零基础快速入行SOC分析师(第2版)

● 洞悉新冠疫情后对SOC分析师岗位需求的增长趋势

● 了解快速赢得SOC分析师职位的秘诀，包括求职渠道与筛选技巧

● 认识作为SOC分析师你将与之共事的人和团队

● 明确胜任SOC分析师所需具备的技术先决条件

● 熟悉SOC分析师的日常工作与生活

● 掌握SOC分析师的专业术语与圈内行话

● 熟知云计算带来的相关风险及应对工具

● 运用五步SOC分析师工作法分析安全事件

● 探索ChatGPT在SOC分析中的创新应用

● 获取为你量身定制的网络安全成功路线图与背景专属建议

● 了解真实SOC分析师的职业轨迹与生活故事，汲取宝贵经验

　　泰勒·沃尔（Tyler Wall）是CyberNOWEducation的首席执行官，该公司专门提供便捷且价格合理的全球网络安全培训和认证服务。泰勒是一位经验丰富的安全专家，曾在全球多家大型企业任职，具有长达十年的安全运营经验。
　　泰勒拥有普渡大学网络安全管理理学硕士学位，还获得了CISSP、CEH、CSSK、Terraform Associate、CFSR、LRPA、Security＋、Network＋和A＋认证。
　　他喜欢和儿子一起共度闲暇时光，并且喜欢发挥创造力。

　　贾勒特·罗德里克（Jarrett Rodrick）是Omnissa公司的安全运营高级经理，曾任VMware安全运营中心的高级经理。他曾是美国陆军的网络防御专家和网络战专家，现已退役。在美国陆军网络司令部和财富100强公司主导的世界级安全项目中，他积累了超过11年的防御性网络运营经验。贾勒特的教育背景包括获得SANS技术学院的应用网络安全理学学士学位和17项GIAC网络安全认证。他定居在得克萨斯州的梅利萨市，喜欢和儿子一起打高尔夫球，和家人一起玩棋盘游戏。

　　马修·彼得森（Matthew Peterson）是一位有抱负的SOC分析师，拥有超过十年的金融服务行业经验，并在软件开发、人工智能和图形设计方面拥有深厚的背景。他获得了雷鸟全球管理学院的全球管理硕士学位和太平洋海岸银行学院的研究生证书。在这本书中，马修将他的专业知识运用到创建图形主题和撰写第6章“云端SOC”中。他擅长将复杂的技术概念转化为清晰、引人入胜的视觉效果和故事叙述。
　　马修现居亚利桑那州的斯科茨代尔市，他喜欢陪儿子们打棒球，以此平衡职业成就和家庭生活。

　　杰森·图尼斯（Jason Tunis）是全球最大信贷联盟的安全自动化经理。他主要负责安全和欺诈事件响应、威胁情报以及安全自动化和编排。杰森是一位经验丰富的网络安全专家，拥有超过15年的工作经验，他获取的认证包括CISSP和GSLC。他与妻子和三个孩子一起生活在中西部。

　　扎克·加西亚（Zach Garcia）开始从事网络安全事业之前，审校技术图书只是他的业余爱好。他一直对事物的运作方式充满好奇，喜欢创造性地思考用于提高安全性的有趣方法（有时甚至是通过破坏安全性来进行）。
　　他的职业生涯涉及多个领域，从数字取证、事件响应（Incident Response，IR）角色，到逆向工程恶意软件，再到为多个行业编写恶意软件和进行渗透测试等多个方面。
　　无法抑制的好奇心，加上对谜题和与人交流的热爱，激发了他对网络安全行业的热情。在闲暇时，扎克喜欢园艺、与家人共度美好时光，以及破解他能接触到的每一台智能设备。

第1章 对网络安全和SOC分析师的需求 3
1.1 危机期间的网络安全 3
1.2 对网络安全分析师的需求 4
1.3 对SOC分析师的需求 6
1.4 本书内容 9
1.5 小结 11

第2章 网络安全专业领域 19
2.1 信息安全 19
2.2 分析师 20
2.3 工程师 23
2.4 架构师 25
2.5 内部团队 26
2.6 外部团队 30
2.7 小结 34

第3章 求职 41
3.1 人脉网络 41
3.1.1 比赛 43
3.1.2 Medium 45
3.1.3 创建课程 46
3.2 去哪里找工作 47
3.3 申请工作 48
3.4 常见的面试问题 50
3.5 小结 53

第4章 必备技能 61
4.1 网络基础 61
4.1.1 数据封装和解封 62
4.1.2 IPv4和IPv6 IP地址 63
4.1.3 RFC1918 63
4.1.4 端口和TCP/UDP 64
4.1.5 TCP三次握手 65
4.2 CIA三元组 66
4.3 防火墙 67
4.4 最小权限和职责分离 67
4.5 加密 67
4.6 终端安全 68
4.6.1 Windows 69
4.6.2 MacOS 71
4.6.3 Unix/Linux 72
4.6.4 其他终端 73
4.7 小结 74

第5章 SOC分析师 79
5.1 SIEM 80
5.2 防火墙 81
5.3 IDS/IPS 81
5.4 沙箱 83
5.5 术语 83
5.5.1 安全日志 85
5.5.2 安全事件 86
5.5.3 事故 86
5.5.4 安全泄露 86
5.6 概念 87
5.6.1 事件响应计划 87
5.6.2 MITRE ATT&CK 框架 89
5.6.3 网络杀伤链 93
5.6.4 OWASP Top 10 95
5.6.5 零信任 95
5.7 小结 97

第6章 云端SOC 105
6.1 云服务提供商 109
6.2 云计算的风险 111
6.2.1 云安全专业知识有限 111
6.2.2 配置错误 111
6.2.3 攻击面增加 111
6.2.4 对云身份安全关注不足 111
6.2.5 缺乏标准化和可视化 112
6.2.6 数据泄露风险 112
6.2.7 合规和隐私问题 112
6.2.8 数据主权和存储问题 112
6.2.9 特定于云的事件响应 112
6.3 云安全工具 113
6.3.1 单点登录 113
6.3.2 云安全态势管理 114
6.3.3 云访问安全代理 115
6.3.4 云工作负载保护平台 115
6.3.5 云基础设施授权管理 116
6.4 云安全认证 116
6.4.1 平台无关认证 117
6.4.2 特定平台认证 118
6.4 Microsoft Azure 助理安全工程师认证 120
6.4.4 Google云安全工程师认证 120
6.5 小结 121

第7章 SOC自动化 127
7.1 什么是安全自动化 127
7.2 为什么要自动化 128
7.3 SOC成熟度 131
7.4 如何开始自动化 132
7.5 用例 134
7.6 小结 135

第8章 面向SOC分析师的ChatGPT 143
8.1 什么是ChatGPT 143
8.2 ChatGPT服务条款免责声明 144
8.3 代码审计 144
8.4 文件路径 145
8.5 创建查询 146
8.6 重写 146
8.7 ChatGPT作为武器 147
8.8 小结 148

第9章 SOC分析师方法 157
9.1 什么是SOC分析师方法 157
9.2 安全告警的原因 158
9.3 支持证据 159
9.4 分析 160
9.5 结论 163
9.6 后续步骤 164
9.7 小结 165
9.8 模板 165

第10章 成功之路 175
10.1 成功之路 175
10.2 刚毕业的大学生 176
10.3 从IT领域转型 177
10.4 自学者 178
10.5 退伍军人 179
10.6 小结 181

第11章 真实的SOC分析师故事 189
11.1 Toryana Jones，SOC分析师 189
11.2 Rebecca Blair，SOC总监 193
11.3 Brandon Glandt，SOC分析师 197
11.4 Kaylil Davis，SOC分析师 202
11.5 Zach Miller，SOC分析师 207
11.6 Matthew Arias，SOC分析师 211
11.7 小结 215

　　第1章 对网络安全和SOC分析师的需求
　　在本章中，我们将分三个不同层次来讨论对网络安全专业人员的需求。首先讨论对网络安全工作人员的需求，然后分析对网络安全分析师的需求，最后探讨对安全运营中心（Security OperationCenter，SOC）分析师的需求。
　　1.1 危机期间的网络安全
　　2020年初，全球开始遭受新冠疫情的侵袭。全球各地纷纷封锁，人们被要求居家隔离。许多工作岗位被裁撤或员工被暂时休假，直到隔离措施解除，但许多雇主能够成功过渡到“远程办公”模式。因此，互联网服务提供商的流量出现了持续上升的趋势，视频会议的需求也达到了新的高峰。美国国土安全部将网络安全人员指定为维持基础设施持续运转的必要劳动力，对网络安全人员的需求量比以往任何时候都更为迫切。在此期间，仅在美国就已缺少近50万个网络安全岗位，而该行业需要增长62%的职位才能满足需求。
　　目前网络安全人员短缺，再加上新冠疫情、网络战争或其他紧急情况等危机，对网络安全人员的需求便进一步增加。网络工作人员短缺的情况愈发严重，网络安全人员的资源也更加匮乏。除了工作时间更长、工作更努力，没有其他解决办法。随着工作压力和工作时间的增加，网络安全工作人员的身心健康都受到了影响。目前没有快速的解决方案或培训新网络安全工作人员的方法，因此产生的结果是劳动力负担过重。
　　在新冠疫情期间，全世界都在努力保持居家办公的高效性。尽管美国政府一度关闭了除“必要”企业以外的所有企业，但网络安全是其中一种被认为必不可少的职业，并且对技术人员的需求一夜之间激增。
　　行业从疫情中学到了什么？新冠疫情证明了大量的劳动力在远程工作时可以保持高效。多年来，美国公司一直在努力变得更加环保。无论是为仓库提供可持续能源、实施回收项目，还是为送货车辆使用替代燃料，数千家公司都在全球范围内接受使用可持续资源。现在，居家办公成为可行的选择，公司便利用这一机会减少温室气体排放、提升员工幸福感......当然，还能降低运营成本。从那时起，远程工作便成为一些SOC分析师生活的一部分。
　　这并不意味着所有公司都接受了远程工作带来的好处。根据JLL在2023年底进行的一项研究，财富100强公司的员工平均每周在办公室工作2.96天。这是一种混合工作模式，许多公司在新冠疫情后将其作为新的常态。
　　1.2 对网络安全分析师的需求
　　如今，我们正身处一场全球网络战争之中。每个国家的每个行业都成为网络犯罪分子、政府支持的黑客和从事商业间谍活动的公司的攻击目标。这听起来像是一部由你最喜欢的20世纪90年代动作明星主演的低成本电影的情节，但事实是每个人都是攻击目标。更令人不安的是，这一切并非始于新冠疫情，这种情况已经持续了几十年。直到最近十年，组织机构才意识到需要加大对网络安全的投资。
　　……

　　序
　　斯蒂芬·诺思卡特（Stephen Northcutt）SANS技术学院和GIAC认证创始人
　　安全运营中心（Security Operation Center，SOC）每天24小时不间断地检测、分析和响应网络安全不良事件。这是一项艰巨的挑战，需要资源、管理和可靠的流程。在开始应对这项挑战之前，了解使命和愿景至关重要，这也是本书具有的重要性和相关性的基础。在本书中，我们将了解SOC是什么、如何运作、它的重要性，以及如何进入这个领域。在当今的数字环境中，威胁无处不在，SOC作为防御的堡垒，负责监控、调查、分类和消除不良安全事件。
　　泰勒和贾勒特具备深入了解组织安全构成部分的知识、经验和热情，明白安全在组织中所发挥的关键作用。无论是内部运营还是外包给托管安全服务提供商（Managed Security Service Provider，MSSP），SOC都肩负着保护数字资产免受不断演变的网络威胁的关键任务。
　　在本书中，作者揭示了SOC运作的复杂性，探讨了其责任范围如何因人员配置模型而有所不同。即使你对网络安全完全陌生，作者也提供了所有基础知识。如果你发现自己在说：“我见过这个知识”，请务必在章节末尾做测验，以区分“你见过它”和“是的，你知道它”之间的区别。从内部SOC凭借其高级权限，在事件发生时能够快速采取补救措施，到MSSP对多个企业网络进行的不间断监管，每种SOC方法都有其独特的优势和挑战。
　　他们全面讨论了基于云的SOC，以及它在应对云计算固有安全风险方面所扮演的重要角色。识别这些风险对于制定有效的缓解策略以保护云中的数据至关重要。尽管云计算有明显的优点，如可扩展性和灵活性，但在没有充分了解相关安全风险的情况下，盲目采用云服务是不明智的。
　　基于云的SOC利用先进的技术和监控能力，实时检测和响应安全威胁，从而确保对敏感数据和关键资产的保护。通过将安全运营集中在云端，组织可以增强可见性、简化事件响应流程，并保持对法规要求的遵从性。此外，基于云的SOC还支持主动威胁狩猎和持续监控，使组织能够在不断演变的网络威胁面前保持领先，以有效降低风险。
　　在阅读有关技术的文章时，你不可能没听过AI，但基于云的解决方案是数字助理最先和最快发展的领域。如果你尚未采用云解决方案，那么本书的作者显然在利用通用的LLM工具来提升本地SOC能力方面拥有丰富的经验，并且他们还提供了一些技巧和实例。
　　本书最有价值的内容之一是关于分析的章节：你该如何教会人们解决他们从未见过的问题？你必须制定一个流程或一种方法，并引导他们逐步掌握，这一过程将会在本书中逐步展开。这一模型是作者在无数小时的压力下进行分析的结果。
　　读完这本书后，我清楚地感受到，作者希望你获得成功。本书内容详尽且条理清晰。我希望你能享受这段旅程。
　　祝你好运。