No universo da cibersegurança existem cada vez mais conceitos, serviços e tecnologias que podem parecer semelhantes. SOC e MDR são dois exemplos. Embora estejam diretamente relacionados com a monitorização e resposta a incidentes de segurança, representam conceitos diferentes.
O que é um SOC?
SOC significa Security Operations Center, ou Centro de Operações de Segurança.
Um SOC é uma estrutura dedicada à monitorização e operação da segurança de uma organização. Pode ser constituído por uma equipa interna, ser totalmente entregue a uma entidade externa ou funcionar num modelo híbrido.
Entre as suas principais responsabilidades estão:
- Monitorização de sistemas e redes;
- Análise de eventos e alertas de segurança;
- Deteção de comportamentos suspeitos;
- Investigação de incidentes;
- Gestão e acompanhamento de incidentes de segurança;
- Apoio à resposta e contenção de ataques;
- Análise de ameaças;
- Produção de relatórios e indicadores de segurança.
Um SOC pode utilizar diversas tecnologias, como SIEM, EDR, XDR, firewalls, sistemas de deteção de intrusão e plataformas de threat intelligence.
Assim, o SOC deve ser entendido sobretudo como uma capacidade operacional de segurança, suportada por pessoas, processos e tecnologia.
E o que é MDR?
MDR significa Managed Detection and Response.
Neste caso estamos perante um serviço gerido de deteção e resposta, normalmente disponibilizado por um fornecedor especializado.
O objetivo é permitir que uma organização tenha acesso a capacidades avançadas de monitorização, deteção, investigação e resposta sem ter necessariamente de construir e manter internamente uma operação de segurança completa.
Um serviço MDR pode incluir:
- Monitorização contínua;
- Deteção de ameaças;
- Investigação de alertas;
- Threat hunting;
- Análise de comportamentos;
- Investigação de incidentes;
- Contenção de ameaças;
- Apoio à remediação;
- Operação de tecnologias como EDR/XDR.
Muitos serviços MDR funcionam 24 horas por dia, 7 dias por semana, embora o nível de serviço dependa do fornecedor e do contrato estabelecido.
SOC vs MDR: qual é a diferença?
A diferença pode ser resumida de uma forma bastante simples:
SOC é uma estrutura ou capacidade de operações de segurança. MDR é um serviço gerido de deteção e resposta.
Um SOC pode ser responsável por uma gama muito abrangente de atividades de segurança. O MDR, por outro lado, está particularmente orientado para detetar, investigar e responder a ameaças em nome do cliente.
| SOC | MDR |
|---|---|
| Security Operations Center | Managed Detection and Response |
| Estrutura/capacidade operacional | Serviço gerido |
| Pode ser interno, externo ou híbrido | Normalmente fornecido por terceiros |
| Pode abranger várias áreas de segurança | Foco em deteção e resposta |
| Pode utilizar SIEM, EDR/XDR, entre outras tecnologias | Utiliza normalmente EDR/XDR e outras tecnologias |
| Pode ter equipa própria | A equipa é normalmente do fornecedor |
| Pode funcionar 24/7 | Frequentemente disponibilizado 24/7 |
E onde entra o SIEM?
O SIEM (Security Information and Event Management) é uma tecnologia que pode fazer parte de um SOC ou de um serviço de segurança gerido.
De forma simplificada, o SIEM recolhe e correlaciona eventos provenientes de diferentes sistemas, permitindo identificar padrões que podem representar incidentes de segurança.
A relação pode ser representada desta forma:
Logs e eventos → SIEM/EDR/XDR → SOC → Investigação → Resposta
No caso de um serviço MDR, podemos ter:
Infraestrutura do cliente → Tecnologias de segurança → MDR → Deteção → Investigação → Resposta
É importante, por isso, não confundir SIEM, SOC e MDR. São conceitos relacionados, mas não equivalentes.
PUB
PUB.
PUB.
Velocímetro Pplware
Teste a velocidade da sua Internet
