hamburisyoung

SOC平台一般需要四类人员，一线监控人员，二线处理人员，三线审计人员，四线安全支持专家。一线人员可以采购SOC产品方的第三方服务人员。四线人员可以采购产品方的技术专家。二线处理人员一般是网络部门或IT开发部门人员：这些

海量告警一般来源于IPS/IDS，目前的全流量分析系统不会产生海量告警。IPS/IDS告警日志可以结合威胁情报进行筛选，确定一些有价值的告警信息。针对有价值的告警信息，可以以IP地址作为基准，结合流量、情报、系统日志进行问题

要不Citrix体系，要不DLP

DLP+终端管控。大部分安全公司都能做。可以设置多种用户组，每组用户组设置不同的权限。（管理员的工作量大一点而已）有些策略可以改成“不是阻止用户做什么”，而是监控“用户做了什么”，违反基线的立即报警；

肯定是运营部门、董事办公室（能代表领导的部门）、技术部门一起做。管人的、管权的、管技术的坐到一起，才能“干大事”。

1.多同业调研，说明好处，项目能为业务带来哪些便利2.多列举法律要求3.跨级汇报

安全扫描应在准生产测试系统上进行，安全扫描系统自然也在测试环境中，和测试环境安全基线同步应该就可以了吧？而且可以使用测试账号。如果测试环境和生产环境有差异，那就是开发部门的问题了。

1.先划分网络区域，生产、测试、办公、外网应相互隔离，最起码逻辑隔离。2.考虑各区域安全边界的管控问题；3.考虑各区域内监控的问题；

1.物理安全2.准入安全3.网络安全4.应用安全5.终端安全6.文印安全7.数据安全8.灾备安全9.云安全10各种认证ISO，CMMI等先考虑大的架构方面，哪一项对企业最实际、最重要。大方面下的细节可以找安全厂商谈解决方案。

特权账号由专门部门负责维护；申请特权账号走审批流程；特权账号的所有操作都日志记录，录屏记录；能使用Citrix的话最好，防止特权账号下的数据落地；