你好,游客 登录 注册 搜索
背景:
阅读新闻

善用大数据理解恶意攻击的前因后果

[日期:2015-07-06] 来源:中国大数据  作者: [字体: ]

大数据

    面对层出不穷的资安事件,企业IT管理者的最大期望,并非仅止於在第一时间出手拦阻,而是深切了解该事件的人事时地物,洞察其来龙去脉,只因唯有如此,才能将原始病根清理殆尽,根除日後复发的可能性。

    「只不过,单凭传统工具,无法完全呈现企业IT管理者想看的真相,」安创资讯技术长胡辰澔说,此乃由於,不同的工具挟带不同介面,各自留存了发散的资讯内容,即使动用资安事件管理平台(SIEM),将这些散乱讯息整合至单一仪表板,看似已经过有效汇整,但仍经常予人「不知该从哪里看起」之叹,同样未能发挥预期功效。

    然而企业就这麽放弃了?当然不行,举凡防毒软体、防火墙、入侵防御系统(IPS)、网页应用程式防火墙(WAF)、伺服器日志、应用程式日志,虽然各有管理介面徒增汇整困难,但它们都是赖以判断企业资讯安全状态的必要依据,缺一不可,所以企业IT管理人员仍应设法将它们融会贯通,以期了解资安威胁的真因。

    仅靠设备日志  无法洞悉安全事件原貌

    在传统上,要达到前述目标,似乎仍离不开SIEM,也就是必须倚靠SIEM平台进行Log正规化,接着汇集所有Log,执行关联性分析,最终透过SIEM仪表板呈现分析报表,若分析结果触发某些预设安全规则,亦会立即对IT管理者发送告警。

    但麻烦的是,随着资安威胁型态愈显复杂,企业仅靠内部资安设备、应用程式或伺服器日志的交叉比对,已无法还原资安事件全貌,其余诸如Web应用资料、语音或通讯数据、电子邮件、效能监控数据、身分管理讯息,甚或是外部资料来源,都有必要一并纳入整合分析范畴,如果仍藉由传统资安事件管理机制来执行此项统合式任务,不免有其问题。

    胡辰澔分析,传统安全管理机制所产出的报表,大抵分为三大类,分别满足事件调查、事件监识、法规遵循等三面向需求;然而只要是管理系统,一定有资料库存在,经由大量数据的日积月累,势必会影响I/O效能,再者,由於资讯过於繁杂众多,导致管理者要嘛「懒得看」,要嘛也很难理解大量资讯的个中意涵。

    如此一来,上述不管是基於事件调查、事件监识、法规遵循等目的之相关人士,都面临共通难题,即是无法即时获得想要的答案;据统计,在台湾面对每一项安全事件的反应时间,平均落在3~5天水准,更有甚者,往往是肇因於新闻报导、同业口耳相传,或是受害用户反应,企业IT管理人员方知已有事故发生,接着才做出必要处置动作,否则自己根本浑然不觉;这般反应速度,与各项法规所要求的15~30分钟内展开应变,着实差距甚远。

    愈是这样,愈是让骇客们额手称庆,因为他们只需要好整以暇慢慢来,慢慢了解你的整体环境,慢慢渗透你的环境内部,似乎不会遭遇太多挑战,就能一步步窃取你的机敏资产。

    大数据分析加GUI视图  助企业透析攻击活动

    面对如此险恶的处境,企业应当如何是好?胡辰澔建议应该「Think Outside the Box」,也就是抛开IT管理所熟知的资安事件分析模式,譬如SIEM,转而推动行为式分析,无论是大量系统、资料,或来自於环境的风吹草动,乃至於外部的GeoIP、黑名单、Watch Lists、媒体报导、社交网路的Chatter,皆可作为企业的情报来源,另以辅以企业本身的智慧分析能量,如此才能真正找出遭受骇客攻击的问题症结。

    在此前提下,胡辰澔认为,企业不只需要把所有设备的资料一网打尽,也需要针对设想与此事有关的任何非结构化资讯,予以大肆蒐集,并将这些庞大资料通通纳进Hadoop平台,执行巨量资料分析,最终再藉由商业智慧(BI)画面呈现分析成果;值得一提的,Hadoop最令人津津乐道的特色,乃在於其结构可以一直延伸,目前全球最大的运用案例,系动用多达十余万台节点串联成为庞大平行运算/储存架构,因此企业完全不需担心资料量过大而致系统难以支撑。

    「企业不要把脑袋放在箱子里,」胡辰澔说,企业一旦跳脱既有资讯安全设备日志,跳脱SIEM或日志管理格局,拥抱大数据分析,等於是将视野无限广大,所能理解的资安事件症结,绝对比以往多得多。

    比方说,安创资讯有一家客户,透过一年资安资讯的累积,再结合Google Map呈现来源与目标的连线状况,作为一个可以综览全局的雷达图,继而自由依据单位、事件名称、连线事件进行筛选,意外窥见以往看不出的现象,即是每条不同IP连线所构成的曲线过程,都存在若干断点,经过分析,发现造成这些断点的外来IP型态、发动攻击次数皆属一致,有了这个依据後,该企业甚至可透过What If预测未来攻击趋势,并据此抽丝剥茧,逐一详查现行安全设定何者正确、何者错误,从而将企业防御体质调理到更加健全的状态,成效可见一斑。





收藏 推荐 打印 | 录入:Cstor | 阅读:
本文评论   查看全部评论 (5)
表情: 表情 姓名: 字数
点评:
       
评论声明
  • 尊重网上道德,遵守中华人民共和国的各项有关法律法规
  • 承担一切因您的行为而直接或间接导致的民事或刑事法律责任
  • 本站管理人员有权保留或删除其管辖留言中的任意内容
  • 本站有权在网站内转载或引用您的评论
  • 参与本评论即表明您已经阅读并接受上述条款