正是由于安全外包服务所面临的各种各样的问题，企业或组织在选择安全运维模式时，更多的是在考虑依靠自身的力量建立完全属于自己安全运维队伍，来保障自身网络与业务系统的安全。组织一旦决定建设自身的安全运维环境，那么将必然面临以下问题：

• 安全运维队伍：如何建立一个高效、具备解决问题能力的安全运维队伍？
• 安全运维流程：如何建立适合核心业务需求的安全事件处理机制、流程？
• 安全运维平台：依靠何种手段将众多的安全基础设施管理起来？

要解决以上三个问题，组织的安全运维中心的概念就应运而生了。安全运维中心有时称为安全运营中心（SOC，Security Operations Center）。

      从来没有做过SEO，最近在几个网站做了一些镜像Blog，所以也就有几个链接过来，今天发现自己的Blog已经有了PageRank，虽然是1，但已经开始有值了，呵呵！

一天，女人问男人：

“你说，爱的最高境界是什么？”

根据风险管理的概念，我们知道风险可以有4种结果：接受、降低、避免和转移。信息系统的安全风险管理相同，将安全运维外包即是风险转移的有效手段。安全运维外包即是将自己业务系统的安全运维工作完全外包给外部专业的安全服务供应商，自己不再承担系统的安全运维工作。这种方式在国外称之为Outsourcing Managed Security Services，有时直接称管理安全服务（MSS，Managed Security Services），而外部的专业安全服务供应商则称之为MSSP（Managed Security Services Provider）。国外MSS已经是非常普遍的一种安全服务模式。

安全运维外包服务可以包括以下内容：

• 安全设备的管理，比如防火墙系统、IDS系统、VPN系统等的安全策略配置、设备日常管理、日志审计等工作；
• 网络及系统的日常安全监控、安全事件处理等；
• 安全服务的内容，比如风险评估、渗透测试、事件响应、调查取证等方面的内容；
• 数据安全的内容，如存储、备份、恢复等；
• 日常安全人员外包服务等。

在实际的安全运维外包服务的运行模式中，一般又可以分为两类：一类根据其特点可称之为安全托管服务，另一类则是我最推崇的、真正的安全管理服务。

安全托管服务比较容易理解，即将自己的需要管理的业务系统托管到安全外包服务提供商（MSSP）那里，这类的MSSP具备专业的安全托管环境，一般自己拥有或租用专业的IDC机房，提供专业的安全运维环境，比如Internet带宽、安全防护设备、安全运维平台等。

而我所推崇的安全管理服务的服务商（MSSP）一般具有完善安全解决方案（如全线的安全产品）或具备较高的安全运营管理水平，他们利用自己的核心优势，为客户提供外包的安全服务。比如某用户可选择将终端的恶意软件防护工作外包出去，那么MSSP将根据用户的环境，为其提供全系列的诸如防病毒、防垃圾、内容过滤等安全防护产品解决方案、日常人员的技术支持以及管理和应急响应等服务，这种安全管理服务的案例参考这篇文章。

MSS在国外是一个成长迅速的安全市场，根据Gartner报告，2005年有60%的组织会将其网络边界防护技术里的至少一个方面外包出去。而根据IDC的报告，MSS正以35%的年增长率在迅速增长。下图则是Gartner发布的2005年底北美市场的MSSP魔方图（Magic Quadrant）：

从图中我们可以看出，向AT&T这类公司，由于具备IDC等电信领域的先天优势，在提供托管式安全外包服务方面具有相当的优势，而另一类如Symantec、VeriSign等公司利用自己在安全方面的专业技术优势，同样能够为用户提供专业的安全管理服务。

      来北京这么长时间了，吃早餐最麻烦的事了，原因是不能不吃，但又没什么可吃的。所以不禁想起郑州的早餐：糊辣汤 + 油饼，给我的感觉是这辈子估计再也没一种早餐比这更好的了。我吃糊辣汤加油饼好象从来不知道饱，可以一直吃，吃到我撑死、噎死。

      每次去郑州，还总是要跑到康复前街上去吃一次，铁英街上也有一家，不过没有康复前街的好吃。去年同学聚会时，我连吃了两天，意犹未尽！

说起郑州上学时，还有一件事最值得提：

      我们有一门电机课，老师是以前"保定陆军军官学校"毕业的，很老了吧？不茍言笑，基本是变态+est级的，同学们对他的感觉只有一个"恐惧"，我习惯叫他"蒋介石"！以前我们是两节课连上，100分钟，中间休息10分钟。这个 BT老师每次上课前总会留30-40分钟来复习+预习，他自己则在讲台上画那个电机结构图，转子啊、定子啊什么的，我现在都忘记了，一丝不苟！现在想起来，也真是专业！画得很好，跟书上的一样。一个转子图估计得30分钟画完吧，估计我们也预习得差不多了，开始提问，其实是屠杀我们，因为他画图时，下面大部分在睡觉！

      有一次图画得差不多了，老师很得意的样子。不知为什么，我突然"恶从胆边生"，捅了捅同桌："老师让你上去擦黑板！"，这家伙哈拉子流了一桌，还没容我反应过来，他就以迅雷不及掩耳之势小跑着上了讲台，拿起板擦，瞬间老师的"伟大作品""灰飞烟灭"，真正的"灰飞"啊......

      那个BT老师瞪着一双惊恐的眼睛，一动未动！教室出奇的安静，大家估计都在冒冷汗？我觉得凉气从脚底一直冲到头顶，心脏跳到了180下......

      最后的结果我记不太清了，我俩好象被叫到了辅导办，好象也受了处分。还好，我俩都是好学生，那学期电机还能从容过关......

      后来在网上，看到了一个类似的情况，看来天下"坏人"不是我一个。

-EOF-

安全建设是与信息化建设的一个重要组成。随着IT建设的逐步完善与深入，IT运维人员就要管理越来越庞大的IT系统。仅仅在安全保障方面，很多具备一定规模的单位已经部署相当多的安全设施，但众多的安全技术与安全设备的应用在相当程度上加重了系统与IT管理人员的负担。

而在另一方面，安全设备的应用越来越多，安全手段的采用也越来越多，而安全状况却不见好转。如下这些就是经常摆在IT管理人员面前的问题：

• 我们已经在安全方面投入了相当多的努力，但为什么还不时出现安全问题？
• 我们的安全项目已经做了很多的安全制度、管理流程啊等，但面对这一大堆的文档，我们怎么样才能真正的执行下去？
• ......（更多的技术层面的问题请参考这里）

这类问题，几乎让每个IT管理人员头痛。面对众多的设备与手段，安全管理人员却往往感到无所适从。其根源是什么呢？

我们早就知道，安全不仅仅是一个技术问题，更是一个管理问题。实际上，在整个IT产品的生命周期中，运营阶段占了整个时间和成本的70% - 80%左右，剩下的时间和成本才是花费在产品开发（或采购）上面。以往我们听说"三分技术、七分管理"是突出管理的重要性，而这个"管理"则是大部分的精力花费在"运营"方面。

效果（Effect）和效率（Efficiency）是服务管理的主要目标。安全运维的主要目的即是保证安全手段（产品 + 技术）的应用能够达到预期的良好效果（Effect）和提高效率（Efficiency）。因此，如何保证安全运维工作的有效（有效果和有效率的），是摆在IT安全管理人员面前的主要难题。

当前在通行的解决方案上，主要存在着两种安全运维管理的方式：

• 安全运维外包(MSS)：安全运维外包服务是将自身的安全运维管理工作外包给外部专业的安全管理服务商，依赖外部的力量来完成自身的安全运维管理任务。在这里我们称之为安全运维外包服务（Outsourcing Managed Security Services），有时候也直接称之为管理的安全服务（MSS，Managed Security Services）；
• 安全运维中心(SOC)：大部分的单位会选择依靠自身的力量来完成安全运维工作。当信息系统具备一定的规模之后，为了有效的完成安全运维工作，就必须建设自己的安全管理与运维中心，这个安全管理与运维中心在专业术语上就称之为安全运营中心或安全运维中心（SOC, Security Operations Center）。

后面的文章，我将分别介绍一下我理解的这两种安全运维管理模式。

-TBC-