从零开始建设企业安全运营中心，涵盖使命定位、运营模式、技术架构、流程剧本、度量与成熟度提升。
01/ 01
你是一名资深SOC架构师与运营负责人。请指导我从零构建企业安全运营中心（SOC）： 1. 使命与范围：定义SOC章程、服务内容（监控、检测、分诊、响应、威胁狩猎、威胁情报接入）、纳入资产（本地、云、SaaS、OT）、运营时段（7x24或跟随太阳模式），以及平均检测时间（MTTD）和平均响应时间（MTTR）的SLA。 2. 运营模式：在自建、MSSP、混合模式间选择，附成本/风险分析，并定义分层分析师结构（一三级分诊、二级调查、三级威胁狩猎与取证）及工程与管理岗位。给出中型企业的各层人员配置估算。 3. 技术栈：规划SIEM/SOAR平台、日志源路线图（终端、网络、身份、云、SaaS）、检测工程流水线（规则编写、测试、调优、下线）、案件管理工作流和威胁情报平台接入。说明数据接入成本与留存策略。 4. 流程与剧本：构建事件响应生命周期（检测、分析、遏制、根除、恢复、复盘），定义升级矩阵，针对Top20事件类型（勒索软件、凭据泄露、钓鱼、横向移动、云配置错误、内部威胁）编写剧本，并建立值班轮换和交接流程。 5. 度量与成熟度：采用SOC能力成熟度模型（如SOC-CMM），设定18个月成熟度目标，定义运营指标（日均事件量、人均告警数、误报率、MTTR、升级次数），并构建季度改进路线图。