13、网络安全运营：从基线监控到事件响应与漏洞管理

网络安全运营：从基线监控到事件响应与漏洞管理

1. 连续监控与优先级信息请求

在网络安全运营中，连续监控是保障组织安全的重要手段。当前面临的问题是难以评估用户的 IT 事件是否与特定的 IT 安全或威胁情报事件相关。为此，我们设定了基线和异常情况：
- 基线 ：在 IT 帮助台和 IT 安全连续监控之间，每个班次报告的信息安全事件数量可忽略不计（全球少于 25 起）。
- 异常 ：每个班次报告的信息安全事件数量增加（全球超过 25 起）。

同时，我们确定了两个优先级信息请求（PIR）：
- PIR 1 ：了解威胁情报何时与报告给 IT 帮助台的事件工单相关联。
- PIR 2 ：了解任何系统何时受到勒索软件影响，包括位置、时间、日期和攻击向量。

为实现这些 PIR，我们将过程分为几个阶段：
| 阶段 | 目标 |
| ---- | ---- |
| 初始阶段 | 与关键人员进行规划，识别问题并提出解决方案 |
| 阶段 A | 制定并建立支持连续监控 PIR 的政策和程序 |
| 阶段 B | 将威胁情报集成到安全意识中，开发威胁情报与 IT 帮助台的关联监控能力，建立 PIR 1 的自动电子邮件报告 |
| 阶段 C | 建立 PIR 2 的自动报告给关键利益相关者 |

初始阶段的具体步骤如下：
1. 确定关键人员。
2. 与关键人员一起：
- 绘制威胁情报开发的端到端流程。