什麼是安全运营中心 （SOC）？
概述
什麼是厂翱颁？安全运营中心 （SOC） 是一個由IT安全專業人員組成的團隊，通過監控、檢測、分析和调查网路威胁來保護組織。持續檢查網路、伺服器、計算機、端點設備、操作系統、應用程式和資料庫，以查找网路安全事件的跡象。SOC 團隊分析源、建立規則、識別異常、增強回應並密切關注新漏洞。
鑒於現代組織中的技术系統 24/7 全天候運行，SOC 通常全天候輪班運行，以確保對任何新出現的威脅做出快速回應。SOC 團隊可以與其他部門和員工協作，也可以與專業的第三方IT安全供应商合作。
在建立SOC之前，組織必須制定與其業務目標和挑戰相一致的總體网路安全戰略。許多大型組織都有內部 SOC，但其他組織選擇將 SOC 外包給第三方託管安全服務提供者。
安全情報和運營諮询服务包括一系列安全解决方案，以領先於安全威脅。
安全运营中心 （SOC）
SOC 如何工作？
SOC 的主要任務是安全監控和警報。這包括收集和分析數據，以識別可疑活動並提高組織的安全性。威脅數據是從防火牆、入侵檢測系統、入侵防禦系統、安全資訊和事件管理 （SIEM） 系統以及威胁情报中收集的。一旦發現差異、異常趨勢或其他入侵指標，就會向SOC團隊成員發送警報。
SOC 是做什麼的？
资产发现
通過深入了解組織中使用的所有硬體、軟體、工具和技术，SOC 確保對資產的安全事件進行監控。
行為监控
SOC 24/7/365 全天候分析技术基礎設施的異常情況。SOC 採用被動和主動措施，以確保快速檢測和解決異常活動。用於最大程度地减少误报。
维护活动日誌
整個企業中發生的所有活動和通信都必須由SOC團隊記錄。活動日誌允許 SOC 回溯並查明可能導致网路安全漏洞的過去操作。还有助於為应被视為正常活动的内容设置基线。
警报排名
并非所有安全事件都是平等的。有些事件会给组织带来比其他事件更大的风险。分配严重性排名可説明厂翱颁团队确定最严重警报的优先顺序。
事件回应
SOC 團隊在發現入侵時執行事件回应。
根本原因调查
事件發生后，SOC 可能負責調查事件發生的時間、方式和原因。在調查期間，SOC 依靠日誌資訊來跟蹤根本問題，從而防止再次發生。
合规管理
SOC 團隊成員必須按照組織政策、行业標準和法規要求行事。
SOC 有什麼好處？
正确实施厂翱颁后，它提供了许多好处，包括：
- 对系统活动进行持续监控和分析。
- 改進了事件回应。
- 缩短了从发生入侵到检测到入侵之间的时间线。
- 减少停机时间。
- 硬体和软体资产的集中化，从而实现更全面、更即时的基础设施安全方法。
- 有效的协作和沟通。
- 降低与网路安全事件管理相关的直接和间接成本。
- 员工和客户信任组织，并更愿意分享他们的机密资讯。
- 加强对安全运营的控制和透明度。
- 清晰的系统和数据控制链，这对於成功起诉网路犯罪分子至关重要。
厂翱颁面临的挑战是什麼，如何克服这些挑战？
人才缺口
挑战：填補現有网路安全職位空缺所需的网路安全專業人員數量存在巨大缺口。2019年，這一缺口為407萬專業人士。在如此稀缺的情況下，SOC 每天都在走鋼絲，團隊成員不堪重負的風險很高。
溶液： 組織應該審視並考慮提高員工的技能，以填補其SOC團隊的空白。SOC 中的所有角色都應該有一個後備人員，該後備人員具有在職位突然空缺時堅守堡壘所需的專業知識，或者學會支付技能的價值，而不是使用他們能找到的最低價格资源。
狡猾的攻击者
挑战：网路防御是组织网路安全战略的关键组成部分。它需要特别注意，因為老练的参与者拥有规避防火墙和端点安全等传统防御所需的工具和专业知识。
溶液：部署具有异常检测和/或机器学习功能并可识别新威胁的工具。
海量数据和网路流量
挑战：一般组织处理的网路流量和数据量是巨大的。随着数据量和流量的天文数字增长，即时分析所有这些资讯的难度越来越大。
溶液：SOC 依靠自动化工具來過濾、解析、聚合和關聯資訊，以將手動分析保持在最低限度。
警报疲劳
挑战：在许多安全系统中，异常情况的发生有一定的规律性。如果厂翱颁依赖於未经筛选的异常警报，则警报的绝对数量很容易让人不知所措。许多警报可能无法提供调查所需的上下文和情报，从而分散团队对实际问题的注意力。
溶液：配置监控内容和告警排名，区分低保真告警和高保真告警。使用行為分析工具确保厂翱颁团队首先专注於解决最不寻常的警报。
未知威胁
挑战：傳統的基於簽名的檢測、端點檢測和防火牆無法識別未知威胁。
溶液：SOC 可以通過實施行為分析來發現異常行為，從而改進其基於簽名、規則和閾值的威脅檢測解决方案。
安全工具重载
挑战：為了捕捉所有可能的威胁，许多组织採购了多种安全工具。这些工具通常彼此脱节，范围有限，并且不具备识别复杂威胁的复杂性。
溶液：通过集中监控和警报平台专注於有效的对策。
安全运营中心：內部還是外包？
运行良好的厂翱颁是有效公司网路安全计划的神經中樞。SOC 為複雜而龐大的威脅形勢提供了一個視窗。SOC 不一定非得是內部的才能有效。由經驗豐富的第三方運營的部分或全部外包SOC可以滿足組織的网路安全需求。SOC 是幫助組織快速回應入侵的核心。
