瞎探：企业 SOC 日志关联分析优化
💡
原文中文，约2000字，阅读约需5分钟。
📝
内容提要
许多企业在建设安全运营中心（SOC）后，面临日志量大和假阳性告警高的问题，传统SOC难以有效捕捉APT攻击，分析师工作压力大。文章提出优化建议，包括使用用户行为分析（UEBA）建立用户行为模型，将MITRE ATT&CK转化为关联规则，结合SIEM、SOAR和AI技术，确保告警闭环，引入业务日志和外部情报，培养威胁狩猎小组，以提升SOC的实战能力。
🎯
关键要点
- 许多企业在建设SOC后面临日志量大和假阳性告警高的问题。
- 传统SOC难以有效捕捉APT攻击，分析师工作压力大。
- 日志虽然多，但缺乏关联性，导致真正的攻击难以发现。
- 建议使用用户行为分析（UEBA）建立用户行为模型。
- 将MITRE ATT&CK转化为关联规则，以提高告警的有效性。
- 结合SIEM、SOAR和AI技术，确保告警闭环。
- 引入业务日志和外部情报，以提升SOC的实战能力。
- 告警流程需闭环，确保及时响应和复盘。
- 建议至少保留6-12个月的日志以应对长周期攻击。
- 建立威胁狩猎小组，主动寻找潜在风险。
- 运维和安全团队需联动，确保日志事件的对应。
- SOC分析师需持续培训，提升专业能力。
- 优化建议包括技术、机制和组织层面的改进。
- 设定衡量指标，如MTTD < 30分钟，假阳性率 < 2%。
❓
延伸问答
企业在建设SOC后常见的问题是什么？
企业在建设SOC后常面临日志量大和假阳性告警高的问题，导致真正的攻击难以发现。
如何优化SOC的日志分析能力？
可以通过使用用户行为分析（UEBA）、将MITRE ATT&CK转化为关联规则、结合SIEM、SOAR和AI技术等方式来优化SOC的日志分析能力。
为什么需要建立威胁狩猎小组？
建立威胁狩猎小组可以主动寻找潜在风险，提升SOC的实战能力，避免依赖于自动化工具。
如何确保SOC告警的有效性？
可以通过将告警流程闭环，及时响应和复盘，确保告警的有效性和减少假阳性率。
SOC分析师需要哪些培训？
SOC分析师需要持续培训，包括MITRE ATT&CK、Sigma规则写法和情报分析能力，以提升专业能力。
企业应保留多长时间的日志以应对长周期攻击？
建议企业至少保留6-12个月的日志，以应对可能潜伏几个月的APT攻击。
➡️
