以大年夜數(shù)據(jù)為中間的安然系統(tǒng)是不是已成過往式?按照2013 RSA大年夜會(huì)上的一個(gè)安然專業(yè)會(huì)議，良多未利用安然性大年夜數(shù)據(jù)匯集系統(tǒng)往發(fā)現(xiàn)報(bào)復(fù)打擊行動(dòng)的組織可能已處于掉隊(duì)位置。
在一次環(huán)繞利用大年夜數(shù)據(jù)實(shí)現(xiàn)更優(yōu)安然監(jiān)控的會(huì)商中，小構(gòu)成員會(huì)商了闡發(fā)大年夜量收集安然事務(wù)的首要性。紐約投資銀行的CISO Ramin Safai指出，他的公司每秒會(huì)有5,000次收集事務(wù)，每天會(huì)從中捕獲25 TB數(shù)據(jù);他的三人收集闡發(fā)團(tuán)隊(duì)凡是會(huì)寄望此中50個(gè)標(biāo)題問題，此中兩人驗(yàn)證它們是不是合法。
而在行業(yè)的最高范疇，eBay的X.commerce部門信息安然官Alex Tosheff指出，他的組織在內(nèi)部每秒會(huì)發(fā)現(xiàn)10,000個(gè)事務(wù)，每天會(huì)記實(shí)近1 PB的事務(wù)數(shù)據(jù)，這還不包含他所撐持的外部“出產(chǎn)”環(huán)境，即eBay.com、StubHub.com等。
所以，為了尋覓首要的安然事務(wù)，良多組織擺設(shè)了一些系統(tǒng)，專門用于捕獲最首要的數(shù)據(jù)——來自收集、終端、數(shù)據(jù)庫、利用和身份與拜候治理系統(tǒng)的數(shù)據(jù)，可是這只是最簡(jiǎn)單的部門。發(fā)現(xiàn)那些極少數(shù)預(yù)示暗藏報(bào)復(fù)打擊的事務(wù)才是最堅(jiān)苦的工作。
Overstock.com手藝副總裁Carter Lee說：“首要的是，您的闡發(fā)引擎需要與所有最好組合手藝協(xié)作。”他指出，開放系統(tǒng)凡是優(yōu)于大年夜型供給商產(chǎn)品，因?yàn)榇竽暌箯S商需要持久鎖定用戶，并且不常常為新威脅進(jìn)級(jí)新補(bǔ)丁。
Tosheff指出，他的組織已對(duì)峙這類模式5年時(shí)候了，而他們組合利用一些非市場(chǎng)發(fā)賣和自行開辟的東西，這些東西利用自定義的法則集，專門用于查找數(shù)據(jù)泄漏事務(wù)。我們盡可能與時(shí)俱進(jìn)。這是手藝比賽，過程很有難度，但這是我們必然要做的工作。
大年夜數(shù)據(jù)2.0：利用數(shù)據(jù)發(fā)現(xiàn)報(bào)復(fù)打擊行動(dòng)
但小構(gòu)成員指出，只是發(fā)現(xiàn)歹意事務(wù)還不敷。伯明翰咨詢公司IT-Harvest的Moderator Richard Stiennon指出，他在往年與大年夜型防御供給商合作時(shí)初次熟諳到這一點(diǎn)。他寄望到一個(gè)趨勢(shì)，他們用大年夜數(shù)據(jù)發(fā)現(xiàn)和聯(lián)系關(guān)系一些首要報(bào)復(fù)打擊指標(biāo)，并將它們按行動(dòng)進(jìn)行分類——由已知威脅倡議人倡議的有規(guī)律的、多向報(bào)復(fù)打擊。
Tosheff指出，他地點(diǎn)公司的電子犯法檢測(cè)小組也具有近似的職責(zé)，它將本身的內(nèi)部諜報(bào)與外部信息源組合，從中發(fā)現(xiàn)各類歹意報(bào)復(fù)打擊者，包含棍騙、黑客或數(shù)據(jù)盜竊。然后，首要結(jié)論會(huì)被記實(shí)到一個(gè)通用詞典中，并且經(jīng)由過程一些機(jī)制(如金融辦事信息共享與闡發(fā)中間(FS-ISAC))快速共享到各個(gè)行業(yè)組中。
Datashield咨詢的CISO Praveen Money說：“跟蹤報(bào)復(fù)打擊行動(dòng)很是首要。假定不如許做，那么趕快開端。這些組合功能可以幫忙您檢測(cè)和防御下一次報(bào)復(fù)打擊。經(jīng)由過程將事務(wù)進(jìn)行聯(lián)系關(guān)系和發(fā)現(xiàn)通用屬性，企業(yè)便可以發(fā)現(xiàn)報(bào)復(fù)打擊者的身份及厥后續(xù)行動(dòng)，從而縮短將來檢測(cè)與響應(yīng)的時(shí)候。首要指標(biāo)本身并沒有太多含義，可是假定將它們聯(lián)系關(guān)系在一路，您便可以發(fā)現(xiàn)一些不良環(huán)境。將它們聯(lián)系關(guān)系后回納為一個(gè)報(bào)復(fù)打擊行動(dòng)，響應(yīng)便可以獲得沖破性進(jìn)展。”
Splunk比SIEM系統(tǒng)更受歡迎
成心思的是，幾近所有小構(gòu)成員都暗示，他們都利用成熟的數(shù)據(jù)包捕獲與闡發(fā)東西 Splunk作為他們首要的數(shù)據(jù)闡發(fā)東西，而不利用昂貴的商業(yè)安然信息與事務(wù)治理(SIEM)產(chǎn)品。
Safai指出，即便他的組織將各類日記保留到一個(gè)SIEM中，這些數(shù)據(jù)也會(huì)再保留到Splunk中，因?yàn)闆]有其他東西可以或許措置如許大年夜的數(shù)據(jù)容量與復(fù)雜性。當(dāng)然Safai曾與SIEM供給商溝經(jīng)由過程，可是他們都不克不及夠供給與之匹配的功能：快速定位到數(shù)據(jù)集，查看特定的時(shí)候或設(shè)備，切確查找某個(gè)事務(wù)，然后再返回，用這個(gè)事務(wù)作為解纜點(diǎn)，尋覓一些趨勢(shì)或近似的事務(wù)。
Safai說：“恰是這個(gè)功能及其速度決定了我們的選擇。我們的SIEM做不到這一點(diǎn);它很慢，需要24個(gè)小時(shí)，而Splunk只要2分鐘。”Tosheff評(píng)價(jià)Splunk說：“它與工程師想象的工作編制慎密吻合。它是一個(gè)矯捷的東西。一個(gè)SIEM還沒法籠蓋所有暗藏的數(shù)據(jù)來歷。他說：“您必需盡力成立適應(yīng)您本身環(huán)境的東西。您是不成能直接用錢買到如許的東西。”
火急需要更多的數(shù)據(jù)人才
可是，即便有最好組合的商業(yè)東西與自定義法則集，小構(gòu)成員仍然覺得，還需要有操練有素的天才數(shù)據(jù)闡發(fā)人員才能闡發(fā)這些異?，F(xiàn)象和機(jī)械沒法總能發(fā)現(xiàn)的報(bào)復(fù)打擊行動(dòng)。
而天才數(shù)據(jù)闡發(fā)人員可能鳳毛麟角。有一名成員在會(huì)議上指出，數(shù)據(jù)人才是此刻IT行業(yè)中最吃噴鼻的職業(yè)。Safai說，選擇由大年夜學(xué)合作培養(yǎng)的學(xué)生負(fù)責(zé)闡發(fā)數(shù)據(jù)，拋卻一些實(shí)際工作經(jīng)驗(yàn)，可以在必然程度上減緩這個(gè)標(biāo)題問題。
Money說：“從我的經(jīng)驗(yàn)看，您可以在工程社區(qū)發(fā)現(xiàn)一些天才數(shù)據(jù)闡發(fā)人員。”他指出，他的公司將一些IT人員指派到各類不合的職位上，讓他們有機(jī)緣介入數(shù)據(jù)闡發(fā)東西，然后為他們供給各類行業(yè)會(huì)議的差川資作為嘉獎(jiǎng)。
Lee說：“假定您熟諳18歲的孩子，那么把X-Box游戲機(jī)節(jié)制器從他們手中拿走，然后奉告他們好好進(jìn)修進(jìn)進(jìn)這個(gè)前程無量的范疇。”這可能最可以或許反應(yīng)全部行業(yè)對(duì)數(shù)據(jù)闡發(fā)天才的貧乏。