安全运营中心

1. SOC 概述

1.1 SOC 职能

1.2 SOC 成熟度

2. SIEM

2.1 核心功能

• 日志采集和归一化
• 关联分析
• 告警生成
• 取证搜索
• 合规报告

2.2 关联规则

规则：5分钟内同一IP登录失败5次 + 成功登录
→ 可能是暴力破解成功

2.3 常见 SIEM

3. SOAR

3.1 安全编排自动化

将安全操作流程自动化：

告警 → 富化（查询威胁情报）→ 分类 → 响应（封禁IP/隔离主机）

3.2 Playbook 示例

name: 暴力破解响应
trigger: alert.type == "brute_force"
steps:
  - action: enrich
    query: whois {{source_ip}}
  - action: check
    query: threat_intel {{source_ip}}
  - condition: is_malicious
    true:
      - action: block_ip
        firewall: edge
        ip: { { source_ip } }
      - action: notify
        channel: security-team
    false:
      - action: close_alert
        reason: false_positive

4. 威胁情报

4.1 情报类型

4.2 MITRE ATT&CK 应用

• 映射检测规则到ATT&CK
• 识别覆盖盲区
• 评估防御能力

5. 事件响应

5.1 响应流程

准备 → 检测 → 遏制 → 根除 → 恢复 → 复盘

5.2 事件分级

6. 安全度量