SOC-valvonta 2026: yksittäinen hälytys ei enää kerro koko hyökkäyksestä
Terveisiä Tukholmasta, jossa osallistuimme syyskuussa pohjoismaiseen UserConf Nordics 2026 IT- ja kyberturvallisuustapahtumaan. Kahden päivän keskusteluissa nousivat esiin monet samat teemat, jotka näkyvät tällä hetkellä laajemminkin kyberturvallisuudessa: identiteettien kasvava merkitys, eri tietolähteiden yhdistäminen, automaation hyödyntäminen ja tekoälyn vaikutus sekä hyökkäyksiin että niiden torjuntaan.
SOC-valvonnan kannalta yksi keskusteluissa korostunut asia on yksinkertainen: hyökkäys ei välttämättä ala tapahtumasta, joka näyttää hyökkäykseltä.
Hyökkääjä voi kirjautua sisään aivan kuten oikea käyttäjä
Tietojärjestelmään murtautuminen ei aina tarkoita teknisen suojauksen murtamista tai haittaohjelman asentamista. Hyökkääjä voi päästä ympäristöön esimerkiksi tietojenkalastelulla saaduilla, vuotaneilla tai muuten varastetuilla tunnuksilla ja kirjautua palveluun aivan kuten oikea käyttäjä.
MITRE ATT&CK luokittelee validien tunnusten väärinkäytön tekniikaksi, jota voidaan käyttää ensimmäiseen sisäänpääsyyn, pääsyn säilyttämiseen, käyttöoikeuksien laajentamiseen ja suojausten kiertämiseen. MITRE nostaa esiin myös sen, että hyökkääjä voi tarkoituksella välttää haittaohjelmien käyttöä, jotta toiminta sulautuisi paremmin normaaliin käyttöön.
Tästä seuraa SOC-valvonnalle olennainen haaste. Onnistunut kirjautuminen ei välttämättä yksinään erotu haitalliseksi. Epäilyttävä kokonaisuus voi muodostua vasta sen jälkeen, kun käyttäjä esimerkiksi kartoittaa ympäristöä, käyttää poikkeavia resursseja, muuttaa käyttöoikeuksia tai pyrkii järjestelmiin, joita hän ei normaalisti käytä.
Siksi valvonnassa täytyy nähdä yksittäistä tapahtumaa pidemmälle.
Olennaista on tunnistaa tapahtumaketju
Yksi kirjautuminen, käyttöoikeuden muutos tai yhteys palvelimelle voi olla täysin normaali tapahtuma. Useampi toisiinsa liittyvä tapahtuma voi kuitenkin muodostaa hyökkäysketjun.
Tämän vuoksi SOC tarvitsee tietoa useista lähteistä. Identiteetti- ja Microsoft 365 -ympäristön tapahtumia voidaan esimerkiksi yhdistää palvelinten, palomuurien, päätelaitteiden ja muiden kriittisten järjestelmien lokitietoihin.
NIST nostaa incident response -ohjeistuksessaan keskeiseksi juuri tämän: mahdollisesti haitallisia tapahtumia pitää analysoida suhteessa toisiinsa ja tietoa korreloida useista lähteistä. NIST suosittelee tähän muun muassa SIEM- ja SOAR-teknologioiden hyödyntämistä.
Mitä aikaisemmin poikkeava tapahtumaketju tunnistetaan, sitä paremmat mahdollisuudet hyökkäys on pysäyttää ennen kuin sen vaikutukset kasvavat.
Kun hyökkäys nopeutuu, myös reagoinnin täytyy nopeutua
Tekoälyn hyödyntäminen on arkipäiväistymässä myös hyökkääjien työkaluna. ENISA arvioi tuoreessa Threat Landscape 2026 -raportissaan, että tekoälyä käytetään yhä enemmän haitallisen toiminnan tukena. Sitä voidaan hyödyntää esimerkiksi tiedustelussa, tietojenkalastelussa ja hyökkäyksen eri työvaiheiden automatisoinnissa.
Kyse ei ole vain teoriasta. MITRE ATT&CK on dokumentoinut kampanjan, jossa tekoälyä hyödynnettiin muun muassa haavoittuvuuksien etsimiseen, ympäristön kartoittamiseen, tunnusten käsittelyyn, sivuttaisliikkeeseen ja tiedon keräämiseen.
Kun hyökkääjä pystyy automatisoimaan työvaiheita ja etenemään ympäristössä nopeasti, myös puolustuksessa minuuteilla voi olla merkitystä.
SOAR tuo automaation osaksi reagointia
SOAR eli Security Orchestration, Automation and Response mahdollistaa ennalta määriteltyjen toimintamallien automatisoinnin ja eri tietoturvatyökalujen toiminnan yhdistämisen.
Automaatiolla voidaan esimerkiksi rikastaa havaintoa lisätiedoilla, yhdistää siihen muita tapahtumia, käynnistää tarkistuksia tai toteuttaa ennalta määriteltyjä reagointitoimia. Näin jokaista työvaihetta ei tarvitse aloittaa manuaalisesti, mikä voi lyhentää reagointiaikaa erityisesti nopeasti etenevissä hyökkäyksissä.
Automaation rinnalla tarvitaan edelleen asiantuntijaa arvioimaan tilannetta ja sen merkitystä asiakkaan ympäristölle. NIST korostaakin sekä automatisoitua seurantaa että manuaalista analyysiä silloin, kun tapahtumia ei voida riittävän hyvin käsitellä automaation avulla.
Light SOC tuo näkyvyyden ympäristön tapahtumiin
Kaitan Light SOC -palvelun tavoitteena on tunnistaa suuresta lokimäärästä olennaiset tapahtumat ja tarkastella niitä osana laajempaa kokonaisuutta.
Käytännössä Light SOC kokoaa sovitut lokilähteet samaan näkymään, korreloi tapahtumia SIEM-analytiikalla ja nostaa olennaiset tapahtumaketjut asiantuntijan arvioitaviksi. Olennaista on tunnistaa, mitkä tapahtumat kuuluvat yhteen, mitä ympäristössä on tapahtumassa ja mihin pitää reagoida.
Sovitaanko 30 minuutin demo?
Käydään läpi, millaisia hälytyksiä ja raportteja Light SOC tuottaa, ja miten ne tukevat tietoturvatapahtumien valvontaa. Saat samalla suosituksen sopivasta laajuudesta sekä selkeät seuraavat askeleet omassa ympäristössäsi.
Saattaisit olla kiinnostunut myös näistä artikkeleista:
Pilvipalveluiden tietoturva vaatii jatkuvaa näkyvyyttä
Miten SOC-palvelu auttaa tietoturva-auditoinnissa?
Tietoturva yrityksessä: mikä on riittävä perustaso ja kuka vastaa mistä?