14、网络安全中的检测控制措施解析

网络安全中的检测控制措施解析

1. SOC（安全运营中心）概述

SOC 是由信息安全专业人员组成的团队，他们协同工作，对组织面临的潜在网络安全危害进行监控、识别、评估和调查。在寻找网络攻击迹象时，会定期对计算机网络、网站、计算机、终端用户设备以及所有 IT 资产进行持续扫描，这有助于识别潜在漏洞，更重要的是，能发现任何试图突破安全控制的行为。

1.1 SOC 的工作方式

SOC 的主要功能包括威胁监控和通知。它需要收集和处理组织内各控制措施产生的原始日志，并基于这些日志构建用例，以分析和识别任何可疑或有害行为。日志来源广泛，涵盖网络网关、入侵检测系统（IDS）、入侵防御系统（IPS）、域控制器、端点安全工具、主机和网络防火墙、网络代理等。

由于组织规模和复杂性不同，每天的日志量可能达到数千万甚至数亿行。因此，寻找潜在威胁并非易事，需要借助合适的工具构建正确的用例。可将此过程类比为在海量技术日志中寻找针，若没有这一过程，组织可能无法充分发挥安全控制措施的价值。

当发现存在差异、异常模式或其他攻击指标（IoC）等潜在攻击证据时，任何通知或潜在警报应立即发送给 SOC 团队成员，或可能发送给计算机安全事件响应团队（CSIRT）。

1.2 SOC 的好处

部署安全控制措施若缺乏适当的监督和治理，其价值将大打折扣。SOC 不仅要审查单个安全产品发出的警报，还要汇总和关联所有产品的日志。以下是一些蓝队可能为 SOC 团队定义的基本用例：
- 审查系统或域控制器日志，查找对任何账户的暴力破解或凭证填充尝试。
- 监控特权账户的使用情况，防范任何未经授权的使用。
- 监控防病毒或