Научите каждого члена команды работать с SIEM, помогите им создать нужные дашборды, научите делать поиск, фильтры и, может быть, даже правила. Нагрузка на SOC во время мероприятия в этом случае немного снизится, а эффективность команды повысится. Кстати, полезно будет, если участники поделятся друг с другом наработками в SIEM. Это позволит в критичной ситуации включаться в одну задачу сразу нескольким членам команды.

Лайфхак

SPL
Настройка инфраструктуры
Пожалуй, один из самых сложных и ответственных шагов. Вы должны сделать hardening инфраструктуры и при этом обеспечить её работоспособность. Как было сказано выше, тут нужны хорошие знания и опыт работы с инфраструктурными сервисами и приложениями. Например, выполнить обновление MS Exchange от уязвимостей remote code execution не так просто. У вас может зависнуть инсталлятор в середине установки обновлений, и нужно будет каким-то образом восстановить работу Exchange. Тюнинг локальной политики безопасности тоже имеет специфику. Бывают серверы, которые нельзя обновлять, так как установка обновлений может привести к сбою в работе запущенного на них специфического софта. Такое часто бывает и в реальной инфраструктуре заказчиков.
Установка и настройка средств защиты
Это — одновременно и простая, и сложная задача. Автоматизировать этот процесс так, чтобы всё шло как по маслу, поможет сильная команда и большой опыт работы. Безусловно, бывают случаи, когда что-то идёт не так или выбранное средство защиты не работает, как надо. Но предварительная подготовка и опыт позволяют не делать это проблемой или стоп-фактором.
До COVID-19 успех на The Standoff также во многом зависел от возможности работать в комфортных условиях. Не каждый заморачивается, но я уверен, что так эффективность команды гораздо выше. Поэтому нам было важно посетить площадку накануне мероприятия и, по сути, сделать её предпроектное обследование ***в части физики/размещения***, как это обычно бывает при внедрении решений. Например, мы просили заранее показать места, выделенные для команд, и старались занимать наиболее выгодные локации. Выбирали стол у стены, чтобы в наши мониторы могли подсмотреть как можно меньше людей, либо с чуть большим пространством вокруг для комфортного размещения всех участников и группы поддержки. Знакомились с ответственными за организацию инфраструктуры на площадке, проверяли, что у нас есть все необходимые сетевые доступы. Накануне вечером могло быть не всё готово, зато мы уже точно знали, к кому обратиться утром в случае проблем. К тому же увидеть, как происходит сборка площадки, было попросту любопытно.
С переходом мероприятия в онлайн у участников появились новые челленджи. Вопросов немало, поэтому я попросил ответить на них организаторов кибербитвы.

День Х, или 4 совета защитникам во время соревнования
Не буду подробно рассказывать, что происходило на каждом мероприятии, а поделюсь основными рекомендациями, которые помогут будущим участникам на соревнованиях.

• Держите оперативную связь с организаторами. Например, в прошлом году мы активно обсуждали с организаторами The Standoff результаты проверки доступности наших сервисов их чекерами: выясняли, какие из них что проверяли, почему они считали, что у нас что-то не работало и т. п.
  
• Оперативно устраняйте ложные срабатывания в SOC. Команда на мероприятии генерирует очень много активностей, «шум» важно отсеивать.
  
• Давайте обратную связь организаторам при выявлении инцидентов. Объясните, почему вы сменили пароли, заблокировали учётную запись, выключили рабочую станцию или отключили сервис. Умение обосновать свои действия и привести доказательства показывает профессионализм команды.
  
• Выключите эмоции и включите здравую оценку ситуации, начните анализировать результаты проделанной работы. Так вы сможете понять, достигли ли целей, которые ставили перед собой.