邢骁-R2-D2：EISS-2021北京（21页）.pdf

1、R2-D2R2-D2：不只是不只是SOARSOAR数字化员工加速安全运营数字化员工加速安全运营邢骁 某支付公司信息安全负责人目录目录1.1.安全运营和安全运营和SOARSOAR的定位的定位安全建设安全运营下半场安全运营下半场安全监测安全响应安全运营下半场安全运营下半场痛点：安全运营人员缺乏，技能栈参差不齐，大量企业靠安服外包运营事件处理过程无记录，技能无法转化为知识，安全能力不闭环安全设备工具分散缺乏关联依赖专家知识，没有标准化处理流程安全事件处理需要协调各方费时费力安全运营水平无法衡量，MTTR仍处于高位安全运营下半场安全运营下半场MTTDMTTDMTTRMTTRSOARSOAR的定义的定义

2、collect inputs monitored by the security operations teamhelp define,prioritize and drive standardized incident response activities.define incident analysis and response procedures in a digital workflow format.SOARSOAR在目前市场上的成熟度在目前市场上的成熟度SOARSOAR功能模块功能模块SOAR是什么是什么事件的完整生命周期的描述语言事件的完整生命周期的描述语言对事件的单一响应对

3、事件的单一响应（ping-pong）是什么是什么不是什么不是什么某大型活动的利器某大型活动的利器（封（封IP）拖拽的拖拽的Playbook模块模块+APP接口接口自动化运维工具自动化运维工具聊天智能聊天智能（NLP）事件处理和响应流程的标准规范事件处理和响应流程的标准规范团队响应能力的度量平台团队响应能力的度量平台嵌入公司的通用工单系统嵌入公司的通用工单系统、IM协作协作、运营智能运营智能SOARSOAR的下一代商业路线的下一代商业路线2.2.数字化员工的实现和实践数字化员工的实现和实践R2-DR2-D2 2用数字员工取代用数字员工取代SOARSOAR目标：一般性安全事务处理（安全通知、流程跟

4、踪、问题解答）已知的安全事件自动响应和流程管理跟踪复杂事件/ThreatHunting的工具小助手，响应的知识库和案例的百科全书是一个统一的安全响应的管理平台和运营效能的衡量平台准备工作准备工作2.完善的完善的SIEM平台，精准、格式化的告警输出平台，精准、格式化的告警输出1.专业的运营团队专业的运营团队3.针对安全事件的统一工单管理平台针对安全事件的统一工单管理平台4.梳理你的事件，进行分级分类梳理你的事件，进行分级分类5.安全设备、工具形成统一的安全设备、工具形成统一的API调用调用定制标准的定制标准的PlaybookPlaybook语言语言https:/ R2-D22-D2技术栈技术栈AZKABAN WORKFLOWGoLang MachineryR2-D2R2-D2功能模块功能模块(Robotic Response)技术钓鱼邮件钓鱼邮件PlayBookPlayBook人：人：安全运营人员邮件管理员网络管理员收件人（员工）外部厂商流程：流程：邮件通知邮件黑名单防火墙策略流程IM通知技术：技术：邮件网关防火墙沙箱杀毒软件威胁情报平台功能模块平台功能模块基于智能数字员工和SOAR打造的自动化运营平台，使安全事件达到快速自动响应，流程标准化，运营可度量。