大多數(shù)情況下，SANS調(diào)查中受訪者最為困擾的安全運(yùn)營(yíng)中心相關(guān)問(wèn)題，是可以通過(guò)計(jì)劃、策略和流程的正確組合來(lái)解決的。

[[248698]]

今年的年度安全運(yùn)營(yíng)中心(SOC)調(diào)查中，SANS研究所指出了4個(gè)最為常見的SOC弱點(diǎn)。這些弱點(diǎn)的根源可被追溯到我們非常熟悉的人、過(guò)程、適度規(guī)劃和技術(shù)實(shí)現(xiàn)上。

下面我們就來(lái)看看，SOC的四大弱點(diǎn)究竟是哪些?安全團(tuán)隊(duì)又能對(duì)此做些什么呢?

1. 自動(dòng)化/編排

大多數(shù)SOC的自動(dòng)化和編排程度都不高，因?yàn)镾OC團(tuán)隊(duì)不知道應(yīng)該自動(dòng)化哪些過(guò)程。公司企業(yè)的員工是第一道防線?？梢詮牟稍LSOC人員以了解他們的職責(zé)和發(fā)現(xiàn)可重復(fù)過(guò)程開始，比如IP/URL信譽(yù)、whois信息等事件證據(jù)的繁瑣收集過(guò)程。這些過(guò)程由人來(lái)做很耗時(shí)間，但卻很容易自動(dòng)化。

下一步，進(jìn)行風(fēng)險(xiǎn)評(píng)估和安全評(píng)估以識(shí)別資產(chǎn)和漏洞，提供監(jiān)測(cè)安全監(jiān)視效率的指標(biāo)。這些數(shù)據(jù)點(diǎn)有助于暴露出能夠自動(dòng)化的可重復(fù)過(guò)程。

安全工具間缺乏集成也是自動(dòng)化和編排的阻礙。由于公司企業(yè)采用多層防御來(lái)抵御多線程攻擊，安全團(tuán)隊(duì)往往缺乏對(duì)自身產(chǎn)品架構(gòu)和相互間如何協(xié)同工作的清晰認(rèn)知。

不幸的是，這個(gè)問(wèn)題并不好解決。有些替代方案包括執(zhí)行概念驗(yàn)證(PoC)和鼓勵(lì)安全供應(yīng)商多了解公司的具體環(huán)境。這么做可以讓SOC評(píng)估新產(chǎn)品，發(fā)現(xiàn)漏洞，在部署之前將錯(cuò)漏都糾正過(guò)來(lái)。

最后，缺乏恰當(dāng)過(guò)程和操作手冊(cè)的SOC通常其安全項(xiàng)目的成熟度也不高。對(duì)于這些公司，與托管安全服務(wù)提供商或托管檢測(cè)及響應(yīng)服務(wù)合作是不錯(cuò)的選擇。

2. 資產(chǎn)發(fā)現(xiàn)與庫(kù)存管理

資產(chǎn)庫(kù)存與管理很難。即便有自動(dòng)化工具幫忙，該任務(wù)對(duì)技術(shù)團(tuán)隊(duì)而言仍是個(gè)沉重的負(fù)擔(dān)，尤其是在最初的時(shí)間及精力的前期投入上。當(dāng)今這個(gè)講求即時(shí)滿足的世界，大多數(shù)公司企業(yè)都希望只要投入某個(gè)工具，馬上就能看到業(yè)務(wù)過(guò)程的加快。但鑒于IT環(huán)境和技術(shù)的動(dòng)態(tài)本質(zhì)，SOC團(tuán)隊(duì)往往不得不擼起袖子親自下場(chǎng)干活，工具的效率提升效果并不太高。

任何資產(chǎn)管理項(xiàng)目都要求良好的規(guī)劃和對(duì)環(huán)境的完全理解。如果缺乏這些關(guān)鍵步驟，任何工具都不會(huì)達(dá)到預(yù)期。對(duì)公司環(huán)境做個(gè)風(fēng)險(xiǎn)及安全評(píng)估是個(gè)良好的開端。漏洞評(píng)估的發(fā)現(xiàn)階段將產(chǎn)出能作為起點(diǎn)使用的基線。但需要記住的是，安全領(lǐng)域不存在通用解決方案，公司企業(yè)應(yīng)預(yù)期資產(chǎn)管理解決方案實(shí)現(xiàn)過(guò)程中的挫折與反復(fù)。不過(guò)，一旦正確部署，便能享受源源不斷的長(zhǎng)期紅利。

3. 人工事件關(guān)聯(lián)

聽起來(lái)似乎有點(diǎn)反直覺(jué)，但確實(shí)是個(gè)不錯(cuò)的解釋。部署SIEM并不是按個(gè)開關(guān)再指定幾個(gè)日志源那么簡(jiǎn)單的事。公司企業(yè)必須了解自身日志源和這些源所提供的整體可見性。

為獲得這一可見性，網(wǎng)絡(luò)審計(jì)是必不可少的步驟。審計(jì)結(jié)果可以發(fā)現(xiàn)應(yīng)設(shè)置網(wǎng)絡(luò)分接器的位置、應(yīng)保持通聯(lián)的設(shè)備，還有應(yīng)避免的漏洞或阻礙。Web代理屏蔽或DHCP短租約之類的阻礙可能會(huì)導(dǎo)致調(diào)查人員無(wú)法定位潛在受害者，限制公司SIEM執(zhí)行恰當(dāng)?shù)氖录P(guān)聯(lián)動(dòng)作。了解這些漏洞和SIEM的限制可以幫助SOC更好地摸清仍需人工關(guān)聯(lián)的地方。

4. SOC/NOC融合

這一缺陷是個(gè)文化問(wèn)題。SOC團(tuán)隊(duì)的任務(wù)是檢測(cè)和防護(hù)，而網(wǎng)絡(luò)運(yùn)營(yíng)團(tuán)隊(duì)(NOC)的任務(wù)是保持正常運(yùn)行和系統(tǒng)可用性。兩個(gè)團(tuán)隊(duì)之間經(jīng)常發(fā)生沖突。比如說(shuō)，長(zhǎng)久以來(lái)的最小權(quán)限沖突。NOC團(tuán)隊(duì)希望掌握暢行無(wú)阻的高權(quán)限。SOC團(tuán)隊(duì)則致力于封鎖環(huán)境以發(fā)現(xiàn)可能標(biāo)志著惡意行為的異常。

更糟的是，兩支團(tuán)隊(duì)通常都人手不足，維護(hù)網(wǎng)絡(luò)可用性和保護(hù)網(wǎng)絡(luò)安全的相關(guān)責(zé)任堆成山。為彌合這一缺口，公司企業(yè)可以施行明確了SOC和NOC團(tuán)隊(duì)間沖突解決規(guī)則的過(guò)程及程序，讓兩個(gè)部門都有清晰的指導(dǎo)方針可供互動(dòng)。

有了合適的規(guī)劃和部署，再輔以正確的過(guò)程及程序，大多數(shù)公司企業(yè)都可以跨越SOC弱點(diǎn)。至于缺乏適當(dāng)資源或安全項(xiàng)目成熟度不足的公司，托管安全服務(wù)提供商或托管檢測(cè)及響應(yīng)服務(wù)都是不錯(cuò)的選擇。

SANS研究所的年度安全運(yùn)營(yíng)中心(SOC)調(diào)查地址：

https://www.sans.org/reading-room/whitepapers/analyst/membership/38570

【本文是51CTO專欄作者“”李少鵬“”的原創(chuàng)文章，轉(zhuǎn)載請(qǐng)通過(guò)安全牛（微信公眾號(hào)id:gooann-sectv）獲取授權(quán)】

戳這里，看該作者更多好文