EDR ＋ SOC服务REASON
为何需要EDR＋SOC
勒索软件攻击
网络侵入 → 横向扩散 → 文件加密 → 索要赎金。感染后扩大速度快
APT攻击
定向、数据泄露
木马长期潜伏，经C&C服务器窃取机密数据。难以察觉且损害严重。
无文件攻击
滥用PowerShell等正规工具。不生成文件，传统病毒对策难以检测。
EDR
终端的检测、阻断、恢复
采用产品：Bitdefender GravityZone Business Security Enterprise
符合中国《网络安全法》 / 已取得网络安全产品认证
检测
通过EPP功能即时检测恶意软件、勒索软件
阻断、隔离
自动隔离感染终端，防止损害横向扩散
调查、分析
通过MITRE ATT&CK框架可视化攻击手法
恢复
通过内存快照迅速还原加密文件
SOC
24小时365天的监控、事件应对、报告
| 类别 | 服务内容 | 服务时间 | 详情 |
|---|---|---|---|
| 自动化 服务 | 24小时365天 监控 | 24小时365天 | 日志转发、自动分析 |
| 事件检测告警 | 24小时365天 | 自动对事件告警 | |
| 日报生成 | 24小时365天 | 按预定义模板自动生成日报 | |
| 人工应对 | 威胁情报数据库更新 | 工作日 9:00～18:00 | 更新用于报告制作的威胁情报 |
| EDR终端使用支援 | 工作日 9:00～18:00 | 注册、策略设置、许可证汇总等 | |
| 环境的运营维护 | 工作日 9:00～18:00 | EDR、SOC工具、云环境的运营维护 | |
| 故障应对 | 24小时365天 | EDR、SOC工具、云环境的故障应对 | |
| EDR/SOC 运营变更 | 24小时365天 | EDR策略变更、SOC报告规格变更 | |
| 紧急应对 | 24小时365天 | 认定事件并以临时对策迅速应对 | |
| 周报（定期日志分析报告） | 工作日 9:00～18:00 | 对全部事件人工详细分析并提交周报 |
报告机制
| 种类 | 时机 | 对象 |
|---|---|---|
| 日报 | 每天17:00前 | 员工（上级抄送） |
| 周报 | 每周五 | 各BU负责人 |
| 月报 | 每月末 | 面向管理者 |
PROCESS
