From alert fatigue to action: Smarter SOC workflows for defence teams

自动化SOC工作流程在防御中的应用：减少疲劳，提升影响 | Elastic博客

从警报疲劳到行动：为防御团队打造更智能的SOC工作流程

让分析师专注于真正重要的内容：安全成果。

作者：

Crossley McEwen

2025年7月30日

• 在Twitter上分享 在Twitter上分享

• 在LinkedIn上分享 在LinkedIn上分享

• 在Facebook上分享 在Facebook上分享

• 通过电子邮件分享 通过电子邮件分享

• 打印本页 打印

英国国防部（MOD）的安全团队正面临双重压力：网络威胁的数量和复杂性持续增长，同时还要应对处理警报、管理合规性以及从碎片化系统中整合情报的持续操作压力。

现实情况显而易见：传统的安全运营中心（SOC）工作流程并未为当今威胁的速度和数量而设计。自动化不再是可选方案，而是必不可少的。在时间有限、人才稀缺的背景下，必须有所改变。

那么，高效且有效的防御SOC运营究竟应该是什么样子？理想状态是不再依赖"转椅"式流程和"救火式"应对作为支持业务的标准方式。分析师不再被海量警报淹没，他们的时间被释放出来，能够快速聚焦于真正重要的事项。自动化将简化事件分类流程，使跨域调查无需手动关联，合规性不再是负担，而是运营中不可或缺的组成部分。

这正是许多国防和公共部门团队正在构建的未来。借助AI驱动的检测、跨域可见性以及合规工作流程，这一愿景正在逐步成为现实。

从手动操作到以任务为导向的团队

我们深知，分析师的大量时间仍被重复性任务占据，例如梳理误报、手动关联事件或更新合规日志。这不仅效率低下，还会打击士气。专业人才被困在本应（且应当）自动化的任务中。

Elastic的Search AI平台通过AI驱动的调查功能，将相关警报整合为统一的攻击故事。系统能自动识别威胁模式并进行上下文关联，同时标记高优先级事件。分析师可通过评估这些关键主题来判断风险并指导响应，而无需在海量警报中反复筛选。

Elastic的Attack Discovery功能能在数秒内将数百个警报筛选出真正重要的少数。它能将看似相似的事件进行分组，实现统一评估。此外，Attack Discovery还能将看似无关的安全事件串联成连贯的攻击链，并基于严重性、风险评分和资产关键性进行评估。该功能还能自动识别事件之间的关联，揭示可能隐藏在孤立警报中的协同攻击。过去需要数小时手动关联才能获得的情境认知，现在可瞬间完成。

通过API集成能力，Elastic可将这些分析功能直接嵌入现有防御安全工作流程。安全团队可管理工作流程，而自动化系统则处理数据脱敏等繁琐但必要的任务，以确保防御网络中的适当安全分类。

当每个警报都需要关注时，就无法专注于真正重要的事情。对于许多防御SOC团队而言，疲劳不仅仅是一个流行语；它是日常现实。大量误报消耗了时间、精力和士气。

这就是智能自动化开始发挥作用的地方。通过使用基于机器学习的检测规则和自动化分类处理，Elastic帮助在警报到达分析师之前过滤掉噪音。根据上下文、严重程度和相关性对警报进行分组，使团队能够看到真正紧急的内容，而不仅仅是声音大的内容。

这不仅提高了响应时间，还让分析师确信他们面前的内容确实需要他们的专业知识。它减少了每天筛选数百个非问题的认知负担，释放出更多资源用于培训、导师指导或主动威胁狩猎。

网络研讨会

#### 更聪明的安全：人工智能如何改变威胁检测和分析师工作流程

本集探讨了人工智能、自动化和编排如何减少手动工作量，使分析师能够专注于最重要的事情。

立即观看

从碎片化响应到流畅运营

碎片化的数据系统使最简单的任务变得复杂。当事件跨越多个网络或安全区域时，调查会变得极其缓慢。分析师被迫在不同工具之间切换，跨越安全边界，并手动拼凑完整的故事。

Elastic的搜索人工智能平台打破了数据孤岛，实现了跨领域可见性，并可在不切换工具或上下文的情况下，即时关联多个分类级别的安全事件。安全分析师可以通过单一命令，在多个数据领域（包括机密和非机密；本地和云端）执行统一查询，无论地理位置或安全域如何。Elastic提供了一种名为跨集群搜索（CCS）的工具，允许分析师（在访问权限允许的情况下）通过单一界面和单一命令查询多个集群。

通过协调节点向每个远程集群发送单一搜索请求，网络延迟（和延迟）得以减少，然后每个集群在本地执行搜索并仅返回最终结果。数据不需要移动或复制；搜索直接到达数据源。这对协调是一个重大突破，尤其是在必须尊重安全边界的防御环境中。

通过强大的身份验证机制，安全边界保持完整。支持基于API密钥和TLS证书的身份验证，通过角色配置确保分析师只能访问他们被授权查看的数据。通过跨集群的数据复制实现弹性，防止数据丢失，并确保在基础设施故障和竞争环境中信息仍然可用。

您将参加2025年DSEI UK吗？

#### 在那里时让我们连接！

我们为此次活动准备了令人兴奋的内容，非常希望与您分享。

了解更多

通过自动化可审计性简化防御合规性

合规性报告长期以来一直是安全运营中的隐性成本。安全分析师需要耗费数小时生成审计日志和记录事件日志，以确保符合相关要求。但现在，治理流程已融入工作流本身，而非额外任务。通过可配置的审计日志和合规性报告功能（例如符合NIST标准），分析师无需手动导出日志或事后追查细节。现在，每项调查都会被自动追踪，每个决策都会被记录，所有事件均可按需访问。

Elastic的搜索AI平台可配置为以适当详细程度记录特定事件类别，确保捕获所有必要信息的同时避免产生不必要的数据量。分析师可以轻松导入或定义规则（包括确认、抑制和自定义警报逻辑），从而控制系统对已知模式或常规活动的响应方式，在减少干扰的同时保持监督力度。当法规发生变化时，系统无需进行流程改造即可适应。由于治理功能已深度嵌入日常运营，合规性成为日常操作的自然结果，而非事后补救措施。

集中式日志记录会创建不可篡改的审计轨迹，以可配置的详细程度捕获所有安全事件，为调查和监管询问提供随时可用的证据，且不会产生额外开销。

结果：专注的团队和更高效的操作

自动化并非要取代人工，而是提升人工价值。当系统处理繁琐任务时，分析师得以专注于思考、领导和行动。他们不再只是被动应对的运维人员，而是推动防御准备的受信任决策者。

借助智能调查工具、跨领域可见性以及将合规性作为产品核心功能，安全运营中心（SOC）可以扩大防御范围，以更少资源保护更多内容，并跟上不断演变的威胁。对分析师而言，这意味着更少重复性工作、更强的自主权，以及在关键任务角色中更显著的影响力。

了解您的防御安全团队如何通过AI驱动的自动化提高效率、减少疲劳并简化操作。加入我们的网络研讨会《更智能的安全：AI如何改变威胁检测和分析师工作流程》——这是四部分系列网络研讨会的第一部分，探讨AI如何重塑防御SOC运营的实用方法。

本文中描述的任何功能或功能的发布和时间安排均由Elastic单独决定。目前尚未提供的任何功能可能无法按时或根本不会交付。

在本文中，我们可能使用或引用了第三方生成式AI工具，这些工具由其各自所有者拥有和运营。Elastic对第三方工具没有任何控制权，也不对这些工具的内容、操作或使用方式，或因使用这些工具而可能产生的任何损失或损害负责。在使用AI工具处理个人、敏感或机密信息时请格外谨慎。您提交的任何数据可能会用于AI训练或其他目的。无法保证您提供的信息将被安全或保密处理。在使用任何生成式AI工具之前，请熟悉其隐私政策和使用条款。

Elastic、Elasticsearch 及相关标识是 Elasticsearch N.V. 在美国和其他国家/地区的商标、标志或注册商标。所有其他公司和产品名称均为其各自所有者的商标、标志或注册商标。

分享