运营效率提升10倍！某股份制银行安全运营自动化的探索之路

近年来，全球银行业屡次成为网络攻击者目标，折射出其面临的严峻形势。在我国，随着数字经济的高速发展，银行业务服务模式与技术架构正发生着深刻变革，保障银行数字业务系统的网络安全，对于维护金融安全、客户信息安全至关重要。因此，商业银行需要不断提高安全运营效率，以有效防范和应对各种内外部安全威胁，为业务的持续稳健发展保驾护航。

经过多年的安全建设，该银行安全设备相对比较齐全，并通过安全运营平台建设实现了日志和告警数据统一化处理，同时实现安全事件的闭环管理。在安全运营模式上，以工程师手动安全运营为主，辅以少量分析工具。

然而，随着攻防对抗的日益激烈，这种主要依赖人工的安全运营模式逐渐暴露出弊端，日益增多的安全告警、过长的响应时间、缺乏标准化的响应流程等等，制约着安全运营水平再进一步。具体难题表现在以下几个方面：

奇安信SOAR就是这样的产品技术，它可以将编排后的一系列操作自动或者半自动地执行起来，极大提升响应的速度。同时，将运维与响应人员的重复性工作借助自动化技术执行起来，使得他们将精力聚焦在真正的决策上，发挥出人的更高价值。同时通过构建编排与自动化系统来实现场景体系化梳理、流程标准化落地、安全能力归一化资源池建设，形成初步的自动化安全运营体系。

在参考大量实践案例，进行综合评估后，从2023年开始，该银行选择与奇安信达成合作，结合实际业务需求和现阶段网络安全建设特点，完成行内安全编排与自动化建设，包括但不限于：

经过约7个月的部署、安装、调试、定制开发与试运行的过程，奇安信协助该银行定制输出20个剧本场景，分为运维类、分析研判类和处置类剧本，对接14个系统或安全设备，聚焦一键封禁、终端中毒处置、情报聚合分析、漏洞修复跟踪、弱口令检查通知、一键巡检、阶梯化封禁等剧本流程，将客户日常运营提效平均10倍效率以上，详情如下表格。

奇安信SOAR通过自定义设计阶梯威胁评分模型进行动态封禁处置，将安全运营精细化展开，更加契合实际业务流程和安全运营逻辑，替代原来粗暴的应急处置逻辑，展现出了更加弹性的安全策略拓展能力。所有分析结果，都可通过定制数据接口输出到统一大屏进行汇总展示，并融入整体的安全运营环境进行工作成果展示。

在告警方面，奇安信SOAR可从安全设备中定期自动获取告警，实现告警解析、归并、去重、自动化响应，顺畅完成从监控平台获取数据，衔接响应处理流程，体现系统的灵活扩展能力，用最小的工作量自动化进行数据处理，将客户场景下的运营响应高效的驱动起来。同时通过多角色审批解决事件任意角色放行即通过的快速审批逻辑，加快审批环节推进。

在工具方面，通过系统工具集成，并结合剧本流程设计，将孤立的系统工具能力进行盘活和复用，并融入到场景中进行关联，实现快速调用。以资产信息库为例，往往事件响应都需要找到对应资产的责任人，才能将事件处置流转起来。奇安信SOAR通过系统集成对接和流程编排，将资产信息库作为一个开放资源来调用，任何需要的流程里都可以调用该资源对象，并可在流程里将上下文信息平滑承接传递。

在协同方面，将人工和应急事件通过消息框形式快速进行协同处置，调用剧本和集成系统进行协同处置，并将结果实时反馈至消息框，分享同步到协同成员。通过这种方式解决日常运维中信息交互不畅，不便作经验记录，以及分工合作的困境。同时通过机器人和自然语言将指令执行与自然语言关联，降低人员对系统详情的掌控要求。