SIEM / SOC
Централизованное управление событиями безопасности и их анализ.
Тема SIEM / SOC определена результатами NIST CSF 2.0: DE.AE-03 (Information is correlated from multiple sources); DE.AE-06 (Information on adverse events is provided to authorized staff and tools); DE.AE-08 (Incidents are declared when adverse events meet the defined incident criteria). Соответствия Сопоставлено по опубликованной таблице соответствия в ISO 27001, PCI DSS, CMMC, 800-53, HIPAA и NIS2. Редакционные материалы Сопоставлено редакторски в CIS v8.1, SOC 2, Essential Eight и DORA. Нет сопоставления в наших данных В наших данных нет сопоставления для GDPR, CPS 234 и Cyber Essentials.
| Стандарт | Требование | Название | Связь | Источник / основание |
|---|---|---|---|---|
| NIST CSF 2.0 | DE.AE-03DE.AE-06DE.AE-08 | Information is correlated from multiple sources; Information on adverse events is provided to authorized staff and tools; Incidents are declared when adverse events meet the defined incident criteria | Определение темы | DE.AE-03 DE.AE-06 DE.AE-08 |
| ISO 27001 | A.5.25A.8.16 | Assessment and decision on information security events; Monitoring activities | Соответствия | A.5.25: via DE.AE-08; NIST 800-53 map: AU-6 A.8.16: via DE.AE-03 |
| CIS v8.1 | CIS 8.9CIS 13.1CIS 13.11 | Centralize Audit Logs; Centralize Security Event Alerting; Tune Security Event Alerting Thresholds | Редакционные материалы | CIS 8.9: Centralize audit logs; not in CIS's own crosswalk to CSF 2.0, which covers 49 of 153 safeguards. CIS 13.1: Centralize security event alerting; CIS's crosswalk links it to DE.CM-01 only. CIS 13.11: Editorial (CIS's published crosswalk covers 49 of 153 safeguards): tune security event alerting thresholds. |
| SOC 2 | CC7.3 | Evaluating security events to determine if they are incidents | Редакционные материалы | CC7.3: AICPA's TSC mappings are not openly licensed; ControlMapping editorial mapping (criterion summaries are ours, not AICPA text). |
| PCI DSS | 10.4.1 | Security event and critical logs reviewed daily | Соответствия | 10.4.1: via DE.AE-03 |
| CMMC | AU.L2-3.3.5 | Audit Correlation | Соответствия | AU.L2-3.3.5: via 800-171r3 03.03.05 ↔ DE.AE-03 → AU-6; 800-171r2 Appendix D → AU-6 |
| 800-53 | AU-6AU-6(3)IR-5 | Audit Record Review, Analysis, and Reporting; Correlate Audit Record Repositories; Incident Monitoring | Соответствия | AU-6: via DE.AE-03 AU-6(3): via DE.AE-03 IR-5: via DE.AE-03 |
| HIPAA | §164.308(a)(1)(ii)(D) | Information System Activity Review | Соответствия | §164.308(a)(1)(ii)(D): via NIST HIPAA map: AU-6, IR-5 |
| GDPR | — | Нет требования | Нет сопоставления в наших данных | В наших данных ни одно требование GDPR не сопоставлено с этой темой. |
| NIS2 | 3.23.4 | Monitoring and logging; Event assessment and classification | Соответствия | 3.2: via ENISA ISO map: A.8.16 3.4: via ENISA ISO map: A.5.25 |
| Essential Eight | ISM-1228ISM-1906 | Cyber security events are analysed in a timely manner to identify cyber security incidents; Event logs from internet-facing servers are analysed in a timely manner to detect cyber… | Редакционные материалы | ASD assigns these ISM controls to the Essential Eight; ASD publishes no crosswalk to NIST or ISO, so linking them to topics is ControlMapping editorial. |
| DORA | Art.10(2)Art.10(3) | Detection; Detection | Редакционные материалы | Art.10(2): Alert thresholds, criteria and automatic alerting of incident response staff. Art.10(3): Monitor user activity, ICT anomalies and ICT-related incidents, in particular cyber-attacks. |
| CPS 234 | — | Нет требования | Нет сопоставления в наших данных | В наших данных ни одно требование CPS 234 не сопоставлено с этой темой. |
| Cyber Essentials | — | Нет требования | Нет сопоставления в наших данных | В наших данных ни одно требование Cyber Essentials не сопоставлено с этой темой. |
Определение темы Результаты CSF 2.0, определяющие эту тему · Соответствия как минимум один выбор, подтверждённый опубликованной таблицей соответствий · Редакционные материалы Суждение ControlMapping с указанием причины · не сопоставлено, есть только общие результаты CSF по этой теме · Нет сопоставления в наших данных в наших данных ничего не сопоставлено; часто это новая работа, но проверьте примечания о покрытии. Методология.
Идентификаторы и названия требований приведены так, как их публикует каждый фреймворк, на английском языке.
Ошибочное или отсутствующее сопоставление? Сообщить
О теме «SIEM / SOC»
Платформы управления информацией и событиями безопасности (SIEM) агрегируют и коррелируют данные журналов из всей ИT-инфраструктуры организации, обеспечивая централизованную видимость, обнаружение угроз и формирование отчётности для целей соответствия требованиям. Центр мониторинга безопасности (SOC) укомплектован подготовленными аналитиками, которые отслеживают оповещения SIEM, расследуют потенциальные инциденты и координируют меры реагирования; для критически важных сред такой центр often работает в режиме 24/7. Организациям следует разрабатывать сценарии обнаружения, соотнесённые с техниками MITRE ATT&CK, устанавливать процедуры первичной сортировки оповещений и рабочие процессы эскалации, а также оценивать эффективность SOC с помощью таких метрик, как среднее время обнаружения (MTTD) и среднее время реагирования (MTTR).