托管式安全监控与事件协同
安全运营中心支持服务
Upstream BPO 承接安全运营中心支持，覆盖告警接收、初步研判、事件事务管理、取证收集、升级与报告。团队在客户批准的工具、严重程度模型与决策边界内作业。
安全运营中心支持是对告警队列的运营支撑：按客户既定的严重程度规则完成接收、初步研判、事件事务管理、取证收集、升级与报告。
适合需要为重复性的告警与事件管理流程获得可扩展运营支撑，同时不移交最终安全决策权的企业。
服务包含哪些内容
- 告警接收与事件管理
- 初步研判支持
- 升级协同
- 积压跟踪与安全报告
服务内容
我们接收并登记经批准的安全告警与请求，执行既定的首轮复核与分类规程，创建事件并补充经批准的背景信息与取证材料，套用客户既定的严重程度模型，收集经批准的取证材料，把事件转交授权的技术与业务责任人，跟踪未结事件、时效、状态与依赖关系，并编制告警、事件、升级与积压报告。
安全运营流程常见的问题
告警堆积而缺少一致的研判
当责任归属、严重程度指引与研判规程不一致时，未经复核的告警会在队列中积压并影响优先级判断。
事件缺少完整取证与责任人
当取证、背景、责任人与后续动作未被记录时，不完整的事件记录会加大后续跟进与交接的难度。
升级发生得太晚
当严重程度阈值、通知路径与干系人职责未被清楚记录时，延迟升级会加剧不确定性。
积压掩盖实质性风险
当时效、严重程度、状态与重复成因未被一致报告时，积压量会掩盖实质性风险。
服务范围
系统、工具、访问权限、控制措施责任、升级阈值与决策权均由客户定义。
告警接收
接收并登记经批准的安全告警与请求，涵盖告警、工单与来源。
初步研判支持
执行既定的首轮复核与分类规程，涵盖研判、严重程度与责任归属。
事件创建与信息补充
创建事件并补充经批准的背景与取证，涵盖事件、背景与取证。
严重程度分级
套用客户既定的严重程度与优先级模型，涵盖严重程度、优先级与规则。
取证收集
收集经批准的取证材料以供复核与交接，涵盖日志、记录与附件。
升级协同
把事件转交授权的技术或业务责任人，涵盖交接、责任人与状态。
积压与时效管理
跟踪未结事件、时效、状态与依赖关系，涵盖积压、时效与依赖。
安全运营报告
编制告警、事件、升级与积压报告，涵盖报告、趋势与治理。
运营模式
严重程度定义、事件定性与响应决策始终归客户所有；团队按既定规则执行。
告警分类
告警依据客户批准的严重程度定义、研判规则与队列归属完成接收与分类。
在您的工具中作业
在提供访问权限、权限设置、操作规程与数据处理规则的前提下可以作业。本服务不隐含支持所有监控平台。
信息补充与升级
分析人员按每类告警所需补充背景与取证，并在达到严重程度规则时升级至客户方指定责任人。
调查取证边界
本服务不包含数字取证调查。取证调查与事件响应权限归客户或其指定的专业服务方所有。
取证材料处理
团队按每类告警既定要求收集并记录取证材料，并在升级前附加到事件记录中。
服务边界
本服务不保证检出每一项威胁，SOC 支持也不意味着提供完全托管的自治安全运营中心。事件定性、遏制、修复、取证调查、不受限的工具访问与响应时效仍由客户掌握或按合同约定。
从规程梳理到正式支持
安全范围、系统、访问权限、服务时间、人员配置、质量阈值、升级目标与爬坡周期按项目约定。
告警来源梳理
确认告警来源、工具、业务量与队列要求。
规程与严重程度定义
记录研判规则、严重程度模型与升级路径。
方案与团队设计
明确团队结构、质量管控与产能要求。
权限与工具开通
在约定边界内开通访问权限，配置队列与报告。
培训与校准
以经批准的规程与参考事件培训团队。
受控试点
在全面覆盖前验证告警接收、研判一致性、取证质量与升级。
产能爬坡
在业务量与试点得到验证后扩大覆盖与人员。
持续优化
复盘时效、重复成因与对规程的反馈。
典型应用场景
以下是企业把 SOC 支持交由外部团队承接时最常见的场景。
告警接收
接收并登记经批准的安全告警与请求。
初步研判
执行既定的首轮复核、严重程度与责任归属规程。
事件事务管理
创建、补充并维护经批准的安全事件记录。
取证协同
收集并转交经批准的取证材料以供授权复核。
升级交接
按客户既定的技术与业务责任路径转交事件。
SOC 报告
编制告警、事件、时效、升级与积压摘要。
服务场景
- 告警队列
- 工单登记系统
- 监控工具
- 取证材料库
- 升级队列
- 安全报告
服务行业
以下行业对 SOC 支持的需求最为集中。
- 银行与金融服务
- 科技与 SaaS
- 电信
- 医疗健康与生命科学
面向中国及亚洲市场的服务
中文事件由具备中文工作能力的人员承接，这在处理描述、交接与记录时尤为重要。我们不会声称在没有实体的国家设有办公室，也不提供中国境内的本地交付团队。语言覆盖、服务时间与运营设计按项目约定。
数据与权限
访问权限、权限边界、取证材料的处理规则与操作留痕要求，在启动前确认并形成书面约定。
- 账号按最小必要权限开通
- 团队操作在您的系统中留痕
- 严重程度定义与事件决策归客户
- 操作规程变更以版本方式记录
常见问题
- 什么是安全运营中心支持？
- 它是对告警队列的运营支撑：按客户既定的严重程度规则完成接收、初步研判、事件事务管理、取证收集、升级与报告。
- 团队能否接收并分类安全告警？
- 可以。告警依据客户批准的严重程度定义、研判规则与队列归属完成接收与分类。
- 团队可以在我们的监控工具中作业吗？
- 可以，前提是提供访问权限、权限设置、操作规程与数据处理规则。本服务不隐含支持所有监控平台。
- 事件如何补充信息并升级？
- 分析人员按每类告警所需补充背景与取证，并在达到严重程度规则时升级至客户方指定责任人。
- 严重程度与事件决策由谁掌握？
- 由客户掌握。严重程度定义、事件定性与响应决策始终归客户所有；团队按既定规则执行。
- SOC 支持是否包含取证材料收集？
- 包含。团队按每类告警既定要求收集并记录取证材料，并在升级前附加到事件记录中。
- 是否包含数字取证调查？
- 不包含。取证调查与事件响应权限归客户或其指定的专业服务方所有。
- SOC 项目可以从试点开始吗？
- 可以。试点可在全面覆盖前验证告警接收、研判一致性、取证质量与升级。
- 告警量如何扩容？
- 产能依据单位时段告警量、各类告警的研判耗时、覆盖时段与升级负荷进行规划。
- SOC 支持能保证检出每项威胁或响应时效吗？
- 不能。本服务不保证检出每一项威胁，SOC 支持也不意味着提供完全托管的自治安全运营中心。事件定性、遏制、修复、取证调查、不受限的工具访问与响应时效仍由客户掌握或按合同约定。