【腾讯安全】2023年SOC安全运营体系白皮书_96页_24mb

SOC+安全运营体系白皮书总结

核心内容概述

本白皮书围绕“SOC+安全运营体系”展开，阐述了其在企业安全运营中的重要性与发展方向。该体系以威胁情报和攻防对抗为基础，构建“情报-攻防-服务-生态”的闭环能力，为企业提供现代化、实战化、体系化的安全运营支持。通过整合TIX威胁情报中心、SOC安全运营平台、NDR网络威胁检测与响应、MDR安全运营服务四大产品矩阵，推动安全运营向“实战化”、“体系化”、“平台化”不断升级。

主要观点

• 安全运营的演进：从SIEM工具阶段，到态势感知融合阶段，再到现代SOC创新发展阶段，安全运营经历了多个阶段的演进，逐步实现从被动防御到主动安全建设的转变。
• 威胁情报的重要性：威胁情报是安全运营体系中的核心能力之一，它能够帮助企业在预测、防御、检测和响应阶段全面掌握安全态势，实现智能化、自动化的安全运营。
• 产品与生态协同：SOC+安全运营体系强调产品能力的整合与生态协同，通过“原子力”、“产品力”、“生态力”构建全面的安全运营能力。
• 安全运营面临的新挑战：数字化转型导致攻击面扩大，攻击方法不断升级，安全产品能力割裂，以及安全人才短缺，这些都是当前企业安全运营所面临的挑战。
• SOC+的优势与价值：腾讯SOC+通过威胁情报云、智能化平台、多技术融合、开放生态等手段，构建了具备高实时性、精准性、完整性的安全运营体系，为政企机构提供更高效、更全面的安全防护与运营支持。

关键信息

一、企业安全运营行业发展特征

1. 安全运营产业发展历史

   • SIEM阶段：以安全信息与事件管理为核心，但存在数据处理能力弱、分析初级等问题。
   • 态势感知阶段：强调对网络态势的感知、理解和预测，技术发展推动其广泛应用。
   • 现代SOC阶段：整合多种安全产品和能力，构建一体化、智能化、专业化的全面威胁感知与响应体系，成为企业安全运营的主流模式。

2. 我国安全运营产业发展驱动因素

   • 合规驱动：随着《网络安全法》《数据安全法》等法规的实施，企业必须建立合规安全体系。
   • 业务风险驱动：企业意识到安全运营对业务发展的支撑作用，安全事件管理能力成为重要组成部分。

3. 海外安全运营产业发展特点

   • 美国：率先探索SOC，推动态势感知系统建设，制定相关标准，形成较为成熟的运营体系。
   • 欧盟与日本：强调自主可控、多方协作，推动安全能力的共享与互补。

二、企业安全运营面临新形势

1. 数字化转型扩大攻击面：企业上云、混合云部署增加了攻击面，需构建统一的安全运营体系。
2. 攻击方法不断升级：APT攻击、勒索攻击、供应链攻击等多样化攻击方式对企业安全构成严峻挑战。
3. 产品能力割裂：异构设备堆叠式部署导致信息孤岛，影响整体安全协同。
4. 安全人才短缺：安全运营流程依赖人工，缺乏标准化与量化评估，影响运营效果。

三、“SOC+安全运营体系”构建安全防护新理念

1. 三大进阶理念

   • 威胁情报云打造闭环能力：整合攻防实战经验、安全实验室能力、大数据和AI技术，形成从预测到响应的闭环。
   • 连接效能提升实现集群效应：通过产品与服务的协同，构建统一的威胁检测与响应能力。
   • 开放平台构建“朋友圈”：推动安全生态合作，实现共享、互补、共建的安全协同机制。

2. 架构进阶

   • 原子力：构建情报和攻防两大基础底座。
   • 产品力：形成“核心-基础-抓手-载体”的产品理念，涵盖TIX、SOC、NDR、MDR四大产品矩阵。
   • 生态力：推动安全生态的共建共享，提升整体安全效能。

3. 腾讯SOC+优势

   • 威胁情报云：提供全面、精准的情报数据，支持实时更新和自动化处理。
   • 智能化SOC平台：具备大数据分析、事件响应、安全评价等能力。
   • NDR网络威胁检测与响应：实现全流量检测、自动化响应、威胁溯源与处置。
   • MDR安全运营服务：提供标准化服务包，实现7x24小时安全监控与响应。

四、SOC+安全运营体系四大进阶价值

1. TIX威胁情报中心：构建弹性协同安全体系，提供多维度的情报数据支持，帮助安全运营团队快速响应威胁。
2. SOC聚焦威胁检测与事件响应：提供统一的安全管理、威胁检测、调查与响应能力，满足多云混合云环境下的安全需求。
3. NDR以实战驱动：通过全流量检测、自动化响应、威胁分析等手段，实现网络层的安全闭环。
4. MDR构建最佳安全运营效果：以服务外包形式提供标准化、可量化、高效率的安全运营服务。

五、SOC标准加快应用落地

1. SOC相关整体标准：中国信息通信研究院牵头制定《面向云计算的安全运营中心能力》行业标准，推动SOC建设的规范化。
2. 重点领域标准制定情况：
   • 态势感知：国家标准《信息安全技术网络安全态势感知通用技术要求》发布，规范了态势感知技术。
   • 威胁情报：国内标准《信息安全技术网络安全威胁信息格式规范》发布，推动威胁情报的标准化与互操作性。
3. SOC标准演进趋势：SOC平台型厂商将在标准化、接口开放、数据规范等方面持续推动技术发展和产业协同。

六、SOC成熟度模型

SOC成熟度分为五个阶段：

• L1（初始阶段）：安全建设以预防为主，缺乏统一管理与响应机制。
• L2（基础阶段）：具备合规能力，但缺乏深入分析与响应流程。
• L3（运行阶段）：形成常态化流程，具备基本威胁监测与响应能力。
• L4（体系阶段）：具备成熟的运营组织和响应机制，可应对高级威胁。
• L5（成熟阶段）：具备顶层安全战略，实现自动化、智能化与自适应应对威胁。

模型包含六个评估领域：战略规划、业务支撑、合规管理、团队配备、技术保障、运营维护，每个领域从0到5分进行量化评估。

总结

SOC+安全运营体系通过整合威胁情报、攻防能力、产品矩阵与安全生态，为企业提供更全面、高效、智能化的安全运营支持。其核心在于构建“情报-攻防-服务-生态”的闭环，推动安全运营从被动防御向主动安全转变。同时，标准化与成熟度模型的引入，帮助企业更科学地评估和提升安全运营能力，实现安全防护与运营效率的全面提升。