Fiecare instrument vede propria porțiune de infrastructură și generează propriile semnale. Un atac, în schimb, traversează mai multe sisteme și se desfășoară în timp: adesea noaptea, adesea cu credențiale valide și instrumente legitime, adesea fără a lăsa urme evidente pe un singur dispozitiv. Pentru a-l surprinde este nevoie de cineva care să supravegheze continuu, care să știe să pună laolaltă semnale provenite din surse diferite și care, atunci când se întâmplă ceva, să poată spune clar ce trebuie făcut.

Aceasta este meseria unui Security Operations Center. În ultimii ani însă oferta de SOC-uri gestionate s-a înmulțit, iar mesajele seamănă toate între ele: monitorizare 24/7, detecție avansată și acum, inevitabil, inteligență artificială. Pentru cine trebuie să aleagă — un CISO, un responsabil IT, un partener care trebuie să propună serviciul propriilor clienți — devine greu de înțeles unde se află diferențele reale.

Acest articol încearcă să le facă explicite. Descrie ce este Orizon Oversight și cum funcționează; îl compară cu cele două modele pe care piața le propune cel mai des, SOC-ul construit în jurul unui EDR și așa-numitul „AI SOC”; explică de ce, în Oversight, inteligența artificială este un instrument în mâinile analiștilor și nu un înlocuitor al acestora; și se oprește asupra punctului care, în opinia noastră, contează cel mai mult în viața reală a unui client: momentul de după notificarea unui incident, când nu este suficient să știi că există o problemă, ci trebuie să știi cum s-o rezolvi.

Lanțul de detecție se structurează în câțiva pași, fiecare cu un rol precis:

1. Colectare. Datele provin de la endpointuri și EDR, firewall-uri și echipamente de rețea, servere Windows și Linux, furnizori de identitate și directoare, medii cloud și SaaS (de exemplu Microsoft 365, Google Workspace, AWS, Azure) și aplicații de business. Transmiterea se face prin collectoare și mecanisme standard — syslog, API — fără a fi necesară reproiectarea rețelei. Platforma integrează în acest moment peste 500 de vendori diferiți.
2. Normalizare. Evenimentele eterogene sunt aduse la schema deschisă OCSF (Open Cybersecurity Schema Framework), astfel încât o autentificare pe un firewall, un proces pe un endpoint și un acces la Microsoft 365 să poată fi comparate în același limbaj.
3. Security Data Lake. Datele sunt păstrate și rămân interogabile, atât pentru activitatea de zi cu zi, cât și pentru threat hunting retrospectiv.
4. Corelare și detecție. Motoare de corelare bazate pe AI și machine learning, cu reguli mapate pe framework-ul MITRE ATT&CK și îmbogățire din threat intelligence, scot la suprafață semnalele relevante din zgomot.
5. Validare și investigație. Ceea ce AI-ul detectează și corelează este verificat de analiști, care confirmă, resping sau aprofundează. Abia atunci devine o attack story: reconstituirea coerentă a unui atac, de la prima urmă până la ultimul pas observat.
6. Livrare și răspuns. Clientul — sau partenerul care îl deservește — primește investigația împreună cu dovezile și recomandările de atenuare și remediere. Playbook-urile automate (SOAR) susțin îmbogățirea și escaladarea; acțiunile de izolare pe tehnologiile integrate, precum EDR-ul, sunt executate conform celor convenite cu clientul.

Până aici, descrierea s-ar putea potrivi mai multor servicii de pe piață. Diferențele devin evidente atunci când Oversight este comparat cu cele două modele de SOC pe care clientul le întâlnește cel mai des astăzi.

Limita nu stă în calitatea EDR-ului, ci în perimetrul său. Un SOC bazat pe EDR vede acolo unde există agentul. Iar un atac trăiește rareori doar pe endpoint; adesea se desfășoară în altă parte sau trece prin altă parte înainte de a ajunge acolo:

• identitatea: un acces VPN sau Microsoft 365 cu credențiale valide furate, sau cu un cookie de sesiune sustras de un infostealer, nu generează neapărat vreun eveniment suspect pe un endpoint gestionat;
• e-mailul: reguli de redirecționare create pe o căsuță compromisă, mesaje de phishing interne trimise de pe un cont legitim;
• perimetrul: exploatarea unei vulnerabilități pe un firewall sau pe un gateway VPN are loc pe un echipament pe care, de regulă, nu se poate instala un agent EDR;
• cloud-ul și aplicațiile: modificări de permisiuni într-un tenant cloud, accese anormale la o aplicație de business;
• dispozitivele negestionate: servere vechi, sisteme OT, appliance-uri, mașini ale terților.

Există apoi un al doilea aspect, mai puțin tehnic, dar relevant: SOC-ul devine dependent de acel produs. Schimbarea EDR-ului înseamnă adesea și schimbarea furnizorului de SOC.

Oversight pornește de la premisa opusă. Este agnostic față de tehnologiile clientului și nu înlocuiește EDR-ul: îi extinde valoarea, integrându-l ca pe una dintre surse — CrowdStrike, SentinelOne, Microsoft Defender, Sophos și altele — și corelându-i telemetria cu cea provenită de la identitate, e-mail, firewall-uri, cloud și aplicații într-un singur Security Data Lake. EDR-ul rămâne totodată instrumentul prin care se orchestrează izolarea direct pe endpoint. De aceea, la întrebarea „avem deja un EDR, avem nevoie de un SOC?”, răspunsul cel mai corect nu este „da, pentru că EDR-ul nu este suficient”, ci „da, pentru că EDR-ul dumneavoastră devine mult mai util atunci când cineva îi citește semnalele împreună cu tot restul”.

Astăzi însă a avea AI nu mai este un element de diferențiere: aproape toată lumea îl declară. Contează mai degrabă ce muncă elimină cu adevărat și cine rămâne responsabil pentru decizii. Atunci când AI-ul este pus în centrul SOC-ului, tind să apară trei probleme.

În Oversight inteligența artificială este un instrument pus la dispoziția analiștilor, nu un înlocuitor al lor. Face ceea ce știe să facă mai bine și mai repede decât un om: corelează volume mari de evenimente, adună contextul, reconstituie secvențele și execută munca repetitivă de investigație. Dar ceea ce AI-ul detectează este validat sau verificat de analiști înainte de a deveni o investigație livrată clientului, tocmai pentru că AI-ul poate greși. Decizia de securitate rămâne la o persoană care are competența și responsabilitatea necesare.

Cele trei modele comparate

O sinteză în mod necesar simplificată: ofertele de pe piață variază, iar comparația trebuie verificată întotdeauna pe cazul concret.

În modelul cel mai răspândit, SOC-ul își face bine treaba — detectează, califică, notifică — și apoi îi predă clientului o alertă sau un tichet de tipul: „A fost detectată o activitate suspectă pe serverul X. Recomandăm izolarea mașinii și inițierea unei investigații.” Din acel moment, echipa IT a clientului, sau partenerul care îl asistă, rămâne adesea singură: trebuie să înțeleagă de unde a pornit atacul, până unde a ajuns, ce conturi și ce sisteme sunt implicate și ce trebuie corectat pentru ca situația să nu se repete. Sunt exact orele în care competențele lipsesc și presiunea este maximă.

Oversight este gândit pentru a reduce la minimum acest gol. Ceea ce ajunge la client nu este încă o alertă, ci o investigație deja instrumentată: attack story-ul, construit cu sprijinul AI-ului și validat de analiști, care pune la dispoziția celor care trebuie să intervină:

• cronologia atacului, pas cu pas, cu fiecare pas mapat pe tehnicile MITRE ATT&CK;
• dovezile pe care se bazează reconstituirea, consultabile și în mod autonom cu add-on-ul DX Data Explorer;
• sistemele implicate: hosturi, conturi, adrese și servicii atinse, precum și ceea ce, dimpotrivă, se dovedește a nu avea legătură;
• de ce este relevant: gravitatea, impactul potențial și faza atacului în care ne aflăm;
• recomandările de atenuare și remediere: ce trebuie făcut imediat pentru izolare, ce trebuie corectat ulterior, pe ce sisteme, în ce ordine și cum se verifică faptul că intervenția a avut efect.

Răspunsul rămâne în mâinile partenerului sau ale clientului, care păstrează controlul propriului mediu și decid cum și când să intervină. Dar nu pornesc de la zero: pornesc de la un plan de acțiune deja conturat.

Un exemplu

Un caz ilustrativ ajută la înțelegerea diferenței. La 02:14 un cont de utilizator se conectează la VPN-ul companiei de la o adresă nemaivăzută până atunci. Câteva minute mai târziu, de pe același cont, pornesc interogări masive către Active Directory; la 02:31, pe un file server este rulat un script PowerShell care creează o sarcină programată și încearcă să oprească serviciul de backup.

O notificare tradițională s-ar putea limita la ultimul eveniment: execuție PowerShell suspectă pe SRV-FILE-02, se recomandă verificarea.

Attack story-ul Oversight leagă în schimb cei patru pași într-o singură secvență — acces inițial cu credențiale valide, recunoaștere, execuție, tentativă de compromitere a capacității de recuperare — și, după verificarea analistului, îl însoțește cu recomandări de acest tip:

• atenuare imediată: izolarea SRV-FILE-02 prin EDR-ul integrat, închiderea sesiunii VPN active, blocarea adresei de origine;
• resetarea credențialelor contului implicat și revocarea sesiunilor active, inclusiv pe serviciile cloud;
• eliminarea sarcinii programate create la 02:31 și verificarea existenței unor mecanisme de persistență similare pe alte sisteme;
• verificarea integrității backup-urilor înainte de orice restaurare;
• revizuirea politicii de autentificare VPN pentru grupul din care face parte contul;
• controale de verificare ulterioare, pe care clientul le poate rula și el în DX Data Explorer, dacă este activ.

Exemplu ilustrativ, construit în scop explicativ: conținutul și nivelul de detaliu al recomandărilor depind de tipul incidentului și de sursele integrate.

Pentru client înseamnă trecerea de la „ce facem acum?” la un plan de acțiune clar. Pentru partener înseamnă posibilitatea de a interveni imediat, cu un perimetru de lucru definit, în loc să reconstituie incidentul de la zero.

DX Data Explorer: clientul își vede propriile date

Obiecția este cunoscută: „dacă încredințez monitorizarea unor terți, rămân în întuneric”. DX Data Explorer îi permite clientului să interogheze în regim self-service același data lake pe care lucrează analiștii: de la alertă la datele brute, cu interogări structurate, dashboard-uri personalizabile și date exportabile, din browser, cu SSO și MFA.

Nu înlocuiește SOC-ul; îl face verificabil. Clientul poate aprofunda un eveniment, poate verifica dovezile unei investigații sau poate produce o dovadă pentru un audit fără să deschidă un tichet și să aștepte un răspuns. Este add-on-ul de propus atunci când clientul are o echipă de securitate internă sau un CISO care nu vrea să depindă de terți pentru a răspunde la întrebările propriului consiliu de administrație.

Cold Storage: memoria pe termen lung a logurilor

În acest caz obiecția vine mai târziu: „când trebuie să reconstituim ce s-a întâmplat, logurile nu mai există”. Este o problemă structurală, nu o scăpare. Fereastra „caldă” a unui SIEM — datele imediat consultabile pentru detecție și pentru investigația de zi cu zi — este costisitor de întreținut și, din acest motiv, este păstrată scurtă: adesea în jur de 90 de zile. Dar o investigație criminalistică, o solicitare a unei autorități sau un audit pot veni după luni sau ani de la eveniment, când dovezile nu mai există.

Cold Storage extinde ciclul de viață al datelor dincolo de acea fereastră. Odată ieșite din faza „caldă”, logurile sunt transferate într-o arhivă „rece” criptată, fără a încărca — și fără a scumpi — mediul de analiză activ. Mai exact:

• retenție configurabilă, cu orizonturi de până la 36 de luni, de definit pe baza cerințelor normative și contractuale ale organizației;
• arhivă criptată și durabilă, cu controale de integritate integrate;
• restaurare și export la cerere: seturile de date arhivate revin într-un format consultabil atunci când sunt necesare pentru o investigație sau sunt exportate pentru un audit.

Punctul care merită povestit clientului este tocmai cel al integrității. Un log păstrat, dar care poate fi modificat, are o valoare limitată: controalele de integritate sunt cele care permit să se demonstreze că înregistrările nu au fost alterate, iar acest lucru le conferă valoare probatorie în fața unui auditor, a unei autorități sau într-un litigiu.

Este add-on-ul de propus celor care au obligații de păstrare a dovezilor — perimetrul NIS 2 sau DORA, sectoare reglementate, organizații supuse unor audituri periodice — și celor care, trecând deja printr-un incident, știu cât costă imposibilitatea de a reconstitui ce s-a întâmplat. Funcționează bine împreună cu DX: Cold Storage păstrează, iar DX permite interogarea a ceea ce a fost păstrat.

Dark Web Intelligence: dincolo de MFA

Al treilea add-on privește identitatea. Infostealerele sustrag nu doar credențiale, ci și cookie-uri de sesiune deja autentificate, care permit ocolirea autentificării multifactor. Dark Web Intelligence monitorizează forumuri, marketplace-uri și canale ale ecosistemului infostealer în căutarea credențialelor și sesiunilor asociate organizației, filtrând rezultatele pe identitățile reale ale companiei și permițând invalidarea sesiunilor și rotirea credențialelor înainte ca acestea să fie folosite. Este disponibil pe două niveluri: o scanare lunară, potrivită pentru cerințe de conformitate și organizații cu risc redus, și o monitorizare continuă 24/7 cu remediere imediată.

Oversight aduce capabilitățile unui SOC de nivel enterprise — monitorizare 24/7, corelare multi-sursă, analiști care validează fiecare detecție — organizațiilor care nu își pot construi unul intern. Se deosebește de un SOC bazat pe EDR pentru că vede dincolo de endpoint și îi extinde valoarea în loc să depindă de el. Se deosebește de un „AI SOC” pentru că inteligența artificială este un instrument în mâinile analiștilor: elimină munca repetitivă, în timp ce decizia rămâne umană. Și, mai presus de toate, nu se oprește la alertă: livrează o investigație deja instrumentată, cu dovezile, sistemele implicate și recomandările de atenuare și remediere.

Pentru partener nu este „încă un serviciu de vândut”: este un serviciu recurent care valorifică instrumentele deja prezente la client, îi lasă controlul răspunsului și, la fiecare incident, îi oferă un perimetru de intervenție clar.

Pașii următori sunt concreți: o sesiune de calificare pentru inventarierea activelor și a surselor de loguri; o demonstrație a consolei, a unui attack story și a unei interogări live în DX; și definirea perimetrului și a procedurilor de escaladare pentru onboarding.

Aflați mai multe: orizon.one/oversight