企業(yè)需要?jiǎng)討B(tài)的諜報(bào)驅(qū)動(dòng)型防御辦法來有效辨認(rèn)之前沒有見過的歹意行動(dòng);這些異常行動(dòng)終很可能帶來危險(xiǎn)的零日?qǐng)?bào)復(fù)打擊——這類報(bào)復(fù)打擊每天在互聯(lián)網(wǎng)上殘虐。而企業(yè)防御的關(guān)頭構(gòu)成部門是安然信息和事務(wù)治理(SIEM)產(chǎn)品，SIEM為企業(yè)供給了中間存儲(chǔ)庫來匯集和監(jiān)控收集行動(dòng)。
不幸的是，糟的擺設(shè)和供給商的過度發(fā)賣讓SIEM留下了不好的名聲。與此同時(shí)，良多企業(yè)擺設(shè)SIEM只是為了知足合規(guī)性陳述要求，很少有企業(yè)充分操縱該手藝的事務(wù)治理功能。
但是，第二代SIEM產(chǎn)品可能會(huì)改變這類狀況。第二代SIEM具有進(jìn)步前輩的安然闡發(fā)，并且數(shù)據(jù)匯集也擴(kuò)大年夜了范圍及范圍，這意味著良多不合的事務(wù)可以用來及時(shí)找出異常勾當(dāng)。
企業(yè)創(chuàng)作發(fā)現(xiàn)了海量的數(shù)據(jù)：電子郵件、文檔、社交媒體交互、音頻、收集流量、點(diǎn)擊流、被拜候文件的日記信息、注冊(cè)表變動(dòng)和被啟動(dòng)和遏制的過程，這些數(shù)據(jù)可以用于發(fā)現(xiàn)異常勾當(dāng)。同時(shí)，系統(tǒng)信息(例如措置器和內(nèi)存操縱率)也能夠用來發(fā)現(xiàn)系統(tǒng)中意想不到的改變。面對(duì)這復(fù)雜年夜的數(shù)據(jù)，在評(píng)估下一代SIEM產(chǎn)品時(shí)，可擴(kuò)大性、強(qiáng)大年夜的闡發(fā)東西和對(duì)異構(gòu)事務(wù)源的撐持是最首要的功能，出格是當(dāng)涉及時(shí)候敏感型法度(例如訛詐檢測)時(shí)。另外一個(gè)關(guān)頭身分是用于可視化和摸索這些數(shù)據(jù)的東西，還有基于營業(yè)方面的可把持諜報(bào)，如許企業(yè)便可以發(fā)現(xiàn)并優(yōu)先措置構(gòu)成最大年夜風(fēng)險(xiǎn)的威脅。
為了充分操縱所有這些數(shù)據(jù)，和經(jīng)由過程發(fā)現(xiàn)深躲在企業(yè)數(shù)據(jù)中的線索以進(jìn)步檢測率，SIEM需要操縱“自適應(yīng)智能”;換句話說，它必需體味甚么是正常事務(wù)，從而熟諳甚么是異常事務(wù)，因?yàn)楫惓Ｊ聞?wù)是高級(jí)威脅或數(shù)據(jù)泄漏變亂的首要指標(biāo)。SIEM還必需可以或許辨認(rèn)報(bào)復(fù)打擊模式，即便報(bào)復(fù)打擊已分散了一段時(shí)候。設(shè)置SIEM法則是一個(gè)幾次的過程，不外，有些產(chǎn)品可以或許撐持基于法則和沒法則相干性的同時(shí)利用，從而削減初始建設(shè)時(shí)候，主動(dòng)化登錄和身份驗(yàn)證監(jiān)控過程，和削減誤報(bào)數(shù)量。當(dāng)然自進(jìn)修算法仍然處于起步階段，但操縱恍惚邏輯、行動(dòng)闡發(fā)、聚類算法和策略法則的及時(shí)身份聯(lián)系關(guān)系可以或許供給真實(shí)的無簽名檢測，以避免未經(jīng)授權(quán)拜候，并在用戶、賬戶和資本程度找出異常勾當(dāng)。
別的，連絡(luò)來自全球安然社區(qū)的外部威脅諜報(bào)可以進(jìn)一步明白甚么是正常事務(wù)或可接管事務(wù)，如許，闡發(fā)將不再局限于一家企業(yè)產(chǎn)生的數(shù)據(jù)。對(duì)此，企業(yè)應(yīng)尋覓矯捷的易于擺設(shè)的數(shù)據(jù)來歷，讓現(xiàn)有安然監(jiān)控產(chǎn)品可以有效地操縱它們。對(duì)布局化數(shù)據(jù)和非布局化數(shù)據(jù)的及時(shí)闡發(fā)是必不成少的。
對(duì)將數(shù)據(jù)存儲(chǔ)在云中的企業(yè)，他們應(yīng)當(dāng)尋覓撐持SIEM數(shù)據(jù)被內(nèi)部SIEM匯集的辦事供給商。這可以或許供給云計(jì)較和內(nèi)部環(huán)境的統(tǒng)一視圖，前提是SIEM可以或許措置供給商的數(shù)據(jù)—這多是不合的格局。在平臺(tái)即辦事(PaaD)環(huán)境中，企業(yè)可以安裝監(jiān)控代辦署理來推送流量和日記到內(nèi)部辦事器進(jìn)行措置，而一些SIEM東西可以操縱特定的軟件即辦事(SaaS)利用法度接口來從公共云匯集日記信息，如許企業(yè)可以聯(lián)系關(guān)系跨多個(gè)平臺(tái)的事務(wù)，從而產(chǎn)生連絡(luò)了內(nèi)部和云計(jì)較利用的儀表板視圖和審計(jì)陳述。但是，收集帶寬、延遲和數(shù)據(jù)傳輸成本阻礙著企業(yè)即時(shí)間斷歹意勾當(dāng)。
對(duì)任何SIEM來講，為匯集和闡發(fā)的信息供給儀表板視圖是一個(gè)首要的功能，一樣首要的是，供給有效對(duì)策的可把持陳述，如許，治理員可以看到哪里最需要寄望。同時(shí)，請(qǐng)不要忽視以不合編制輸出信息的功能，因?yàn)椴缓虾锰幭喔烧呖赡芟胍P(guān)于牽扯到其好處的安然風(fēng)險(xiǎn)的信息，最后是以他們可以或許理解的程度來閃現(xiàn)，以便他們充分體味到其相干性。這將會(huì)使會(huì)商更等閑，并且更快速地找出最合適的做法。
為了加快決定計(jì)劃，企業(yè)不但需要向SIEM供給更多信息，和讓它可以或許更快發(fā)現(xiàn)事務(wù);安然團(tuán)隊(duì)還必需可以或許更快反應(yīng)和響應(yīng)。事務(wù)響應(yīng)團(tuán)隊(duì)需要熟諳SIEM生成的警報(bào)和警告類型，并擺設(shè)行之有效的法度。這不但可以或許確保準(zhǔn)確的人知道采納準(zhǔn)確的步履，并且這些工作可以或許進(jìn)行調(diào)和。
當(dāng)然，安然團(tuán)隊(duì)必需有能力來措置和響應(yīng)SIEM生成的額外警報(bào)和警告，抽出時(shí)候來清算和分類數(shù)據(jù)資產(chǎn)將讓SIEM更好地優(yōu)先排序威脅。SIEM內(nèi)有時(shí)還包含資產(chǎn)發(fā)現(xiàn)和闡發(fā)東西，這兩個(gè)東西可以或許削減花在收集資產(chǎn)分類的事務(wù)，也能夠或許應(yīng)對(duì)建設(shè)改變和硬件和軟件變動(dòng)。
杰出的安然性是一個(gè)延續(xù)的過程，資本豐碩和杰出建設(shè)的SIEM可以供給關(guān)于安然狀況、縫隙和威脅的及時(shí)信息，從而撐持安然團(tuán)隊(duì)治理和呵護(hù)運(yùn)行其核心任務(wù)和營業(yè)功能的信息系統(tǒng)。假定團(tuán)隊(duì)有充沛的資本和顛末測試的法度，企業(yè)整體信息安然將會(huì)獲得改良。在任甚么時(shí)辰候，這都是個(gè)有價(jià)值的方針。