《金融科技時代》雜志（2020年第9期）發(fā)表了歐陽達(dá)誠的署名文章《以銀行為例談安全運營中心建設(shè)》。文章通過對銀行業(yè)安全運營中心建設(shè)思路、建設(shè)框架、安全運營平臺建設(shè)、安全運營組織、安全運營流程的研究與探索，提出安全運營中心建設(shè)要實現(xiàn)“自動響應(yīng)閉環(huán)、持續(xù)安全運營”的目標(biāo)，最后提出建設(shè)安全運營中心的核心價值點。
原文如下：
摘要：安全運營中心是安全效能倍增的網(wǎng)絡(luò)安全建設(shè)模式，通過建設(shè)安全運營平臺、安全運營組織、安全運營流程，打通技術(shù)、流程、人員各部分能力并形成有機結(jié)合的整體，實現(xiàn)組織現(xiàn)有安全運維效率的提升、安全建設(shè)效果的提升，并通過安全運營平臺有效體現(xiàn)安全部門和負(fù)責(zé)安全工作的各類人員的工作價值。本文通過對銀行業(yè)安全運營中心建設(shè)思路、建設(shè)框架、安全運營平臺建設(shè)、安全運營組織、安全運營流程的研究與探索，提出安全運營中心建設(shè)要實現(xiàn)“自動響應(yīng)閉環(huán)、持續(xù)安全運營”的目標(biāo)，最后提出建設(shè)安全運營中心的核心價值點。
關(guān)鍵字：安全運營、威脅、安全運維、網(wǎng)絡(luò)安全
隨著新技術(shù)的不斷應(yīng)用和新基建發(fā)展帶來的網(wǎng)絡(luò)安全新威脅，給銀行網(wǎng)絡(luò)安全運營者也帶來了新的安全挑戰(zhàn)。同時由于銀行現(xiàn)有安全建設(shè)缺乏有效的安全運營，導(dǎo)致安全建設(shè)效果不理想、安全運維效率低、安全工作價值難體現(xiàn)等問題，也困擾著銀行的網(wǎng)絡(luò)安全運營者。另外在國家監(jiān)管層面，國務(wù)院辦公廳、網(wǎng)信辦、公安部、銀保監(jiān)會等部門出臺了網(wǎng)絡(luò)安全相關(guān)的政策和標(biāo)準(zhǔn)，如《網(wǎng)絡(luò)安全法》、等級保護2.0等相關(guān)標(biāo)準(zhǔn)在安全運營和管理方面都提出了明確的要求。因此，銀行應(yīng)建設(shè)有效的安全運營技術(shù)、流程和人員組織體系，以應(yīng)對各類安全挑戰(zhàn)和解決安全運營工作遇到的問題，并確保網(wǎng)絡(luò)及業(yè)務(wù)系統(tǒng)持續(xù)穩(wěn)定安全運行。
一、銀行業(yè)安全運營中心建設(shè)思路
銀行業(yè)建設(shè)安全運營中心的核心目標(biāo)是提高銀行的整體安全能力、提升運維效率、體現(xiàn)安全效果和價值。通過建設(shè)包括人員、工具、流程三大體系的安全運營中心，打造從感知、分析、決策、響應(yīng)四個維度的自動安全處置閉環(huán)能力，這四個維度也是發(fā)現(xiàn)問題、分析問題、評估問題、處置問題的完整閉環(huán)過程。因此整體思路和理念就：安全運營中心通過大數(shù)據(jù)、機器學(xué)習(xí)、UEBA（行為識別技術(shù)）、SOAR（自動編排技術(shù)）、威脅情報等技術(shù)和工具，結(jié)合自動化流程和安全運營專家服務(wù)，打造“威脅感知、分析定位、智能決策、響應(yīng)處置”的快速安全閉環(huán)能力，幫助銀行業(yè)不斷提升安全效果、安全運維和安全管理效率、展現(xiàn)安全成果，最終實現(xiàn)“自動響應(yīng)閉環(huán)、持續(xù)安全運營”的目標(biāo)。
二、銀行業(yè)安全運營中心建設(shè)
（一）銀行業(yè)安全運營中心整體架構(gòu)
安全運營中心整體架構(gòu)包括安全運營平臺、安全運營組織、安全運營流程三部分，安全運營平臺通過SOAR、UEBA、機器學(xué)習(xí)、威脅情報等技術(shù)實現(xiàn)安全事件的自動閉環(huán)與持續(xù)威脅對抗。安全運營組織明確組織結(jié)構(gòu)與安全運營權(quán)責(zé)，安全運營流程制定各類安全運維制度和事件處置流程。同時還可以依托外部第三方云端安全能力、安全云腦能力和安全服務(wù)能力。
（二）安全運營平臺建設(shè)
1、打造四維安全閉環(huán)處置能力
安全運營平臺聚焦在打造四維安全閉環(huán)能力特點的安全運營中心，即安全監(jiān)測與感知、深度分析與展示、智能決策與評估、協(xié)同響應(yīng)與處置的安全運營中心，這四個維度也是發(fā)現(xiàn)問題、分析問題、評估問題、處理問題的過程。
2、找威脅
在明確安全運營對象以后，要能全面發(fā)現(xiàn)已知和未知的安全威脅。部署在網(wǎng)絡(luò)邊界和內(nèi)部關(guān)鍵節(jié)點的基于靜態(tài)特征庫的各類探針，能夠?qū)σ阎{進行檢測，但是對于未知威脅的檢測能力不夠，需要通過已經(jīng)采集了多維海量安全數(shù)據(jù)的安全運營平臺結(jié)合威脅情報等技術(shù)來做綜合分析，才能全面發(fā)現(xiàn)包括從外到內(nèi)的各類高級威脅、內(nèi)部威脅和用戶違規(guī)操作行為，實現(xiàn)全面的威脅監(jiān)測與感知。
3、摸風(fēng)險
摸風(fēng)險主要是對安全運營對象就是各類資產(chǎn)，基于資產(chǎn)自身脆弱性如漏洞、配置缺陷、弱口令等方面，結(jié)合威脅潛伏探針和漏洞情報數(shù)據(jù)進行綜合風(fēng)險評估，也就是資產(chǎn)、漏洞、威脅三個要素的綜合評判，全面發(fā)現(xiàn)以資產(chǎn)維度、業(yè)務(wù)維度、安全域維度的風(fēng)險情況及全網(wǎng)資產(chǎn)風(fēng)險可視，并提供標(biāo)準(zhǔn)化、全流程的漏洞處置過程和全網(wǎng)安全風(fēng)險可視。
4、深度分析與展示
深度分析與展示就是分析問題的部分，最重要能力是要能簡化分析工作量及提升安全運維效率。通過智能關(guān)聯(lián)分析引擎的各類分析規(guī)則，可將大量重復(fù)的、誤判的事件進行過濾，減少安全運營人員事件分析工作量。通過多事件和情景分析規(guī)則，可提升安全事件處置效率。
安全運營平臺的可視化威脅追捕、溯源分析、情報關(guān)聯(lián)、行為分析等技術(shù)可提供可視化數(shù)據(jù)呈現(xiàn)能力，展示暫未形成安全事件但存在可疑或結(jié)合業(yè)務(wù)現(xiàn)狀可分析發(fā)現(xiàn)存在異常的數(shù)據(jù)，提供給駐點安全專家，或有一定安全分析能力的運維人員進行分析，從正常現(xiàn)象中挖掘異常。
在完成理資產(chǎn)、找威脅、摸風(fēng)險以及對全面異構(gòu)的各類多源安全數(shù)據(jù)進行采集和深度分析以后，比較重要的一個環(huán)節(jié)就是要實現(xiàn)各類安全風(fēng)險可視，比如全網(wǎng)整體安全態(tài)勢可視、脆弱性態(tài)勢可視、網(wǎng)絡(luò)攻擊態(tài)勢、安全事件態(tài)勢等可視化呈現(xiàn)，通過各類綜合安全風(fēng)險感知和呈現(xiàn)，為安全經(jīng)理和領(lǐng)導(dǎo)提供制定安全策略的決策支撐。
5、智能決策與評估
通過人機共智和基于SOAR的自動編排實現(xiàn)對安全事件處置的輔助決策，以及工作價值的量化與評估。
為有效解決大量的安全事件都需要安全分析師介入，造成運營成本高、安全響應(yīng)慢的問題，安全運營平臺采用了基于SOAR的安全編排、自動化與響應(yīng)技術(shù)。通過簡單三步即可制定安全響應(yīng)策略來實現(xiàn)安全事件自動響應(yīng)及聯(lián)動處置。第一步是定義資產(chǎn)IP或IP范圍、發(fā)生的事件類型，如我們定義勒索病毒事件。第二步是確定響應(yīng)手段，目前提供聯(lián)動封堵、訪問控制、凍結(jié)賬號、一鍵查殺等六種手段。第三步是確定策略配置，如EDR聯(lián)動進行病毒查殺后，可選擇隔離或未發(fā)現(xiàn)威脅文件及忽略。對于已匹配自動響應(yīng)策略的安全事件處置結(jié)果，進行完成記錄，為事后追查提供依據(jù)。
在價值量化與成果可視方面，銀行可根據(jù)指標(biāo)考核體系預(yù)先設(shè)置需要展現(xiàn)的工作成果，實現(xiàn)自動化的輸出和運營工作相關(guān)的績效指標(biāo)。如風(fēng)險主機處置率、事件處置率、漏洞修復(fù)率、整體風(fēng)險指數(shù)等等。包括安全風(fēng)險的檢測成果，從流量、日志到告警事件再到安全事件的過濾和歸并情況，最終呈現(xiàn)在我們面前的需要處理的事件和已處理事件的數(shù)量以及處理進度等情況，進行匯總綜合展示。在考核指標(biāo)體系設(shè)計這塊，可根據(jù)銀行實際情況設(shè)置終端、網(wǎng)絡(luò)、系統(tǒng)、業(yè)務(wù)等維度的指標(biāo)，以滿足不同需求場景及安全工作目標(biāo)的設(shè)定。
6、協(xié)同響應(yīng)與處置
-
建設(shè)“3+3+3”安全處置閉環(huán)能力
三種響應(yīng)模式是：以設(shè)備為中心的系統(tǒng)聯(lián)動處置、以人為中心的電子化工單處置、基于SOAR的人機共智；
三大安全場景是：攻防演練場景（HW）、重要活動保障（兩會、十一等）、應(yīng)急響應(yīng)。
三種服務(wù)模式是：通過安全分析專家提供三種安全運營服務(wù)，本地化服務(wù)、遠(yuǎn)端平臺化服務(wù)、VPN本地化服務(wù)。
通過“3+3+3”的安全處置閉環(huán)能力，來有效提升安全效果、體現(xiàn)安全績效、提升運維效率。
-
以設(shè)備為中心的系統(tǒng)聯(lián)動
安全運營平臺可聯(lián)動網(wǎng)端云各組件形成整體能力，實現(xiàn)全面、及時、主動化防御。
全面：通過部署于邊界和內(nèi)網(wǎng)的各類安全威脅檢測探針發(fā)現(xiàn)已知威脅的基礎(chǔ)上，結(jié)合云腦及威脅情報并實時同步至安全運營平臺，通過機器學(xué)習(xí)與關(guān)聯(lián)分析、UEBA等技術(shù)，全面發(fā)現(xiàn)已知/未知安全威脅。
及時：通過大量基于SOAR的自動響應(yīng)策略以及事先自定義好的自動響應(yīng)策略，一旦發(fā)生類似安全事件便能實現(xiàn)及時響應(yīng)。
主動化：通過安全運營平臺聯(lián)動邊界防護組件、主機檢測響應(yīng)組件實現(xiàn)主動化的邊界封堵與惡意代碼查殺。
安全運營中心提供電子化的處置工單系統(tǒng)，能夠為銀行業(yè)打造線上電子化的安全事件處置流程。對于大多數(shù)常見的安全事件可通過事先定義的基于SOAR的自動響應(yīng)策略來處理，但是對于復(fù)雜的高級威脅事件、高危漏洞事件等需要通過人手動處置的事件，通過生成事件處置工單配合電子流程進行工單下發(fā)、確定責(zé)任人、處置進度和狀態(tài)、處置結(jié)果反饋等全流程處理和可視。
由于不同類型的安全事件處置流程有不同的步驟和方法，因此工單的處置應(yīng)能夠提供自動化和可編排的處理流程，來應(yīng)對眾多不同安全事件處置復(fù)雜的問題。
為了有效防止網(wǎng)安、網(wǎng)信、銀保監(jiān)等監(jiān)管單位的通報、以及攻防演練期間防扣分這塊，安全運營平臺可以建立以業(yè)務(wù)為維度的整體安全風(fēng)險檢查，比如對互聯(lián)網(wǎng)提供服務(wù)的門戶網(wǎng)站、郵件系統(tǒng)、攻防演練期間上報的被檢查業(yè)務(wù)系統(tǒng)等，檢查這些系統(tǒng)相關(guān)聯(lián)的數(shù)據(jù)庫、操作系統(tǒng)、中間件等IT資產(chǎn)，由平臺統(tǒng)一調(diào)度各類安全組件實現(xiàn)弱口令、配置缺陷、安全漏洞等脆弱性信息的全面檢測和風(fēng)險分析，提前發(fā)現(xiàn)安全問題并進行處置閉環(huán)。
在重大保障期間如兩會、過期期間，通過重大活動網(wǎng)絡(luò)安全指揮調(diào)度，實現(xiàn)全網(wǎng)整體安全風(fēng)險監(jiān)控，并且對安全風(fēng)險提供層層下鉆實現(xiàn)安全追溯、發(fā)現(xiàn)威脅源，并通過不同維度進行風(fēng)險展示、提供處置建議。
對于突發(fā)事件及各類緊急事件提供應(yīng)急響應(yīng)總覽及總體處置進度展示，為領(lǐng)導(dǎo)提供全局視角，及時掌握當(dāng)前應(yīng)急事件處置人力資源及相關(guān)責(zé)任人安排等情況，為下一步?jīng)Q策提供有效的數(shù)據(jù)支撐。
（三）安全運營組織建設(shè)
安全運營組織體系的目標(biāo)是要根據(jù)銀行業(yè)的實際情況建設(shè)相應(yīng)的安全運營組織架構(gòu)以及各小組的權(quán)責(zé)劃分，以支撐銀行的安全運營工作，是制定清晰明了的安全運營流程的基礎(chǔ)。
1、安全運營組織
安全運營工作有很多與安全事件深度分析、追蹤溯源、處置閉環(huán)等的專業(yè)性要求非常高的工作，一般的IT運維團隊往往難以做到真正的安全運營，無法站在攻擊者的角度對系統(tǒng)進行安全評估，發(fā)現(xiàn)系統(tǒng)隱患和漏洞，無法實時分析出隱藏在正常網(wǎng)絡(luò)流量中的異常攻擊特征，無法準(zhǔn)確開展相應(yīng)工作，所以安全運營還需要依托專業(yè)的、有經(jīng)驗的安全服務(wù)團隊開展。安全運營團隊?wèi)?yīng)該由專業(yè)服務(wù)團隊和銀行的安全管理團隊共同組成，這樣既能保證高質(zhì)量的安全運營工作成效，又能實現(xiàn)和企業(yè)業(yè)務(wù)的高效貼合。
根據(jù)銀行的實際情況，可設(shè)定安全運營領(lǐng)導(dǎo)機構(gòu)、安全運營管理組，下設(shè)安全策略崗、安全分析崗、事件處置崗、安全運維崗、安全服務(wù)崗等崗位，并明確各崗位的職責(zé)
2、安全運營人員
按照安全運營工作需要處置的工作難度和類型，可將安全運營人員分成不同等級，如T1、T2、T3三級能力，T1級安全工程師主要負(fù)責(zé)安全日志記錄、安全事件分析處置及報告輸出等工作。T2級安全分析人員主要負(fù)責(zé)安全事件分析研判、工單處置、威脅建模等工作。T3級安全專家主要負(fù)責(zé)日志深度分析、技術(shù)賦能、整體安全策略決策等工作。
3、安全運營職責(zé)
安全運營中心的建設(shè)，需要具體職能機構(gòu)及人員開展具體的安全分析、事件處置、安全檢查等工作，因此銀行應(yīng)部署適應(yīng)安全運營中心工作開展的組織機構(gòu)和人員隊伍。
各組織工作職責(zé)如下：
信息安全管理工作委員會需要定期向信息安全領(lǐng)導(dǎo)小組反映信息安全管理體系的運作情況；
信息安全領(lǐng)導(dǎo)小組通過會議，針對于信息安全管理體系運作的情況以及可能出現(xiàn)的問題，進行討論做出決策；
信息安全管理體系代表根據(jù)信息安全委員會會議決策的結(jié)果，進行具體的實施計劃工作，安排信息安全工作小組的人員開展實施；
信息安全工作小組的成員根據(jù)信息安全管理體系代表的計劃，展開具體的實施工作。
4、人員能力提升
根據(jù)安全運營中心配備的人員能力要求和目前各崗位人員能力的實際情況，可選擇對應(yīng)的安全培訓(xùn)服務(wù)，以提升銀行業(yè)當(dāng)前負(fù)責(zé)安全工作的各類人員整體安全能力。
（四）安全運營流程
基于銀行業(yè)廣泛的安全運營實踐，我們將安全運營分為資產(chǎn)梳理、安全數(shù)據(jù)接入、場景建模、威脅研判、響應(yīng)處置和全局展示六個階段。
第一步 資產(chǎn)梳理
資產(chǎn)是安全運營的核心，是安全防護的最終保護對象，資產(chǎn)梳理是安全運營最關(guān)鍵的一步。
第二步 安全數(shù)據(jù)接入
接入網(wǎng)絡(luò)流量日志、威脅情報、IT基礎(chǔ)設(shè)施日志告警、漏洞等安全數(shù)據(jù)。
第三步 場景建模
根據(jù)業(yè)務(wù)和安全需求設(shè)置各種安全關(guān)聯(lián)分析場景模型。
第四步 威脅研判
通過攻擊鏈調(diào)查分析、各種安全引擎以及結(jié)合威脅情報等知識庫和專家人工威脅研判分析，最大限度的發(fā)現(xiàn)和處置風(fēng)險。
第五步 響應(yīng)處置
當(dāng)威脅研判產(chǎn)生安全事件告警后，安全運營人員能夠通過系統(tǒng)對產(chǎn)生的告警事件進行統(tǒng)一響應(yīng)處置，系統(tǒng)提供多種響應(yīng)處置方案， 能夠解決機構(gòu)復(fù)雜、網(wǎng)絡(luò)安全無法統(tǒng)一管理的問題。
第六步 全局展示 持續(xù)監(jiān)測
通過從宏觀到微觀的分析思路，采用關(guān)聯(lián)分析，結(jié)合可視化技術(shù)，將威脅以安全人員的處置視角完美呈現(xiàn)在監(jiān)控面板和分析面板之上。有助于分析人員持續(xù)監(jiān)控威脅、發(fā)現(xiàn)線索、下鉆分析。從而極大提升了威脅可視及處置的能力和效率。
三、安全運營中心建設(shè)核心價值
安全運營中心是安全效能倍增的網(wǎng)絡(luò)安全建設(shè)模式，通過建設(shè)安全運營平臺、安全運營組織、安全運營流程，打通技術(shù)、流程、人員各部分能力并形成有機結(jié)合的整體，實現(xiàn)組織現(xiàn)有安全運維效率的提升、安全建設(shè)效果的提升，并通過安全運營平臺有效體現(xiàn)安全部門和負(fù)責(zé)安全工作的各類人員的工作價值。滿足國家法律法規(guī)和標(biāo)準(zhǔn)規(guī)范中對網(wǎng)絡(luò)安全運維和安全監(jiān)測管理方面的要求，提升組織的整體安全能力。安全運營中心建設(shè)核心價值主要體現(xiàn)在以下幾個方面。
