Czynności śledczo-analityczne jako część Security Operations Center [SecureTech Congress 2018]

Panel rozpoczął Diogo Fernandes, ekspert sądowy i specjalista ds. zabiepieczeń w koncernie PepsiCo. W swoim wykładzie wprowadzającym "A Brief View on Cybersecurity" Fernandes zapoznał zgromadzonych najważniejszymi zagadnieniami i pojęciami dotyczącymi czynoości śledczo-analitycznych w informatyce

Następnie na wybranych przykładach zautomatyzowany proces automatyki śledczej przedstawili Jakub Jagielak i Marcin Marciniak. Eskperci zaprezentowali proces wykrycia i likwidacji ataku na system infrastruktury cybernetycznej firmy z sektora energetycznego z Izraela. Marcin Marciniak zdradził zgromadzonym słuchaczom jak krótka jest droga od znalezienia miejsca i sprawcy cyberataku do jego całkowitego unieszkodliwienia.

Trzeci punkt panelu stanowiła debata nt. procesów analizy powłamaniowej. Wzięli w niej udział występujący wcześniej Diogo Fernandes, Krzysztof Bińkowski ekspert informatyki śledczej i dyrektor w firmie IMMUSE oraz Jacek Grymuza, ekspert ds. SOC, prezes (ISC)2 Poland Chapter i przedstawiciel firmy Wisenet. Dyskusję poprowadził Adam Haertle, redaktor naczelny, portalu ZaufanaTrzeciaStrona.pl. W czasie rozmowy moderator poruszył temat m.in. włączenia procesu automatyki śledczej w koncepcję Security Operations Center. Z postawioną tezą zgodził się Jacek Grymuza. Prezes (ISC)2 Poland Chapter SOC chciałby aby w przyszłości czynności pozwalające na analizę cyberataków stały się integralną częścią SOC. O specyfikę korzystania z usług analityków zajmujących się automatyką śledczą zapytano Krzysztofa Bińskowskiego. W opinii dyrektora IMMUSE przyszli eksperci powinni korzystać z dowodów zgromadzonych przy okazji wcześniejszych cyberataków i analizować incydenty z przeszłości. Z punktu widzenia SOC istotna jest liczba osób zajmujących się czynnościami śledczo-analitycznymi w jegi ramach. Zdaniem Diego Fernandesa optymalnie powinna to być grupa dziesięciu ekspertów pracujących na poziomie analizy.