Security分论坛-王鹤儒-构建可运营的安全防护体系.pdf

1、上海华讯网络系统有限公司 王鹤儒构建可运营的安全防护体系在此输入文案标题文案 2024 ISACA All rights reserved.PART 01安全运营的困境与应对PART 02安全运营产品成熟度前瞻PART 03AI在安全领域的应用PART 04安全运营体系建设路线分享PART 05AI大模型安全运营能力测试 2024 ISACA All rights reserved.在此输入文案标题文案01.安全运营的困境与应对在此输入文案标题文案 2024 ISACA All rights reserved.安全运营服务需求分析02很多企业缺乏专业的网络安全团队和技术支持，难以应对复杂的网络

2、安全威胁和攻击。托管安全运营服务可以为企业提供专业的网络安全服务，帮助企业提高网络安全水平和防御能力。03网络安全设备和软件需要不断更新和升级，以适应新的安全威胁和攻击。企业需要投入大量的时间和精力来维护和更新网络安全设备和软件，托管安全运营服务可以为企业提供全方位的安全设备部署、配置、维护和更新服务。01安全事件的监测和响应需要及时和迅速，以便尽早发现和解决安全问题。托管安全运营服务可以为企业提供实时监测和响应的服务，以便快速发现和解决安全问题。缺乏专业能力响应实时性动态更新防御安全事件响应实时性专业网络安全团队缺乏安全设备和软件更新频繁在此输入文案标题文案 2024 ISACA All r

3、ights reserved.安全运营的困境我们把这些变成了这些，问题解决了吗？在此输入文案标题文案 2024 ISACA All rights reserved.企业安全运营成熟度安全运营成熟度评估 https:/www.soc- 2024 ISACA All rights reserved.SIEM 推动安全运营能力建设数据采集收集基础的安全日志和其他机器数据标准化为收上来的数据应用标准格式，并增加身份数据扩展从其他非安全相关数据源中收集数据为安全分析做补充，比如主机活动日志，网络流量日志等等丰富关联外部威胁情报与资产信息，对事件作出更精准的判断自动化和编排建立持续并可重复的安全运维能力高

4、级检测利用复杂的检测机制，包括机器学习stage 1stage 2stage 3stage 4stage 5stage 6核心数据：网络流量、终端日志、认证日志、应用流量里程碑：1.日志异地管理防止被篡改2.获取事件调查所需的必要数据3.得以深入了解现网环境安全能力：1.安全监控5.SOC 自动化2.合规6.高级威胁检测3.事件调查与取证7.内部威胁4.事件响应核心数据：标准化字段名称、IT 资产信息、用户身份信息里程碑：1.数据映射到 CIM2.基于 CIM 加速提升搜索性能3.日志关联资产与身份信息安全能力：1.安全监控5.SOC 自动化2.合规6.高级威胁检测3.事件调查与取证7.内部威

5、胁4.事件响应核心数据：DNS、DHCP、EDR、HIDS里程碑：1.高级检测的基础已经奠定。2.还可以匹配一些常见的入侵指标（IOC）。安全能力：1.安全监控5.SOC 自动化2.合规6.高级威胁检测3.事件调查与取证7.内部威胁4.事件响应核心数据：本地 IP/URL 阻断列表、开源威胁情报、商业威胁情报里程碑：1.基于资产的重要性判断事件紧急程度2.基于威胁情报丰富事件信息。安全能力：1.安全监控5.SOC 自动化2.合规6.高级威胁检测3.事件调查与取证7.内部威胁4.事件响应核心工具：SOAR里程碑：1.能够跟踪事件2.量化分析师效率3.基于 play book 采取行动4.自动化应

6、对简单操作并整合安全能力：1.安全监控5.SOC 自动化2.合规6.高级威胁检测3.事件调查与取证7.内部威胁4.事件响应核心工具：UBA/UEBA里程碑：1.能够基于些微线索进行分析2.使用先进技术识别未知威胁安全能力：1.安全监控5.SOC 自动化2.合规6.高级威胁检测3.事件调查与取证7.内部威胁4.事件响应在此输入文案标题文案 2024 ISACA All rights reserved.待查事件Tickets处理流程其他误报事件待改善事件基于SIEM平台的安全事件管理流程事件发现信息收集误报判断事件调查事件遏制根因分析事件应对事件关闭关注 SIEM 工具态势感知页面，发现新增安全事