一、项目背景及目标

在业务爆发式增长的同时，泰康集团IT信息资产规模不断扩大，随之而来的便是信息安全暴露面在集团层面急速扩大，管理边界逐渐模糊，管理难度骤增，再结合我国国家及行业层面对网络安全攻防对抗的常态化最新要求和不断密集出台的信息安全政策法律法规的强监管态势，传统的安全运营模式已无法匹配集团现有以及未来几年内的业务发展态势和业务安全保障需求，因此亟需以新一代的安全态势感知平台建设为抓手，打造新运营体系，确保集团新网络的信息安全。

二、创新点

采用动态基线分析机器学习模型，该模型是通过对资产的网络特征与主机行为信息进行自动学习，并根据时间维度构建动态置信度曲线。当实时行为偏离该置信区间且超出预置阈值时，系统即可自动触发异常告警。

三、项目技术方案

1.项目概述

①项目背景

为满足集团信息安全合规要求，应对常态化网络攻防、国家级 HW 行动及重大活动安保需求，解决现有安全数据分散、处置效率低、部门协同不足等问题，亟需建设统一安全运营平台。

②项目目标

建成全集团统一安全态势感知运营中心，打造安全大数据底座，实现安全数据集中汇聚、智能分析、协同处置，支撑攻防对抗与重保工作，推动集团安全运营能力达到行业领先。

③项目范围

覆盖集团全单位网络资产、安全设备、业务系统对接，包含平台建设、数据集成、流程建设、运营支撑及跨部门协同体系。

2.现状与痛点

①安全数据分散在各系统，缺乏统一汇聚，形成信息孤岛。

②安全事件人工分析处置效率低、响应慢，误报漏报较多。

③攻防演练、HW 行动、重保期间协同能力不足。

④安全运营依赖人工，自动化、智能化水平偏低。

⑤缺乏统一运营视图，难以全局掌握安全态势。

3.总体设计

①建设原则

合规先行、统一汇聚、开放对接、智能高效、平战结合、持续优化。

②总体架构

数据层：对接各类设备与系统，构建集团安全大数据底座。

平台层：态势感知、威胁监测、事件研判、响应处置、协同指挥。

应用层：日常运营、攻防演练、HW 行动、重大活动重保。

运营层：流程、制度、人员、工具一体化运营体系。

4.建设内容

①安全态势感知平台建设：全局可视化、威胁监测、风险分析、预警通报。

②多源数据对接集成：与现有防火墙、NDR、日志系统、资产系统等无缝对接。

③安全运营流程建设：告警研判、工单流转、闭环处置、复盘优化。

④攻防对抗能力建设：常态化红蓝对抗、HW 行动支撑、重保专项机制。

⑤跨部门协同体系：打通信息壁垒，实现安全、运维、业务部门联动。

5.实施计划

①需求与设计阶段：现状调研、需求梳理、方案设计、接口规范制定。

②平台部署与集成阶段：软硬件部署、数据接入、功能开发、联调测试。

③试运行与优化阶段：小范围试用、流程磨合、规则调优、漏洞修复。

④正式上线与推广阶段：全面上线、全员培训、制度落地、运营启动。

⑤持续运营阶段：日常值守、攻防演练、HW 保障、年度优化升级。

6.组织保障

①领导小组：统筹决策、资源协调、重大事项审批。

②项目实施组：负责建设、集成、测试、上线。

③业务与安全组：提出需求、参与验收、落地运营。

④运维保障组：平台运维、数据质量、持续优化。

7.风险与应对

数据对接风险：提前梳理接口，制定标准，分批次对接。

进度风险：明确里程碑，建立周例会与问题闭环机制。

运营落地风险：同步建设制度流程，开展实操培训。

性能风险：合理规划资源，开展压力测试，逐步扩容。

8.效益分析

安全效益：提升威胁发现与处置能力，保障 HW 行动与重保任务。

运营效益：自动化处置提升效率，降低人工成本，减少误报。

管理效益：统一安全视图，打破信息壁垒，实现跨部门协同。

合规与竞争力：满足监管要求，安全运营水平保持行业领先。

9.预算与资源

硬件资源：服务器、网络设备等。

软件资源：平台软件、安全引擎、数据库、中间件。

服务费用：实施、开发、集成、测试、培训、年度运维。

人力资源：项目管理、安全运营、技术运维人员。

四、运营情况

1.推广应用成效总结

①推广覆盖与落地范围

内部推广全面落地：累计覆盖公司集团总部及7家子公司，涉及200多条业务线，核心用户（安全运维、业务运维）培训覆盖率 100%；试点阶段收集的 17 条优化建议已全部落地，系统易用性满意度达 90%。

业务适配深度达标：针对安全监控定制专属 Dashboard 4 套，简化操作步骤 12 项，实现 “业务无感知接入”，未出现因系统部署导致的业务性能损耗（平均 CPU 占用率≤5%）。

②应用价值落地体现

安全运营效率提升：各部门安全事件上报响应效率提升 60%，业务部门自主查询安全报表频次从每月 1 次提升至每周 2 次，合规自查时间从原来的 3 天缩短至 4 小时。

实际业务赋能案例：

合规审计阶段，依托 SOC 集中化日志与报表功能，减少合规整改成本 30%。

③推广应用中的持续优化

适配调整：针对非核心业务线的轻量化需求，新增 “简易操作模式”，降低使用门槛；优化权限管理体系，保障数据安全。

推广机制沉淀：形成 “月度反馈收集 + 季度迭代优化” 的长效机制，建立《推广问题台账》。

2.系统运行情况总结

①运行稳定性与可靠性

持续运行指标：系统累计稳定运行 1202 天，无重大故障（如宕机、数据丢失）；

环境适配表现：适配公司现有 IT 架构（物理机），日志接入覆盖防火墙、入侵检测、安全流量检测、服务器等设备，接入覆盖率达 95%

②核心功能运行成效

威胁检测与响应：

告警响应时间平均为 22 分钟（优于目标 30 分钟），应急处置闭环率 100%。

合规与报表功能：支持自定义维度查询，满足技术部、合规部、管理层等多角色需求。

③运行中的问题与优化

已解决问题：

高并发场景下部分非核心日志接入延迟（优化日志缓存策略后，延迟≤3 秒）；

部分低危告警重复推送（优化规则阈值后，重复率降低 80%）。

3.当前运行状态评估

系统整体运行稳定，核心功能（检测、响应、合规）均达到或优于项目目标，已成为公司安全运营的核心支撑平台；通过持续优化，更好支撑业务数字化转型。

4.总结与下一步计划

①核心结论

推广应用：实现 “全覆盖、高接受、强赋能”，成功将安全运营理念渗透至各业务线，为安全管理标准化、常态化奠定基础。

系统运行：性能稳定、功能达标，有效解决了传统安全防护 “碎片化”“响应慢” 的痛点，合规与风险防控价值显著。

②下一步重点工作

能力沉淀：梳理推广与运行中的典型案例，形成《SOC 项目运营白皮书》；开展跨部门复盘，提炼可复用的安全运营流程与方法。

五、项目成效

1.全局态势一屏掌控：实时汇聚多源安全数据，直观呈现资产分布、威胁动态、漏洞风险等核心指标，实现安全全貌可视化，打破信息孤岛。

2.重保攻防高效赋能：HW 行动、重保演练期间，动态展示攻击路径与处置进度，支撑集中指挥与跨部门协同，大幅提升应急响应效率。

3.运营价值量化呈现：通过处置时效、闭环率、攻防成果等数据看板，直观展现运营成效，为管理决策与合规展示提供有力支撑。

4.协同研判统一窗口：以可视化界面打通安全、运维、业务部门协作通道，简化联动流程，提升跨部门协同处置精准度。

5.智能分析降本提效：通过告警降噪、多维度关联分析，过滤无效信息，帮助运营人员快速锁定真实威胁，减少人工研判成本。

六、经验总结

1.项目建设经验

①前期准备：夯实基础，规避盲目建设

需求调研精细化：

组建跨部门调研小组（技术部、业务部、合规部），梳理各业务线安全痛点（如核心数据防护、业务系统漏洞管理）、合规要求及现有设备短板。明确 “必须实现”“优先实现”“后期迭代” 三类功能，避免功能冗余导致成本浪费。

技术选型适配性：

优先选择兼容性强、可扩展性好的产品，避免与现有设备形成 “信息孤岛”；重点评估产品的关联分析能力、易用性及厂商服务响应速度。

团队配置专业化：

组建核心团队，包含安全架构师（负责整体方案设计）、运维工程师（负责设备部署与调试）、安全分析师（负责规则配置与威胁研判），并提前开展产品培训。

②实施过程：分步推进，严控风险

架构设计模块化：

采用 “采集层 - 分析层 - 展示层 - 响应层” 四层架构，采集层负责日志、流量等数据接入，分析层实现关联分析与威胁识别，展示层提供可视化 Dashboard。

开发部署迭代化：

分三阶段推进：第一阶段（1-2 个月）完成核心设备接入与基础功能调试；第二阶段（3-4 个月）配置检测规则、优化关联分析模型；第三阶段（1 个月）进行压力测试与漏洞修复。

每个阶段结束后组织评审，邀请业务部门参与试用，收集反馈并快速迭代优化。

测试验证全面化：

开展功能测试（验证检测规则准确性）、性能测试（模拟高并发日志接入场景）、灾备测试（验证系统故障时的数据备份与恢复能力）。

模拟真实攻击场景（如 SQL 注入、勒索病毒攻击），检验系统威胁检测与响应能力，优化规则库。

③上线验收：标准明确，闭环落地

制定量化验收指标：围绕项目目标，明确日志接入覆盖率、威胁检测准确率、响应时间等可量化指标，避免 “模糊验收”。

开展跨部门验收：邀请技术部、业务部、合规部联合验收，重点验证系统对业务的兼容性（无性能影响）、合规要求的满足度，形成《验收报告》，明确遗留问题及整改期限。

2.项目推广经验

①推广策略：分层渗透，精准触达

内部推广分阶段：

试点推广（1-2 个月）：选择 IT 部门、核心业务线作为试点，安排专人驻场支持，收集使用反馈，优化系统易用性（如简化操作流程、定制业务专属 Dashboard）。

全面推广（3-4 个月）：通过 “培训 + 答疑” 结合的方式，覆盖所有业务线；针对不同角色（运维人员、业务负责人、普通员工）制定差异化推广重点（运维关注操作技巧，负责人关注安全报表，员工关注安全意识）。

②推广保障：多维度支撑，提升接受度

培训赋能常态化：

编制《操作手册》《常见问题解答》，开展线上课程 + 线下实操培训；针对核心用户（如安全运营人员）进行进阶培训，提升系统运用能力。

建立 “一对一” 帮扶机制，解决各部门使用过程中的个性化问题。

价值呈现可视化：

定期输出安全运营报表（如威胁趋势分析、安全事件处置情况），向各部门展示 SOC 项目在风险防控、合规保障中的实际价值，增强认可度。

分享典型案例（如：通过 SOC 快速处置某勒索病毒攻击事件），直观呈现系统优势。

机制保障长效化：

制定《SOC 系统使用管理办法》，明确各部门职责（如业务部门需配合日志接入、及时反馈安全事件）；将系统使用情况纳入相关岗位绩效考核，确保推广落地。

3.问题与反思

①建设阶段常见问题

数据接入难度超预期：部分老旧设备日志格式不标准，导致数据采集不完整。解决方案：定制开发日志解析脚本，协调厂商升级设备固件。

检测规则误报率高：初期因规则配置不合理，出现大量无效告警。解决方案：结合业务场景优化规则，引入机器学习算法，通过历史数据训练模型，逐步降低误报率。

②推广阶段常见问题

部门配合度不足：部分业务部门认为 SOC 增加额外工作量，配合意愿低。解决方案：加强沟通，明确 SOC 对业务风险防控的价值；简化操作流程，减少人工干预。

员工安全意识薄弱：普通员工对安全事件的识别与上报能力不足。解决方案：开展安全宣传活动（如案例分享、线上答题），将安全意识培训纳入新员工入职培训。

4.经验总结与未来规划

①核心经验

需求导向是前提：SOC 建设需紧密结合业务需求与合规要求，避免 “为建而建”，确保系统实用、好用。

迭代优化是关键：无论是建设还是推广，都需保持 “小步快跑” 的节奏，持续收集反馈，快速调整方案。

跨部门协同是保障：SOC 项目涉及多部门，需建立高效沟通机制，争取业务部门、管理层的支持，形成合力。

②未来规划

功能迭代：接入 AI大模型、自动化响应功能（如自动封禁恶意 IP），提升安全运营自动化水平；拓展云环境、移动终端的安全防护覆盖。

推广深化：将 SOC 运营经验沉淀为标准化方案，向合作伙伴输出；加强与行业内同行交流，引入最佳实践。

团队建设：培养复合型安全运营人才，提升威胁研判、应急处置的专业能力。