
- אחרי: triage של 170-200 אירועים למשמרת, כולם רלוונטיים לאבטחה. יש זמן לחקור כמו שצריך. מתחילים threat hunting. מוצאים את ההתקן הפרוץ שהיה נשאר בלתי מזוהה שבועות.
עבור מהנדס הרשת
- לפני: 10-15 שעות בשבוע על תחזוקת סקריפטי סנכרון. on-call לכשלי סקריפטים. המהנדס הבכיר ביותר בצוות הוא האדם היחיד שמבין את הקוד. הידע מבודד ושביר.
- אחרי: אפס שעות על סקריפטי סנכרון. on-call רק לאירועי רשת אמיתיים. המהנדס הבכיר מוביל את פרויקט ה-micro-segmentation. הידע בפלטפורמה, לא בראש של אדם אחד.
עבור מנהל ה-SOC
- לפני: מדדי MTTD עקשניים. יודעים שהבעיה היא רעש, אבל לא ניתן לתקן בלי לשבור את ה-workflows של סנכרון התשתיות שחיים ב-SIEM. תקועים.
- אחרי: MTTD משתפר בתוך החודש הראשון. יש נתונים להציג ל-CISO. מדדי שחיקת הצוות יורדים. שימור עובדים משתפר כי אנליסטים עושים עבודת אבטחה אמיתית שוב.
עבור ה-CISO
- לפני: עלויות SIEM עולות 20-30% בשנה. צוות ה-SOC בקיבולת מלאה אבל MTTD לא משתפר. בקשת התקציב הבאה היא לעוד אנליסטים. הדירקטוריון שואל למה הוצאות האבטחה ממשיכות לעלות בלי הפחתת סיכון פרופורציונלית.
- אחרי: נפח נתוני SIEM יורד 30-45%. הצוות הקיים יעיל יותר. MTTD משתפר בלי גיוס. השיחה הבאה על תקציב היא על יכולת, לא על קיבולת. יש תשובה טובה יותר לדירקטוריון.
תחלופת אנליסטי SOC בישראל ממוצעת 18-24 חודשים. גורם מרכזי הוא שחיקה מ-alert fatigue ועבודה שגרתית. אנליסטים עוזבים כי הם לא עושים את העבודה שבשבילה גויסו. הפחתת רעש תשתיתי לא רק משפרת מדדים — היא משפרת את התפקיד עצמו. עבודה טובה יותר פירושה שימור טוב יותר. שימור טוב יותר פירושו עלויות גיוס נמוכות יותר ושימור ידע מוסדי. הערך הכלכלי של שימור אנליסט בכיר אחד לשנה נוספת גדול בהרבה מעלות כל פלטפורמת אוטומציה.
ראו את המדדים שלכם ביום 30
פרסו את Cyberm8 לצד ה-SIEM הקיים. מדדו את הפחתת האירועים, שיפור זמן ה-triage, ושעות המהנדס שמשתחררות בסביבה שלכם. המספרים מדברים בעד עצמם.
התחילו פריסה ל-30 יום ← info@cyberm8.com | ראש העין, ישראל