隨著IT技術的不斷發展，而衍生出來的全新安全威脅已經使得企業IT應對乏力。企業需要一種全局角度掌控分析安全問題的能力。在這樣的趨勢下，SOC已被公認為能幫企業解決這個困境的有效手段。近兩年來，國內SOC市場發展混亂，產品種類繁多，而導致企業用戶在SOC選型、部署上遇到了一些困難。為此，我們采訪到了邁克菲安全技術專家胡江波先生，就企業用戶SOC選型、市場趨勢等問題給出參考意見。
國內SOC市場分析
胡江波談到，目前國內的SOC市場主要面向的是大企業客戶。不同行業的企業客戶對產品的理解和需求也存在差異，而且對SOC也都有一定的定制化需求。這些因素促成了國內有非常多的SOC供應商，而且這些供應商大多只耕耘幾個特定的行業或者客戶。
SOC起源于國外，談到產品形態，就必須提另外一個名詞SIEM。國內廠商的產品多以SOC自居，而國外廠商則將產品定位為SIEM。胡江波介紹到，以目前在售的產品形態看，國內的SOC大約等于國外的SIEM加上網絡運維中心NOC，這與國內外客戶的IT運維環境有關。國外客戶多是在NOC無法滿足其安全需求時，引入SIEM產品，而國內客戶在引入SOC產品時，在IT運維方面多是零基礎，基本的NOC并沒有建立。而國內某些廠商為了在競爭中引導客戶，先以SIEM為核心構筑SOC，然后不斷擴大SOC產品功能范圍，先是加入網絡管理，后又加入設備管理、策略管理、變更管理、基線管理、應用管理等原本屬于IT運維管理范疇的功能。
胡江波分析到，雖然這類SOC加入了很多功能，但是這些功能并沒有被充分實現，比如其核心的網絡管理功能與專業的網管平臺相比差異巨大，非核心的策略管理、應用管理等功能更是缺乏充分的驗證和實現。最終國內SOC產品的核心價值還是其SIEM功能。
而針對國內環境的企業用戶，怎樣的產品才能算是一款優秀的SOC呢?胡江波總結了四個方面，一是產品使用和維護要非常簡單，最好采用Out of Box的交付形式，在界面設計上應該保持邏輯的高度統一;二是產品要有高速的查詢速度和數據庫寫入速度。傳統的關系型事務型數據庫無法滿足高速查詢和寫入的需求，必須進行革新;三是產品的架構要非常容易擴展，既支持面向大型客戶的分布式部署模式，也支持面向中小客戶的Combo模式;最后產品既要支持與SOC出品商自有產品的垂直整合，也要支持與第三方廠商的橫向整合，如此才能對事件信息進行豐富，提供動態上下文信息及情勢感知信息。
分析SOC能為企業帶來的好處，胡江波說，“不同企業的痛點不一樣，所以SOC對企業的最大價值也很難一概而論。但是如果我們回歸最原始的需求，企業無SOC，則企業看到的是零散的海量的孤立的海量事件，完全是一個無法觸摸的黑盒。企業有了SOC，SOC會對事件自動分析，形成可視化的視圖，并將企業關注的情報推送至管理員的面前，即將海量無生命的事件轉化為可操作的信息。”
所以SOC對企業最原始最重要的價值是讓企業獲得了可操作的信息，讓企業真正明白自己的IT環境發生了什么和正在發生什么。當企業獲得這些信息時，企業在其他產生日志給SOC的設備(比如防火墻、入侵防御)上的投資才體現出價值。
企業SOC選型建議
1、 產品量級選型方面的建議
企業當選擇與企業規模與運維能力相適應的SOC產品，具體包括如下幾點：
1) 交付形態：目前SOC產品有多種交付形態，常見的交付形態是客戶購買服務器、操作系統、數據庫，SOC廠商負責安裝SOC軟件，最終SOC產品寄存于客戶的服務器上。
2) 維護成本：SOC是一種重服務的產品，購買SOC一定要計算維護成本。
3) 運維能力：由于SOC產品的高度復雜性，使得很多客戶不得不選擇專業的第三方公司來幫助其運維SOC產品。這種方式有其合理性，但是弊端也是顯而易見的，首先是維護成本的大幅攀升，其次客戶的業務邏輯和SOC產品之間的聯系被第三方公司割裂了，操作SOC的人員并不真正懂得客戶的業務，SOC和客戶的業務并沒有真正融合在一起。
京公網安備 11010502049343號