安全管理平臺（SOC平臺）的發(fā)展趨勢分析
1 SOC一詞的起源
SOC(Security Operations Center)是一個外來詞。而在國外，SOC這個詞則來自于NOC(Network Operation Center，即網(wǎng)絡(luò)運行中心)。NOC強調(diào)對客戶網(wǎng)絡(luò)進行集中化、全方位的監(jiān)控、分析與響應(yīng)，實現(xiàn)體系化的網(wǎng)絡(luò)運行維護。
隨著信息安全問題的日益突出，安全管理理論與技術(shù)的不斷發(fā)展，需要從安全的角度去管理整個網(wǎng)絡(luò)和系統(tǒng)，而傳統(tǒng)的NOC在這方面缺少技術(shù)支撐，于是，出現(xiàn)了SOC的概念。不過，至今國外都沒有形成統(tǒng)一的SOC的定義。維基百科也只有基本的介紹：SOC(Security OperationsCenter)是組織中的一個集中單元，在整個組織和技術(shù)的高度處理各類安全問題。SOC具有一個集中化的辦公地點，有固定的運維管理人員。國外各個安全廠商和服務(wù)提供商對SOC的理解也差異明顯。
2 SOC產(chǎn)生的動因
為了不斷應(yīng)對新的安全挑戰(zhàn)，企業(yè)和組織先后部署了防火墻、UTM、入侵檢測和防護系統(tǒng)、漏洞掃描系統(tǒng)、防病毒系統(tǒng)、終端管理系統(tǒng)，等等，構(gòu)建起了一道道安全防線。然而，這些安全防線都僅僅抵御來自某個方面的安全威脅，形成了一個個“安全防御孤島”，無法產(chǎn)生協(xié)同效應(yīng)。更為嚴重地，這些復(fù)雜的IT資源及其安全防御設(shè)施在運行過程中不斷產(chǎn)生大量的安全日志和事件，形成了大量“信息孤島”，有限的安全管理人員面對這些數(shù)量巨大、彼此割裂的安全信息，操作著各種產(chǎn)品自身的控制臺界面和告警窗口，顯得束手無策，工作效率極低，難以發(fā)現(xiàn)真正的安全隱患。另一方面，企業(yè)和組織日益迫切的信息系統(tǒng)審計和內(nèi)控要求、等級保護要求，以及不斷增強的業(yè)務(wù)持續(xù)性需求，也對客戶提出了嚴峻的挑戰(zhàn)。
針對上述不斷突出的客戶需求，從2000年開始，國內(nèi)外陸續(xù)推出了SOC(Security Operations Center)服務(wù)和產(chǎn)品。目前國內(nèi)的SOC產(chǎn)品也稱為安全管理平臺，由于受到國內(nèi)安全需求的影響，具有很強的中國特色。
3 SOC的定義
一般地，傳統(tǒng)SOC產(chǎn)品被定義為：以資產(chǎn)為核心，以安全事件管理為關(guān)鍵流程，采用安全域劃分的思想，建立一套實時的資產(chǎn)風險模型，協(xié)助管理員進行事件分析、風險分析、預(yù)警管理和應(yīng)急響應(yīng)處理的集中安全管理系統(tǒng)。
本質(zhì)上，SOC不是一款單純的產(chǎn)品，而是一個復(fù)雜的系統(tǒng)，他既有產(chǎn)品，又有服務(wù)，還有運維(運營)，SOC（或者說SOC系統(tǒng)）是技術(shù)、流程和人的有機結(jié)合。SOC產(chǎn)品是SOC系統(tǒng)的技術(shù)支撐平臺，這是SOC產(chǎn)品的價值所在，我們既不能夸大SOC產(chǎn)品的作用，也不能低估他的意義。這就好比一把好的掃帚并不意味著你就天然擁有干凈的屋子，還需要有人用它去打掃房間。
4 SOC在信息安全產(chǎn)業(yè)的地位
如果我們把信息安全產(chǎn)業(yè)分為產(chǎn)品和服務(wù)兩個部分，那么SOC產(chǎn)品位于信息安全產(chǎn)品市場金字塔的頂端。
SOC產(chǎn)品是所有安全產(chǎn)品的集大成者。SOC產(chǎn)品不是取代原有的安全產(chǎn)品，而是在這些安全產(chǎn)品之上，面向客戶，從業(yè)務(wù)的角度構(gòu)建了一個一體化的安全管理運行的技術(shù)集成平臺。
信息安全產(chǎn)業(yè)是一個極速發(fā)展變化的產(chǎn)業(yè)，SOC的內(nèi)涵和外延也會不斷的更新，但是SOC產(chǎn)品在整個信息安全產(chǎn)品結(jié)構(gòu)中的頂層地位始終不會改變。
5 國外SOC的發(fā)展現(xiàn)狀
如前所述，國外的SOC并沒有明確的定義，其發(fā)展軌跡可以從產(chǎn)品和服務(wù)兩個維度來看。
SOC產(chǎn)品
國外鮮見以SOC命名的產(chǎn)品， SOC更多地是與服務(wù)掛鉤的。國外產(chǎn)品廠商使用了SIEM(Security Information and Event Management，安全信息與事件管理)這個詞來代表SOC產(chǎn)品，以示產(chǎn)品與服務(wù)的區(qū)隔。
必須指出的是，SIEM產(chǎn)品與我們理解的SOC 產(chǎn)品是有區(qū)別的，SIEM產(chǎn)品是SOC的核心產(chǎn)品，但不是全部。
根據(jù)Gartner2008年關(guān)于信息安全的Hype Cycle曲線分析顯示，全球安全管理平臺市場趨于成熟，還有不到兩年就將成為業(yè)界主流產(chǎn)品，如下圖所示：
圖：Gartner信息安全Hyper Cycle#p#
Gartner公司2009年安全信息和事件管理 (SIEM)幻方圖顯示，全球SIEM市場在2008年增長了30%，整體收入達到了約10億美元。主要的SIEM廠家如下圖所示：
圖：Gartner SIEM 2009年幻方圖
SOC服務(wù)
SOC服務(wù)是指 MSSP(Managed Security Service Provider，可管理安全服務(wù)提供商)以SOC為技術(shù)支撐為客戶提供安全服務(wù)。這里，客戶感受到的只是安全服務(wù)，而非SOC本身。
從 SOC發(fā)展至今，國外更多地將SOC與服務(wù)聯(lián)系在了一起，這與國外(主要是歐美)信息安全發(fā)展的水平和客戶對安全的認知水平有密切關(guān)系。
根據(jù) Gartner公司《2008年下半年北美MSSP幻方圖》顯示， 北美市場2007年的營收大約是5.7億美元，預(yù)計在2008年全年會有15%的增長。北美的主要廠家包括：
圖：Gartner北美MSSP 2008年下半年幻方圖
6 中國的SOC發(fā)展現(xiàn)狀
SOC這個概念，自傳入中國起，就深深的烙下了中國特色。由于信息安全產(chǎn)業(yè)和需求的特殊性使然，由于中國網(wǎng)絡(luò)與安全管理理念、制度、體系、機制的落后使然。
中國SOC的引入和發(fā)展與國外的情況有一個很大的不同，就是國內(nèi)在提出SOC的時候，除了電信、移動、民航、金融等高度信息化的單位，大部分企業(yè)和組織連NOC都沒有建立起來。于是，國內(nèi)SOC的發(fā)展依據(jù)行業(yè)的不同出現(xiàn)了截然不同的發(fā)展軌跡。電信、移動、民航、金融等單位較早的建立了NOC，對SOC的認識過程與國外基本保持一致。其他企業(yè)和組織則對SOC認識模糊，從而更加講求實效。這兩類客戶對于SOC的需求和期望是截然不同的，后者在需求的廣度上超過了前者，因而用電信、移動、金融領(lǐng)域的SOC反而難以滿足政府等企事業(yè)單位客戶的需求。
SOC在國內(nèi)也有兩個發(fā)展維度，產(chǎn)品和服務(wù)。
SOC產(chǎn)品
在國內(nèi)，一般把SOC產(chǎn)品稱為安全管理平臺，但是，公安部的《安全管理平臺產(chǎn)品檢測規(guī)范》并沒有真正涵蓋現(xiàn)在SOC的全部內(nèi)容。國內(nèi)的安全管理平臺具有狹義和廣義兩個定義。
狹義上，安全管理平臺重點是指對安全設(shè)備的集中管理，包括集中的運行狀態(tài)監(jiān)控、事件采集分析、安全策略下發(fā)。
而廣義的安全管理平臺則不僅針對安全設(shè)備進行管理，還要針對所有IT 資源，甚至是業(yè)務(wù)系統(tǒng)進行集中的安全管理，包括對IT資源的運行監(jiān)控、事件采集分析，還包括風險管理與運維等內(nèi)容。這也是SOC的一般定義。
賽迪顧問(CCID Consulting)于2007年開始首次在其信息安全產(chǎn)品市場分析報告中對SOC產(chǎn)品進行分析，目前已經(jīng)連續(xù)兩年進行了相關(guān)研究。#p#
SOC 服務(wù)
在國內(nèi)，SOC服務(wù)始終處于萌芽狀態(tài)，與國外的如火如荼形成了鮮明的對比。這是國內(nèi)信息安全產(chǎn)業(yè)發(fā)展整體所處的階段所致。
最后，無論SOC如何在國內(nèi)發(fā)展，這個概念已經(jīng)漸漸為業(yè)界所認同，也得到了客戶的認可。隨著國內(nèi)信息安全水平的提升，信息安全產(chǎn)、學(xué)、研都紛紛加大了對它的關(guān)注度。
7 SOC2.0：安全管理平臺發(fā)展的新階段
隨著客戶業(yè)務(wù)的深化和行業(yè)需求的清晰，傳統(tǒng)SOC理念和技術(shù)的局限性逐漸凸現(xiàn)出來，主要體現(xiàn)在三個方面：首先，在體系設(shè)計方面，傳統(tǒng)SOC圍繞資產(chǎn)進行功能設(shè)計，缺乏對業(yè)務(wù)的分析。其次，在技術(shù)支持方面，傳統(tǒng)SOC缺少全面的業(yè)務(wù)安全信息收集。最后，在實施過程方面，傳統(tǒng)SOC實施只考慮安全本身，沒有關(guān)注客戶業(yè)務(wù)。以資產(chǎn)為核心、缺乏業(yè)務(wù)視角的軟肋使得傳統(tǒng)SOC不能真正滿足客戶更深層次的需求。
對于用戶而言，真正的安全不是簡單的設(shè)備安全，而是指業(yè)務(wù)系統(tǒng)安全。IT資源本身的安全管理不是目標，核心需求是要保障IT資源所承載的業(yè)務(wù)的可用性、連續(xù)性、以及安全性，因為業(yè)務(wù)才是企業(yè)和組織的生命線。要保障業(yè)務(wù)安全，就要求為用戶建立一套以業(yè)務(wù)為核心的管理體系，從業(yè)務(wù)的角度去看待IT資源的運行和安全。如果把傳統(tǒng)的 SOC稱為SOC1.0，那么面向業(yè)務(wù)的SOC就可以稱作SOC2.0。
SOC2.0的定義：SOC2.0是一個以業(yè)務(wù)為核心的、一體化的安全管理系統(tǒng)。SOC2.0從業(yè)務(wù)出發(fā)，通過業(yè)務(wù)需求分析、業(yè)務(wù)建模、面向業(yè)務(wù)的安全域和資產(chǎn)管理、業(yè)務(wù)連續(xù)性監(jiān)控、業(yè)務(wù)價值分析、業(yè)務(wù)風險和影響性分析、業(yè)務(wù)可視化等各個環(huán)節(jié)，采用主動、被動相結(jié)合的方法采集來自企業(yè)和組織中構(gòu)成業(yè)務(wù)系統(tǒng)的各種IT資源的安全信息，從業(yè)務(wù)的角度進行歸一化、監(jiān)控、分析、審計、報警、響應(yīng)、存儲和報告。SOC2.0以業(yè)務(wù)為核心，貫穿了信息安全管理系統(tǒng)建設(shè)生命周期從調(diào)研、部署、實施到運維的各個階段。
SOC2.0的價值就在于確保IT可靠、安全地與客戶業(yè)務(wù)戰(zhàn)略一致，促使客戶有效地利用信息資源，降低運營風險。
8 SOC的發(fā)展路線
如下圖所示，展示了 SOC技術(shù)、產(chǎn)品和市場的發(fā)展路線路。
圖：SOC發(fā)展階段
整體看來，SOC經(jīng)歷了一個從分散到集中，從以資產(chǎn)為核心到以業(yè)務(wù)核心的發(fā)展軌跡。隨著中國安全建設(shè)水平的不斷提升，安全管理的業(yè)務(wù)導(dǎo)向程度會越來越明顯。
在信息安全建設(shè)的早期，更多地是部署各類安全設(shè)備和系統(tǒng)，逐漸形成了“安全防御孤島”，導(dǎo)致了安全管理的成本急劇上升，而安全保障效率迅速下降。為此，出現(xiàn)了最早的安全管理系統(tǒng)，主要是實現(xiàn)對網(wǎng)絡(luò)中分散的防火墻/VPN等設(shè)備的集中監(jiān)控與策略下發(fā)，構(gòu)建一個較為完整的邊界安全統(tǒng)一防護體系。
隨著對信息安全認識的不斷深入，安全管理體系化思想逐漸成熟，出現(xiàn)了以信息系統(tǒng)資產(chǎn)為核心的全面安全監(jiān)控、分析、響應(yīng)系統(tǒng)——SOC1.0。SOC1.0以資產(chǎn)為主線，實現(xiàn)了較為全面的事件管理與處理流程，以及風險管理與運維流程。
SOC1.0的出現(xiàn)，提升了用戶信息安全管理的水平，從而也對信息安全管理有了更高的期望，要求從客戶業(yè)務(wù)的角度來進行安全管理的呼聲日益增長，于是出現(xiàn)了面向業(yè)務(wù)的 SOC2.0。SOC2.0繼承和發(fā)展的傳統(tǒng)SOC1.0的集中管理思想，將安全與業(yè)務(wù)融合，真正從客戶業(yè)務(wù)價值的角度去進行一體化安全體系的建設(shè)。
9 SOC的未來發(fā)展趨勢
展望未來，SOC的發(fā)展始終會沿著兩個路徑前進：產(chǎn)品和服務(wù)。
從產(chǎn)品的角度來看，從SOC1.0到SOC2.0，實現(xiàn)了業(yè)務(wù)與安全的融合，符合整個 IT管理需求、技術(shù)的發(fā)展大勢。下一步，將會不斷涌現(xiàn)面向業(yè)務(wù)的SOC2.0產(chǎn)品。隨著客戶需求的日益突出、業(yè)務(wù)系統(tǒng)的日益復(fù)雜，越來越多的企業(yè)和組織會部署SOC系統(tǒng)。
從服務(wù)的角度看，SOC將成為MSSP(可管理安全服務(wù)提供商)的服務(wù)支撐平臺，成為SaaS(軟件即服務(wù)，安全即服務(wù))的技術(shù)支撐平臺，成為云計算、云安全的安全管理后臺。所有用戶體驗到的安全服務(wù)都會由SOC來進行總體支撐。
一方面，SOC產(chǎn)品的業(yè)務(wù)理念和思路會滲透到SOC服務(wù)之中;另一方面，SOC服務(wù)水平與客戶認知的提升也會促進SOC產(chǎn)品的發(fā)展與成熟。
【編輯推薦】
