Pemantauan SOC 24/7 dan MDR untuk Melindungi Syarikat

Mengapakah Pemantauan 24/7 Ialah Keperluan, Bukan Kemewahan?

Penyerang tidak bekerja dari 9 pagi hingga 5 petang. Serangan perisian tebusan (ransomware) utama secara konsisten dilancarkan pada hujung minggu, cuti umum atau larut malam apabila kakitangan SOC paling sedikit. Tanpa pemantauan 24/7, sesebuah syarikat mungkin menerima amaran kritikal pada malam Jumaat yang hanya disemak pada pagi Isnin, ketika kerosakan telah pun berlaku.

Bagi institusi kewangan di bawah BNM RMiT, pemantauan keselamatan berterusan ialah jangkaan rasmi. Bagi pengendali NCII di bawah Akta Keselamatan Siber 2024, NACSA menetapkan keperluan operasi pemantauan yang setara. Bagi syarikat lain, pemantauan 24/7 ialah prasyarat untuk mendapatkan insurans siber yang munasabah dan untuk memenuhi keperluan rakan kongsi perniagaan ke perniagaan (B2B) dalam proses usaha wajar.

SOC, MDR, SIEM, SOAR dan XDR: Membezakan Istilah

Istilah-istilah ini sering digunakan secara bertukar ganti dalam pemasaran, tetapi mempunyai makna teknikal yang berbeza. SOC (pusat operasi keselamatan) ialah unit organisasi, iaitu pasukan analis yang memantau dan memberi respons terhadap amaran keselamatan, sama ada secara dalaman atau melalui penyumberan luar.

SIEM (pengurusan maklumat dan peristiwa keselamatan) ialah platform teknologi yang mengumpulkan, menormalkan dan menganalisis log daripada pelbagai sumber. SOAR (orkestrasi, automasi dan respons keselamatan) menambah automasi buku panduan (playbook) pada SIEM. XDR (pengesanan dan respons lanjutan) ialah platform bersepadu yang menggabungkan EDR, NDR dan analitik log dalam satu produk pembekal.

MDR ialah pakej perkhidmatan yang menggabungkan teknologi (biasanya EDR atau XDR), pasukan analis 24/7 dan proses respons, dan dijual sebagai langganan bulanan. Berbeza daripada penyumberan luar SOC tradisional yang hanya menyediakan analis, MDR membawa teknologi, kepakaran dan respons proaktif sebagai satu pakej.

• SOC ialah unit organisasi (pasukan dan proses).
• SIEM ialah platform teknologi untuk pengagregatan log.
• SOAR ialah automasi buku panduan di atas SIEM.
• XDR ialah platform bersepadu daripada satu pembekal.
• MDR ialah pakej perkhidmatan (teknologi, analis dan respons).

SOC Dalaman Berbanding MDR: Kos dan Kemahiran

Membina SOC dalaman 24/7 yang sebenar memerlukan sekurang-kurangnya 8–12 analis, iaitu untuk meliputi 3 syif × 7 hari, cuti dan kadar pusing ganti kakitangan yang tinggi. Dengan menambah pengurus SOC, jurutera SIEM dan pemburu ancaman, pasukan penuh boleh mencecah 15–20 orang. Kos kakitangan setahun di Malaysia mencecah jutaan ringgit.

Selain itu, ada kos teknologi: lesen SIEM (Splunk dan Sentinel boleh mencecah ratusan ribu ringgit setahun bergantung pada volum), lesen EDR, suapan risikan ancaman dan platform SOAR. Jumlah kos pemilikan tahunan bagi SOC dalaman yang matang ialah 3–6 juta ringgit untuk perusahaan bersaiz sederhana.

MDR tempatan di Malaysia biasanya menawarkan perkhidmatan setara pada kos yang jauh lebih rendah kerana skala ekonomi, iaitu pasukan analis yang sama melayan beberapa pelanggan. Bagi PKS dan perusahaan bersaiz sederhana, MDR hampir sentiasa lebih menjimatkan kos daripada SOC dalaman.

KPI dan Metrik: MTTD, MTTR dan Keletihan Amaran

Pemantauan tanpa metrik hanyalah sandiwara. Tiga KPI utama ialah MTTD (purata masa untuk mengesan), MTTR (purata masa untuk memberi respons) dan indeks keletihan amaran (peratus amaran yang dianggap positif palsu).

Sasaran yang realistik bagi MDR yang matang ialah MTTD kurang daripada 1 jam untuk amaran kritikal, MTTR kurang daripada 4 jam untuk insiden tahap keterukan tinggi dan indeks keletihan amaran kurang daripada 30% (lebih daripada 70% amaran benar-benar memerlukan siasatan). Sasaran ini hanya boleh dicapai dengan gabungan teknologi yang baik (EDR/SIEM yang ditala), buku panduan yang teruji dan analis yang berpengalaman.

Berhati-hati dengan pembekal yang menjanjikan pengesanan 'kurang daripada seminit' tanpa konteks. Pengesanan dalam 30 saat tidak bermakna jika amaran itu terbenam dalam tunggakan atau diketepikan sebagai positif palsu. Soalan yang lebih baik ialah: berapa peratus amaran kritikal mendapat respons manusia dalam tempoh perjanjian tahap perkhidmatan (SLA)?

• MTTD kurang daripada 1 jam untuk amaran kritikal.
• MTTR kurang daripada 4 jam untuk insiden tahap keterukan tinggi.
• Keletihan amaran kurang daripada 30% (kadar positif benar lebih daripada 70%).
• Liputan MITRE ATT&CK: lebih daripada 60% teknik kritikal.
• Kekerapan pemburuan ancaman: mingguan untuk perusahaan yang matang.

Keperluan BNM RMiT untuk Pemantauan Berterusan

BNM RMiT (Pengurusan Risiko dalam Teknologi) menetapkan keperluan yang jelas untuk pemantauan keselamatan berterusan bagi institusi kewangan berlesen di Malaysia. Keperluan ini merangkumi SIEM atau yang setara, pasukan analis dengan keupayaan respons 24/7, buku panduan respons insiden yang teruji serta pelaporan kepada BNM bagi insiden ketara dalam tempoh yang ditetapkan.

Pemeriksaan BNM terhadap program SOC/MDR biasanya menyemak liputan log (tembok api, EDR, AD dan aplikasi kritikal), tempoh pengekalan (sekurang-kurangnya 12 bulan), kematangan buku panduan, latihan simulasi meja dan KPI MTTD/MTTR. Pembekal MDR yang berpengalaman dengan BNM RMiT mempunyai kelebihan ketara kerana memahami format dokumentasi dan jangkaan juruaudit.

Jadual Perbandingan SOC Dalaman dan MDR

Jadual berikut membandingkan dimensi utama untuk membantu kepimpinan IT dan CISO membuat keputusan berasaskan maklumat.

Memilih antara SOC Dalaman, MDR atau Hibrid

Bagi PKS dan perusahaan bersaiz sederhana di Malaysia (50–2000 pekerja), MDR hampir sentiasa menjadi pilihan yang paling munasabah. Bagi perusahaan besar (lebih daripada 5000 pekerja) atau bank peringkat pertama, model hibrid yang biasa digunakan ialah SOC dalaman dengan rakan kongsi MDR sebagai peringkat kedua/ketiga untuk limpahan.

Model hibrid memberi kawalan dalaman terhadap keputusan kritikal sambil membuka akses kepada kepakaran luaran untuk teknik baharu dan liputan waktu puncak. Banyak institusi kewangan Malaysia menggunakan model ini: pasukan SOC dalaman menguruskan penghalaan amaran peringkat pertama, manakala MDR luaran menyediakan pemburuan ancaman, DFIR mendalam dan liputan waktu malam.