在混亂中求生 安全管理如何走出概念迷局

申請(qǐng)免費(fèi)試用、咨詢電話：400-8352-114

對(duì)于一個(gè)企業(yè)用戶來說，他們很難區(qū)分SOC、ESM、SIEM和Insider Threat在技術(shù)與概念上的差異。這就造成了安全管理市場的一片混亂。

當(dāng)IDC對(duì)企業(yè)內(nèi)部安全威脅潛在市場進(jìn)行過預(yù)測之后，大量的專業(yè)安全公司一時(shí)間全部傾盡全力投身于對(duì)SIEM（安全信息和事件管理）技術(shù)的研發(fā)，并一度引爆了ESM（企業(yè)安全管理）、Insider Threat（內(nèi)部威脅管控）與SOC（安全運(yùn)營中心）的話題，并最終在2007～2008年引發(fā)一場徹底的混亂。

安全管理概念混淆

對(duì)于一個(gè)企業(yè)用戶來說，他們很難區(qū)分SOC與SIEM在技術(shù)與概念上的差異。要知道，SIEM作為以安全信息和安全事件為基礎(chǔ)的管理平臺(tái)，一直以來都是企業(yè)安全策略的重要組成部分。應(yīng)該說，SIEM的關(guān)鍵信息點(diǎn)在于：標(biāo)準(zhǔn)化、整合化、關(guān)聯(lián)化、可視化。其核心思想是通過信息源的收集，實(shí)現(xiàn)對(duì)信息的關(guān)聯(lián)分析，提供基于風(fēng)險(xiǎn)與威脅的及時(shí)響應(yīng)，包括以法規(guī)遵從為導(dǎo)向的合規(guī)性保護(hù)。不幸的是，如同當(dāng)前面臨危機(jī)的UTM一樣，當(dāng)大家一起撲向SIEM時(shí)，技術(shù)本身獲得了神話般的光環(huán)，但應(yīng)用效果卻頻頻爆冷。其中最為棘手的就是SOC，雖然SOC被形容為“木桶原理中的桶箍”：它能把各種安全技術(shù)、安全產(chǎn)品、安全策略、安全措施等各種目標(biāo)箍在一起，共同形成一個(gè)堅(jiān)實(shí)的木桶，保護(hù)桶里面的資源。

發(fā)展到現(xiàn)在的SOC給企業(yè)用戶留下的印象更多是無用消息的堆砌以及無法實(shí)現(xiàn)的功能，以至于在國內(nèi)很難找到非常成功的SOC案例。

ArcSight全球工程研發(fā)副總裁宋海燕表示：“對(duì)用戶而言，SOC帶來的最大收益就是能把所有與安全有關(guān)的信息綜合起來，用戶在窗口中看到這些信息，同時(shí)接收采取行動(dòng)的建議。對(duì)很多公司來講，做一個(gè)大的SOC需要龐大的投入，這種投入如果在一開始標(biāo)定不清或者認(rèn)識(shí)不清，就會(huì)引發(fā)混亂。這種混亂主要體現(xiàn)在布局、規(guī)劃的不成功。其實(shí)，基于SIEM的方案是彈性的，大企業(yè)可以投入大量人力去建設(shè)ESM或者SOC，小企業(yè)也可以利用SIEM，通過郵件、短信息、黑莓等設(shè)備管控信息?！?

關(guān)注關(guān)聯(lián)分析

宋海燕認(rèn)為，實(shí)現(xiàn)SIEM技術(shù)的應(yīng)用化，有兩個(gè)問題不能忽視。第一，關(guān)聯(lián)分析技術(shù)需要做得靈活、完善。舉例來看，5分鐘之內(nèi)，某個(gè)事件如果發(fā)現(xiàn)了5次或者5次以上，系統(tǒng)就要作預(yù)警，這是最簡單的關(guān)聯(lián)分析。但國內(nèi)用戶需要的并非如此簡單的技術(shù)，用戶希望知道的是，某次安全事件發(fā)生了，那么下一次類似事件會(huì)在什么時(shí)間發(fā)生？換句話說，第二件事情發(fā)生的情況，就是根據(jù)第一件事情產(chǎn)生出的信息進(jìn)行關(guān)聯(lián)分析預(yù)測的，它能夠把非常多的因素加入到不同的分析模型中去。最重要的是，這些分析需要在實(shí)時(shí)的情況下去做，在很大的數(shù)據(jù)量的情況下完成。比如很多銀行用戶，它的應(yīng)用系統(tǒng)在一分鐘內(nèi)可以產(chǎn)生上百條信息，這對(duì)關(guān)聯(lián)分析引擎的功能要求非常高。

第二，數(shù)據(jù)收集要從平臺(tái)架構(gòu)出發(fā)。數(shù)據(jù)收集如果不從平臺(tái)架構(gòu)去想，那么用戶在IT系統(tǒng)中每增加一個(gè)新產(chǎn)品，廠商都不得不重頭開發(fā)。合理的做法是，廠商要為用戶提供一個(gè)架構(gòu)，可以快速部署上線進(jìn)行信息搜集。遺憾的是，能夠把很多沒有架構(gòu)、沒有結(jié)構(gòu)的信息用一種很好的方式給它統(tǒng)一化，實(shí)現(xiàn)的難度非常高。對(duì)于內(nèi)部威脅控制，她認(rèn)為，基于SIEM的做法就是實(shí)現(xiàn)對(duì)于企業(yè)人員的監(jiān)控、以及對(duì)于人員在企業(yè)各個(gè)資產(chǎn)操作上的監(jiān)控。一個(gè)合理的建議是，盡可能地建立人員身份模型并吸收到相關(guān)SIEM系統(tǒng)中去。通過建立一個(gè)不斷更新的架構(gòu)，將企業(yè)人員的角色和其應(yīng)該做的事情聯(lián)系在一起，開展基于身份、角色、時(shí)間地點(diǎn)的關(guān)聯(lián)分析。（中國信息安全）