“如何基于商用SIEM系统快速构建初步的SOC平台？”在线探讨 - twt企业IT交流平台 - talkwithtrend，企业IT技术社区，帮助您融入同行！

“如何基于商用SIEM系统快速构建初步的SOC平台？”在线探讨

: kermit项目经理某知名零售企业
关注219
个人主页
Ta的精彩回答
SOC/SIEM 如何与企业业务相结合
问题比较大，首先要想清楚安全团队对于企业业务的价值。如果主要是为了应对合规的话，那就...4赞同
如何选择合适的SIEM平台？要遵循哪些原则？
必须考虑的问题：项目范围 – A. 整个企业，还是总部或者某个分公司，或是某个具体系统。B. ...11赞同
如何调优和创建威胁用例？威胁需要考虑哪些因素？
设计威胁用例主要考虑：1. 企业面临的主要威胁是什么。 2. 现有的并接入SIEM系统的日志...8赞同
如何界定“威胁”，是通过查看相关日志关键词与“预定规则”有无匹配来判定吗？
个人认为，对于企业而言，威胁就是会影响企业正常业务开展的因素。由于企业中信息化程度越...11赞同
SIEM平台后面支撑的数据库是开发者提供还是用户自己设置？
目前我们的环境用的是某商用产品。现在主流的SIEM产品主要是基于NOSQL数据库的，是厂商...11赞同
在SOC建设过程中，如何处理海量告警？
这个是一个真实情况下一定会碰到的问题，SIEM本来就会接入大量不同的日志，并定义大量威胁...9赞同
建设SOC过程中，遇到海量告警，如何通过告警追踪到问题根源？
目前实践过程中主要尝试对于普通级别告警进行聚合，找出关键特征，比如源或者目标IP，IP位置...10赞同
如何培训胜任的安全分析人员，来建设SOC平台？
个人认为除了基本的专业知识之外，安全分析人员最需要有的应该是逻辑分析能力，好奇心和专...11赞同
资产收集和更新如何快速有效的实施？
资产收集确实是实施过程中的一个难点。个人认为属于脏活累活，结合实践经验和体会总结几...9赞同
在SOC建设中，哪些阶段可以利用AI技术？
传统的SIEM主要用的是基于规则的关联分析。现在SIEM厂商也逐渐得引入了大数据分析和机...5赞同
在SOC建设中，如何规划部署架构而不影响原有的网络架构？
题外话，其实这个问题还有可以反过来问“如何确保网络架构的变化不会影响部署架构”。个...4赞同
SOC建设中，如何将公司安全场景和SIEM规则模型匹配？
第一步定义出威胁用例，然后思考目前的日志是否有支持威胁用例的所有参数，然后结合规则语...6赞同
如何从SOC的视角来定义资产？资产划为的原则与维度？
在关于回答“资产收集和更新如何快速有效的实施？”中我大致介绍了我认为的SOC和资产收...0赞同
SOC永恒话题，如何从管理者、专业人士分别定义SOC的期望值？如何平衡两者之间期望值与现实的gap？
个人觉得缩小范围放低预期从威胁的根本去思考SIEM的价值，有效利用现有资源做出实际的案...7赞同
QRadar的优缺点是什么？
个人经验:优点：架构成熟稳定，支持快速部署，可扩展性比较好，有不少默认规则，提供较丰富的API...11赞同
soc平台的建设过程中和威胁情报之类的整合问题？
GARTNER第一象限几款产品内部就支持的，这个也是大趋势，只是威胁情报服务比较依赖于地域，...2赞同
SOC规划中，如何向管理层进行成本收益分析？
安全项目要进行传统的成本收益的分析都是很难的。安全要控制的是风险，风险本身就很难得...8赞同
全球化部署SOC时，如何规避法律法规问题？
我没有经历过这种情况，不过如果我碰到这种情况可能会先思考这样几个问题：法律的限制主要...8赞同
soc海量日志的挖掘和检索？
一般SOC的核心是SIEM,SIEM一般本身就是做日志管理的。2赞同
在建设SOC过程中，移动APP安全这一块该如何考虑？
如果仅仅是指日志监控的话，那可以接入WAF的日志和APP应用日志来监控外部攻击的威胁。如...4赞同
请问，在选择SIEM系统构建SOC平台时，是选择开源还是商业化的产品？国内这方面都有那些知名的企业？
参考http://www.talkwithtrend.com/Question/408489想了解方案的话，可以看看Gartner魔...0赞同
SOC/SIEM 如何与等级保护要求相结合，满足现在安全要求？
等级保护中好像和SIEM有直接关系的就是“日志应保存至专用的日志服务器”，主要的目的我...3赞同

: wangzhaowen安全工程师HFBank
关注18
个人主页
Ta的精彩回答
如何选择合适的SIEM平台？要遵循哪些原则？
从企业安全建设同行业间多次交流来看，SIEM不是万能的，不要过多迷信于采购、建设SIEM平台...9赞同
如何调优和创建威胁用例？威胁需要考虑哪些因素？
一般而言企业可以同时在外部防御和内部防控两大维度开展威胁用例建设。内部威胁用例一...8赞同
在SOC建设过程中，如何处理海量告警？
其实方案、方法个人觉得比较多，无论从厂商、同业交流获得还是产品自带，个人认为目前比较...4赞同
在SOC建设中，哪些阶段可以利用AI技术？
这块个人感觉目前工程化的成熟度还有待考量，一般都是产品自带，适当选择，还是以实用为主。...5赞同
在SOC建设中，如何规划部署架构而不影响原有的网络架构？
日志收集节点贴近业务域，网络流量收集节点一般是旁路部署应该结果对原有网络架构影响不...8赞同
在SIEM选择中，应重点关注哪些指标？
个人觉得以下相对比较重要，请参考同业使用情况调研：厂商支持情况应标阶段、方案设...8赞同
如何从SOC的视角来定义资产？资产划为的原则与维度？
个人觉得定义资产的目的是为了什么，或者说做哪些事情，如果能在企业里大致说清楚的话，那么...3赞同

: 申田由甲安全工程师中国银行
关注7
个人主页
Ta的精彩回答
SIEM平台后面支撑的数据库是开发者提供还是用户自己设置？
一般siem自带的数据库能够支持自身的需求。如果需要建设和siem功能互补的数据分析平台...1赞同
在SOC建设中，如何规划部署架构而不影响原有的网络架构？
旁路部署不会影响业务架构。但有的日志收集需要安装探针，探针的稳定性会是运维团队担心...4赞同
SOC建设中，如何将公司安全场景和SIEM规则模型匹配？
要满足安全场景，首先要获取该场景下的所有日志，还要评估siem是否具备将这些日志进行关联...4赞同
SOC永恒话题，如何从管理者、专业人士分别定义SOC的期望值？如何平衡两者之间期望值与现实的gap？
预期差可能是上项目前对领导的各种夸大宣传，一旦到了项目实施阶段，各种问题接踵而来。要...4赞同
QRadar的优缺点是什么？
优点:架构上能适应大型企业的部署需求和扩展要求。API挺好用。规则定制灵活。各种功能...1赞同

: hamburisyoung系统架构师某银行
关注26
个人主页
Ta的精彩回答
建设SOC过程中，遇到海量告警，如何通过告警追踪到问题根源？
海量告警一般来源于IPS/IDS，目前的全流量分析系统不会产生海量告警。IPS/IDS告警日志可...5赞同
如何培训胜任的安全分析人员，来建设SOC平台？
SOC平台一般需要四类人员，一线监控人员，二线处理人员，三线审计人员，四线安全支持专家。一...5赞同

在本场活动提问

活动明星榜

项目经理某知名零售企业

本场活动获赞 144

安全工程师HFBank

本场活动获赞 45

安全工程师中国银行

本场活动获赞 14

系统架构师某银行

本场活动获赞 10

项目经理长春龙泰科技有限公司

本场活动获赞 6

其它吉林通钢自动化信息技术有限责任公司

本场活动获赞 5

研发工程师agile

本场活动获赞 3

关于TWT 使用指南社区专家合作厂商入驻社区企业招聘投诉建议版权与免责声明联系我们
© 2024talkwithtrend — talk with trend,talk with technologist 京ICP备09031017号-30

X社区推广