如何确定事件和威胁警报的优先级?
（选择所有适用项）
在多大程度上使用自动化来调查和修正大量或重复的事件?
你在多少个场景中使用基于云的工具来保护本地及多重云资源的安全?
是否拥有票据系统来管理安全事件，并衡量确认的时间和修正的时间?
如何管理警报疲劳?
（选择所有适用项）
以下资源和建议可能对该阶段会有帮助。
威胁警报优先级
- 威胁警报的优先级对成功至关重要。根据来源的真阳性率来评分为最佳实践。探索安全性领导的关键见解和最佳做法，以使你的安全性操作成熟起来。 了解详细信息
自动化
- 自动化有助于将你和运营团队从繁琐的任务中解脱出来，这样即可专注于关键威胁，以提高工作效率，并减少倦怠。
- 了解如何 在 Microsoft Defender for Endpoint 中配置自动化
充分使用基于云的工具
- 基于云的工具帮助查阅整个组织在云端的威胁情况。转向基于云的 SIEM 可以减少内部 SIEM 解决方案所带来的挑战。 了解详细信息
通过票据管理安全事件
- 拥有票据系统有助于团队更高效地工作以及更成功地对抗威胁。 了解详细信息
管理警报疲劳
- 管理警报疲劳对于平稳运行安全业务至关重要。如果还没有优先级系统，团队可能最终会因调查假阳性而让严重威胁通过，这则可能会导致倦怠。Azure Sentinel 通过机器学习减少警报疲劳。 了解详细信息
分析师在事件调查中使用了多少安全工具 (例如，供应商产品或门户以及自定义工具或脚本)
是否使用 SIEM 或其他工具来合并和关联所有数据源?
是否在检测和调查中使用操作分析法 (例如，用户实体和行为分析法，或 UEBA)?
是否使用侧重于标识的检测和调查工具?
是否使用侧重于终结点的检测和调查工具?
是否使用侧重于电子邮件和数据的检测和调查工具?
是否使用侧重于 SaaS 应用的检测和调查工具?
是否使用侧重于云基础结构的检测和调查工具，如虚拟机、物联网 (IoT) 和操作技术 (OT)?
是否使用 MITRE ATT&CK 或其他框架来跟踪和分析事件?
调查或搜寻团队是否检查分流队列中的案件以确定趋势、根原因和其他见解?
以下资源和建议可能对该阶段会有帮助。
集成安全性工具
使用 SIEM 来整合数据源
- SIEM (如 Azure Sentinel) 提供了威胁环境的鸟瞰图，并捕获了所有的威胁数据，以帮助你变得更加积极主动来避免错过任何事件。 什么是 Azure Sentinel?
- 详细了解 Microsoft 网络安全参考体系结构。
Microsoft 安全操作的最佳实践
- 机器学习和行为分析是最佳实践，可以帮助你快速识别具有高置信度的异常事件。 了解详细信息
数据访问管理
- 了解能够访问数据的人员以及他们的访问类型非常重要。使用基于识别的框架是降低风险和提升工作效率的最佳实践。 了解详细信息
终结点管理
电子邮件和数据检测
- 恶意操作者可以通过被盗用的商业电子邮件进入你的环境中。能够检测和阻止诸如网络钓鱼等威胁的解决方案可以帮助避免让终端用户承担安全性任务。 了解详细信息
SaaS 应用检测
- 保护能够访问你的敏感数据的基于云的解决方案非常重要。
云基础结构检测
- 随着包括 IoT 和存储、容器以及云基础结构的其他组件在内的外围的扩展，对环境中这些扩展设置的监控和检测非常重要。
跟踪和分析事件
- MITRE ATT&CK® 是一个全球通用的、基于现实世界观察的对手战术和技术知识库。拥有像 MITRE ATT&CK 这样的框架可以帮助你开发能够帮助主动形成防御措施的特定威胁模型和方法。
文档和审阅
- 若要获得见解并积极应对威胁，则记录调查文档非常重要。
是否将主动搜寻威胁作为安全战略的一部分?
是否使用 Jupyter 笔记本等自动搜寻程序?
是否有流程和工具来帮助检测和管理内部威胁?
你的搜寻团队是否抽出时间来完善警报，以提高分流 (1 级) 团队的真阳性率?
以下资源和建议可能对该阶段会有帮助。
主动搜寻威胁
自动搜寻
- 使用自动搜寻程序可以帮助提高生产效率和减少数量。
完善搜寻过程
- 从威胁搜寻团队收集的见解可以帮助完善和提高分流警报系统的准确性。 了解详细信息
团队是否有处理重大安全事件的危机管理流程?
该流程是否包含引入具有深入事件响应、威胁智能或技术平台专长的供应商团队的规定?
该流程是否涉及行政领导，包括法律团队和监管机构?
该流程是否包括通信和公共关系团队?
团队是否定期进行练习，以实践和完善该流程?
以下资源和建议可能对该阶段会有帮助。
事件响应
- 危机应对中会议记录很重要。即使已拥有临时流程，确保快速修正和事件管理也很重要。
- 获取“事件响应参考指南”
- 了解如何 防止从勒索软件到敲诈的网络安全攻击的信息。
事件修正
- 敏捷性和灵活性对于修正和事件管理非常重要。了解和评估团队技能和经验所在，也有助于确定所需要的供应商团队和技术。 了解详细信息
通信和公共关系
- 流程应该包括一旦发生违规事件时的公共关系和沟通计划，以便准备好支持客户并降低违规事件的影响。 了解如何 运行高效安全操作。
业精于勤
- 实践确保你能在违规事件发生前发现差距和需要改进的地方。测试作业实践，以确保准备好应对违规事件。
- 是否有供应商提供的或供应商维护的自动化，以减少分析员的调查和补救工作负载?
可以在不同的工具之间协调自动化操作吗?
如果在不同的工具之间协调自动化操作，你是否与所有或大多数工具进行本机连接，或是基于自定义脚本?
是否使用社区提供的自动化?
以下资源和建议可能对该阶段会有帮助。
协调自动化行动
- 在所有工具中集成自动化操作可提高生产力，并帮助增加不遗漏任何威胁的可能性。查阅更多关于综合安全堆叠如何帮助降低风险和成本。 了解详细信息
连接自动化行动
- 连接和集成工具和流程可以帮助减少威胁监测计划中的差距，并帮助你跟上不断变化的网络安全威胁形势。
社区提供的自动化
- 考虑使用社区提供的增加了威胁模式识别，并可以通过消除对自定义自动化工具的需求来节省时间的自动化。
关注 Microsoft