背景：安全事件頻發，監控盲區多
設備配置錯誤、缺乏可視性、團隊孤島效應導致攻擊者長駐內網 (平均潛伏 200+ 天) 仍未被發現。
四大原則實務落地
- 人和 — 打破部門牆，獲得授權
安全團隊需獲管理層授權，強制要求網路/伺服器/雲/應用/身分團隊提供：防火牆日誌、NetFlow/PCAP、AD 登入日誌、雲端審計日誌 (CloudTrail/Activity Log)、應用存取日誌、資料庫稽核、郵件閘道日誌、Proxy/EDR 遙測。建立 **資安作戰室 (SOC)** 統一接收、相關性分析、分派處置。
- 知網 — 全資產拓撲與流量基線
自動化資產發現 (Nmap/Masscan/資產管理平台) 建立 CMDB：每台設備 IP/MAC/OS/服務/擁有者/業務關鍵度。繪製 **流量基線** (每日/每周/每月同比) ：正常上班尖峰、備份窗口、Patch Tuesday 更新流量、合作夥伴 VPN 流量。異常偏離即觸發調查。
- 知防 — 識別皇冠珠寶與攻擊路徑
標記 **Tier 0/1/2 資產** (AD/DC、PKI、核心 DB、金鑰管理、專利代碼庫)。以攻擊者視角進行 **攻擊路徑分析** (BloodHound/Attack Path Management) ：從外網/釣魚/供應鏈入口 → 橫向移動 → 特權提升 → 核心資產。在關鍵節點部署高靈敏度感測器 (欺騙技術/蜜罐/檔案完整性監控 FIM)。
- 量化 — 衡量安全態勢而非工作量
拒絕「打了多少補丁/更新多少特徵庫」虛榮指標。採用 **成果導向 KPI**：
— 平均偵測時間 (MTTD) < 1 小時
— 平均響應遏制時間 (MTTC) < 4 小時
— 關鍵漏洞修補覆蓋率 (CVSS≥7, 72h 內) 100%
— 紅隊演練被發現率 > 80%
— 員工釣魚點擊率 < 2%
儀表板公開透明，驅動持續改進。
總結
安全監控 = **人 (授權/協作) + 數據 (全量/高質) + 邏輯 (攻擊者視角) + 度量 (結果導向)**。缺一不可，持續迭代。