网络通信 频道

如何保证实施非常好的安全运营中心

  【IT168技术】随着互联网的飞速发展,越来越多的公司利用互联网创建共享的工作环境,甚至将公司的经营活动转移到虚拟服务器上,这样可以大大节约在通信、市场营销、安全等方面的支出。但是,公司使用的网络环境如果没有安全防御,就可能遭受黑客或竞争对手的入侵,导致公司的机密数据或信息丢失,这是当前很多企业使用互联网进行经营的最大挑战。安全运营中心(SOC)的出现,无疑给这些企业带来了希望。那么,企业如何才能保证实施非常好的的安全运营中心呢?

  如今,用户需要网络环境定制、更快速的响应、对安全的可控管理,而仅仅依托于软、硬件安全产品显然无法满足这些需求,安全运营中心也就在这样的背景下出现的。SOC的主要目的是为了让用户免受来自网络方面的各种威胁,其建设并不应该理解为单一产品或者一些安全产品的集合,SOC实际是一个整体安全建设的过程和成果。SOC应该由安全信息平台、安全事件平台、运营维护制度、安全支持服务、安全功能代理、专业维护人员等一系列要素构成。SOC是一种集中式的安全管理方式,它包含集中安全设备管理、安全事件收集、事件关联分析、状态监视、分析报表等重要技术组件。除技术之外,SOC还有运营人员、应急小组和专家队伍,这是其特别之处。

  实施SOC的准备工作

  用户在实施SOC之前,必须在进行充分沟通的基础上制定有效的安全策略。Orange Business Services中国区首席技术官刘昕说,安全策略能让用户明确SOC角色,因为它将是用户每一次行动的基础。如果用户主要是想对安全事件作出迅速响应,那么用户应该考虑在SOC中纳入合规监控功能。这样的话,用户必须决定SOC要管理哪些方面,是仅限于管理网络,还是管理所有行为?此外,用户还需要知道网络是否实施内容过滤,哪些是违反规定的行为。同样重要的是,无论是简单观察、记录和报告重复性攻击,还是主动解除威胁,用户都应基于SOC角色。当用户明确了每一项责任之后,就可以在SOC的每个阶段将这些责任分派至个人。

  SOC作为防御性工具,应满足企业战略需求。网络风险的存在是用户加强网络安全防御的动力,因此,用户进行网络风险分析显得尤为重要。风险分析的结果应作为制定安全策略的基础,并必须定期进行重新评估,每年或每两年应进行一次重新评估,并对SOC进行相应修订,这一点十分重要。

  拥有一套明确的程序,是决定SOC能否成功保护系统不受威胁的关键。这些程序要明确说明工作人员在面对网络攻击时,所应采取的行动。而且,一套明确的程序还应保证各方都知道如何正确地履行自己的职责,如果还能说明工作人员如何使用各种工具,那将更有益处。根据用户的企业架构,应有几种不同的选择来管理权限升级。另外,程序应说明与业务运营有关的各种重要细节,并将它们作为事件处理程序的参考资料。

  任命适当的人员

  人们经常讨论应该具备何种水平的技能和经验,才能应对各种威胁事件,却忽略了人员配备方面的问题。有的公司为了省钱而雇佣缺乏经验的“新”人,再对他们进行网络威胁与防御方面的培训。这种做法是不可取的,这是因为工作人员所必备技能是非常专业和复杂的,不是可以轻易掌握的。相对于新人,网络工程师具备明显的优势,他们非常熟悉公司内部管理和网络设计,并且知道在面对各种攻击时应该联系哪些关键人物。那么,网络工程师能否胜任这一职位呢?刘昕分析说,首先,网络工程师不是专门为了识别可能攻击系统的各种威胁,并不能代表他们可以很好地识别网络中几乎没有研究过的数据包。其次,管理任何威胁事件都需要独特的流程规则,这需要在对事件迅速作出适当响应前,对其中涉及的任何情况都有很好的了解。那么什么样的人才能胜任呢?刘昕认为,有经验的事件响应人员、可靠的IDS分析师、有着丰富网络经验的分析师,他们是在数据的海洋中搜索微小细节的精英,就是这一职位的理想人选。当然,聘用这些人员必然会增大公司的成本,但是这样的付出最终将会获得回报。

  SOC的作用及整合

  当用户在开始实施SOC时,需要界定组织动态。这一步骤将有助于说明在应对威胁时,每一级别所扮演的角色。刘昕表示,用户应考虑组织动态的三个级别,即0级、1级、2级。他解释说,0级是核心服务,其中安全中心运营程序涉及监控、防御和缓解外部攻击的功能。0级负责执行事件响应,实施完全监视,并根据组织业务的需要提供适当的补丁和更新。内部客户群属于1级。这一级别的成员为组织内部接受安全保护服务的其他部门。2级包括外部客户和业务合作伙伴。当他们通过共享网络与用户公司进行业务往来时,用户应通过安全管理程序提供间接保护和直接监视。0级提供了针对外来威胁性攻击的非常好的保护和控制。而组织以外的2级被赋予了最低限度的控制权利,并减少了提供给他们安全威胁的信息和信赖程度。这一安全机制的底线是风险管理,风险管理可消除和避免可能的外来攻击。

  刘昕认为,SOC只是整个系统的一部分,无法独自面对威胁性攻击,将SOC整合至组织的信息流和活动中是十分必要的。如果其中有任何能够优化SOC工作(如防范新的攻击技术)的宝贵信息,这一整合便能带来丰厚的回报。此外,安全管理负责人应时常获取组织内部与监控威胁事件有关的信息。

  刘昕强调,SOC实际上拥有一个对于事件作出响应的动态团队,要实现全面保护,就必须将SOC团队融入整体协作团队中。团队将动态地负责不同的事件处理流程。这样,SOC团队便可以满足风险规避需求,并将成熟的方案反馈给适当的小组。做企业决策时,SOC团队应了解如何以坦率而有效的方式寻求和共享信息。规定通信和权限升级的程序应明确说明哪些信息适于共享。例如,当用户告知风险规避团队成员那些造成影响或受到影响的系统的IP地址、但没有告知此IP地址的用户名时,这一透明度便是适当的。SOC团队也有义务交流和报告企业中不同来源的信息安全风险。许多公司的实例表明,非常好的安全管理中心的建立、人员配置和运营,远远复杂于聘请外部服务供应商监控IDS传感器输出的数据。刘昕认为,为了实现有效的保护,SOC的程序和运行应通过各种方式,来获得管理层的支持和组织的认可。当然,用户仍然可以将部分功能外包,但是,仍需指派组织内部的人员来管理、联络并负责每个策略的执行。

0
相关文章