Сервисы-открывашки в ИБ: Как зайти в ту дверь.

Я много пишу про мониторинг, это мой основной продукт. Но он дорогой на любом этапе зрелости заказчика он оказывается дороже ожиданий (особенно если говорить про малые и средние компании).

Но умный вендор не продаёт мониторинг в лоб, он заходит через сравнительно недорогой, но не менее комплексный сервис который решает способен решить множество задач здесь и сейчас, построить доверие и создать почву для основного продукта.

Го разбираться, какими инструментами можно зайти и закрепиться в заказчике (initial access по матрице mitre attack получается)

1️⃣Compromise Assessment и/или DFIR По русски: комплексное исследование инфраструктуры на предмет компрометации и/или киберкриминалистика.

Чуете, тут пахнем взломом, шифровальщиком, или недобросовестным админом с рутом на всех машинах?

Так вот, в CA и DFIR самая короткая дистанция между болью и продажей. Заказчик либо подозревает что его взломали, либо уже разбирается с последствиями.

Вендор/сервис провайдер прибегает на пожар, находит причину, помогаеет восстановиться, показывает как это произошло, дает рекомендации. После этого разговор про мониторинг не надо начинать, заказчик сам спрашивает. И что еще сильнее сподвигнет заказчика к покупке: половина работ по разворачиванию мониторинга уже выполнены во время оказания сервиса СА.

CA и DFIR это буквально лучший сервис-открывашка для дальнейшей продажи SOC. Конверсия в следующий шаг здесь самая высокая из всех сервисов.

2️⃣Пентест и анализ защищённости Работает особенно хорошо там,где заказчика пушит регулятор. Заказчик обязан провести пентест. Вопрос лишь только в выборе исполнителя.

Ты делаешь качественный пентест, находишь реальные проблемы, даёшь внятный и ценный отчёт с акцентом на бизнес цели заказчика. Дальше логичный вопрос заказчику: как сделать, чтобы выявленные уязвимости не эксплуатировал злоумышленник, пока они не закрыты? (Спойлер: половина из них никогда и не будет закрыта). Вуаля, почва для большого SOC готова.

3️⃣Аудит и консалтинг

Самый медленный но самый широкий вход. Аудит даёт картину зрелости заказчика, и если проводить его качественно, в итоге вы имеете на руках дорожную карту и ключи к сердечку заказчика, где мониторинг (а порой еще и сервисы описанные выше) стоит следующим логичным шагом. И главное: в случае консалтинга убеждением заказчика тут занимается не говорливый пресейл, а продуманный gap-анализ: цифры и факты.

Консалтинг работает и на более глубоком уровне: ты становишься доверенным советником до того как стал поставщиком. Это долго и честно говоря очень трудозатратно, но конкуренту будет очень сложно тебя выдавить. Бонус: после аудита еще можно систему управления рисками продать.

4️⃣Threat Intelligence

Мощный сервис, но с узкой аудиторией. TI реально полезен только зрелым заказчикам у которых уже есть процессы и люди которые умеют с ним работать. Продавать TI незрелому заказчику - значит продавать соус к блюду, которое еще не приготовлено, а шеф-повар не нанят. Но! там где TI заходит, он создаёт глубокую интеграцию с процессами заказчика. Уйти от такого вендора сложно. А бонус: фиды и айоки с TI могут здорово помочь заказчику в мониторинге угроз.

Как думать про апсейл и кросссейл Каждый из озвученных сервисов полноценно решает свою конкретную задачу, но одновременно с этим создаёт контекст, который непринужденно и за счет фактов ведет заказчика к следующему шагу. ➕CA показывает что мониторинга не хватало. ➕Пентест показывает что уязвимости есть и их надо отслеживать. ➕Аудит подсвечивает дыры в процессах. ➕TI показывает что угрозы реальны и специфичны для отрасли (и что твоего соседа уже взломали).

Задача сейла и пресейла не потерять этот контекст, зафиксировать находки и вернуться с ними к заказчику, и купить слона продать нашего слона.

Открывашка не всегда работает сама по себе (может быть она вообще окупает себя в ноль), но если ты дальше продаешь флагманский сервис/продукт, значит игра стоила свеч.