以业务行为驱动的反入侵安全能力建设

0x0 背景

        最近听到一些甲方安全领域的专家分享了部分安全建设的经验，对安全运营下的反入侵技术能力建设有了些新的看法，依靠单个/多个异构的安全产品的关联能力形成的安全中台并不能在实际的攻防对抗当中占据主动地位，且很容易达到一个天花板，而真实的有效方案应该是伴随着业务环境变化可以持续生长、动态变化的安全能力平台；

        在之前的文章当中曾描述过大部分的SOC和SIEM的平台仅仅只是将异构的安全告警数据进行数据接入、数据标准化处理后，通过一系列的存储分析后和一些流程工单、通报预警、OA系统、绩效评估、处置响应、SOAR系统进行了打通，成为了一些业务系统依赖的数据源；但后续的各项功能，本质上都是依赖于告警/事件的准确性与数量；也很好理解、如果这个告警/事件一开始就是误报、那么后续的所有旅程都是徒劳甚至有反面效果。如果每天的告警/事件的数量过多，一天有成千上万的告警远远超出现有的工作量那么本身也没有意义；

          所以、在日常的安全运营Job当中，最本质的需求是发现那些真实有效的安全隐患与入侵行为并快速响应处置ÿ