跟著收集安然環(huán)境的日趨復雜，為了有效抵抗各類安然威脅，企業(yè)安然產(chǎn)品擺設的愈來愈多，進而導致了企業(yè)對IT人才需求的數(shù)量和專業(yè)性不竭增高;其次安然產(chǎn)品相對自力的擺設難以實現(xiàn)對收集安然設備的統(tǒng)一監(jiān)控和對應急響應的措置，同時企業(yè)也很難應對此刻海量數(shù)據(jù)的集中闡發(fā)措置和對整體安然威脅的預防和感知。
傳統(tǒng)的信息安然系統(tǒng)已沒法應對全新環(huán)境下的收集安然威脅，企業(yè)需要一個能在統(tǒng)一治理平臺下進行全局角度闡發(fā)安然標題問題標能力。需求的改變讓全部市場變的火熱，近兩年來，浩繁國表里安然廠商都在大年夜力奉行本身的SOC產(chǎn)品，面對這些各類繁多的安然產(chǎn)品，企業(yè)用戶應當若何選擇?今朝SOC安然治理平臺在企業(yè)內(nèi)的利用狀況若何?接下來跟從我們的介紹一路來深進體味!
1、SOC的進化
當然SOC進進中國已有幾年的時候，但良多企業(yè)對SOC的認知卻仍然逗留在初級階段，很大年夜一部門企業(yè)擺設SOC平臺的目標是為了應對等保的要求。是以，我們有需要在這里為大年夜家先介紹SOC的進化史和其真正價值。
我們都知道SOC是一個外來詞，源自于國外的NOC(收集運營中間)，NOC夸大年夜的是對收集進行集中化、全方位的監(jiān)控闡發(fā)與響應，實現(xiàn)系統(tǒng)化的收集運維治理。跟著信息安然標題問題標日趨嚴重，安然設備的擺設愈來愈多，防火墻、UTM、IPS、IDS、防病毒、終端治理等等，但安然防御孤島的構成很大年夜程度上制約了企業(yè)對IT系統(tǒng)整體安然環(huán)境的把控，NOC在這方面的能力卻顯得顧此失彼了。
SOC的呈現(xiàn)為企業(yè)很好的解決了這些堅苦，從2000年開端，國表里安然廠商都陸續(xù)推出了SOC產(chǎn)品。起首我們來看業(yè)界給出的SOC定義：以資產(chǎn)為核心，以安然事務治理為關頭流程，采取安然域劃分的思惟，成立一套及時的資產(chǎn)風險模型，協(xié)助治理員進行事務闡發(fā)、風險闡發(fā)、預警治理和應急響應措置的集中安然治理系統(tǒng)。由此我們不難看出，SOC對企業(yè)的真正價值不但僅是簡單的安然防護，它是從整體上、系統(tǒng)化的幫忙企業(yè)具有了感知安然威脅的能力，在這里我們可以將其稱為下一代安然。
在國外，SOC并不是純真的產(chǎn)品，而是一個復雜的系統(tǒng)工程，包含了產(chǎn)品、運維和辦事，在產(chǎn)品表現(xiàn)上是以SIEM來代表SOC產(chǎn)品。而在國內(nèi)，SOC產(chǎn)品也稱為安然治理平臺，這是國內(nèi)安然市場需求的使然，是以SOC進進中國后具有了很強的中國特點。
2、SOC市場概況
2013年5月7日，Gartner發(fā)布了SIEM魔力象限，從Gartner魔力象限中我們不難看出，IBM收購Q1Labs，HP收購ArcSight，McAfee收購NitroSecurity以后，已然成為SIEM范疇的帶領廠商。當然，受限于國內(nèi)安然廠商的成長范圍，國內(nèi)安然廠商幾近沒有進進Gartner魔力象限的，但這也其實不克不及影響企業(yè)對國內(nèi)SOC產(chǎn)品的承認。
邁克菲安然手藝專家胡江波在接管IT168收集安然頻道采訪時談到，國內(nèi)的SOC市場首要面向大年夜企業(yè)客戶，不合行業(yè)的企業(yè)客戶對產(chǎn)品的理解和需求差別巨大年夜，并且對SOC都有必然的定制化需求。這些身分促進了國內(nèi)有很是多的SOC供給商，并且這些供給商大年夜多只耕耘幾個特定的行業(yè)或客戶。由此導致今朝國內(nèi)的SOC市場仍是比較分離的，未能構成通吃所有行業(yè)的優(yōu)勢廠商。
惠普企業(yè)安然產(chǎn)品部北亞區(qū)總經(jīng)理姚翔也覺得，國內(nèi)SOC市場仍然在成長當中，這也是為甚么今朝仍是有良多的企業(yè)延續(xù)在進行調(diào)研。但是大年夜部門的用戶并沒有真實的 SOC 安然治理中間，僅僅是具有了SIEM產(chǎn)品。
而啟明星斗SOC資深產(chǎn)品經(jīng)理葉蓬卻覺得，顛末10多年的成長，國內(nèi)的SOC市場已趨于成熟。今朝，國內(nèi)企業(yè)用戶的收集與信息安然扶植已有了必然范圍和程度，跟著近年國內(nèi)用戶對收集與信息安然的日趨正視，特別是跟著收集戰(zhàn)、APT報復打擊等喧嘩塵上，用戶已火急需要一個可以或許對全網(wǎng)安然進行統(tǒng)一監(jiān)控、統(tǒng)一治理、統(tǒng)一保護的安然平臺。
是以從全球角度來講，國內(nèi)SOC利用程度還處于成長階段，但就國內(nèi)企業(yè)具體需求而言，SOC市場卻也在高速增加著。賽迪參謀在《2012—2013年中國信息安然產(chǎn)品市場研究年度陳述》中也印證了這一點，2012年國內(nèi)SOC市場范圍達到了4.76億元，比2011年增加了22.7%，而在此后三年內(nèi)將保持20%以上的增加速度，并猜想到2015年國內(nèi)SOC市場將達到8.92億的市場范圍。
跟著企業(yè)安然意識的晉升，中小企業(yè)也會更多的成為SOC產(chǎn)品的積極利用者。專門為此類客戶優(yōu)化和定制的產(chǎn)品將不竭推出，基于云的SOC解決方案也會成為一個熱點。而大年夜企業(yè)市場則是進進了一個SOC產(chǎn)品的改換期。顛末一段時候的利用，大年夜企業(yè)對SOC有了深進的熟諳，同時也更清晰的熟諳到本身的需求是本來SOC沒法知足的。在本身需乞降BDA的鞭策下，大年夜企業(yè)開端改換SOC，這些改變會為SOC市場的立異者和帶領者帶來機緣。
3、SOC主流產(chǎn)品
疇前面的介紹中我們也體味到，今朝比較馳名的國外SOC產(chǎn)品主如果IBM QRadar、HP-ArcSight、McAfee、EMC-RSA，國內(nèi)SOC產(chǎn)品首要有啟明星斗、東軟、網(wǎng)神、天融信等。下面我們將對這些產(chǎn)品進行一一清算和介紹!
1、 IBM QRadar安然智能平臺
IBM收購Q1Labs以后，將其SIEM產(chǎn)品稱為QRadar安然智能平臺。IBM Security QRadar SIEM經(jīng)由過程整合一個收集分發(fā)的數(shù)千個設備端點和利用法度中的日記源事務數(shù)據(jù)，并在原始數(shù)據(jù)上履行直接尺度化和聯(lián)系關系勾當，以辨別實際威脅和弊端鑒定。同時，還可以整合IBM Security X-Force Threat Intelligence，它供給了一個暗藏歹意 IP 地址列表，包含歹意主機、垃圾郵件源和其他威脅。IBM Security QRadar SIEM 還可將系統(tǒng)縫隙與事務和收集數(shù)據(jù)相聯(lián)系關系，幫忙劃分安然性事務的優(yōu)先級。
官網(wǎng)地址：http://www-03.ibm.com/software/products/cn/zh/qradar-siem/
2、 HP-ArcSight
惠普 SOC 的解決方案主如果操縱其收購的SIEM 產(chǎn)品 ArcSight，并搭配SOC實施團隊成長而成。在ArcSight成長的初期，專注在日記聯(lián)系關系闡發(fā)，是以ArcSight具有有業(yè)界最優(yōu)的聯(lián)系關系闡發(fā)引擎，以后，ArcSight開端成長日記查詢與回檔解決方案，并且可以整合為單一解決方案賜與用戶。ArcSight也是業(yè)界十年內(nèi)獨一保持在Gartner第一象限的解決方案。
官網(wǎng)地址：http://www8.hp.com/cn/zh/software-solutions/software.html?compURI=1340541
3、 McAfee SIEM
邁克菲的SOC產(chǎn)品源自2011年10月于對極富立異的Nitro Security公司的收購。Nitro Security依托自行開辟的一款高速數(shù)據(jù)庫，解決了困擾SOC界多年的闡發(fā)速度標題問題。McAfee在比較了Nitro公司與其他公司的產(chǎn)品后，最終決定將Nitro公司收購。收購6個月后，即2012年4月，McAfee基于Nitro的產(chǎn)品推出了自有品牌的SOC(SIEM)產(chǎn)品。此產(chǎn)品與McAfee多個自有產(chǎn)品進行了深度整合，并集成了McAfee獨有的云安然手藝。因為立異性的手藝與強大年夜履行力，使得此產(chǎn)品敏捷躋身Gartner帶領者象限中的第一陣營。
官網(wǎng)地址：http://www.mcafee.com/cn/products/siem/index.aspx
4、 EMC- RSA Security Analytics
熟諳RSA產(chǎn)品的人應當知道enVision，可是RSA從本年開端決定遏制開辟這款產(chǎn)品，取而代之的是并購而來的NetWitness的產(chǎn)品，RSA將其定名為Security Analytics。這個產(chǎn)品的范圍將大年夜于SIEM，并被標識表記標幟為BDA產(chǎn)品。RSA中國區(qū)手藝參謀吳異剛暗示，跟著期間的成長，出格是今天我們面對到愈來愈多高級威脅，傳統(tǒng)的解決方案常常面對貧乏可視性，數(shù)據(jù)匯集不敷周全，響應不敷及時等等標題問題。安然標題問題在某種程度起首變成了一個大年夜數(shù)據(jù)的標題問題。當然匯集足夠的數(shù)據(jù)只是成立SOC的第一步，我們更需要考慮如何才能敏捷的拜候和闡發(fā)數(shù)據(jù)，如何和我們企業(yè)的資產(chǎn)、風險、合規(guī)、事務措置流程等等相聯(lián)系關系。這也恰是RSA今天推出SA(安然闡發(fā)平臺)和SMC(安然治理平臺)的首要啟事。
官網(wǎng)地址：http://www.emc.com/security/security-analytics/security-analytics.htm
5、 賽門鐵克SIM
賽門鐵克安然信息治理器(Symantec Security Information Manager)基于賽門鐵克全球智能收集供給了安然智能和闡發(fā)、威脅諜報、安然事務的聯(lián)系關系闡發(fā)。賽門鐵克覺得，將來企業(yè)對本身SOC平臺的需求，從本質(zhì)上看，愈來愈需要加倍專業(yè)化的辦事來應對這類復雜而嚴重的安然威脅情勢。大年夜大都企業(yè)僅靠本身安然防護能力已沒法應對。是以，賽門鐵克的SOC安然解決方案也正在走向辦事化，經(jīng)由過程加倍專業(yè)的專家步隊，將全球化的安然智能諜報(security intelligence)感知，辦事于企業(yè)，而不但僅是傳統(tǒng)的基于企業(yè)內(nèi)事務的集中匯集，經(jīng)由過程背規(guī)闡發(fā)發(fā)現(xiàn)安然風險。
6、 啟明星斗泰合信息安然運營中間系統(tǒng)TSOC
作為國內(nèi)最早研發(fā)安然治理平臺(SOC)的安然廠商，啟明星斗泰合信息安然運營中間系統(tǒng)TSOC從2008年到2013年持續(xù)五年位居中國安然治理平臺市場據(jù)有率第一。TSOC以IT資產(chǎn)為根本，以營業(yè)信息系統(tǒng)為核心，以用戶體驗為指引，從監(jiān)控、審計、風險、運維四個維度成立一套可懷抱的統(tǒng)一營業(yè)撐持平臺。值得一提的是，2011年啟明星斗的安管平臺的底層手藝架構進行了一次重構，開辟出了撐持下一代安然治理平臺的Cupid(丘比特)架構?；贑upid架構，啟明星斗推出了下一代安然治理平臺(NG-SOC)，實現(xiàn)了面向營業(yè)的、智能的和主動的安然治理平臺，將國內(nèi)安然治理平臺市場成長晉升到了一個新的階段。
官網(wǎng)地址：http://www.venustech.com.cn/SafeProductInfo/29/34.Html
7、 東軟NetEye安然運維治理平臺(SOC)
東軟SOC產(chǎn)品從2005年開端研發(fā)，到此刻為止已經(jīng)歷了三代改變。第一代的SOC產(chǎn)品，只存眷安然治理相干的數(shù)據(jù)，重點匯集安然設備告警日記，數(shù)據(jù)闡發(fā)較為單一。第二代的SOC產(chǎn)品暢通領悟了收集治理和安然治理，全方位匯集所有IT根本舉措措施的告警日記、建設數(shù)據(jù)、運行數(shù)據(jù)、機能數(shù)據(jù)等，針對這些數(shù)據(jù)進行綜合闡發(fā)，晉升事務發(fā)現(xiàn)和事務定位的準確性。第三代的SOC產(chǎn)品真實的上升為平臺產(chǎn)品，不但僅存眷手藝視角利用，供給了治理和營業(yè)視角的揭示與把持，讓SOC平臺在綜合決定計劃、安然治理、營業(yè)系統(tǒng)保護等多個方面都能闡揚首要感化。
官網(wǎng)地址：http://neteye.neusoft.com/1557/
8、 網(wǎng)神SecFox安然治理系統(tǒng)
網(wǎng)神也是國內(nèi)最早進行SOC產(chǎn)品研發(fā)的廠商之一，其SOC產(chǎn)品的成長經(jīng)歷了大年夜致三個階段：1、存眷核心手藝，潛心進行核默算法的研發(fā)，起首解決多類型的海量安然相干數(shù)據(jù)的匯集、回一化、聯(lián)系關系闡發(fā)、存儲蓄份及恢復的標題問題，為SOC平臺的研發(fā)打下堅實的根本;2、完成SOC平臺的開辟，延續(xù)完美功能其實不竭進步產(chǎn)品的機能，按照利用處景的不合，陸續(xù)推出針對數(shù)據(jù)庫、上彀行動、治理員運維方面安然相干數(shù)據(jù)匯集的產(chǎn)品，這些產(chǎn)品既可以作為自力的產(chǎn)品，也能夠作為我們SOC平臺的數(shù)據(jù)匯集器，為我們的SOC方案供給了很好的撐持;3、從安然治理營業(yè)的角度考慮SOC平臺，不竭將安然治理的范疇常識和營業(yè)流程集成到SOC平臺中，使之同安然治理營業(yè)連絡更慎密，同時，延續(xù)跟蹤手藝成長，不竭利用新手藝來進步系統(tǒng)的機能，以迎接大年夜數(shù)據(jù)期間的到來。
官網(wǎng)地址：http://www.legendsec.com/newsec.php?up=3&cid=3
9、 天融信安然信息治理TopAnalyzer
TopAnalyzer 作為天融信SOC安然治理運營中間的手藝運維平臺，首要根據(jù)ISO/IEC 27000 信息安然尺度，連絡安然辦事的最好實踐，以資產(chǎn)治理為根本，以風險治理為核心，以事務治理為主線，經(jīng)由過程深度數(shù)據(jù)發(fā)掘、事務聯(lián)系關系等手藝，輔以有效的收集治理與監(jiān)督、安然報警響應、工單措置等功能，對企業(yè)內(nèi)部各類安然事務進行集中治理和智能闡發(fā)，最終實現(xiàn)對企業(yè)全風險態(tài)勢的統(tǒng)一監(jiān)控闡發(fā)和預警措置。
官網(wǎng)地址：http://www.topsec.com.cn/aqcp/aqgl/aqxxgltopanalyzer/index.htm
4、企業(yè)SOC選型建議
基于以上這些國表里優(yōu)良的SOC產(chǎn)品，企業(yè)用戶要若何選擇合適本身的產(chǎn)品呢?為此，我們專門訪問了出產(chǎn)這些SOC產(chǎn)品的廠商，請他們的安然專家為大年夜家提出專業(yè)的選型建議：
邁克菲安然手藝專家胡江波覺得，一款優(yōu)良的SOC產(chǎn)品應具有四個特點：簡單、高速、擴大、集成。簡單就是講產(chǎn)品利用和保護要很是簡單，最好采取Out of Box的交付情勢，在界面設計上應當保持邏輯的高度統(tǒng)一;高速是說產(chǎn)品要有高速的查詢速度和數(shù)據(jù)庫寫進速度;擴大是產(chǎn)品的架構要很是等閑擴大，既撐持面向大年夜型客戶的漫衍式擺設模式，也撐持面向中小客戶的Combo模式;集成是產(chǎn)品既要撐持與SOC出品商自有產(chǎn)品的垂直整合，也要撐持與第三方廠商的橫向整合，如斯才能對事務信息進行豐碩，供給動態(tài)上下文信息及情勢感知信息。
胡江波建議，企業(yè)SOC選型要選擇與企業(yè)范圍與運維能力相適應的SOC產(chǎn)品，要從交付形態(tài)、保護成本、運維能力等方面周全考慮;二是要選擇真正實現(xiàn)其產(chǎn)品設計方針的產(chǎn)品，所有SOC產(chǎn)品都有兩個核心的設計方針，即時獲得成心義的諜報、具有一個智能查詢拜訪平臺;三是要選擇具有前瞻性的SOC產(chǎn)品，具體來講應包含產(chǎn)品架構應知足BDA的需求、產(chǎn)品可與云信息進行整合、產(chǎn)品當有一批頂尖安然專家撐持。
惠普企業(yè)安然產(chǎn)品部北亞區(qū)總經(jīng)理姚翔覺得，企業(yè)要進行SOC選型，起首要考慮海量數(shù)據(jù)布景下該當細心從架構上思慮 SOC 的選型，也就是在將來各個構成元件可否橫向擴充;其次是對高機能的措置編制是不是能從架構上措置，常常用戶希看破過單一硬件將所有的功能集中在一臺硬件上，可是當面對海量數(shù)據(jù)時，每秒數(shù)十萬 EPS 的要求，不該該是一臺機械進行措置;第三要選擇持久優(yōu)良的產(chǎn)品，用戶在選 SIEM 產(chǎn)品時，會對企業(yè)所有的安然產(chǎn)品進行日記集成，是以一個好的廠商該當可以不竭立異，引進新的手藝，如斯一來方能協(xié)助客戶進行持久的安然策略打算;最后還要考慮到辦事和經(jīng)驗，SOC 是 Security Operation Center, 事實上包含了流程，手藝，和人員等三者關系，一個好的廠商，該當具有有這三方面的能力，除操縱產(chǎn)品的手藝以外，還要可以或許對用戶的人員進行培訓和建議，并且搭配對的事務措置流程來進步事務措置的效力，這才是 SOC 的真正精髓地點。
啟明星斗公司安然治理平臺(SOC)資深產(chǎn)品經(jīng)理葉蓬談到，其實還有比選型更首要的工作是安然治理平臺的扶植打算，而選型僅僅是全部扶植打算的一個環(huán)節(jié)。只有先完成了扶植打算，才有可能進進平臺選型階段。而按照扶植打算，不必然非要往選擇自建SOC，是以也就不必然非要往做SOC選型。用戶也可能選擇外包、拜托扶植等編制。是以，SOC選型與否應當取決于安然治理平臺扶植打算，不要將二者本末倒置。
東軟安然運營營業(yè)部高級咨詢師侯小東談到，企業(yè)用戶在選型SOC方案時，因為良多SOC產(chǎn)品是按照數(shù)據(jù)匯集來歷的Device數(shù)量來設置相干的授權，而不合的授權，會有不合的代價，是以需要用戶充分體味信息化的收集范圍。別的就是SOC產(chǎn)品的實施較為復雜，可能會觸及收集設備、安然設備、主機系統(tǒng)、數(shù)據(jù)庫、中間件等浩繁IT根本實施，這就要求實施人員具有安然、收集、系統(tǒng)等多方面的手藝與經(jīng)驗，是以最好選擇同時具有安然集成和系統(tǒng)集成經(jīng)驗豐碩的廠商。
天融信安然治理產(chǎn)品線總監(jiān)熊毅覺得，安然治理扶植是分步扶植、慢慢完美的過程，今朝市場上有良多廠商供給SOC相干的產(chǎn)品，此中就不乏有部門中小廠商供給的所謂SOC，其更多的是安然事務治理系統(tǒng)，這些廠商在扶植能力上有限，而SOC的扶植是一個別系化的過程，從方案到產(chǎn)品再到實施運維，需要具有完美的步隊與手藝能力程度，這些能力常常是中小廠商沒法供給的，其成果是把安然治理平臺扶植成了具有簡單闡發(fā)能力的安然事務治理系統(tǒng)，是以在選型SOC方案和產(chǎn)品時重點考慮到這幾個方面：廠商扶植能力、設備治理能力、大年夜數(shù)據(jù)闡發(fā)措置能力、行業(yè)尺度的合適度。
RSA中國區(qū)手藝參謀吳異剛也覺得，企業(yè)在選擇SOC時起首應當充分體味本身的狀況，并肯定一個合適的扶植方針，腳結壯地的給出一個最合適本身現(xiàn)有狀況的同時又有前瞻性的選擇標的目標。是以如許的SOC方案必需進步前輩性，矯捷性和擴大性可以或許兼顧。
網(wǎng)神數(shù)據(jù)與安然治理事業(yè)部副總經(jīng)理孫燕輝也總結到，企業(yè)SOC選型要不求大年夜、不求全，按照現(xiàn)階段的實際需乞降將來可能的成長來合理選擇產(chǎn)品，但產(chǎn)品本身必然要有比較好的擴大性和矯捷擺設的能力，可以或許按照用戶營業(yè)的成長來進行不竭的擴大來知足用戶的要求。同時，SOC平臺不合于一般的安然產(chǎn)品，產(chǎn)品的功能、機能只是衡量其作為安然東西優(yōu)勢的指標，但SOC平臺可否擺設成功，真正給用戶帶來價值，很大年夜程度上取決于實施工作，是以，SOC廠商是不是有經(jīng)驗豐碩的實施團隊相當首要，是以，在進行選型的時辰，一方面要考慮產(chǎn)品本身的手藝指標，另外一方面也要考慮背后的實施和手藝撐持團隊的專業(yè)能力。
在我們6月份進行的一次企業(yè)SOC利用狀況調(diào)研數(shù)據(jù)顯示，企業(yè)在利用SOC安然治理平臺時碰著的首要標題問題排名前三的是(以下圖)：貧乏專業(yè)的安然闡發(fā)師，沒法真正發(fā)現(xiàn)和排查安然標題問題;人手不足，貧乏安然運維工程師;系統(tǒng)保護起來十分復雜。
▲數(shù)據(jù)來歷：IT168調(diào)研平臺
在企業(yè)選型SOC時首要考慮的標題問題調(diào)研中，83%的企業(yè)用戶對產(chǎn)品的不變性、靠得住性最為存眷， 其次是SOC是不是能解決企業(yè)面對的若干關頭IT標題問題占到73%，排在第三的是對IT人員的需求占到73%，由此我們也能夠看到，在全部SOC生命周期中人是最關頭的身分。
5、SOC將來趨勢闡發(fā)
云計較的呈現(xiàn)不是IT財產(chǎn)的特例，SOC一樣也不是信息安然財產(chǎn)的特例，它們都是全部IT業(yè)天然成長和演變的產(chǎn)品。侯小東闡發(fā)到，SOC和云計較手藝的充分暢通領悟，將成為將來信息安然財產(chǎn)成長的必定成果。經(jīng)由過程基于云的SOC平臺，來自城域網(wǎng)、互聯(lián)網(wǎng)等四面八方的用戶，將從存眷SOC的擺設和建設，轉(zhuǎn)為SOC所帶來的便當辦事。這不但可覺得企業(yè)削減人力和物力上的安然投資，更合適了云計較所倡導的節(jié)能環(huán)保的主題。
姚翔也展看到，在今朝海量數(shù)據(jù)和APT等熱點議題下，企業(yè)對SOC的存眷會延續(xù)發(fā)酵，首要的啟事是沒有任何一個單一的產(chǎn)品可以或許解決云、海量數(shù)據(jù)、移動等的安然標題問題。而 SOC 則可以透過PDCA 編制，不竭的改良安然事務措置的能力，是以SOC在將來將會更顯得首要。