上次审核日期为 2026 年 11 月 4 日，依据本文链接的来源。
凌晨2点10分，SIEM系统显示有来自新国家的登录记录，随后触发了一条邮箱规则，将发票转发到公司外部。值班分析师拥有相应的工具来查看这些信息。接下来一个小时的成败取决于他们是否熟悉应对策略：需要通知谁、需要控制哪些环节以及需要保留哪些数据。这正是安全事件响应培训的职责所在。而且，一旦出错，代价极其高昂：IBM发布的《2026年数据泄露成本报告》指出…… 全球数据泄露的平均成本为4.99万美元。创历史新高。
认证课程教授相关工具。此列表涵盖警报流程和策略。您将获得 3 个组中的 9 门现成课程，分别介绍每门课程解决的问题以及如何部署。每组课程都以……结尾。 我们的选择这两个法律要点描述的是美国联邦法规，因此请将其作为概要，而不是判决。
全部9门课程概览
| 课程 | 它涵盖的内容 | 长度 | 背后的法律依据是什么？ |
|---|---|---|---|
| IT 安全从业人员技能 | 分诊、SIEM 和 XDR 工作流程、加固和考试练习 | 45分钟 | 没有 |
| 网络事件响应和违规报告 | 前十分钟，汇报工作和桌面演练。 | 35分钟 | 没有 |
| ISO/IEC 27001 和信息安全管理体系 | 政策与实践、例外情况以及与审计员的沟通 | 40分钟 | 没有 |
| 内部威胁意识 | 风险指标、招聘方法和报告 | 30分钟 | 是的（持有美国安全许可的承包商） |
| 网络钓鱼和社会工程 | 危险信号、核实和报告 | 30分钟 | 没有 |
| 社会工程、欺诈和深度伪造 | 电话诈骗、支付诈骗和身份冒用诈骗 | 35分钟 | 没有 |
| 安全意识要点 | 攻击的各个阶段和核心习惯 | 35分钟 | 是的（美国涵盖的金融机构） |
| 密码、通行密钥和多因素身份验证 | 安全登录、多因素身份验证 (MFA)、密码密钥和虚假登录页面 | 30分钟 | 没有 |
| 人人享有人工智能安全 | 影子人工智能、提示注入和操纵输出 | 30分钟 | 没有 |
两项课程依据美国联邦法规制定，且仅适用于部分机构。根据《国家工业安全计划运营手册》(NISPOM) 的规定，获得安全许可的国防承包商必须为新近获得安全许可的员工提供此类课程。 在授予访问机密信息的权限之前，进行内部威胁意识培训。 并验证初始和年度完成情况。联邦贸易委员会保障规则规定，受监管的金融机构必须提供 对其员工进行安全意识培训两者都不会为其他人设定方向。
安全运营和事件响应
IT 安全从业人员技能：认证准备和安全运营
这门45分钟的课程以“无人处理的警报”开篇，随后涵盖威胁和攻击阶段、身份、访问和证书管理、SIEM和XDR工作流程中的检测和响应、云安全加固和DevSecOps，以及包含事件报告的考试练习。它能帮助新晋分析师熟悉日常工作和常用认证的术语。“分级处理”场景（学员需评估严重程度并选择下一步操作）非常适合作为选择题环节。
面向非专业人士的网络安全事件响应和违规报告
分析师遵循这套流程，并将其传授给其他人。这门35分钟的课程涵盖了前十分钟的流程，包括需要识别的迹象和报告方式、响应团队的下一步行动以及人们在压力下保持沉默的原因。课程最后以桌面演练的形式，让每位学员体验各自的角色。您可以针对那些延迟报告给安全运营中心 (SOC) 造成最大时间损失的业务部门进行演练，并利用演练结果确定由谁负责联系谁。
ISO/IEC 27001 和信息安全管理体系
这门40分钟的课程解释了什么是信息安全管理体系（ISMS），政策如何转化为实践，如何处理例外情况和薄弱环节，以及如何与审计人员沟通。了解控制措施的分析师可以将警报与其测试的控制措施关联起来，并保留审计人员可能要求的记录。“突击审计问题”是一个很好的开放式幻灯片开场白：询问团队成员他们会提供哪些证据。
我们的推荐：IT安全从业人员技能。 这是这里唯一一门专为分析师岗位设计的课程，分诊课程将一堆警报转化为与负责人一起进行的例行工作。
内部威胁和社会工程
内部威胁意识
内部威胁指标是安全运营中心 (SOC) 监控的信号之一，分析师需要了解行为信号与技术信号的区别。这门 30 分钟的课程涵盖了检测的重要性、行为、技术和财务指标、攻击者如何招募可信的内部人员、应该做什么和不应该做什么，以及应该向哪里报告。课程最后设有 10 道题的最终测试，80% 的正确率即可通过。“同事深夜复制文件夹”的情景是一个很好的选择题。
网络钓鱼和社会工程
网络钓鱼报告堆积如山，安全运营中心 (SOC) 的队列中充斥着大量此类报告，分析师需要对这些报告进行分类，并培训用户如何发送更有效的报告。这门 30 分钟的课程讲解了攻击的构建方式、识别危险信号、如何保护自己以及如何应对和报告。课程最后设有 12 道题的最终测试，答对 80% 即可通过。其中一轮“识别危险信号”环节采用选择题的形式。如需了解更多攻击类型，请参阅我们的指南。 社会工程学示例.
社会工程、欺诈和深度伪造：电话诈骗、支付诈骗和身份冒用诈骗
支付欺诈和伪造语音事件现在会以事件报告的形式提交给安全运营中心 (SOC)。这门 35 分钟的课程会在收到令人信服的请求后进行，内容涵盖各种欺诈手法、如何验证支付变更、伪造语音和视频，以及为什么资历、礼貌和保密反而会成为一种压力，而不是证据。课程中会生成一个关于“为什么有人会跳过支票？”的词云图，展示需要应对哪些压力。服务台也会接到同样的求助电话：请参阅 我们的IT服务台培训清单.
我们的推荐：内部威胁意识。 这是唯一一种始于外围的威胁，因此了解人员指标的分析人员能够发现仅凭日志无法发现的问题。
账户和人工智能安全
安全意识要点
这门35分钟的课程为分析师在整个业务中强化以下基本知识奠定了基础：人们为何成为攻击目标、攻击的构成、危险信号、如何保护自己以及如何应对和报告。课程最后设有12道题的最终考核，80%的正确率即可通过。对于受监管的金融机构而言，这门课程符合上述FTC保障规则。分析师可以共同主持课程，并将来自您队列的真实匿名警报添加到直播演示文稿中。
员工密码、通行密钥和多因素身份验证
安全运营中心 (SOC) 调查的警报中，账户泄露是一个常见原因。这门 30 分钟的课程涵盖了账户为何成为攻击目标、强而独特的登录方式、多因素身份验证和密码、虚假登录页面以及共享、快捷方式和恢复等方面的灰色地带。课程最后会提供一个“您有多大把握能识别虚假登录页面？”的评分量表，帮助您评估前后对比。
人人享有人工智能安全：影子人工智能、提示注入和操纵输出
提示注入和未经授权的人工智能工具是新增的警报类别。这门30分钟的课程涵盖了影子人工智能和被入侵的聊天机器人、提示注入和恶意内容、PDF和电子邮件中的隐藏指令、免费人工智能扩展程序和未知代码包，以及如何报告事件或申请已获批准的工具。分析人员需要这门课程来识别用户报告聊天机器人“行为异常”时的模式。
我们的推荐：人人都能享受的AI安全保障。 即时注入是一种比较新的技术，很多操作手册还没有涵盖它，因此本课程为安全运营中心 (SOC) 和业务部门提供了相同的术语来描述这种新型事件。
如何实施该计划
按出错时成本高低排序。平均违规成本为 4.99百万美元 IBM 的 2026 年报告首先关注那些能够缩短从发出警报到遏制疫情所需时间的课程。
- 新分析师入职第一个月： IT 安全从业人员技能、事件响应和违规报告以及 ISO 27001。
- 第一季度内： 内部威胁意识、网络钓鱼、欺诈和深度伪造，以便分析师能够对这些课程产生的报告进行分类。
- 每年： 每门课程都会进行复习测验，此外，每当推出新的 AI 工具时，还会开设 AI 安全课程。
- 适用情况： 如果您是获得安全许可的美国国防承包商，请在接触机密信息之前以及之后每年进行内部威胁培训；如果您是受监管的金融机构，请按照联邦贸易委员会保障规则的要求，定期进行安全意识培训。请咨询您的律师，了解您所在国家或州还有哪些其他适用规定。
开展这些课程的方法 AhaSlides
你可以利用以下任何一项功能，将这些内容构建成自定进度的课程： AhaSlides 课程创建者可以将其作为实时问答环节进行讲解，或者两者兼而有之，并在课程结束后进行调查，并在 30 天后进行回访，以了解发生了哪些变化。
- 选择答案： 显示警报和四个可能的后续步骤，或者询问哪个信号指向内部人员。
- 词云： 问问自己“是什么拖慢了我们前十分钟的节奏？” 最关键的几个字揭示了战术手册中需要改进的地方。
- 评级量表： 在执行勒索软件隔离步骤之前和之后，询问“您有多大信心单独执行勒索软件隔离步骤？”，答案从 1 到 5。
- 开放式： 在实时会话结束时收集匿名险些发生的事故和误报。
常见问题解答
安全运营中心（SOC）分析师需要接受哪些培训？
安全运营中心 (SOC) 分析师需要掌握安全信息和事件管理 (SIEM) 及检测技能、事件响应流程和安全基础知识。上述课程涵盖流程和策略方面；厂商和认证课程则涵盖工具方面。
哪些认证对安全运营中心（SOC）分析师有帮助？
常见的认证包括 CompTIA Security+ 和 CySA+，以及厂商和 SANS 认证。上文提到的实践技能课程可以帮助分析师做好准备，但它本身并非认证。
安全运营中心（SOC）分析师如何在工作中学习？
主要通过观摩学习、剧本练习和桌面演练，而非仅仅依赖课堂课程。桌面演练前的短期课程能确保所有人的起点相同。
什么是内部威胁？
内部威胁是指员工或承包商故意或无意滥用其访问权限所带来的风险。它也包括被诱骗帮助他人的不知情内部人员。
本文仅提供一般信息，不构成法律建议。如需就您所在工作场所的相关事宜做出决定，请咨询合格律师或监管机构。
