☑ 远程24/7监控安全事件和安全相关数据源；

☑ IT安全技术的管理和执行；

☑通过远程安全运营中心（SOC）的共享服务提供安全运营功能，而不是通过现场人员或一对一交付给单个客户的远程服务

        AT＆T是一家全球电信和IT服务提供商，为大型企业、中型企业和政府提供一系列安全设备管理、安全监控以及响应服务。AT＆T总部位于美国（达拉斯），在英国（伦敦）和香港设有地区办事处。它提供来自三个24/7 SOC（一个欧洲，一个亚洲/太平洋和一个美国）的安全托管服务，以及四个（亚太地区两个，北美两个）在当地支持全天候营业时间、以“follow the sun”模式运行的SOC。SOC使用英语，并提供其他语言的翻译服务。

       AT＆T可以被使用由单一供应商提供电信及安全服务的组织以及需要AlienVault USM平台支持并进行关联规则及定制的组织优先考虑。

        IBM总部位于纽约Armonk，是一家安全技术和服务提供商，通过全球24/7 SOC网络提供一系列安全托管和其他补充服务。IBM在美国（剑桥，马萨诸塞州和佐治亚州亚特兰大）以及世界各主要地区都设有区域MSS办事处。IBM拥有五个全球24/7 SOC，以X-Force作为指挥中心的品牌，还有四个非24/7 SOC。

        IBM的MSS产品专注于利用其QRadar SIEM平台进行安全事件监控，该平台可在整个客户群内提供统一监控。QRadar为客户提供的服务形式包括：多租户共享技术（默认）、内部前置部署、SaaS SIEM或混合部署。也可以根据需要支持其他SIEM平台（例如Splunk或ArcSight）。  

        IBM应该被列入大型企业的候选名单，这些企业需要具有全球足迹的SOC的全功能MSS，还可以根据需要支持各种本地语言。IBM现有服务客户也应将IBM MSS列入考虑名单。

        NTT Security是NTT Group的专业安全托管服务公司。NTT总部位于东京，地区总部设在北美、欧洲和亚太地区。NTT在亚太地区、欧洲和北美地区运营着10家SOC。2018年8月，NTT公司宣布新的控股公司结构，将NTT Communications、Dimension Data和NTT Security整合到2019年后的新的全球业务中。NTT DATA将继续作为与NTT合作的独立上市公司。

        NTT的运营模式利用集团公司为通过NTT Security集中提供安全托管服务的客户销售和管理关系。NTT MSS提供全部的威胁检测服务（威胁检测增强和企业安全监控），以及所有主要地区的技术管理和漏洞评估服务。NTT为客户提供单一服务管理界面、安全事件通信和案例管理。NTT提供事件响应服务，包括增强对威胁的响应，其中NTT Security执行防火墙管理以及客户使用托管EDR。除此以外，他们还提供事件响应保留器、事件响应计划和取证服务。

        Secureworks总部位于佐治亚州亚特兰大，在伦敦、悉尼、东京和苏格兰爱丁堡设有办事处。除技术管理、漏洞评估和管理、威胁情报、托管检测和响应、事件响应（通过保留器）和咨询服务外，它还提供一系列安全事件监视和响应服务。MSS由美国的三个24/7 SOC（亚特兰大、芝加哥和罗德岛普罗维登斯）、日本川崎的24/7 SOC、苏格兰爱丁堡的SOC和印度的海德拉巴的SOC提供支持。SOC由罗马尼亚的卓越中心提供支持。

        MSS交付通过Secureworks专有的反威胁平台（CTP）进行，该平台提供数据收集和管理、分析以及门户网站。Secureworks还具有基于营业场所的物理和虚拟设备，以支持日志收集/传输和网络安全监控。Secureworks Counter Threat Unit（CTU）威胁研究和开发团队提供威胁情报，以支持各种MSS产品以及独立的威胁情报服务。

        Secureworks应该列入中型企业的考虑范围，他们通过全球企业组织寻求建立MSS，采用一致的共享交付方法，并提供额外的补充安全操作功能作为服务的一部分。

        赛门铁克总部位于加利福尼亚州山景城，是一家安全技术公司，作为其网络安全服务业务的一部分，还提供各种安全事件的监控服务和补充服务。赛门铁克在全球设有区域和国家级办事处。它运营着一个全球性的SOC网络，提供全天候全球覆盖的服务范围。赛门铁克为其SOC运营方式提供全球标准化方法，包括流程和程序。赛门铁克的网络安全服务核心产品可解决安全事件监控和响应服务。他们还提供威胁情报、事件响应和保留服务。

        在过去的12个月中，除了交付平台迁移到AWS之外，赛门铁克推出了多项利用赛门铁克技术组合的服务，如EDR托管服务。它还改进了内部运营，以增强威胁检测的环境，例如：更好地将IP映射到主机并加速恶意软件分析和调查。

        对于需要在北美、EMEA和亚太地区提供区域支持的企业级买家，以及希望为其现有技术投资提供安全托管服务的现有赛门铁克技术客户，赛门铁克MSS应列入候选名单。

        MSS市场成熟，2018年的市场规模估计为107亿美元。市场正不断适应组织所面临的各种挑战，这些挑战促使组织专注并改进其威胁检测和响应功能。对于许多组织而言，使用MSSP可以实现该目标。

魔力象限反映了Gartner客户的要求以及全球MSS市场的发展，主要包括：

•   在历史性投资薄弱的情况下采用核心安全功能，例如漏洞管理、威胁情报和事件响应。

•   比起仅仅对本地进行监控的技术，越多越多的组织开始采用SaaS和IaaS，许多组织将针对OT和IoT的安全事件监控和响应服务包含在安全与影的职责范围内。

•   越来越多的MSSP细分主要集中在提供广泛的安全托管服务组合以满足大型企业，以及专注于核心安全运营活动的广泛需求这两点上。

•   门户网站是MSSP的主要接口，但交付模式包括其他渠道正在扩展，如移动设备。

•   包括对安全事件和问题的直接响应以及MSS提供商采用SOAR等在内，这些新技术有可能在未来改变MSSP提供服务的方式。

        还有其他相邻市场提供安全服务，以解决核心样例24/7威胁检测与响应。越来越多的MSSP通过提供以下服务来转向与这些市场的竞争以满足买方需求：

• 托管检测和响应服务

• 远程SIEM解决方案管理和共同管理

• 客户自有SOC

        与五年前相比，MSS现在看起来大有不同。大多数MSSP服务组合的核心是24/7安全事件监控和响应，尽管成熟度和复杂程度不尽相同。

        除了安全事件监视和响应功能之外，许多组织也认识到对良好安全环境或“安全基础”需求的重要性。对于许多组织而言，漏洞管理和威胁情报的使用等功能仍然具有挑战性。漏洞管理正朝着基于风险的方法发展，但很少有MSSP能够适应这种转变。

        曾经，安全监控服务的重点仅仅是是确保检测到威胁并提醒您。现在，对于许多组织来说，警告威胁已经不够了。一旦发现威胁，组织就会希望服务供应商承担更积极的角色。

        如果威胁并未被及时检测到且攻击速度足够快，则组织必须拥有一个事件响应保留器，它可以提供有针对性的事件响应服务以及在发生潜在重大事件时提供支持。买家越来越希望他们的MSS能够提供这些功能，并以此作为端点到端点服务交付模式的一部分。

        此外，MSSP的产品服务投资组合越来越广泛，因为他们寻找机会保持并扩大与买家之间的“粘性”。

        随着组织迁移到云，因为SaaS和IaaS的缘故，IT环境变得更加复杂。而因为其复杂性，这些云环境还会增加组织的攻击面。MSSP正被推动去解决针对这些环境的威胁，但供应商之间的差异仍然很大。

        工业控制系统（ICS）、监控和数据采集（SCADA）等运营技术正日益成为目标。这促使组织对其OT环境进行更多审查，并且促使安全运营团队将其覆盖范围扩展到OT环境，包括资产和漏洞可见性以及威胁检测和响应。IT与OT 非常不同，市场上的相关技术尚处于初期阶段。安全性、隐私性和弹性等其他风险也是一个问题。与云服务提供商类似的MSSP正在被买家和现有客户推动，以帮助解决这些风险。

        在过去的12个月中，提供移动应用程序的MSSP数量也有所增加（例如Atos、CenturyLink、IBM和Secureworks）。作为事件响应能力的一部分，可能参与随叫随到轮换的安全运营分析师将受益于在下班后提醒某些事情时的权宜之计。但移动应用程序尚未普及，而且体验差异很大，因此验证供应商的移动应用程序体验（如果重要）应将此列入考虑选择MSSP的要求之中。

        与MSSP接口的门户网站并没有消失，依然在使用中。接受此魔力象限调查的MSS买家表示，40％的人仍然每天使用MSSP门户，26％的人至少每周使用一次。考虑到客户的这种用法，MSSP的体验仍然各不相同。本研究中的魔力象限参考买家通常对他们的MSSP门户网站的功能保持中立或满意，以支持门户网站与MSSP服务接口的日常使用。多年来一直在这个市场中的MSSP仍然提供最成熟的门户体验。IT外包等市场中的供应商往往不太重视门户网站，而是倾向于将门户用于服务管理，而不是提供安全团队所需的类似SIEM的功能。

        SOAR还处于早期阶段，但是提高SOC活动的效率和一致性以及能够为MSS客户提供更多定制流程的承诺是具有说服力的。一些MSSP认真采用了SOAR技术，并将其嵌入到交付平台的核心。基于与SOAR技术供应商和MSSP的对话，我们预计大多数MSSP将在未来三年内采用并嵌入SOAR功能。

        MSSP将使用SOAR技术，通过删除普通的活动，使分析师更高效、更高产（和快乐）。如果适当利用，客户在其MSS上的体验应该在商定流程的一致性和可重复性方面得到改善。从理论上讲，如果MSSP SOC分析师有更多时间来调查和分类可疑事件（例如，减少对客户的误报警的数量），那么威胁的检测应该会有所改善。将来，MSS针对客户自己的技术发起的自动响应行动可能会减少平均响应时间（但目前还处于婴儿期）。