企業(yè)大數(shù)據(jù)安全分析的四大關(guān)鍵要點

ESG公布的一項研究表明，44%的企業(yè)認為其所采用的安全數(shù)據(jù)收集與分析機制可以被歸類為“大數(shù)據(jù)”方案;另外44%的企業(yè)則認為其所采用的安全數(shù)據(jù)收集與分析機制在未來兩年內(nèi)將能夠被歸類為“大數(shù)據(jù)”方案。(備注：在此次調(diào)查中，大數(shù)據(jù)安全分析機制被定義為“安全數(shù)據(jù)集迅猛增長，總量之龐大已經(jīng)很難利用現(xiàn)有安全分析工具進行處理”。)

因此，企業(yè)很可能會在未來幾年內(nèi)開始嘗試某些類型的大數(shù)據(jù)安全分析產(chǎn)品或者解決方案。也就是說，筆者所接觸的很多CISO(首席信息安全官)仍然對這一新興安全方案類型感到困惑，而且需要他人的幫助破解炒作謎團。

大數(shù)據(jù)安全分析常見問題為尚處于迷茫狀態(tài)的安全管理者們施以援手。文章中對大數(shù)據(jù)安全分析方案做出了基本定義，任何一種大數(shù)據(jù)安全分析機制都必須具備龐大的規(guī)模處理能力以及靈活的查詢功能，但企業(yè)應(yīng)該如何在眾多產(chǎn)品當中做出選擇?

由于安全行業(yè)對于縮寫有著特殊的喜好，因此我建議各位安全專家從AVCA四大方面做出考量——它們分別代表算法(Algorithms)、可視化(Visualization)、背景(Context)以及自動化(Automation)。

? 算法。在大數(shù)據(jù)安全分析領(lǐng)域，算法代表手動與自動分析機制之間的差異。在算法的幫助下，企業(yè)分析師們能夠獲得來自智能化技術(shù)的支持;失去算法的幫助，他們將被迫親自面對日益龐大的數(shù)據(jù)總量。大數(shù)據(jù)安全分析算法應(yīng)該將數(shù)據(jù)、處理能力以及定制規(guī)則以極高精度融合在一起。具體實例包括機器學習(例如21CT、LogRhythem以及SilverTail等)以及異常行為預(yù)測(例如Click Security、Lancope、Netskope以及Solera Networks等)。很多企業(yè)還會將Splunk作為自己的定制算法基礎(chǔ)。

? 可視化。數(shù)據(jù)可視化在安全領(lǐng)域的應(yīng)用仍然處于起步階段，主要包括通過餅狀圖、曲線圖以及Excel數(shù)據(jù)透視表等方式加以呈現(xiàn)。雖然可視化技術(shù)還屬于新興課題，但目前已經(jīng)有越來越多的相關(guān)研究及開發(fā)工作處于進行當中，大部分源自美國國家實驗室以及各大學術(shù)機構(gòu)。另外，每年在亞特蘭大喬治亞舉辦的VizSec大會(www.vizsec.org)也致力于推動網(wǎng)絡(luò)安全研究與數(shù)據(jù)可視化發(fā)展。隨著時間的推移，CISO們將在這一領(lǐng)域迎來飛躍式變革，其中包括新型可視化硬件、類列表數(shù)據(jù)處理、3D圖形匹配模式、風險評分分析以及數(shù)據(jù)維度旋轉(zhuǎn)等。目前值得關(guān)注的相關(guān)廠商有LexisNexis、Hexis Cyber Solutions以及Narus等。

? 背景。當惡意軟件將矛頭指向未安裝最新補丁的系統(tǒng)時，情況就變得非常危急。然而當惡意軟件嘗試進攻已經(jīng)安裝了補丁的系統(tǒng)時，事態(tài)則沒那么嚴重。隨著時間推移，大數(shù)據(jù)安全分析將與連續(xù)監(jiān)測下的威脅檢測/取證相結(jié)合，共同針對相關(guān)網(wǎng)絡(luò)攻擊做出風險評分。McAfee公司將通過對McAfee安全管理器(即Nitro)與ePO加以整合來推動這一進程。RSA也將通過其大數(shù)據(jù)安全分析機制與Archer的橋接實現(xiàn)同樣的目標?；萜赵谶@條道路上同樣擁有自己的規(guī)劃。

? 自動化。類似于由IDS向IPS的過渡，自動化進程可能會由于安全人員對誤報狀況的擔憂而進展緩慢。不過安全自動化機制的普及能夠幫助安全人員緊跟不斷增長的實際需求。思科公司將利用其網(wǎng)絡(luò)基礎(chǔ)設(shè)施、SDN以及基于云計算的大數(shù)據(jù)安全智能方案實現(xiàn)網(wǎng)絡(luò)安全自動化。以Check Point以及Palo Alto Networks為代表的其它網(wǎng)絡(luò)安全廠商也將踏上這段征程。IBM同樣表現(xiàn)積極，有意將其網(wǎng)絡(luò)安全產(chǎn)品組合(即ISS)、Trusteer(即端點安全方案)、QRadar、IBM Security Intelligence、大數(shù)據(jù)以及X-force安全情報方案進行整合。

安全專家在對大數(shù)據(jù)安全分析產(chǎn)品進行研究及評估時，應(yīng)當確保將AVCA作為規(guī)范要求中的組成部分。而從供應(yīng)商的角度出發(fā)，良好的AVCA實現(xiàn)能力將成為通往成功的有效助力。