English日本語
2018年8月份，，，，，，，SANS宣布了第二次SOC视察报告。。。。。。。
问题"The Definition of SOC-cess?"可以明确为：怎样界说SOC的乐成（success）？？？？？？？
总体上来看，，，，，，，今年的情形跟去年差未几。。。。。。。
SANS对SOC的界说是：SOC是人、流程和手艺的连系，，，，，，，它通过自动的设计和设置、一连地系统状态监测、检测意外行动和非预期状态去；；；ぷ橹男畔⑾低，，，，，，，力争尽可能地降低不良影响造成的危险。。。。。。。（A combination of people, processes and technology protecting the information systems of an organization through: proactive design and configuration, ongoing monitoring of system state, detection of unintended actions or undesirable state, and minimizing damage from unwanted effects.）
同时，，，，，，，SANS以为SOC乐成的标准是其是否有用干预了敌手妄想破损组织资产可用性、神秘性和完整性的实验。。。。。。。一样平常地，，，，，，，SOC通过自动地把系统变得对损害更具弹性，，，，，，，以及越发快速地检测、阻止和消除敌手的能力来做到这一点。。。。。。。（We define the success criterion for a SOC as: when it intervenes in
adversary efforts to impact the availability, confidentiality and integrity of
the organization’s information assets. It does this by proactively making
systems more resilient to impact and reactively detecting, containing and
eliminating adversary capability.）
SANS发明，，，，，，，SOC似乎是一个很大很重大的系统，，，，，，，但现实上31%的SOC团队只有2到5小我私家。。。。。。。
而另外一个安永针对1200个组织（其中大部分是大型和有钱的单位）的调研显示，，，，，，，48%的受访者没有SOC。。。。。。。
SANS从SOC的能力和SOC的架构两个方面举行了调研。。。。。。。
SOC团队主要做什么？？？？？？？
从上图可以看出来，，，，，，，SOC的主要活动包括：应急响应（96.8%的受访者体现）、清静监测与检测（96.6%）、SOC架构与工程化、清静治理、数据；；；び爰嗖狻⑿薷础⑶寰餐，，，，，，，等等。。。。。。。上图还显示了每个活动是自己内部完成，，，，，，，照旧借助MSSP来告竣，，，，，，，抑或两者连系的比例。。。。。。？？？？？？？梢钥闯，，，，，，，SOC团队自己搞的比例较量高。。。。。。。
差别行业的SOC团队规模，，，，，，，并没有显著的趋势：
SOC的安排架构（模式）：
可以看出基于云的SOC比重照旧较量低的。。。。。。。
如上图所示，，，，，，，在未来十二个月的妄想中，，，，，，，依然是自建大集中式的SOC为主，，，，，，，但云SOC的比重稍有增添，，，，，，，同时建设正规SOC的意愿更强，，，，，，，如下图：
仅有54%的SOC建设了SOC怀抱指标，，，，，，，SANS体现“这不是一个好征象”。。。。。。。至于一样平常都建设了哪些指标，，，，，，，如下图所示：
这个图我照旧较量感兴趣的。。。。。。。报告还提及了一些小众的指标，，，，，，，譬如：处置惩罚中高级问题的耗时（照旧陷入告警的茫茫大海？？？？？？？）、垂纶事务计数、威胁猎捕相关的统计性数据。。。。。。。
针对上述怀抱指标，，，，，，，大部分依然照旧手工盘算，，，，，，，如下图所示：
我小我私家以为，，，，，，，要想真正做到怀抱自动化是很难的，，，，，，，首先就是对指标的一致化的清晰的界说，，，，，，，这一点就很难。。。。。。。需要在怀抱的有用性和怀抱的可行性之间取得一个平衡。。。。。。。
SOC用到了哪些清静手艺和工具？？？？？？？
上图也算是一个SOC手艺盛行度的排行。。。。。。。
对这些清静手艺和工具的知足度怎样？？？？？？？
SANS将排第一的NGFW给出了B+的评分，，，，，，，而对最后一位的资产发明与治理的知足度评定为F。。。。。。。
需要注重的是，，，，，，，SOC高度依赖人的手艺和履历，，，，，，，因此，，，，，，，差别水平的人对相同的手艺评判是差别的。。。。。。。我小我私家建议各人可以关注最知足的和最不知足的几个手艺。。。。。。。
触发响应流程的告警泉源，，，，，，，或者说SOC剖析师主要看什么日志来触发应急响应，，，，，，，如下图：
可以看出，，，，，，，主要看终端，，，，，，，IDS，，，，，，，IPS和防火墙的告警，，，，，，，其次是SIEM告警。。。。。。。也可以看出一样平常都要看多种告警，，，，，，，而不会集中到某个点上。。。。。。。别的，，，，，，，异常检测的效果、威胁捕猎的效果和威胁情报也很主要。。。。。。。
对多源数据的关联剖析，，，，，，，主要依赖SIEM，，，，，，，如下图：
说明SIEM依然是事务剖析的焦点。。。。。。。
响应方法这块，，，，，，，如下图所示，，，，，，，大部分都做到了响应流程与SOC的集成：
针对差别的响应手艺，，，，，，，总体的知足率较低，，，，，，，最少低于SOC手艺和工具的知足度。。。。。。。最知足的网络取证剖析手艺也仅仅被SANS评定为C。。。。。。。
这个图值得自己研究一番。。。。。。。
SOC面临的主要挑战如下图所示：
及格的人才依然是最大的问题。。。。。。。究其缘故原由，，，，，，，SANS以为SOC这个活自然就是一个重大高难度的事儿，，，，，，，涉及面太广，，，，，，，不但是手艺面要求广，，，，，，，营业面也很广。。。。。。。那么能否搞出一个NB的手艺和工具降低对人的要求呢？？？？？？？我小我私家以为，，，，，，，现在看还不现实，，，，，，，以前面的剖析可以看到现在关于AI和ML的知足度依然很低，，，，，，，并且新泛起的一些手艺对人的要求更高。。。。。。。
SOC对智能装备，，，，，，，包括工控、物联网的治理水平还较量低，，，，，，，但应该予以重视。。。。。。。
SANS特殊强调了基于行为基线来举行相对较为关闭的IoT设施的清静监测的要领。。。。。。。
SANS结论：以下问题依然阻碍着SOC的生长。。。。。。。
1）缺乏有用的和集成化的工具；；；
2）缺乏有用的资产发明与治理手艺；；；
3）自身组织内部的隔膜与分立；；；
4）职员缺乏，，，，，，，要害手艺缺乏；；；
5）自动化的有用性还不敷，，，，，，，关联剖析能力尚有差别；；；
6）对SOC乐成的界说和怀抱还很缺乏。。。。。。。
SANS最后体现：A key finding of the survey was that only about half of the SOCs are using metrics. Not only are meaningful metrics critical to running an effective SOC, but they are absolutely mandatory to have any chance of persuading management to provide the resources needed to overcome the barriers identified in the survey.
（泉源：51CTO博客作者叶蓬原创作品）
Copyright ? 918博天堂 版权所有 京ICP备05032414号 
京公网安备11010802024551号
