“Если хочешь понять, как на самом деле работают службы информационной безопасности, забывай о регламентах и схемах. Иди туда, где сидят аналитики. Послушай, как они ругают ложные срабатывания, и посмотри, как они на самом деле принимают решения.”
Один из самых недооценённых методов оценки работы служб информационной безопасности — не аудит, не сканирование, а этнография. Метод, пришедший из антропологии для изучения культур, оказался идеальным инструментом, чтобы заглянуть за кулисы SOC, центров управления инцидентами и отделов, где рождаются реальные практики безопасности.
В теории работа SOC выглядит как отлаженный конвейер: SIEM собирает логи, аналитики триажируют инциденты, запускаются планы реагирования. На практике всё выглядит иначе. Сотрудники находят обходные пути, чтобы справиться с лавиной ложных срабатываний. У них складываются собственные «народные» методы быстрого анализа угроз, которые не описаны ни в одной инструкции. Формальные регламенты и реальная работа разделены пропастью, которую можно увидеть только изнутри.
Что такое этнография в контексте SOC?
Этнография — это глубокое качественное исследование, основанное на погружении в среду. Исследователь становится участником наблюдения: он не просто задаёт вопросы, а проводит время с аналитиками, сидит рядом во время смены, присутствует на планерках и в неформальных обсуждениях в курилке. Цель — понять не то, как должно быть по документам, а то, как всё происходит на самом деле, со всеми негласными правилами, импровизациями и рабочими ритуалами.
Этот подход кардинально отличается от стандартного аудита. Аудит сверяет факты с нормой, этнография изучает саму эту норму в действии. Зачем это нужно в безопасности? Чтобы найти разрыв между формальными процедурами и реальной практикой — именно в этом разрыве чаще всего и скрываются уязвимости процесса, а не технологии.
[ИЗОБРАЖЕНИЕ: Сравнительная схема: столбец «Формальный процесс (по регламенту)» и столбец «Реальная практика (этнографическое наблюдение)». Примеры: «Анализ инцидента по шаблону» против «Быстрый поиск по похожим тикетам в чате», «Эскалация через систему» против «Звонок знакомому из другого отдела».]
Как устроена реальная работа в центре мониторинга?
Формальная модель описывает аналитика как оператора, который методично обрабатывает алерты по очереди. Этнографическое наблюдение рисует иную картину. Работа часто идёт не с алертами, а с потоком контекста: внутренними чатами, где обсуждают странное поведение системы, скриншотами от коллег из других отделов, устными просьбами «посмотреть вот на этот хост».
Ключевые процессы, которые остаются невидимыми для автоматических отчётов:
- Распределение внимания. Аналитик не смотрит на все алерты подряд. Он вырабатывает эвристики, чтобы быстро отфильтровывать «шум» — известные ложные срабатывания от конкретных хостов или приложений. Эти эвристики редко документируются и передаются устно внутри команды.
- Использование «теневых» инструментов. Помимо корпоративного SIEM, в ход часто идут самописные скрипты, сторонние утилиты для быстрого поиска в логах или даже обычный grep в терминале, потому что это быстрее, чем кликать по интерфейсу.
- Неформальные сети коммуникации. Эскалация инцидента официальным путём через тикетную систему может занимать часы. Поэтому критичные вопросы решаются через Telegram-чат с сисадминами или прямым звонком ответственному. Эта неформальная сеть — главный кровоток в момент реальной атаки, но на схемах её нет.
Критические разрывы между политиками и практикой
Именно этнография позволяет выявить точки, где формальные требования (в том числе регуляторные, вроде 152-ФЗ или положений ФСТЭК) расходятся с реальностью. Эти разрывы — источник рисков.
Пример 1: Процедура смены паролей
Политика безопасности требует ежеквартальной сложной смены паролей. Этнографическое наблюдение может показать, что из-за неудобного интерфейса или большого количества учётных записей сотрудники:
- Меняют пароль по шаблону (пароль1, пароль2…).
- Записывают новые пароли в незашифрованный файл на рабочем столе «на всякий случай».
- Договариваются внутри отдела использовать один общий пароль для тестовых сред, чтобы не мешать друг другу.
Формально политика выполняется — пароли меняются. Фактически контроль над учётными данными теряется.
Пример 2: Реагирование на инциденты
По регламенту любой инцидент с подозрением на утечку должен фиксироваться в системе и расследоваться по утверждённому плану. На практике, чтобы не портить статистику и не создавать лишнюю работу, мелкие инциденты (например, сработавший алерт на скачивание большого объёма данных легитимным сотрудником) могут «закрываться» устно, без фиксации. Это создаёт слепые зоны в отчётности и мешает выявить целенаправленную деятельность.
Методология этнографического исследования SOC
Как провести такое исследование структурированно, не превратив его в простое подслушивание?
- Определение фокуса. Выберите конкретный процесс для изучения: например, «триаж входящих алертов» или «эскалация критичного инцидента». Не пытайтесь охватить всё сразу.
- Включённое наблюдение. Проведите несколько полных рабочих смен вместе с аналитиками. Фиксируйте не только их действия в системах, но и разговоры между собой, реакции на разные типы алертов, моменты замешательства или поиска информации.
- Глубинные интервью. После наблюдения поговорите с сотрудниками один на один. Задавайте открытые вопросы: «Что было самым сложным в той ситуации?», «Как вы обычно решаете проблему, если нужная система не отвечает?», «Что вы делаете в первую очередь, когда видите алерт такого-то типа?».
- Анализ артефактов. Изучите неофициальные инструменты: текстовые файлы с заметками, закладки в браузере, структуру чатов. Часто именно там содержится реальная «база знаний» команды.
- Синтез и выявление паттернов. Собранные данные анализируются на предмет повторяющихся действий, обходных путей и несоответствий с регламентами. Результат — не отчёт о нарушениях, а картина реальных рабочих процессов.
[ИЗОБРАЖЕНИЕ: Инфографика с этапами этнографического исследования: Включённое наблюдение -> Глубинные интервью -> Анализ артефактов -> Синтез паттернов -> Рекомендации по адаптации процессов.]
Как использовать результаты: от наблюдения к улучшениям
Цель этнографии — не наказать сотрудников за несоблюдение регламентов, а адаптировать сами регламенты и инструменты под реальные нужды. Полученные инсайты можно направить на:
- Оптимизацию процессов. Если аналитики массово используют сторонний инструмент для быстрого поиска, стоит интегрировать его функциональность в основной SIEM или сделать его санкционированным.
- Доработку политик. Если политика смены паролей приводит к рискованному поведению, возможно, её стоит пересмотреть в сторону использования менеджеров паролей или двухфакторной аутентификации, что снизит нагрузку на сотрудников.
- Целевое обучение. Вместо общих курсов по безопасности можно разработать тренинг, основанный на реальных кейсах и сложных ситуациях, которые были выявлены в ходе наблюдения.
- Улучшение инструментов. «Теневые» скрипты часто закрывают функциональные пробелы в коммерческих продуктах. Их можно формализовать, провести code review и внедрить как штатные средства, повысив безопасность и поддерживаемость.
Этнография как конкурентное преимущество
В условиях, когда технические средства защиты у многих компаний схожи, качество процессов и человеческий фактор становятся ключевым дифференциатором. Компания, которая понимает, как её SOC работает на самом деле, и последовательно устраняет разрывы между политикой и практикой, получает более устойчивую и эффективную систему защиты. Это не разовая проверка, а цикличная практика — культура работы постоянно меняется, и регулярное этнографическое «погружение» помогает безопасности эволюционировать вместе с ней, оставаясь не просто формальным compliance-инструментом, а живым и адекватным ответом на реальные угрозы.