دیشب داشتم به یک مدل توسعه SOC در ذهنم فکر میکردم و سعی کردم با چهارچوبهای بلوغ مپ کنم خیلی جور در نیامد اما مدلی عملیاتیه .
شما ببینین

مرحله ۱ – Foundational Monitoring
راه‌اندازی پایش پایه: جمع‌آوری لاگ‌ها، Ruleهای پیش‌فرض SIEM، هشدارهای عمومی.
واکنش به رویدادها بدون اولویت‌بندی خاص.
مرحله ۲ – Basic Incident Response Integration
پیاده‌سازی فرآیندهای پاسخ به حادثه (Incident Handling).
توان واکنش ساخت‌یافته به هشدارها، ثبت رویداد، Escalation Chain مشخص.
مرحله ۳ – Risk-Aligned Detection
تطبیق Detection با Risk Register سازمان.
تمرکز روی بخش‌های مهم‌تر زیرساخت بر اساس اهمیت تجاری/عملیاتی.
مرحله ۴ – Threat-Led Targeted Analysis & Hunting
استفاده از Threat Model و Attacker TTPs برای جهت‌دهی تحلیل و Hunting:
تمرکز فقط بر دارایی‌ها و مسیرهای حمله پرریسک یا جذاب برای مهاجم پیش‌بینی‌شده.
تنظیم Queries، Rules و سناریوهای Hunting برای شناسایی رفتاری دقیق.
📌 خروجی: افزایش احتمال کشف حملات موفق و کاهش مصرف منابع بی‌هدف.
مرحله ۵ – Adaptive Intelligence-Driven SOC
یکپارچه‌سازی Continuous Threat Intelligence با Detection & Hunting.
به‌روزرسانی پویا مدل تهدید بر اساس داده‌های جدید (Telemetry، CTI feeds، Incident learnings).
تغییر فوری تمرکز منابع با تغییر تاکتیک‌های مهاجم.