建站
咨詢(xún)
售后
建站咨詢(xún)
新聞中心
隨著互聯(lián)網(wǎng)、智能移動(dòng)設(shè)備、物聯(lián)網(wǎng)技術(shù)和云計(jì)算的快速發(fā)展和不斷應(yīng)用，組織和企業(yè)的網(wǎng)絡(luò)和信息系統(tǒng)每天都在產(chǎn)生大量的數(shù)據(jù)，而且產(chǎn)生的速度越來(lái)越快，這使得我們已經(jīng)進(jìn)入了大數(shù)據(jù)時(shí)代。大數(shù)據(jù)時(shí)代的安全信息具有海量、高速、多樣、低價(jià)值密度等特點(diǎn)，如何對(duì)安全大數(shù)據(jù)進(jìn)行管理和分析，幫助用戶(hù)獲取智能的、深入的有價(jià)值的信息變成了信息安全分析和管理領(lǐng)域的重要課題之一。
盡管傳統(tǒng)的安全管理平臺(tái)在滿(mǎn)足客戶(hù)安全管理需求、支撐客戶(hù)安全管理工作方面起了很關(guān)鍵的作用，但隨著信息安全威脅的不斷變化，企業(yè)和組織的日常信息安全管理工作面臨著新的形勢(shì)。企業(yè)和組織需要應(yīng)對(duì)的攻擊和威脅變得日益復(fù)雜，這些威脅具有隱蔽性強(qiáng)、潛伏期長(zhǎng)、持續(xù)性強(qiáng)的特點(diǎn)。針對(duì)復(fù)雜攻擊，企業(yè)和組織尤其需要加強(qiáng)對(duì)核心敏感數(shù)據(jù)和業(yè)務(wù)系統(tǒng)的保護(hù)，防止由于安全攻擊給企業(yè)和組織帶來(lái)?yè)p害。同時(shí)，企業(yè)和組織需依法加強(qiáng)對(duì)信息安全的管理以滿(mǎn)足國(guó)家政策法規(guī)的要求，這對(duì)企業(yè)和組織的信息安全管理和分析提出了新的挑戰(zhàn)。
傳統(tǒng)安全管理平臺(tái)的分析方法和處理能力已無(wú)法滿(mǎn)足海量數(shù)據(jù)環(huán)境下的信息安全分析和管理的需求，主要表現(xiàn)在以下幾個(gè)方面：
1) 高速海量安全數(shù)據(jù)的采集和存儲(chǔ)變得非常困難
不同規(guī)模的大型企業(yè)和組織每天發(fā)生的事件在上百億到上千億條之間。隨著企業(yè)和組織規(guī)模的擴(kuò)大，雇員的增加，部署設(shè)備的數(shù)量增加和性能擴(kuò)大，應(yīng)用系統(tǒng)的日益增多，IT環(huán)境向云計(jì)算架構(gòu)的遷移，大型組織和企業(yè)的用戶(hù)環(huán)境發(fā)生了很大的變化，安全信息的規(guī)模變得非常龐大和種類(lèi)繁多。企業(yè)和組織為了應(yīng)對(duì)安全威脅的挑戰(zhàn)，需要采集的信息種類(lèi)增加，數(shù)量增大，這使以日志和事件為代表的安全信息的采集規(guī)模變得日益龐大，由傳統(tǒng)的數(shù)千EPS（Event Per Second）提升到數(shù)萬(wàn)EPS，如US CERT在2013年時(shí)每天利用SIEM分析的事件量為20億條；中國(guó)CNCERT2014年時(shí)每天捕獲的網(wǎng)絡(luò)安全事件約為2000億條，近10大類(lèi)。如此海量的數(shù)據(jù)規(guī)模的采集和存儲(chǔ)，這對(duì)使用傳統(tǒng)技術(shù)如關(guān)系型數(shù)據(jù)庫(kù)（OldSQL）的安全管理平臺(tái)（SOC）來(lái)說(shuō)是不可完成的任務(wù)。傳統(tǒng)的關(guān)系型數(shù)據(jù)庫(kù)技術(shù)架構(gòu)在處理數(shù)據(jù)擴(kuò)展上遇到了困難，當(dāng)數(shù)據(jù)表不斷擴(kuò)大，單臺(tái)機(jī)器存儲(chǔ)不夠用時(shí)，需要使用多臺(tái)機(jī)器，傳統(tǒng)的關(guān)系型數(shù)據(jù)庫(kù)為了應(yīng)對(duì)這種情況，需要使用復(fù)雜的技術(shù)將多個(gè)關(guān)系表分片到多臺(tái)機(jī)器上，但隨著數(shù)據(jù)量繼續(xù)增大，數(shù)量最多的數(shù)據(jù)表又無(wú)法放在一臺(tái)機(jī)器上，這將會(huì)成為瓶頸。因此，傳統(tǒng)的安全管理平臺(tái)的數(shù)據(jù)處理架構(gòu)無(wú)法滿(mǎn)足大數(shù)據(jù)流量的現(xiàn)實(shí)情況。
2) 異構(gòu)數(shù)據(jù)的存儲(chǔ)和管理變得困難
最新的安全檢測(cè)和分析技術(shù)不僅有對(duì)安全日志和事件的分析（日志審計(jì)），還有對(duì)原始流量的分析（IDS/ IPS），對(duì)網(wǎng)絡(luò)流的分析（NBA/DDoS Detector），對(duì)全包流量（Sniffer）和對(duì)文件的分析（APT檢測(cè)/沙箱/郵件阻斷系統(tǒng)）等，這些分析技術(shù)僅能對(duì)多種異構(gòu)數(shù)據(jù)進(jìn)行快速檢測(cè)和小數(shù)據(jù)存儲(chǔ)，而無(wú)法對(duì)海量的歷史數(shù)據(jù)進(jìn)行存儲(chǔ)及后期的分析，即無(wú)法檢測(cè)長(zhǎng)周期數(shù)據(jù)，這使得后期的取證和分析變得困難。
3) 對(duì)歷史數(shù)據(jù)的分析能力偏弱
傳統(tǒng)的安全管理平臺(tái)可以保存歷史數(shù)據(jù)。當(dāng)安全分析人員創(chuàng)建一條關(guān)聯(lián)分析規(guī)則識(shí)別威脅時(shí)，想了解歷史數(shù)據(jù)中是否有相同的威脅，則需對(duì)歷史數(shù)據(jù)進(jìn)行檢測(cè)以發(fā)現(xiàn)歷史上已發(fā)生的威脅。隨著海量事件的增加，對(duì)歷史數(shù)據(jù)的分析和檢測(cè)變得異常困難。首先，以前保留大量的數(shù)據(jù)在經(jīng)濟(jì)上不可行，盡管隨著存儲(chǔ)成本的下降，使組織和企業(yè)可以保存較長(zhǎng)時(shí)間的安全數(shù)據(jù)，同時(shí)還需要低成本的數(shù)據(jù)倉(cāng)庫(kù)技術(shù)用于管理數(shù)據(jù)，隨著歷史數(shù)據(jù)的增大，搜索速度則快速下降，導(dǎo)致安全分析人員對(duì)歷史數(shù)據(jù)的分析效率和時(shí)間無(wú)法忍受，同時(shí)會(huì)耗費(fèi)大量的計(jì)算資源，影響系統(tǒng)工作。針對(duì)其他的實(shí)時(shí)分析工具，由于無(wú)法保存歷史數(shù)據(jù)，更無(wú)法對(duì)歷史數(shù)據(jù)進(jìn)行檢測(cè)。低成本的海量數(shù)據(jù)的存儲(chǔ)與管理，快速高效的歷史數(shù)據(jù)的分析對(duì)傳統(tǒng)的安全管理平臺(tái)提出了挑戰(zhàn)。
4) 安全事件的調(diào)查效率較低
在信息安全分析和管理工作中，盡管有安全分析等自動(dòng)化工具的大量建設(shè)和部署，但最重要的仍然是人——安全分析師。安全分析師的工作是無(wú)法被替代和減少的，只能越來(lái)越重要。而在大數(shù)據(jù)時(shí)代，安全分析師必須借助有效的分析工具才能完成對(duì)海量數(shù)據(jù)的分析和調(diào)查，否則將會(huì)被浩如煙海的數(shù)據(jù)累死而一無(wú)所獲。傳統(tǒng)的安全管理平臺(tái)通過(guò)對(duì)關(guān)系型數(shù)據(jù)庫(kù)的查詢(xún)來(lái)幫助安全分析人員完成安全事件的調(diào)查，隨著數(shù)據(jù)量增大，查詢(xún)效率變得非常低，查詢(xún)延時(shí)大，再加上復(fù)雜的組合查詢(xún)條件，查詢(xún)效率和時(shí)延根本無(wú)法滿(mǎn)足安全分析人員對(duì)事件調(diào)查的需求，亟需改變這種查詢(xún)低效的問(wèn)題。
5) 有效的分析方法依然缺乏
事件關(guān)聯(lián)分析一直被認(rèn)為是傳統(tǒng)的安全管理平臺(tái)中識(shí)別安全威脅的關(guān)鍵技術(shù)。但多年以來(lái)，一直飽受詬病。傳統(tǒng)的關(guān)聯(lián)分析基本都屬于基于規(guī)則的關(guān)聯(lián)分析，即針對(duì)威脅的已知場(chǎng)景提取威脅特征，并依據(jù)這些特征對(duì)后續(xù)數(shù)據(jù)進(jìn)行匹配和分析，以發(fā)現(xiàn)符合特征的安全威脅，特征關(guān)聯(lián)只能快速識(shí)別規(guī)則所能描述的已知的問(wèn)題，無(wú)法識(shí)別未知的攻擊，或者是尚未被描述成規(guī)則的攻擊和行為。當(dāng)前的攻擊和違規(guī)越來(lái)越隱蔽和復(fù)雜，如0Day漏洞和APT攻擊都利用了未知的漏洞和威脅方法，基于規(guī)則的分析則無(wú)能為力。這種被動(dòng)關(guān)聯(lián)的效果嚴(yán)重受制于規(guī)則庫(kù)的積累。而規(guī)則的撰寫(xiě)又需要專(zhuān)業(yè)的安全領(lǐng)域知識(shí)，因此實(shí)用性受到很大制約?？蛻?hù)迫切需要一種更加有效的高級(jí)分析機(jī)制，借助機(jī)器學(xué)習(xí)技術(shù)和行為建模技術(shù)，智能化地去識(shí)別網(wǎng)絡(luò)中的攻擊，尤其是未知的攻擊行為。
傳統(tǒng)的關(guān)聯(lián)分析以事件為主要分析對(duì)象。由于事件自身存在很多局限性，分析出來(lái)的結(jié)果也難以準(zhǔn)確。因此，需要將更廣泛的安全要素信息納入關(guān)聯(lián)分析的范圍之中，包括情境信息（譬如資產(chǎn)信息、拓?fù)湫阅?、可用性與性能信息、弱點(diǎn)信息、威脅情報(bào)信息、身份信息、業(yè)務(wù)信息等）、網(wǎng)絡(luò)流信息，甚至是原始報(bào)文信息。
大數(shù)據(jù)時(shí)代的信息安全分析正在轉(zhuǎn)變成為如何對(duì)海量的數(shù)據(jù)進(jìn)行分析和挖掘。通過(guò)海量數(shù)據(jù)的深度挖掘與機(jī)器學(xué)習(xí)，使安全分析人員可以有效地應(yīng)對(duì)高級(jí)可持續(xù)性威脅（APT，Advanced Persistent Threat）和來(lái)自?xún)?nèi)部人員的威脅，發(fā)現(xiàn)未知威脅。只有通過(guò)針對(duì)海量數(shù)據(jù)的分析挖掘才能使客戶(hù)應(yīng)對(duì)日益復(fù)雜的攻擊和威脅，實(shí)現(xiàn)由“被動(dòng)發(fā)現(xiàn)”到“主動(dòng)發(fā)現(xiàn)”的信息安全分析和管理的升級(jí)。
6) 對(duì)于趨勢(shì)性的東西預(yù)測(cè)較難，對(duì)早期預(yù)警的能力不足
隨著信息安全建設(shè)逐步引向深入，管理者越發(fā)體會(huì)到了安全工作是全局一盤(pán)棋。正所謂“不謀全局者，不足謀一域”，網(wǎng)絡(luò)安全管理工作急切需要獲悉全網(wǎng)的整體安全態(tài)勢(shì)。傳統(tǒng)的安全管理平臺(tái)對(duì)實(shí)時(shí)產(chǎn)生的數(shù)據(jù)進(jìn)行分析的能力較強(qiáng)，為組織的安全管理人員在海量數(shù)據(jù)態(tài)勢(shì)要素信息的獲取、分析和展示等諸多方面提供有力的支撐，幫助安全管理人員掌握整體安全態(tài)勢(shì)。但如何從當(dāng)前和歷史數(shù)據(jù)中對(duì)未來(lái)趨勢(shì)進(jìn)行預(yù)測(cè)的能力較弱。目前態(tài)勢(shì)感知和分析的方法還比較少，如何根據(jù)已有的數(shù)據(jù)產(chǎn)生早期預(yù)警，對(duì)可能發(fā)生的威脅進(jìn)行提前預(yù)防，這將能更好的提高組織的信息安全分析和管理水平。隨著處理數(shù)據(jù)規(guī)模的快速增長(zhǎng)，如何從海量數(shù)據(jù)中快速感知當(dāng)前組織面臨的信息安全態(tài)勢(shì)對(duì)安全管理平臺(tái)提出了新的挑戰(zhàn)。
7) 系統(tǒng)交互能力有限，數(shù)據(jù)展示效果有待提高
盡管傳統(tǒng)的安全管理平臺(tái)提供了一些數(shù)據(jù)可視化的工具，可使安全分析的數(shù)據(jù)和結(jié)果可視化的呈現(xiàn)給安全分析人員。但現(xiàn)有系統(tǒng)的交互能力都較弱，安全分析人員使用安全管理平臺(tái)與數(shù)據(jù)進(jìn)行交互分析，如事件調(diào)查，歷史回溯，條件組合查詢(xún)，結(jié)果查看等的效果都有待提高，才能滿(mǎn)足安全分析人員的需求。無(wú)論何時(shí)，人都是信息安全分析和管理的第一要素，因此良好的人機(jī)交互才能為安全分析人員提供了一個(gè)有力的武器，良好的工作舞臺(tái)。
8) 如何進(jìn)行積極主動(dòng)的安全管理？
當(dāng)前的安全管理平臺(tái)以安全事件為核心分析要素，偏事后分析，以被動(dòng)響應(yīng)為主。安全事件是對(duì)已經(jīng)或者正在發(fā)生的行為的描述，分析結(jié)果更多地指導(dǎo)我們進(jìn)行故障處置和應(yīng)急響應(yīng)。對(duì)于客戶(hù)而言，更希望安全管理平臺(tái)能夠告訴他們哪里可能會(huì)出問(wèn)題，而不僅僅是哪里出了問(wèn)題。因此，積極主動(dòng)的安全管理至關(guān)重要，客戶(hù)迫切需要一套前攝性的安全分析、管理機(jī)制和技術(shù)支撐手段，尤其是能夠主動(dòng)地應(yīng)用各種安全威脅情報(bào)信息。
針對(duì)以上安管平臺(tái)面臨的新挑戰(zhàn)，我們?cè)撊绾无k？
應(yīng)對(duì)安全大數(shù)據(jù)帶來(lái)的新問(wèn)題，還需要用大數(shù)據(jù)的技術(shù)來(lái)解決。只有將大數(shù)據(jù)分析技術(shù)充分融合到現(xiàn)有的安管平臺(tái)技術(shù)架構(gòu)中才能使傳統(tǒng)的安管平臺(tái)煥發(fā)新生。我們將融合大數(shù)據(jù)技術(shù)的新一代安管平臺(tái)及其配套機(jī)制稱(chēng)作SOC3.0。
在SOC3.0時(shí)代，安管平臺(tái)將繼續(xù)緊密?chē)@業(yè)務(wù)、采用主動(dòng)的和真正具有安全智能的管理技術(shù)，并采用融合大數(shù)據(jù)技術(shù)的軟件架構(gòu)，為組織的核心戰(zhàn)略和業(yè)務(wù)使命達(dá)成服務(wù)，滿(mǎn)足安全合規(guī)和監(jiān)管需求，為安全運(yùn)維人員和分析師提供日常安全分析和威脅管理的工作利器，為組織運(yùn)營(yíng)管理提供決策支撐，真正成為組織信息安全保障體系中的核心和工作中樞。
在DT時(shí)代，融合大數(shù)據(jù)技術(shù)的SOC3.0應(yīng)具有以下技術(shù)特征：以數(shù)據(jù)為核心，有新技術(shù)提供低成本、高可靠、可彈性擴(kuò)展的數(shù)據(jù)處理能力，滿(mǎn)足組織對(duì)異構(gòu)海量安全數(shù)據(jù)的處理需求；以關(guān)聯(lián)分析（知所已知）和行為分析（知所未知）為兩翼，為安全管理人員提供智能化分析方法，以應(yīng)對(duì)日益復(fù)雜的隱蔽攻擊和威脅，從數(shù)據(jù)中發(fā)現(xiàn)價(jià)值；以運(yùn)維和管理為動(dòng)力，提供流程輔助、合規(guī)管控、安全分析和決策支持等能力；同時(shí)，通過(guò)可視化技術(shù)和人機(jī)交互為安全管理人員提供工作接口，展現(xiàn)數(shù)據(jù)價(jià)值。
最后，必須指出，SOC3.0不是對(duì)現(xiàn)有安管平臺(tái)的否定和顛覆，現(xiàn)有的安管平臺(tái)仍將具備應(yīng)用場(chǎng)景。SOC3.0是順應(yīng)大數(shù)據(jù)時(shí)代要求的產(chǎn)物，但目前、甚至最近幾年還有很多企業(yè)和組織的安全管理并非都居于大數(shù)據(jù)場(chǎng)景之下，我們也不能一味求變，還需要切合自身實(shí)際。因此，SOC3.0仍將與現(xiàn)有安管平臺(tái)并存一段時(shí)間。
分享題目：傳統(tǒng)安全管理技術(shù)面臨新挑戰(zhàn)，啟明星辰集團(tuán)重磅推出新一代安管平臺(tái)
標(biāo)題路徑：http://m.5511xx.com/article/cdhojdc.html
