适合 SOC 忙碌不堪、却说不清自己是否有效的机构

以遏制成效而非告警数量衡量工作的安全运营总监

一个安全运营中心可以人员齐备、工具堆到极致、每月关闭数千张工单，却仍然漏掉真正要紧的那一次入侵。这种情形我见过太多次，以至于专门写成了文章：忙碌却无效的 SOC。把安全运营领导好，就要问另一个问题，而不是“我们处理了多少告警”；并把运营体系建设成能对真正的问题给出肯定的答案，即“我们能发现吗，我们能制止吗”，而且有证据支撑。

洽谈高管职位工作方式

我会如何运营，以及怎么做

SOC 与人员：招聘看重调查能力，而不是关闭工单的能力，并设立职业发展通道，让优秀的人留下来。检测工程：每一条检测都有负责人、有书面记录的存在理由、预期的误报率，以及证明它确实会触发的测试；不能证明自身价值的检测予以淘汰。响应：剧本写明谁无需开会就能做什么，并经过演练，包括业务部门不同意的那一环节。遥测：清楚我们能看到什么，更重要的是看不到什么，让缺口成为决策，而不是意外。衡量指标：发现时间、遏制时间、针对与我们相关的攻击的覆盖率，以及真实入侵得手的实际比率，哪怕难看也要向上汇报。

与托管服务商合作

许多机构会外包部分或全部 SOC。两种模式以及混合模式，我都运营过。如果您有 MSSP，我的工作就是确保合同衡量的是真正重要的指标，我们的遥测数据确实送达对方，升级流程在凌晨 2 点也能运转而不只是在服务评审会上有效，并且我们能证明服务商的检测在您的环境里有效，而不是只在他们的宣传材料里有效。

坦率谈谈是否匹配

如果机构希望运营体系能够自证有效，并愿意接受所购买的部分内容其实没起作用，这种方式就行得通。如果 SOC 的存在只是为了产出一份合规文件，或者总监对工具和遥测没有任何权限，就行不通。在我们交谈之前，我会请您让我看上一季度的指标；您选择给我看哪些，已经能告诉我大部分我需要了解的情况。

经验从何而来

大约二十年一线事件响应与安全运营经验，三十年安全领导经验，包括从零建设运营体系，以及重建那些看似正常的体系。大部分细节受保密协议约束。能在这里说的，我都说了。

我就此写过的文章。

如果愿意，请在我们交谈之前读一读这些。它们是这一论点的详尽版本。

以遏制成效而非告警数量衡量工作的安全运营总监

我会如何运营，以及怎么做

与托管服务商合作

坦率谈谈是否匹配

经验从何而来

我就此写过的文章。

相关工作。

洽谈高管职位。

我所做的一切，分为十二个板块。