This is the Trace Id: dd0479c729cd3038550c7975d81500f7
跳转至主内容 Microsoft Defender Microsoft Entra Microsoft Intune Microsoft Purview 智能 Microsoft Security Copilot 副驾驶® Microsoft Sentinel 查看所有产品 AI 支持的网络安全 云安全 数据安全与治理 标识和网络访问 隐私和风险管理 AI 安全性 中小型企业 统一安全运营 零信任 价格 服务 合作伙伴 为什么选择 Microsoft 安全 网络安全意识 客户案例 安全性 101 产品试用 行业认可 安全响应中心 Microsoft 安全博客 Microsoft 安全活动 Microsoft 技术社区 文件 技术内容库 培训和认证 Microsoft Cloud 合规性计划 Microsoft 信任中心 服务信任门户 Microsoft 安全未来计划 业务解决方案中心 连络销售人员 开始免费试用 Microsoft 安全 Azure Dynamics 365 Microsoft 365 Microsoft Teams Windows 365 Microsoft AI Azure Space 混合现实 Microsoft HoloLens Microsoft Viva 量子计算 教育 汽车 金融服务 政府 医疗保健 制造业 零售业 查找合作伙伴 成为合作伙伴 合作伙伴网络 Microsoft Marketplace 软件公司 博客 Microsoft Advertising 开发人员中心 文档 活动 许可 Microsoft Learn Microsoft Research 查看站点地图
两个人正在查看桌面屏幕。

什么是安全运营 (SecOps)？

了解什么是 SecOps、它如何加速威胁检测、调查和响应，以及构建弹性安全策略的最佳做法。
探索统一安全运营
安全运营（通常简称为 SecOps）是一种全面的安全方法，将人员、流程和技术结合起来，简化网络威胁检测、调查和响应。随着威胁变得更加复杂、环境更加分散，了解什么是 SecOps 以及如何有效实施 SecOps 模型，对于创建一致、协调防御的可靠基础至关重要。
  • SecOps 将人员、流程和技术连接起来，使安全团队和 IT 运营团队能够协同保护其组织。
  • 采用 SecOps 模型可提高威胁可见性、降低违规影响、改善合规性和治理，并减少成本。
  • SecOps 计划的核心组件包括安全运营中心 (SOC) 监视、威胁检测和分析、威胁搜寻、事件响应和高级工具。
  • SecOps 团队使用可重复的工作流程来识别和处理安全风险，包括警报接收、会审和调查、升级、解决以及根除和恢复。
  • 常见的 SecOps 挑战包括警报量大、人才短缺、工具孤立和缺乏可见性。
  • SecOps 模型持续演进，将人类专业知识与 AI 支持的工具相结合，加速威胁检测和响应。

为什么安全运营很重要

网络威胁在 IT 环境中的速度和复杂性不断增长，攻击者每天都在测试新战术。SecOps 方法可通过多种方式增强你组织的网络安全，包括：

提高对整个环境中威胁的可见性
SecOps 方法使团队能够持续监视跨多样 IT 环境（包括多云、本地和混合云基础结构）的信号。借助集中可见性和自动化工具，SecOps 团队可以更主动地识别和缓解安全威胁。

降低违规影响
SecOps 通过更快的事件检测、会审和响应来最大程度降低违规影响。无论是可疑登录还是新出现的恶意软件模式，都可以更早被发现。这增强了数据丢失防护工作，同时降低停机、财务损失和监管后果的可能性。

统一 IT 和安全团队
SecOps 通过围绕共享可见性、工作流程和目标对齐团队，打破 IT 运营和安全之间的传统孤岛。借助对基础结构运行状况、配置和安全信号的统一视图，IT 和安全团队可以在事件响应和预防方面更有效地协作。

提升合规性和治理
SecOps 可帮助你的组织满足广泛的法规合规性要求和行业标准，例如国际标准化组织 (ISO)、美国国家标准与技术研究所 (NIST) 制定的标准，以及一般数据保护条例 (GDPR)。依靠 SecOps 最佳做法，例如记录流程、保持持续监视和跟踪响应操作，也有助于确保遵守安全策略和治理策略与结构。

借助高级工具扩展防御能力
AI 支持的工具和其他高级安全工具的运营化使 SecOps 团队能够随着环境规模和复杂性的增长高效扩展其防御能力。自动化、机器学习和分析帮助团队关联海量遥测数据、优先处理高风险警报，并更一致地响应威胁。

降低成本
日益严重的网络攻击，例如勒索软件和恶意软件，意味着 SecOps 团队需要主动预防代价高昂的违规和其他事件，并在发生时迅速采取行动。通过提前投资高级威胁检测和响应工具，SecOps 团队可以通过保持敏捷并为新出现的风险做好准备，避免或最大程度减少财务损失和其他负面后果。

SecOps 的核心组成部分

SecOps 可被视为传统安全运营中心 (SOC) 模型的演进。在该模型中，IT 团队专注于保持业务运营背后的技术最优运行，而安全团队则帮助企业防止网络攻击并遵守数据合规性和其他法规。

现代 SecOps 模型帮助组织将安全作为其一切工作的优先事项。它通过培养共同的安全责任、支持更积极的保护立场和简化运营，确保安全和 IT 团队更好地对齐。

虽然每个组织的 SecOps 计划结构不同，但请确保在你的计划中包含以下功能：
 
  • 持续 SOC 监视：SecOps 团队依靠 SOC 监视技术，在多样的 IT 环境中仔细监视恶意活动的迹象。他们主动在网络、身份、终结点和应用程序中搜寻异常行为、策略违规或早期入侵指标。
  • 警报会审：SecOps 团队不会对每个警报一视同仁，而是应用结构化会审流程来区分噪声和真正的风险。他们审查警报、收集上下文，并确定问题是良性的还是需要升级。他们还使用 SecOps 工具自动连接不同系统中的相关警报，并将其关联为事件。
  • 事件响应：事件响应是一个广泛的术语，涵盖所有与准备、检测、响应和恢复网络安全事件相关的 SecOps 活动。每个组织都需要一个有效的事件响应计划，记录事件响应目标、策略、角色和职责以及流程和解决方案。
  • 威胁情报：收集和分析关于已知对手、漏洞、恶意软件和活跃活动的威胁情报是一项重要的 SecOps 功能。通过将此情报纳入日常运营，SecOps 团队可以优先处理检测并采取主动措施保护组织。
此外，你的 SecOps 团队应考虑使用以下工具来帮助保护你的组织安全：
 
  • 安全信息和事件管理 (SIEM)： SecOps 团队使用 SIEM 系统实时收集和分析其整个数字环境中的事件日志，并进行关联以帮助检测威胁。这些数据通常被引入集中式数据湖中，用于可扩展存储和长期分析。SIEM 系统对有效的 SOC 监视至关重要，它提供集中、及时的活动视图，使团队能够调查可疑模式并跟踪长期趋势。SIEM 系统还允许 SecOps 团队直接访问、引入和大规模处理威胁情报。
  • 安全编排、自动化和响应 (SOAR)：分析师依靠 SOAR 工具处理重复性任务（例如收集上下文或更新工单），以便专注于更高价值的活动。自动化仍完全由人主导，分析师选择工作流何时以及如何运行。
  • 扩展检测和响应 (XDR)：XDR 解决方案统一来自组织环境（包括终结点、电子邮件、身份、云资源和网络）的高度详细遥测和其他信号。这为分析师提供端到端可见性，并帮助他们了解攻击如何在系统间移动。XDR 解决方案从 终结点检测和响应 (EDR) 解决方案演变而来，后者监视连接到网络的物理设备，包括计算机、移动设备、服务器、虚拟机、嵌入式设备和物联网设备。
  • 云安全：云安全解决方案帮助保护在迁移到云和在云中运行时的数据、应用程序和工作负载。通过在每一层嵌入安全性，这些解决方案使团队更容易管理风险、满足合规要求，并在出现问题时快速响应，即使在复杂的混合或多云环境中也是如此。
SecOps 团队也经常采用零信任方法，其核心原则为：永不信任，始终验证。零信任架构在每个用户和设备访问资源之前对其进行身份验证，无论他们位于企业网络内部还是外部。

SecOps 如何日常运作

成功的 SecOps 计划将人类专业知识与 AI 辅助工具和可重复的自动化工作流相结合。

首先，SecOps 团队通常使用以下工作流来识别和处理安全风险：
 
  1. 警报接收：安全分析师首先审查来自监视工具的警报。然后他们对通知进行会审、收集详细信息，并验证是否需要更深入调查。
  2. 会审和调查：对于需要更多关注的警报，分析师会深入查看日志、关联事件并查找入侵指标。AI 工具有助于发现模式、解释可疑活动并总结相关信号，但分析师仍掌控决策。
  3. 升级：如果问题构成真正风险，分析师将其升级给事件响应者或专门角色，例如身份团队或云架构师。
  4. 解决：在事件响应期间，SecOps 团队努力遏制威胁。这可能包括阻止帐户、隔离终结点、更新防火墙规则或应用补丁。
  5. 根除和恢复：一旦即时风险得到控制，团队将移除恶意组件并恢复系统。他们还会记录操作并确保系统恢复到安全状态。
在此工作流中，事件响应也被分解为关键阶段。NIST 和其他组织为事件响应生命周期建立了略有不同的框架，但大多数方法包括五个阶段：
 
  1. 准备：确保 SecOps 团队、工具和流程在事件发生前就绪。这包括定义角色和升级路径、维护剧本并微调检测。建立性能指标，例如平均检测时间 (MTTD) 和平均响应时间 (MTTR)，以帮助评估就绪状态并识别需要改进的领域。
  2. 检测：专注于尽早识别潜在的安全事件。分析师监视警报、日志和信号，以确定活动是否代表需要调查的真正威胁。
  3. 遏制：通过隔离受影响的系统、禁用遭到入侵的帐户、阻止恶意流量和保留证据以防止进一步损害，限制已确认事件的影响。
  4. 根除：移除事件的根本原因。分析师消除恶意软件、关闭被利用的漏洞、撤销攻击者访问权限，并验证持久性机制已被移除。
  5. 恢复：将系统和运营恢复到安全、正常的状态。团队将系统重新上线、验证修复、监视复发迹象，并在恢复全面运营前确认环境稳定。
要使 SecOps 工作流有效，需要团队成员之间持续协作。例如，安全工程师和安全分析师必须共同规划和创建多层安全模型，以保护其组织免受网络攻击。工程师专注于创建稳健的安全架构，而分析师则在架构内监视和响应威胁。使用统一工具，他们可以共享防止中断所需的信息。

除了处理活跃事件外，SecOps 团队还通过参与以下活动主动保护其组织：
 
  • 威胁搜寻：分析师主动搜索已绕过自动化检测工具和正常警告管道的隐藏、未知或持续威胁。搜寻人员不会等待警报，而是假设攻击者可能已在环境中，并在终结点、身份、日志和网络活动中寻找微妙的入侵指标、可疑行为和攻击者技术。
  • 漏洞管理：SecOps 团队寻找其组织安全防护中的潜在漏洞。SecOps 团队会在恶意行为者利用这些漏洞前协同查找和解决这些漏洞。 漏洞管理包括扫描系统、应用程序和基础结构是否存在漏洞并进行补救。
  • 安全意识和培训：网络安全意识对于网络上的每个用户都很重要，SecOps 团队通常负责向用户介绍网络犯罪分子可能使用的常见策略。一个有效的 SecOps 团队可以通过在组织内创建一种知情、安全第一的文化来加强整体安全态势。

安全运营中的常见挑战

所有 SecOps 团队在努力保护其组织和用户免受网络犯罪时都面临共同的挑战。其中一些关键挑战包括：

应对大量警报和遗漏的威胁
网络攻击的频率逐年递增，许多网络犯罪分子拥有充足的资源和动机。这导致大量网络威胁数据和随之而来的高警报量，需要 SecOps 团队筛选。误报尤其会让分析师不堪重负。如果不仔细调优，可能会遗漏关键问题。

克服人才短缺
网络安全领域存在持续的技能差距，使得招聘和留住有经验的专业人员变得困难。许多安全职位可能数月无人填补。随着工作负载增加，自动化工具可以帮助分析师更高效地工作并减轻负担。此外，一些组织会聘请网络安全服务提供商执行关键 SecOps 功能，包括监视、检测和响应。

管理多样化的 IT 环境
庞大的数字资产（包括本地和跨多个云的数据、电子邮件、应用程序和异地分散的终结点）可能会让使用老旧系统的 SecOps 团队难以通过一个视图了解所需保护的内容。碎片化的可见性会拖慢检测和调查。

集成现代安全工具
老旧系统也可能无法生成现代安全分析所需的日志或信号。将这些系统与较新的自动化工具集成需要规划和仔细配置，但值得付出努力。从长远来看，这可以节省 SecOps 团队在工具之间不断切换并手动关联网络威胁数据的时间。

始终领先于不断演变的威胁
攻击者会持续测试新技术，而这些技术变得越来越复杂，破坏性也越来越强。SecOps 团队需要高级工具和实时威胁情报来快速检测和响应攻击者的最新动作，特别是基于身份的攻击、云配置错误导致的数据泄露和新出现的恶意软件变种。

构建强大的 SecOps 计划

以下最佳做法可以帮助你的组织开发和改进其 SecOps 计划，并最终加强其安全状况：
 
  1. 实施零信任体系结构，以最大限度地减少攻击面并支持特权访问管理。
  2. 使用 XDR、EDR 和云安全工具内置的自动化功能来自动化重复性任务，对于更复杂的需求则使用 SOAR。
  3. 定期开展桌面演练和事件响应演练，帮助团队在贴近实际的条件下进行练习。
  4. 持续调整检测规则和威胁情报来源，帮助确保你的 SOC 监视保持准确。
  5. 衡量并优化 MTTD 和 MTTR 等关键性能指标，以实现持续改进。

安全运营的未来

SecOps 的未来将由对速度、规模和敏捷性的需求所塑造。随着数字生态系统变得更加复杂、技术不断进步，安全运营必须调整以领先于新风险。以下是一些需要关注的新兴趋势：
 
  • 采用 AI 辅助的威胁检测。SecOps 团队将越来越多地依赖 AI 和机器学习来对警报进行会审、检测异常、关联低信号、自动化响应并推荐后续步骤。工具还将使用预测建模和关系图谱来更好地了解暴露情况并预测攻击模式。人类将保持完全控制，引导工作流程并验证关键操作。
  • 通过自动化实现更快响应。SOC 平台将通过自动触发遏制操作（例如会话终止、凭据重置或终结点隔离）来大幅减少驻留时间和暴露，敏感决策由人工监督。此外，智能体工作流将使分析师能够通过一致且快速地执行常规操作来专注于更高影响力的工作。
  • 转向云计算模型。组织将继续部署云原生 SOC 环境，以使扩展更容易、集中数据、提高灵活性并支持全球运营。他们还将利用安全即服务 (SECaaS) 产品，例如托管检测和响应服务，以经济高效的方式解决安全专业人才短缺的问题。

Microsoft 的 SecOps 解决方案

作为塑造下一代 SecOps 策略的行业领导者，Microsoft 致力于帮助组织保护其环境。成功的策略支持最佳做法，并需要统一的 SecOps 基础，使安全和运营团队能够使用智能工具协同工作。有了合适的解决方案，SecOps 团队就能更早识别风险、更快响应事件并构建弹性安全状况。

Microsoft 提供一套互联的 AI 驱动安全解决方案，包括：
 
  • Microsoft Sentinel：一种云原生 SIEM，汇集整个组织的日志，并使用高级分析帮助分析师大规模检测威胁。
  • Microsoft Defender：一种扩展检测和响应解决方案，统一来自终结点、身份系统、电子邮件和云资源的信号，帮助 SecOps 团队了解攻击的全貌。
  • Microsoft Entra：身份验证和访问控制解决方案，帮助保护身份验证、保护访问并在你的环境中强制执行最小权限访问。
详细了解如何使用 Microsoft 的 AI 驱动安全解决方案领先于威胁。
资源 

详细了解 Microsoft 安全

  1.
一位男士和一位女士看着笔记本电脑。
解决方案

借助 AI 驱动的统一安全运营，快人一步应对网络威胁

通过统一你的防护、检测和响应能力来抵御不断演变的风险。
详细了解
一位女士坐在桌前使用笔记本电脑。
产品

利用 Microsoft Sentinel 实现安全运营现代化

使用统一安全数据和上下文的 AI 就绪平台，为你的智能体防御赋能。
详细了解
一位男士和一位女士看着笔记本电脑。
产品

使用 Microsoft Security Copilot 将 AI 构建到日常工作流中

通过生成式 AI，使安全团队能够检测隐藏的模式并更快地响应事件。
详细了解
返回“资源”部分

常见问题解答

  • SecOps 侧重于威胁检测、调查和响应，而 DevOps 侧重于开发和运营。一些组织使用 DevSecOps 来描述在软件开发生命周期中更早地集成安全，但 SecOps 仍然专注于日常保护环境。
  • SecOps 负责监视你的环境、检测威胁、调查可疑活动和协调响应。它还管理威胁搜寻、漏洞管理和改进检测规则等主动任务。
  • SecOps 介绍了一种网络安全方法，安全和 IT 专业人员的集成团队通过此方法开展协作，在高效运营的同时确保组织安全。安全运营中心 (SOC) 是 SecOps 团队的物理、虚拟或混合运营中心。
  • 剧本概述了 SecOps 团队在事件期间采取的步骤，从检测和遏制到根除和恢复。它还定义了角色、沟通渠道和验证步骤。
  • 零信任原则通过降低风险并帮助防止攻击在 IT 环境中横向移动来增强 SecOps。SecOps 团队使用这些原则来验证访问、持续监视信号，并在活动偏离策略时快速响应。

关注 Microsoft 安全

Surface Pro Surface Laptop Surface Laptop Ultra 适用于组织的 Copilot Microsoft 365 探索 Microsoft 产品 Windows 11 应用程序 帐户个人资料 下载中心 订单跟踪 Microsoft 教育版 教育设备 Microsoft Teams 教育版 Microsoft 365 教育版 Office 教育版 教育工作者培训和开发 面向学生和家长的优惠 面向学生的 Azure
Microsoft AI Microsoft 安全 Azure Dynamics 365 Microsoft 365 Microsoft Advertising Microsoft 365 Copilot Microsoft Teams Microsoft 开发人员 Microsoft Learn 支持 AI 商城应用 Microsoft 技术社区 Microsoft Marketplace Microsoft Power Platform 软件公司 Visual Studio 招贤纳士 关于 Microsoft 公司新闻 Microsoft 隐私 投资人
中文（中国） 消费者健康隐私 与 Microsoft 联系 隐私 管理 Cookie 使用条款 商标 关于我们的广告 京ICP备09042378号-6