Ziet een NOC het als er wordt ingebroken?

Soms ziet een NOC er een symptoom van, zoals een server die ineens veel meer verkeer naar buiten stuurt dan normaal. Maar een NOC kijkt naar interfaces, routes en verkeersstromen, niet naar wat er op je servers en in je accounts gebeurt. Inbraakdetectie vraagt andere data en ander werk; dat is het terrein van een SOC of MDR-dienst.

Wat is het verschil tussen een SOC en MDR?

Een SOC is het team en de werkplek die beveiligingsmeldingen beoordelen en onderzoeken. MDR (managed detection and response) is een dienst waarbij een externe partij dat voor je doet, meestal met eigen software op je endpoints en het recht om in te grijpen, zoals een machine isoleren. Voor de meeste mkb-organisaties is MDR de realistische vorm van een SOC.

Kunnen jullie onze logs naar onze MDR-partij sturen?

Bij NOC-as-a-Service kunnen we onze meldingen naar jouw systemen doorsturen, en je eigen apparatuur kan zijn logs rechtstreeks naar je MDR-partij sturen. Welke stromen dat zijn, leggen we bij de intake vast; je eigen dashboards en tooling blijven van jou.

Een NOC is geen SOC: wat je van je netwerkpartner mag verwachten bij een incident

"Onze netwerkpartner monitort alles, dus de beveiliging is geregeld." Die redenering hoor je vaak, en ze verwart twee verschillende diensten. Een NOC (network operations centre) bewaakt of je netwerk werkt. Een SOC (security operations centre) zoekt naar aanvallers die al binnen zijn. Beide kijken naar je infrastructuur, maar ze stellen een andere vraag, gebruiken andere data en roepen bij een alarm andere mensen op. Wie een NOC-dienst afneemt, heeft daarmee geen SOC. Hieronder lees je wat je bij een incident wél van je netwerkpartner mag verwachten, en wat je elders moet beleggen.

Twee vragen, twee soorten data

Een NOC vraagt: werkt het? Zijn de interfaces op, staan de BGP-sessies, zit er geen lijn vol, reageert de apparatuur? De data zijn SNMP-tellers, sessiestatus, verkeersstromen en syslog van routers en switches. Het alarm gaat af als iets van gezond naar ongezond gaat, en het antwoord is herstel: een failover, een vervangen optiek, een ticket bij de carrier.

Een SOC vraagt: is hier iemand die er niet hoort? De data zijn inlogpogingen, procesactiviteit op servers en werkplekken, wijzigingen in accounts en rechten, en meldingen van beveiligingssoftware, aan elkaar gekoppeld over systemen heen. Een geslaagde inbraak met gestolen inloggegevens laat in een NOC-dashboard vaak niets zien. Alle lampjes staan groen, want het netwerk doet precies wat het moet doen.

Het is hetzelfde onderscheid als tussen monitoring en error tracking: beide nodig, en het een vervangt het ander niet.

Waar ze elkaar raken

Er is een strook waar het netwerk een aanval wel ziet:

DDoS — een aanval op beschikbaarheid, dus het terrein van het netwerk. Detectie en mitigatie gebeuren op de edge van het netwerk, en je kunt een aanval in het dashboard volgen.
Afwijkend verkeer — een server die 's nachts ineens veel naar buiten stuurt, of verbindingen opzet naar landen waar je geen klanten hebt. Een NOC kan dat signaleren en melden. Of het een datalek is of een back-upjob die verkeerd staat ingesteld, moet iemand met toegang tot die server uitzoeken.
Kwetsbare apparatuur — een firewall of router met een bekende kwetsbaarheid is een netwerkzaak. Patchen hoort bij beheer, ook als de aanleiding een beveiligingsadvies is.

Wat je van je netwerkpartner mag verwachten

Bij een incident dat jouw dienst raakt, hoort je netwerkpartner dit te leveren:

Een melding binnen een afgesproken termijn — jij moet onder de Cyberbeveiligingswet binnen 24 uur een vroegtijdige waarschuwing doen. Wij melden een incident dat jouw dienst raakt binnen 8 tot 12 uur, zodat jij die termijn haalt. Meer over die afspraak lees je in NIS2 en je leveranciers.
Een tijdlijn — wat er gezien is, wanneer, en wat er is gedaan. Met tijdstempels uit gesyncte klokken, anders zijn ze niet naast de logs van je MDR-partij te leggen.
Configuratiehistorie — wat er op de apparatuur is veranderd, door wie en wanneer. Staat de configuratie in versiebeheer, dan is dat één commando.
Ingrijpen op netwerkniveau — een poort dichtzetten, een prefix blackholen, een filter plaatsen. Op afgesproken playbooks of na jouw akkoord, niet op eigen houtje.
Logs en meldingen doorsturen — naar jouw eigen systemen of die van je MDR-partij, in een formaat dat ze kunnen lezen.

Wat je niet mag verwachten: forensisch onderzoek op je servers, het analyseren van verdachte processen, het zoeken naar sporen van een aanvaller in je accounts. Dat vraagt toegang, tooling en mensen die daar elke dag mee bezig zijn. Wij hebben geen SOC, en dat zeggen we liever vooraf dan tijdens een incident.

Regel de overdracht vooraf

Het zwakke punt zit meestal niet in de NOC of de SOC, maar in de overdracht. Als die pas bij het eerste incident wordt bedacht, gaan de eerste uren op aan telefoonnummers zoeken. Leg daarom vooraf vast:

Wie belt wie — en in welke volgorde, ook buiten kantoortijd.
Welke logs waarheen gaan — en hoe lang ze bewaard blijven.
Wie mag ingrijpen — wat de netwerkpartner zelf mag doen en waarvoor hij akkoord nodig heeft.

NOC bij ons, SOC bij een specialist

Onze NOC-as-a-Service bewaakt en beheert je netwerk en meldt wat er gebeurt. Voor detectie en respons op je servers en werkplekken werk je met een MDR-partij, en wij leveren die partij de netwerkkant aan. Voor DDoS-bescherming en IP-transit geldt hetzelfde: wij doen het netwerk. Welke vragen een NIS2-afnemer ons stelt, staat op onze NIS2-pagina. Wil je weten hoe de overdracht er voor jouw omgeving uitziet: neem contact op.