11、安全监控运营：人员、流程与技术的协同之道

安全监控运营：人员、流程与技术的协同之道

1. 持续评估与维护安全策略

在当今快速发展的技术环境中，组织需要不断识别那些需要额外保护、架构审查或采用替代检测策略的领域，同时开发新的报告。即使当下能够防御所有系统并检测到面临的所有威胁，但技术的发展速度意味着明天会面临新的挑战。因此，将剧本的定期维护作为团队运营的重要组成部分，能够让剧本始终包含新的威胁检测技术和策略，从而为应对当前不断出现的威胁做好准备。

2. 人员在安全监控中的核心地位

人员是安全监控服务流程中不可或缺的部分。没有任何计算机或程序能够替代具备上下文信息的人类分析。与计算机软件的流程图式决策不同，人类能够进行有效的推理、参考（并开发）上下文指标，分析动机或其他人类特性。

Bruce Schneier曾说：“安全是一个过程，而非产品”。支持监控过程需要分析师、数据管理员和基础设施支持人员。在将计划付诸行动时，需要考虑以下因素来确定所需资源的数量或如何最佳利用现有资源：
- 每天收集多少警报？
- 分析一个警报或整个报告平均需要多长时间？
- 是否每份报告都能完整分析？
- 是否有足够时间重新审视旧报告的有效性？
- 未来安全警报的预计数量是多少，发生重大事件时该如何应对？
- 员工是否具备理解报告结果的技能？
- 分析师在补救工作中扮演什么角色，事件复发情况如何？
- 剧本能否自动运行，还是需要人工交互来获取结果？

通过定期回顾这些问题，可以确保资源分配正确，并实现适当而准确的覆盖。

3. 自动化与人工分析的结合

自动化剧本系统可以确保将结果交付给分析