安全运营（SecOps）是一个很泛化的概想。在最宽泛意思上，能够把安全运营看作是持续不休地保险指标网络安全安稳运行，达成组织业务战术指标的永续过程，以及在这个过程中发展的各项运营工作。

从狭义上来看，安全运营的重要工作是威胁事务的运营以及萦绕这个威胁事务运营延长出来的资产、缝隙、谍报等等一系列配套运营工作。Gartner将安全运营界说为一个“通过一套人、流程和技术来鉴别和治理露出、监测、检测和响应网络安全威胁与事务，以增长网络弹性”的过程。

安全运营中心（SOC）作为一个组织单元，工作内容越发聚焦，根基萦绕狭义的安全运营发展。安全运营中心通常是指一个蕴含一系列流程、人员、技术等的组织单元，主题指标就是招架网络安全威胁、保险指标网络安全安稳运行，通常蕴含威胁事务运营、资产露出运营、安全缝隙运营、安全谍报运营、防御战术运营、态势决策运营6个方面的运营工作。萦绕这个指标，通
；岫灾副晖缰葱谐中募觳狻⒓嗖狻⒎治觥⒌鞑椤⑾煊Α⒒惚ā⒔ǜ。

安全运营平台（SOP），或者称作SOC平台，早期也叫安全治理平台（简称安管平台），是指安全运营中心的主题技术支持平台，集成安全运营中心所需的各类数据、技术、工具和流程，为各级安全运营人员提供一个便捷易用的工作台，以便发展安全运营工作。

SOC的演进过程存在多条平行的功夫线
Ｄ芄淮SOC平台的技术演进角度去梳理功夫线，譬如本文
；能够从SOC利用领域的扩张角度去梳理功夫线，钻研SOC从最初利用于传统IT基础设施，逐步延长到云、OT、物联网，车联网等新领域的过程
；能够从SOC部署模式的角度去梳理功夫线，钻研SOC若何从云下部署发展到后来的云寄生部署、云原生部署，以及由此带来的SOC业务模式从产品交付到SaaS服务交付的转变过程
；还能够从SOC服务的角度去梳理功夫线，钻研托管安全服务（MSS）的汗青，看其若何衍生出托管检测与响应（MDR）、协管安全监测服务（CMSMS）。毫无疑难，SOC平台视角是SOC演进过程的最沉要功夫线，无论SOC利用领域若何扩大，无论SOC是在云下还是云上，也无论MSS提供商的服务模式若何变动，它们所依附的SOC平台发展过程都是一样的。

本文所指的SOC1.0、SOC2.0、SOC3.0和SOC4.0都是针对SOP、SOC平台、安全治理平台而言的。

2.1  概述

从2000年SOC进入中国到2025年的25年间，SOC平台经历了3个显著的代际叠加演进过程。从最初面向资产的SOC1.0到面向业务的SOC2.0，再到数据驱动的SOC3.0，每个时期的SOC平台都拥有鲜明的时期烙印，体现了SOC建设需要、指标和技术要求的不休演变。

• SOC1.0身处中国网络安全的萌芽期。这时期的SOC1.0重要对标ISO17799以及后来的ISO27000系列尺度，以期落实信息安全治理系统（ISMS）的主题要求和使用规定。SOC1.0侧沉于构建以资产为中心的ISMS技术支持平台。

• SOC2.0时期是中国网络安全的合规时期，等级
  ；こ晌涫敝泄绨踩谐〉氖滓贫。这时期的SOC2.0形成了以合规为导向、以业务信息系统保险为主题的设计思路。SOC2.0成为了一个面向等保合规的、职能较为完整的集中化安全治理平台。

• SOC3.0时期是中国网络安全回归匹敌性质的时期，这时期的SOC3.0经历了从合规到匹涤注从治理到运营的叠加演进，确立了数据驱动SOC的技术路线。SOC3.0成为了一个基于大数据分析架构的，具备肯定智能和自动能力的安全运营平台。

2.2  SOC1.0

2000年前后，SOC概想起头进入中国。经过约4年左右的摸索，第一代SOC平台（SOC1.0）的界说在2004年根基成形，并迎来了一波建设的热潮。

SOC1.0界说：以资产为主题，以安全事态（Event）治理为关键流程，选取安全域划分的思想，成立一套实时的资产风险模型，协助治理员进行事态分析、风险分析、预警治理和应急响应处置的集中安全治理系统。

SOC1.0在系统设计上向ISO17799以及后来的ISO27000系列尺度挨近，参照信息安全治理系统（ISMS）的要求和实用规定，以实现集中化的安全治理为指标，设计出了第一代SOC平台，其时也叫安全治理平台。

由于其时国内安全建设尚处于早期，需要不够清澈，加之受限于国内技术水平，多源数据采集和安全分析能力极度幽微，短缺主题技术，好多SOC的理想未能很好落地。这时辰，好多国内SOC平台都集成了国表的SIEM产品作为内核。SOC1.0慢慢遭逢发展瓶颈。

2.3 SOC2.0

又经过5年的发展，在2009年，第二代SOC平台（SOC2.0）出现。

SOC2.0界说：以业务信息系统为主题，通过面向业务的安全建模与业务风险治理流程，选取自动被动相结合的步骤采集业务系统的各类安全信息，从业务视角进行数据的尺度化、监测、分析、审计、报警、响应、存储和汇报的一体化安全治理系统，力求安全与业务战术对齐。

SOC2.0迅快在国内得到宽泛认同，获得了巨大成功，确立了安全治理平台这个细分市场的定位和价值。

首先，SOC2.0在理想上进行了拔高，实现了安全运营从资产视角到业务视角的提升，指出安全运营的指标就是保险业务信息系统的持续运行，而安全运营的过程就是业务安全风险治理的过程。

其次，SOC2.0在概想大将SOC和安全治理平台的关系、SOC和NOC的关系、安全运营与安全合规的关系进行了厘清。

第三，SOC2.0在平台职能设计上，紧扣《等级
；じ蟆分腥都耙陨闲畔⑾低骋蟪闪踩卫碇行牡暮瞎嬉，成立起了一个面向等保合规（也蕴含ISMS等其它合规）的、职能较为完整的集中化安全治理平台。

最后，在技术上，SOC2.0推作为为SOC主题的多源数据融合与关联分析引擎技术走向成熟，大幅提升了安全数据的采集能力和威胁事务的分析能力，并开启了态势感知技术的工程化实际之路。技术的成熟，推动国产化SOC平台逐步成为主流。

以等保合规为沉要契机，SOC2.0凭借理想的提升、概想的厘清、职能的匹配、技术的成熟，推动SOC经历了一波发展热潮。

也是在这个时期，国内的赛迪照拂（CCID）起头将支持SOC的安全治理平台作为一个沉要安全细分市场纳入《中国信息安全产品市场分析年度汇报》的分析之中。

2012年，Gartner颁布了一份名为《信息安全在成为大数据分析问题》的汇报，揭开了数据驱动安全时期的序幕。同年，Splunk成为全球第一家大数据上市公司。

而陪伴着国内网络安全建设的铺开，国内的企业和组织也逐步面对大数据带来的挑战，一方面是每天产生的安全数据不休扩张，另一方面则是以APT为代表的新型威胁的鼓起。SOC2.0的诸多技术局限性逐步凸显：

• 数据处置能力有限，不足有效的架构支持：当前分析工具在幼数据量时有效，在大数据量时难以为继，海量异构高维数据的融合、存储和治理遇到难题
  ；

• 威胁鉴别能力有限，不足安全智能：安全分析以基于规定的关联分析为主，只能鉴别已知并且已描述的攻击，难以鉴别复杂的攻击，无法鉴别未知的攻击
  ；

• 安全预判能力有限，不足匹敌能力：安全运营以被动应急响应为主，难以对风险进行提前的评估与研判，总是疲于救火。

在这种情况下，SOC2.0必须顺势而变。

2.4  SOC3.0

2015年，基于大数据技术的SOC3.0（有的也叫NGSOC）【注：这里的NGSOC是指代一类SOC平台，而非具体品牌型号，后同】出现，SOC平台进入第三代。

SOC3.0界说：以大数据分析架构为支持，以保险业务系统安全为导向，构建起以数据为主题的安全运营平台，强调越发自动、智能地对企业和组织的网络安全进行治理和运营。

SOC3.0标志取安全运营进入了数据驱动的时期。

首先，SOC3.0全面选取大数据分析技术架构，海量、高快、多样的数据采集、存储、分析与展示成为了现实，极大拓展了SOC的数据规模和处置机能。

其次，SOC3.0引入了威胁谍报数据，通过将网络中遭逢的攻击告警和资产信息与威胁谍报的比对，实现了越发自动、越发精准的威胁检测与预警。

第三，SOC3.0推动了以UEBA（用户与实体行为分析）和NBA（网络行为分析）为代表的基于人为智能（AI）和机械进建（ML）的异常检测技术的落地，与关联分析技术形成SOC的双核动力，大幅提升了SOC的智能化水平。

随着2014年网络安全上升为国度战术，以及2016年的419讲话，中国网络安全事业进入一个新的汗青阶段。面对这个汗青机缘，以大数据分析技术为契机，中国市场开启了SOC升级换代和大规模部署的过程，数据驱动的SOC3.0获得了巨大成就。而2016年的419讲话更是给作为网络安全态势感知基石的SOC3.0带来了新的巨大市场增量。

在SOC3.0时期，SOC的使用场景和设计理想也开启了从合规优先到匹敌优先、以治理为主到以运营为主的转变过程，并推动SOC3.0的持续升级。

近些年来，以大数据技术架构为基础，SOC3.0引入了更多AI和ML算法，以期提升露出评估、威胁检测、态势评估与预测等关键能力。到2019年，国内又进一步将安全编排自动化与响应（SOAR）技术落地，将编排自动化技术带入了SOC3.0，以期提升安全响应的自动化水平和响应快率。

与大数据同时发展起来的云推算也被引入到了SOC3.0。一方面是用SOC3.0保险云推算的安全，另一方面则是SOC3.0自身的云化。

在这个时期，以端点检测与响应（EDR）、网络检测与响应（NDR）、可扩大检测与响应（XDR）为代表的边缘检测与响应技术的鼓起，以及以攻击面治理（ASM）、露出评估平台（EAP）、匹敌露出验证（AEV）为代表的露出治理技术的沉装上阵，扭转了SOC的部署架构，促使SOC3.0的技术架构逐步起头向散布式和多体模式转变。

与此同时，SOC的运营者越来越器沉SOC的组织和流程建设。从SOC3.0时期起头，越来越多使用SOC的单元都成立起了专门的SOC部门、组织、岗位职责、运营流程、工作场所和运营行列。而SOC平台也起头提供面向运营的职能。尤其是SOAR的引入，让安全事务响应平台（SIRP）成为SOC3.0中沉要的运营工具。

但这些改进，依然将SOC定格在了SOC3.0时期，由于这并未给SOC带来底子的改革，而用户在SOC3.0时期所遇到的困境没有得到底子性的解决。

只管SOC3.0获得了很大的成功，但此时的安全运营平台也逐步变得不胜沉负，用户的不满日益凸起。

• 不足实战：名为安全运营，现实上更多是在做安全分析，偏沉面向专家用户的职能设计，不足面向真正运营人员的分角色运营流程梳理和运营职能设计，导致安全运营平台的用户履历差、易用性差。有的平台固然进行了这方面的设计，但却没有跟现实掌管运营的团队拉通，在理想和工作方式上严沉脱节，设计和使用两张皮，同样导致运营成效欠安。

• 数据过载：大数据技术的加持，提升数据处置量，但也带来了数据沼泽，大量的告警和事务积压，真假难辨、误报再三，掌管研判和响应措置的运营人员不胜沉负，极易产生工作委顿，运营成效大打折扣。长此以往，导致工作倦怠、人才流失。

• 自动化水平偏低：当前以SOAR为基础的响应自动化对于缓解运营委顿作用有限，囿于用户运营流程和规程不健全，剧本开发成本高、剧本适应性低，运营自动化难以遍及。

•  智能化程杜仔限：现有的智能化更多利用于分散的安全运营职能点，对于整体的安全运营过程还是以人的智力为主，对人的要求依然很高，距离安全运营者的进展还有较大差距。

• 定造化能力极度幽微：安全运营平台的可定造性和可扩大性不够，要么无法定造，要么定造周期过长、成本过高，导致安全运营的现实使用落后于不休增长的安全需要和持续变动的匹敌局势。

• 运营价值难以体现：SOC建设的价值若何
  ？平台虽有大量数据，但都是安全数据，短缺运营过程数据和验证数据，不足对运营价值的怀抱，安全运营自身的数字化水平不及。

4.1天生式AI为SOC的刷新带来沉大机缘

AI从一路头就利用于SOC平台，基于规定推理的关联分析就是符号主义AI在SOC中的典型利用。2015年，Gartner颁发了一份智能SOC的汇报，指出要利用高级安全分析来落地智能化SOC，选取机械进建（ML）算法鉴别未知威胁的异常检测技术起头流行。尔后，还出现了其它用于提升露出评估、告警研庞注态势评估与预测等关键能力的AI和ML算法。

但是，上述传统AI通常聚焦SOC中某些专门的问题，选取专门的算法进行复杂的设计与开发，并且分歧的问题往往必要使用分歧的算法和模型，拥有很强的专业性，对开发人员的技术要求很高。安全运营是一个过程，是一系列流程、规程和操作的集中。传统AI固然解决了安全运营过程中的一些关键难题，但却不能将整个运营过程串起来，对整体运营援手有限，还必要安全运营人员的大量工作。

2022年底以大说话模型（LLM）为代表的天生式AI（GenAI）技术的爆火让所有起头变得分歧。

作为一种公认的颠覆性技术，GenAI近两年迅快席卷各行各业，并在安全运营领域获得了令人惊叹的成效，由于它刚好美满地击中了当下安全运营的三大痛点：人才欠缺、工作倦怠、技术不及。

Gartner分析指出，若是说2023年是GenAI开局之年，2024年则应是最幼可?产品（MVP）??其路之年，?2025年可能会是GenAI集成到安全?作流程中并提供真正价值的元年。

不到两年，GenAI在安全运营中的利用模式迅快从早期的智能谈天，发展到后来的AI助理/副驾，再到此刻基于GenAI的智能体，将安全运营带入了自主式AI（Agentic AI）时期。

Agentic AI是一个以GenAI（如LLM）为思虑中枢的，可能自主或部门自主的进行决策并采取行动，以实现既定指标的系统，拥有自主性、适应性和持续进建的特点。

GenAI以及由此衍生出来的Agentic AI相较于传统AI，使SOC的效力获得了极大的提升。

GenAI拥有较高的普适应。分歧于传统AI的专用性，GenAI向通用AI（AGI）迈出了一步，一个模型可能解决多个问题。安全运营的每个领域、运营过程的每个环节都能够利用GenAI，简化工作过程、提升工作效能。在GenAI的赋能下，SOC的整体运营效能能够获得巨大提升。

GenAI拥有较强的普惠性。GenAI通过天然说话交互的履历方式，降低了对利用型技术（如编码、特定规定的语法、工具挪用等）的要求，让宽大运营人员能够更快上手，更便捷的进行操作，更聚焦安全运营领域的业务型技术（如特定威胁响应的战法、怪异的安全知识等）。此表，随着Agentic AI技术的急剧发展，开发各类安全运营智能体所需的利用型技术要求在变得越来越低。

基于GenAI的Agentic AI拥有很强的自主性。Agentic AI出格适合用于安全运营领域，好多流程性的安全运营工作都能够借助基于Agentic AI的智能体实现，提升安全运营的自主性和智能自动化水平，减轻工作压力。

基于GenAI的Agentic AI拥有很强的合作性，将AI从工具造成了“同伴”。传统AI更多像是一个个工具，由人来挪用。而Agentic AI则让AI成为了工具的使用者，可能自动地使用各类工具，蕴含传统AI。Agentic AI的这个个性出格符合安全运营，由于安全运营的过程重要就是挪用各类工具进行合作的过程。

GenAI让知识价值急剧开释。以往安全运营专家的各类知识（譬如各类安全通用知识和安全汇报，各类安全谍报，基于资产和缝隙的安全姿势，告警研庞注事务调查与响应的技战术步骤，蕴含日志解析规定、关联分析规定、剧本在内的各类安全内容，以往的事务响应汇报，甚至用户操作手册）必要事先经过特定的转换（甚至代码开发）能力加载到安全运营平台中，进而阐扬作用。同时，这些知识的验证、更新过程也同样繁琐，甚至无法关环。GenAI和智能体则可能以近乎天然说话的大局降、验证和更新这些知识，并将它们充分的衔接起来，催动安全运营平台的运行，让知识价值急剧开释。而随着GenAI和智能体在安全运营中的利用门槛不休降低，安全运营领域的专业知识将显得尤为沉要。

基于上述特点，以LLM为主题的GenAI和Agentic AI的鼓起为SOC的刷新带来沉大机缘，新一代SOC平台跃然纸上。

必须指出，GenAI不是对传统AI的代替，只管GenAI拥有好多优良个性，但在针对好多专门的运营问题时，传统AI依然有效，并且阐发得越发高效。当前GenAI自身存在的诸多不确定也限度了其阐扬，必要利用传统AI予以约束。在工程实际中，不应钻营单一类型的AI包打全国，而是要从从性价比的角度，按需使用最相宜的AI。这种将多种分歧AI技术整合到一路的AI技术称作复合式AI（Composite AI）。凭据Gartner的界说，复合式AI是指组合利用分歧AI技术（蕴含GenAI、数据科学、机械进建、知识图谱等技术）来提高进建效能，以天生档次更丰硕的知识暗示的AI。

此表，DeepSeek横空出世，使得本地化部署LLM的性价比大幅提升，进一步加快了LLM在企业侧的落地过程，进而带头了AI赋能的新一代SOC平台的落地过程。

4.2  AI赋能的SOC4.0

在以LLM为主题的GenAI和Agentic AI的加持下，AI赋能的SOC4.0诞生，SOC平台进入第四代。SOC4.0也能够称作Agentic SecOps Platform。

SOC4.0界说：SOC4.0是一个AI赋能的、数据与流程双轮驱动的、自动化优先的实战化安全运营平台。这里，AI是安全运营能效的加快器，数据与流程是驱动安全运营平台的原动力，自动化和实战化是安全运营平台的主题设计理想。同时，无论若何演变，SOC始终遵循风险治理思想，以实现网络弹性、保险业务安稳运行为指标。

SOC4.0是AI赋能的，但又不仅仅是AI赋能的。

首先，AI赋能是SOC4.0的主题特点，Agentic AI则是SOC4.0的标志。AI将渗入到SOC4.0的方方面面和运营过程的各个环节，蕴含让数据驱动和流程驱动越发高效，让自动化越发智能，让平台越发实战化，全方位提升运营效力。

其次，数据与流程双轮驱动不仅是SOC4.0的根基特点，更是所有SOC的根基特点，刻画了安全运营的技术性质。数据是安全运营的源泉和动力，在数据的驱动下，源源不休地发现问题、分析问题、解决问题、总结问题。流程是安全运营的凭据和伎俩，是安全运营持续运行的纽带，通过平台衔接人、运营工具、网络安全防御设施，实现协同防御、联防联控。同时，数据驱动与流程驱动二者在安全运营中各有侧沉，且缜密相连，相互转化。以往，我们单方面强调数据驱动安全运营，忽略了流程驱动运营的沉要性，使得安全运营平台更像一个安全分析平台，而不足实战化的日常安全运营支持能力。因而，在SOC4.0时期，必须将数据驱动和流程驱动放到一致的职位，统一进行设计。一方面，要用基于安全数据编织的新一代安全数据架构来实现数据驱动，另一方面，要用基于安全编排的新一代安全运营流程架构来实现流程驱动。同时，AI（尤指GenAI和Agentic AI）也是数据与流程驱动的。要想真正实现AI赋能，就必须先成立好数据与流程驱动的安全运营平台技术底座。若是说AI是SOC的倍增器，相当于SOC的“0”（十倍）、“00”（百倍）、“000”（千倍），那么数据和流程驱动就是SOC的那个“1”。没有好的数据和流程驱动的SOC是无法被AI赋能的。

第三，自动化优先作为SOC4.0的关键特点和设计理想之一，体现了对安全运营过程中人与机械之间合作关系的沉新适配。在SOC4.0时期，安全运营的组织、流程将进行全面刷新，成立起以自动化为优先的组织结构和运营流程，依附自动化安全运营平台，沉新调配人员配置、岗位职责、工作流程和规程，让人的价值在相宜的处所得到真正阐扬。

第四，实战化作为SOC4.0的另一个关键特点和设计理想，体现了以报答本、面向合作、价值交付的平台使用模式。在SOC4.0时期，要为安全运营组织的每个角色提供相适应的无摩擦用户履历，提升团队内部和跨团队之间的合作性，提升安全运营平台自身的数字化水平，并成立SOC有效性验证和价值评估系统。

5.1 AI赋能：以Agentic AI为基础，用复合式AI赋能SOC4.0

AI是SOC4.0的主题特点。只管SOC早就利用了AI，但直到以LLM为代表的GenAI的出现，以及GenAI演进而来的Agentic AI在SOC领域的利用，才使得SOC真正进入了全面AI时期。如前所述，这是由GenAI和Agentic AI超过以往AI所具备的普适性、普惠性、自主性、合作性，以及知识急剧激活等个性所决定的。

进一步地，Agentic AI是AI赋能SOC4.0的标志性特点，基于GenAI的Agentic AI技术出格合用于安全运营的工作过程。Agentic AI将LLM的思虑力和智能体（AI Agent）的行动力结合起来，借助知识检索和工具挪用，一方面能够自动获取安全分析所需的情境（高低文）数据，基于更多的有关性数据进行思虑、理解和内容天生，做出更全面的研判和调查
；另一方面能够编排各类安全节造指令，调整安全防御系统的工作姿势，做出更适当的响应。而借助多智能体（也叫集群智能体）技术，可能将整个思虑和行动的过程分化到分歧的智能体上，让每个细化的指标执行过程越发专业精准，最终更好的实现整体指标。Gartner预测，到2028年，用于威胁检测和事务响应的多智能体占AI部署的?例将从5%升?70%。

同时，GenAI和Agentic AI不是对传统AI的代替，在针对好多专门的运营问题时，传统AI依然有效，并且阐发得越发高效。SOC4.0从实战启程，使用更宽泛意思的复合式AI技术去赋能SOC，凭据分歧的利用场景，选取最相宜的AI去解决问题。

在SOC4.0时期，AI将渗入到安全运营的方方面面和运营过程的各个环节，蕴含让数据驱动和流程驱动越发高效，让自动化越发智能，让平台越发实战化，全方位提升运营效力。

必须谨记，GenAI自身还有好多问题亟待解决，譬如安全性、正确性、可诠释性、可信度、数据安全与隐衷问题，等等。在利用AI赋能SOC的时辰，必须通过多种伎俩对AI加以约束，尽可能降低风险。必要的时辰，应采购额表的专业AI安全防护系统。

最后，AI赋能不蹬宗AI全能。正如Gartner所言，AI取代SOC中的人类职责是虚幻的。

5.2  数据驱动：用基于安全数据编织的数据架构驱动SOC4.0

数据驱动是SOC的技术性质之一，体现了“数据驱动安全”的思想。从技术层面看，安全运营的性质就是将海量的、分散的多元异构安全数据造成安全洞察、形成决策，并付诸行动的过程。

从SOC3.0起头，安全运营平台的数据技术架构已经齐全基于大数据技术，但随着安全建设的不休深刻，尤其是数据驱动的GenAI的引入，现有的安全数据技术架构再次遇到瓶颈，数据驱动在造成垃圾驱动。典型的问题譬如：（1）大数据越来越分散，数据集中的价值越来越高，这不仅体此刻边缘检测的鼓起导致的数据引力问题，也体此刻安全运营所需的大数据集中日益分散（譬如好多企业的日志数据中心、资产数据中心、露出面数据中心、谍报数据中心都是分散建设的），还有的单元存在多套分歧的安全治理平台、安全运营平台、态势感知平台的问题。传统的大数据技术，以及所谓的“安全数据中台”设计思路遭逢挑战。（2）新的数据不休涌现，分歧数据间的关系日趋复杂，现罕见据架构存在缺点，导致情境数据难以有效利用，故障了安全数据的价值开释。（3）日益复杂的安全数据自身安全与隐衷问题对现罕见据架构提出了各类挑战。（4）更沉要的在于，AI赋能是成立在数据基础之上的，若是没有尺度化、逻辑统一和高质量的安全数据，AI利用的了局也只能还是“垃圾进，垃圾出”，而现有的数据架构已经很难再有所作为。因而，必须用新的数据架构去驱动SOC4.0！

幸运的是，在数据治理与分析领域，已经提出了新的能够应对上述挑战的新型数据架构设计理想和框架，即数据编织（Data Fabric）。

数据编织作为新型跨分歧起源和地位的数据集成与治理的设计范式，旨在成立一套按需编排的数据管路和可扩大的自动化数据服务框架，衔接各类数据治理技术和流程，简化数据集成过程，实现无缝的数据治理、接见与分发。

对于SOC4.0而言，安全数据编织就是对安全运营中的所有安全身分信息选取数据编织的思想，以元数据为基础，统一数据模型和数据治理，编排数据管路，构建逻辑上统一的数据层，并持续监控数据质量。若是传统的安全运营平台数据架构是构建一个传统沉量级数据中台的话，那么基于安全数据编织的安全运营平台数据架构则旨在成立一个轻量级的数据中台。

与此同时，在数据治理与分析领域，数据架构的工程化实际越来越成熟，现代数据栈（MDS）的鼓起，为安全运营平台的数据架构设计提供了一套可供参考的最佳实际。

SOC4.0必须基于安全数据编织的思想，选取现代数据栈的最佳实际，摒弃旧的大数据架构，构建新一代安全数据架构。新一代安全数据架构应蕴含数据治理、数据编排、数据集成、数据存算、数据分析、数据出现、数据分发7个构件
；谛乱淮踩菁芄，实现按需集成数据，简化数据治理，开释数据价值，为安全运营平台的AI化和自动化提供坚实的数据底座，以实现高效的数据驱动的安全运营。

5.3  流程驱动：用基于安全编排的流程架构驱动SOC4.0

流程驱动是SOC的技术性质之一，真正关环的安全运营过程是数据驱动和流程驱动叠加的了局。譬如，通过数据驱动的分析识此外安全事务必要触发响应流程，进而通过响应流程实现事务的措置关环。釉飑如，数据驱动的资产和缝隙分析注定要触发资产和缝隙措置流程
；褂惺背，也存在流程驱动触发数据驱动的过程，譬如通过预警传递接管流程接管到来自表部的预警传递信息后，导入平台进行数据驱动的分析的过程。

持久以来，人们都忽略了流程驱动的沉要性，将流程独立于平台之表，仅存在于安全运营人员的心中，或者仅仅进行单一的设计，导致大部门安全运营平台更偏差于一个分析平台，而不是响应措置平台，安全运营的大量流程没有着落。

一个齐全的安全运营平台必须是数据与流程双轮驱动的。数据是安全运营的源泉和动力，在数据的驱动下，源源不休地发现问题、分析问题、解决问题、总结问题。流程是安全运营的凭据和伎俩，是安全运营持续运行的纽带，通过平台衔接人、运营工具、网络安全防御设施，实现协同防御、联防联控。数据和流程别离驱着动安全运营的两种状态：数据驱动的分析态和流程驱动的运行态。只罕见据驱动没有流程驱动的安全运营平台只能叫做安全分析平台，而只有流程驱动没罕见据驱动的安全运营平台只能叫做安全运营工作解决平台（安全OA）。

SOC4.0强调要将数据驱动和流程驱动放到一致的职位，统一进行设计。从流程驱动的角度而言，SOC4.0必须以工作流引擎为底座，构建基于安全编排的新一代运营流程架构。

安全编排（Security Orchestration）概想并不新鲜，SOC3.0中就存在，它是安全编排响应与自动化（SOAR）系统的一项关键技术。安全编排是将企业和组织在安全运营过程中涉及的分歧系统或者一个系统内部门歧组件的安全职能封装后形成的安全能力和人为查抄点依照肯定的逻辑关系组合到一路，以实现某个特定的安全运营过程和规程。安全编排是将安全运营有关的工具/技术、流程和人员等各类能力整合到一路的一种协同工作方式。

在实现安全编排方面，传统的SOAR存在显著的缺点。一方面，SOAR对于机械到机械的合作流程编排有效，但对人到人的合作流程编排却难以支持。另一方面，SOAR的安全编排都是静态的、固定式编排，一旦流程产生变动，就必须由安全运营人员手工更新，守护成本很高。

因而，SOC4.0的新一代流程架构必须选取Agentic AI赋能的智能化双流程编排引擎架构模式。其中一个引擎面向机械到机械的合作流程编排，阐发大局为剧本。该引擎以剧本高快运行为设计指标，满足必要机械快率进行响应措置的利用场景需要。另一个引擎面向人到人的合作流程编排，阐发大局为服务流程。该引擎支持复杂的流程流转，满足各类安全运营类办公场景的需要。同时，剧本和服务流程能够相互引用，实现跨人机处置的复杂利用场景。进一步地，在双引擎基础之上，引入Agentic AI技术，用基于GenAI的智能体进一步提升流程运行的智能化水平，将静态、固定式的流程造成动态、自适应的流程，将与机械（各类设备和系统）的API接口MCP化，实现智能自适应合作。

必须谨记的是，机械式安全编排和智能化安全编排各有曲直势，不应单方面钻营智能化流程，应该分场所使用，阐扬出各自的优势。譬如，剧本拥有很强的一致性，且执行快率快，可用于确定的流程场景。而智能体适合没有流程或者现有流程出缺点的场景，能够智能地进行规划，耗费相对较长的反复思虑功夫，自适应地实现预约工作。当某个智能体顺利实现工作后，经用户确认，应将工作流程进行适当的固化，造成某种“剧本”，以便后续能够越发一致高快地运行。此表，当前的工程实际中，Agentic AI也不是纯靠GenAI思虑的，也必要某种“静态工作流”的辅助。

5.4  自动化优先的SOC4.0

自动化优先是SOC4.0的关键特点之一。Gartner预测，到2027年，由于自动化水平的提高和超大规模扩大战术，25%的常见SOC工作的成本效能将提高50%。

若是把自动化看作一项技术，那么自动化优先就代表一种SOC的设计理想。

从技术角度看，自动化必须深度嵌入安全运营平台的数据架构和流程架构之中。数据编织架构是原生自动化的，从数据自动化采集，到基于规定或者基于模型的自动化数据分析，再到各类安全报表汇报的自动定期天生和分发。面向流程的编排引擎也是原生自动化的，不论是剧本编排还是服务流程的编排，流程节点都是基于规定自动跳转。

从设计理想角度看，自动化优先体现了对安全运营过程中人与机械之间合作关系的沉新适配，从而使得SOC4.0与其它SOC显著分歧。

在SOC4.0之前，安全运营组织和流程根基都是成立人为处置的基础之上的。譬如好多企业和组织成立了监测、研庞注措置团队，或者L1、L2、L3三线团队，通过有组织的分工合作，实现对安全告警和事务的关环响应。这些组织根基上选取金字塔机构，掌管监测或者L1团队人员最多，往上逐步削减，批注监测告警的工作量最大。随着安全运营平台的不休升级迭代，自动化水平不休提升，各级团队越来越多依赖自动化来提升自身的工作效能，但整个团队设置和流程设计根基上没有变动。随着自动化运营的成熟和智能化运营的引入，现有的组织和流程故障了运营效力的提升。

在SOC4.0时期，安全运营的组织、流程将进行全面刷新，成立起以自动化为优先的组织结构和运营流程，依附自动化安全运营平台，沉新调配人员配置、岗位职责、工作流程和规程，让人的价值在相宜的处所得到真正阐扬。譬如，L1团队人员将大幅削减甚至取缔，分流到其它团队，告警的分类分级和安全事务的天生工作已经尽可能地交给安全运营平台智能自动的执行。L2团队的工作起点不是对事务进行规程化的调查，而是基于安全运营平台自动化事务调查的了局进行研判。措置团队则更多的是与有关安全事务的责任部门、IT部门进行沟通协商，确定措置规划，真正的措置指令执行交由安全运营平台自动执行。而后，各个环节节约下来的假造投入到安全运营有效性验证、价值评估、常态化攻防匹敌演练、渗入测试等其它更沉要且不足人手的工作中去。

自动化优先的流程设计要求尽可能地将机械与机械之间多步交互造成齐全自动化的，同时尽可能地削减人与机械、人与人之间的交互步骤，充分阐扬自动化的能力，简化流程。

自动化优先的安全运营组织和流程设计的指标是美满组织结构、简化运营流程、提升运营效能，但并不料味着削减人员。SOC4.0系统之下，还有好多安全运营工作尚待发展，亟需大量人员投入，譬如安全内容开发运营、威胁猎捕、有效性验证、匹敌演练，等等。

对于安全运营平台而言，自动化优先意味着必要平台提供有力的支持，沉点是要提供一个可矫捷定造的、基于编排的流程架构驱动的安全合作中心。

最后，自动化优先不蹬宗自动化所有，自动化只是伎俩不是指标，安全运营最终还是面向人的。正如Gartner所言，始终不会有齐全自动化的SOC，与钻营端到端自动化相比，聚焦于关键工作和工作流程的自动化越发有效。

5.5  实战化的SOC4.0

实战化作为SOC4.0的另一个关键特点，体现了以报答本、面向合作、价值交付的平台使用模式，性质上就是要让安全运营平台单一、好用。SOC4.0要从多个方面动手，不休提升平台的实战化水平，加强安全运营人员和各级治理者的获得感。

SOC4.0要为安全运营组织的每个角色提供相适应的UI和简洁的用户履历，让他们无摩擦地使用平台。

SOC4.0要加强流程架构驱动的安全合作中心的职能设计，让安全运营流程可能真正落到平台上，同时要支持多样化的协同工作模式，便于运营人员之间、跨安全和业务团队之间互换分享，便于各类安全工具、设备和系统之间协同工作。

SOC4.0要加强平台自身数字化的职能设计，实现安全运营的数字化，对数据处置、流程运行和人员工作等过程进行全程纪录，对安全运营平台中的数据、安全内容、流程进行有效性验证和价值评估，对安全运营人员执行绩效查核。

SOC4.0还必要思考若何让平台的使用者便捷地、与时俱进地扩大SOC平台的业务能力。

回首从前，安全运营平台从面向资产的SOC1.0到面向业务的SOC2.0，再到数据驱动的SOC3.0的叠加演进过程，也是中国网络安全产业从合规导向回归到匹敌性质的叠加演进过程。数据驱动SOC已经成为共识，安全运营平台在技术上实现了巨猛进取。大数据技术、威胁谍报、AI、SOAR等技术的利用，让安全运营平台处置和分析数据的规模越来越大，安全运营过程也越来越自动、智能和自动。

审视当下，安全运营平台依然面对诸多挑战，蕴含：实战化水平不够、大数据导致数据过载和工作委顿、平台的智能化和自动化水平亟待提升、安全运营价值难以体现、定造扩大能力幽微，等等。SOC3.0的数据架构、流程架构、智能化水平和自动化水平已经无法驱动安全运营进一步提升。

近两年，天生式AI为SOC的刷新带来沉大机缘。以LLM为主题的GenAI和Agentic AI在传统AI的基础之上，凭借普适化、普惠化、合作化、自主化和知识价值急剧开释等个性，使安全运营效力获得了极大提升，AI赋能的SOC4.0应运而生。

SOC4.0是一个AI赋能的、数据与流程双轮驱动的、自动化优先的实战化安全运营平台。同时，无论若何演变，SOC始终遵循风险治理思想，以实现网络弹性、保险业务安稳运行为指标。

SOC4.0选取以Agentic AI为主题的复合式AI赋能安全运营，选取基于安全数据编织的新一代数据架构和基于安全编排的新一代流程架构的双轮模式驱动安全运营，选取自动化优先和面向实战的设计理想。

瞻望将来，随着AI的能力越来越壮大，AI利用门槛将不休降低，AI利用方式将越来越便捷，SOC4.0的智能化水平将不休提升。安全运营将始终以报答本，以数据和流程为底座，AI始终不能取代人，而是加强人、赋能数据和流程。

将来已来！此刻起头，迈入AI赋能的SOC4.0（Agentic SecOps Platform）时期！