企業(yè)如何確定大數(shù)據(jù)安全分析技術(shù)會(huì)不會(huì)取得實(shí)用成效？

大數(shù)據(jù)是如今安全分析領(lǐng)域的熱門(mén)詞語(yǔ)，可是很多企業(yè)用戶對(duì)此持懷疑態(tài)度，因?yàn)樵S多公司耗費(fèi)數(shù)年心血來(lái)構(gòu)建“數(shù)據(jù)湖”（data lake），到頭來(lái)發(fā)現(xiàn)不可能“將湖排干”、獲得實(shí)用信息。

更為遺憾的是，如今的解決方案通常包括成本高昂的集群加上靜態(tài)商業(yè)智能報(bào)告和“性感”的儀表板，這些報(bào)告和儀表板看起來(lái)不錯(cuò)，可是對(duì)實(shí)用、高效的安全分析帶來(lái)不了多大幫助。著眼于分析，以及如何使用數(shù)據(jù)（非常有價(jià)值的數(shù)據(jù)），以便做出實(shí)時(shí)決策，發(fā)現(xiàn)關(guān)鍵模式，確定日常的、不斷變化的安全政策，并大幅提升安全性，這才是真正實(shí)用的。

我們可以看到像谷歌、亞馬遜和網(wǎng)飛（Netflix）這些公司，就認(rèn)識(shí)到大數(shù)據(jù)是一種支持實(shí)時(shí)數(shù)據(jù)挖掘技術(shù)的出色工具，它可以挖掘分析具有快速度、種類和數(shù)量（3V）這些特性的復(fù)雜數(shù)據(jù)集。這些公司將大數(shù)據(jù)用作其業(yè)務(wù)的重要組成部分，并結(jié)合預(yù)測(cè)分析技術(shù)，以便深入了解顧客想要購(gòu)買什么或觀看什么。這應(yīng)該是真正實(shí)用的安全分析技術(shù)應(yīng)有的模式。

下面這五個(gè)“取樣測(cè)試”（sniff test）將幫助你確定一種提議的方法是否會(huì)使用為你帶來(lái)實(shí)用成效的大數(shù)據(jù)技術(shù)：

你的大數(shù)據(jù)解決方案完全涉及“3V”嗎？

如果一家廠商完全著眼于大數(shù)據(jù)的速度、種類和數(shù)量這些問(wèn)題，那么你的大數(shù)據(jù)系統(tǒng)可能比SIEM（安全信息與事件管理）來(lái)得高效，但是它到頭來(lái)會(huì)成大數(shù)據(jù)存儲(chǔ)陷阱。

廠商需要與你談?wù)撠惾~斯理論、遞歸、分類算法、維度問(wèn)題等話題，讓大數(shù)據(jù)具有可預(yù)測(cè)性、真正可付諸行動(dòng)，從而發(fā)揮其用途。是的，這聽(tīng)起來(lái)像是高深莫測(cè)的科學(xué)，可能很嚇人，但這對(duì)分析具有動(dòng)態(tài)性的安全事件而言必不可少。

如果你問(wèn)“你說(shuō)的安全分析是什么意思？”，會(huì)得到什么樣的回答？

如果你聽(tīng)到關(guān)聯(lián)、儀表板、查詢和警報(bào)之類的回復(fù)，這是老一套。你需要聽(tīng)到機(jī)器學(xué)習(xí)庫(kù)、數(shù)據(jù)立方體和余弦矩陣等。

一切都要基于大數(shù)/異數(shù)定律――這種技術(shù)充分利用大量數(shù)據(jù)和大量歷史記錄，自動(dòng)構(gòu)建知識(shí)庫(kù)（并不斷提高準(zhǔn)確性），而不是用戶需要盯著靜態(tài)的聚合數(shù)據(jù)，或者手動(dòng)定義明確的安全策略。

你的安全分析系統(tǒng)有閉環(huán)回路嗎？

分析不是報(bào)告。分析有助于做出決策。安全分析不是“事后內(nèi)容”――它們利用歷史信息改進(jìn)以后的機(jī)制。比如說(shuō)，要尋找這種分析技術(shù)：修改你的實(shí)時(shí)監(jiān)控機(jī)制，并告訴你將什么內(nèi)容排除在外，重要的是，應(yīng)專注于什么內(nèi)容――而不是僅僅向你發(fā)送警報(bào)的那種分析技術(shù)。說(shuō)到智能安全分析技術(shù)，數(shù)量增多的數(shù)據(jù)和合適的算法可大大改善分析和決策效果，并提高系統(tǒng)的效用。

你是否被領(lǐng)往集群越來(lái)越龐大這條路？

大數(shù)據(jù)界已變得很瘋狂――只要做很少的工作，就能構(gòu)建異構(gòu)集群（大大增添了復(fù)雜性）。即使今天你能獲得資金，也并不意味著明天也能獲得資金；由于目的是聚合來(lái)自許多時(shí)期和數(shù)據(jù)源的數(shù)據(jù)，你需要確保，成本沒(méi)有隨著數(shù)據(jù)的增加而增加。

通常來(lái)說(shuō)，更多的數(shù)據(jù)帶來(lái)更好的效果，但是如果它讓你傾家蕩產(chǎn)，那也就毫無(wú)用處。你應(yīng)該尋找可以高效擴(kuò)展的平臺(tái)。尋找這種系統(tǒng)：使用NoSQL方法、列式數(shù)據(jù)字段和內(nèi)存中分布式并行處理架構(gòu)。高效的系統(tǒng)不需要僅僅為了幾TB數(shù)據(jù)而要部署一個(gè)節(jié)點(diǎn)，一個(gè)節(jié)點(diǎn)所能處理的數(shù)據(jù)量要大得多。

你的數(shù)據(jù)管理框架是否可以靈活處理各種各樣的數(shù)據(jù)？

大數(shù)據(jù)有多層次、多種選擇，有些會(huì)幫助你，而有些很復(fù)雜，讓你束手無(wú)策。大數(shù)據(jù)支持眾多數(shù)據(jù)類型，因而帶來(lái)了豐富多樣的信息。大數(shù)據(jù)已經(jīng)迅速經(jīng)歷了好多代，所以，你要尋找注重簡(jiǎn)單的現(xiàn)代數(shù)據(jù)方案，比如使用JavaScript對(duì)象標(biāo)注（JSON）這種靈活數(shù)據(jù)格式合并大數(shù)據(jù)的那種方案，這點(diǎn)很重要。