建站
咨詢
售后
建站咨詢
新聞中心
1 SOC一詞的起源
SOC(Security Operations Center)是一個(gè)外來(lái)詞。而在國(guó)外，SOC這個(gè)詞則來(lái)自于NOC(Network Operation Center，即網(wǎng)絡(luò)運(yùn)行中心)。NOC強(qiáng)調(diào)對(duì)客戶網(wǎng)絡(luò)進(jìn)行集中化、全方位的監(jiān)控、分析與響應(yīng)，實(shí)現(xiàn)體系化的網(wǎng)絡(luò)運(yùn)行維護(hù)。
隨著信息安全問(wèn)題的日益突出，安全管理理論與技術(shù)的不斷發(fā)展，需要從安全的角度去管理整個(gè)網(wǎng)絡(luò)和系統(tǒng)，而傳統(tǒng)的NOC在這方面缺少技術(shù)支撐，于是，出現(xiàn)了SOC的概念。不過(guò)，至今國(guó)外都沒(méi)有形成統(tǒng)一的SOC的定義。維基百科也只有基本的介紹：SOC(Security OperationsCenter)是組織中的一個(gè)集中單元，在整個(gè)組織和技術(shù)的高度處理各類安全問(wèn)題。SOC具有一個(gè)集中化的辦公地點(diǎn)，有固定的運(yùn)維管理人員。國(guó)外各個(gè)安全廠商和服務(wù)提供商對(duì)SOC的理解也差異明顯。
2 SOC產(chǎn)生的動(dòng)因
為了不斷應(yīng)對(duì)新的安全挑戰(zhàn)，企業(yè)和組織先后部署了防火墻、UTM、入侵檢測(cè)和防護(hù)系統(tǒng)、漏洞掃描系統(tǒng)、防病毒系統(tǒng)、終端管理系統(tǒng)，等等，構(gòu)建起了一道道安全防線。然而，這些安全防線都僅僅抵御來(lái)自某個(gè)方面的安全威脅，形成了一個(gè)個(gè)“安全防御孤島”，無(wú)法產(chǎn)生協(xié)同效應(yīng)。更為嚴(yán)重地，這些復(fù)雜的IT資源及其安全防御設(shè)施在運(yùn)行過(guò)程中不斷產(chǎn)生大量的安全日志和事件，形成了大量“信息孤島”，有限的安全管理人員面對(duì)這些數(shù)量巨大、彼此割裂的安全信息，操作著各種產(chǎn)品自身的控制臺(tái)界面和告警窗口，顯得束手無(wú)策，工作效率極低，難以發(fā)現(xiàn)真正的安全隱患。另一方面，企業(yè)和組織日益迫切的信息系統(tǒng)審計(jì)和內(nèi)控要求、等級(jí)保護(hù)要求，以及不斷增強(qiáng)的業(yè)務(wù)持續(xù)性需求，也對(duì)客戶提出了嚴(yán)峻的挑戰(zhàn)。
針對(duì)上述不斷突出的客戶需求，從2000年開(kāi)始，國(guó)內(nèi)外陸續(xù)推出了SOC(Security Operations Center)服務(wù)和產(chǎn)品。目前國(guó)內(nèi)的SOC產(chǎn)品也稱為安全管理平臺(tái)，由于受到國(guó)內(nèi)安全需求的影響，具有很強(qiáng)的中國(guó)特色。
3 SOC的定義
一般地，傳統(tǒng)SOC產(chǎn)品被定義為：以資產(chǎn)為核心，以安全事件管理為關(guān)鍵流程，采用安全域劃分的思想，建立一套實(shí)時(shí)的資產(chǎn)風(fēng)險(xiǎn)模型，協(xié)助管理員進(jìn)行事件分析、風(fēng)險(xiǎn)分析、預(yù)警管理和應(yīng)急響應(yīng)處理的集中安全管理系統(tǒng)。
本質(zhì)上，SOC不是一款單純的產(chǎn)品，而是一個(gè)復(fù)雜的系統(tǒng)，他既有產(chǎn)品，又有服務(wù)，還有運(yùn)維(運(yùn)營(yíng))，SOC（或者說(shuō)SOC系統(tǒng)）是技術(shù)、流程和人的有機(jī)結(jié)合。SOC產(chǎn)品是SOC系統(tǒng)的技術(shù)支撐平臺(tái)，這是SOC產(chǎn)品的價(jià)值所在，我們既不能夸大SOC產(chǎn)品的作用，也不能低估他的意義。這就好比一把好的掃帚并不意味著你就天然擁有干凈的屋子，還需要有人用它去打掃房間。
4 SOC在信息安全產(chǎn)業(yè)的地位
如果我們把信息安全產(chǎn)業(yè)分為產(chǎn)品和服務(wù)兩個(gè)部分，那么SOC產(chǎn)品位于信息安全產(chǎn)品市場(chǎng)金字塔的頂端。
SOC產(chǎn)品是所有安全產(chǎn)品的集大成者。SOC產(chǎn)品不是取代原有的安全產(chǎn)品，而是在這些安全產(chǎn)品之上，面向客戶，從業(yè)務(wù)的角度構(gòu)建了一個(gè)一體化的安全管理運(yùn)行的技術(shù)集成平臺(tái)。
信息安全產(chǎn)業(yè)是一個(gè)極速發(fā)展變化的產(chǎn)業(yè)，SOC的內(nèi)涵和外延也會(huì)不斷的更新，但是SOC產(chǎn)品在整個(gè)信息安全產(chǎn)品結(jié)構(gòu)中的頂層地位始終不會(huì)改變。
5 國(guó)外SOC的發(fā)展現(xiàn)狀
如前所述，國(guó)外的SOC并沒(méi)有明確的定義，其發(fā)展軌跡可以從產(chǎn)品和服務(wù)兩個(gè)維度來(lái)看。
SOC產(chǎn)品
國(guó)外鮮見(jiàn)以SOC命名的產(chǎn)品， SOC更多地是與服務(wù)掛鉤的。國(guó)外產(chǎn)品廠商使用了SIEM(Security Information and Event Management，安全信息與事件管理)這個(gè)詞來(lái)代表SOC產(chǎn)品，以示產(chǎn)品與服務(wù)的區(qū)隔。
必須指出的是，SIEM產(chǎn)品與我們理解的SOC 產(chǎn)品是有區(qū)別的，SIEM產(chǎn)品是SOC的核心產(chǎn)品，但不是全部。
根據(jù)Gartner2008年關(guān)于信息安全的Hype Cycle曲線分析顯示，全球安全管理平臺(tái)市場(chǎng)趨于成熟，還有不到兩年就將成為業(yè)界主流產(chǎn)品，如下圖所示：
圖：Gartner信息安全Hyper Cycle#p#
Gartner公司2009年安全信息和事件管理 (SIEM)幻方圖顯示，全球SIEM市場(chǎng)在2008年增長(zhǎng)了30%，整體收入達(dá)到了約10億美元。主要的SIEM廠家如下圖所示：
圖：Gartner SIEM 2009年幻方圖
SOC服務(wù)
SOC服務(wù)是指 MSSP(Managed Security Service Provider，可管理安全服務(wù)提供商)以SOC為技術(shù)支撐為客戶提供安全服務(wù)。這里，客戶感受到的只是安全服務(wù)，而非SOC本身。
從 SOC發(fā)展至今，國(guó)外更多地將SOC與服務(wù)聯(lián)系在了一起，這與國(guó)外(主要是歐美)信息安全發(fā)展的水平和客戶對(duì)安全的認(rèn)知水平有密切關(guān)系。
根據(jù) Gartner公司《2008年下半年北美MSSP幻方圖》顯示， 北美市場(chǎng)2007年的營(yíng)收大約是5.7億美元，預(yù)計(jì)在2008年全年會(huì)有15%的增長(zhǎng)。北美的主要廠家包括：
圖：Gartner北美MSSP 2008年下半年幻方圖
6 中國(guó)的SOC發(fā)展現(xiàn)狀
SOC這個(gè)概念，自傳入中國(guó)起，就深深的烙下了中國(guó)特色。由于信息安全產(chǎn)業(yè)和需求的特殊性使然，由于中國(guó)網(wǎng)絡(luò)與安全管理理念、制度、體系、機(jī)制的落后使然。
中國(guó)SOC的引入和發(fā)展與國(guó)外的情況有一個(gè)很大的不同，就是國(guó)內(nèi)在提出SOC的時(shí)候，除了電信、移動(dòng)、民航、金融等高度信息化的單位，大部分企業(yè)和組織連NOC都沒(méi)有建立起來(lái)。于是，國(guó)內(nèi)SOC的發(fā)展依據(jù)行業(yè)的不同出現(xiàn)了截然不同的發(fā)展軌跡。電信、移動(dòng)、民航、金融等單位較早的建立了NOC，對(duì)SOC的認(rèn)識(shí)過(guò)程與國(guó)外基本保持一致。其他企業(yè)和組織則對(duì)SOC認(rèn)識(shí)模糊，從而更加講求實(shí)效。這兩類客戶對(duì)于SOC的需求和期望是截然不同的，后者在需求的廣度上超過(guò)了前者，因而用電信、移動(dòng)、金融領(lǐng)域的SOC反而難以滿足政府等企事業(yè)單位客戶的需求。
SOC在國(guó)內(nèi)也有兩個(gè)發(fā)展維度，產(chǎn)品和服務(wù)。
SOC產(chǎn)品
在國(guó)內(nèi)，一般把SOC產(chǎn)品稱為安全管理平臺(tái)，但是，公安部的《安全管理平臺(tái)產(chǎn)品檢測(cè)規(guī)范》并沒(méi)有真正涵蓋現(xiàn)在SOC的全部?jī)?nèi)容。國(guó)內(nèi)的安全管理平臺(tái)具有狹義和廣義兩個(gè)定義。
狹義上，安全管理平臺(tái)重點(diǎn)是指對(duì)安全設(shè)備的集中管理，包括集中的運(yùn)行狀態(tài)監(jiān)控、事件采集分析、安全策略下發(fā)。
而廣義的安全管理平臺(tái)則不僅針對(duì)安全設(shè)備進(jìn)行管理，還要針對(duì)所有IT 資源，甚至是業(yè)務(wù)系統(tǒng)進(jìn)行集中的安全管理，包括對(duì)IT資源的運(yùn)行監(jiān)控、事件采集分析，還包括風(fēng)險(xiǎn)管理與運(yùn)維等內(nèi)容。這也是SOC的一般定義。
賽迪顧問(wèn)(CCID Consulting)于2007年開(kāi)始首次在其信息安全產(chǎn)品市場(chǎng)分析報(bào)告中對(duì)SOC產(chǎn)品進(jìn)行分析，目前已經(jīng)連續(xù)兩年進(jìn)行了相關(guān)研究。#p#
SOC 服務(wù)
在國(guó)內(nèi)，SOC服務(wù)始終處于萌芽狀態(tài)，與國(guó)外的如火如荼形成了鮮明的對(duì)比。這是國(guó)內(nèi)信息安全產(chǎn)業(yè)發(fā)展整體所處的階段所致。
最后，無(wú)論SOC如何在國(guó)內(nèi)發(fā)展，這個(gè)概念已經(jīng)漸漸為業(yè)界所認(rèn)同，也得到了客戶的認(rèn)可。隨著國(guó)內(nèi)信息安全水平的提升，信息安全產(chǎn)、學(xué)、研都紛紛加大了對(duì)它的關(guān)注度。
7 SOC2.0：安全管理平臺(tái)發(fā)展的新階段
隨著客戶業(yè)務(wù)的深化和行業(yè)需求的清晰，傳統(tǒng)SOC理念和技術(shù)的局限性逐漸凸現(xiàn)出來(lái)，主要體現(xiàn)在三個(gè)方面：首先，在體系設(shè)計(jì)方面，傳統(tǒng)SOC圍繞資產(chǎn)進(jìn)行功能設(shè)計(jì)，缺乏對(duì)業(yè)務(wù)的分析。其次，在技術(shù)支持方面，傳統(tǒng)SOC缺少全面的業(yè)務(wù)安全信息收集。最后，在實(shí)施過(guò)程方面，傳統(tǒng)SOC實(shí)施只考慮安全本身，沒(méi)有關(guān)注客戶業(yè)務(wù)。以資產(chǎn)為核心、缺乏業(yè)務(wù)視角的軟肋使得傳統(tǒng)SOC不能真正滿足客戶更深層次的需求。
對(duì)于用戶而言，真正的安全不是簡(jiǎn)單的設(shè)備安全，而是指業(yè)務(wù)系統(tǒng)安全。IT資源本身的安全管理不是目標(biāo)，核心需求是要保障IT資源所承載的業(yè)務(wù)的可用性、連續(xù)性、以及安全性，因?yàn)闃I(yè)務(wù)才是企業(yè)和組織的生命線。要保障業(yè)務(wù)安全，就要求為用戶建立一套以業(yè)務(wù)為核心的管理體系，從業(yè)務(wù)的角度去看待IT資源的運(yùn)行和安全。如果把傳統(tǒng)的 SOC稱為SOC1.0，那么面向業(yè)務(wù)的SOC就可以稱作SOC2.0。
SOC2.0的定義：SOC2.0是一個(gè)以業(yè)務(wù)為核心的、一體化的安全管理系統(tǒng)。SOC2.0從業(yè)務(wù)出發(fā)，通過(guò)業(yè)務(wù)需求分析、業(yè)務(wù)建模、面向業(yè)務(wù)的安全域和資產(chǎn)管理、業(yè)務(wù)連續(xù)性監(jiān)控、業(yè)務(wù)價(jià)值分析、業(yè)務(wù)風(fēng)險(xiǎn)和影響性分析、業(yè)務(wù)可視化等各個(gè)環(huán)節(jié)，采用主動(dòng)、被動(dòng)相結(jié)合的方法采集來(lái)自企業(yè)和組織中構(gòu)成業(yè)務(wù)系統(tǒng)的各種IT資源的安全信息，從業(yè)務(wù)的角度進(jìn)行歸一化、監(jiān)控、分析、審計(jì)、報(bào)警、響應(yīng)、存儲(chǔ)和報(bào)告。SOC2.0以業(yè)務(wù)為核心，貫穿了信息安全管理系統(tǒng)建設(shè)生命周期從調(diào)研、部署、實(shí)施到運(yùn)維的各個(gè)階段。
SOC2.0的價(jià)值就在于確保IT可靠、安全地與客戶業(yè)務(wù)戰(zhàn)略一致，促使客戶有效地利用信息資源，降低運(yùn)營(yíng)風(fēng)險(xiǎn)。
8 SOC的發(fā)展路線
如下圖所示，展示了 SOC技術(shù)、產(chǎn)品和市場(chǎng)的發(fā)展路線路。
圖：SOC發(fā)展階段
整體看來(lái)，SOC經(jīng)歷了一個(gè)從分散到集中，從以資產(chǎn)為核心到以業(yè)務(wù)核心的發(fā)展軌跡。隨著中國(guó)安全建設(shè)水平的不斷提升，安全管理的業(yè)務(wù)導(dǎo)向程度會(huì)越來(lái)越明顯。
在信息安全建設(shè)的早期，更多地是部署各類安全設(shè)備和系統(tǒng)，逐漸形成了“安全防御孤島”，導(dǎo)致了安全管理的成本急劇上升，而安全保障效率迅速下降。為此，出現(xiàn)了最早的安全管理系統(tǒng)，主要是實(shí)現(xiàn)對(duì)網(wǎng)絡(luò)中分散的防火墻/VPN等設(shè)備的集中監(jiān)控與策略下發(fā)，構(gòu)建一個(gè)較為完整的邊界安全統(tǒng)一防護(hù)體系。
隨著對(duì)信息安全認(rèn)識(shí)的不斷深入，安全管理體系化思想逐漸成熟，出現(xiàn)了以信息系統(tǒng)資產(chǎn)為核心的全面安全監(jiān)控、分析、響應(yīng)系統(tǒng)——SOC1.0。SOC1.0以資產(chǎn)為主線，實(shí)現(xiàn)了較為全面的事件管理與處理流程，以及風(fēng)險(xiǎn)管理與運(yùn)維流程。
SOC1.0的出現(xiàn)，提升了用戶信息安全管理的水平，從而也對(duì)信息安全管理有了更高的期望，要求從客戶業(yè)務(wù)的角度來(lái)進(jìn)行安全管理的呼聲日益增長(zhǎng)，于是出現(xiàn)了面向業(yè)務(wù)的 SOC2.0。SOC2.0繼承和發(fā)展的傳統(tǒng)SOC1.0的集中管理思想，將安全與業(yè)務(wù)融合，真正從客戶業(yè)務(wù)價(jià)值的角度去進(jìn)行一體化安全體系的建設(shè)。
9 SOC的未來(lái)發(fā)展趨勢(shì)
展望未來(lái)，SOC的發(fā)展始終會(huì)沿著兩個(gè)路徑前進(jìn)：產(chǎn)品和服務(wù)。
從產(chǎn)品的角度來(lái)看，從SOC1.0到SOC2.0，實(shí)現(xiàn)了業(yè)務(wù)與安全的融合，符合整個(gè) IT管理需求、技術(shù)的發(fā)展大勢(shì)。下一步，將會(huì)不斷涌現(xiàn)面向業(yè)務(wù)的SOC2.0產(chǎn)品。隨著客戶需求的日益突出、業(yè)務(wù)系統(tǒng)的日益復(fù)雜，越來(lái)越多的企業(yè)和組織會(huì)部署SOC系統(tǒng)。
從服務(wù)的角度看，SOC將成為MSSP(可管理安全服務(wù)提供商)的服務(wù)支撐平臺(tái)，成為SaaS(軟件即服務(wù)，安全即服務(wù))的技術(shù)支撐平臺(tái)，成為云計(jì)算、云安全的安全管理后臺(tái)。所有用戶體驗(yàn)到的安全服務(wù)都會(huì)由SOC來(lái)進(jìn)行總體支撐。
一方面，SOC產(chǎn)品的業(yè)務(wù)理念和思路會(huì)滲透到SOC服務(wù)之中;另一方面，SOC服務(wù)水平與客戶認(rèn)知的提升也會(huì)促進(jìn)SOC產(chǎn)品的發(fā)展與成熟。
【編輯推薦】
- 用SafeSquid實(shí)現(xiàn)跨多個(gè)遠(yuǎn)程代理服務(wù)器的集中安全管理
- 穩(wěn)捷網(wǎng)絡(luò)公司IDC安全管理解決方案
- 內(nèi)網(wǎng)安全管理的特點(diǎn)和產(chǎn)品的選擇
- 跳出SOC看SOC
分享名稱：安全管理平臺(tái)（SOC平臺(tái)）的發(fā)展趨勢(shì)分析
當(dāng)前路徑：http://m.5511xx.com/article/dhidcpd.html
