安全运营中心（SOC）是负责监控和响应安全事件的团队和设施。在成熟的组织中，SOC 全天候 24 小时运转。分析师监控仪表盘、对警报进行分类、调查异常情况，并将重要事件上报。SOC 是安全的第一道防线。一旦发生安全事件，SOC 总是最先发现。

安全运营中心 (SOC) 的形式多种多样。独立的 SOC 由组织拥有并配备人员。托管式 SOC 将监控外包给第三方。混合模式则结合了两者。虚拟 SOC 使用远程分析师而非实体机房。相比之下，组织架构的重要性远不及能力。优秀的 SOC 应具备清晰的升级路径、完善的文档化操作手册以及用于跟踪绩效的指标。平均检测时间和平均响应时间是关键指标。能够在几分钟内检测到威胁的 SOC 表现出色，而需要数天才能检测到威胁的 SOC 则表现不佳。人员配备是最难的部分。分析师倦怠现象普遍存在。警报疲劳会导致人员流失。最佳 SOC 会投资自动化以减少重复性工作，并通过培训保持技能精湛。技术固然重要，但人才才是关键。

SoC 功能

• 监控——全天候关注安全事件
• 分类——评估警报并确定其优先级
• 调查——深入挖掘可疑活动
• 应对措施——控制和补救事件
• 报告——记录发生了什么以及做了什么。

安全运营中心（SOC）是一个团队，而不是一个房间。显示器和仪表盘远不如观察它们的人重要。