SOC: что это такое, кому нужен и сколько стоит

SOC (Security Operations Center) — это центр мониторинга информационной безопасности: команда аналитиков, платформа SIEM/EDR и регламенты, которые круглосуточно разбирают события из вашей инфраструктуры и останавливают атаку, пока она не превратилась в простой или утечку. Собственный SOC нужен немногим: для смены 24/7 требуется 8–10 человек, и у среднего бизнеса такой центр обходится примерно в полмиллиона евро в год. Остальным подходит внешний SOC (SOC as a service) или совместная модель, где круглосуточное наблюдение ведёт подрядчик, а решения принимает ваша служба безопасности.

Ниже разбираем, как это устроено, где проходит граница между «нужен SOC» и «пока рано», и что на самом деле входит в цену.

Расшифровка SOC: три разных значения

Аббревиатуру путают, и поисковик честно показывает всё подряд. Поэтому сначала договоримся о терминах.

• Security Operations Center — центр мониторинга безопасности. Об этом статья.
• System on a Chip — «система на кристалле», процессор вместе с графикой, памятью и контроллерами на одном чипе. Это из мира смартфонов и ноутбуков. Если вы искали «SOC процессор» или температуру SoC, вам в другую сторону.
• SOC 2 — отчёт внешнего аудитора о том, как сервисная компания контролирует безопасность и доступ к данным клиентов. Его требуют американские заказчики от SaaS-поставщиков. SOC 2 — это проверка, а не команда: отчёт можно получить и без своего центра мониторинга, хотя аудитор обязательно спросит, кто и как у вас замечает инциденты.

Что делает SOC и из чего он состоит

Антивирус, межсетевой экран, MFA и резервные копии защищают заранее. SOC работает там, где защита уже не сработала: фишинговое письмо открыли, пароль бухгалтера утёк, кто-то в 3 часа ночи выгружает файлы с сервера. Его задача — заметить это в первые минуты, понять, что происходит, и сократить время от проникновения до блокировки.

Успех SOC меряют двумя числами. MTTD (mean time to detect) — сколько проходит от начала инцидента до момента, когда его увидели. MTTR (mean time to respond) — сколько ещё нужно, чтобы его остановить. Всё остальное в SOC существует ради того, чтобы эти два числа были маленькими.

Работающий SOC держится на четырёх слоях:

1. Источники событий. Рабочие станции, серверы, контроллеры домена, межсетевые экраны, почтовые шлюзы, Microsoft 365, VPN, DNS, системы DLP. Чего не подключили, того SOC не видит.
2. Платформы. SIEM собирает события и ищет между ними связи. EDR/XDR следит за поведением программ на компьютерах и умеет изолировать заражённый узел. SOAR автоматизирует типовые ответы, а подписки Threat Intelligence подсказывают свежие признаки атак.
3. Процессы. Плейбуки «что делаем, если сработало правило X», порядок эскалации, разбор каждого серьёзного инцидента, регулярная чистка правил от ложных срабатываний.
4. Люди. Аналитики L1 принимают и сортируют сигналы, L2 расследуют, L3 разбирают сложные случаи и ищут угрозы, которые правила не поймали. Плюс инженер, который держит платформу, и руководитель смены.

Уберите любой слой, и SOC перестанет работать. Платформа без людей превращается в дорогое хранилище логов, которые никто не читает. Люди без плейбуков две недели героически отвечают в чате, а потом выгорают.

SOC, SIEM, EDR и NOC: чем отличаются

Эти слова часто ставят через запятую, хотя речь о разных вещах.

Что	Что это	Отвечает на вопрос
SIEM	Программа: собирает и коррелирует события безопасности	«Что происходило в системах?»
EDR / XDR	Программа: телеметрия и реагирование на компьютерах и серверах	«Что делал этот процесс на этом ноутбуке?»
NOC	Команда: следит за доступностью сетей и серверов	«Всё ли работает?»
SOC	Команда + платформы + регламенты	«Нас атакуют прямо сейчас, и что делать?»

Купить SIEM не значит завести SOC. Wazuh можно поставить за день, но без человека, который ночью посмотрит на алерт и решит, будить ли директора, это просто ещё одна панель.

Кому нужен SOC, а кому пока рано

Честный ответ неприятен тем, кто продаёт «SOC всем»: большинству компаний на 20–50 рабочих мест круглосуточный центр мониторинга не нужен. Им нужны базовые вещи, сделанные хорошо.

Задуматься о SOC стоит, когда совпадают хотя бы три пункта из пяти:

1. В системах много того, что хотят украсть. Персональные данные клиентов, медицинские и финансовые сведения, коммерческая тайна.
2. Регулятор или заказчик требует обнаруживать инциденты. GDPR, закон Молдовы № 195/2024 о защите персональных данных, PCI DSS для работы с картами, ISO 27001, анкеты безопасности международных партнёров. Все они так или иначе спрашивают: «Как вы узнаете, что вас взломали, и что сделаете дальше?»
3. Инфраструктура выросла. Десятки серверов, сотни рабочих мест, несколько офисов или стран. Один администратор не заметит аномалию в миллионах событий в день, сколько бы кофе он ни пил.
4. Час простоя стоит дорого. Если остановка касс, производства или 1С обходится в тысячи евро в час, раннее обнаружение окупается на первом же инциденте.
5. Вас могут атаковать целенаправленно. Не случайная рассылка, а атака на конкретную компанию: через поставщика, через сотрудника, через подменённый счёт.

Если не совпадает ни один пункт, деньги лучше вложить туда, где отдача выше: MFA на почте и VPN, резервные копии, которые проверены восстановлением, своевременные обновления, сегментация сети и обучение сотрудников фишингу. Это фундамент, без которого SOC всё равно бесполезен: аналитик увидит шифровальщика, но если бэкапы лежат на том же сервере, восстанавливать будет нечего.

Свой SOC или внешний: четыре модели

Выбор «строим свой или ничего» ложный. На практике есть четыре варианта.

Собственный SOC

Команда, платформы и процессы целиком ваши. Максимум контроля и знания контекста бизнеса, максимум затрат. Оправдан для банков, крупных операторов и групп компаний, где безопасность — отдельная дирекция.

SOC as a service (managed SOC)

Провайдер держит у себя аналитиков и платформу, подключает ваши источники событий, вы платите подписку. Подходит компании, у которой нет своей службы безопасности и нет желания её строить. Минус один, но важный: чужая команда месяцами учит ваш бизнес и до этого будет поднимать тревогу на нормальные вещи, а иногда пропускать странные.

Совместный SOC (co-managed)

Внешняя команда ведёт круглосуточное наблюдение и первую-вторую линию разбора, ваша служба безопасности отвечает за сложные расследования и принимает решения. Платформа может стоять у вас, у подрядчика или у вас с подключением подрядчика. Это самая разумная модель для средних и крупных компаний, у которых уже есть свой специалист по безопасности, но нет пяти человек на ночные смены.

MDR (managed detection and response)

Облегчённый вариант: наблюдение и реагирование только на рабочих станциях, серверах и почте. Обычно продаётся вместе с конкретным EDR/XDR. Дешевле SOC, но видит только то, куда дотягивается агент. Межсетевые экраны, VPN и облачные сервисы остаются в тени.

	Свой SOC	SOC as a service	Совместный SOC	MDR
Кто следит 24/7	Ваши аналитики	Провайдер	Провайдер	Провайдер
Кто принимает решения	Вы	Провайдер по регламенту	Вы	Провайдер по регламенту
Что видит	Всё, что подключили	Всё, что подключили	Всё, что подключили	Эндпоинты и почту
Нужна своя служба ИБ	Да, большая	Нет	Да, небольшая	Нет
Затраты	Самые высокие	Подписка	Подписка + своя команда	Ниже всех

Сколько стоит SOC

Свой SOC: считаем людей

В сутках 24 часа, в неделе 168. Один аналитик работает около 40 часов в неделю, а ещё уходит в отпуск и болеет. Поэтому одно место дежурного L1, занятое круглосуточно, требует 4–5 человек. Добавьте хотя бы двух L2, одного L3, инженера платформы и руководителя, и выйдет 8–10 сотрудников на минимальный работающий SOC. Специалисты по безопасности на рынке в дефиците, и их зарплаты растут быстрее средних по IT.

Затем платформы. SIEM обычно тарифицируется по объёму событий (EPS или гигабайты в день), EDR/XDR — по числу защищённых устройств, Threat Intelligence — отдельными подписками. Логи нужно хранить: регуляторы и аудиторы часто просят от 90 дней до года и дольше, а это диски, резервирование и вычисления под корреляцию.

Третья статья незаметна в смете, но съедает время: написание плейбуков, настройка правил под вашу инфраструктуру, учения с руководством, поиск угроз. Это постоянная работа, а не разовое внедрение.

Если сложить всё, собственный SOC для среднего бизнеса начинается примерно от полумиллиона евро в год, а у крупного легко уходит в миллионы.

Внешний SOC: из чего складывается цена

У провайдера одна смена аналитиков обслуживает нескольких клиентов, поэтому вы платите за долю дежурства, а не за пять ставок. Цену SOC as a service определяют:

1. Число и тип источников: сколько серверов, рабочих мест, межсетевых экранов, облачных сервисов подключаем.
2. Объём событий в день и срок хранения логов.
3. Часы покрытия: только рабочее время или 24/7.
4. Глубина реагирования: только уведомление по телефону или изоляция узла, блокировка учётной записи, восстановление.
5. Чья платформа: используем вашу SIEM/EDR или ставим свою.
6. Требования к отчётности: ежемесячный отчёт для руководства или формальные отчёты для аудитора и регулятора.

Цену SOC для вашей компании ITCore рассчитывает после оценки инфраструктуры: от этих шести пунктов она и зависит.

Если компания уже на абонентском обслуживании ITCore, мониторинг и базовая защита у неё есть. Подключение SOC-наблюдения в этом случае — надстройка над существующим стеком, а не новый проект с нуля.

Как подключить SOC: шесть шагов

Заказать SOC «под ключ за неделю» нельзя, и тот, кто обещает, будет первые месяцы присылать вам сотни бесполезных уведомлений. Порядок, по которому работаем мы:

1. Разговор на 1–2 часа. Что у вас за инфраструктура, какие данные защищаем, какие требования предъявляют регулятор и заказчики. По итогу либо предлагаем формат с цифрами, либо прямо говорим, что SOC вам пока не нужен и на что лучше потратить бюджет. Подписываем NDA до технических деталей.
2. Аудит безопасности, 1–2 недели. Периметр, внутренние уязвимости, учётные записи, резервные копии, политики. На выходе карта рисков с приоритетами.
3. Закрываем базовые дыры. MFA, обновления, бэкапы с проверкой восстановления, сегментация. Подключать SOC к инфраструктуре без MFA — всё равно что ставить сигнализацию на дверь без замка.
4. Подключаем источники и платформу. SIEM (Wazuh или Splunk), EDR/XDR на рабочих станциях и серверах, события FortiGate через FortiAnalyzer, журналы Microsoft 365 и Active Directory.
5. Пишем плейбуки и настраиваем правила. Компрометация учётной записи, массовое шифрование файлов, подозрительный исходящий трафик, вход из необычной страны. Отдельно отсекаем ложные срабатывания, чтобы важный сигнал не утонул в шуме.
6. Работаем в режиме дежурства. Круглосуточный мониторинг, эскалация по согласованным приоритетам, ежемесячный отчёт: инциденты, тенденции, что исправить.

План и сроки запуска для вашей инфраструктуры — в предложении после оценки.

Как с SOC работает ITCore

ITCore — IT-аутсорсинг в Кишинёве, часть группы Garm. Компания основана в 2017 году, у инженеров команды 20+ лет опыта в IT-инфраструктуре. Мы не продаём «SOC в коробке». В проектах встречаются два сценария.

SOC вместе с партнёром MSSP. Круглосуточный мониторинг ведём вместе с партнёром MSSP. ITCore подключает источники событий, настраивает стек (SIEM, EDR/XDR, DLP, межсетевые экраны Fortinet с централизованным сбором событий), пишет плейбуки и разбирает инциденты в вашей инфраструктуре. Если у вас есть своя служба безопасности, решения по реагированию остаются за ней. Так устроен проект у международной корпорации с 1 500+ сотрудниками в семи офисах на трёх континентах: FortiGate в каждой локации под управлением FortiManager и FortiAnalyzer, XDR в критичных отделах, DLP, Microsoft 365 и SOC 24/7, построенный вместе со службой безопасности заказчика. Архитектура и сценарии реагирования закрыты NDA, поэтому подробнее, чем в кейсе, не расскажем.

Подготовка к SOC. Если до круглосуточного мониторинга компания пока не доросла, начинаем с того, что потом станет его фундаментом: централизованный сбор логов, EDR, MFA, резервные копии, которые нельзя перешифровать, и план реагирования на инциденты. Пример — сеть турагентств с пятью филиалами в Молдове и Румынии: 60 сотрудников, серверы в нашем облаке, Zero Trust VPN и SIEM на всех серверах и точках входа с алертами дежурной смене.

SOC не ставят один раз. Через полгода у компании другие серверы, новые сотрудники и новые способы атаки, и правила, написанные при запуске, начинают пропускать важное. Поэтому мы ведём SOC вместе с клиентом годами: регулярно разбираем инциденты и ложные срабатывания, вместе с руководством пересматриваем плейбуки и список подключённых источников.

Критичные сервисы клиентов на абонементе ITCore покрыты круглосуточным SLA: реакция на инцидент P1 — 15 минут.

Частые вопросы о SOC

В. Что такое SOC простыми словами?О. SOC — это дежурная служба по кибербезопасности. Аналитики круглосуточно смотрят на события из ваших серверов, компьютеров, сети и почты, замечают признаки атаки и помогают её остановить. В отличие от антивируса, который блокирует известное, SOC ищет то, что уже прошло через защиту.

В. Чем SOC отличается от SIEM?О. SIEM — это программа, которая собирает и сопоставляет события безопасности. SOC — это люди и регламенты, которые на эти события реагируют. SIEM без SOC накапливает алерты, которые никто не читает. SOC без SIEM работает вслепую. В нормальной схеме SIEM служит основным инструментом SOC.

В. Сколько стоит SOC в Молдове?О. Собственный круглосуточный SOC требует 8–10 специалистов и для среднего бизнеса начинается примерно от €500 000 в год. Внешний SOC (SOC as a service) дешевле в разы, потому что одна смена аналитиков обслуживает нескольких клиентов. Цена зависит от числа подключаемых устройств, объёма логов, часов покрытия и глубины реагирования. ITCore рассчитывает её после оценки инфраструктуры.

В. Нужен ли SOC компании на 30 сотрудников?О. Чаще всего нет. Компании такого размера больше пользы принесут MFA, проверенные резервные копии, EDR на рабочих станциях и обучение сотрудников фишингу. Исключение — если вы обрабатываете чувствительные данные или работаете с заказчиками, которые требуют мониторинга инцидентов по договору. Тогда разумен MDR или совместная модель на ограниченном числе источников.

В. Что такое SOC as a service?О. Это SOC по подписке: провайдер держит у себя аналитиков и платформу, подключает к ним ваши источники событий и реагирует на инциденты по согласованному регламенту. Вы не нанимаете команду на ночные смены и не покупаете лицензии SIEM, а платите за наблюдение и разбор инцидентов.

В. Сколько времени занимает подключение SOC?О. Начинается всё с аудита безопасности: в ITCore он занимает 1–2 недели. После него подключаем источники и настраиваем правила, чтобы аналитики не тонули в ложных срабатываниях. Общий план и сроки запуска для вашей инфраструктуры даём в предложении после оценки.

В. Требует ли закон Молдовы № 195/2024 держать SOC?О. Закон о защите персональных данных не требует создавать SOC. Он требует технических и организационных мер защиты и умения выявлять и разбирать нарушения безопасности данных. SOC — один из способов это обеспечить. ITCore помогает подготовить политики, DPA и технические меры, которые можно показать при проверке CNPDCP.

В. SOC 2 и SOC — это одно и то же?О. Нет. SOC 2 — отчёт внешнего аудитора о контролях безопасности сервисной компании, его требуют американские заказчики. SOC (Security Operations Center) — центр мониторинга безопасности. Наличие SOC помогает пройти аудит SOC 2, но не заменяет его.

---

Хотите понять, нужен ли вам SOC и в каком формате? Опишите инфраструктуру и требования заказчиков или регулятора. За первый разговор скажем, какой формат вам подходит, или честно ответим, что пока не нужен и с чего начать. → Обсудить безопасность инфраструктуры

---