Splunk SOC | 客户成功案例

下载 PDF

杜绝漏网之鱼

网络钓鱼是最普遍、代价最高的攻击媒介之一，在我们的《2024 年安全现状报告》中，88% 的受访组织预计，随着生成式 AI 的使用，网络钓鱼的数量和有效性将会进一步增加。当 Splunk 的员工收到可疑电子邮件时，他们可以向 Splunk 的检测和响应团队报告，以帮助保护组织免受攻击。每个月，团队都会收到数百条警报。许多都是虚惊一场，有些则指向真正的风险。无论哪种情况，分析师都必须进行彻底调查，以区分两者。

为了更好地处理大量警报，Splunk 团队决定采用 Splunk SOAR。电子邮件警报送达时，Splunk SOAR 会自动创建工单并提取信息。这是一个很好的起点，但 Splunk 的检测和响应团队希望将平均检测时间缩短至 7 分钟以内。这意味着该流程的调查部分也需要实现自动化。这也正是 Splunk 攻击分析器的用武之地。

以前，大量的网络钓鱼报告导致工单积压，等待团队进行分类处理。采用攻击分析器后，工单调查和解决速度提高了 90%。当报告了潜在的网络钓鱼企图时，SOAR 会打开工单，同时自动将可疑电子邮件提交给攻击分析器进行分析。攻击分析器会检查整个攻击链，然后针对每个提交生成分数和结论，表明威胁的严重性。之后，分析结果和相关取证将由它上传到工单。所有这一切都在几分钟内完成，使分析师能够轻松应对并遏制威胁。Splunk 的 SOC 现在可以更快地响应和遏制威胁，并降低网络钓鱼导致的违规和停机风险。

成效

解决网络钓鱼警报的速度提高 90%
提高网络钓鱼检测的准确率
更快地应对和遏制网络安全威胁

解决最棘手的事件

如果您从事事件响应工作，那么保障判断的正确性将十分重要。这是每个组织中每个网络安全职能部门的期望。对于 Splunk 的高级威胁响应团队来说尤其如此，该团队负责处理公司遇到的规模最大、最严重的事件。这个由十人组成的团队与 SOC 和其他内部利益相关者合作，以确保 Splunk 的安全。当出现问题时，该团队的工作是将对公司运营、财务和声誉的任何影响降至最低，并让公司的所有 Splunk 员工保持最佳工作状态。

该团队最近采用了 Splunk 攻击分析器来支持更深入的事件调查和进行更多的分析。此后，它成为该团队分析可疑文件或域的首选工具。使用 Splunk 攻击分析器后，他们能够更快地检测事件并降低组织的风险。Splunk 高级响应团队的高级经理 Tony Iacobelli 表示“这对于处理最棘手的事件很有帮助。”

拥有像 Splunk 攻击分析器这样强大的自动化威胁分析工具意味着团队可以扩大检测范围。过去，当出现任何恶意软件时，高级威胁响应团队仅能依靠其 EDR 解决方案来自动阻止其进一步执行。借助攻击分析器，分析师可以跟踪攻击模式，并获得有关攻击源的更多详细信息（例如危害指标和基于主机的构件），从而找到 EDR 可能遗漏的其他可疑活动实例。该工具中的交互式引爆模式还允许团队调查恶意软件，而不会有感染其机器的风险。

工具库中的这个附加功能来得正是时候。“我们正在扩大我们可以看到的用例和领域的数量，”Tony 说。“遗憾的是，随着我们对系统的了解越来越多，我们就越明白，不能简单地扩展我们的人力资源。因此，我们需要通过提高整体效率来扩大团队的生产力。攻击分析器帮助我们做到了这一点。"攻击分析器大大提高了 Splunk 事件响应团队的效率，以至于他们实现了将检测关键用例的平均时间控制在 7 分钟以内的目标。