// soc operating model
Новая подборка про alert budget, AI tool ledger и edge/VPN telemetry. Акцент — не на количестве графиков, а на способности команды увидеть и доказать важный сценарий.
Сообщество всё чаще обсуждает не количество правил, а способность команды обработать сигнал. Хорошее правило имеет owner, гипотезу, источник телеметрии, ожидаемую частоту, false-positive budget и ретест.
читать разбор →Локальные LLM-ассистенты и агентные фреймворки показали полезный паттерн: модель предлагает следующий шаг, но исполняет его только trusted adapter. В production это превращается в action catalog, policy decision и signed evidence.
читать разбор →VPN, reverse proxy и панели управления больше нельзя считать сетевой периферией. Это точка входа к админским действиям, поэтому нужны MFA, key-only access, экспозиция по allowlist, логи и быстрый cert/config drift контроль.
читать разбор →// soc / detection engineering / telemetry
Отдельный исследовательский поток о том, как строить detection program без самообмана: telemetry contracts, Sigma validation, query budgets, hunt-flow design, KPI шума и нормальная передача lessons learned из пентеста и DFIR обратно в SOC.
question -> data contract -> validation dataset -> rule -> analyst feedback -> retest
// новая SOC-волна
VPN, reverse proxy и router telemetry требуют retention, config diffs и identity context, потому что именно там может быть видна первая стадия.
читать разбор →Backup-policy changes, restore administration и identity reset events должны попасть в SOC coverage до инцидента.
читать разбор →Для AI-assisted triage фиксируйте fact-pack redaction, policy decisions, validator outcomes, denied actions и degraded-mode events.
читать разбор →// текущий control loop
Hand-off доступа за 22 секунды означает, что acknowledgement, preservation evidence, блокировка identity и isolation требуют отдельных измеримых budgets.
читать разбор →Связывайте sign-ins с mailbox rules, OAuth grants, изменениями MFA, devices, payroll, invoices и administrative actions.
читать разбор →Записывайте attempted и denied tool actions, policy decisions, memory writes, connector calls и redaction outcomes как telemetry.
читать разбор →// updated
// focused stream
Хороший пентест должен оставлять после себя не только PDF, но и идеи детектирования. Sigma помогает описать сигнал один раз и затем переводить его в SIEM-запросы.
читать разбор →Visibility-инструменты ценны, пока не начинают вредить целевой машине. Osquery и Fleet хороши там, где есть query budget, ownership, интервал, label targeting и понимание цены каждой таблицы.
читать разбор →Когда hunting завязан на один SIEM-запрос или одну ручную заметку, он не переживает смену источника логов. Намного полезнее описывать hunt как reusable hypothesis flow: сущности, шаги, enrichment и критерий остановки.
читать разбор →Количество rule files почти ничего не говорит о зрелости detection program. Намного важнее coverage intent, false positive burn rate, скорость правки и способность превратить red-team/pentest lessons в стабильные сигналы.
читать разбор →Security Onion, Fleet, Zeek, Suricata и endpoint-данные сильны не количеством сенсоров, а качеством контракта между ними: кто отвечает за поле, какую гипотезу оно закрывает и сколько стоит собирать его в production.
читать разбор →Даже хорошая Sigma-идея может утонуть в шуме, если rule не прогоняется на реальных benign-логах и на контролируемых test-events. Validation dataset нужен не для красоты, а для инженерной честности.
читать разбор →// working logic
Хороший SOC stream не начинается с количества rules. Он начинается с вопроса, потом проверяет качество данных, затем валидирует rule на benign/test dataset и только после этого масштабирует покрытие.
question -> data contract -> validation dataset -> rule -> analyst feedback -> retest
// related
// current control questions
SOC и autonomous assessment требуют одной границы: untrusted content, schema-valid планы, deterministic validators и видимые coverage gaps.
читать →Если persistence переживает maintenance, SOC нужен watch window для identity, configuration и control-plane anomalies.
читать →