English日本語
业务配景
随着医疗信息化的高速生长，医疗机构信息系统的庞大度不停提高，网络的规模日益增大，种种网络设备、宁静设备、应用系统不仅品种多而且数量大，网络内部的终端及服务器数量少则数十台多则上万台 。随着《中华人民共和国网络宁静法》和品级�；は喙卣咝技耙�，各医疗机构基本上已经完成了纵深的宁静防御体系的建设，在各主干链路上都部署了大量的网络宁静防护和宁静审计产物，好比防火墙、WEB应用防火墙、入侵检测\防御设备、终端检测与响应、综合审计、数据库审计等传统产物，但这些产物都是基于单点的事情机制，不停生长的威胁检测技术也带来大量宁静告警 。宁静运营人员在对宁静事件处置时，需要在种种宁静设备上来回操作 。由此可见，各宁静设备之间的整合度低、联动性不强，在应对网络宁静事件时不能高效协同 。
当前种种攻击组织对我国医疗行业进行了大范围连续性网络攻击，各医疗机构面临的网络宁静威胁形势日益严峻 。连续性的高级宁静威胁越来越频繁，医疗数据泄密和患者信息泄露等事件常有发生，医疗机构如何快速发现数据泄密事件，并接纳积极的防御手段及时阻止事件的发生，已成为宁静合规性需求 。面对数量巨大且愈益隐蔽和连续的宁静威胁，医疗机构大部门宁静操作仍然是由运营团队依据文档和法式化的流程手动维护，这给宁静运营带来了巨大的挑战 。一方面，网络宁静专业人才的短缺，使得医疗机构难以应对数量激增的网络宁静事件，宁静分析师每天收到的告警往往都是数以百计，远远凌驾他们实际可以处置的告警数量 。另一方面，宁静分析师在宁静事件处置上的经验难以固化，宁静分析师所具备的能力是依靠处置大量宁静事件后其总结经验形成的，分析师的经验不能迭代固化，就意味着培养一名合格的宁静分析师都需要恒久的经验积累，这将延缓整个宁静体系人才建设的法式，也使得宁静专业人员的成本高居不下 。
宁静需求
1）宁静专业人员短缺：由于宁静专业人员短缺，客户体现越来越需要自动化的机制协调各项可重复的宁静任务，从而形成运营规模 。
2）应对不停演变和剧增的宁静威胁：当组织考虑破坏数据并可能导致知识产权泄露和勒索敲诈等威胁时，往往需要快速、一致和尽量以更少的手动步骤频繁响应 。
3）提高告警的诊断速度和质量：众所周知，宁静监测系统（如SOC/SIEM等）运行发生的大量告警，包罗许多发现为“误报”或事后基础不相关告警的特别视察，对这些告警的处置需要消费大量成本，希望通过可重复和高频次的自动化事件视察，资助提高信噪比 。
4）缩短响应、停止和调停的时间：医疗机构正在处置日益庞大的宁静威胁，例如勒索敲诈病毒，为了停止其在环境中横向流传，运营团队往往只有几分钟的快速响应时间，需要在宁静防护系统上下发统一的防护计谋，才气有机会短时间内停止威胁 。
5）减少宁静分析师不须要的日常事情：宁静运营中心的宁静分析师在进行事件分析和视察时，经常多种工具配套使用，往往需要在差异的工具上来回操作 。好比他们需要凭据SOC/SIEM 控制台告警，在威胁情报平台上获取相关实体的信息，在终端检测和响应 （EDR）上获取有关受影响的终端上下文信息，需要统一的宁静事件视察分析与处置平台将这些工具连接在一起进行宁静事件的协同处置 。
解决方案
Gartner在2015年首次提出SOAR看法，将 SOAR 界说为 Security Operations, Analytics, and Reporting（宁静运维分析与陈诉） 。到了 2017 年，Gartner 重新将 SOAR 界说为宁静编排自动化与响应（Security Orchestration, Automation and Response），并将其看作是宁静编排与自动化 (SOA， Security Orchestration and Automation)、宁静事件响应平台 (SIRP, Security Incident Response Platform) 和威胁情报平台 (TIP, Threat Intelligence Platform) 三种技术/工具的融合 。2019年后SOAR的生长路径将由SOC优化、威胁检测和响应、威胁视察和狩猎以及威胁情报管理来驱动 。未来，SOAR 技术仍然在快速演化，内涵未来仍可能会变化，但其提升宁静运营效率，加快宁静响应速度的目标不会改变 。
抖圈为赌而生泰合智能运营系统（TSOC-IOS）旨在资助宁静运营团队和宁静分析师从重复、简单、枯燥的日常事情中解脱出来，并减少由于人工误操作引起的不须要的事故，提升网络运维、宁静分析和应急响应能力 。
该系统使用宁静编排与自动化响应（SOAR）技术，通过数字化的事情流界说事件分析和响应过程，宁静运营人员可凭据尺度化的事件响应流程，实现自动化的进行事件分析和优先级排序，资助企业和组织在面临威胁时提供预测、防御、检测和响应能力 。该平台融合了宁静编排和自动化（SOA）、宁静事件响应（SIR）和威胁情报（TI）的相关理念和技术，并引入数字化事情流 。系统以目标为导向，将日常具体的各项宁静事情内容固化为事情流上的一个个节点，通过对这些节点的有序排列组合，编排为某一庞大事情的事情流程，也称为“剧本”（或Playbooks） 。在日常宁静运营事情中，针对某项具体事情，如果存在编排好的剧本，则可以依据这个剧本按部就班地事情，通过法式进行自动化响应也便成为可能 。除此之外，TSOC-IOS还具有运营绩效KPI评估体系，可对业务事情流程和剧本自动化执行的结果进行有效的评估，以便进行事情流程的革新和编排内容的优化 。
泰合智能运营系统TSOC-IOS可进行宁静事件的收集，评估其严重性，协调事件响应和调停，并监测整个过程，可以事件解决响应过程中人员短缺、革新告警分类质量和速度、减少事件响应时间、提高宁静运营团队整体事情效率等问题 。
泰合智能运营系统TSOC-IOS提供宁静编排与自动化（SOA）、 宁静事件响应（SIR）和威胁情报管理（TIP）三大核心能力，可资助医疗机构的宁静团队能够收集监控数据，并能够实现部门自动化地进行事件分析和分类过程，凭据预界说的事情流，确定优先级并推动尺度化的事件响应活动 。
方案优势
● 基于抖圈为赌而生泰合产物本部先进的CUPID开发框架，实现宁静编排与自动化响应的架构设计，通过对宁静能力的编排与自动化配置响应的体系框架、功效组成、接口规范的研究，可与抖圈为赌而生泰合信息宁静运营中心系统（USM\SOC）无缝对接，实现系统的自动化、宁静可靠的智能运营 。
● 实现宁静配置意图表征技术，研究系统配置与运营的意图描述语言，通过可视化的编辑器，以手工拖拽的方式实现宁静防护能力和人工确认相结合，凭据一定的逻辑关系组合到一起，用以完成某个特定宁静操作的过程，实现宁静能力的编排 。具备对网络设备、宁静设备、设备等配置与管理描述的能力，可实现人类意图转换为系统配置的意图描述语言 。
● 宁静配置自动生成与验证技术：研究配置计谋描述与场景建模、配置意图自动化转译等内容，实现系统配置计谋从手动到自动化生成，通过对宁静设备或系统的宁静能力与响应行动的抽象处置，屏蔽了宁静运营人员对设备进行指令级操作，降低手工配置错误率 。
● 宁静配置协议设计技术：研究面向网络设备、宁静设备等宁静能力需求与接口规范的描述、两者映射关系建模与验证，实现系统设备的对外接口袒露更小的宁静风险，实现更高的宁静 �？芍С滞缟璞浮⒛采璞傅壬璞傅慕涌� 。
Copyright ? 抖圈为赌而生 版权所有 京ICP备05032414号 
京公网安备11010802024551号
