Хаб Безпеки

Призначення і карта хаба

Хаб Безпеки об’єднує все, що стосується операційної безпеки: SOC (сортування і обробка алертів/інцидентів безпеки), XDR (міждоменна кореляція і threat hunting), керування вразливостями, PAM (Privileged Access Management), адміністрування SecOps (SOAR: оцінювання, погодження, відкат) і звітність з безпеки. Тікети цієї області (родина SOC-*) мають максимальну конфіденційність: деякі типи (напр. SOC-INCIDENT) бачать лише аналітики SOC і CISO тенанта.

На цій сторінці описано стартову сторінку, операційні консолі (SOC L1, XDR), Vulnerability Cockpit, п’ять сторінок PAM і Консоль PAM, SecOps Admin, Security Report Center і Agent Monitoring. GRC/ICC і подання директорів SOC/XDR згадано, але описано на відповідних сторінках (GRC, ризики, комплаєнс і юридичні питання, Кокпіти і керівні подання, Customer Service, Enterprise Service і ICC).

Стартова сторінка Security Hub

Для чого. Це точка входу в безпеку: тут зібрано плитки для переходу до SOC, XDR, вразливостей, PAM, SecOps Admin, звітності та пов’язаних областей (GRC, ICC).

Коли використовувати. На початку сесії роботи з безпекою, щоб вибрати область.

Як відкрити. З Головної Core (плитка Security Hub) або з Security Hub в іншому контексті.

Що показує. Плитки ведуть до: SOC L1, XDR, Вразливості, PAM, SecOps Admin, IT Security Report Center, KB домену SOC, GRC, ICC, Operations Cockpit в області безпеки, Agent Control Tower в області security, CMDB з фокусом на безпеці, ITOM з фокусом на безпеці та подань директорів SOC/XDR/GRC/ICC.

Як користуватися. Натискаєш плитку потрібної області; видимі плитки залежать від ролі (профілі SOC, XDR, SECHUB тощо).

Що відбувається далі. Відкривається вибрана сторінка/консоль із переданим контекстом.

Примітки. Видимість тут особливо обмежена: багато матеріалів потребують ролей SOC/CISO.

SOC L1, сортування алертів безпеки

Для чого. Це операційна консоль SOC: збирає алерти з SIEM (через webhook) і керує сортуванням L1→L2→L3 аж до підтверджених інцидентів. Використовує той самий механізм макета, що й консоль IT, з доменом SOC.

Коли використовувати. Це робоче місце аналітика SOC для сортування й обробки алертів та інцидентів.

Як відкрити. На стартовій сторінці Security Hub, плитка SOC L1.

Що показує. Макет із трьох панелей (черга · деталі · інструменти) з автооновленням і фільтрами. Смуга KPI для L1: Активні алерти, Відсортовані за останню годину, FP rate (хибнопозитивні), SLA сортування, Ескалації L2. Швидкі дії L1: Призначити мені, Escalate L2, ✓ True Positive, False Positive.

На вищих рівнях (L2/L3, аналіз/IR) змінюються KPI і дії: KPI Open cases, Breaches, Активні hunt, PIR pending, IOC ingested; дії Take over, Escalate L3, Isolate host, Block IOC, IR Playbook. Панель KPI SOC можна відкрити у вікні («SOC L1 Dashboard»).

Як користуватися. Сортуєш алерти (SOC-ALERT), класифікуючи їх як True/False Positive; підтверджений алерт переводиш у SOC-INCIDENT (максимальна конфіденційність, PIR обов’язковий); обробляєш повідомлення про фішинг (SOC-PHISH, їх можна відкрити й з порталу користувача) і алерти про шкідливе ПЗ (SOC-MALWARE). Дії стримування (Isolate host, Block IOC) запускають виправлення SOAR.

Що відбувається далі. «True Positive» запускає ескалацію/інцидент; «Isolate/Block» виконують дії реагування (з урахуванням бар’єрів SOAR); кожна дія фіксується, а учасники отримують сповіщення.

Примітки. Найчутливіші дії з виправлення (напр. execute_script) захищено кількома бар’єрами (див. SecOps Admin). Інциденти бачать лише SOC/CISO.

XDR Ops

Для чого. XDR (eXtended Detection & Response) забезпечує міждоменну кореляцію загроз та інструменти проактивного пошуку, threat intelligence і обміну даними з вендорами.

Коли використовувати. Для корельованого аналізу сигналів із багатьох джерел, кампаній hunting, керування IOC і виконавчих брифів про загрози.

Як відкрити. На стартовій сторінці Security Hub, плитка XDR.

Що показує. Консоль, поділену на підподання (початкове: Correlation), кожне з KPI, таблицями та вкладками:

Підподання	Вміст
Correlation	Міждоменна кореляція сигналів
Threat Intel	IOC і розвідка (`SOC-THREAT-INTEL`: TLP, confidence, CVE, threat actor, строк дії)
Unified Timeline	Єдина хронологія подій
Executive Brief	Виконавче зведення про загрозу
Escalation	Керування ескалаціями
Lessons Learned	Висновки після події
Hunting Queries	Запити threat hunting (`SOC-THREAT-HUNT`: гіпотеза, техніка)
Vendor Sharing	Обмін даними з вендорами/партнерами
Knowledge Base	База знань XDR
Threat Landscape	Ландшафт загроз
Reports & Analytics	Звіти й аналітика (спільний модуль звітності з плануванням)

Як користуватися. Переходиш між підподаннями; корелюєш сигнали, керуєш IOC і кампаніями hunting, готуєш брифи і звіти; тут же обробляються findings Attack Surface Management (SOC-ASM) і Security Case (SOC-CASE, розслідування, що об’єднують кілька алертів/інцидентів/IOC через зв’язки тікетів).

Що відбувається далі. Кореляції можуть породжувати інциденти/справи; підтверджені IOC живлять захисні системи; звіти можна планувати.

Примітки. Подання Reports використовує спільний модуль звітності платформи.

Vulnerability Cockpit

Для чого. Керує вразливостями (SOC-VULN), які виявили сканери (Tenable, Qualys, Nessus): від виявлення до виправлення.

Коли використовувати. Щоб розставити пріоритети й відстежувати виправлення вразливостей.

Як відкрити. На стартовій сторінці Security Hub, плитка Вразливості.

Що показує. Кокпіт вразливостей з оцінкою CVSS, зачепленим хостом/CI, джерелом і станом виправлення; коли відкритих findings немає, показує стан «Відкритих findings немає».

Як користуватися. Переглядаєш вразливості за серйозністю, плануєш виправлення, пов’язуєш їх зі змінами й активами.

Що відбувається далі. Виправлення оновлює стан; критичні вразливості можуть породжувати інциденти.

Примітки. Дані надходять від сканерів через імпорт.

PAM Hub

Для чого. Це точка входу в Privileged Access Management: керування привілейованими доступами, обліковими записами, обліковими даними, сесіями й відповідністю.

Коли використовувати. Щоб керувати привілейованим доступом до чутливих систем і контролювати його.

Як відкрити. На стартовій сторінці Security Hub, плитка PAM.

Що показує. Плитки сторінок PAM: Доступи, Облікові записи, Vault, Сесії, Compliance.

Як користуватися. Вибираєш область PAM; функції описано в наступних розділах.

Що відбувається далі. Усі операції PAM повністю фіксуються в аудиті.

Примітки. PAM доступний лише ролям безпеки (SOC/CISO/PAM admin).

PAM Доступи JIT/JEA

Для чого. Керує запитами на привілейований доступ за моделлю JIT/JEA (Just-In-Time / Just-Enough-Access): доступ надається на обмежений час і в мінімальному обсязі.

Коли використовувати. Коли користувачу потрібен тимчасовий привілейований доступ до системи.

Як відкрити. З PAM Hub, плитка Доступи.

Що показує і як користуватися. Запити на доступ (SOC-ACCESS-REQ) з погодженням (CISO/SOC) і строком дії; надаєш доступ на потрібне вікно і відкликаєш його після закінчення строку.

Що відбувається далі. Наданий доступ обмежений у часі й відкликається автоматично; кожне надання фіксується.

Примітки. Модель JIT/JEA мінімізує постійні привілеї.

PAM Привілейовані облікові записи

Для чого. Керує інвентарем привілейованих облікових записів (адміністративних, сервісних) та їхнім життєвим циклом.

Коли використовувати. Щоб облікувати, ротувати і вимикати привілейовані облікові записи.

Як відкрити. З PAM Hub, плитка Облікові записи.

Що показує і як користуватися. Список привілейованих облікових записів із власником, системою і станом; дії ротації/вимкнення.

Що відбувається далі. Зміни фіксуються; невідповідні облікові записи з’являються в PAM Compliance (PAM Compliance).

Примітки. Пов’язано з Vault (PAM Сховище облікових даних).

PAM Сховище облікових даних

Для чого. Це сейф привілейованих облікових даних: безпечне зберігання і контрольована видача секретів.

Коли використовувати. Щоб безпечно зберігати й отримувати привілейовані облікові дані.

Як відкрити. З PAM Hub, плитка Vault.

Що показує і як користуватися. Елементи, що зберігаються у vault, з контрольованим доступом; отримання потребує авторизації і фіксується.

Що відбувається далі. Кожен доступ до секрету записується в аудит.

Примітки. Облікові дані ніколи не показуються в інтерфейсі відкритим текстом понад потрібне; секрети вводить сам користувач.

PAM Привілейовані сесії

Для чого. Керує привілейованими сесіями до систем і записує їх.

Коли використовувати. Щоб запустити/контролювати привілейовану сесію і переглянути її запис.

Як відкрити. З PAM Hub, плитка Сесії.

Що показує і як користуватися. Активні та минулі сесії з користувачем, системою, тривалістю і записом; звідси можна запустити сесію (також через Консоль PAM, Консоль PAM (доступ zero-knowledge)).

Що відбувається далі. Сесії записуються для аудиту і перевірки.

Примітки. Підтримує модель zero-knowledge (Консоль PAM (доступ zero-knowledge)).

PAM Compliance

Для чого. Перевіряє відповідність привілейованих доступів і облікових записів політикам.

Коли використовувати. Для періодичних перевірок відповідності PAM.

Як відкрити. З PAM Hub, плитка Compliance.

Що показує і як користуватися. Стан відповідності (надмірні доступи, «осиротілі» облікові записи, пропущені ротації) і коригувальні дії.

Що відбувається далі. Невідповідності живлять findings і дії з виправлення.

Примітки. Пов’язано з GRC/аудитом.

Консоль PAM (доступ zero-knowledge)

Для чого. Відкриває привілейовану консоль zero-knowledge до CI/системи, не розкриваючи облікових даних операторові.

Коли використовувати. Коли потрібно працювати із системою під час обробки тікета (напр. інцидент на хості).

Як відкрити. Кнопкою Console PAM у Редакторі тікета (Редактор тікета), коли тікет стосується CI, або зі сторінки Сесії PAM.

Що показує і як користуватися. Консоль сесії до системи, яку опосередковує PAM: облікові дані підставляються з vault і не розкриваються.

Що відбувається далі. Сесія записується (PAM Привілейовані сесії) і фіксується в аудиті.

Примітки. Модель zero-knowledge: оператор працює, не знаючи секрету.

SecOps Admin

Для чого. Це налаштування автоматизації безпеки (SOAR) і політик реагування.

Коли використовувати. Щоб налаштувати оцінювання ризику, керувати погодженням дій з виправлення та їх зворотністю.

Як відкрити. На стартовій сторінці Security Hub, плитка SecOps Admin.

Що показує. Три вкладки:

Risk Scoring — Weights Configuration — ваги та критерії оцінки ризику.
Approvals Queue — черга погоджень дій з виправлення.
Rollback Stack — стек зворотних дій (щоб скасувати виправлення).

Як користуватися. Задаєш ваги оцінювання; погоджуєш/відхиляєш дії в черзі; керуєш відкатом виконаних дій.

Що відбувається далі. Погоджені дії виконують плейбуки SOAR; відкат скасовує наслідки там, де це підтримується.

Примітки. Налаштування інструментів безпеки (Azure Tenant/Client ID/Secret, Type, Endpoint URL) перенесено до Integration Center (Integration Hub та імпорт). Чутливі дії (напр. execute_script) захищено чотирма бар’єрами і суворим керуванням секретами.

IT Security Report Center

Для чого. Це звітність з безпеки: стан захищеності, вразливості за серйозністю, інциденти, відповідність.

Коли використовувати. Щоб створювати й переглядати звіти з безпеки.

Як відкрити. На стартовій сторінці Security Hub, плитка IT Security Report Center.

Що показує і як користуватися. Каталог звітів з безпеки з обмеженням доменом SOC, попереднім переглядом, плануванням і експортом.

Що відбувається далі. Звіти можна планувати й експортувати.

Примітки. Область обмежено доменом безпеки.

Agent Monitoring

Для чого. Відстежує агентів/кінцеві точки безпеки, встановлені в системах.

Коли використовувати. Щоб перевірити покриття і стан агентів (EDR/моніторинг).

Як відкрити. На стартовій сторінці Security Hub / в області SecOps.

Що показує і як користуватися. Стан агентів за хостами (версія, з’єднання, справність); тут знаходиш незахищені або несправні кінцеві точки.

Що відбувається далі. Аномалії можуть породжувати алерти/тікети.

Примітки. Доповнює Attack Surface Management (XDR Ops).

Сторінки, пов’язані з хабом (описані в інших розділах)

Зі стартової сторінки Безпеки також відкриваються сторінки, описані на відповідних сторінках: GRC (GRC, ризики, комплаєнс і юридичні питання), ICC (Довідник проєктів / клієнтів), CMDB з фокусом на безпеці (Asset Management і CMDB), ITOM з фокусом на безпеці (NOC, Observability і ITOM), Agent Control Tower (Хаб ШІ та агенти), Operations Cockpit і подання Service Director SOC/XDR/GRC/ICC (Кокпіти і керівні подання).