中國安全運(yùn)營最佳實踐

中國的安全和風(fēng)險管理（SRM）領(lǐng)導(dǎo)者常常感到他們的安全運(yùn)營方法不再發(fā)揮效果。這是因為多數(shù)安全運(yùn)營中心（SOC）是根據(jù)以往的IT環(huán)境和威脅環(huán)境設(shè)計的，因此無法有效地檢測和應(yīng)對當(dāng)前以及未來的攻擊。

中國獨(dú)特的監(jiān)管要求和安全市場，為安全運(yùn)營設(shè)定了具體的限制。中國的SRM領(lǐng)導(dǎo)者要取得成功，不能簡單地照搬國外安全實踐，而要綜合考慮本土情況。在中國，業(yè)務(wù)部門和云服務(wù)提供商在安全運(yùn)營中也發(fā)揮著關(guān)鍵作用。因此，安全運(yùn)營需要轉(zhuǎn)變?yōu)楦踊ヂ?lián)和靈活的運(yùn)營模式，而非無休止地擴(kuò)展SOC地規(guī)模和范圍。

構(gòu)建并平衡企業(yè)的SOC模式

中國政府針對安全運(yùn)營發(fā)布了一系列的法律、方針和標(biāo)準(zhǔn)，SOC可幫助企業(yè)機(jī)構(gòu)檢測并防御來自內(nèi)外部的威脅。在規(guī)劃建立SOC或優(yōu)化現(xiàn)有SOC時，中國的SRM領(lǐng)導(dǎo)者應(yīng)考慮需求和業(yè)務(wù)價值、技術(shù)采用范圍和SOC模式，以確定SOC的目標(biāo)。

24/7全天候的內(nèi)部SOC團(tuán)隊通常需要至少12人，分別負(fù)責(zé)監(jiān)控和檢測、事件響應(yīng)和追蹤、威脅情報和檢測，以及自動化工程（SOC職責(zé)實例見圖1）。一些企業(yè)機(jī)構(gòu)對安全運(yùn)營有很大需求，但由于安全專業(yè)人員短缺、預(yù)算緊張、以及24/7全天候安全運(yùn)營的高昂成本等原因，無法負(fù)擔(dān)完整的內(nèi)部SOC團(tuán)隊。另一些企業(yè)機(jī)構(gòu)雖然意識到自身安全運(yùn)營不成熟，但由于數(shù)據(jù)的敏感性或監(jiān)管限制，無法將功能全部外包。

圖1：安全運(yùn)營中心職責(zé)示例

混合SOC是解決上述問題的良策，可通過結(jié)合內(nèi)外部資源來提供完整的SOC功能。

與業(yè)務(wù)和CPO合作，確保安全運(yùn)營適應(yīng)互聯(lián)互通的IT新環(huán)境

數(shù)字化時代下的中?化安全管理與去中?化決策

數(shù)字化和云擴(kuò)大了內(nèi)外部網(wǎng)絡(luò)資產(chǎn)的邊界和攻擊面，安全運(yùn)營的范圍和復(fù)雜性也隨之?dāng)U大和提高。傳統(tǒng)SOC，無論內(nèi)部、外包或混合式，都不應(yīng)局限于單純的IT相關(guān)職責(zé)，而應(yīng)涵蓋所有用于支持?jǐn)?shù)字化及云端部署的網(wǎng)絡(luò)資產(chǎn)。高效的SOC應(yīng)整合安全資源和能力，同時對職責(zé)進(jìn)行劃分，推動業(yè)務(wù)部門的決策。這就需要制定復(fù)雜的團(tuán)隊合作，對角色和責(zé)任進(jìn)行細(xì)致的理解和界定（見圖2）。

圖2：數(shù)字時代安全運(yùn)營的互聯(lián)方法

云安全運(yùn)營模型

在進(jìn)行云遷移時，SRM領(lǐng)導(dǎo)者應(yīng)充分了解安全運(yùn)營職責(zé)，并與云提供商明確職責(zé)劃分。在內(nèi)部責(zé)任方面，SRM領(lǐng)導(dǎo)者應(yīng)根據(jù)企業(yè)機(jī)構(gòu)面臨的云計算的獨(dú)特挑戰(zhàn)，選擇一種安全運(yùn)營方法，以應(yīng)對這些挑戰(zhàn)。SRM領(lǐng)導(dǎo)者需要確定，云安全運(yùn)營是要嵌入到常規(guī)云運(yùn)營中，還是嵌入常規(guī)安全團(tuán)隊中，或自成一個獨(dú)立的職能團(tuán)隊。

利用云原生工具和攻擊面管理來發(fā)展SOC能力

云原生安全工具的集成

安全運(yùn)營須緊跟變革的步伐，利用軟件即服務(wù)（SaaS）和云基礎(chǔ)設(shè)施和平臺服務(wù)，適應(yīng)云轉(zhuǎn)型帶來的擴(kuò)張和增長。多數(shù)云安全問題是由分散在云中各種服務(wù)和技術(shù)的錯誤配置造成的。由于云資源具有彈性、使用期短和可編程的特點(diǎn)，因此云安全運(yùn)營需高度依賴腳本和自動化。

SRM領(lǐng)導(dǎo)者的優(yōu)先事項之一就是要選擇云安全功能，解決云部署中的可見性、錯誤配置和特權(quán)活動問題。

成熟的SOC需要利用攻擊面管理發(fā)現(xiàn)問題并確定問題的優(yōu)先級

對于大多數(shù)企業(yè)機(jī)構(gòu)來說，中國的數(shù)字化轉(zhuǎn)型使其網(wǎng)絡(luò)資產(chǎn)的數(shù)量和復(fù)雜性陡增。在中國每年進(jìn)行的國家級攻防演練中，我們注意到，識別和分類資產(chǎn)以及去除不必要的資產(chǎn)以減少攻擊面是重中之重。安全團(tuán)隊可利?新興的攻擊?管理技術(shù)，從內(nèi)部管理的?度和外部攻擊者的?度，克服資產(chǎn)可?性和漏洞管理等?期問題。

在真實場景中測試并強(qiáng)化SOC的有效性

表1展示了測試SOC有效性的三種典型方法，旨在發(fā)現(xiàn)差距并為擴(kuò)展提供依據(jù)。

這三種測試方法各有長處。SRM領(lǐng)導(dǎo)者應(yīng)選擇適合自身情況和需求的測試方法。自2016年以來，中國的企業(yè)機(jī)構(gòu)對于攻防演練越來越重視，并希望將其納入日常安全運(yùn)營中。