網路攻擊與防禦實務
在資安監控體制中使用的SIEM、SOAR、SOC，其角色的正確組合是下列何者？
- ASIEM是記錄端點行為的軟體，SOAR是加密通訊的設備，SOC是賦予弱點的識別編號
- BSIEM是自動執行回應程序的機制，SOAR是收集並分析各設備日誌的機制，SOC是處理產品弱點的開發團隊
- CSIEM是收集多台設備的日誌並做關聯分析的機制，SOAR是自動執行回應程序（劇本）的機制，SOC是運用它們進行監控的組織
查看答案與解析
正確答案：C. SIEM是收集多台設備的日誌並做關聯分析的機制，SOAR是自動執行回應程序（劇本）的機制，SOC是運用它們進行監控的組織
SIEM（Security Information and Event Management）把防火牆、伺服器、EDR、雲端等的日誌集中到一處並統一時間，以組合多個事件的規則（關聯分析）把疑似攻擊以警示呈現。SOAR（Security Orchestration, Automation and Response）針對警示，以劇本自動執行收集資訊、隔離端點、停用帳號等既定程序，減輕分析人員的負擔。SOC（資安監控中心）是運用這些機制進行監控、分析警示、判定是否為資安事件並通報的組織，也常採24小時體制。對SOC判定之資安事件的回應，多由CSIRT主導進行。
- A. 記錄端點行為的是EDR，弱點的識別編號是CVE。
- B. SIEM與SOAR的說明相反。此外，處理產品弱點的團隊是PSIRT。
- C. 正確。收集並分析的是SIEM，自動化程序的是SOAR，運用它們的組織是SOC。