安全监控 · 约定时段
服务类别: 网络安全安全警报由专人审查，时间安排清楚可靠
安全工具产生的警报，只有有人去看才有意义。我们把 Microsoft 365、终端设备和防火墙中的重要警报汇集起来，在约定时间内审查，对真实威胁采取行动，并告诉您发生了什么。
概览
- 服务内容
- 在约定的工作时间内，由专人审查和分诊您现有工具产生的安全警报
- 适合对象
- 员工约5至200人、安全警报目前无人查看或只是发到某个共享邮箱的机构
- 核心内容
- 警报转发、分诊、初步遏制、上报给您的联系人、月度报告以及警报调优
- 明确不属于
- 本服务不是7×24小时服务，也不是安全运营中心（SOC）；约定时间以外的警报将留待下一个审查时段处理，除非另行报价延长覆盖时间
- 警报来源
- Microsoft Defender XDR、Entra ID 登录和风险事件、Microsoft 365 审计警报、终端防护以及受支持的防火墙
- 计价方式
- 根据监控的来源，按每用户或每设备每月计费，以书面报价确认
- 如何开始
- 预约咨询，列出您的警报来源并商定审查时间
这里所说的网络安全监控是什么
网络安全监控是指定期审查您现有工具产生的安全警报，这些工具包括 Microsoft Defender、Entra ID 登录风险检测、Microsoft 365 警报策略、终端防护控制台和防火墙。我们把这些警报转入我们的工单系统，在约定时间内审查，判断是否为真实威胁，对确认的威胁采取行动，并记录处理结果。
关于覆盖时间，我们希望说得非常清楚：这是工作时间内的监控，具体日期和时段会写入您的服务范围。它不是安全运营中心（SOC），也不包括夜间或周末的持续分析。在这些时段之外，您工具中的自动防护功能（例如拦截恶意软件或隔离邮件）会继续运行；人工审查则在下一个约定时段恢复。
对许多小型机构来说，从无人查看警报到每个工作日都有专人审查，已经是很大的进步。如果您的风险状况需要持续不间断的覆盖，我们会在前期摸底阶段如实告诉您。
没有监控会出现什么问题
警报无人接收
安全通知发给了已离职的管理员、一个没人打开的共享邮箱，或者根本没有发到任何地方。
噪音太多
未经调优的警报把少数真正重要的警报淹没，久而久之大家就不再查看了。
入侵发现得太晚
可疑登录或新增的转发规则，直到客户反映收到欺诈发票时才被发现。
没有事件记录
当保险公司或客户询问某次事件时，拿不出警报和处理措施的时间线。
我们做什么
警报转发
服务范围内来源产生的安全警报会转入我们的工单系统，不再依赖某一个收件箱。
分诊
结合用户的常用登录地点、设备和近期变更等背景信息审查每条警报，然后进行分类。
初步遏制
按照您批准的应对手册，我们可以重置密码、撤销登录会话、阻止登录、隔离设备或删除恶意收件箱规则。
上报
已确认或高严重级别的问题会通过电话和工单上报给您指定的联系人，并附上建议的后续步骤。
调优
调整嘈杂、价值低的警报，让注意力集中在真正重要的事件上。
月度报告
汇总警报数量、真实事件、已采取的措施和改进建议。
服务范围
审查日期、时段和警报来源会在方案中列明。
通常包含
- 将服务范围内来源的警报转入我们的工单系统
- 在约定工作时间内审查和分诊警报
- 按照您批准的应对手册采取初步遏制措施
- 上报给您指定的联系人
- 警报调优和降噪
- 月度监控报告
除非另行确定范围，否则不包含
- 7×24小时、夜间或周末监控
- 安全运营中心（SOC）服务或搭建SIEM平台
- 主动威胁狩猎
- 取证调查或事件响应预约服务
- 监控服务范围中未列明的系统或工具
我们通常监控的警报来源
- Microsoft Defender XDR 事件和警报
- Microsoft Entra ID 中的风险登录和风险用户
- Microsoft 365 警报策略，例如创建转发规则和大批量删除
- 终端防护和终端检测与响应（EDR）控制台
- 受支持的企业防火墙和VPN安全事件
- 备份平台中与删除或篡改相关的警报
适合哪些机构
有工具但无人审查的机构
已经投资了 Defender、EDR 或新一代防火墙，却没有人查看警报的企业。
在工作时间运营的企业
员工和系统主要在工作日白天活动的团队。
需要回答尽职调查问题的公司
需要如实说明由谁、在什么时间审查安全警报的机构。
带来的好处
- 每个约定工作日都有专人审查安全警报
- 更早发现账户被接管和设备威胁
- 问题能清楚地上报给您机构中合适的人
- 噪音逐步减少，警报越来越有价值
- 为保险公司和客户留下警报和处理措施的书面记录
我们如何开始监控
梳理警报来源
我们列出您现有的安全工具、它们会产生哪些警报，以及这些警报目前发往何处。
应对手册与联系人
我们商定审查时间、上报联系人，以及哪些遏制措施我们可以无需事先询问直接执行。
转发与基线
警报转发给我们，并通过一段基线期帮助我们了解正常活动情况。
调优
我们与您一起减少噪音、调整警报阈值。
运营与报告
在服务范围内持续进行每日审查、上报和月度报告。
购买方式
所列价格为拟定价格，以书面报价确认。
现有工具监控
按每用户或每设备每月计费，审查您已获许可的工具所产生的警报。
搭配托管终端安全
将监控与托管终端防护结合，由同一个团队负责工具和警报。
延长时间需另行报价
如果您的服务范围需要在标准工作时间以外进行审查，我们会与您讨论切实可行的安排，并提供书面报价。
常见问题
这是7×24小时的SOC吗？
不是。我们在写入服务范围的工作时间内审查警报。其他时间，您工具中的自动防护功能会继续运行。如果您的需求确实需要持续不间断的覆盖，我们会直接告诉您。
晚上或周末产生的警报怎么处理？
您工具中的自动防护功能会按配置执行，警报则会留在我们的队列中，在下一个约定时段开始时进行审查。
我们需要SIEM吗？
对这种规模的机构来说通常不需要。我们使用 Microsoft 365、Defender 和您其他工具内置的警报功能。如果您的需求确有必要，可以单独确定SIEM的范围。
出问题时你们会联系我们吗？
会。已确认或高严重级别的问题会通过电话和工单上报给应对手册中指定的联系人，并说明已采取的措施和建议的后续步骤。