網路攻擊與防禦實務
某資安監控中心（SOC）的SIEM每天發出1440則警示，警示在一天中平均發生。SOAR的自動處理會在不經分析人員確認的情況下處理75%的警示，其餘每則警示平均需要分析人員10分鐘的作業。假設分析人員可以不休息地作業，為了跟上警示發生的速度處理警示，隨時必須配置的分析人員最少人數是下列何者？
- A2人
- B3人
- C10人
查看答案與解析
正確答案：B. 3人
分析人員要確認的警示為 1440 × (1 − 0.75) = 360則/日，每小時為 360 ÷ 24 = 15則。一名分析人員每小時能處理 60 ÷ 10 = 6則，因此所需人數為 15 ÷ 6 = 2.5人，無條件進位為3人。若沒有SOAR的自動處理，每小時會有60則，需要 60 ÷ 6 = 10人。實際上還有休息與其他業務，警示數量也會因時段而變化，因此要在使用率上保留餘裕來決定人數。
- A. 這是把2.5人無條件捨去的值，每小時只能處理12則，警示會不斷累積。
- B. 正確。15 ÷ 6 = 2.5人，無條件進位為3人。
- C. 這是假設沒有SOAR自動處理、所有警示（每小時60則）都由人確認時的人數。