大数据安全分析常见问题

xman

导　读：
大数据是时下最火热的IT行业的词汇，随着数据仓库、数据安全、数据分析、数据挖掘等等围绕大数量的商业价值的利用逐渐成为行业人士争相追捧的利润焦点。本人在与用户沟通大数据问题时经常会遇到一些问题，现将这些常见问题汇总，抛砖引玉，希望可以帮助到大家。
如何共筑消费新生态 网友：用好大数据

1. 大数据安全分析的核心目标是什么？

应答：为了能够找到隐藏在数据背后的安全真相。数据之间存在着关联，传统分析无法将海量数据汇总，但是大数据技术能够应对海量数据的分析需求。通过大数据基础能够挖掘出APT攻击、内网隐秘通道、异常用户行为等安全事件。在此基础上可建设为安全决策支持系统，为安全决策提供数据支撑。

2. 大数据安全分析企业级部署方案与成功案例介绍。

应答：在国家电网、运营商中已经有成功的案例。通过该分析平台能够进行整体的安全态势感知，以全局的角度对整体安全情况进行宏观掌控。 以运营商为例，将全网的数据汇总并进行数据挖掘工作，可视化的将结果进行呈现。

3. 国内外大数据安全分析的发展现状介绍。

应答：目前国外比较成熟的大数据安全分析主要以Cisco的Open SOC为代表。其通过采用大数据技术采集网络流量、安全设备日志、业务系统日志、网络设备日志，并对这些数据进行挖掘、关联等运算，最后找出安全事件。

4. 是否有成熟的大数据安全分析的方法论？

应答：我们要从两个角度来看这个问题。

首先，大数据是一个具体的技术实现。这个技术在其适用的场景下能够解决传统数据挖掘难以满足的需求。

而安全分析方法论是一直在不断革新的。安全分析方法论中仍然有一些理念是无法落地的，无法落地的核心问题是缺少技术支撑。

当前我们采用大数据技术不是对安全分析进行革新，而是将安全分析曾经无法实现的目标加以落地。就如同关系型数据的理念，其最早在1970年提出，而落地产品在1976年才有相应的雏形。大数据技术其实是安全分析方法论的落地实现。

5. 大数据安全分析支撑平台是否存在技术标准或规范？

应答：目前没有技术标准或规范，但是国家正在制定相应的标准。绿盟科技2016年会参与标准的制定工作。

6. 大数据安全分析类项目过程中容易遇到的技术难点或需要大量投入的环节？

应答：分析平台目前基本是成熟的技术，难点主要在与前期规划与安全分析两个环节。前期规划要能够准确的估算出硬件配置、存储容量等基础信息，后期的安全分析需要专业人员对数据进行深入挖掘。

7. 从大数据安全分析的角度如何实现数据驱动业务安全？

应答：通过大数据分析能够量化的明确当前企业中存在的安全事件，通过安全事件驱动业务发展，从而实现数据驱动业务安全的目标。

8. 作为非IT类型企业，要实现大数据安全分析所需的必要条件是什么？

应答：有专职的IT团队，有专职的安全团队，有必要的资源投入，有必要的流程支持。

9. 大数据安全分析可视化的技术现状如何？展示的内容、方法、形式有哪些？

应答：可视化技术一直都在不断发展中，在没有大数据之前可视化技术广泛被使用在BI系统中。随着大数据技术的成熟，可视化技术不仅能实现传统的饼图、折线图、散点图、柱状图、条形图之外，还能够以地图、热力图、气泡图、力图、平行坐标图等多维展示。

10. 如何从展现层面体现大数据安全分析的优势？

应答：展现只是安全分析的最后结果呈现。

大数据的安全分析的优势的核心是在于安全分析模型。在展示层面的优势完全来自于安全模型的定义，仅从展示层面不好说明其优势。这主要是因为，在没有大数据技术之前可视化展示技术也在快速发展。

11. 当前作为大数据安全分析最常用的数据类型有哪些？

应答：DDoS态势感知、溯源模型，APT攻击模型，资产脆弱性态势感知，网站脆弱性态势感知等等。

12. 如果从专家系统、统计分析、机器学习三个维度实现大数据安全分析，是否已有相应的算法或数据模型？

应答：这三个是不同的层面。

专家系统通常是由在线与离线两个组成部分。离线部分为客户本地的知识库，里面记录大量经验，通过历史经验对问题进行处理。在线部分为云端知识库系统，客户通过云端系统提出问题，解决问题，并且在线系统通常为7*24小时，由全球专家接力处理问题。

统计分析，通过简单的统计进行数据的过滤与结果呈现。通常由非专业人员进行简单的数据统计工作。能够从宏观的角度发现一些问题，但是无法实现深入的数据挖掘工作。为了应对这样的实际情况，在业务系统中会建设数据仓库，通过数据仓库来实现数据挖掘工作。但是由于建立数据仓库费时费力，只有在大型集团企业中才会将其使用在安全领域。

机器学习，实际上是程序自我矫正，实现结果的准确性。这是一个较为成熟的技术，在金融领域有很多成熟的案例。机器学习主要应用在难以人为划定规则的领域，如异常流量监测，异常行为检测等。通常使用在难以通过规则进行判断的业务场景中。

在这三个层面都有成熟的算法以及应用，并且都通过的实际场景的检验。

13. 关于APT攻击、0day攻击是否具备成熟的基于大数据的解决方案？

应答：APT攻击一般按照攻击链的方式进行攻击。

攻击链条分为三个阶段：

1.威胁进入阶段

2.威胁扩散阶段

3.数据窃取阶段。

APT攻击检测和防御，重点在于前两个阶段，威胁尝试进入和扩散，大数据分析利用威胁情报系统，对网络，邮件，安全，操作系统等层面的数据进行索引汇总，统计，关联分析，来检测进入企业的威胁。这是大数据分析在APT威胁检测领域的应用。

对于0Day漏洞，绿盟更多的利用部署在网络边界的威胁分析系统进行实时监控，通过对样本的静态分析和动态分析，判断是否存在威胁。经过样本分析引擎进行分析后，可以获得样本是否利用了0Day漏洞，根据样本自身的信誉信息，比如文件签名，样本用到的回连CnC地址，可以借助大数据引擎，对当前的数据以及归档的历史数据进行分析，定位和回溯受到影响的主机、用户等信息。

14. 对于已知的威胁模式，已实现的基于大数据的安全分析算法或模型有哪些？(列举UseCasae)

应答：

1）攻击链关联分析

同一资产，按照威胁检测的时间进行分析，描述攻击链条

2）归并统计

相同类型的攻击事件进行合并，多对一统计，一对多统计

3）威胁情报关联分析

根据威胁情报，对当前的数据和历史数据进行递归查询，生成告警事件

4）异常流量

学习正常访问流量，当流量异常时进行告警