Не с покупки SIEM. Порядок шагов, который даёт видимость инфраструктуры в первые недели, а не через год.
Типичная ошибка — начинать центр мониторинга с закупки платформы. Лицензии съедают бюджет, источники событий подключаются годами, а видимости так и не появляется. Начинать нужно с инвентаризации: какие системы критичны для бизнеса и что произойдёт при их остановке.
Второй шаг — журналирование. Прежде чем что-то анализировать, события должны собираться и храниться: контроллеры домена, средства удалённого доступа, межсетевые экраны, почтовый шлюз, конечные точки. Даже без SIEM централизованный сбор логов уже позволяет расследовать инциденты.
Третий шаг — сценарии обнаружения под свою модель угроз, а не тысяча правил «из коробки». Десять работающих правил с низким уровнем ложных срабатываний полезнее сотни игнорируемых оповещений.
И только затем — дежурные смены, плейбуки и SLA. Без людей, которые обязаны отреагировать за конкретное время, SOC остаётся набором инструментов, а не функцией безопасности.