SimpleZero SOC

Актуально для: состав первой версии и коммерческого релиза · Проверено: 09.11.2026

SimpleZero SOC — управление центром мониторинга (IRP/SOAR) на платформе SimpleOne. Алерты из SIEM становятся кейсами, кейсы ведут линии аналитиков по SLA клиента, плейбуки выполняют действия в средствах защиты, а клиент видит свои инциденты и отчёты в портале.

Разделение ответственности:

• SimpleOne держит процессы: кейсы, SLA, линии поддержки, портал, связь с ITSM и CMDB.
• SimpleZero держит технику: роль soc-intake принимает алерты и передаёт команды плейбуков, роль soc-executor выполняет действия на площадке клиента.

SOC не привязан к SIEM. Алерты приходят из SimpleZero Detect и из сторонних SIEM. Клиент работает в портале и не видит, какая SIEM стоит под ним.

Первая версия

Возможность	Что входит
Модель данных в SimpleOne	алерт, инцидент (кейс), признаки компрометации (IoC), актив, клиент, SLA; роли и права
Приём алертов	из Elastic и из SimpleZero Detect через один вход; дедупликация и группировка алертов в кейсы
Активы и владельцы	алерт и кейс привязываются к активу и его владельцу из CMDB SimpleOne
Линии L1, L2, L3 и SLA	назначение, эскалация, сроки по SLA клиента
Метрики	MTTD и MTTR по кейсам, дашборды
Клиентский портал	инциденты, отчёты, SLA, согласования
Единый вход	аналитики и клиенты входят через SimpleZero ID

Коммерческий релиз

• Коннекторы к SIEM: KUMA, MaxPatrol SIEM, R-Vision SIEM, Elastic, OpenSearch.
• Визуальный конструктор плейбуков.
• Действия на площадке клиента: EDR, NGFW (UserGate, Континент), SimpleZero ID — блокировка учётной записи и завершение сессий.
• Отправка инцидентов в ГосСОПКА (НКЦКИ) и ФинЦЕРТ.
• Многоарендность для MSSP: один SOC обслуживает многих клиентов, каждый видит только своё.

Дальше

• ИИ-ассистент на отечественных или локальных языковых моделях: разбор алертов, сводка по инциденту, плейбук из текстового описания, черновик отчёта для клиента.
• Оценка зрелости SOC и покрытия техник MITRE ATT&CK.

Сроки этапов — в разделе Дорожная карта.