Это инфраструктура со множеством взаимосвязанных компонентов, в основе которой находится SIEM (Security information and event management). Основная задача SIEM — привести к единому формату огромное количество логов от разных источников для удобства обнаружения между ними взаимосвязей. SOC собирает, агрегирует, ищет корреляции в логах, чтобы обнаружить признаки взлома. Это достаточно дорогая услуга, поскольку она требует хранения большого объема логов, дорогих SIEM-систем и штата высококвалифицированных аналитиков. В то же время, данная услуга очень эффективная, так как позволяет выявить самые сложные атаки с использованием 0-day уязвимостей, которые не обнаруживает антивирус. Считается, что лучшие антивирусы отсекают 99% атак, а оставшийся 1% выявляется только экспертами в «ручном режиме». Важно понимать еще и то, что SOC не останавливает угрозы, а только их обнаруживает