安全事件管理自动化之路.pdfVIP

安全事件管理自动化之路 ———坑与梯 沈勇 2020-11-27 1 准备 4 事后活动 2 检测|分析 3 遏制|根除|恢复 1. 准备 ***才做选择 ，我们就是全要 ？ 数 据 源 、工 具 、预 置 规 则 数 量 1. 准备 慎重选择 深广兼顾 突出重点 不断评价 随时调整 1 准备 4 事后活动 2 检测|分析 3 遏制|根除|恢复 2. 检测|分析 不准、误报 告警太多 漏报 换源 规则引擎压缩* 人工发现转规则 多源关联 多源关联 ATTCK覆盖率* SOAR自动交叉验证* AI模型* 威胁狩猎 1 准备 4 事后活动 2 检测|分析 3 遏制|根除|恢复 3. 遏制|根除|恢复 CMDB信息不准/缺失 ； 缺少工具API 人、资产找不到 WAF/ FW/ EDR… 缺编排调度 找工具厂商 推动改进 SOAR 换工具厂商 自己动手* 剧本积累/优化 求助兄弟团队、自己动手 1 准备 4 事后活动 2 检测|分析 3 遏制|根除|恢复 4. 事后活动 评价响应速度 评价工具能力、数据质量 评价积累的数据 数据源对有效告警的贡献率* MTTD （分段）* 规则/模型准确率 各情报源的价值贡献* MTTR （分段）* 剧本调用量、成功率 安全工具的调用量、成功率 欢迎联系 沈