安全性不仅仅是工具和流程。它也是开发和运营安全系统的人。创建安全专业人员可以使用当前技术有效和有效地工作的系统是保持数据和网络安全的关键。许多企业组织了解这一需求，并试图通过创建自己的安全运营中心（SOC）来满足它。

SoC可以显着提高组织的安全性，但它们并不完美的解决方案，可以具有挑战性。缺乏熟练的员工而且没有有效的编排和自动化根据A的说法是最大的障碍最近的SANS调查。尽管有这些障碍，更多的组织正在寻求遵循企业的脚步并构建SoC。请继续阅读，以确切地学习安全运营中心，以及如何创建有效的操作。

什么是安全运营中心（SoC）？

安全运营中心，或SOC，由一组负责监控系统、识别安全问题和事件并对事件作出响应的人员组成。他们通常还负责评估和执行安全策略。SOC团队通常负责覆盖整个组织，而不仅仅是单个部门。虽然它大多被大型组织所接受，但soc对于任何规模的企业都很有用，因为所有组织都容易受到网络攻击。必威官网多少

SOC团队成员通常包括：

  • SOC管理者-领导团队运作，帮助确定预算和议程。他们还担任团队代表，与其他经理和高管互动。
  • 安全分析师- 从报告和审核中删除和解释数据。他们进行风险评估，并使用威胁情报来产生可行的见解。
  • 法医调查员- 分析事件数据以获取证据和行为信息。他们可以与法律执法员额合作。
  • 事件响应者-Creates并遵循事故响应计划（IRP）。他们还进行初步调查和威胁评估。
  • 合规审计- 核查过程遵守法规。他们还可以处理合规报告。

soc必须能够根据组织的需要进行定制。为了满足这些不同的需求，有几种类型的soc，包括:

  • 内部的- 内部安全专业人士的分子
  • 共同管理- 内部和第三方专业人员组合的复制
  • 管理- 将第三方专业人员远程工作
  • 命令-管理和协调较小的soc;适用于大型企业

如何建立有效的SoC

构建一个有效的SoC需要了解组织的需求，以及其限制。一旦了解这些需求和限制，您可以开始应用以下最佳实践。

1.仔细选择您的团队

SoC的有效性依赖您选择的团队成员。他们负责保证您的系统安全和确定所需的资源。选择时，您需要包含涵盖一系列的成员技能和专业知识。

团队成员必须能够：

  • 监控系统和管理警报
  • 管理和解决事故
  • 分析事件并提出行动
  • 狩猎和检测威胁

为完成这些任务，团队成员还必须具有各种技能，既软又柔软。其中最重要的包括入侵检测，逆向工程恶意软件处理和识别，以及危机管理。

不要错误地在构建您的团队时评估技术技能。在高压力情况下，团队成员必须密切合作。因此，选择能够有效合作和沟通的成员非常重要。

2.增加可见性

可见性是成功保护系统的关键。为了保护数据和系统，您的SOC团队需要了解数据和系统的位置。他们需要知道数据和系统的优先级，以及应该允许谁访问。

适当地对资产进行优先排序，可以使SOC有效地分配有限的时间和资源。有了清晰的可见性，您的SOC可以轻松地发现攻击者，并限制攻击者可以隐藏的地方。为了达到最大的效率，您的SOC必须能够监视您的网络并24/7执行漏洞扫描。

3.明智地选择工具

无效或不足的工具可以严重阻碍SoC的有效性。为避免这种情况，请仔细选择工具以匹配您的系统需求和基础架构。您的环境越复杂，具有集中工具的更重要。您的团队不得逐一零碎的信息进行分析或使用不同的工具来管理每个设备。

SOC使用的工具越离散，信息就越有可能被忽略或忽略。如果安全成员需要访问多个仪表板或从多个来源拉取日志，则很难对信息进行排序和关联。

在选择工具时，确保在选择之前对每个工具进行评估和研究。安全产品可能非常昂贵，而且很难配置。把时间和金钱花在与你的系统集成不好的产品或服务上是没有意义的。

在决定哪个工具融合时，您需要考虑端点保护、防火墙、自动化应用程序安全和监控解决方案。许多soc利用系统信息和事件管理（SIEM）解决方案。这些工具可以提供日志管理并提高安全性可见性。Siem也有助于与事件之间的数据相关，并自动化警报。

4.制定强大的事件响应计划（IRP）

IRP是一个计划，概述了一种检测和响应安全事件的标准化方式。它应该包含系统知识，如数据优先级，以及现有的安全策略和进程。精心制作的IRP启用更快的检测和解决事件。有许多模板和指南可用于帮助您创建事件响应计划。使用这些资源可以确保您的计划中没有错过任何方面。它还可以加快创建过程。

建立计划后，只需等到事件发生，就不足以等待。您的SoC应确保使用事件钻探使用计划。当真正的事件出现时，这样做可以提高他们的反应信心。它还可以在计划中揭示任何缺陷，不一致或低效率。SoC团队有责任确保您的IRP保持最新，因为系统，员工和安全流程发生变化。

5.考虑添加托管服务提供商（MSP）

许多组织使用托管服务提供商（MSP）作为他们SOC战略的一部分。托管服务可以提供您的团队所缺乏的专业知识。这些服务还可以确保您的系统被持续监控，并确保所有事件都能立即响应。除非你有多个班次覆盖你的SOC，否则持续覆盖是你不可能独自完成的事情。

管理SOC服务的最常见使用是用于渗透测试或威胁研究。这些是耗时的任务，可以采取重要的专业知识和昂贵的工具。您的SoC可以从第三方团队中获益，而不是投入有限的时间和预算来涵盖这些任务，而是可以从外包或合作中受益。

用SoC保护组织

创建安全运营中心可能是令人生畏的。毕竟，它意味着在系统安全方面是第一个和最后一步。尽管如此，您可以创建一个有效的SoC团队，满足您组织的独特需求。这需要时间，努力和仔细的评估，但奖励是一个自信的安全网络。

首先使用这里概述的最佳实践，并特别注意团队选择。您选择的成员不仅决定了要实施的SOC进程和工具，但最终是您计划的整体效益。