Security Operations Centres and Threat Huntingناوەندی کارەکانی ئاسایش و ڕاوکردنی هەڕەشە

A security operations centre (SOC) is the team — and often the room with many screens — that watches an organisation's systems day and night, notices attacks that get past the firewalls and other protections, and makes sure they are handled. The course names its three main jobs:

ناوەندی کارەکانی ئاسایش ⁦(SOC)⁩ ئەو تیمەیە — و زۆرجار ئەو ژوورەیە کە زۆر شاشەی تێدایە — کە شەو و ڕۆژ چاودێریی سیستەمەکانی ڕێکخراوێک دەکات، ئەو هێرشانە هەست پێ دەکات کە لە ئاگرەدیوارەکان (Firewall) و پاراستنەکانی تر تێدەپەڕن و دڵنیا دەبێتەوە کە چارەسەر دەکرێن. کۆرسەکە سێ ئەرکی سەرەکیی ناو دەبات:

The course lists the roles and the hierarchy of a SOC. One person may hold several roles in a small team; a large SOC has groups for each.

کۆرسەکە ڕۆڵەکان و پلەبەندیی SOC ڕیز دەکات. لە تیمێکی بچووکدا یەک کەس لەوانەیە چەند ڕۆڵێکی هەبێت؛ SOCـی گەورە بۆ هەر یەکەیان گرووپێکی هەیە.

Many SOCs organise their analysts in tiers, so that simple work is done quickly and hard cases reach the most experienced people. Names differ between organisations, but the idea is common:

زۆر SOC شیکەرەوەکانیان بە پلە ڕێک دەخەن، بۆ ئەوەی کاری سادە بە خێرایی بکرێت و حاڵەتە قورسەکان بگەنە بەئەزموونترین کەسەکان. ناوەکان لە ڕێکخراوێکەوە بۆ ڕێکخراوێکی تر جیاوازن، بەڵام بیرۆکەکە باوە:

Handing a case up to the next tier is called escalation. Good escalation rules say exactly when and how to escalate, so nothing serious waits in a queue and experts are not flooded with small things.

ناردنی حاڵەتێک بۆ پلەی سەرەوە پێی دەگوترێت بەرزکردنەوەی کێشە. یاسای باشی بەرزکردنەوەی کێشە بە وردی دەڵێن کەی و چۆن بەرز بکرێتەوە، بۆ ئەوەی هیچ شتێکی جددی لە ڕیزدا چاوەڕێ نەکات و پسپۆڕان بە شتی بچووک نوقم نەبن.

Most of a SOC's day is spent on log analysis and correlation: reading security logs and connecting events from different systems to find suspicious activity. The SIEM does the first pass automatically (see SIEM); people decide what it means.

زۆربەی ڕۆژی SOC بە شیکاری و بەستنەوەی لۆگەکان تێدەپەڕێت: خوێندنەوەی لۆگەکانی ئاسایش و بەستنەوەی ڕووداوەکانی سیستەمە جیاوازەکان بە یەکەوە بۆ دۆزینەوەی چالاکیی گوماناوی. SIEM یەکەم پشکنین بە شێوەی خۆکار دەکات (بڕوانە SIEM)؛ خەڵک بڕیار دەدەن واتای چییە.

Most alerts are false positives. When a SOC receives thousands a day, analysts get tired and start skipping them — alert fatigue — and the one real attack is lost in the noise. NIST advises tuning monitoring to keep false positives and false negatives at acceptable levels, and the UK's NCSC suggests giving analysts feedback on noisy rules. A good alert also arrives with its evidence attached: which account, which device, which events, and why it matters.

زۆربەی ئاگادارکردنەوەکان ئەرێنییە هەڵەکانن. کاتێک SOC ڕۆژانە هەزاران ئاگادارکردنەوە وەردەگرێت، شیکەرەوەکان ماندوو دەبن و دەست دەکەن بە پشتگوێخستنیان — ماندووبوون لە ئاگادارکردنەوە — و تاکە هێرشە ڕاستەقینەکە لە ناو ژاوەژاوەکەدا ون دەبێت. NIST ئامۆژگاری دەکات چاودێری ڕێک بخرێت بۆ ئەوەی ئەرێنییە هەڵەکان و نەرێنییە هەڵەکان (False negative) لە ئاستێکی پەسەندکراودا بمێننەوە. NCSCـی بەریتانیاش پێشنیار دەکات فیدباک لەسەر یاسا پڕ ئاگادارکردنەوەکان بدرێتە شیکەرەوەکان. ئاگادارکردنەوەیەکی باش لەگەڵ بەڵگەکانیدا دێت: کام هەژمار، کام ئامێر، کام ڕووداوەکان و بۆچی گرنگە.

Attackers who use stolen passwords look like real users to a firewall. Behavioural analytics catches them by learning what is normal for each user and device, then flagging what is not. The course describes it as analysing user behaviour and network traffic patterns to find anomalies and potential threats.

هێرشبەرێک کە تێپەڕەوشەی (Password) دزراو بەکار دەهێنێت، بۆ ئاگرەدیوار وەک بەکارهێنەرێکی ڕاستەقینە دەردەکەوێت. شیکاریی ڕەفتار بەم شێوەیە دەیانگرێت: فێر دەبێت چی بۆ هەر بەکارهێنەر و ئامێرێک ئاساییە، پاشان ئەوەی ئاسایی نییە نیشانە دەکات. کۆرسەکە وەک شیکردنەوەی ڕەفتاری بەکارهێنەر و نموونەکانی هاتوچۆی ڕایەڵە بۆ دۆزینەوەی نائاسایی و هەڕەشەی ئەگەری وەسفی دەکات.

Many alerts need the same first steps every time: look up the address in threat intelligence, check the user, block, open a ticket. A SOAR platform connects the SOC's tools and runs these steps automatically, following a written playbook. It does in seconds what would take an analyst twenty minutes, and it never forgets a step.

زۆر ئاگادارکردنەوە هەموو جارێک هەمان هەنگاوە سەرەتاییەکانیان پێویستە: گەڕان بەدوای ناونیشانەکەدا لە هەواڵگریی هەڕەشەدا، پشکنینی بەکارهێنەرەکە، ڕاگرتن، کردنەوەی تیکێتێک. پلاتفۆرمی SOAR ئامرازەکانی SOC بە یەکەوە دەبەستێت و ئەم هەنگاوانە بە شێوەی خۆکار جێبەجێ دەکات، بەپێی ڕێبەرنامەیەکی وەڵامدانەوە نووسراو. لە چەند چرکەیەکدا ئەوە دەکات کە بیست خولەکی شیکەرەوەیەک دەبات و هەرگیز هەنگاوێک لەبیر ناکات.

A SOC cannot recognise an attack it has never heard of. Threat intelligence is information about threats and attackers that has been collected, checked and explained so that defenders can act on it. NIST calls it threat information that has been analysed and enriched to give the context needed for decisions. The course names two main sources:

SOC ناتوانێت هێرشێک بناسێتەوە کە هەرگیز ناوی نەبیستووە. هەواڵگریی هەڕەشە زانیارییە دەربارەی هەڕەشەکان و هێرشبەرەکان کە کۆ کراوەتەوە، پشکنراوە و ڕوون کراوەتەوە بۆ ئەوەی بەرگریکاران کاری لەسەر بکەن. NIST پێی دەڵێت زانیاریی هەڕەشە کە شیکاری و دەوڵەمەندکراوە بۆ ئەوەی ئەو پاشخانەی بۆ بڕیاردان پێویستە بدات. کۆرسەکە دوو سەرچاوەی سەرەکی ناو دەبات:

Intelligence is used at three levels. Strategic: for managers — which groups attack our sector and why, so the budget goes to the right defences. Operational: for the SOC — how a current campaign works, so analysts know what to watch. Tactical: for tools — the indicators themselves, loaded into the SIEM and firewall so matching traffic raises an alert or is blocked.

هەواڵگریی هەڕەشە لە سێ ئاستدا بەکار دەهێنرێت. ستراتیژی: بۆ بەڕێوەبەران — کام گرووپ هێرش دەکەنە سەر کەرتەکەمان و بۆچی، بۆ ئەوەی بودجە بۆ بەرگریی دروست بڕوات. ئۆپەراسیۆنی: بۆ SOC — هەڵمەتێکی ئێستا چۆن کار دەکات، بۆ ئەوەی شیکەرەوەکان بزانن چاودێریی چی بکەن. تاکتیکی: بۆ ئامرازەکان — خودی نیشانەکان، کە دەخرێنە ناو SIEM و ئاگرەدیوارەوە بۆ ئەوەی هاتوچۆی هاوتا ئاگادار بکاتەوە یان ڕابگیرێت.

Attackers reuse the same tools against many victims, so what one organisation learns can protect hundreds of others. The course gives four ways to collaborate:

هێرشبەرەکان هەمان ئامراز دژی زۆر قوربانی دووبارە بەکار دەهێننەوە، بۆیە ئەوەی ڕێکخراوێک فێری دەبێت دەتوانێت سەدان ڕێکخراوی تر بپارێزێت. کۆرسەکە چوار ڕێگای هاوکاری دەدات:

In practice, sharing happens through national CERTs (computer emergency response teams), sector groups called ISACs (information sharing and analysis centres, for banks, hospitals, energy…), and FIRST, the global forum of incident response teams that also maintains CVSS. Shared reports carry a Traffic Light Protocol (TLP) label that says who may see them: TLP:RED (named people only), TLP:AMBER+STRICT (inside the organisation only), TLP:AMBER (the organisation and its clients, only those who need it), TLP:GREEN (the community, not public channels) and TLP:CLEAR (anyone).

لە ڕاستیدا، هاوبەشکردن لە ڕێگەی CERTـە نیشتیمانییەکانەوە (تیمەکانی وەڵامدانەوەی فریاکەوتنی کۆمپیوتەر (Computer))، گرووپەکانی کەرت کە پێیان دەگوترێت ISAC (ناوەندەکانی هاوبەشکردن و شیکاریی زانیاری، بۆ بانک، نەخۆشخانە، وزە…) و FIRST ڕوو دەدات، کە مەکۆی جیهانیی تیمەکانی وەڵامدانەوەی ڕووداوە و CVSSـیش بەڕێوە دەبات. ڕاپۆرتە هاوبەشکراوەکان نیشانەیەکی ⁦Traffic Light Protocol (TLP)⁩ هەڵدەگرن کە دەڵێت کێ دەتوانێت بیانبینێت: ⁦TLP:RED⁩ (تەنها کەسانی ناوبراو)، ⁦TLP:AMBER+STRICT⁩ (تەنها لە ناو ڕێکخراوەکەدا)، ⁦TLP:AMBER⁩ (ڕێکخراوەکە و کڕیارەکانی، تەنها ئەوانەی پێویستیان پێیەتی)، ⁦TLP:GREEN⁩ (کۆمەڵگەکە، نەک کەناڵە گشتییەکان) و ⁦TLP:CLEAR⁩ (هەموو کەسێک).

Alerts only fire for what someone wrote a rule for. Threat hunters start from the opposite idea: assume an attacker is already inside and has not triggered any alert — then go looking. The course describes their work as proactively searching for threats and vulnerabilities, finding possible attack vectors and improving the security posture, using four activities:

ئاگادارکردنەوەکان تەنها بۆ ئەوە دێن کە کەسێک یاسای بۆ نووسیوە. ڕاوچییانی هەڕەشە لە بیرۆکەی پێچەوانەوە دەست پێ دەکەن: وا دابنێ هێرشبەرێک پێشتر لە ناوەوەیە و هیچ ئاگادارکردنەوەیەکی دروست نەکردووە — پاشان بەدوایدا دەگەڕێن. کۆرسەکە کارەکەیان وەک گەڕانی پێشوەختە بەدوای هەڕەشەکان و خاڵە لاوازەکاندا، دۆزینەوەی ڕێگەکانی هێرشی ئەگەری و باشترکردنی ئاستی ئاسایش وەسف دەکات، بە بەکارهێنانی چوار چالاکی:

MITRE ATT&CK (Adversarial Tactics, Techniques and Common Knowledge) is a free knowledge base kept by MITRE, a US non-profit. It is built from real, publicly reported attacks. It organises attacker behaviour into tactics — the attacker's goal at each stage, such as getting in or stealing data — and techniques, the ways each goal is reached. The Enterprise matrix in version 20 has 15 tactics:

MITRE ATT&CK ⁦(Adversarial Tactics, Techniques and Common Knowledge)⁩ بنکەیەکی زانیاریی بێبەرانبەرە کە MITRE، ڕێکخراوێکی ئەمریکیی ناقازانجی، بەڕێوەی دەبات. لە هێرشە ڕاستەقینە و بە ئاشکرا ڕاپۆرتکراوەکانەوە دروست کراوە. ڕەفتاری هێرشبەر ڕێک دەخات بۆ تاکتیک — ئامانجی هێرشبەر لە هەر قۆناغێکدا، وەک چوونە ژوورەوە یان دزینی دراوە — و تەکنیک، ئەو ڕێگایانەی هەر ئامانجێک پێیان دەگات. ماتریکسی Enterprise لە وەشانی ⁦20⁩دا ⁦15⁩ تاکتیکی هەیە:

Why does a SOC care? ATT&CK gives everyone the same words: an analyst can write "Credential Access, then Lateral Movement" and every team understands. SOCs use it to map their detections (which tactics can we see? where are we blind?), to plan hunts ("we have nothing for Exfiltration — let's hunt there"), to describe incidents in reports, and to read threat intelligence, which often lists the techniques a group uses.

بۆچی SOC گرنگی پێ دەدات؟ ⁦ATT&CK⁩ هەمان وشەکان دەدات بە هەمووان: شیکەرەوەیەک دەتوانێت بنووسێت «⁦Credential Access⁩، پاشان ⁦Lateral Movement⁩» و هەموو تیمێک تێدەگات. SOCـەکان بەکاری دەهێنن بۆ نەخشەکێشانی دۆزینەوەکانیان (کام تاکتیکەکان دەبینین؟ لە کوێ کوێرین؟)، بۆ پلاندانانی ڕاو («هیچمان بۆ Exfiltration نییە — با لەوێ ڕاو بکەین»)، بۆ وەسفکردنی ڕووداوە ئاسایشییەکان لە ڕاپۆرتەکاندا و بۆ خوێندنەوەی هەواڵگریی هەڕەشە، کە زۆرجار ئەو تەکنیکانە لیست دەکات کە گرووپێک بەکاریان دەهێنێت.

SOC analyst is one of the most common first jobs in cybersecurity. Tier 1 work teaches how real attacks look, and many people move on to incident response, threat hunting, engineering or management. The work is often in shifts, because attacks do not wait for office hours, and it needs calm habits: checking facts before acting and writing clear notes.

شیکەرەوەی SOC یەکێکە لە باوترین یەکەم کارەکان لە ئاسایشی سایبەردا (Cybersecurity). کاری پلەی یەکەم فێرت دەکات هێرشی ڕاستەقینە چۆن دەردەکەوێت و زۆر کەس دواتر دەچن بۆ وەڵامدانەوەی ڕووداو، ڕاوکردنی هەڕەشە، ئەندازیاری یان بەڕێوەبردن. کارەکە زۆرجار بە نۆرەیە (شیفت)، چونکە هێرشەکان چاوەڕێی کاتی دەوام ناکەن. پێویستی بە ڕەفتاری هێمن هەیە: پشکنینی ڕاستییەکان پێش هەر هەنگاوێک و نووسینی تێبینیی ڕوون.