安全运营
关于安全运营，我写过的全部内容都在这里，研究类文章在前。每一篇都以一件您周一就能做的事收尾。
您自己正面对其中某个问题吗？我与需要答案、而不是又一份幻灯片的组织合作。我们谈谈。
五个角度短文的结构
这里的大多数主题是一页五个短节，顺序始终如一。文章内每一节各有自己的颜色，方便您跳到所需的部分。
- 1我会从哪里入手：我会迈出的第一步，以及在花钱之前我会先问的问题。
- 2计划在哪里失败：这个主题上的计划通常在哪里出问题，以及我会首先检验的假设。
- 3超越术语：剥去厂商话术之后，这个主题的真正含义。
- 4好的状态是什么样：能告诉您它奏效了的结果，以及我会盯着看的那个数字。
- 5领导者无法回避的抉择：领导层必须承担的决定，以及做出决定需要摆上桌面的东西。
相关服务：安全运营中心（SOC）、托管安全服务（MSSP）、漏洞管理、合规监控与报告。
-
如何判断您的 SOC 是否真正有效？
以经过测试的检测、站得住脚的调查和已验证的遏制来评估 SOC 的有效性。揭示漏掉的案例、交接失误，以及具有误导性的响应平均值。
-
变更之后，如何知道某项安全控制仍然有效？
让安全控制的证据在变更后依然有效：确定重新测试的触发条件，发现缺失的遥测数据，并为得出站得住脚的决定设定时间界限。
-
时钟不一致时，如何还原一起 OT 事件？
结合时间戳的不确定性、来源出处和因果证据来还原 OT 事件，再对照各项功能的要求验证时间恢复情况。
-
如何在停用 SIEM 时不丢失调查证据？
停用 SIEM 时保留可用的调查证据。核实导出覆盖范围、时间戳、查找表历史、完整性、检索能力和停用验收。
-
如何跨租户测试 API 对象授权？
用决策矩阵测试 API 授权，涵盖租户、对象、字段、过期权限和排队任务。了解哪些证据能支持发布决定。
-
启用规则之前，如何测试检测误报？
用良性相似样本、保留数据集和影子运行来测试检测规则。区分误报率、告警精确度、工作量和发布证据。
-
如何核实带认证漏洞扫描的覆盖范围？
在信任带认证漏洞扫描的覆盖结果之前，先检查资产范围、凭据权限、扫描诊断信息、传感器时效和缺失的结果。
-
如何在每一个合法发件方上核实 DMARC
核实邮箱、应用、供应商和转发服务之间的 DMARC 对齐情况，并通过接收方测试和证据支持强制执行的决定。
-
DLP 策略何时可以开始阻断文件传输？
在全员范围强制执行之前，先针对已获批准的传输、检查失败、人工覆盖和策略冲突测试 DLP 阻断。
-
漏洞评分互相矛盾时，应当先修复哪个？
把 CVSS、EPSS 和 CISA KEV 与资产证据、业务后果和补丁限制放在一起核对，选出站得住脚的下一步行动。
-
告警疲劳
处理告警疲劳，我不会从购买另一个平台或发起大型项目入手。我会先找出边界、负责人，以及一个场景...
-
持续监控不等于持续保证
一块仪表盘可以显示上百个绿色指标，却几乎说明不了攻击者能否触及关键系统。监控收集观测数据...
-
检测工程
做检测工程，我不会从购买另一个平台或发起大型项目入手。我会先找出边界、负责人，以及一个...
-
签署托管 SOC 合同之前的九个问题
外包检测可能是正确的选择，外包问责则不行。合同正是这两者容易被混为一谈的地方，所以下面是我会问的问题……
-
紫队演练
处理紫队演练，我不会从购买另一个平台或发起大型计划入手。我会先找出边界、负责人，以及一个场景...
-
SIEM 架构
处理SIEM 架构，我不会从购买另一个平台或发起大型计划入手。我会先找出边界、负责人，以及一个场景...
-
SOC 运营模式
处理SOC 运营模式，我不会从购买另一个平台或发起大型计划入手。我会先找出边界、负责人，以及一个场景...
-
SOC 绩效指标
处理SOC 绩效指标，我不会从购买另一个平台或发起大型计划入手。我会先找出边界、负责人，以及一个场景...
-
SOC 人员配置
处理SOC 人员配置，我不会从购买另一个平台或发起大型计划入手。我会先找出边界、负责人，以及一个场景...
-
遥测策略
处理遥测策略，我不会从购买另一个平台或发起大型计划入手。我会先找出边界、负责人，以及一个场景...
-
没有人能用的安全仪表盘
仪表盘上可以满是健康的百分比，领导层却依然说不清组织是否变得更安全。
-
威胁狩猎
处理威胁狩猎，我不会从购买另一个平台或发起大型计划入手。我会先找出边界、负责人，以及一个场景...
-
SOC 何时可以允许自动化禁用员工账号？
判断自动化账号遏制何时站得住脚。检验误报、会话撤销、操作限制、重试和安全恢复。
-
何时淘汰一条检测规则
我看过的每一个 SOC 都有没人记得是谁写的规则。它们触发，分析师关闭，如此循环，直到终于有人问起这条规则……
-
为什么您的 SOC 很忙却不够有效
安全运营中心可以全天候忙碌，却依然漏掉真正重要的事件。我并不认为关闭告警的数量特别……
没有匹配项。请换一个词，或直接问我。