NOC (Network Operations Center)

NOC (Network Operations Center), czyli centrum operacji sieciowych, to miejsce — fizyczne lub wirtualne — z którego zespół inżynierów i techników w trybie ciągłym (24/7) pilnuje sieci, serwerów i usług firmy. Głównym zadaniem NOC jest dbanie o to, by wszystko działało i było dostępne: wyłapywanie awarii, reagowanie na nie i przywracanie usług w ustalonym czasie. NOC skupia się na sprawności działania, a nie na obronie przed atakami — tym zajmuje się SOC.

Czym zajmuje się NOC?

NOC odpowiada za to, żeby sieć i usługi były dostępne i działały tak, jak powinny. Do typowych zadań należą:

• Monitorowanie dostępności i wydajności — stały podgląd stanu łączy, urządzeń (routery, przełączniki, zapory), serwerów i aplikacji. Zespół śledzi m.in. utratę pakietów, opóźnienie (latency), jego wahania (jitter) oraz wykorzystanie pasma.
• Wykrywanie i obsługa awarii — reakcja na alarmy, ustalenie, co się stało i dlaczego, oraz przywrócenie usługi. Zwykle wszystko trafia do systemu zgłoszeń (ticketów).
• Eskalacja — przekazywanie trudniejszych zgłoszeń do bardziej doświadczonych osób i powiadamianie dostawców oraz kierownictwa zgodnie z procedurą.
• Utrzymanie i zmiany — aktualizacje oprogramowania (patche), zarządzanie konfiguracją i prace planowe w wyznaczonych oknach serwisowych.
• Kopie zapasowe i odtwarzanie — nadzór nad backupem oraz wsparcie odtwarzania po awarii.
• Raportowanie i pilnowanie SLA — mierzenie dostępności i sprawdzanie, czy usługa spełnia warunki umowy o poziomie usług (SLA, czyli ustalone z klientem gwarancje jakości).

Jak działa NOC i jakie ma poziomy (tiery)?

NOC zwykle działa w kilku poziomach. Zgłoszenie trafia najpierw do najprostszego z nich, a jeśli nie da się go tam rozwiązać, wędruje wyżej:

1. Tier 1 (technik) — pierwsza linia. Odbiera alarmy, robi wstępną ocenę, zakłada zgłoszenia i rozwiązuje typowe, powtarzalne problemy według gotowych instrukcji (tzw. runbooków).
2. Tier 2 (inżynier) — bierze sprawy, które wymagają głębszej diagnostyki i znajomości konkretnych technologii albo budowy sieci.
3. Tier 3 (specjalista/architekt) — zajmuje się najtrudniejszymi awariami i zmianami wymagającymi zaawansowanej wiedzy. Często kontaktuje się z producentami sprzętu i oprogramowania.

Praca odbywa się na zmiany, żeby ktoś czuwał o każdej porze. Centralny ekran (tzw. „ściana wideo” lub jej cyfrowy odpowiednik) pokazuje na bieżąco stan najważniejszych elementów infrastruktury.

Jakich narzędzi używa NOC?

Narzędzia NOC łączą monitoring, alarmowanie i obsługę zgłoszeń:

• NMS (Network Management System), czyli system zarządzania siecią — centralne narzędzie do nadzoru nad urządzeniami sieciowymi. Najczęściej działa w oparciu o protokoły SNMP, ICMP i syslog. Wykrywa urządzenia, rysuje mapę sieci i zbiera dane o jej stanie.
• NPM (Network Performance Monitoring), czyli monitorowanie wydajności sieci — narzędzia do analizy ruchu i tego, jak szybko działa sieć. Korzystają m.in. z danych NetFlow/IPFIX/sFlow i pokazują, kto i jak korzysta z sieci.
• Systemy alarmów i powiadomień — wysyłają alerty (e-mail, SMS, dyżury on-call). Mają progi i korelację zdarzeń, żeby ograniczyć szum i nie zasypywać zespołu fałszywymi alarmami.
• System zgłoszeń (ticketów) / ITSM — rejestruje, ustawia priorytety i śledzi awarie oraz zgłoszenia (zgodnie z dobrymi praktykami ITIL).
• Backup i odtwarzanie oraz narzędzia raportowe i dashboardy pokazujące stan i trendy.

Jakie KPI mierzy NOC?

Skuteczność NOC ocenia się za pomocą konkretnych, mierzalnych wskaźników (KPI). Najważniejsze to:

• MTTD (Mean Time To Detect) — średni czas wykrycia problemu, czyli jak szybko zespół zauważa, że coś jest nie tak.
• MTTR (Mean Time To Resolve/Repair) — średni czas usunięcia awarii po jej wykryciu.
• MTBF (Mean Time Between Failures) — średni czas między awariami. Pokazuje, jak stabilna jest infrastruktura.
• Dostępność (availability) — procent czasu, w którym usługa działa. Często podaje się go w „dziewiątkach” (np. 99,9%).
• FCR (First Call/Contact Resolution) — odsetek zgłoszeń rozwiązanych od razu, bez eskalacji.
• Liczba i nawroty awarii — ile zdarzeń się pojawia i jak często problemy się powtarzają.

Czym różni się NOC od SOC?

NOC i SOC bywają mylone, bo oba to całodobowe centra operacyjne. Mają jednak inny cel:

• NOC dba o dostępność, wydajność i ciągłość sieci oraz usług. Walczy z awariami, przeciążeniami, błędami konfiguracji i spadkami wydajności.
• SOC (Security Operations Center), czyli centrum operacji bezpieczeństwa, dba o bezpieczeństwo. Wykrywa zagrożenia i reaguje na nie: włamania, złośliwe oprogramowanie, ransomware, kradzież danych i inne działania atakujących.

Różnią się też ludzie. NOC tworzą administratorzy i inżynierowie sieci, a SOC — analitycy bezpieczeństwa. W mniejszych firmach jeden zespół robi jedno i drugie. Wraz ze wzrostem skali funkcje te zwykle się rozdzielają. Zakresy i tak się zazębiają — obie jednostki zarządzają zaporami i systemami IPS, aktualizują oprogramowanie i razem koordynują reakcję na incydenty.

Dlaczego NOC ma znaczenie dla bezpieczeństwa?

NOC nie jest zespołem od bezpieczeństwa, ale jego dane o sieci są dla obrony bardzo cenne. Informacje o przepływach (NetFlow/IPFIX), wskaźniki wydajności i logi urządzeń, które NOC zbiera do celów operacyjnych, są zarazem podstawą wykrywania zagrożeń w warstwie sieci (NDR — wykrywanie i reagowanie w sieci). Wiele incydentów bezpieczeństwa najpierw wygląda jak zwykły problem operacyjny:

• nagły wzrost ruchu wychodzącego może oznaczać kradzież danych albo to, że komputer stał się częścią botnetu;
• dziwne, regularne połączenia z nieznanymi adresami mogą być sygnałem, że atakujący zdalnie steruje zainfekowanym sprzętem (C2, command and control);
• nagłe skoki ruchu i wysycenie łączy bywają objawem ataku DDoS;
• skanowanie portów albo przeskakiwanie atakującego z komputera na komputer (lateral movement) widać w danych o połączeniach, zanim dojdzie do realnej szkody.

Dlatego bliska współpraca NOC i SOC — wspólne dane, narzędzia i procesy — pozwala szybciej połączyć problem operacyjny z incydentem bezpieczeństwa i ograniczyć martwe pola w widoczności sieci.

Dowiedz się więcej

• Monitoring sieci i network visibility – analiza ruchu sieciowego jako podstawa visibility cybersecurity — NOC wykorzystuje monitoring i visibility, by szybko wykrywać awarie oraz anomalie w ruchu.
• ARP Spoofing – jak wykryć atak Man-in-the-Middle i zatruwanie ARP w sieci LAN — NOC monitoruje ARP, aby wykryć podszywanie się pod hosty i ataki MITM.
• Compliance i regulacje z Sycope — NOC wspiera zgodność, bo dostarcza dane o stanie sieci i zdarzeniach do audytu.