物联传媒 旗下网站
登录 注册
RFID世界网 >  新闻中心  >  物联网新闻  >  正文

专家解析:大数据+情景化下的网络安全治理之道

作者:互联网世界采编
来源:C114中国通信网
日期:2015-07-06 16:14:15
摘要:大数据时代的来临,企业不仅要学习如何挖掘数据价值,还要竭尽所能的进行安全整合,以免遭到更强有力的攻击,降低风险。

  大数据时代的来临,企业不仅要学习如何挖掘数据价值,还要竭尽所能的进行安全整合,以免遭到更强有力的攻击,降低风险。近日,在参加“OWASP 2015中国应用安全论坛——业务安全之大数据分析”会议上,WebRAY创始人权小文先生表示:“任何事物都有存在的两面性,大数据也是如此,虽然黑客盯准了它,但大数据一样可以用来反击。基于大数据分析的内网异常检测技术,已经为有效发现和阻断内网攻击的做好了准备。”

  APT防范思路“掉头”内网

  企业内网承载大量的核心资产和机密数据,虽然用户采用了层层叠加的网络安全防护产品,SOC、监控中心、网管系统、流量分析系统等处处把关,但出现在内网的攻击和泄露事件并未减少。究其缘由,这与内网安全数年来不能改变的传统防护技术有关,更与内网入侵事件所处的场景化有关。

  那么,何为“传统”、何为“情景”呢?权小文做出了如下解答:

  他指出,“内网防护现状是离散的、非体系化的防护方法,而大量的安全事件或者是内部员工的恶意、无意造成,或者是长期的潜伏或离职意向前的突发行为。因此,要想在内网发现不法人员盗取数据的‘行走轨迹’,就要借助防御APT攻击的思路,针对内网定制化的情景,通过获取样本,建立正常行为模型,然后分析内部网络流量或终端服务器上的行为,做到情景感知,这将是有别于传统防御方案的新起点、后续监测和分析的触发点。”

  据了解,APT攻击防范的难点在于,黑客采用了高度定制的代码,有时很可能只适用“一次”,随之潜伏下来,由于没有已知的特征,所以这些攻击很难被传统对检测手段发现。而静态检测无法检测到深度攻击行为,但动态检测由于存在大量的环境组合,无法穷举,所以不应该使用任何一种单独的方法对目标进行检测,这就需要把所有信息关联起来分析。而针对内网环境,WebRAY所倡导的方法,是把有效对付APT攻击的成功经验、关联分析等技术部署在企业内网情景中,而这必然离不开大数据技术作为“支点”。

  大数据带来“情景”分析新机遇

  内网安全的重要性不言而喻,那么,用户部署安全攻击防护产品、终端病毒的防范、对服务器加固、网络隔离、部署身份认证和安全审计系统,这系列动作的目的又是什么呢?不外乎形成一个有效的流程:预警→监控→溯源→安全事件责任认定。但是,现实与梦想总有差距。

  权小文表示,大数据技术应用带来了内网检测预警新形态和新机遇。他说,“由于传统的、基于SOL存储的安全信息无法整合分析,只能对可以定义的数据进行存储,对于不能定义的数据丢弃,在数据的完整性层面势单力薄。而大数据系统采用NoSQL的非结构化存储,这种技术突破了之前SOC等系统采用的SQL存储的模式,可以保存所有数据,保证了数据的完整性。”

  作为大数据分析平台,采集与存储阶段都要尽可能保证数据完整性,而WebRAY方案从路由器旁路采集数据流量、服务器状态、安全设备的日志和相关信息,同时采用漏洞扫描器,主动去扫描检测数据,构建大数据分析的因子,提高了判别的准确性。另外,大数据分析也让WebRAY在业内提出了先进的5W1H分析方法,并以此为主线,满足了用户内网安全流程的建设目标,实现了内控管理的情景感知。

  

  5W1H分析系统中的情景感知因素有Who、When、Where、What、Why、How,通过这些因素可有构建出“主体”到“客体”的访问行为情景。主体是人或应用,客体是应用或数据。而情境分析首先关注审计客体和审计动作,即以What和How为主要关联对象,发现任何一个存在的异常现象。这些常见的异常情景包括:登录异常行为(异常时间、异常IP、多IP登录、频繁登录失败等)、业务违规行为(恶意业务订购、业务只查询不办理、高频业务访问、业务绕行等)、共享账号(一个账号短时间换IP,一个IP登了多个账号等)。另外,5W1H分析方法在网络事件中的应用,还可以解决证据的准确性、完整性等问题就,并且通过合并、改变、简化、取消等操作解决证据存储瓶颈。

  内网安全“五步曲”

  为了应对“新常态”下的安全风险,有效保障业务安全,OWASP 2015中国应用安全论坛重点围绕“如何利用大数据分析来保障业务安全”进行多角度深层次的讨论。而WebRAY所倡导的“大数据+情景化”的内控安全方法更是得到了参会嘉宾的高度认可,与此同时,权小文还建议企业在内控安全管理中,可以采用以下5个具体步骤进行实践,从而实现大数据分析的内网异常检测:

  

  第1阶段中的主动采集、扫描、探测网络威胁,以及监控、识别获取证据等,对应着登录异常行为;第2阶段中的数据关联、分析、归一化,对应源IP伪造、DDoS攻击识别等流量异常行为;第3阶段中的深度分析,用于形成完整的回溯流程、确定单独事件的5W1H元素,形成混合模式的5W1H链条、以及针对Who链条的信誉体系库;第4阶段的计算与专家库介入是在前面3个阶段后开始,此时已经能够重现完整事件过程,而专家的介入,是为了校对事件追溯过程,通过内置的事件分析模版,进行责任匹配等;第5阶段是定责,这包括了初步认定结果、展示相关问题及其证据链、更新WHO信誉库。

  

  最后,权小文表示:“用户需要重点注意的是在第2阶段,需要事先定义好安全情景,其完整的功能包括数据关联分析、归并、形成Key-Value形态的范式,NOSQL存储,便于检索等,其目的在于解决重复登录系统、异地登陆、绕行登录等异常信息。而这个阶段也是发挥‘大数据+情景化’的关键所在,是大数据内网安全达到情景化、可视化、感知化,责任化的优势所在。”