资产发现 通过深入了解组织内使用的所有硬件、软件、工具和技术，SOC 可确保对资产进行安全事件监控。行为监控 SOC 对技术基础设施进行全天候分析，以发现异常。SOC 采用被动和主动措施，以确保快速发现和处理违规活动。 对可疑活动进行行为监控 ，以尽量减少误报。维护活动日志 SOC 团队必须记录企业内发生的所有活动和通信。通过活动日志，SOC 可以回溯并确定过去可能导致网络安全漏洞的行为。 日志管理 还有助于设定正常活动的基准线。警报排名 所有安全事件都不尽相同。与其他事件相比，某些事件会给组织带来更大的风险。指定严重性等级有助于 SOC 团队优先处理最严重的警报。事件响应 SOC 团队在发现漏洞时执行事件响应。根本原因调查 事故发生后，SOC 可能会负责调查事故发生的时间、方式和原因。在调查过程中，SOC 依靠日志信息来跟踪根本问题，从而防止问题再次发生。合规管理 SOC 团队成员的行为必须符合组织政策、行业标准和监管要求。

Q: SOC 有哪些好处？

如果正确实施 SOC，它将带来以下诸多好处：持续监控和分析系统活动。改进事件响应。缩短从发生危害到检测到危害的时间间隔。减少停机时间。集中管理硬件和软件资产，从而为基础设施安全提供更全面、更实时的方法。有效的合作与交流。减少与网络安全事件管理相关的直接和间接成本。员工和客户信任组织，更乐于分享他们的机密信息。加强对安全行动的控制，提高透明度。明确系统和数据的控制链，这对成功起诉网络犯罪分子至关重要。

Q: 安全运营中心：内部还是外包？

运行良好的 SOC 是有效的 企业网络安全计划 的神经中枢。SOC 为了解复杂而巨大的威胁提供了一个窗口。SOC 不一定要在公司内部才能有效。由经验丰富的第三方运营的部分或全部外包 SOC 可以随时满足组织的网络安全需求。SOC 是帮助组织快速应对入侵的核心。

概述

什么是 SOC？安全运营中心或 SOC 是一个由 IT 安全专业人员组成的团队，通过监控、检测、分析和调查网络威胁来保护组织。对网络、服务器、计算机、终端设备、操作系统、应用程序和数据库进行持续检查，以发现网络安全事件的迹象。SOC 团队分析信息源、制定规则、识别例外情况、加强应对措施，并密切关注新的漏洞。

鉴于现代组织中的技术系统全天候运行，SOC 通常全天候轮班工作，以确保对任何新出现的威胁做出快速反应。SOC 团队可与其他部门和员工合作，或与第三方 IT 安全供应商合作。

在建立 SOC 之前，企业必须制定与其业务目标和挑战相一致的总体网络安全战略。许多大型组织都有内部 SOC，但也有一些组织选择将 SOC 外包给第三方托管安全服务提供商。

安全情报和运营咨询服务包括一系列安全解决方案，可在安全威胁面前保持领先。

安全运营中心 (SOC)

SOC 如何工作？

SOC 的主要任务是安全监控和警报。这包括收集和分析数据，以识别可疑活动，提高组织的安全性。威胁数据是从防火墙、入侵检测系统、入侵防御系统、安全信息和事件管理 (SIEM) 系统以及威胁情报中收集的。一旦发现差异、异常趋势或其他入侵迹象，就会立即向 SOC 团队成员发出警报。

SOC 是做什么的？

资产发现

通过深入了解组织内使用的所有硬件、软件、工具和技术，SOC 可确保对资产进行安全事件监控。

行为监测

SOC 对技术基础设施进行 24/7/365 的异常分析。SOC 采用被动和主动措施，以确保快速发现和处理违规活动。对可疑活动进行行为监控，以尽量减少误报。

保存活动日志

SOC 团队必须记录整个企业的所有活动和通信。通过活动日志，SOC 可以回溯并确定过去可能导致网络安全漏洞的行为。日志管理还有助于设定正常活动的基准线。

警报排名

所有的安全事件都不尽相同。与其他事件相比，某些事件会给组织带来更大的风险。指定严重性等级有助于 SOC 团队优先处理最严重的警报。

事件响应

SOC 团队在发现漏洞时执行事件响应。

根本原因调查

事件发生后，SOC 可能会负责调查事件发生的时间、方式和原因。在调查过程中，SOC 依靠日志信息来跟踪根本问题，从而防止问题再次发生。

合规管理

SOC 团队成员的行为必须符合组织政策、行业标准和监管要求。

SOC 有哪些好处？

正确实施 SOC 可以带来以下诸多好处：

持续监控和分析系统活动。
改进事件响应。
缩短从发生危害到检测到危害的时间间隔。
减少停机时间。
集中管理硬件和软件资产，从而为基础设施安全提供更全面、更实时的方法。
有效的合作与交流。
减少与网络安全事件管理相关的直接和间接成本。
员工和客户会更加信任组织，也更乐于分享他们的机密信息。
加强对安全行动的控制，提高透明度。
明确系统和数据的控制链，这对成功起诉网络犯罪分子至关重要。

SOC 面临哪些挑战，如何克服这些挑战？

人才缺口

挑战：填补现有网络安全职位空缺所需的网络安全专业人员数量严重不足。2019 年的专业人员缺口为 407 万人。面对如此稀缺的资源，SOC 每天都要绷紧神经，团队成员极有可能不堪重负。

解决方案：企业应着眼于内部，考虑对员工进行技能培训，以填补其 SOC 团队的空白。如果职位突然空缺，SOC 的所有职位都应该有一个具备所需专业知识的后备人员来顶替，或者学会按技能的价值付费，而不是使用他们能找到的价格最低的资源。

老练的攻击者

挑战：网络防御是企业网络安全战略的关键组成部分。这需要特别关注，因为老练的行动者拥有躲避防火墙和终端安全等传统防御手段所需的工具和技术。

解决方案：部署具有异常检测和/或机器学习功能并能识别新威胁的工具。

大量数据和网络流量

挑战：一般组织处理的网络流量和数据量都非常巨大。随着数据量和流量的飞速增长，实时分析所有这些信息的难度也随之增加。

解决方案：SOC 依靠自动工具来过滤、解析、汇总和关联信息，从而将人工分析减少到最低限度。

警报疲劳

挑战：在许多安全系统中，异常情况经常发生。如果 SOC 依赖未经过滤的异常警报，那么大量的警报很容易让人应接不暇。许多警报可能无法提供调查所需的背景和情报，从而分散团队对实际问题的注意力。

解决方案：配置监控内容和警报等级，以区分低保真警报和高保真警报。使用行为分析工具，确保 SOC 团队集中精力首先处理最不寻常的警报。

未知威胁

挑战：传统的基于签名的检测、端点检测和防火墙无法识别未知威胁。

解决方案：SOC 可以通过实施行为分析来发现异常行为，从而改进其基于签名、规则和阈值的威胁检测解决方案。

安全工具过载

挑战：为了捕捉各种可能的威胁，许多组织采购了多种安全工具。这些工具往往相互脱节，范围有限，而且不具备识别复杂威胁的复杂性。

解决方案：利用集中监控和警报平台，重点采取有效的应对措施。

安全运营中心：内部还是外包？

运行良好的 SOC 是有效的企业网络安全计划的神经中枢。SOC 为了解复杂而巨大的威胁提供了一个窗口。SOC 不一定要在公司内部才能有效。由经验丰富的第三方运营的部分或全部外包 SOC 可以随时满足组织的网络安全需求。SOC 是帮助组织快速应对入侵的核心。

安全运营中心 (SOC)

立即开始

申请演示