企業(yè)大數(shù)據(jù)安全分析的四大關(guān)鍵要點

ESG公布的一項研究表明，44%的企業(yè)認(rèn)為其所采用的安全數(shù)據(jù)收集與分析機(jī)制可以被歸類為“大數(shù)據(jù)”方案;另外44%的企業(yè)則認(rèn)為其所采用的安全數(shù)據(jù)收集與分析機(jī)制在未來兩年內(nèi)將能夠被歸類為“大數(shù)據(jù)”方案。(備注：在此次調(diào)查中，大數(shù)據(jù)安全分析機(jī)制被定義為“安全數(shù)據(jù)集迅猛增長，總量之龐大已經(jīng)很難利用現(xiàn)有安全分析工具進(jìn)行處理”。)

因此，企業(yè)很可能會在未來幾年內(nèi)開始嘗試某些類型的大數(shù)據(jù)安全分析產(chǎn)品或者解決方案。也就是說，筆者所接觸的很多CISO(首席信息安全官)仍然對這一新興安全方案類型感到困惑，而且需要他人的幫助破解炒作謎團(tuán)。

大數(shù)據(jù)安全分析常見問題為尚處于迷茫狀態(tài)的安全管理者們施以援手。文章中對大數(shù)據(jù)安全分析方案做出了基本定義，任何一種大數(shù)據(jù)安全分析機(jī)制都必須具備龐大的規(guī)模處理能力以及靈活的查詢功能，但企業(yè)應(yīng)該如何在眾多產(chǎn)品當(dāng)中做出選擇?

由于安全行業(yè)對于縮寫有著特殊的喜好，因此我建議各位安全專家從AVCA四大方面做出考量——它們分別代表算法(Algorithms)、可視化(Visualization)、背景(Context)以及自動化(Automation)。

? 算法。在大數(shù)據(jù)安全分析領(lǐng)域，算法代表手動與自動分析機(jī)制之間的差異。在算法的幫助下，企業(yè)分析師們能夠獲得來自智能化技術(shù)的支持;失去算法的幫助，他們將被迫親自面對日益龐大的數(shù)據(jù)總量。大數(shù)據(jù)安全分析算法應(yīng)該將數(shù)據(jù)、處理能力以及定制規(guī)則以極高精度融合在一起。具體實例包括機(jī)器學(xué)習(xí)(例如21CT、LogRhythem以及SilverTail等)以及異常行為預(yù)測(例如Click Security、Lancope、Netskope以及Solera Networks等)。很多企業(yè)還會將Splunk作為自己的定制算法基礎(chǔ)。

? 可視化。數(shù)據(jù)可視化在安全領(lǐng)域的應(yīng)用仍然處于起步階段，主要包括通過餅狀圖、曲線圖以及Excel數(shù)據(jù)透視表等方式加以呈現(xiàn)。雖然可視化技術(shù)還屬于新興課題，但目前已經(jīng)有越來越多的相關(guān)研究及開發(fā)工作處于進(jìn)行當(dāng)中，大部分源自美國國家實驗室以及各大學(xué)術(shù)機(jī)構(gòu)。另外，每年在亞特蘭大喬治亞舉辦的VizSec大會(www.vizsec.org)也致力于推動網(wǎng)絡(luò)安全研究與數(shù)據(jù)可視化發(fā)展。隨著時間的推移，CISO們將在這一領(lǐng)域迎來飛躍式變革，其中包括新型可視化硬件、類列表數(shù)據(jù)處理、3D圖形匹配模式、風(fēng)險評分分析以及數(shù)據(jù)維度旋轉(zhuǎn)等。目前值得關(guān)注的相關(guān)廠商有LexisNexis、Hexis Cyber Solutions以及Narus等。

? 背景。當(dāng)惡意軟件將矛頭指向未安裝最新補(bǔ)丁的系統(tǒng)時，情況就變得非常危急。然而當(dāng)惡意軟件嘗試進(jìn)攻已經(jīng)安裝了補(bǔ)丁的系統(tǒng)時，事態(tài)則沒那么嚴(yán)重。隨著時間推移，大數(shù)據(jù)安全分析將與連續(xù)監(jiān)測下的威脅檢測/取證相結(jié)合，共同針對相關(guān)網(wǎng)絡(luò)攻擊做出風(fēng)險評分。McAfee公司將通過對McAfee安全管理器(即Nitro)與ePO加以整合來推動這一進(jìn)程。RSA也將通過其大數(shù)據(jù)安全分析機(jī)制與Archer的橋接實現(xiàn)同樣的目標(biāo)。惠普在這條道路上同樣擁有自己的規(guī)劃。

? 自動化。類似于由IDS向IPS的過渡，自動化進(jìn)程可能會由于安全人員對誤報狀況的擔(dān)憂而進(jìn)展緩慢。不過安全自動化機(jī)制的普及能夠幫助安全人員緊跟不斷增長的實際需求。思科公司將利用其網(wǎng)絡(luò)基礎(chǔ)設(shè)施、SDN以及基于云計算的大數(shù)據(jù)安全智能方案實現(xiàn)網(wǎng)絡(luò)安全自動化。以Check Point以及Palo Alto Networks為代表的其它網(wǎng)絡(luò)安全廠商也將踏上這段征程。IBM同樣表現(xiàn)積極，有意將其網(wǎng)絡(luò)安全產(chǎn)品組合(即ISS)、Trusteer(即端點安全方案)、QRadar、IBM Security Intelligence、大數(shù)據(jù)以及X-force安全情報方案進(jìn)行整合。

安全專家在對大數(shù)據(jù)安全分析產(chǎn)品進(jìn)行研究及評估時，應(yīng)當(dāng)確保將AVCA作為規(guī)范要求中的組成部分。而從供應(yīng)商的角度出發(fā)，良好的AVCA實現(xiàn)能力將成為通往成功的有效助力。