新聞中心
SOAR實(shí)踐：復(fù)雜網(wǎng)絡(luò)環(huán)境下，安全運(yùn)營(yíng)如何做到標(biāo)準(zhǔn)化、智能化？
網(wǎng)絡(luò)環(huán)境的復(fù)雜性和動(dòng)態(tài)性日益增加，傳統(tǒng)安全運(yùn)營(yíng)模式碰上了“硬茬子”。
傳統(tǒng)安全運(yùn)營(yíng)的挑戰(zhàn)
1、人效不足：運(yùn)維人員緊缺，工作壓力大，造成人才流失；技能專業(yè)性強(qiáng)，重復(fù)性勞動(dòng)多，導(dǎo)致效率不高。
2、告警太多：存在大量無(wú)效告警和誤告警，處理起來(lái)費(fèi)時(shí)費(fèi)力，告警消除的速度遠(yuǎn)遠(yuǎn)小于產(chǎn)生的速度。
3、應(yīng)急響應(yīng)慢：從網(wǎng)絡(luò)被攻擊到應(yīng)急響應(yīng)，間隔時(shí)間依然太長(zhǎng)。
4、難以標(biāo)準(zhǔn)化：安全運(yùn)營(yíng)的流程難以標(biāo)準(zhǔn)化，不利于知識(shí)和經(jīng)驗(yàn)的積累、傳遞。
5、協(xié)同性較差：人員、工具、流程相互割裂，缺乏整合、缺少協(xié)同，制約了安全能力的整體提升。
安博通基于SOAR（安全編排、自動(dòng)化和響應(yīng)）技術(shù)，推出網(wǎng)絡(luò)安全智能運(yùn)營(yíng)與協(xié)同響應(yīng)平臺(tái)，集成多種安全工具和自動(dòng)化流程，可以顯著提高安全運(yùn)營(yíng)的效率和響應(yīng)能力。
SOAR“升級(jí)”安全運(yùn)營(yíng)
資產(chǎn)管理，鎖定資產(chǎn)暴露面
· 自動(dòng)發(fā)現(xiàn)資產(chǎn)：SOAR平臺(tái)可以集成網(wǎng)絡(luò)掃描工具和CMDB（配置管理數(shù)據(jù)庫(kù)）系統(tǒng)，自動(dòng)發(fā)現(xiàn)、自動(dòng)更新網(wǎng)絡(luò)中的資產(chǎn)信息。通過(guò)定期掃描和實(shí)時(shí)監(jiān)控，確保資產(chǎn)信息的準(zhǔn)確性與完整性。
· 資產(chǎn)優(yōu)先級(jí)排序：根據(jù)資產(chǎn)的業(yè)務(wù)價(jià)值和風(fēng)險(xiǎn)級(jí)別，自動(dòng)進(jìn)行優(yōu)先級(jí)排序。例如，將關(guān)鍵業(yè)務(wù)服務(wù)器標(biāo)記為高優(yōu)先級(jí)，并針對(duì)其制定更加細(xì)致的安全策略。
· 識(shí)別修復(fù)漏洞：結(jié)合漏洞掃描工具，自動(dòng)識(shí)別并記錄資產(chǎn)漏洞。通過(guò)自動(dòng)化工作流，分配漏洞修復(fù)任務(wù)，跟蹤修復(fù)進(jìn)度，掃描驗(yàn)證修復(fù)效果。
多源數(shù)據(jù)整合，提升態(tài)勢(shì)感知能力
· 威脅情報(bào)聚合：SOAR平臺(tái)能夠從多種來(lái)源收集威脅情報(bào)，并自動(dòng)與內(nèi)部日志和事件關(guān)聯(lián)分析，提供全面實(shí)時(shí)的威脅情報(bào)視圖。
· 日志集中處理：通過(guò)第三方系統(tǒng)集成，統(tǒng)一處理海量日志數(shù)據(jù)。應(yīng)用機(jī)器學(xué)習(xí)、行為分析等先進(jìn)技術(shù)，識(shí)別數(shù)據(jù)中的潛在威脅和異?；顒?dòng)，觸發(fā)相應(yīng)的響應(yīng)機(jī)制。
· 跨平臺(tái)數(shù)據(jù)協(xié)作：集成各種安全工具，包括防火墻、入侵檢測(cè)、端點(diǎn)檢測(cè)與響應(yīng)等，實(shí)現(xiàn)跨平臺(tái)數(shù)據(jù)協(xié)作。通過(guò)統(tǒng)一的數(shù)據(jù)標(biāo)準(zhǔn)和接口，協(xié)調(diào)不同工具之間的信息共享，提升整體網(wǎng)絡(luò)安全態(tài)勢(shì)感知能力。
運(yùn)營(yíng)自動(dòng)化，增加人效產(chǎn)出比
· 事件響應(yīng)自動(dòng)化：SOAR平臺(tái)通過(guò)預(yù)定義的工作流程，可以自動(dòng)處理常見(jiàn)的安全事件（釣魚(yú)攻擊、惡意軟件感染等）。能夠執(zhí)行數(shù)據(jù)收集、威脅分析、隔離和修復(fù)等，減少人工投入時(shí)間。
· 流程自動(dòng)優(yōu)化：對(duì)安全運(yùn)營(yíng)流程進(jìn)行自動(dòng)優(yōu)化。例如，入侵響應(yīng)流程在檢測(cè)到異常行為時(shí)，會(huì)自動(dòng)隔離被感染的設(shè)備，并通知管理員。此外，還可不斷學(xué)習(xí)優(yōu)化工作流，提高響應(yīng)效率和準(zhǔn)確性。
· 合規(guī)管理自動(dòng)化：自動(dòng)生成合規(guī)性報(bào)告，記錄安全事件的處理過(guò)程，確保流程符合法規(guī)要求。通過(guò)自動(dòng)化合規(guī)管理，減少審計(jì)工作量，提高合規(guī)過(guò)程的透明度和可追溯性。
SOAR在能源行業(yè)的實(shí)踐
某省電力公司在日常安全運(yùn)營(yíng)時(shí)，工作內(nèi)容和流程多，安全隱患排查、常態(tài)監(jiān)測(cè)分析、安全事件處置等工作對(duì)人員的依賴程度較高，亟需對(duì)安全運(yùn)營(yíng)進(jìn)行提質(zhì)增效。
該電力公司部署了網(wǎng)絡(luò)安全智能運(yùn)營(yíng)與協(xié)同響應(yīng)平臺(tái)（SOAR），在資產(chǎn)管理、多源數(shù)據(jù)整合及運(yùn)營(yíng)自動(dòng)化方面，及時(shí)識(shí)別和響應(yīng)安全威脅，提升了整體安全防御能力。
實(shí)踐價(jià)值
· 實(shí)時(shí)發(fā)現(xiàn)并監(jiān)控網(wǎng)絡(luò)中的所有設(shè)備，自動(dòng)更新資產(chǎn)數(shù)據(jù)庫(kù)，并進(jìn)行風(fēng)險(xiǎn)評(píng)估與優(yōu)先級(jí)排序，確保關(guān)鍵資產(chǎn)受到重點(diǎn)保護(hù)。例如，當(dāng)新設(shè)備接入網(wǎng)絡(luò)時(shí)，SOAR平臺(tái)會(huì)自動(dòng)識(shí)別設(shè)備，評(píng)估其安全狀態(tài)，并根據(jù)策略自動(dòng)配置防護(hù)措施。
· 支持接入多種安全工具和數(shù)據(jù)源，如防火墻、入侵檢測(cè)（IDS）、終端安全管理（EDR）等，通過(guò)數(shù)據(jù)融合與關(guān)聯(lián)分析，生成全方位安全態(tài)勢(shì)視圖。例如，當(dāng)入侵檢測(cè)發(fā)現(xiàn)可疑活動(dòng)時(shí)，SOAR平臺(tái)會(huì)自動(dòng)獲取相關(guān)日志和流量數(shù)據(jù)，進(jìn)行威脅分析，并觸發(fā)響應(yīng)處理流程。
· 通過(guò)預(yù)定義的自動(dòng)化工作流，快速響應(yīng)安全事件，自動(dòng)完成從初步分析到最終解決的所有處理流程。例如，檢測(cè)到釣魚(yú)郵件后，SOAR平臺(tái)可以自動(dòng)提取郵件中的惡意鏈接，進(jìn)行分析并告知受影響的用戶，同時(shí)生成報(bào)告反饋安全團(tuán)隊(duì)。
SOAR平臺(tái)可以幫助企業(yè)機(jī)構(gòu)有效應(yīng)對(duì)復(fù)雜多變的網(wǎng)絡(luò)環(huán)境，在保障網(wǎng)絡(luò)安全的基礎(chǔ)上，滿足企業(yè)機(jī)構(gòu)業(yè)務(wù)發(fā)展的長(zhǎng)期需求，推進(jìn)安全運(yùn)營(yíng)的智能化和自動(dòng)化進(jìn)程。
