Девять утра. Аналитик ночной смены пишет в общий чат: «ночь тихая, по инциденту 4417 ждём ответ вендора» — и уходит спать. Дневная смена читает эту строку и следующие полтора часа поднимает контекст заново, потому что «ждём ответ вендора» не говорит, кто написал, когда написал и что делать, если вендор промолчит до вечера.
Это и есть передача дежурства в большинстве центров мониторинга, которые я видел изнутри за последние годы. Не в плохих. В обычных.
За двадцать лет отрасль собрала отличный арсенал для событий: SIEM складывает логи, EDR смотрит в процессы, SOAR запускает плейбук по кнопке, тикет-система считает время до закрытия. Для людей, которые всем этим управляют, не написано почти ничего. Расписание смен лежит в Excel на ноутбуке руководителя, планёрка живёт в чьей-то голове до обеда, а отчёт за месяц собирают по крупицам из переписки. В опросе SANS SOC Survey 2025 Кристофера Кроули, июль 2025 года, 69% команд признались, что считают метрики вручную или почти вручную.
Дыра здесь не в детектах. Дыра в слое управления над ними.
Cisco выложила консоль руководителя смены
В сентябре 2026 года в открытый доступ попал SOC Cockpit — веб-консоль оперативного управления для руководителя SOC. Автор Кунал Хатоде, лицензия Apache 2.0, репозиторий живёт в cisco-open, параллельная копия ведётся в CiscoCXSecurity. Внутри Vite, React, TypeScript, Express и SQLite через встроенный модуль node:sqlite, поэтому требуется Node не ниже 22.5. Разворачивается тремя командами.
Это не конкурент SIEM. Это слой этажом выше, которого у большинства команд нет вовсе.
Первый экран отвечает на вопросы, которые руководитель задаёт себе каждое утро: закрыты ли смены, где просели SLA, какие риски висят без владельца, кто в отпуске. Данные на скриншотах вымышленные, команда Meridian Global SOC не существует, и это честно написано в самом репозитории.
Дальше интереснее. Планировщик смен работает с будущими датами и показывает дыры в покрытии заранее, а не утром того дня, когда выяснилось, что в ночь на вторник нет ни одного L2.
Планёрка разложена по матрице Эйзенхауэра: сделать, делегировать, отложить, выбросить. У каждой задачи есть ведущий, длительность, статус и связь с целью, а незакрытое переносится на следующий день вместо того, чтобы забыться.
Реестр KPI и SLA ведётся непрерывно, с целевым значением и трендом по каждой метрике. Отчёт за месяц перестаёт быть проектом и становится выгрузкой.
Отдельная кнопка собирает управленческую сводку: суть, победы, опасения, принятые решения. Работает и без нейросети, на локальной генерации из той же базы.
Встроенного помощника зовут Keo, Knowledge Efficiency Operator. Архитектурное решение здесь важнее самой функции: Keo отвечает только по данным консоли и не притягивает общие знания модели, а счётные вопросы вида «сколько смен недоукомплектовано на следующей неделе» считает база, а не языковая модель. Это арифметика, а не догадка. Подключается любой OpenAI-совместимый endpoint, включая локальные Ollama и vLLM, так что расписание сотрудников и метрики не уезжают наружу.
Теперь честно про недостатки, потому что репозиторию неделя от роду.
Переменная SOC_API_TOKEN в конфигурации помечена как необязательная: без неё API открыт любому, кто дотянется до порта 3001. Ролей и разграничения доступа нет, аудита действий нет, вся база лежит одним файлом SQLite. Интеграций с SIEM или SOAR не предусмотрено — KPI вносятся руками или импортом из таблицы. Ставьте это только внутрь управляющего сегмента и не выставляйте наружу.
Ценность SOC Cockpit не в готовности к бою. Ценность в том, что кто-то наконец описал кодом, как выглядит рабочее место руководителя дежурной смены. Дальше эту модель можно повторить на своём стеке.
Дежурство и эскалация: категория схлопывается
Инструменты, которые поднимают дежурного инженера в три часа ночи, за полтора года лишились двух главных имён. Масштаб виден по сделке: когда Atlassian покупала Opsgenie в сентябре 2018 года за 295 миллионов долларов, у сервиса было больше трёх тысяч клиентов по всему миру. Все они теперь переезжают.
Atlassian закрывает Opsgenie: продажи остановлены 4 июня 2025 года, выключение назначено на 5 апреля 2027 года, расписания и политики эскалации переезжают в Jira Service Management. Grafana Labs перевела Grafana OnCall OSS в режим поддержки 11 марта 2025 года и заархивировала 24 марта 2026 года; SMS и звонки через облако после этой даты не работают, код остаётся под AGPLv3 в расчёте на форки сообщества.
Выбирать теперь приходится из меньшего. PagerDuty держит место отраслевого стандарта и берёт за него соответственно. incident.io и Rootly моложе, заходят с той же стороны, и платить всё равно придётся. Netflix Dispatch — открытая платформа управления инцидентами, которую стриминговый сервис вырастил под себя и выложил наружу. Российской команде, которой нужно локальное размещение, остаются Dispatch, форк OnCall или собственная обвязка поверх календаря.
Кейсы и расследования: здесь живёт контекст смены
Передать смену — значит передать не строку в чате, а всё расследование со всеми зацепками.
Без бюджета на лицензии команды берут DFIR-IRIS. Распространяется под LGPL-3.0, 1600 звёзд на GitHub, внутри Python, PostgreSQL и RabbitMQ в контейнерах. Платформа связывает алерты, активы, доказательства и индикаторы в одно аудируемое дело и строит таймлайн активности атакующего, по которому входящая смена понимает вектор за пять минут, а не за час чтения сырых логов. Модули подтягивают обогащение из MISP и данные из Splunk.
TheHive ушёл в другую сторону. Компания StrangeBee раздаёт Community-лицензию бесплатно, но с квотами по числу пользователей и организаций и только по регистрации, а платные уровни Gold и Platinum открывают кластеризацию и интеграции. Инструмент отличный, модель распространения — вопрос к вашему юристу, а не ко мне.
К DFIR-IRIS обычно добавляют Timesketch от Google для совместной работы над криминалистическим таймлайном и Velociraptor для сбора артефактов с хостов по запросу. Связка «Wazuh обнаружил, Shuffle разложил, DFIR-IRIS завёл дело» собирается за выходные и закрывает путь от события до расследования без единой лицензии.
Зрелость и покрытие: чем измерять то, что не считается в минутах
Метрики скорости обманчивы. Среднее время реакции можно улучшить, просто перестав замечать сложные атаки.
SOC-CMM Роба ван Оса — модель зрелости центра мониторинга с самооценкой по бизнесу, людям, процессам и технологиям. Считается в таблице, занимает у команды день, а на выходе даёт разговор с руководством в терминах разрывов, а не ощущений.
VECTR от Security Risk Advisors ведёт учёт красных и синих проверок: какой приём отработали, сработала ли детекция, сработала ли блокировка. DeTT&CT оценивает качество источников данных и честное покрытие матрицы ATT&CK, а не то, которое нарисовано в презентации вендора. Atomic Red Team даёт атомарные тесты, чтобы проверить конкретное правило.
Пара «SOC-CMM плюс VECTR» отвечает на вопрос совета директоров лучше любого дашборда скорости: не «мы реагируем за 12 минут», а «мы закрываем 64% техник, которыми пользуется группировка, атакующая наш сектор».
Знание об угрозах и склейка
MISP и OpenCTI закрывают работу с индикаторами и связями между кампаниями. Shuffle, Tines, n8n и старый добрый скрипт по расписанию берут на себя склейку всего перечисленного без тяжёлого SOAR: webhook пришёл, severity посчитан, дело заведено, дежурный уведомлён.
Российский контекст: пересменка съедает норматив в три часа
Приказ ФСБ России № 282 от 19 июня 2019 года даёт субъекту КИИ три часа на информирование НКЦКИ об инциденте на значимом объекте и двадцать четыре часа для остальных, а на отправку результатов реагирования — сорок восемь часов. Финансовые организации уведомляют ещё и Банк России.
Теперь наложите на эти три часа сцену из начала статьи. Инцидент обнаружен в 8:40, смена сдаётся в 9:00, контекст потерян на границе, дневной аналитик тратит час на восстановление картины. Половина норматива съедена процедурой, которой нет.
В отечественных продуктах управленческий слой спрятан внутри платформ реагирования: R-Vision SOAR и Security Vision ведут инциденты, плейбуки и отчётность, и часть метрик руководитель забирает оттуда. Отдельной консоли для руководителя смены я на российском рынке не встречал — такой, где в одном окне и график дежурств на месяц вперёд, и задачи с утренней планёрки, и цели команды с ответственными и сроками, и метрики, из которых потом собирается отчёт. Место свободно.
Частые вопросы
Если вы пришли в SOC недавно, половина слов выше звучит как чужой жаргон. Ниже — те ритуалы, из которых состоит обычный день дежурной смены.
Что такое планёрка смены, она же stand-up или ежедневный синк
Короткая встреча на заступлении, десять-пятнадцать минут. Руководитель проходит по кругу: кто сегодня на смене и кто выпал, что случилось за ночь, что осталось незакрытым, кто чем занят до вечера. Презентаций и отчётов нет, только текущее состояние. Смысл в том, чтобы разговор оставил письменный след: без него к обеду никто не помнит, кто вызвался писать вендору. В командах, выросших из разработки, ту же встречу называют ежедневным синком, а в банках и у операторов чаще говорят «планёрка» или «летучка». Слово разное, содержание одно.
Чем сдача смены, stand-down, отличается от планёрки
Планёрка открывает смену, сдача закрывает. На сдаче дежурный проходит по своим инцидентам и говорит, что сделано, что не сделано и почему, а результат записывает. Именно этот текст читает следующая смена.
Что обязательно входит в передачу дежурства
Рабочий минимум такой: идентификатор инцидента и его приоритет, текущий статус расследования, кто владелец, какой следующий шаг и кто или что этот шаг блокирует. Фраза «ждём ответ вендора» без имени, даты и запасного плана передачей не считается.
Зачем в SOC уровни L1, L2 и L3
Первая линия разбирает поток срабатываний по инструкции и отсеивает ложные. Вторая ведёт расследование там, где инструкция кончилась. Третья занимается сложными случаями, криминалистикой и охотой на угрозы, а заодно пишет правила детектирования для первых двух. Разделение нужно, чтобы дорогой специалист не тратил ночь на разбор очереди однотипных алертов.
Что такое дежурство по вызову и эскалация
Дежурство по вызову, on-call, означает, что за пределами смены есть человек, которого система поднимает звонком. Эскалация — заранее записанная лестница: если первый не ответил за столько-то минут, звонок уходит второму, потом руководителю. Без этой лестницы критический инцидент упирается в один выключенный телефон.
Чем плейбук отличается от регламента
Плейбук — сценарий реагирования на конкретный тип инцидента: что проверить, что изолировать, кого уведомить. Регламент описывает порядок вообще, плейбук доводит его до шагов, которые можно выполнить в три часа ночи не думая. Часть плейбуков живёт в SOAR и выполняется автоматически.
Что такое оперативный штаб (war room)
Временный общий канал или переговорная, куда собирают команду на время крупного инцидента, чтобы все участники видели одну картину. Ценность не в самом чате, а в том, что решения фиксируются по ходу дела и потом не приходится восстанавливать их по памяти.
Что такое постмортем
Разбор после закрытия серьёзного инцидента: что произошло, как заметили, где потеряли время, что меняем. Хороший постмортем ищет дырку в процессе, а не виноватого — иначе в следующий раз про инцидент просто не расскажут.
Что означают MTTA и MTTR
MTTA — среднее время до взятия срабатывания в работу, MTTR — до его устранения. Обе метрики измеряют скорость и ничего не говорят о том, какие атаки вы вообще способны заметить. Поэтому в статье выше они и стоят рядом с покрытием по ATT&CK.
Что сделать на этой неделе
Не покупайте ничего. Проверьте четыре вещи.
- Откройте регламент передачи смены. Если его нет или он состоит из фразы «сообщить о текущих инцидентах», напишите нормальный: идентификатор, приоритет, владелец, текущий статус, следующий шаг, кто блокирует.
- Спросите у руководителя смены, где лежит расписание на следующий месяц. Если ответ «у меня в файле» — вы узнаете о дыре в ночном покрытии в ту самую ночь.
- Разверните SOC Cockpit на виртуалке в управляющем сегменте и заведите туда одну неделю реальных планёрок. Неделя данных покажет, нужен вам такой слой или ваша команда живёт без него нормально.
- Посчитайте, сколько времени от норматива в три часа у вас уходит на восстановление контекста после пересменки. Этот замер убедит руководство быстрее, чем любая презентация про зрелость.
Я собираю по этой теме практику: если у вас есть работающий регламент пересменки или свой дашборд руководителя SOC, напишите мне — разберу интересные решения в отдельной статье.
Скриншоты взяты из репозитория cisco-open/SOC-Cockpit под лицензией Apache 2.0, данные на них вымышленные.