“你不需要一个SOC，也能装得像个有SOC的样子。”

这句话彻底改变了我对初创企业安全运营的思考方式。大多数50人以下的初创企业都默认自己买不起威胁检测基础设施。Splunk、CrowdStrike、Palo Alto——光列出这些名字，预算表就像一部恐怖片。

打开网易新闻 查看精彩图片

但在几乎零预算的条件下搭建一整套检测能力，我摸索出一个核心结论：自动化能帮你解决80%的问题。剩下20%是分类分级、上下文判断和人的直觉。而前面那80%，用开源工具加一点云资源额度就能买下来。

安全运营中心只做一件事：快速检测威胁、智能分类、有效响应。在企业级环境里，这靠SIEM、EDR和一整排盯着仪表盘的分析师来完成。初创企业呢？运气好的话，你可能有一个安全岗。这个人大概率还要同时做合规、做应用安全、做半个工程团队的代码审查。答案不是招人，是自动化。

第一步：先把日志集中起来。看不到的东西当然检测不了。第一笔投入永远是日志聚合。对大多数初创企业而言，就是CloudTrail记录AWS活动、VPC流日志、应用日志、认证日志。根本不需要Splunk——ELK Stack在普通硬件上每天处理数百万条事件，Elastic Cloud对小规模负载还有相当慷慨的免费额度。目标是：事件发生60秒内，所有日志出现在同一个地方。

第二步：用Sigma规则做大规模检测。日志堆在Elasticsearch里并不会自己检测什么。需要一个检测逻辑层。Sigma的出现彻底改变了规则写一次、到处部署的局面。你不用去学某家SIEM的查询语言，写一条规则就能在不同平台运行。规则标题写着“来自新地域的可疑AWS API调用”，状态标记为实验性，描述是检测用户此前从未使用过的地理区域发出的AWS API调用，严重级别为高，日志源指向AWS CloudTrail。检测逻辑很简单：筛选ConsoleLogin或GetSessionToken这类事件名，同时响应元素显示登录成功，满足条件即触发。Sigma的GitHub仓库里已经有上千条社区编写的规则，覆盖MITRE ATT&CK的各个战术环节。优先级排序要盯紧初始访问、凭证窃取和数据外泄。

第三步：让告警分类不再靠人。绝大多数初创企业走到这一步就放弃了。检测搭好了，第一批告警冒出来47条，然后安全人员的一整个周二都耗在低严重度的噪音里逐条排查。答案不是减少告警，是让分类更聪明。把告警分成四级：严重级意味着活动泄露的明确指标，需要立刻通知到人；高危级是可疑行为，存在初始访问的可能，一小时内完成分类；中等级是异常但可解释，24小时内处理；低等级属于策略违规，每周批量审查一次。严重和高危告警走Slack Webhook推到一个专用安全告警频道里。中低等级的任务？每星期一花一小时就够了。