起点
常见实施方式
先尽可能收集日志，之后再建设规则和仪表板。
ICS负责的方式
从风险、待检测行为、所需数据和分析员必须做出的决定开始。
通过这些要点确认适配性、依赖关系、责任归属及验收所需证据。
- 下一代 SIEM
- 围绕优先用例收集、标准化、关联和保留安全数据。
- 人工智能和行为分析
- 揭示具有操作上下文的异常用户、实体和身份活动。
- 威胁检测
- 跨端点、身份、网络、云和应用程序源连接信号。
控制与证据
首次范围沟通应明确的事项。
通过这些要点确认适配性、依赖关系、责任归属及验收所需证据。
围绕优先用例收集、标准化、关联和保留安全数据。
揭示具有操作上下文的异常用户、实体和身份活动。
跨端点、身份、网络、云和应用程序源连接信号。
实施方式对比
比较日志收集型SOC与可运营的检测响应模式。
AI SOC需要把数据、用例、调查、自动化和响应责任连接成一条运营链。
调查与优先级
常见实施方式
分析员在多个工具之间切换，并逐条处理告警。
ICS负责的方式
把行为、身份和风险上下文连接为有优先级的事件、手册和响应步骤。
验收与移交
常见实施方式
采集器、仪表板和规则数量上线即视为完成。
ICS负责的方式
按用例覆盖、数据质量、误报处理、调查时间和内部SOC运营能力验收。
为什么选择ICS
ICS把AI SOC技术转化为适合现有环境的检测和响应能力。
厂商提供平台；ICS负责用例选择、数据集成、验证以及在客户环境中移交SOC能力。
用例优先于日志量
先确定高价值风险场景、最低数据要求和调查标准，再扩大采集。
优先集成而非默认替换
评估现有数据源、安全工具和流程，保留有效能力并明确差距。
移交给内部SOC
交付数据矩阵、检测逻辑、剧本、升级机制和上线后的优化节奏。
控制与证据
减少警报噪音，更早识别重大威胁，并缩短调查和响应时间。
在现代 SOC 平台中统一安全遥测、行为分析、身份信号和自动响应。
下一代 SIEM
围绕优先用例收集、标准化、关联和保留安全数据。
人工智能和行为分析
揭示具有操作上下文的异常用户、实体和身份活动。
威胁检测
跨端点、身份、网络、云和应用程序源连接信号。
响应自动化
使用剧本来丰富、路由、包含和记录可重复的操作。
产品组合
六种产品，每种产品在运营模式中都有不同的职责。
使用该目录来识别最近的控制层，然后通过范围评估或研讨会来验证适合性。
