托管安全服务商（MSSP）是指以持续、受管理的方式，向终端客户提供外包网络安全服务的机构。MSSP 代客户监测并应对安全威胁，运营着大多数机构缺乏专业能力或资源自行运维的安全基础设施。
交付外包的安全运营
MSSP 通常是客户安全团队的延伸；对规模较小的机构而言，它则承担全部安全职能。其服务交付通常包括以下几个方面：
- 安全监控。 MSSP 运营安全运营中心（SOC），全天候监控客户环境，涵盖网络流量分析、终端检测、日志汇聚和告警研判。
- 威胁检测与响应。 SOC 一旦发现潜在威胁，MSSP 即判定其严重程度并执行响应流程。响应措施既可能是封禁恶意 IP 地址，也可能是统筹完整的事件响应。
- 漏洞管理。 MSSP 扫描客户环境中的漏洞，为修复工作排定优先级，多数情况下还会直接打补丁或调整配置。
- 合规支持。 许多 MSSP 通过维持必要的安全控制措施并出具合规报告，帮助客户满足监管要求（如 HIPAA、PCI DSS、SOC 2、GDPR）。
- 技术管理。 MSSP 代客户部署和管理安全工具，包括防火墙、入侵检测系统、SIEM 平台、终端防护和身份管理方案。
应对网络安全人才缺口
网络安全已变得过于复杂、耗费资源过大，大多数机构难以完全依靠内部力量应对。威胁数量持续攀升，能够检测和应对高级攻击的技能稀缺且昂贵，监管要求也逐年趋严。
MSSP 的解法，是把成熟安全运营的成本分摊到多个客户身上。一家中型企业若无力配备 7×24 小时 SOC 和全职安全分析师，就可以通过 MSSP 获得同样的能力，成本只是自建的一小部分。
对安全领域的技术厂商而言，MSSP 是关键的渠道合作伙伴类型。安全厂商通过 MSSP 销售产品，再由 MSSP 将产品部署并纳入其服务体系统一管理。这种合作把厂商的触角延伸到了那些本不会自行采购和运维该技术的客户环境中。
服务范围、差异化与厂商合作
MSSP 常见服务
| 服务 | 说明 |
|---|---|
| 托管检测与响应（MDR） | 全天候威胁监控，并进行主动调查与响应 |
| 托管防火墙 | 防火墙基础设施的部署与持续管理 |
| 托管终端防护 | 终端检测与响应（EDR）工具的部署与监控 |
| SIEM 管理 | 汇聚并关联客户环境各处的安全日志 |
| 漏洞扫描与管理 | 定期扫描，并跟踪修复优先级与进度 |
| 事件响应 | 调查已确认的安全事件并予以遏制 |
| 合规报告 | 为监管审计生成报告和证明材料 |
MSSP 与 MSP 的区别
托管服务商（MSP）提供的是范围广泛的 IT 基础设施管理，MSSP 则专注于网络安全。两者的区别很重要，因为安全运营所需的技能和工具，与一般 IT 管理大不相同。
| 维度 | MSP | MSSP |
|---|---|---|
| 主要重点 | IT 基础设施管理 | 网络安全 |
| 核心服务 | 服务台、网络管理、备份、云管理 | 威胁监控、事件响应、漏洞管理 |
| 主要认证 | 厂商技术认证、ITIL | CISSP、CISM、厂商安全专项认证 |
| 人员配置 | IT 通才与专才 | 安全分析师、事件响应人员、威胁猎人 |
| SOC 要求 | 通常并非必需 | 交付模式的核心 |
有些机构同时以 MSP 和 MSSP 的身份运营，把安全服务纳入更广泛的 IT 管理服务之中；也有一些是纯粹的安全服务商。
厂商如何与 MSSP 合作
- 技术授权： 厂商通过专门的合作伙伴项目，以批量价格向 MSSP 授权安全产品。MSSP 将技术部署到整个客户群，并作为服务进行管理。
- 多租户平台： 提供多租户管理控制台的安全厂商对 MSSP 尤其有吸引力，因为后者需要通过单一界面管理数百个客户环境。
- 协同托管模式： 部分 MSSP 提供协同托管的安全服务。MSSP 负责日常监控，客户的内部团队则保留策略决策和升级处理的控制权。
- 分级服务包： MSSP 以厂商技术为基础设计服务层级。基础层可能包括防火墙管理和漏洞扫描，高级层则增加 7×24 小时 SOC 监控和事件响应。