SOC (مركز العمليات الأمنية)
مركز SOC مركز مراقبة أمن المعلومات على مدار الساعة يكشف الحوادث ويستجيب لها باستخدام SIEM وغيره من أدوات الأمن.
ما هو الـSOC ببساطة
الـSOC (Security Operations Center — مركز مراقبة والاستجابة لحوادث أمن المعلومات) قسم أو خدمة تراقب البنية التحتية المعلوماتية للشركة على مدار الساعة وتكشف هجمات المخترقين وتحمي البيانات. وبعبارة بسيطة إنه مثل جهاز أمن ولكن في العالم الرقمي.
تخيل أن لديك مكتباً كبيراً واستأجرت حراساً يراقبون كاميرات المراقبة ليل نهار؛ إذا حدث أمر مشبوه استجاب الحراس فوراً: اتصلوا بالشرطة وأغلقوا المداخل وتحققوا مما جرى. يعمل الـSOC بالطريقة نفسها لكن مع الأنظمة الرقمية: يراقب الشبكات والخوادم وقواعد البيانات، وإذا لاحظ اختراقاً أو فيروساً اتخذ إجراءات فورية.
يجمع الـSOC محللين مؤهلين وإجراءات ومنصة تقنية في منظومة حماية واحدة. والمهمة الرئيسية هي تقليص زمن الكشف (MTTD — Mean Time to Detect) وزمن الاستجابة (MTTR — Mean Time to Respond) للحوادث؛ فكلما اكتشف الـSOC الهجوم أسرع وبدأ الاستجابة قلّ الضرر الذي يلحق بالشركة.
ويستخدم بنشاط أنظمة SIEM وحلول DLP لجمع البيانات وتحليلها، مما يتيح رؤية الصورة الكاملة لما يجري في البنية التحتية والتعرف السريع على التهديدات.
بنية الـSOC وتقنياته
يشمل النموذج التقليدي للـSOC ثلاثة مستويات من المحللين لكلٍّ مهامه:
- L1 — مشغلو الفرز الأولي: يعالجون تنبيهات الـSIEM ويصنفون الحوادث ويجرون التحققات الأولى، وإذا لم يكن الحدث إنذاراً كاذباً يحيلونه للمستوى التالي.
- L2 — محللو التحري المعمق: يجرون تحقيقًا مفصلًا في الحوادث ويجمعون الأدلة ويحددون نطاق الهجوم ويعزلون الأنظمة المصابة.
- L3 — خبراء اصطياد التهديدات (Threat Hunting): يبحثون استباقياً عن تهديدات لم تكتشفها الأنظمة المؤتمتة ويطورون قواعد ترابط وأساليب تحري جديدة.
ونواة الـSOC هي نظام SIEM الذي يجمع ويحلل أحداث الأمن من كامل البنية التحتية. ويوسع XDR (Extended Detection and Response) القدرات بدمج بيانات الأجهزة الطرفية والخوادم ومعدات الشبكة، بينما يؤتمت SOAR (Security Orchestration, Automation and Response) عمليات الاستجابة فيقلص الوقت المستغرق في الأعمال الروتينية.
وتنقل أنظمة DLP معلومات عن تسرب البيانات، وتنقل جدران الحماية معلومات عن هجمات الشبكة، ويُستخدم VPN للتبادل الآمن للبيانات بين مكونات الـSOC.
نماذج نشر الـSOC
توجد عدة نماذج لنشر الـSOC والاختيار يعتمد على حجم الشركة واحتياجاتها:
- SOC داخلي: يبنى كلياً داخل المنظمة؛ يتطلب استثمارات كبيرة في المعدات والبرمجيات والكوادر لكنه يمنح تحكماً كاملاً بالعمليات، ويناسب الشركات الكبيرة والهيئات الحكومية.
- SOC خارجي (MSSP): تحال وظائف المراقبة إلى مزود خارجي لخدمات الأمن؛ يوفر تكاليف الكوادر والمعدات لكنه يتطلب الثقة في المزود الخارجي، ويناسب الشركات المتوسطة.
- SOC مُدار مشترك (نموذج هجين): جزء من الوظائف يتولاها الفريق الداخلي وجزء مزود خارجي؛ وهو توازن بين التحكم والتوفير.
- SOC افتراضي: فريق موزع من المتخصصين يعمل عن بعد؛ يناسب الشركات ذات البنية الجغرافية الموزعة.
وللمنظمات المتوسطة والكبيرة غالباً ما يكون النموذج الهجين الخيار الأمثل لأنه يجمع تحكم الفريق الداخلي بخبرة المزود الخارجي.
وتتيح خدمة الدعم الفني إسناد المراقبة إلى محترفين، وهو ملائم خصوصاً للشركات التي لا تملك موارد لبناء SOC خاص بها. ولمزيد عن بناء الـSOC راجع قسم التقنيات.
الأسئلة المتكررة
ما هو الـSOC ببساطة؟
يراقب SOC البنية التحتية المعلوماتية على مدار الساعة ويكشف الهجمات ويحمي البيانات — جهاز أمن في العالم الرقمي يستخدم SIEM لجمع الأحداث والتنبيهات.
ماذا يعني SOC؟
معانٍ متعددة: في الأمن السيبراني Security Operations Center (مركز مراقبة والاستجابة للحوادث)؛ وفي الإلكترونيات System on a Chip؛ وفي الطاقة State of Charge.
SOC في الحاسوب الشخصي؟
في الإلكترونيات SoC (System-on-a-Chip) شريحة واحدة تجمع المعالج والرسوميات والمودم والمتحكمات (Apple M وSnapdragon وMediaTek)؛ وفي الأمن SOC = مركز العمليات الأمنية.
SOC وSIEM؟
يجمع SIEM الأحداث ويربطها؛ ويستخدمه محللو SOC لكشف الحوادث والاستجابة لها. الـSIEM هو الأداة الرئيسية للـSOC.
الـSOC في روسيا؟
تتطور مراكز SOC بنشاط: خاصة بالشركات الكبيرة، وخدمات خارجية (MSSP) للمؤسسات الصغيرة والمتوسطة، ومتطلبات تنظيمية للبنية الحرجة (187-FZ).
محللو L1 وL2 وL3؟
L1 فرز أولي للتنبيهات؛ L2 تحري معمق وعزل الأنظمة المصابة؛ L3 اصطياد استباقي للتهديدات وتطوير قواعد الترابط.
راتب محلل SOC؟
في روسيا: L1 نحو 80–120 ألف روبل، وL2 من 150 إلى 250 ألفاً، وL3 من 300 ألف. ويختلف حسب المنطقة والخبرة.
مصطلحات أخرى في «أمن المعلومات»
هل كانت هذه المعلومة مفيدة؟
SOC (مركز العمليات الأمنية)
مركز SOC مركز مراقبة أمن المعلومات على مدار الساعة يكشف الحوادث ويستجيب لها باستخدام SIEM وغيره من أدوات الأمن.
جميع الفئات
الدعم التقني
صيانة أنظمة المعلومات والدعم التقني.
احمِ شبكتك اليوم
اترك طلبًا — سيساعدك متخصصو أمن المعلومات لدينا في اختيار soc (مركز العمليات الأمنية) وتهيئته ودمجه في بنيتك التحتية. سنحمي بياناتك من التهديدات.