优化安全运营

安全运营中心 (SOC) 团队寻求改进流程和结果的方法，并确保你拥有解决风险所需的数据，且不会产生额外的引入成本。 SOC 团队希望确保拥有应对风险所需的所有数据，且无需为超出需要的数据支付费用。 同时，SOC 团队还必须随着威胁和业务优先级的变化快速有效地调整安全控制，以最大程度地提高投资回报率。

SOC 优化是可行的建议，它们揭示了优化安全控制的方法，随着时间的推移，你可以从 Microsoft 安全服务获得更多价值。 建议可帮助你在不影响 SOC 需求或责任范围的情况下降低成本，并可以帮助你在需要时添加安全控制和数据。 这些优化是根据你的环境并根据你当前的覆盖范围和威胁情况量身定制的。

使用 SOC 优化建议来帮助你填补针对特定威胁的覆盖范围差距，并降低对无法提供安全价值的数据的引入率。 SOC 优化可帮助你优化 Microsoft Sentinel 工作区，而无需 SOC 团队花费时间进行手动分析和研究。

请观看以下视频，以了解 Microsoft Defender 门户中 SOC 优化的概述和演示。 如果只想观看演示，请跳到 8:14。

Prerequisites

• SOC 优化使用标准 Microsoft Sentinel 角色和权限。 有关详细信息，请参阅 Microsoft Sentinel 中的角色和权限。

• 要在 Defender 门户中使用 SOC 优化，请将 Microsoft Sentinel 载入到 Defender 门户。 有关详细信息，请参阅将 Microsoft Sentinel 连接到 Microsoft Defender 门户。

访问 SOC 优化页

根据你使用的是 Azure 门户还是 Defender 门户使用以下选项卡之一。 将工作区加入 Defender 门户后，SOC 优化包括来自整个 Microsoft 安全服务的覆盖范围。

了解 SOC 优化概述指标

“概述”选项卡顶部显示的优化指标可让你大致了解数据的使用效率，并在实施建议时随时间变化。

“概述”选项卡顶部支持的指标包括：

查看和管理优化建议

SOC 优化建议将每 24 小时计算一次。 每个优化卡都包含状态、标题、创建日期、简要描述及其适用的工作区。

筛选器优化

根据优化类型筛选优化，或使用侧面的搜索框搜索特定的优化标题。 优化类型包括：

• 覆盖范围 ：包括有助于缩小针对特定威胁的覆盖范围差距的建议，并加强对未提供安全价值的数据的引入率。 覆盖范围建议包括：
  • 基于威胁的建议，用于添加安全控制措施，以帮助填补各种攻击类型的覆盖空缺。
  • AI MITRE ATT&CK 建议，添加标记建议来帮助根据 MITRE ATT&CK 框架填补针对各类攻击的防御覆盖漏洞。
  • 基于风险 的建议，用于添加安全控制，以帮助缩小各类业务风险的覆盖差距。
• 数据值：包括建议改进数据使用的建议，以最大限度地提高引入数据的安全性价值，或为组织提出更好的数据计划。

查看优化详细信息并采取措施

根据使用的门户选择以下选项卡之一：

如果你在未安装解决方案的情况下从内容中心安装分析规则模板，则解决方案中只会显示已安装的模板。

安装完整的解决方案以查看所选解决方案中的所有可用内容项。 有关详细信息，请参阅发现和管理 Microsoft Sentinel 现成内容。

管理优化

默认情况下，优化状态为“活动”。 随着团队通过分类和实施建议取得进展，其状态将更改。

选择选项菜单或“查看详细信息”以执行以下操作之一：

查看已完成和已关闭的优化

如果将特定优化标记为“已完成”或“已关闭”，或者优化已自动完成，则该优化将分别列在“已完成”和“已关闭”选项卡上。

在此处，选择选项菜单或“查看完整详细信息”执行以下操作之一：

• 重新激活优化，并将其发送回“概述”选项卡。重新激活的优化将重新计算，以提供最新的值和操作。 重新计算这些详细信息最多可能需要一小时，因此在再次检查详细信息和建议的操作之前请等待。

  如果在重新计算详细信息后发现它们不再相关，则重新激活的优化也可能会直接移至“已完成”选项卡。

• 向 Microsoft 团队提供进一步反馈。 分享你的反馈时，请注意不要分享任何机密数据。 有关详细信息，请参阅 Microsoft 隐私声明。

SOC 优化使用流

本部分提供了从 Defender 或 Azure 门户使用 SOC 优化的示例流：

1. 在“SOC 优化”页上，首先了解仪表板：

   • 观察总体优化状态的顶层指标。
   • 查看针对数据值和基于威胁的覆盖范围的优化建议。

2. 使用优化建议来识别使用率较低的表，指示它们不用于检测。 选择“查看完整详细信息”以查看未使用数据的大小和成本。 请考虑以下操作之一：

   • 添加分析规则以使用表进行增强保护。 若要使用此选项，请选择“转到内容中心”以查看和配置使用所选表的特定现成分析规则模板。 在内容中心，无需搜索相关规则，因为直接转到相关规则。

     如果新的分析规则需要其他日志源，请考虑引入它们以提高威胁覆盖范围。

     有关更多信息，请参阅发现和管理 Microsoft Sentinel 的现成内容以及直接检测威胁。

   • 更改承诺层级以节省成本。 有关详细信息，请参阅降低 Microsoft Sentinel 的成本。

3. 使用优化建议来提高针对特定威胁的覆盖范围。 例如，对于人为操作的勒索软件优化：

   1. 选择“查看完整详细信息”以查看当前覆盖范围和建议的改进。

   2. 选择“查看所有 MITRE ATT&CK 技术改进”来向下钻取和分析相关策略和技术，帮助你了解覆盖范围差距。

   3. 选择“转到内容中心”以查看专门为此优化筛选的所有建议的安全内容。

4. 配置新规则或进行更改后，将建议标记为已完成或让系统自动更新。

相关内容

• SOC 优化建议参考
• 以编程方式使用 SOC 优化
• 博客：SOC 优化：解锁以精度驱动的安全管理的力量