近日，IBM 安全事業(yè)部宣布推出面向網(wǎng)絡(luò)安全的Watson（Watson for Cyber Security），這是業(yè)界首款旨在推動(dòng)認(rèn)知型安全運(yùn)營(yíng)中心（SOC）發(fā)展的增強(qiáng)智能技術(shù)。

在過(guò)去一年，Watson接受了網(wǎng)絡(luò)安全語(yǔ)言方面的培訓(xùn)，閱讀了100多萬(wàn)份安全文獻(xiàn)。現(xiàn)在，Watson能夠幫助安全分析師解析成千上萬(wàn)份自然語(yǔ)言的研究報(bào)告，而此類報(bào)告過(guò)去從未被現(xiàn)代安全工具所解讀。

IBM Watson推動(dòng)認(rèn)知型安全運(yùn)營(yíng)中心（SOC）發(fā)展

據(jù)IBM研究部門提供的信息，形形色色的安全團(tuán)隊(duì)每天平均掃描20多萬(wàn)次安全事件，但他們每年卻有超過(guò)20,000小時(shí)的時(shí)間浪費(fèi)在追查誤報(bào)事件上。因此，人們迫切需要把認(rèn)知技術(shù)引入安全運(yùn)營(yíng)中心；另外，為了應(yīng)付今后5年內(nèi)預(yù)計(jì)翻倍的安全事件，滿足全球范圍日益強(qiáng)化的監(jiān)管措施，認(rèn)知技術(shù)的引入必不可少。

面向網(wǎng)絡(luò)安全的Watson將被整合到IBM新推出的認(rèn)知型SOC平臺(tái)中，并將先進(jìn)的認(rèn)知技術(shù)與安全操作融合到一起，同時(shí)提供應(yīng)對(duì)跨端點(diǎn)、網(wǎng)絡(luò)、用戶和云端威脅的能力。該平臺(tái)的核心是IBM QRadar Watson Advisor，即IBM Security App Exchange中的一款新應(yīng)用。IBM Security App Exchange是首款充分挖掘Watson網(wǎng)絡(luò)安全洞察資料庫(kù)的工具。

隨著安全事件的急劇增長(zhǎng)，IBM一直致力于研究，將各種認(rèn)知工具納入其遍布全球的X-Force指揮中心網(wǎng)絡(luò)中。比如一款由Watson驅(qū)動(dòng)的聊天機(jī)器人，作為一項(xiàng)早期創(chuàng)新產(chǎn)品、這款機(jī)器人目前已經(jīng)能夠?yàn)镮BM Managed Security Services（IBM管理安全服務(wù)）的客戶使用。IBM還透露了一個(gè)代號(hào)為Havyn的新研究項(xiàng)目——一款具有開(kāi)創(chuàng)性的語(yǔ)音安全助手。它能夠基于Watson的對(duì)話技術(shù)響應(yīng)安全分析師發(fā)出的口頭命令和自然語(yǔ)言指示。

IBM認(rèn)知型SOC

安全團(tuán)隊(duì)正不斷發(fā)展阻止網(wǎng)絡(luò)犯罪的戰(zhàn)略和戰(zhàn)術(shù)，安全運(yùn)營(yíng)中心引入認(rèn)知技術(shù)對(duì)于發(fā)展進(jìn)程至關(guān)重要。IBM最近的一項(xiàng)研究發(fā)現(xiàn)，目前只有7％的安全專業(yè)人員在使用認(rèn)知工具；但在未來(lái)2-3年內(nèi)，該使用率預(yù)計(jì)將增長(zhǎng)三倍。

IBM認(rèn)知型SOC平臺(tái)將認(rèn)知技術(shù)帶到安全分析師面前，有效彌補(bǔ)了分析師們?cè)谥悄芊治鲱I(lǐng)域的缺陷，并幫助他們快速、準(zhǔn)確地對(duì)安全事件采取行動(dòng)。基于IBM QRadar安全智能平臺(tái)，安全分析師能利用集合認(rèn)知能力的IBM QRadar Watson Advisor應(yīng)用，對(duì)安全事件展開(kāi)調(diào)查和補(bǔ)救工作。該解決方案能基于IBM Watson的自然語(yǔ)言處理能力，分析安全博客、網(wǎng)站、研究論文以及其他文獻(xiàn)，并與QRadar提供的威脅情報(bào)和安全事件數(shù)據(jù)相關(guān)聯(lián)，從而幫助安全分析師調(diào)查潛在威脅，并將網(wǎng)絡(luò)安全調(diào)查的時(shí)間從幾周、幾天縮短至幾分鐘。

IBM安全事業(yè)部，發(fā)展與技術(shù)副總裁Denis Kennelly表示：“認(rèn)知型SOC現(xiàn)在已經(jīng)成為一個(gè)現(xiàn)實(shí)。它能夠協(xié)助客戶在對(duì)抗日益增長(zhǎng)的網(wǎng)絡(luò)犯罪以及下一代威脅的戰(zhàn)斗中獲得優(yōu)勢(shì)。我們對(duì)面向網(wǎng)絡(luò)安全的Watson（Watson for Cyber Security）的投入，已經(jīng)在短短一年內(nèi)催生了多項(xiàng)創(chuàng)新結(jié)果。人類智能及機(jī)器智能獨(dú)特能力的結(jié)合，對(duì)于下一階段戰(zhàn)勝高級(jí)網(wǎng)絡(luò)犯罪至關(guān)重要。”

為了把認(rèn)知型SOC的能力擴(kuò)展到更多端點(diǎn)，IBM 安全事業(yè)部還發(fā)布了一套名為IBM BigFix Detect的新型端點(diǎn)檢測(cè)和響應(yīng)（EDR）解決方案。該解決方案能夠幫助組織機(jī)構(gòu)充分了解不斷變化的端點(diǎn)格局，同時(shí)消除從“檢測(cè)到安全威脅”到“進(jìn)行補(bǔ)救”中間產(chǎn)生的誤差。 BigFix Detect正在使EDR既易于使用，又易于操作，這能夠讓安全分析師通過(guò)單一平臺(tái)查看并掌握其所有端點(diǎn)上存在的威脅，并據(jù)此采取行動(dòng)。

通過(guò)與IBM Resilient的事件響應(yīng)動(dòng)態(tài)劇本（playbook）綁定，客戶可以利用他們的認(rèn)知型SOC能力在其整個(gè)組織機(jī)構(gòu)中快速、準(zhǔn)確地自動(dòng)開(kāi)展和協(xié)調(diào)威脅響應(yīng)措施。IBM 認(rèn)知型SOC還匯集了IBM安全事業(yè)部提供的其他技術(shù)，其中包括用于網(wǎng)絡(luò)威脅搜尋的i2以及IBM X-Force Exchange。

認(rèn)知型安全服務(wù)和創(chuàng)新

IBM還將通過(guò)IBM Managed Security Services（IBM管理安全服務(wù)）在全球范圍幫助客戶設(shè)計(jì)、構(gòu)建和管理認(rèn)知型安全運(yùn)營(yíng)中心。在過(guò)去5年中，IBM已經(jīng)為數(shù)十個(gè)行業(yè)的客戶建立了300多個(gè)安全運(yùn)營(yíng)中心，這些行業(yè)包括消費(fèi)包裝品、零售、銀行和教育?？蛻艏瓤梢赃x擇讓本地部署的認(rèn)知型SOC，也可以選擇通過(guò)IBM云來(lái)管理，成為IBM X-Force指揮中心網(wǎng)絡(luò)的一部分。

IBM的X-Force指揮中心全球網(wǎng)絡(luò)正在使用諸如QRadar Watson Advisor等IBM認(rèn)知能力，以便加強(qiáng)對(duì)安全事件的調(diào)查。另一個(gè)有望成功應(yīng)用的案例是代號(hào)為Havyn的新研究項(xiàng)目，它賦予了認(rèn)知型SOC“聲音”。Havyn的目標(biāo)是創(chuàng)建一套語(yǔ)音驅(qū)動(dòng)的安全助手，通過(guò)與安全分析師進(jìn)行交互，對(duì)組織機(jī)構(gòu)安全狀態(tài)或安全威脅實(shí)現(xiàn)實(shí)時(shí)更新。

Havyn項(xiàng)目利用Watson API、BlueMix和IBM 云計(jì)算對(duì)言語(yǔ)請(qǐng)求和命令做出實(shí)時(shí)響應(yīng)，并能夠從開(kāi)源安全智能工具（包括IBM X-Force Exchange）中獲得數(shù)據(jù)，也能夠從具體客戶的歷史數(shù)據(jù)以及他們的安全工具中獲得數(shù)據(jù)。例如，Havyn可以向安全分析師提供有關(guān)已出現(xiàn)的新威脅的更新信息以及推薦的補(bǔ)救措施。Havyn目前正由IBM Managed Security Services（IBM管理安全服務(wù)）部門中精選的研究人員和分析師進(jìn)行測(cè)試。

目前，Watson每天還通過(guò)部署在IBM X-Force指揮中心網(wǎng)絡(luò)中的聊天機(jī)器人工具與客戶進(jìn)行交流，每月處理超過(guò)1萬(wàn)億次安全事件。客戶可以通過(guò)即時(shí)消息向Watson提出問(wèn)題，以了解他們的安全狀態(tài)或網(wǎng)絡(luò)配置情況。例如，客戶可以向Watson詢問(wèn)有關(guān)設(shè)備或工單狀態(tài)方面的問(wèn)題。該工具還能夠執(zhí)行IBM MSS客戶發(fā)出的命令，例如將某個(gè)工單重新分配給新的負(fù)責(zé)人。