四、企业SOC选型建议

　　基于以上这些国内外优秀的SOC产品，企业用户要如何选择适合自己的产品呢?为此，我们专门走访了生产这些SOC产品的厂商，请他们的安全专家为大家提出专业的选型建议：

　　迈克菲安全技术专家胡江波认为，一款优秀的SOC产品应具备四个特性：简单、高速、扩展、集成。简单就是讲产品使用和维护要非常简单，最好采用Out of Box的交付形式，在界面设计上应该保持逻辑的高度统一;高速是说产品要有高速的查询速度和数据库写入速度;扩展是产品的架构要非常容易扩展，既支持面向大型客户的分布式部署模式，也支持面向中小客户的Combo模式;集成是产品既要支持与SOC出品商自有产品的垂直整合，也要支持与第三方厂商的横向整合，如此才能对事件信息进行丰富，提供动态上下文信息及情势感知信息。

　　胡江波建议，企业SOC选型要选择与企业规模与运维能力相适应的SOC产品，要从交付形态、维护成本、运维能力等方面全面考虑;二是要选择真正实现其产品设计目标的产品，所有SOC产品都有两个核心的设计目标，即时获得有意义的情报、拥有一个智能调查平台;三是要选择具有前瞻性的SOC产品，具体来讲应包含产品架构应满足BDA的需求、产品可与云信息进行整合、产品当有一批顶尖安全专家支撑。

　　惠普企业安全产品部北亚区总经理姚翔认为，企业要进行SOC选型，首先要考虑海量数据背景下应当仔细从架构上思考 SOC 的选型，也就是在未来各个组成元件能否横向扩充;其次是对于高性能的处理方式是否能从架构上处理，往往用户希望透过单一硬件将所有的功能集中在一台硬件上，但是当面临海量数据时，每秒数十万 EPS 的要求，不应该是一台机器进行处理;第三要选择长期优秀的产品，用户在选 SIEM 产品时，会对企业所有的安全产品进行日志集成，因此一个好的厂商应当可以不断创新，引进新的技术，如此一来方能协助客户进行长期的安全策略规划;最后还要考虑到服务以及经验，SOC 是 Security Operation Center, 事实上包含了流程，技术，以及人员等三者关系，一个好的厂商，应当具备有这三方面的能力，除了利用产品的技术之外，还要能够对用户的人员进行培训以及建议，并且搭配对的事件处理流程来提高事件处理的效率，这才是 SOC 的真正精华所在。

　　启明星辰公司安全管理平台(SOC)资深产品经理叶蓬谈到，其实还有比选型更重要的事情是安全管理平台的建设规划，而选型仅仅是整个建设规划的一个环节。只有先完成了建设规划，才有可能进入平台选型阶段。而根据建设规划，不一定非要去选择自建SOC，因此也就不一定非要去做SOC选型。用户也可能选择外包、委托建设等方式。因此，SOC选型与否应该取决于安全管理平台建设规划，不要将两者本末倒置。

　　东软安全运营业务部高级咨询师侯小东谈到，企业用户在选型SOC方案时，因为很多SOC产品是根据数据采集来源的Device数量来设置相关的授权，而不同的授权，会有不同的价格，因此需要用户充分了解信息化的网络规模。另外就是SOC产品的实施较为复杂，可能会涉及网络设备、安全设备、主机系统、数据库、中间件等众多IT基础实施，这就要求实施人员具有安全、网络、系统等多方面的技术与经验，因此最好选择同时具有安全集成和系统集成经验丰富的厂商。

　　天融信安全管理产品线总监熊毅认为，安全管理建设是分步建设、逐步完善的过程，目前市场上有不少厂商提供SOC相关的产品，其中就不乏有部分中小厂商提供的所谓SOC，其更多的是安全事件管理系统，这些厂商在建设能力上有限，而SOC的建设是一个体系化的过程，从方案到产品再到实施运维，需要具备完善的队伍与技术能力水平，这些能力往往是中小厂商无法提供的，其结果是把安全管理平台建设成了具有简单分析能力的安全事件管理系统，因此在选型SOC方案和产品时重点考虑到这几个方面：厂商建设能力、设备管理能力、大数据分析处理能力、行业标准的符合度。

　　RSA中国区技术顾问吴异刚也认为，企业在选择SOC时首先应该充分了解自身的状况，并确定一个合适的建设目标，实事求是的给出一个最适合自己现有状况的同时又有前瞻性的选择方向。因此这样的SOC方案必须先进性，灵活性和扩展性能够兼顾。

　　网神数据与安全管理事业部副总经理孙燕辉也总结到，企业SOC选型要不求大、不求全，根据现阶段的实际需求和未来可能的发展来合理选择产品，但产品本身一定要有比较好的扩展性和灵活部署的能力，能够根据用户业务的发展来进行不断的扩展来满足用户的要求。同时，SOC平台不同于一般的安全产品，产品的功能、性能只是衡量其作为安全工具优势的指标，但SOC平台能否部署成功，真正给用户带来价值，很大程度上取决于实施工作，因此，SOC厂商是否有经验丰富的实施团队至关重要，因此，在进行选型的时候，一方面要考虑产品本身的技术指标，另一方面也要考虑背后的实施和技术支持团队的专业能力。