數(shù)據(jù)為本,洞悉安全

責(zé)任編輯:editor005

作者:葉蓬

2017-05-11 14:33:23

摘自:51CTO

安全分析,就是數(shù)據(jù)驅(qū)動(dòng)的安全分析,強(qiáng)調(diào)將高級(jí)分析技術(shù)作用在數(shù)據(jù)之上,產(chǎn)生比以往更有價(jià)值的安全洞見、知識(shí)和情報(bào)。這四種范式分別是: 

引言:12月初,我接受了《中國信息化周報(bào)》的一個(gè)書面采訪。針對(duì)記者提出的幾個(gè)問題,談及了對(duì)于目前大數(shù)據(jù)安全分析的一些觀點(diǎn)。記者將采訪的內(nèi)容提煉后連同其他采訪作為一期專題已經(jīng)刊發(fā)?,F(xiàn)將書面采訪的部分原始問題和回答公布如下,供大家參詳,歡迎指正。

大數(shù)據(jù)

書面采訪中我回答的內(nèi)容功能更加詳細(xì),可以作為對(duì)那個(gè)報(bào)道中我的觀點(diǎn)的補(bǔ)充說明。

1、 目前大數(shù)據(jù)安全分析存在的瓶頸是什么?需要怎樣做才能盡快突破?

答:隨著大數(shù)據(jù)技術(shù)生態(tài)的逐步成型,大數(shù)據(jù)技術(shù)逐漸成為了一種貨架技術(shù)?;谶@些技術(shù),目前大數(shù)據(jù)安全分析過程中的數(shù)據(jù)采集和存儲(chǔ)技術(shù)已經(jīng)被先進(jìn)企業(yè)所掌握,可視化水平也突飛猛進(jìn),存在的瓶頸是主要是應(yīng)用場景、安全分析場景方面。大數(shù)據(jù)技術(shù)是一種基礎(chǔ)技術(shù),其興起和發(fā)展最初都來源于互聯(lián)網(wǎng)企業(yè)。互聯(lián)網(wǎng)企業(yè)為解決其實(shí)際問題,發(fā)展了大數(shù)據(jù)技術(shù)。而將大數(shù)據(jù)技術(shù)應(yīng)用在安全分析領(lǐng)域,屬于在安全分析領(lǐng)域的革新和進(jìn)步,但如何應(yīng)用,需要找到安全痛點(diǎn),數(shù)據(jù)創(chuàng)造價(jià)值,仍然要結(jié)合安全業(yè)務(wù)場景,通過大數(shù)據(jù)技術(shù)解決傳統(tǒng)技術(shù)無法解決或解決起來非常困難的問題。盡快突破的辦法就是結(jié)合安全業(yè)務(wù)場景,以場景驅(qū)動(dòng)安全分析,以數(shù)據(jù)帶動(dòng)技術(shù)進(jìn)步。與此同時(shí),安全分析師、業(yè)務(wù)分析師、領(lǐng)域工程師等技術(shù)人員的匱乏也是制約大數(shù)據(jù)安全分析應(yīng)用發(fā)展的重大瓶頸。大數(shù)據(jù)分析情境之下,對(duì)分析師的人員和技能要求更高。

2、 在安全數(shù)據(jù)收集、整理、分析、可視化過程中,如何幫助客戶實(shí)現(xiàn)安全數(shù)據(jù)可視化,并最終走向數(shù)據(jù)驅(qū)動(dòng)的安全?

答:數(shù)據(jù)驅(qū)動(dòng)的安全是指途徑和手段,而非目標(biāo)。安全的目標(biāo)從來也沒有改變過。并且,數(shù)據(jù)驅(qū)動(dòng)的安全也僅僅是眾多安全方法論中的一種。

在目前,網(wǎng)絡(luò)攻防雙方的能力已經(jīng)不對(duì)等,攻擊占據(jù)上風(fēng),攻擊耗時(shí)遠(yuǎn)遠(yuǎn)低于防守耗時(shí)。攻防的對(duì)抗其實(shí)就是數(shù)據(jù)的對(duì)抗、知識(shí)的對(duì)抗和人的對(duì)抗,數(shù)據(jù)驅(qū)動(dòng)的安全一定程度上是在彌補(bǔ)這個(gè)防守耗時(shí),以求盡快識(shí)別攻擊并進(jìn)行響應(yīng)、阻斷和反制。

在這個(gè)過程中,數(shù)據(jù)的攝取、整理、分析和呈現(xiàn)都很有講究,每個(gè)環(huán)節(jié)都很重要,并且環(huán)環(huán)相扣??梢暬且环N呈現(xiàn)方式,主要面向兩類角色。一類是分析師,幫助其更高效地進(jìn)行交互式分析,即所謂威脅捕獵(Threat Hunting)。另一類是管理層和決策者,幫助他們了解網(wǎng)絡(luò)的整體安全態(tài)勢,及時(shí)掌握安全的我情、敵情和戰(zhàn)情,以求做出清晰、有效的決策。

只要角色定位清楚了,給誰做可視化的問題就明確了,安全數(shù)據(jù)可視化的目標(biāo)和實(shí)現(xiàn)途徑就好設(shè)計(jì)了。我們可以根據(jù)不同的角色,定義不同的場景,并設(shè)定為一組目標(biāo),然后就可以自頂向下地梳理所需的信息和模型,以及這些信息所依賴的數(shù)據(jù),再就是如何攝取這些數(shù)據(jù)。

在進(jìn)行數(shù)據(jù)可視化的時(shí)候,不能一味追求酷炫的展示效果,更要注重內(nèi)容的表達(dá),即數(shù)據(jù)安全分析得到的那些洞見的展現(xiàn)。從這個(gè)意義上來說,幫助客戶實(shí)現(xiàn)對(duì)安全的可見性(Visibility)比實(shí)現(xiàn)對(duì)安全的可視化(Visualization)更重要。我們經(jīng)常說看見威脅,看見安全,更多是指洞察、洞悉。

3、在幫助客戶建立以數(shù)據(jù)驅(qū)動(dòng)為核心的機(jī)制,讓客戶“看見”威脅,從而建立縱深防護(hù)體系方面,您們的企業(yè)有哪些創(chuàng)新?目前有較成功的案例嗎,能具體介紹一下嗎?

答【僅摘錄部分回答】:在當(dāng)前網(wǎng)絡(luò)攻防對(duì)抗的形勢下,企業(yè)和組織傳統(tǒng)的安全防護(hù)體系和思路必須進(jìn)行改變。我們必須認(rèn)定我們的網(wǎng)絡(luò)已經(jīng)遭受入侵,必須從消極防護(hù)轉(zhuǎn)變?yōu)橹鲃?dòng)防護(hù)和智能防護(hù)、甚至是可適應(yīng)性防護(hù),要從單純的防御轉(zhuǎn)向積極對(duì)抗,要從獨(dú)立防御向協(xié)同防御體系買進(jìn),安全需要知己,還需要知彼。也就是說,我們要從全新的視角去看“建立縱深防護(hù)體系”這個(gè)理念,要建立一種“高維度的縱深防護(hù)體系”。這種高維度是指不僅要考慮攻擊路徑上的縱深,還要考慮防范攻擊的時(shí)間縱深、管理縱深、物理縱深。因?yàn)槲覀兊膶?duì)手總是試圖發(fā)起高維攻擊,我們必須建立高維縱深。

在應(yīng)對(duì)新型威脅和新安全挑戰(zhàn)方面,Gartner在2014年提出了自適應(yīng)安全架構(gòu)的概念。Gartner認(rèn)為攻擊已然不可避免,建議企業(yè)和組織必須將更多的精力從原來的防范攻擊轉(zhuǎn)向檢測、響應(yīng)和預(yù)測,通過對(duì)全安全要素的持續(xù)監(jiān)測和持續(xù)響應(yīng)來持續(xù)改善現(xiàn)有的防范機(jī)制。而這種監(jiān)測就建立在以安全數(shù)據(jù)倉庫為基礎(chǔ)的安全分析(Security Analytics)基礎(chǔ)之上。

安全分析,就是數(shù)據(jù)驅(qū)動(dòng)的安全分析,強(qiáng)調(diào)將高級(jí)分析技術(shù)作用在數(shù)據(jù)之上,產(chǎn)生比以往更有價(jià)值的安全洞見、知識(shí)和情報(bào)。高級(jí)分析技術(shù)是指不同于以往基于特征和規(guī)則的分析技術(shù),高級(jí)分析技術(shù)更多地采用了高級(jí)統(tǒng)計(jì)、機(jī)器學(xué)習(xí)等基于行為分析的技術(shù)。

面對(duì)當(dāng)前網(wǎng)絡(luò)安全的挑戰(zhàn),結(jié)合新技術(shù)的發(fā)展情況,大潘提出的全新的安全分析方法論——全范式安全分析體系——我很贊同。所謂“全范式安全分析”體系,就是強(qiáng)調(diào)要綜合利用四種安全分析范式來構(gòu)建一個(gè)完備的安全分析體系。這四種范式分別是:

1) 安全分析第一范式:嘗試、實(shí)驗(yàn),即以經(jīng)驗(yàn)為主的分析,譬如滲透測試;

2) 安全分析第二范式:模型、特征,也就是經(jīng)典的特征檢測、攻擊建模,等等;

3) 安全分析第三范式:模擬、仿真,譬如沙箱、虛擬執(zhí)行;

4) 安全分析第四范式:大數(shù)據(jù)安全分析。

面對(duì)當(dāng)前的網(wǎng)絡(luò)威脅,只有綜合上述四種安全分析方法,才能構(gòu)建一個(gè)相對(duì)完備的安全防護(hù)體系。而大數(shù)據(jù)安全分析又在其中起到了提綱挈領(lǐng)的作用。

4、以數(shù)據(jù)為基礎(chǔ)的安全技術(shù)在安全防御中的價(jià)值是什么?未來在基于數(shù)據(jù)的安全技術(shù)上的趨勢和方向是怎樣的?

答:安全分析的最關(guān)鍵價(jià)值就在于盡快識(shí)別出漏洞、威脅和攻擊,并進(jìn)一步幫助我們?cè)u(píng)估風(fēng)險(xiǎn)、進(jìn)行應(yīng)急響應(yīng)和處置,指導(dǎo)企業(yè)和組織改進(jìn)防御控制機(jī)制、增強(qiáng)合規(guī)符合度,并向管理層傳遞安全態(tài)勢和防御效果,最終提升整個(gè)攻防對(duì)抗的效益。

就在11月份,SANS發(fā)布了最新一期的《安全分析與智能調(diào)研報(bào)告》。報(bào)告顯示,安全分析的價(jià)值排名靠前的五個(gè)分別是:更準(zhǔn)確地評(píng)估風(fēng)險(xiǎn)、檢測外部的基于惡意代碼的威脅(譬如0day攻擊)、獲得網(wǎng)絡(luò)和終端行為的可視性(Visibility)、建立行為基線識(shí)別行為異常、合規(guī)監(jiān)測與管理。

結(jié)合國際上安全分析的發(fā)展趨勢、Gartner的分析報(bào)告,以及我們對(duì)國內(nèi)客戶的差異性分析和具體實(shí)踐,我認(rèn)為,未來幾年數(shù)據(jù)驅(qū)動(dòng)的安全分析技術(shù)的發(fā)展動(dòng)向?qū)⑹牵褐悄芑⑶閳?bào)化、交互化、協(xié)作化。

智能化:這是數(shù)據(jù)驅(qū)動(dòng)的安全分析的核心,強(qiáng)調(diào)不依賴于既有特征和規(guī)則的分析。未來這方面將進(jìn)一步增強(qiáng),更多高級(jí)統(tǒng)計(jì)、機(jī)器學(xué)習(xí)、情境感知的技術(shù)將引入安全分析。

情報(bào)化:安全分析將更加依賴安全情報(bào),情報(bào)驅(qū)動(dòng)的安全分析將盛行。借助情報(bào),可以提升分析的效率,并更快地適應(yīng)對(duì)抗環(huán)境的變化。同時(shí),安全分析的結(jié)果也更多地以情報(bào)的方式進(jìn)行輸出。這里的安全情報(bào)可以分為戰(zhàn)略層的、操作層的和執(zhí)行層的,從技術(shù)上可以分為漏洞情報(bào)、威脅情報(bào)、攻擊情報(bào)等,從來源可以分為內(nèi)部情報(bào)、外部情報(bào)。

交互化:鑒于安全智能中期內(nèi)還無法成熟,安全分析、尤其是高級(jí)安全分析和威脅狩獵(Threat Hunting),將更多地依賴人機(jī)交互。系統(tǒng)更多地是盡可能地為人提供一套便捷高效的分析工具,安全分析將更多是一個(gè)人機(jī)促進(jìn)系統(tǒng),或者叫Human-augmented System。

協(xié)作化:這里的協(xié)作既包括人機(jī)協(xié)作、內(nèi)外部情報(bào)協(xié)作,更包括由于國內(nèi)現(xiàn)實(shí)情況而產(chǎn)生的人人協(xié)作。所謂人人協(xié)作,就是指在當(dāng)前企業(yè)和組織自身的安全分析能力、資源和分析師技能短缺的情況下,通過外部人才/力量來彌補(bǔ)的情形。這可以是安全分析設(shè)施和服務(wù)的整體或部分外包,也可以是人員外包、知識(shí)外包、人才培養(yǎng)等。企業(yè)和組織要找到安全分析的合作伙伴,而安全分析的廠商也要構(gòu)建起一個(gè)生態(tài)系統(tǒng)。

鏈接已復(fù)制,快去分享吧

企業(yè)網(wǎng)版權(quán)所有?2010-2024 京ICP備09108050號(hào)-6京公網(wǎng)安備 11010502049343號(hào)