搜索

[16798] 2021-05-17_现代安全运营十问

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2021-05-17_现代安全运营十问 现 代 安 全 运 营 十 问 三 分 浅 土   F r e e B u f   2 0 2 1 - 0 5 - 1 7 安 全 运 营 中 心 （ S O C ） 是 一 种 自 动 化 的 高 效 平 台 ， 已 被 众 多 企 业 所 采 纳 作 为 其 安 全 运 营 的 得 力 助 手 。 但 是 ， 在 S O C 平 台 的 运 营 过 程 中 ， 却 难 免 会 遇 见 一 些 难 题 。 前 几 日 ， I S A C A 网 络 研 讨 会 成 功 举 行 ， 会 议 的 重 点 即 安 全 运 营 中 心 的 治 理 。 本 文 将 会 议 整 理 为 问 答 形 式 ， 帮 助 企 业 获 得 S O C 运 营 的 提 示 以 及 了 解 S O C 平 台 的 趋 势 。 Q ： 既 然 ： 既 然 S O C 首 先 是 一 个 团 队 ， 那 么 传 统 首 先 是 一 个 团 队 ， 那 么 传 统 S O C 与 现 代 与 现 代 S O C 的 区 别 在 于 哪 些 功 能 ？ 的 区 别 在 于 哪 些 功 能 ？ A ： 区 别 的 功 能 包 括 ： 威 胁 狩 猎 、 威 胁 情 报 、 数 据 分 析 以 及 一 些 别 的 功 能 。 这 些 在 传 统 的 S O C 中 都 不 太 常 见 。 Q ： 能 否 实 现 基 于 ： 能 否 实 现 基 于 A I / A L 的 完 全 自 动 化 ， 实 现 的 完 全 自 动 化 ， 实 现 “ 观 察 观 察 — 调 整 调 整 — 决 策 决 策 — 行 动 行 动 ” 的 的 O O D A 循 环 ？ 使 循 环 ？ 使 S O C 可 以 实 现 可 以 实 现 完 全 自 动 化 的 上 机 日 志 源 、 威 胁 检 测 规 则 的 创 建 、 完 全 自 动 化 的 上 机 日 志 源 、 威 胁 检 测 规 则 的 创 建 、 P l a y B o o k 的 创 建 、 响 应 、 自 动 集 成 和 执 行 。 的 创 建 、 响 应 、 自 动 集 成 和 执 行 。 A ： 以 目 前 的 现 状 来 看 ， 短 时 间 内 ， 大 多 数 S O C 无 法 实 现 完 全 自 动 化 。 最 麻 烦 的 部 分 是 在 自 动 响 应 和 其 他 行 为 的 行 为 链 末 端 。 此 外 ， 还 有 一 些 有 高 度 不 确 定 性 的 状 况 仍 然 需 要 人 工 手 动 处 理 。 最 后 ， 一 些 棘 手 的 遥 测 源 的 上 线 ， 有 时 也 需 要 人 工 迭 代 和 调 整 配 置 。 如 今 ， 自 动 化 在 检 测 自 动 化 在 检 测 （ 创 建 警 报 ） 和 分 流 （ 充 实 和 确 认 警 报 ） 等 领 域 已 经 变 得 十 分 普 遍 ， 但 在 补 救 和 数 据 上 机 方 面 却 不 尽 如 人 意 。 我 不 指 望 这 方 面 在 短 时 间 内 会 有 什 么 大 规 模 的 变 化 ， 但 随 着 企 业 采 用 更 多 的 公 共 云 ， 这 些 领 域 的 自 动 化 自 然 也 会 随 之 增 长 。 Q ： ： S I E M 和 和 S O C 之 间 的 区 别 是 什 么 ？ 之 间 的 区 别 是 什 么 ？ A ： S I E M 是 一 种 特 殊 的 安 全 工 具 ， 而 S O C 则 是 一 个 团 队 以 及 他 们 使 用 的 相 关 流 程 和 工 具 （ 目 前 大 部 分 S O C 中 包 含 了 S I E M ） 。 这 就 是 为 什 么 当 我 听 到   S O C - a s - a - s e r v i c e （ 安 全 运 营 即 服 务 ） 时 ， 总 是 感 到 有 点 奇 怪 。 我 个 人 更 喜 欢 M D R 这 个 词 。 Q ： 如 果 我 们 不 能 把 顶 级 攻 击 者 赶 出 我 们 的 网 络 ， 那 公 司 该 如 何 应 对 这 种 风 险 ？ ： 如 果 我 们 不 能 把 顶 级 攻 击 者 赶 出 我 们 的 网 络 ， 那 公 司 该 如 何 应 对 这 种 风 险 ？ A ： 在 这 里 ， 我 很 难 给 出 规 范 性 的 建 议 ， 因 为 这 是 一 个 艰 巨 的 挑 战 ， 并 且 属 于 “ 随 机 应 变 ” 的 领 域 。 遇 到 这 种 情 况 ， 大 多 数 组 织 会 寻 求 帮 助 ， 来 邀 请 第 三 方 事 件 响 应 团 队 来 协 助 他 们 调 查 ， 最 终 将 攻 击 者 赶 出 去 。 虽 然 听 上 去 有 些 悲 观 ， 但 是 完 全 有 可 能 遇 到 比 自 己 的 团 队 更 强 的 攻 击 者 （ 即 便 你 的 团 队 已 经 很 优 秀 ） 。 在 这 种 情 况 下 ， 企 业 不 得 不 寻 求 帮 助 。 尽 管 这 会 产 生 成 本 ， 但 却 是 无 法 避 免 的 。 Q ： 你 认 为 需 要 采 取 基 于 风 险 的 方 法 来 设 计 和 管 理 现 代 ： 你 认 为 需 要 采 取 基 于 风 险 的 方 法 来 设 计 和 管 理 现 代 S O C 吗 ？ 吗 ？ A ： 在 你 的 问 题 里 ， " 基 于 风 险   " 的 意 思 较 为 模 糊 。 目 前 ， 大 多 数 正 在 运 行 的 S O C 并 不 是 完 全 基 于 合 规 条 例 中 的 固 定 检 查 表 而 建 立 的 。 在 这 种 情 况 下 ， 我 遇 到 的 大 多 数 S O C 至 少 在 某 种 程 度 上 是 基 于 风 险 的 。 Q ： 怎 样 才 能 成 为 一 个 优 秀 的 ： 怎 样 才 能 成 为 一 个 优 秀 的 S O C ？ ？ A ： 这 很 难 用 几 句 话 来 概 括 。 不 过 ， 我 认 为 一 个 糟 糕 的 S O C 是 因 为 过 度 关 注 技 术 以 及 过 度 苛 求 流 程 ， 而 一 个 优 秀 的 S O C 则 是 把 运 营 的 人 放 在 首 位 ， 然 后 才 是 流 程 以 及 技 术 。 Q ： 你 对 ： 你 对 S O C 中 使 用 的 中 使 用 的 A I 工 具 有 什 么 看 法 ？ 工 具 有 什 么 看 法 ？
A ： 从 我 还 是 一 个 分 析 师 的 时 候 我 就 开 始 思 考 这 个 问 题 ， 到 现 在 已 经 持 续 了 很 多 年 。 随 着 时 间 的 推 移 ， 我 也 有 了 自 己 的 立 场 ： 唯 一 的 办 法 是 在 短 期 内 对 A I 用 于 安 全 领 域 持 怀 疑 态 度 ， 但 站 在 长 远 角 度 则 持 乐 观 态 度 。 虽 然 有 很 多 供 应 商 疯 狂 地 夸 大 其 词 ， 称 他 们 的 M L / A I 工 具 如 何 帮 助 安 全 分 析 师 顺 利 解 决 问 题 。 然 而 ， 正 如 人 工 智 能 在 其 他 领 域 逐 步 发 展 去 帮 助 人 类 一 样 ， 网 络 安 全 领 域 中 的 A I 也 需 要 发 展 。 今 天 ， 你 在 S O C 中 最 有 可 能 遇 到 的 基 于 机 器 学 习 的 工 具 是 某 种 形 式 的 异 常 检 测 ， 如 U E B A 工 具 或 N D R 。 虽 然 这 些 工 具 是 有 效 的 ， 它 们 产 生 的 警 报 往 往 是 有 用 的 （ 就 像 常 规 的 基 于 规 则 的 警 报 ） 。 然 而 ， 我 非 常 清 楚 ， 今 天 的 S O C 中 还 没 有 " c y b e r   A I   " 的 魔 力 。 Q ： 你 对 威 胁 狩 猎 人 员 的 技 能 要 求 是 什 么 ？ ： 你 对 威 胁 狩 猎 人 员 的 技 能 要 求 是 什 么 ？ A ： 这 个 问 题 很 难 回 答 ， 我 在 做 分 析 师 的 时 候 也 曾 试 图 回 答 这 个 问 题 。 鉴 于 伟 大 的 狩 猎 最 终 是 一 门 艺 术 ， 但 上 述 艺 术 家 也 需 要 成 为 顶 级 的 技 术 专 家 ， 因 此 想 要 定 义 这 个 技 能 组 合 是 非 常 困 难 的 。 不 过 可 以 肯 定 的 是 ， 威 胁 知 识 、 深 厚 的 I T 技 术 知 识 和 创 造 性 思 维 都 必 不 可 少 。 Q ： 一 个 小 公 司 ： 一 个 小 公 司 / 创 业 公 司 如 何 权 衡 人 才 与 工 具 和 成 本 ？ 创 业 公 司 如 何 权 衡 人 才 与 工 具 和 成 本 ？ A ： 这 是 我 在 做 分 析 师 的 时 候 处 理 的 另 一 问 题 。 众 所 周 知 ， 小 公 司 将 使 用 更 多 的 第 三 方 服 务 ， 即 外 包 服 务 。 有 些 企 业 根 本 就 没 有 S O C ， 而 是 靠 M S S P 或 M D R 供 应 商 。 也 有 一 些 用 的 是 混 合 模 式 。 当 然 ， 这 也 有 其 隐 患 和 好 处 。 一 个 关 键 的 隐 患 就 是 ： 不 能 认 为 你 给 别 人 钱 ， 他 们 就 能 把 你 的 安 全 做 好 。 Q ： ： S O C 即 服 务 和 内 部 即 服 务 和 内 部 S O C 的 情 况 如 何 ？ 您 的 建 议 是 否 适 用 于 这 两 种 情 况 ？ 的 情 况 如 何 ？ 您 的 建 议 是 否 适 用 于 这 两 种 情 况 ？ A ： 如 果 你 所 说 的 S O C 即 服 务 是 指 利 用 M S S P 或 M D R 供 应 商 ， 那 么 网 络 研 讨 会 上 的 一 些 建 议 是 适 用 的 。 M S S P 供 应 商 可 能 遵 循 更 传 统 的 S O C 方 法 ， 也 可 能 使 用 这 里 讨 论 的 现 代 S O C 要 素 。 不 过 ， 我 遇 到 的 许 多 M D R 提 供 商 都 采 用 现 代 S O C 方 法 。 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理