如何做好安全监控？

本文目录导读：

1. 核心原则：从“被动响应”转向“主动防御”
2. 具体实施步骤（以网络安全监控为重点）
3. 三个常见领域的专项建议
4. 常见的“坑”与避坑指南
5. 一个持续改进的循环

做好安全监控是一个系统性的工程，涉及技术、流程和人员三个核心维度，无论是针对网络安全、物理安防还是业务系统的监控,以下原则和步骤都至关重要。

核心原则：从“被动响应”转向“主动防御”

传统监控往往是“出了事才看监控”，而现代安全监控的目标是 “事前预防、事中控制、事后追溯”。

1. 全面覆盖与最小权限：监控应覆盖所有关键节点，但每个监控点只收集必要的数据,避免过度收集引发隐私或性能问题。
2. 分层防御：不依赖单一防线，网络层、主机层、应用层、数据层各自有监控手段。
3. 实时与闭环：发现问题不是结束，必须触发告警、响应、处置、反馈的闭环流程。
4. 持续优化：监控策略需要根据新威胁、业务变化不断调整。

具体实施步骤（以网络安全监控为重点）

第一步：确定“要监控什么” —— 资产与基线

• 资产梳理：首先要知道你在保护什么，建立资产清单（服务器、IP、域名、数据库、应用、IoT设备、物理门禁摄像头等）。
• 定义基线：什么是“正常”？服务器CPU正常范围、数据库每秒查询次数、登录地点、端口开放情况,基线是发现异常的基础。

第二步：选择“监控工具” —— 技术栈搭建

不同类型的监控需要不同工具,通常组合使用：

第三步：设计“告警与响应” —— 建立SOP

• 明确告警规则：避免告警风暴（太多无效告警）。
  • 错误：每发现一次端口扫描就告警。
  • 正确：5分钟内同一个IP发起超过100次端口扫描，并且针对高危端口，才触发“中危”告警。
• 制定响应流程 (SOP)：谁来判断？谁来处置？多久处理？
  • 低危（登录失败3次）：邮件通知管理员,次日核查。
  • 中危（疑似暴力破解）：钉钉/微信推送,10分钟内确认。
  • 高危（发现C2回连、数据批量外发）：启动应急响应群，自动封禁IP,电话通知负责人。
• 值班与交接：7x24小时监控需要有清晰的值班表和交接记录。

第四步：执行“日志管理” —— 审计与追溯

日志是事后追溯的命脉。

• 集中存储：使用ELK/EFK (Elasticsearch, Logstash/Fluentd, Kibana) 或 Splunk 等平台,将不同系统的日志汇聚一处。
• 不可篡改：确保日志生成后不能被轻易修改,如使用区块链哈希链或写一次读多次的存储。
• 备份与保留周期：按《网络安全法》等要求,关键日志至少保存6个月以上。

三个常见领域的专项建议

企业网络安全监控

• 关键：部署终端检测与响应 (EDR) 对所有电脑/服务器进行行为监控；部署网络检测与响应 (NDR) 分析网络流量；使用零信任网络访问 (ZTNA) 控制内网访问。
• 实践：定期进行红蓝对抗演练,检验监控和响应能力。

物理安防监控

• 关键：摄像机部署密度、夜视效果、存储时长与存储安全（防硬盘损坏或NVR被破坏）、视频智能分析（如区域入侵检测、跌倒检测）。
• 实践：摄像头角度避免隐私死角，但也要覆盖所有出入口和重要通道；定期检查录像是否正常录制。

工业/物联网 (OT/IoT) 监控

• 关键：与IT网络物理或逻辑隔离；监控工控协议（如Modbus, Profinet）的异常指令；资产变化（如一台未许可的PLC接入网络）。
• 实践：由于工业系统对实时性要求极高，监控工具必须零干扰；建立特殊的工控安全基线。

常见的“坑”与避坑指南

1. 只买工具不治理：花几十万买SIEM，但没人配置规则、没人分析告警，结果每天告警几千条，最后没人看。
   • 对策：投入至少30%的预算在人员培训和流程设计上。
2. 过度依赖自动化：自动封禁IP可能导致误封正常用户（如VPN出口）。
   • 对策：对高危操作（如封禁、断电）设置“人工确认”环节。
3. 忽略内部威胁：监控了外部黑客，但没防住员工误操作或恶意数据拷贝。
   • 对策：监控“文件外发”、“异常时间登录”、“权限提升”等行为。
4. 监控本身成为漏洞：监控系统的Web端存在弱口令，或者日志服务器本身被攻击。
   • 对策：对所有监控平台进行安全检查，使用多因素认证,严格限制管理访问IP。

一个持续改进的循环

安全监控不是一次性项目，而是一个 “计划-执行-检查-行动” (PDCA) 循环：

1. 计划 (Plan)：梳理资产，定义风险,设计监控点。
2. 执行 (Do)：部署工具，配置规则,开始采集数据。
3. 检查 (Check)：分析告警，进行审计，评估监控效果（看漏了哪些？误报率多少？）。
4. 行动 (Act)：优化规则，更新资产，升级工具，培训人员,然后回到第一步。

好的安全监控是让它“隐形”的——当一切正常时，你几乎感觉不到它的存在；但当威胁出现时，它能在几秒钟内发现并阻止,并且事后能清晰还原整个过程。