当前位置：文档之家 › SOC 网络安全威胁 !

SOC 网络安全威胁 !

  • 格式：doc
  • 大小：224.00 KB
  • 文档页数：9

吴家祺

国家资通安全会报技术服务中心副主任

网络安全的威胁

根据美国联邦调查局(FBI)所公布的2005年的最新网络犯罪和计算机系统遭受攻击调查，对包括：金融、高科技、政府、制造业、医疗、ISP、教育等类别共约700个受访单位，有几项重要显示如下：

一、 病毒攻击事件是造成最大之金钱损失的原因，其次是非授权存取，再来才是瘫痪式网络攻击

二、 非授权存取信息与数据被窃所造成之损失有增加之趋势

三、 网站事件升高许多

四、 资安委外比例仍然很低

五、 资安事件发生大多不愿意报案，以免影响声誉

六、 超过 87% 受访单位有执行资安稽核

七、 沙宾法案 (Sarbanes-Oxley Act) 开始对业界产生资安需求之影响

八、 大部分受访单位认为资安倡导很重要，但所投入之资源仍欠缺

根据赛门铁克(Symantec)部署于全球500个安全委外代管服务客户之40,000侦测器，于180个国家持续观察网络活动，2005年下半年具金钱意图所发动的在线诈骗攻击，还是首要锁定金融服务产业，其次则是教育机构及小型企业。

网络安全的威胁不分国界，上述显示是否在我国会有类似情形？我国信息化与网络化情况日益蓬勃发展，资安事件亦层出不穷，为确保对内或对外的电子商务或电子化政府活动都能畅通无阻，降低安全的风险，大部分政府或企业都逐渐有信息安全的风险管理观念，也普遍已有防毒、防火墙，甚至入侵侦测系统的资安产品部署，来防护或侦测信息安全事件的发生。但是为什么资安事件仍屡见不鲜？道理很简单「Security has no silver bullet（信息安全没有银色子弹）」，但是很多单位「资安事件的发生却没有发现」是不争的事实，这也意味着部署了防火墙、入侵侦测系统侦测的信息，是否有误报？是否有效？是否有专门的系统管理？或有专业的人来监看这些信息，并做进一步的因应，以降低资安风险？于是近年来有所谓的资安监控中心(SOC, Security Operation Center)或MSS (Managed

Security Service)7x24的资安事件监控管理的委外服务的出现。

本文将参考Meta Group、Gartner等研究单位的报告，针对资安监控中心(SOC)或MSS作一些探讨，希望读者在自建或委外SOC时有所帮助。

SOC 相关名词定义

在界定何谓SOC之前，首先需先了解下列几个SOC相关名词： 一、SOC(Security Operation Center)

可译为「资安监控中心」，类似中兴或新光保全有防盗的监控中心，而SOC是防护网络安全事件的监控中心，在Meta Group所述「SOC- Focus on security alert and

escalation handling and act as a command center during security incidents (e.g., intrusions)，SOC为焦注于资安警讯、警戒提升处置及资安事件（如：入侵发生时）之指挥中心」，所以可视为资安事件监控与处理之作业中心，该中心应有人员(People)、产品(Product)及程序(Procedure)整合起来。通常SOC具备研究、监看、扫瞄、应变、报告等五项基本功能，而通常一个SOC会对多个客户以分散收集、集中管理方式达成上述功能。

二、MSS(Managed Security Service)

MSS可视为「SOC委外服务之通称」，Gartner将MSS解释为「An MSS includes remote, subscription-based monitoring and/or management of Firewalls, intrusion detection

and prevention functions via customer-premises-based or network-based devices」，MSS包含远程及藉由客户或网络设备之防火墙、入侵侦测之监控或管理之申请之防护服务。通常MSS以现场或远程方式提供7x24的实时监控、防护、警戒提升与应变程序。

三、MSSP(Managed Security Service Provider)

SOC委外服务之厂商，例如：美国的VeriSign、Symantec及Internet Security Systems(ISS)，及国内的宏碁与数联资安公司就是典型的MSSP。其中原来以CA凭证见称的VeriSign并购了一家MSS做的很不错的Guardent，而Symantec防毒大厂主要并购了Riptech这家MSS著名的公司，是否这些资安大厂看准了MSS会是一个趋势吗？

四、SIM/SEM

Security Information/Event Management是「安全信息管理工具，可以提供SOC收集信息与事件关联的功能」，可视为资安设备信息集中监控分析之软件工具统称，通常SOC会使用SIM或SEM，SIM/SEM的功能不同价位也有极大的差异。例如：ArcSight、e-Cop、SIMCommender等多达十余种。

国内外SOC厂商（MSSP）与市场需求

在本章节中，将针对提供SOC服务的厂商，在北美、欧洲、亚太地区（日本除外）、台湾地区的情形与市场需求，整理说明如下：

一、北美地区

市场规模在2004年约9亿3千600万美金（折合新台币300亿元），2005年约10亿美金（折合新台币320亿元），约20家主要SOC厂商（MSSP）厂商（如图一），本图依据厂商的「执行能力」（包含：产品服务、存续能力、业务/价格、营销、客户经验、作业）及「愿景完整」（包含：市场掌握、营销策略、业务策略、产品/服务策略、商业模式、产业策略、创新）将这些厂商分成四个象限：

(一) 领导者(Leaders)：具有鲜明的MSS特色，在客户心中为仅作信息安全的厂商，在Gartner客户调查回复服务与效能均非常正面，如：VeriSign、Symantec、Internet Security Systems

(二) 挑战者(Challengers)：大多为电信、委外或顾问服务中提供MSS加值服务，通常并非最为客户所想的MSSP，但却是最不会去抵抗的附加服务，因此此类厂商为北美所占MSSP市场之大宗，如：AT&T、IBM、Unisys、Equant、CSC、Getronics

(三) 愿景者(Visionaries)：此类厂商展现其专注于资安管理高质量服务的能力，如：MCI、Cybertrust、LURHQ、Solutionary

(四) 利基者(Niche Players)：此类厂商多为在某一类别市场很成功，如：EDS、Sprint(电话业)、Perimeter Internetworking（金融业）、Securework（金融业）、VigilantMinds（医疗业）

(图一)中的MSSP均具备下列条件： (一)管理或监看超过200个客户设备。

(二)有能力监看或/及管理防火墙。

(三)提供分布式监看入侵侦测系统及入侵防护系统服务。

北美市场有个趋势是大型解决方案厂商并购专门做信息委外之厂商，如：MCI并购NetSec，Getronics并购RedSiren以拓展MSS之版图。此外，北美市场有逐渐成熟之驱动力主要为：

(一)更多的基本资安作业委外需求，例如：防火墙管理、入侵侦测系统监看及渐渐也获采用入侵防御系统的监看。

(二)需要符合政府法规的要求，例如：Payment Card安全要求，使业者需要MSSP提供文件程序及报告弱点管理周期活动。

(三)以注册会员形式或在大的资安监看服务中搭配经常性的弱点扫瞄，比起以前一次性的资安检测，作为需求单位需维护工具，或聘请资安专家的替代方案，已更加殷切。

(图一)北美地区SOC厂商特色

二、欧洲地区

市场规模在2004年约7亿2千500万美金（折合新台币232亿元），2005年约8亿美金（折合新台币240亿元）。欧洲主要SOC厂商（MSSP）约10家左右（如图二），分成领先者(Leader)、挑战者(Challenger)及追随者(Follower)三类厂商。欧洲MSSP市场投入者有资安专家、网络与通讯服务供货商、IT委外服务供货商，这些供货商会着眼于不同区域、产业别，并展现其强项及价值之特色。

(一) 领先者：此类厂商提供专业、标准作业程序、领先的资安技术，并拥有一群团队与法律专家，并施予教育训练与轮班作业，在MSS效能上很不错。

1. Ubizen：不论在效能与占有率均高，特别在金融、自动化及实际维运上均表现显著，并与 Betrusted 与 TruSecure 合并，以确保其长期在 MSSP 投入之决心。 2. Unisys：非常有意愿采用客户需求，并锁定区域性金融业与交通业之客户，然而其在 MSSP 市场仍然不多。

(二) 挑战者：此类厂商不是已为信息大厂就是拥有大量既有客户，为了资安加值服务而进入MSS领域，会藉由伙伴厂商补足地域性和服务上的不足之处。

1. Symantec：虽然是全球性资安大厂，尤其在既有资安市场占有率高，然而在客户的反应上，希望其在 MSS 服务上的交涉与服务水平协议的客制化能更符合客户需求。

2. ISS：在技术能力、资安弱点与威胁分析上是其公司旗下 X-Force 部门之强项，并在 MSS 力求在欧洲地区市场能有所拓展。

3. Equant及AT&T：二者均是网络服务厂商，很类似的是都希望藉由既有之信息基础设施服务加上资安服务的价值，通常会找专门做 MSS 的厂商合作，例如：Equant 找 Ubizen 为伙伴在 MSS 上拓展，然而此类厂商很难建立在 MSSP 之名气。但重点是这类厂商主要目的是要妥善运用 Leverage 其自有网络服务基础，在此原有服务包裹着资安委外管理服务，企图在市场上能有一些斩获，是这类厂商的机会。

(三) 追随者：此类厂商通常在某一领域很强（如：全球化、客制化或整合服务），但欠缺其它要项（如：弹性化、员工专业、客户互动），因此在大型服务案之下与客户建立良好关系是一个重要考虑。

1. Infonet：是全球资安厂商，但较欠缺策略、经验与网络安全服务，但在 BT 厂想要并购下，可能会在 MSS 投入资源。

2. CSC：是一家主要以 IT 服务之厂商，在广大客户需求下MSS之 服务，也着手尽量符合暨有客户之需求。

(图二)欧洲地区SOC厂商

综上而言，欧洲的MSSP市场成熟缓慢，厂商需要强化其作业程序、技术及服务范围。然而估计2005年欧洲60%欧洲企业(其中大企业约25%，中小企业（员工小于500人）约60%)会委外至少一项网络安全设备之监看或管理，大型企业尤其是对资安风险非常了解的金融业、医疗业及国防机关需求更高。特别是西欧，

合集下载

网络安全运营中心简介

网络安全运营中心简介

网络安全运营中心简介

网络安全运营中心（Security Operation Center，简称SOC）是一个集中管理和监控企业网络安全的中心，其主要职责是通过实时监控、分析和响应网络事件，提供快速有效的安全威胁检测和响应。

网络安全运营中心的建立旨在提高企业网络安全的效率和效果。通过集中监测流量、分析日志、检测异常行为和控制风险，可以及时发现并应对各类安全威胁。SOC通常由一支由专业安全人员组成的团队负责运营，团队成员具备丰富的安全经验和技能，能够快速定位并解决网络安全事件。

网络安全运营中心的核心功能包括安全事件监控、入侵检测、漏洞管理、安全事件响应和安全事件记录。安全事件监控是SOC的基础功能，通过实时监测网络流量和系统日志，可以快速发现异常行为和潜在的安全威胁。入侵检测是指通过分析网络流量、日志和一些特定的入侵检测系统，发现并阻止入侵行为，降低系统受攻击的风险。漏洞管理是指通过定期扫描和评估系统的安全漏洞，提前发现并修补可能被攻击者利用的漏洞。安全事件响应是指在发生安全事件后，迅速做出反应，采取措施控制和修复受影响的系统。安全事件记录是指将安全事件的信息进行持久化保存，为安全分析和审计提供依据。

网络安全运营中心的建立有助于提升企业对网络安全的认识和意识，加强对潜在安全威胁的防御和应对能力。SOC可以实时监控和分析网络流量，通过行为分析和异常检测技术，提前发现并拦截可能的攻击行为。SOC还可以通过定期漏洞扫描和评估，帮助企业发现和修复系统漏洞，减少被攻击的风险。当网络安全事件发生时，SOC能够迅速响应，并采取措施控制和修复受影响的系统，最大限度地减少安全风险和损失。

总之，网络安全运营中心是一个集中管理和监控企业网络安全的中心，通过实时监测、分析和响应安全事件，提供快速有效的安全威胁检测和响应。它的建立有助于提高企业对网络安全的防御和应对能力，降低系统被攻击的风险，保护企业的信息安全。

网络安全soc

网络安全soc

网络安全soc

SOC（Security Operations Center，安全运营中心）是指为了提供全面、实时、有力的网络安全监控和应急响应服务而设立的一个集中的安全运营管理部门。SOC的主要职责是负责监控网络和系统的安全状态，及时发现和应对各类网络攻击和安全事件，并提供相应的应急响应和处置措施，以确保网络和系统的安全和稳定运行。

SOC通过采用先进的网络安全技术和工具，结合专业的安全分析人员，可以实时监控网络流量、事件日志、漏洞扫描等安全数据，并对其进行集中分析和处理。通过实时监测和分析，SOC可以快速发现和定位网络攻击和威胁行为，及时采取相应的应急措施，以减少损失和风险。

为了保证有效的运作，SOC通常分为三个主要层次：一级SOC、二级SOC和三级SOC。一级SOC通常位于企业或组织内部，负责监控和处理日常的安全事件和威胁；二级SOC则负责处理一级SOC无法应对的复杂安全事件；三级SOC则是由专业的安全厂商或安全机构提供，负责处理全球范围内的高级威胁和攻击。

SOC不仅仅只是一个响应和处置安全事件的中心，更重要的是它通过不断积累和分析安全数据，提供安全威胁情报和分析报告，为企业和组织的决策提供重要的依据。SOC可以帮助企业和组织全面了解自身的安全风险和威胁，及时采取相应的措施，提高安全防护能力和应对能力。

为了确保SOC的有效运作，需要建立完善的安全运营流程和规范，明确各种安全事件的处理流程和责任分工。同时，还需要不断更新和提升安全技术和能力，保持与网络攻击和威胁的同步。只有这样，才能够更好地保护企业和组织的网络和系统安全。

网络信息安全中的网络安全运营中心(SOC)

网络信息安全中的网络安全运营中心(SOC)

网络信息安全中的网络安全运营中心（SOC）

随着互联网的普及和发展，网络安全问题逐渐引起了人们的重视。在如今的数字化时代，各种网络攻击和威胁层出不穷，网络安全运营中心（Security Operations Center，SOC）应运而生。本文将就网络信息安全中的SOC进行探讨和介绍。

一、什么是网络安全运营中心（SOC）

网络安全运营中心（SOC）是一个专注于保护网络安全的实体或部门。它是一个集中的、跨职能的团队，致力于监控、分析和响应与网络安全相关的事件和威胁。SOC通常由网络安全专家、分析师和工程师等不同领域的专业人员组成，他们通过使用各种安全工具和技术，为组织提供全天候的安全监控和防护服务。

二、SOC的功能和作用

1. 安全事件监控与检测：

SOC负责监测网络中的异常活动和安全事件，包括但不限于入侵、攻击、恶意软件和数据泄露等。通过使用先进的安全监控工具和技术，SOC能够及时检测到潜在的威胁并采取相应措施进行响应。

2. 安全事件响应与处置：

SOC在发现安全事件后，会立即采取相应的措施进行响应和处置。这可能包括隔离受感染的系统、恢复受损的数据、阻止进一步的攻击等。SOC的主要目标是最小化网络攻击对组织的影响，并尽快恢复正常的运营状态。

3. 安全事件分析与调查：

SOC还负责对安全事件进行分析和调查，以确定攻击的来源、目的和方法。通过深入的分析和调查，SOC能够获得有关攻击者的信息，并采取相应的措施来增强组织的安全防护能力。

4. 安全开发与优化：

SOC不仅负责日常的安全运营工作，还致力于安全系统的开发和优化。他们会不断地评估和改进组织的安全架构、策略和流程，以提高组织的网络安全能力。

三、SOC的组成和结构

SOC的组成和结构可能因组织和规模而有所不同，但一般来说，它由以下几个部分组成：

1. 指挥中心：

指挥中心是SOC的核心，负责协调和管理整个安全运营工作。它通常由一组高级安全专家和管理人员组成，他们负责制定安全策略、指导安全团队，并决策处理重大安全事件。

网络安全运营中心(SOC)建设指南

网络安全运营中心(SOC)建设指南

网络安全运营中心（SOC）建设指南

随着互联网的迅猛发展和数字化时代的到来，网络安全问题日益突显。各种安全威胁层出不穷，企业和机构如何保障自身的网络安全成为了亟待解决的问题。而网络安全运营中心（SOC）的建设成为了一种行之有效的方式。本文将从构建目标、组织架构及技术支撑三个方面，探讨网络安全运营中心的建设指南。

一、构建目标

网络安全运营中心（SOC）的建设目标是保障企业和机构信息系统的安全性、稳定性和可靠性。为了实现这一目标，企业和机构应该明确以下几点：

1. 制定详细的安全策略：明确安全防护的重点和目标，并提出针对不同安全风险的具体防范措施。

2. 建立全面覆盖的安全监控体系：包括对系统、网络、数据库等各个方面的安全监控，及时发现并应对潜在威胁。

3. 高效快速的事件响应能力：建立完善的事件响应流程，进行灵活、高效的应急处置，降低网络安全事件对企业造成的损失。

二、组织架构

一个结构合理、职责明确的组织架构对于网络安全运营中心的高效运作至关重要。在构建SOC时，需要明确以下几个要点： 1. 领导支持：安全事务需要得到组织高层的重视和支持，建立一个专门负责网络安全的部门或小组。

2. 人员配置：SOC需要拥有经验丰富的安全人员，他们能够分析、检测和应对各种网络安全事件。

3. 职责划分：明确不同岗位的职责，并建立良好的协作和信息沟通机制。

4. 外部合作：与政府相关机构、第三方安全服务机构建立合作关系，及时获取外部威胁情报和安全更新信息。

三、技术支撑

技术是网络安全运营中心的核心支撑，它决定了SOC的功能强大和高效运作。以下是网络安全运营中心建设的技术支持方面的注意事项：

1. 安全设备选型：选择符合企业需求的防火墙、入侵检测系统（IDS）、入侵防御系统（IPS）等安全设备。

2. 安全监测系统：部署监测系统，实时收集、分析和处理网络数据信息，发现潜在的安全威胁。

3. 安全事件响应系统：建立事件响应系统，能够对安全事件进行快速、有效的处置，降低安全事件对企业的影响。