隨著大數(shù)據(jù)的興起，人們紛紛企望能夠在信息安全領(lǐng)域發(fā)揮作用南蓬，解決日趨嚴(yán)重的安全形勢，安全分析也就漸漸成為熱點之一优妙。通常安全分析主要利用數(shù)據(jù)分析工具反砌，對多種系統(tǒng)又憨、設(shè)備的日志或數(shù)據(jù)零如，進(jìn)行關(guān)聯(lián)分析耸携，尋找異常情況，并作出告警河劝，此外經(jīng)過大量的數(shù)據(jù)，可以從宏觀掌握整個信息安全態(tài)勢喳篇。
對于信息安全分析炊邦，首先要明確的確定工作方向和范圍，對于信息安全而言，最重要的就是對風(fēng)險的認(rèn)知传泊，安全分析同樣是應(yīng)對風(fēng)險的挑戰(zhàn)溪椎。
風(fēng)險的四個象限
常規(guī)從是否知道風(fēng)險普舆，將風(fēng)險劃分為已知風(fēng)險和未知風(fēng)險。經(jīng)過多年的安全從業(yè)經(jīng)驗校读，認(rèn)為可以從技術(shù)和人兩個因素分析沼侣，選定技術(shù)感知、認(rèn)知能力維度將風(fēng)險劃分為4種類型歉秫。分別為：
- 已知風(fēng)險
- 未意識的風(fēng)險
- 未感知的風(fēng)險
- 未知的未知風(fēng)險
安全分析的價值
根據(jù)上面四個象限來分析蛾洛，已知風(fēng)險需要的是立即處理，是執(zhí)行的問題不是分析的范疇雁芙，對于這方面的投入轧膘，很難體現(xiàn)出價值，這塊工作應(yīng)盡量采用自動化工具實現(xiàn)兔甘，減少人工成本谎碍。對于最有價值的“未知的未知風(fēng)險”，面臨認(rèn)知和技術(shù)的雙重挑戰(zhàn)裂明，必須建立在已經(jīng)有效控制“未感知的風(fēng)險”和“未意識的風(fēng)險”基礎(chǔ)之上椿浓。
安全分析的重點在于“未意識的風(fēng)險”及“未感知的風(fēng)險”太援，這兩個象限也是最能體現(xiàn)安全分析價值之處闽晦，通過分析解決技術(shù)難以發(fā)現(xiàn)的隱患，利用技術(shù)手段展示安全風(fēng)險提岔，提高安全意識仙蛉，達(dá)到更好的管理效果。
未意識的風(fēng)險
對于安全最重要的是安全意識碱蒙，如果無法意識到風(fēng)險荠瘪，技術(shù)技術(shù)上已經(jīng)感知到，也會被忽略赛惩。但現(xiàn)實情況往往是哀墓，技術(shù)設(shè)備發(fā)現(xiàn)大量的報警，往往會淹沒真正有價值的安全告警喷兼，導(dǎo)致難以發(fā)現(xiàn)真正的風(fēng)險點篮绰，即使有心也無力。
基于此季惯，安全分析的價值在于通過技術(shù)手段吠各，將發(fā)現(xiàn)的微小安全點臀突，進(jìn)行風(fēng)險點的評判，確保重要的信息不會被淹沒贾漏，或通過可視化手段候学，充分展示安全風(fēng)險，直觀展示需要關(guān)注的風(fēng)險纵散。當(dāng)存在的需要關(guān)注風(fēng)險點被充分暴露后梳码，會引起重視并有效處置。對于此類風(fēng)險困食，安全分析的價值在于：
發(fā)現(xiàn)有價值的信息边翁、利用可視化工具充分暴露安全風(fēng)險
通常處理辦法有：
- 優(yōu)化告警，提高告警的整體質(zhì)量
- 將日常正常需要關(guān)注的告警數(shù)降低在100以內(nèi)
- 告警聚合硕盹、告警抑制符匾，減少告警
- 自動化通知，采用報告方式告知用戶風(fēng)險
- 安全可視化瘩例，一目了然查看風(fēng)險
- 定期安全風(fēng)險報告
- ...
未感知的風(fēng)險
對于關(guān)注的風(fēng)險啊胶，單一安全設(shè)備或技術(shù)難以發(fā)現(xiàn)，針對這類風(fēng)險垛贤，要么采購安全設(shè)備焰坪，發(fā)現(xiàn)現(xiàn)有安全設(shè)備無法感知的風(fēng)險，要么利用現(xiàn)有的數(shù)據(jù)聘惦，通過關(guān)聯(lián)分析某饰、新的安全檢測模型，發(fā)現(xiàn)更多的安全隱患善绎。如果采用后者黔漂，對人員的技能要求更高。需要：
充分發(fā)揮創(chuàng)造力禀酱，分析安全隱患
可以通過技術(shù)分析的情況如下：
- 分析DNS請求情況
- 分析隱蔽通道
- 收集外部情報信息
- 對多種設(shè)備日志進(jìn)行關(guān)聯(lián)分析炬守，分析攻擊路徑
- 部署蜜罐、沙箱剂跟，收集更多信息
- 去除正常流量减途，對非正常流量分析
- 利用外部眾包方式安全測試
- ...
安全分析核心在于人，提高安全風(fēng)險意識曹洽，充分認(rèn)知技術(shù)變更鳍置，發(fā)揮人員創(chuàng)新的力量，有效管理安全風(fēng)險送淆，從而挑戰(zhàn)“未知的未知風(fēng)險”税产。
本文使用知識共享協(xié)議：署名-非商業(yè)性使用-相同方式共享 (BY-NC-SA 4.0) 協(xié)議
