Всем привет! Решил создать личный канал в Telegram!

Добро пожаловать!

Идейный вдохновитель и человек, который чаще всех спрашивал, когда я уже его создам — Аскар @rockyou. Аскар, держи! 😉

Амангельды, ждём!
@akusainov

@epitolin Сделано!

По совету друзей и в рамках моды наш дорогой Амангельды Кусаинов наконец-то создал себе телеграм-канал.
Теперь все ИБ-сообщество может лайкать друг друга:)

@akusainov welcome!

Почему название канала "Out of Path"?

В сетевых архитектурах и ИБ режим Out-of-Path означает работу систем безопасности «в стороне от основного трафика». Такой подход не создаёт задержек, не роняет продакшн и не мешает рабочим процессам, но при этом видит и анализирует абсолютно всё, что происходит в инфраструктуре.
Этот канал создавался по похожему принципу - взгляд на сферу ИБ, ИТ и телеком под углом максимальной объективности и без приукрас.
P.S. Думал, думал над названием и подумал: почему бы не назвать просто "Out of Path"? 😄😄😄
Рад всех видеть! 🤝

Коммерческий SOC: сверхприбыль на ровном месте или суровая экономика?
 
В казахстанском ИБ-сообществе до сих пор бытует мнение, что коммерческий SOC – это услуга с аномально высокой маржинальностью: «Подключили выборочно источники к SIEM, настроили стандартные корреляции – и выставляете миллионные счета».
Снаружи сервис действительно выглядит как обычная SaaS-подписка с огромной наценкой. Но давайте разберём суровую математику таких услуг 📊👇

Фонд оплаты труда (ФОТ)
Обеспечить честный режим 24/7/365 – это не просто нанять двух человек. Требуется сменная ротация минимум из 5–6 аналитиков L1, плюс узкопрофильные эксперты L2/L3, инженеры внедрения и системные администраторы.
В условиях дефицита кадров в РК среднерыночная зарплата квалифицированного ИБ-инженера варьируется от 800 000 до 1 500 000 ₸ на руки.
Содержание минимального штата (7–8 человек) обходится компании приблизительно в 70–90 млн ₸ в год только по статье ФОТ (с учётом налоговых отчислений).

Специализированный софт и инфраструктура Лицензирование коммерческих SIEM, IRP/SOAR, платформ Threat Intelligence и Sandbox исчисляется сотнями тысяч долларов. К этому добавляются расходы на ЦОДы и их резервирование в формате N+1, обеспечение каналов связи (Интернет и ЕТС ГО), соответствие регуляторным требованиям и содержание офиса для команды.

Onboarding, который никто не оплачивает
Ни один коммерческий SOC не работает «из коробки». Первые несколько месяцев команда прорабатывает архитектуру клиента, снижает информационный шум и верстает индивидуальные use-кейсы. В этот период сервисный провайдер фактически работает в убыток.

Постоянный ресерч киберугроз Киберугрозы эволюционируют ежедневно. Разработка новых правил детектирования и сценариев реагирования – это непрерывный процесс, требующий отдельного ресурса R&D-аналитиков.
 
Что в итоге?
По международным оценкам, содержание собственного SOC стартует как минимум от $250K–300K ежегодно. Для большинства компаний вне сферы финтеха, крупного ритейла и телекома инхаус-модель экономически нецелесообразна.
Рынок РК постепенно трансформируется: заказчики переходят от оценки поверхностной стоимости контракта к расчёту совокупной стоимости владения и начинают осознавать, что услуги SOC нужны не «для галочки» и закрытия регуляторных требований, а для реальной защиты.

В суровых реалиях коммерческий SOC – это высокорисковый сервисный бизнес с длинным циклом окупаемости. И дискуссия о ценообразовании обычно исчерпывает себя в момент, когда компания впервые пробует самостоятельно собрать, обучить и удержать дежурную смену 24/7.
Как вы оцениваете текущий уровень цен на услуги MSSP/SOC в Казахстане – сбалансированный или перегретый? Буду рад обсудить в комментариях.

Заметили в 22:30 пропажу доступа до ряда сервисов?

Это в Москве на М9 электричество пропало.

Почему в Казахстане нет спроса на форензику, Threat Hunting и реверс-инжиниринг?
 
На одном из недавних совещаний снова поднялся характерный вопрос: почему на локальном рынке РК услуги уровня L3+ (глубокие расследования, проактивный Threat Hunting, исследование вредоносного кода, реверс-инжиниринг) остаются практически невостребованными?
 
Со стороны кажется, что бизнесу просто «не нужно». Но если вспомнить суровую экономику коммерческого SOC, о которой описано в прошлом посте - рост цен на оборудование, жесткую необходимость дублирования N+1 и работу на грани себестоимости - становится очевидно: отсутствие спроса на L3+ является прямое следствием этой зажатой экономики.
 
Как работает этот замкнутый круг:
 
1. Пытаясь сэкономить, бизнес покупает только базовую гигиену - мониторинг и алерты L1. Проактивный Threat Hunting и глубокий анализ (RCA) считаются роскошью до первого взлома.
2. Из-за минимальных чеков и срезанной маржи сервисные провайдеры не могут платить редким L3-специалистам (Incident Response, реверс). Сильные кадры уходят в финтех, к вендорам или за рубеж.
3. Без прибыли от базовых услуг у SOC нет ресурсов инвестировать в Threat Intelligence, лаборатории и обучение. В итоге отсутствие экспертизы замыкает круг, не позволяя провайдерам вырасти из дешевого сервиса.
 
Поэтому возникает системный парадокс, что заказчики не формируют спрос на L3+, потому что не видят зрелых и доступных локальных предложений. А сервисные компании не строят эту практику, так как экономика базового SOC не оставляет денег на R&D, а гарантий окупаемости рынок не дает.
 
В итоге возникает риск потерять слой глубокой экспертизы. Соответственно, когда компания сталкивается с действительно сложной, целевой атакой, выясняется жестокий факт: выявлять незаметные угрозы и расследовать инцидент внутри просто некому, а привлекать внешних экспертов придется за совершенно другие деньги.

На днях буквально написал, почему на рынке не востребована глубокая экспертиза, а сегодня регулятор фактически обяжет операторов персональных данных её иметь в связи с грядущими поправками.

Уведомление об утечках и запрет выгрузок требуют контроля уровня L3+ (форензика, Threat Hunting и тд).
Но если продолжить на этом экономить, про компрометацию ПД компания узнает не от своего мониторинга, а из новостей.

Подробности тут https://t.me/telco_kz/1246