【百鍊神盾】資訊安全監控中心是這樣鍊成的

    越來越多機構建立 Security Operation Centers(SOCs),監察和應對資安威脅,不過要 100% 發揮 SOC 威力,前期功夫要做足,尤其資訊、系統和員工 3 大範疇。

    很多組織忽略資訊整合的重要性,隨意看待收集的資訊,甚至懶去設立優先次序,甚甚至用 Spreadsheet 管理之。系統最常見的問題係各自為政,沒有自動化工作流程,系統間互不協調,更不會處理系統所運用的專用「語言」,嚴重阻礙跨系統操作。 員工方面,能夠追上資安發展的人才買少見少,一入職場又深似海,無止境重複又耗時的營運事項完全磨滅員工學習時間與精神。要建立完善的 SOC,發揮偵測能力,深入了解威脅,召集相關團隊合作,盡快解除危機,組織要認真看待資訊、系統與員工 3 個範疇。

    今次先同大家講一講整合資訊的過程。要做好偵測工作,自要充分了解你所面對的威脅,有甚麼必須防禦,關鍵在於整合內外部資訊。由內部著手,你首先要收集內部所有資訊,不同資安層級的資訊都要整合,當然亦包括雲端。安全資訊事件管理(SIEM)的資訊,固然對 SOC 有很大幫助,但請大家別忽略 Endpoint Detection and Response(EDR)、Network Detection and Response(NDR)與 Cloud Detection and Response(CDR),它們的資訊不單可靠,而且免費!把內部資訊整合後,威脅與應變的中央指揮部雛形已成,下一步要擴展外部威脅情報,範疇包括商業、開源、政府、工業、資安供應商,又或者來自 MITRE ATT&CK 這類資安平台。資安團隊四方八面接收過百萬個威脅情報,很難有時間發掘第 3 方情報的優勢。第 29 屆 USENIX Security Symposium 上發表的報告就指出大眾普遍忽略這些情報的重要性。有效將它融入中央指揮部,才能有效阻止侵略,甚至自行修復。

    刻下時代步伐超急速,COVID19 與 SolarWinds Orion 事件分別突顯社會形態劇變與連鎖效應的誇張幅度,與及所帶來的資安威脅有幾快有幾大。在 SOC 層面,用家要根據自己行業的風險,更具想像力定期創建相關的 Connector,擴充 SOC 的情報來源。這樣強化才能應對現今資安環境,讓 SOC 可以在更短時間發出危機通知,並擬定應變策略。

    正確整合內外部情報的中央指揮部,就能得出一個真理般可靠的 SOC,不過經擴充的情報網,其情報量之多,必需以優先次序歸類。即使再權威的國際資安風險顧問公司,背後有再多研究支持,它們提供的意見始終 Generic,不能針對你處境位置,訂出更完善的報情源過濾網。與其將時間與資源捕風捉影,不如投放在真正有生產力的地方。中央指揮部亦會透過這個進程學習進步,未來可以自動化評估新資訊並按重要性排序處理。

    SOC 不會一天內成長,但建立可靠的中央指揮部,定期觀察並更新資訊,不斷擴展相關情報來源,才可以將 SOC 效率最大化,自動化預視探測最高風險資安威脅,從速發出通知並擬定對策。節省下來資源,則調配到所需部門。

    #Security Operation Center

    相關文章