The hive пользуемся

Я честно говоря против пилотов. Моя концепция SOC в том что мы предоставляем клиенту законченный сервис - методологию, технологии, людей, процессы и мощности. И он говорит да или нет, подстройка минимальна. И тогда понятно за что мы отвечаем и это реальная ценность для клиента - не надо думать про эту функцию. Соответственно можно посмотреть наши отчёты и сходить на референс, на пилоте чего показывать? Что мы умеем коннекторы делать? Или надеяться что будет атака? Так с введением атак справляется лучше anti-apt, у soc задачи гораздо более широкие и универсальные.

Что такое ti ориентированные?)

Я знаю три крупных аутсорсера по ИБ с SOC, один TI-ориентирован, второй просит активы от клиента, а мы так вообще даём инстанс CMDB что бы в нем можно было вести данные. И не может нормальный SOC не хотеть знать активы - без этого непонятно какой инцидент критичен а какой нет

На пилоте можно проверить: 1) как сервис вписывается в существующую операционную модель и интегрируется технологически; 2) какова конечная ценность сервиса в конкретных условиях; 3) каковы требуемые инвестиции (ресурсные в т.ч.) со стороны заказчика. Поставщику пилоты позволяют развиваться, так как планы лучше брать из практики. В общем, Саша, извини, не могу с тобой согласиться, причем, что я пишу, по-моему, очевидно. Это же мы все об аутсорсинге говорим, а чтобы решиться на аутсорсинг для себя надо ответить на ряд вопросов (список этих вопросов здесь:

еще раз напишете "the hive" раздельно (подразумевая foss irp TheHive) и я начну убивать заложников %)

А я не знаю ни одного SOC который использует только одну модель.  У всех гибрид: что-то заполнить (хоть в крупную клетку),  что-то спросить и все в том или ином виде используют intelligence. Коммерческий или exit node Тора + FinCert - в зависимости от зрелости, задач и бюджета.  Но ни разу не встречал обозначенной войны и разделения методологий

Вот на 200% соглашусь.  История в первую очередь про совместную работу.  Типизация очень помогает, но без "человеческого лица" имхо практически бессмысленно. А ещё коммерческие сервисы ИБ выше техподдержки - это про доверие и прозрачность. У нас заказчика регулярно ездят в выезды к нам в региональные офисы, чтобы просто в консоли инженеров,  а не в регламенте понять как процесс устроен. И поверьте, не потому что мало документов

Рекомендую использовать в связке с Graylog

Аутсорсер имеет плохое представление об инфраструктуре скорее потому что ему пох, а не из-за отсутствия инструментов)

Референсы отличная тема, но несколько иная чем пилоты