Лучшая проверка качества работы SOC - Эмуляция реальной атаки (Red teaming). Закажите пентест, он покажет effectiveness и efficiency вашего SOC

Я бы поспорил, но это грозит лонгридами,  а я в них не силен.  Но способ действительно неплохой.

Effectiveness несомненно, efficiency клиент вряд ли увидит. И конечно - лучше мыслить в терминах качества работы, ведь это нужно для ИБ. А уж какие там технологии применяются - дело десятое

Спасибо, надо поискать

Если говорить об способностях по обнаружению после эксплуатации, возьмите MITRE ATT&CK и оцените сколько из приведенных там TTP покроет ваш SOC. Думаю, это будет тоже хорошей оценкой возможностей по обнаружению.

Дополнительно, сейчас модны всякие автотесты, типа https://www.blackhat.com/docs/eu-17/materials/eu-17-Miller-CALDERA-Automating-Adversary-Emulation.pdf

Прогоняйте что-нибудь в этом роде

+1

У endgame есть: https://www.endgame.com/blog/technical-blog/introducing-endgame-red-team-automation

У любого вендора MDR найдете их "ПиМИ" - начните с них

Подборка опен сорс BAS (Breach Arversary Simulation) от Гартнер
https://blogs.gartner.com/augusto-barros/2018/04/17/threat-simulation-open-source-projects/

И готовый VM с ними набирающий популярность
https://github.com/redhuntlabs/RedHunt-OS/

Ого, спасибо огромное, надо попробовать!

спасибо,это получается узконаправленный parrot или  kali

Добавлю лишь, что та дока о которой упоминает Августо в этом посте уже вышла

В добавление к продвинутым методам оценки эффективности SOC хочу побыть занудой и напомнить, что SOC может быть эффективным только в среде что соответствует некому security baseline или хотя бы стремится. Он полагается на эффективность и полноту покрытия защищаемого сегмента другими контролями безопасности. Без патч менеджмента, антивирусов, email security и базового понимания какие классы активов критичнее других  о эффективности SOC говорить нет смысла вообще

Вот точные названия ресерчей от Гартнера (для тех кто будет искать): "Utilizing Breach and Attack Simulation Tools to Test and Improve Security, Published: 17 May 2018" и "Threat-Oriented Approaches to Test Security in Production, Published: 17 May 2018". Авторы у обоих - Чувакин и Баррос.

А есть здесь те, кто строил что-то на api arcsight, то есть забирал из него данные,и готов уделить немного времени и помочь советом и добрым словом? Кроме Солара ;)

господа, у кого нибудь есть pt siem?

да, вот он @vbengin

спасибо))