Awesome SOC

一本用于构建、运行和成熟化 SOC（包括 CSIRT）的运维手册与知识库。涵盖：

• SOC 基础知识
• 检测工程
• 威胁情报
• SOC 指标/KPI
• SOC 自动化
• AI 用例与最佳实践
• SOP（SOC 操作手册）

这些内容基于我作为 SOC/CSIRT 分析师和团队管理者的亲身经验，以及一些知名文献，代表我的个人观点。重点更偏向 SOC 而非 CERT/CSIRT。

我的座右铭是：没有反应（响应），检测便毫无用处。

注：一般而言，此处的 SOC 指检测活动，CERT/CSIRT 指事件响应活动。CERT 是（曾经的）美国知名商标，由 CERT-CC 管理，但我更倾向于使用 CSIRT 这一术语，因为它精确地指代事件响应。

目录

• 必读
• 基本概念
• 关键任务手段（工具/传感器）
• SOC 内部/核心
• AI（ML、LLM、GenAI、Agentic AI）
• IT/安全监控
• SOAR
• 检测工程
• 威胁情报
• 操作手册/SOP
• SOC 指标（KPI/SLA）
• SOC 管理
• 人力资源与培训
• IT 架构
• 进一步深入（后续步骤）
• 附录

必读

面向 SOC

• SOC 建设：
  • MITRE，世界级 SOC 的 11 项策略（或使用本地文件）：第 0 部分（基础）。
  • FIRST，构建 SOC
  • NCSC，构建 SOC
  • Gartner，SOC 模型指南
  • Splunk，2025 年安全状况
  • Microsoft，使用 365 保护你的业务
• 面试用 SOC 培训：
  • LetsDefend SOC 分析师面试问题
• SOC 管理：
  • FIRST，ISO 27035 对 CSIRT 和 SOC 的实用价值
  • SANS，2025 年 SOC 调查
  • SOC CMM，SOC 指标
  • Gartner，托管检测与响应市场指南
• SOC 评估：
  • CMM，SOC-CMM
  • Rabobank CDC，DeTTECT
  • SANS，持续紫队演练

面向 CERT/CSIRT

• 全局概览：
  • SANS，事件响应
  • FlexibleIR，IR 阶段
• CSIRT 建设：
  • FIRST，CERT-in-a-box
  • FIRST，CSIRT 服务框架
• 安全事件响应管理：
  • ENISA，事件管理良好实践
  • EE-ISAC 事件响应白皮书
  • LinkedIn Pulse，依据 ISO 27035 的安全事件管理
  • Microsoft/EY/Edelman，事件响应参考指南
  • Microsoft，关于云身份泄露的 IR 经验教训
• 取证：
  • NIST，SP800-86，将取证技术集成到 IR 中
  • ForensicsArtefacts
  • ForensicsWiki
• 事件响应手册与方法论：
  • Kaspersky，事件响应手册：暗网泄露
  • CISA，事件响应手册
  • CERT-SG，事件响应方法论