零时差防御：应对实时漏洞利用

NOC团队始终处于零时差响应状态，威胁与响应的常规流程在此融为一体。

“研究人员会在舞台上披露全新的、前所未见的技术，“Reverri表示，“我们在网络上监控数据、保护基础设施时，会立即发现有人开始尝试这类活动。”

这种动态环境带来了前所未有的挑战。在黑帽大会伦敦站，一位安全研究员在会议开始前披露了SSH漏洞。NOC团队必须快速开发并部署针对不存在于任何特征库中的威胁的检测方案。响应需要Palo Alto Networks研究人员、Unit 42威胁情报团队与合作伙伴Corelight立即协作，为Cortex XSIAM®创建定制检测规则。

为可控混乱设计的架构

黑帽大会的网络架构反映了独特需求：参会者都是经常利用系统漏洞的安全专业人士，他们在工作中实时学习新技术。

“培训课程中有各个级别的学员，从基础到高级。将所有这些人聚集在一起，网络不能完全开放，“Holland强调，“你需要可见性，需要控制能力来管理这种局面。”

基础设施核心是高度分段的网络，通过部署在高可用对中的Palo Alto Networks PA-5430防火墙提供可见性和控制。网络分段防止培训课程相互干扰，同时为所有参会者保持互联网访问。防火墙在上下文安全模型中运行：检测并记录恶意活动，但仅根据流量的来源、目的地和意图进行阻断。

“如果攻击来自培训课程，目标是良性目的地或培训课程的一部分，我们不会阻断，“Holland解释这种细致入微的方法，“但如果来自互联网其他地方的攻击针对注册服务器，我们肯定会立即阻断，并将IP加入阻止列表。”

管理近10亿威胁事件

会议每年产生近10亿威胁事件，活动模式与会议日程同步。培训日产生的恶意流量最多，因为学员在练习新学技术。NOC团队提出了"黑帽阳性"概念：这些在正常情况下被视为合法攻击并触发安全控制，但在培训环境中属于预期行为。

“这是真实攻击，不是误报，因为CDSS特征库已识别出SQL注入，“Reverri解释，“但只要不是针对真实网站，这就是我们预期会看到的情况。”

除了管理故意攻击，团队还会遇到意外安全问题。他们经常发现参会者通过设计不良的应用程序无意中传输敏感数据，包括个人财务信息、电子邮件凭据和位置数据。团队制定了谨慎通知受影响个人的协议，将安全事件转化为教育机会。

AI驱动自动化改变运营模式

Cortex XSIAM®通过智能自动化从根本上改变了NOC运营。该平台在分析师审查之前，自动从多个来源（包括Unit 42、Cisco Talos和Corelight）丰富安全事件的威胁情报。这种自动化消除了之前消耗分析师时间的手动研究。

团队的晨间操作检查清单体现了实用自动化。此前，技术人员需要手动验证防火墙状态、注册系统可用性和夜间事件日志。现在，自动化流程手册在早上6点生成全面的状态报告，直接发送到团队通信渠道。Holland强调了运营影响：

“我们希望在任何参会者或会议相关人员向NOC投诉之前，就知道问题所在。”

高级自动化包括动态防火墙规则部署。当平台检测到来自外部源对受保护基础设施的攻击时，无需人工干预即可自动实施IP阻止。系统的上下文感知能力确保不会阻止合法的培训活动，同时立即阻止外部威胁。

高风险环境中的多厂商集成

黑帽大会NOC作为多厂商安全集成的真实实验室运作。包括Arista、Cisco、Corelight和Lumen在内的合作伙伴组织，尽管在会议外存在竞争关系，但在会议期间紧密合作。这种合作反映了企业现实：组织很少部署单厂商安全堆栈。

Reverri解释了合作精神：

“我们在外面的任何竞争都留在外面。在这里，我们是朋友，是合作伙伴。来自Cisco的团队负责人是我的好朋友，我们合作非常默契。”

合作伙伴关系超越运营合作，延伸到联合产品开发。团队利用会议环境构建和测试集成，使部署多厂商解决方案的客户受益。

“我们在今年的活动中改进了集成，“Holland指出，“它得到了增强，现在比以前工作得更好，每个人都将从中受益。”

危机响应与快速适应

NOC团队在面对意外挑战时展现了卓越的适应能力。在一次会议期间，天气延误导致搭载关键服务器基础设施的飞机停飞。团队在几小时内转向云部署，建立了保持完整会议功能的混合基础设施。

“我们迅速调整方向。服务器不在这里，我们需要找个地方托管服务器，“Holland谈到该事件时说，“我们在云中有虚拟防火墙，可以建立安全VPN来允许流量在环境间流动。”

解决方案包括用于注册扫描的本地iPad、基于云的处理服务器，以及连接环境的安全VPN连接。尽管面临基础设施危机，注册仍无缝进行，展示了经验丰富的团队配合灵活安全平台的价值。

企业安全团队的经验教训

黑帽大会NOC为企业安全领导者提供了三个关键经验。首先，通过战略性防火墙部署实现的网络可见性，在实施限制性策略之前就能提供即时价值。

“高度分段网络提供的可见性非常宝贵，“Holland强调，“只需在网络中正确位置部署下一代防火墙，即使规则库相对宽松，获得的可见性也能让你更深入了解网络状况。”

其次，随着攻击量和复杂性的增加，自动化变得至关重要。面对AI增强的对手和海量警报，安全运营无法再依赖人工规模。成功的自动化需要高质量数据源和智能丰富功能，使分析师能够专注于真实威胁。

第三，安全工具必须集成到分析师现有工作流程中，而不是要求单独的界面。NOC的聊天机器人集成允许团队成员直接从通信工具查询安全平台，在工作原地满足分析师需求，减少安全运营中的摩擦。

扩展AI驱动的安全运营

黑帽大会NOC展示了AI驱动的安全运营平台如何处理极端威胁量，同时使人类分析师能够专注于关键决策。希望实施类似自动化威胁检测和响应能力的组织，可以探索Cortex XSIAM的统一安全运营平台和编排能力如何在高风险环境中转变安全团队效能。