2. SOC建设需求分析与现状评估
在正式采购设备、搭建平台之前，SOC建设最容易被跳过、却最影响成败的一步，是需求分析与现状评估。很多项目失败并非技术不行，而是“建了一个没人用的SOC”：告警没人看、流程没人走、指标没人认。要避免这种情况，必须先把三件事讲清楚——业务到底需要什么安全能力、现有安全能力已经做到什么程度、两者之间的差距如何量化并转化为建设任务。
一、业务安全需求调研：从资产与业务出发
需求调研不是发一张问卷让业务部门打勾，而是围绕“业务—资产—威胁—合规”四条线收集可验证的信息。核心是回答：哪些业务不能停、哪些数据不能丢、哪些操作不能乱、哪些监管必须满足。
调研对象应覆盖业务负责人、系统运维、研发、法务合规与IT基础设施团队。调研内容建议聚焦以下维度：
- 业务关键性：业务系统名称、服务对象、可用性要求（如7×24、RTO≤30分钟）、日均交易量或用户量。
- 资产与数据：承载主机、数据库、中间件、云资源清单；数据分级（公开/内部/敏感/核心）与个人信息字段。
- 威胁与历史事件：近12个月安全事件、漏洞、勒索或钓鱼记录，以及业务最担心的攻击场景。
- 合规要求：等保2.0级别、行业监管（如金融、能源）、数据出境与日志留存期限（常见≥6个月）。
- 现有安全诉求：业务方希望SOC提供什么——快速止损、取证溯源、还是合规报表。
调研结果应形成“业务—资产—风险”映射表，而不是一堆散乱访谈记录。例如某电商核心交易系统，可用性要求99.99%，涉及支付数据（敏感级），历史遭遇过撞库与薅羊毛，合规需满足等保三级与日志留存180天。这条信息直接决定了后续SOC必须优先具备账号异常检测、API风控与日志长期存储能力。
二、现有安全能力盘点：摸清家底
能力盘点要客观，不能只看“买了什么”，而要看“实际能做什么”。建议按“预防—检测—响应—恢复”四层，逐项核对技术、流程与人员三要素。
技术层面盘点对象包括：边界防火墙、WAF、IDS/IPS、终端EDR、邮件网关、堡垒机、漏洞扫描、SIEM/日志平台、SOAR、威胁情报等。对每一项记录：品牌型号、部署位置、覆盖范围（如EDR覆盖终端比例）、日志是否接入、告警是否有人处置、规则是否更新。
流程与人员层面则关注：是否有7×24值班、事件分级标准、应急预案、演练记录、安全人员数量与技能结构。很多单位技术设备齐全，但“有告警无处置、有预案无演练”，这属于典型的能力虚高。
三、差距分析方法：从现状到目标
差距分析的本质是“目标能力—现状能力=待建设能力”。常用方法有三种，可组合使用：
- 对标法：以等保2.0、ISO 27001、NIST CSF或行业SOC成熟度模型为基准，逐条对照。适合合规驱动型项目。
- 场景法：选取3～5个高优先级攻击场景（如勒索、数据泄露、账号盗用），推演现有能力能否在“检测—研判—响应”链路上闭环。适合实战驱动型项目。
- 量化评分法：对每项能力按覆盖度、自动化率、响应时效打分，计算加权差距。适合需要向管理层汇报、争取预算的场景。
以“勒索软件检测与响应”场景为例，目标要求：终端覆盖≥95%、检测规则覆盖主流勒索家族、平均检测时间MTTD≤10分钟、平均响应时间MTTR≤30分钟。现状若为：EDR覆盖70%、无勒索专项规则、MTTD约4小时、MTTR约8小时，则差距清晰可见——需补终端覆盖、建规则库、上自动化隔离与剧本编排。
四、评估报告输出：让结论可决策
评估报告不是技术文档堆砌，而是给管理层和项目组看的决策依据。一份合格的SOC现状评估报告通常包含四部分：
- 现状概述：资产规模、安全设备清单、日志接入率、人员配置与值班模式。
- 差距矩阵：按“预防—检测—响应—恢复”四层，逐项列出目标要求、现状评分、差距等级（高/中/低）。
- 优先级排序：结合业务关键性与合规紧迫度，用“影响×可行性”矩阵排出建设顺序。
- 建设路线图：分阶段（如3个月/6个月/12个月）给出目标、预算估算与验收指标。
报告中的关键指标应可度量、可验收。例如“日志接入率从60%提升至95%”“MTTD从4小时降至15分钟”“高危告警闭环率从40%提升至90%”。这些指标既是建设目标，也是后续SOC运营的考核基线。
完成需求调研、能力盘点与差距分析后，SOC建设就从“拍脑袋买设备”转变为“按差距补能力”。下一阶段的工作，才是围绕这些差距设计SOC的整体架构与技术选型。