深度研究 | 如何逐步实现网络安全运营数智化升级：全景指南与实战案例

1

 主要目标

某制造公司一直以来面临着“安全无专人”的困境，网络安全管理较为薄弱，缺乏专业的安全团队和明确的安全职责划分。随着业务的发展和数字化转型的推进，该公司意识到网络安全的重要性，决定采取一系列措施提升整体安全运营能力。该公司希望通过建立专业的安全团队、部署先进的技术平台、采集关键安全数据以及规范安全运营流程，全面提升网络安全防护能力，确保核心业务系统的安全稳定运行，同时有效应对各类安全威胁和事件。

该制造公司安全建设包括建立安全团队、部署集中式SIEM平台、采集安全数据、建立安全运营管理流程四个主要步骤。

1. 建立具有明确职责的安全团队

该制造公司为了改变“安全无专人”的现状，从现有的IT部门中，选拔了一位对网络安全有兴趣的人，具备一定基础的员工成为安全负责人，负责安全工作的整体规划、协调和监督的职责，成为安全建设的“领头羊”。安全负责人与IT部门沟通了安全方面的职责。例如，服务器管理员则需要负责服务器的安全配置、漏洞修复和补丁管理；网络管理员则需要关注网络设备的安全配置、流量监控和预警检测。通过这种方式，将安全责任划分到各个岗位，形成“人人有责”的安全队列。同时引入了外部安全服务，主要提供重要安全事件的事件应急响应服务，帮助企业快速处理紧急安全事件。并制定了安全培训计划。培训内容包括安全基础知识、常见安全威胁、以及安全事件响应流程等。

2. 部署SIEM平台，集中安全日志

该制造公司由于IT环境相对简单，选择了集中式部署SIEM平台，并在数据中心部署了SIEM服务器。部署后，根据SIEM产品自带的规则库开始配置基本的安全事件检测规则。例如，配置针对暴力破解、端口扫描、恶意软件、异常登录等常见威胁的检测规则。此外，还配置了常用的安全报表，如安全事件统计报表、流量分析报表、安全报表等，以便向领导汇报安全情况。

3. 采集安全数据

SIEM平台需要采集足够的安全数据。对于该制造公司而言，采集的关键数据包括：

• 网络边界数据：防火墙、IDS/IPS、WAF（Web应用防火墙）等设备的日志和相关信息，可以帮助发现来自外部的网络攻击和入侵意图；

• 核心业务系统数据：ERP、MES、OA等核心业务系统的日志，可以帮助发现针对业务系统的攻击和异常操作；

• 重要服务器数据：域控制器、文件服务器、数据库服务器等重要服务器的日志，可以帮助发现针对关键基础设施的攻击和异常行为；

• 终端安全：在员工使用的终端设备上安装杀毒软件，并集中收集杀毒日志。

 4. 建立基本安全运营流程，规范事件处理

安全负责人牵头建立了一套基本的安全运营流程，以规范安全事件的处理，确保安全事件得到及时、有效的响应。首先，需要对安全事件进行分类分级，根据安全事件的类型（如恶意软件感染、网络入侵、数据泄露、拒绝服务攻击、内部威胁等）和影响范围、紧急程度等因素，将安全事件划分为不同的类别和级别（如高、中、低），并建立一个明确的安全事件响应流程，包括事件上报、分析、执行和报告等阶段。一个简单的流程示例如下：安全分析师（或安全负责人）通过SIEM平台或其他途径获得安全告警，安全分析师对另外进行初步分析，确认是否为误报。如果确认为安全事件，安全分析人员根据事件类型和级别，执行相应的响应操作，如隔离受感染的主机、封禁恶意IP地址、通知相关人员等。事件处理完成后，安全分析师记录事件处理过程和结果，并生成报告。

某高科技企业随着业务的快速发展和数字化转型的推进，面临着日益复杂的网络安全威胁。传统的安全运营模式已经难以应对当前的挑战，企业面临着日益增多的网络安全事件和有限的安全运营人员。为了提升事件响应效率，减轻安全团队的工作压力，该公司决定引入智能化的SOAR（安全编排自动化与响应）平台，以提升整体的安全防护能力和运营效率。

首先该公司识别了日常安全运营中重复性高、耗时且易出错的环节作为自动化的重要应用场景，例如恶意IP的封禁、病毒告警的初步处置、钓鱼邮件的响应等。

在此基础上选择并进行SOAR平台的部署，选择平台时重点关注平台的集成性，确保其能够与目标场景需要的安全基础设施（如防火墙、EDR终端安全系统、入侵检测系统、SIEM系统等）以及IT运维系统进行对接，利用安全组件提供的开放接口，将SOAR平台作为指挥枢纽，协调和调度各类安全工具执行自动化动作.

在完成平台的基础部署和集成后，公司针对重要应用场景定义和编排安全剧本。基于预先制定的安全事件处置预案，利用可视化流程编辑器，将人工分析和处置步骤配置为标准化的自动化工作流程。例如，针对检测到的恶意IP攻击场景，创建恶意IP的封禁剧本，该剧本能够自动从告警列表中提取恶意IP信息，然后联动防火墙下发封堵策略，并记录整个处置过程。对于挖矿告警剧本，剧本可以自动将相关信息发送至EDR系统进行风险验证，并根据EDR的反馈联动防火墙封禁相关的域名或IP地址。为了应对不同的安全事件类型，持续开发了一系列的自动化剧本，覆盖了如Web攻击、暴力破解、病毒木马、非法外联、漏洞利用等常见威胁。

为了保证自动化响应的可靠性，在剧本上线前进行了充分的测试，并进行监控和调优。此外，因为意识到自动化并非适用于所有场景，因此SOAR平台也支持手动触发和人工干预，对于需要人工判定的复杂事件或未知事件，SOAR平台通过下发工单并提供执行概览，协助人工判断与执行。通过SOAR平台的应用，该公司显著提升了安全事件的响应速度和准确性，减轻安全运营人员的工作量，最终实现安全事件响应流程的自动化闭环。随着经验的积累，后期准备基于SOAR平台开发更复杂的自动化评估，例如与威胁情报集成形成自动化威胁狩猎剧本、与漏洞管理系统集成形成自动化漏洞处置剧本.

某电商企业作为互联网行业的典型代表，面临着日益复杂和频繁的网络安全威胁，尤其是钓鱼邮件攻击。钓鱼邮件攻击不仅可能导致用户数据泄露，还可能引发更严重的安全事件，如账户被盗用、恶意软件传播等，对企业的声誉和业务运营造成严重影响。为了有效应对这些威胁，提升安全运营效率，降低数据泄露风险，该电商企业决定引入SOAR平台，实现钓鱼邮件攻击事件的自动化响应。

 在SOAR平台部署和配置过程中，该公司的首先将SOAR与已有的安全平台进行了深度集成。通过API接口，SOAR平台与SIEM平台、EDR平台、邮件安全网关以及威胁情报平台进行对接，使SOAR平台能够获取SIEM的信息、EDR的终端数据、邮件网关的邮件检测结果以及TIP的威胁情报，并能够调用这些平台的功能执行响应操作。

完成集成后，安全团队针对钓鱼邮件攻击场景创建了一个名为“钓鱼邮件自动响应”的流程。该流程以SIEM检测到的钓鱼邮件相关事件作为触发，一旦触发，就会自动执行一系列预定义的操作。首先，SOAR平台会自动从SIEM获取有关事件的详细信息，包括邮件主题、发件人、方案、URL链接、附件信息等。从邮件内容、URL链接、附件中提取出关键词，例如发件人邮箱地址、URL、域名等。接着，SOAR平台会自动查询威胁情报平台，判断这些IOC是否与已知的恶意IOC匹配。如果是恶意的，那么通过IAM（身份和访问管理）系统接口禁止出访的用户账号，防止攻击者利用被盗取的权限进行非法访问。最后，SOAR平台会自动向安全分析师和出访的员工发送通知，告知事件详情并已采取的措施。如果安全分析师判断为中风险事件，则给用户发送安全提醒。最后，SOAR平台会自动记录所有执行的操作和结果，并生成事件响应报告，为安全团队的事后分析和审计提供响应。在实施“钓鱼邮件自动响应”后，该公司的钓鱼邮件攻击事件响应效率得到了显著提升，从收到通知到执行完成隔离、阻止等关键任务。

响应整个过程往往只需要几十甚至几个操作，远快于过去的人工响应操作方式。大部分响应操作都由SOAR提供平台自动执行，安全分析师只需进行审核和确认，很大程度上减轻了分析师工作负担，也有效降低了人犯错误的可能性，使响应更规范、更可靠，并且有效阻止了钓鱼攻击的进一步泄露，降低了数据泄露和业务中断的风险。

情报源接入：该能源企业首先梳理了自身需要的威胁情报类型，包括恶意IP地址、恶意域名、恶意文件哈希、漏洞信息、攻击组织信息（APT）、行业威胁情报等。然后，他们逐步接入了多个威胁情报源，如购买了某商业威胁情报、订阅了某开源威胁情报、并加入了能源行业的信息安全共享联盟，获取行业内的威胁情报，并且将安全团队在日常安全运营和事件响应流程中发现的威胁情报，也记录到威胁情报平台中，平台会自动对来自不同情报源的数据进行清洗、去重、标准化处理，将不同格式的情报数据转换为统一的格式，并提取出关键的IOC。

情报分析与评估：该能源企业的安全团队利用威胁情报平台提供的分析工具，对收集到的威胁情报进行分析与评估。如分析不同情报源之间的关联关系，例如，某个恶意IP地址是否与某个已知的攻击组织相关联。分析威胁情报的时间分布和变化趋势，了解当前的威胁。并根据威胁信息的类型、来源、可信度等因素，评估其对企业资产的潜在威胁。

情报应用：该能源企业将威胁情报与SIEM平台、SOAR平台以及防火墙、EDR等安全设备进行了集成。首先，威胁情报平台将经过处理和评估的威胁情报（例如恶意IP地址、恶意域名、恶意文件等）提供给SIEM平台。SIEM平台利用这些威胁情报，可以提升威胁检测的准确性和效率。例如，当SIEM平台检测到某个IP地址与企业内部主机通信时，会自动查询威胁情报，判断该IP地址是否为已知的恶意IP地址。其次，威胁情报平台为SOAR平台的自动化响应脚本提供威胁情报支持。例如，在处理钓鱼邮件攻击事件时，SOAR平台可以自动查询威胁情报，判断邮件中的URL或附件是否为恶意。 

实际效果：在威胁情报平台投入使用后，通过与SIEM集成，威胁情报平台提供的威胁情报帮助SIEM平台更准确地识别出不良流量和不良行为，减少了误报和漏报。通过与SOAR集成，威胁情报平台为自动化响应提供了关键的威胁情报，使SOAR平台能够更快、更准确地执行响应操作。通过对威胁情报的分析，该能源企业的安全团队能够更早地了解威胁现状，并采取主动的防御措施，例如调整安全策略、加强安全监控等。基于威胁情报中丰富的威胁情报信息，安全分析师可以更有效地进行威胁狩猎，主动发现潜藏在企业网络中的威胁。

某银行作为一家大型金融机构，随着数字化转型的加速，其业务系统和数据资产面临着日益复杂的网络安全威胁。传统的安全运营中心（SOC）在应对海量告警、人工分析压力以及新型威胁方面逐渐显得力不从心。为了提升威胁检测和响应的效率与智能化水平，该银行决定对其现有的安全运营中心进行升级，构建一个强大的AI分析平台，以更好地应对当前的安全挑战。AI分析平台建设目标是实现智能化的告警处理、威胁情报分析和安全事件响应，从而提升整体的安全运营效率和智能化水平。

实施过程示意图

首先，针对银行当前安全运营面临海量告警、人工分析压力大、新型威胁不断涌现等挑战，确定了AI平台的几个关键应用方向，包括智能化的告警分诊和研判，自动化的威胁情报分析和管理，以及辅助安全事件的智能调查和响应。

在规划和设计时，银行考虑到数据安全和合规性要求，以及对性能的较高需求，选择了部署本地化的大模型，并关注到AI智能体结合大模型和各种安全工具，实现更智能化的自动化任务执行，因此计划构建一个混合的AI平台，包含通用的大语言模型，也包含针对安全领域垂直优化的子模型或基础AI技术架构。功能包括利用知识图谱技术关联不同来源的安全数据，展示完整的攻击链路；通过自然语言交互实现智能化搜索、威胁推演，以及AI报告生成、安全策略建议等方面。

银行AI安全分析平台架构

由于该银行已构建的数据中台，因此该银行根据具体目标场景，着手进行数据平台的数据接入，并采集、存储和处理来自各种安全设备（防火墙、入侵检测系统、终端安全产品）和IT系统的日志、告警和流量数据，进行数据标准化和清洗，为AI模型提供高质量数据。

然后，该银行与专业的安全厂商合作，将大模型和垂直领域基础AI技术对接安全厂商的安全知识库、威胁情报和恶意样本数据，优先在告警分诊、威胁情报分析和安全报告生成等相对成熟的AI应用场景进行试点测试。计划收到效果后，再逐步开发异常行为分析、威胁狩猎、漏洞优先级排序和辅助事件调查等更复杂的AI应用。

在AI应用开发过程中，该银行非常重视AI的可解释性和信任度问题。尝试探索利用更多数据进行训练、提供结果的同时提供思考过程等手段来提高AI决策过程的透明度，并进行充分的验证和测试，以确保AI分析结果的准确性。

最后，该银行认为AI虽然能自动化处理大量重复性任务，但最终的决策和复杂事件的处理仍然应该由安全专家进行审核和决策。因此，在自动化处理流程环节增加专家审核和反馈的环节，以提升安全运营的准确性和提高学习能力。

通过以上步骤，该银行逐步构建起了一个为其智能化安全运营中心提供强大支持的AI平台，实现了更有效地应对日益复杂的网络安全威胁。