过去两年，说服企业领导者认真对待网络安全变得容易多了。从SolarWinds黑客攻击，到疫情促使在家办公蔚然成风带来普遍问题，越来越多的企业组织开始面临更多的安全挑战，企业高管也开始越来越关注企业网络的安全性。
精心设计、精心维护且人员配备齐全的安全运营中心已经成为现代企业组织必须依靠的安全防线，它是一个进行集中安全运维的地方，安全团队通常全天候不间断地监控、检测、分析和响应网络安全事件。企业组织要确保网络安全，不妨认真审视一下自己的安全运营中心。
以下梳理了现代企业安全运营中心必须具备的10种基础性能力：
1. 数据采集
所有数据都与安全相关。数据是现代安全运营中心的生命线，分析和算法离不开数据。因此安全运营中心应具备从任何来源（结构化或非结构化数据）大规模摄取数据的能力，同时，还需要能够管理这些数据，以便为机器或人员所用。
2. 威胁检测
一旦安全威胁因素进入公司业务系统，安全运营中心能够检测该事件至关重要。在这种情况下，检测侧重于安全事件，而传统解决方案侧重于文件或网络流量。安全运营中心需要能够结合多种技术，比如关联规则、机器学习和数据分析，以便实现更好的安全事件检测能力。
3. 风险预警
假设安全团队在发现安全事件前30分钟收到警报，很多损失将可以被有效避免。预测安全事件的能力可以让安全运营中心主动将事件上报给人员，或通过预定义的流程简化响应。新兴的预测技术有望为分析师提供早期预警，并在未知事件成为更大的风险之前识别它们。
4. 自动化运营
在安全运营中心的发展过程中，自动化不再可有可无，而是一种不可或缺的工具。自动化是帮助安全分析师的新技术之一。通过自动化功能，过去需要30分钟完成的流程现在可以在短短40秒内完成，这使安全运营中心可以处理更多事件。
5. 能力编排
企业在构建安全运营中心时，很可能购买了数十种产品来加强运营。这些工具都有其特定的用途，并添加到防御体系中，但它们往往无法及时更新，以跟上不断演变的威胁。安全运营中心用来追踪威胁的产品需要紧跟基于API的网络环境，此时，编排就有了用武之地，编排便于插入和连接安全运营中心内外的每个组件。
通过编排，安全人员再也不需要为每个产品打开新的浏览器选项卡，或使用不同的单点解决方案来登录，而且无需从不同的解决方案复制和粘贴。编排所有产品的能力可以消除开销、减少了挫折感，并帮助安全分析师将精力集中在重要任务上。
6.知识库积累
并不是所有的威胁事件，都可以通过技术手段来发现和解决。因此，运营平台需要告诉分析师下一步该做什么，现代安全运营中心通过知识库积累就能做到这一点，这表现为建议具体的行动或战略手册。这有两大好处：教新的分析师在遇到类似威胁时该怎么做，并让有经验的分析师进行完整性检查，或提醒该做什么。
7. 事件调查
预计大部分的一级（tier-1）分析工作将在不久的将来实现自动化，但所有其他工作会有什么变化？这势必需要详细精准的人工分析补齐最后一块短板。直观的安全工具有助于提升分析师的处理能力，并帮助他们为需要调查的内容确定优先级。
8. 团队合作
安全是一项需要协调、沟通和协作的团队工作。安全运营中心环境中不能有任何疏忽，需要对安全事件进行全面处理，团队需要聊天运营（ChatOps）功能，即能够相互协作，将工具、人员、流程和自动化连入透明的工作场所。这使信息、想法和数据处于最显眼的位置。它使安全团队能够更好地协作，并邀请企业外部的专家帮助生成警报，与同行共享情报信息，并最终与组织外的安全专家协作，以阻止广泛的威胁。
9. 案例管理
就算企业安全团队已经尽全力防止安全事故的发生，有时还是不可避免。当安全事故发生后，安全团队需要确保自己有响应计划、工作流程、证据收集、沟通、文档和时间表。这就是为什么案例管理已成为现代安全运营中心的一项核心能力。
10. 报告展现
拥有合适的报告工具可以帮助安全团队了解正在执行的操作，并能够准确地衡量现状和需要实现的目标。不过，如今安全运营中心面临的挑战是依赖太多的平台，因此几乎不太可能获得准确的报告。
参考链接：
https://www.forbes.com/sites/splunk/2022/04/19/10-essential-capabilities-of-a-modern-security-operations-center/
声明：本文来自安全牛，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。
