本文6386字阅读约需18分钟
网络清静威胁正变得日益重大 ， ，，，，，， ，组织日趋严密且资金充分 。。。。。。人工智能（AI）工具和手艺的普遍接纳将导致定制化的、高影响力的网络攻击 。。。。。。应对此类攻击的重大性和细腻化需要充分授权的清静运营中心（SOC） 。。。。。。
清静运营中心是容纳网络清静专业职员的设施 ， ，，，，，， ，认真实时监测和视察清静事务 ， ，，，，，， ，使用职员、流程和手艺的组合来预防、发明和应对网络威胁 。。。。。。
清静运营中心认真监测和保� ；； ； ；； ；；ぷ橹淖什� ， ，，，，，， ，包括知识产权、保密/职员数据、营业系统、要害基础设施和品牌声誉 ， ，，，，，， ，使其免受网络清静威胁 。。。。。。清静运营中心是组织的眼睛和耳朵 ， ，，，，，， ，当可疑或异常的网络清静事务爆发时发出警报 ， ，，，，，， ，其能迅速作出反应 ， ，，，，，， ，以镌汰对组织的影响 。。。。。。由于清静事务的倒运影响 ， ，，，，，， ，组织正在寻找要领来改善清静运营中心 ， ，，，，，， ，以降低危害敞口 ， ，，，，，， ，并维护资产和数据清静 。。。。。。
相识清静运营中心的演变并举行乐成构建 ， ，，，，，， ，可以大幅增强检测和破损网络攻击的能力 ， ，，，，，， ，保� ；； ； ；； ；；ぷ橹馐芪Ｏ� 。。。。。。
清静运营中心的演变
在已往 ， ，，，，，， ，古板网络运营中心（NOC）将重点放在意外事务和响应上 ， ，，，，，， ，以可用性为主要目的 。。。。。。NOC的主要职责是网络装备治理和性能监测 。。。。。。
如图1所示 ， ，，，，，， ，最初 ， ，，，，，， ，清静运营中心是为政府和国防组织实验的 。。。。。。早期清静运营中心的主要职责包括处置惩罚病毒警报、检测入侵和应对意外事务 。。。。。。2000年后 ， ，，，，，， ，大型企业和银行最先实验类似的监测营业 。。。。。。
信息清静治理标准宣布于2005年 ， ，，，，，， ，合规被加入至清静运营中心的目的中 。。。。。。动态数据包过滤防火墙、反垃圾邮件和误差治理以及入侵预防被添加到监测和响应中 。。。。。。
2007年至2013年是清静运营中心进化的黄金时代 。。。。。。许多对清静监控至关主要的要害清静解决计划 ， ，，，，，， ，如数据走漏预防（DLP）和清静信息与事务治理（SIEM） ， ，，，，，， ，都是在这个时期进入网络清静生态系统的 。。。。。。在此时代 ， ，，，，，， ，高级一连性威胁（APTs）的数目最先急剧增添 ， ，，，，，， ，在2010年至2011年增添了81% 。。。。。。而清静运营中心在检测和预防这些威胁方面施展了主要作用 。。。。。。日志汇总、羁系合规、恶意软件剖析和DLP是谁人时代清静运营的主要目的 。。。。。。
针对IT和清静运营的治理型清静效劳提供商（MSSPs）应运而生 。。。。。。作为一种共享模式 ， ，，，，，， ，治理型清静效劳并非专门为单个组织或实体效劳 。。。。。。MSSPs最初由大型企业接纳 ， ，，，，，， ，然后最终被感兴趣的中小型组织接纳 ， ，，，，，， ，以知足其组织清静运营的要求 。。。。。。
在清静运营中心的生长历程中 ， ，，，，，， ，下一代SIEM进入了清静生态系统和运营之旅 。。。。。。SIEM也被称为用户行为剖析（UEBA） ， ，，，，，， ，它基于人工智能（AI）的子集机械学习（ML） 。。。。。。
企业在现有的SIEM手艺上安排UEBA ， ，，，，，， ，以镌汰误报 。。。。。。SIEM是一种基于规则的手艺 ， ，，，，，， ，其在为规则设置的逻辑和阈值之上事情 。。。。。。阈值参数是SIEM手艺的主要挑战 ， ，，，，，， ，由于不可能坚持阈值开放凌驾几个小时 。。。。。。若是阈值开放时间过长 ， ，，，，，， ，那么SIEM的性能将大大降低 。。。。。。自从移下手艺的泛起 ， ，，，，，， ，自带装备（BYOD）和云的接纳 ， ，，，，，， ，身份识别和会见权限是清静治理的焦点组成部分 。。。。。。UEBA/用户行为剖析（UBA）手艺使用身份识别和会见权限来界说正常和异常的用户和实体行为 。。。。。。
由威胁情报、逆向工程和基于AI/ML的监控手艺驱动的清静运营已经改变了下一代清静运营中心 。。。。。。� ；； ； ；； ；；煜颓寰苍擞行�--由MSSP在客户的园地上安排和运营--在这一时期泛起了 。。。。。。� ；； ； ；； ；；煜寰苍擞行囊脖怀莆冻糖寰苍擞行� 。。。。。。
2015年 ， ，，，，，， ，威胁情报平台（TIPs）、开源情报（OSINT）和商业威胁情报反响成为清静运维的焦点组成部分 。。。。。。威胁情报富厚了事务的配景 ， ，，，，，， ，并资助清静剖析职员做出决议 。。。。。。威胁情报尚有助于相识敌手的战术、行为、工具和程序 。。。。。。� ；； ； ；； ；；谡绞酢⑹忠蘸统绦�(TTPs)的威胁征采通过早期发明和修复隐藏威胁 ， ，，，，，， ，为清静运营中心增添了更多价值 。。。。。。
云迁徙就最先于这段时间 ， ，，，，，， ，诸如云会见清静经纪人（CASBs）在内的云清静解决计划进入了清静市场 ， ，，，，，， ，为IT和清静社区的影子IT和影子数据带来了曙光 。。。。。。清静运营中心的监测职责已扩大至包括云 ， ，，，，，， ，重大威胁也在这段时间中增添 。。。。。。云清静态势治理（CSPM）、云事情负载保� ；； ； ；； ；；て教ǎ–WPP）、基于云的端点检测和响应以及基于云的征采是现代清静运营所增添的新功效 。。。。。。
网络防御中心（CDC）、网络融合中心（CFC）、网络清静运营中心（CSOC）、网络清静事务响应小组（CSIRT）和团结运营中心（JOC）是2015年后为清静运营中心创立的新名称 。。。。。。清静运营之路始于被动防御 ， ，，，，，， ，此后转向自动防御 ， ，，，，，， ，现在接纳自动化手段的自动防御阶段 。。。。。。
很快 ， ，，，，，， ，50%以上的清静运营中心将被迁徙到集成了自动威胁征采和事务响应功效的现代网络防御中心（CDC） 。。。。。。尚未踏上清静运营中心之路的组织可以从MSSP最先 ， ，，，，，， ，然后转向混淆清静运营中心模式 ， ，，，，，， ，最终抵达自己的成熟清静运营中心 。。。。。。现代网络防御中心（CDC）或网络融合中心（CFC）提供以下效劳：
清静事务监测、检测、视察、分流
恶意软件剖析、反向工程、数字取证、内部威胁、网络诓骗
威胁情报平台治理
威胁征采
内容治理
威胁和误差治理
合规
报告和通知
培训
身份和会见治理
清静运营中心的挑战
误报是清静运营中心面临的最大挑战（图2）； ；； ； ；； ；；50%以上的清静运营中心剖析职员的事情被分派用于处置惩罚误报 。。。。。。日志源的整合、开箱即用的用例和未履历证的规则是造成误报的主要缘故原由 。。。。。。缺乏事务的配景和基于阈值的关联规则是清静剖析师面临的挑战 。。。。。。自从整合AI/ML监控解决计划以来 ， ，，，，，， ，基于阈值的关联规则已被转化为ML模子 。。。。。。这种威胁情报的整合解决了缺少配景的问题 。。。。。。
随着时间的推移 ， ，，，，，， ，伶仃的解决计划被添加至清静运营中心监测中 ， ，，，，，， ，清静剖析师不得不在多个控制台之间切换以应对事务 。。。。。。在短时间内对人们举行多种手艺培训是不可能的 。。。。。。纪录和更新清静事务操作手册/运行手册以及维护最新的知识库需要泯灭大宗履历 ， ，，，，，， ，但关于任何清静运营中心都是要害 。。。。。。
多点解决计划增添了清静剖析员的事务数目 。。。。。。重复性使命和警报疲劳是清静剖析员脱离清静运营岗位的主要缘故原由 。。。。。。
默认情形下 ， ，，，，，， ，古板的SIEM解决计划和下一代SIEM解决计划不具备盘算事务的平均检测时间（MTTD）清静均响应时间（MTTR）的功效 。。。。。。需要手动操作才华实现这些类型的盘算和指标 。。。。。。
疫情爆发后的清静运营中心挑战
如图3所示 ， ，，，，，， ，大盛行和远程事情都带来了网络清静挑战 。。。。。。
1.协作——通常情形下 ， ，，，，，， ，清静运营团队会在一个清静的地方群集 ， ，，，，，， ，有专门的系统、监视器和网络 ， ，，，，，， ，可以轻松协作 ， ，，，，，， ，扑面应对高级威胁 。。。。。。自重新冠肺炎大盛行最先 ， ，，，，，， ，协作成为挑战 ， ，，，，，， ，而虚拟协作工具和作战室是现有的最佳解决计划 。。。。。。
2.SecOps工具——剖析师必需通过远程会见应对缓和解威胁 。。。。。。会见专门的SecOps工具是另一个主要挑战 ， ，，，，，， ，由于必需启用多因素身份验证和清静性 。。。。。。
3.系统设计——清静运营中心剖析师通常使用宽屏双显示器和定制硬件事情 。。。。。。在疫情之后 ， ，，，，，， ，清静运营中心剖析师正面临着用条记本电脑实现同样生产力的挑战 。。。。。。
4.清静运营团队的康健——这对任何组织都至关主要 。。。。。。企业向导人必需关注他们的清静运营中心团队的康健 ， ，，，，，， ，以继续对抗目今和未来泛起的威胁 。。。。。。
5.自力的虚拟专用网络（VPNs）——对要害的SOC系统实验替换性VPN会见是需要战胜的最新挑战 ， ，，，，，， ，以便在基础设施被破损的情形下允许向下兼容的机制 。。。。。。
6.新的威胁——双重诓骗勒索软件、使用人工智能手艺的网络垂纶、勒索漫衍式拒绝效劳（DDoS）攻击和特权会见攻击等威胁为SOC团队带来了新的挑战 。。。。。。维护清静通讯渠道和清静运营手艺的自力VPN是需要战胜的最新挑战 。。。。。。
7.清静通讯——通常情形下 ， ，，，，，， ，清静运营中心剖析师举行面扑面的相同 。。。。。。在在家事情的模式下 ， ，，，，，， ，转达工件、证据和屏幕截图已成为挑战 。。。。。。
8.远程SecOps——清静运营中心是物理站点 ， ，，，，，， ，不可完全用虚拟情形取代 。。。。。。
构建有用清静运营中心的战略
在职员、流程和先进的下一代手艺的资助下 ， ，，，，，， ，组织可以使用最少的资源和时间从清静运营中心中获益（图4） 。。。。。。构建一个有用的清静运营中心需要相识组织的需求以及其局限性 。。。。。。一旦相识了组织的需求和局限性 ， ，，，，，， ，以下的最佳实践将资助组织在预算规模内使用准确的工具和手艺构建有用的清静运营中心 。。。。。。
一致地执行治理赞助
首席信息清静官（CISO）或首席信息官（CIO）应审定清静运营中心的规模 ， ，，，，，， ，并一连监控项目的实验进度 。。。。。。执行治理层必需对预算举行审查并做出决议 ， ，，，，，， ，包括选择合适的工具和手艺以及提供的清静运营中心折务 。。。。。。CISO/CIO和清静运营中心架构团队必需凭证本钱、内部和外部手艺资源的可用性以及羁系和合规要求 ， ，，，，，， ，决议是否实验内部治理的清静运营中心、MSSP或混淆清静运营中心（图1） 。。。。。。
选择合适的人
建设有用的清静运营中心包括多个阶段：妄想、设计、建设、运营、丈量和优化 。。。。。。每个阶段都需要一套差别的能力和手艺 ， ，，，，，， ，包括差别评估、清静运营中心设计、基础设施设计、设施治理、电气工程、网络工程、SIEM工程、事务响应事情流程、误差治理、事务关联和数据剖析、操作手册开发和自动化、手艺集成、清静危害治理、恶意软件剖析、入侵检测和响应、身份和会见剖析、清静剖析、威胁情报、威胁征采和取证 。。。。。。
建设SOC组织结构、指导委员会和治理团队
这通常是实验SOC项目的第一步 。。。。。。指导委员会审查项目实验的希望情形 ， ，，，，，， ，并向执行治理层提供最新信息 。。。。。。指导委员会应该有来自IT、清静工程、事务响应、危害治理、数据隐私、各营业部分和人力资源的向导 。。。。。。治理团队和指导委员会必需决议并纪录SOC所提供的效劳 ， ，，，，，， ，以及从清静危害角度对组织的利益 。。。。。。
职员、流程和手艺的整合
必需对清静运营中心组件举行评估 ， ，，，，，， ，以刷新清静运营中心的效劳和成熟度（图4） 。。。。。。现在有种种清静运营中心成熟度评估模子 ， ，，，，，， ，包括CREST和SOC-CMM ， ，，，，，， ，可以凭证组织的需求选择最佳计划 。。。。。。清静运营中心组件评估的目的是相识SOC是怎样治理威胁和危害的 ， ，，，，，， ，以及清静运营中心战略是怎样与营业战略坚持一致的 。。。。。。评估中发明的差别应被用于提高SOC组件的有用性和成熟度 。。。。。。
清静协调自动化和响应（SOAR）解决计划2017年后进入了清静运营中心领域 ， ，，，，，， ，解决了此前的诸多挑战 。。。。。。多点解决计划与威胁情报、重复性使命的端到端自动化、事务响应、操作手册/运营手册的动态更新、配景信息富厚化、MTTD、MTTR盘算和事务优先化的协调编排 ， ，，，，，， ，使清静剖析变得越发容易 。。。。。。
误差攻击模拟和网络清静靶� 。。。。。。ㄍ�4）是现代清静运营中心的新能力 。。。。。。网络清静靶场资助清静运营中心培训清静剖析师 ， ，，，，，， ，通过模拟网络清静演习来对抗重大的威胁 。。。。。。破损性攻击模拟（BAS）手艺资助清静剖析员和其向导相识在不滋扰生产基础设施的情形下针对最新威胁所实验的清静管控步伐的有用性 。。。。。。BAS还可以资助首席信息清静官（CISO）优化和论证种种清静管控步伐的清静投资 。。。。。。
用例开发和剖析取决于相关数据的网络网络
来自种种日志源的事务日志、来自网络装备的网络流量和来自深度数据包检测解决计划的网络数据包 ， ，，，，，， ，并对其举行汇总、重复数据删除和剖析 ， ，，，，，， ，以举行清静监测 。。。。。。在实验之前 ， ，，，，，， ，工程团队应该从清静运营中心指导委员会那里获得以下问题的谜底 ， ，，，，，， ，以镌汰误报 。。。。。。
哪些装备和手艺需要被监控？？？？？？？
必需天生和网络哪些日志事务
应该提出哪些清静警报？？？？？？？
凭证清静运营中心的目的以及合规性和羁系要求 ， ，，，，，， ，应怎样、在那里以及以何种频率从种种日志源网络日志？？？？？？？
误报是所有清静运营中心的主要挑战（图2） ， ，，，，，， ，它们可以通过网络相关可操作数据和富厚基于相关可操作威胁情报的配景信息来阻止 。。。。。。在为清静运营中心开发用例之前 ， ，，，，，， ，必需实验用例开发框架 。。。。。。关于确定用于清静监测的所有用例 ， ，，，，，， ，以下内容必需纪录为用例开发的一部分（图5） 。。。。。。
用例的目的、目的和工具
该用例将解决的威胁
利益相关者及其在用例和事务响应事情流程中的角色和责任
要关联的数据源
检测威胁的相关规则/数据模子的逻辑和语法
语法和逻辑的验证/测试
基于危害和影响的警报的优先级
响应步伐/缓解步伐/作为事务响应的一部分应遵照的办法
清静运营从被动到自动的路径这是处置惩罚快速转变的威胁面的要害：凭证预先确定的目的 ， ，，，，，， ，自动剖析应用程序、基础设施和网络威胁 ， ，，，，，， ，并制订对策 ， ，，，，，， ，以避免攻击和减轻损害 。。。。。。误差准备评估可以资助识别清静架构中的盲点并安排清静管控步伐 。。。。。。浚浚浚浚浚�？赡艿墓セ髡咛卣鳌⒆羁赡艿墓セ髟靥搴凸セ髡咦钕胍淖什鞘侗鹜驳囊� 。。。。。。网络威胁情报是清静运营的要害推动因素 ， ，，，，，， ，为整个组织的决媾和行动提供须要的配景 。。。。。。结构优异的网络威胁情报为利益相关者效劳 。。。。。。网络威胁情报与现有流程和基础设施的集成有助于更深入地相识组织网络之外爆发的情形 ， ，，，，，， ，给组织基础设施带来最大危害的网络威胁从而可以清晰可见 。。。。。。
威胁狩猎是作为高级的清静剖析历程 ， ，，，，，， ，它使用对网络或组织的深入相识来捕获更隐藏、更深入的攻击者 。。。。。。威胁狩猎为防御者提供工具 ， ，，，，，， ，通过起劲寻找异常和可疑行为来缩小差别 。。。。。。防御者可以在威胁反响泛起之前识别TTP的转变 。。。。。。威胁情报和威胁征采功效的保存是为了增强组织中的其他团队 。。。。。。因此 ， ，，，，，， ，威胁情报和狩猎团队必需纳入相识焦点营业、运营事情流程、网络基础设施、危害状态和供应链以及手艺基础设施和软件的职员 。。。。。。
对端点的自动监测是至关主要的 ， ，，，，，， ，由于端点是大大都入侵行动的最先和竣事之地 。。。。。。若是按期使用端点检测和响应（EDR）功效来捕获未经由滤的数据并举行一连监测 ， ，，，，，， ，则是很是有用的 。。。。。。
XDR：SOC下一步？？？？？？？
拓展检测和响应（XDR）以及IT、OT、ICS的集成可能是清静运营中心演化的下一个偏向 。。。。。。XDR是从现在的被动威胁检测和响应解决计划演变而来 ， ，，，，，， ，集成了清静手艺信号 ， ，，，，，， ，以跨身份、端点、云和网络提取威胁事务 。。。。。。XDR的功效包括身份剖析、网络剖析、综合威胁情报、基于AI/ML的检测 ， ，，，，，， ，以及自动和协调的视察响应 。。。。。。
XDR将改变清静运营中心的运作方法 ， ，，，，，， ，在以下方面为清静剖析师提供支持：
完成自动化和编排的视察 ， ，，，，，， ，以镌汰检测和分流的时间 。。。。。。
展现泉源剖析 ， ，，，，，， ，并通过跨外貌的关联获得特殊的态势感知 。。。。。。
追踪多个系统组件的威胁 。。。。。。
提高检测和响应速率 。。。。。。
消除整合和维护日志源所需的事情 。。。。。。
通过基于云的大数据湖增添可扩展的存储和盘算 。。。。。。
提高清静运营中心的生产力 。。。。。。
制造业已经加速了数字化转型 ， ，，，，，， ，以实现其流程的自动化并在市场上具有竞争力 。。。。。。OT被用于治理诸如在制造业中发明的那些工业操作 。。。。。。这延伸笼罩至ICSs和ICS治理框架以及监视控制和数据收罗系统（SCADA） 。。。。。。
OT和ICS网络依赖数字系统来举行一样平常运作 。。。。。。OT/ICS的毗连增添 ， ，，，，，， ，将导致针对OT/ICS网络的网络清静威胁增添 。。。。。。通过将OT与IT融合 ， ，，，，，， ，制造企业以前使用的伶仃的受保� ；； ； ；； ；；は低诚衷谝裁媪僮磐ǔＵ攵訧T系统的同样类型的清静威胁 。。。。。。针对OT/ICS网络最常见的网络攻击是协议误差攻击、数据走漏、远程会见木马、勒索软件、僵尸攻击和漫衍式拒绝效劳（DDoS）攻击 。。。。。。
要治理针对IT/OT系统和网络的重大网络威胁 ， ，，，，，， ，很是需要IT和OT清静运营中心的整合 。。。。。。拥有OT和ICS作为其基础设施一部分的组织将能够实现对OT系统的清静监测 。。。。。。OTSOC可以与ITSOC融合 。。。。。。IT、SecOps和OT团队之间的协作关于IT/OTSOC的乐成整合至关主要 。。。。。。在团队之间建设相同和信托关于创立牢靠的相助同伴关系很是要害 。。。。。。IT/OT清静运营中心的整合将通过以下方法保� ；； ； ；； ；；T系统：
一连发明资产和行为剖析（装备类型、网络行为、运动监测） 。。。。。。
误差生命周期治理和设置合规性
对OT/ICS/SCADA系统举行一连监测 ， ，，，，，， ，以发明网络威胁并作出反应
应对会见异常情形
深度数据包检查
针对OT/ICS的威胁情报
总结
虽然网络清静专业职员面临的威胁一直演变和扩散 ， ，，，，，， ，但必需跟踪新泛起的威胁并调解新的意识形态来应对这些威胁 ， ，，，，，， ，包括生长清静运营中心 。。。。。。这包括大盛行病的影响和必需接纳的手艺来战胜它 ， ，，，，，， ，这样心理上的病毒就不会耗尽清静运营中心的人际互动 。。。。。。随着网络犯法分子和民族国家资助的攻击者提倡越来越重大的攻击 ， ，，，，，， ，以窃取敏感数据和破损营业 ， ，，，，，， ，清静运营中心是专门的前线团队 ， ，，，，，， ，坚持24/7/365的频率事情 ， ，，，，，， ，以阻止这些威胁 。。。。。。
在当今的数字化经济中 ， ，，，，，， ，清静运营中心对所有类型和规模的组织都至关主要 ， ，，，，，， ，由于一个组织的许多营业和敏感数据都在网上和云中 。。。。。。为了攻击网络犯法分子 ， ，，，，，， ，需要接纳现代的清静运营中心运营方法 ， ，，，，，， ，要害的最佳实践如下：
建设清静运营中心治理、权衡标准和报告机制 。。。。。。
通过制订人才战略、使用相关手艺和创立好奇心文化 ， ，，，，，， ，投资于建设拥有合适人才的清静运营中心 。。。。。。
安排AI/ML系统和周全的威胁情报 ， ，，，，，， ，以自动执行高度重复和枯燥的使命 。。。。。。
相识硬件/软件/网络/IOT/OT资产 ， ，，，，，， ，并凭证优先级一连缓解误差和设置过失 。。。。。。
确保整个组织网络的一连可见性 。。。。。。
通过威胁征采、误差攻击模拟 ， ，，，，，， ，建设自动的事务检测和调解步伐 。。。。。。
坚持使用网络靶场和模拟解决计划对清静运营中心剖析员举行现实知识培训 。。。。。。
使用网络清静评估和清静运营中心成熟度评估 ， ，，，，，， ，一直测试和更新清静运营中心检测/预防战略 。。。。。。
与IT部分和营业部分相助 ， ，，，，，， ，使清静运营中心战略与营业战略坚持一致 。。。。。。
一直地调解和修改网络清静防御步伐 。。。。。。（本文译自www.isaca.org/）
连忙拨打
京公网安备11000002002064号