2014年安全分析與安全智能調研報告

　　2014年10月份，緊接著(zhù)2014年度日志管理調研報告(Log management survey)，SANS又發(fā)布了2014年度的安全分析與智能調研報告(Analytics and Intelligence Survey 2014)。

　　SANS認為，安全分析與日志管理逐漸分開(kāi)了，當下主流的SIEM/安管平臺廠(chǎng)商將目光更多地聚焦到了安全分析和安全智能上，以實(shí)現所謂的下一代SIEM/安管平臺。而安全分析和安全智能則跟BDA(大數據分析)更加密切相關(guān)。

　　SANS對安全智能的定義采納了Gartner的定義。而安全智能(Security Intelligence)這個(gè)詞的最早定義就來(lái)自于Gartner的Fellow——約瑟夫.費曼(2010年的報告——《準備企業(yè)安全智能的興起》)。這，在2013年的日志分析調查報告中明確指出來(lái)了：企業(yè)安全智能包括對企業(yè)的IT系統中所有跟安全相關(guān)的數據的收集，以及安全團隊的知識和技能的運用，從而達成風(fēng)險消減的目的。

　　今年，SANS對安全分析(Security Analytics，或者叫安全數據分析，數據分析)給出了一個(gè)自己的定義：

　　The discovery (through various analysis techniques) and communication (such as through visualization) of meaningful patterns or intelligence in data.【對數據中有意義的模式或者情報(通過(guò)多種分析技術(shù))進(jìn)行發(fā)現和溝通(例如通過(guò)可視化方式)】

　　SANS還追溯了一下安全分析的起源，其實(shí)早在1986年就正式出現了。從最早的IDS，到后來(lái)的SIEM，再到現在的安全智能，形成了一條安全分析的發(fā)展時(shí)間線(xiàn)。

　　關(guān)于安全智能，SANS做了一個(gè)腳注，就是安全智能不是自動(dòng)化的機器智能，還需要訓練有素安全分析師的參與。

　　報告中，SANS還給威脅情報下了一個(gè)定義：Threat intelligence is the set of data collected, assessed and applied regarding security threats, malicious actors, exploits, malware, vulnerabilities and compromise indicators.

　　【注：安全智能跟安全/威脅情報中都有一個(gè)相同的英文Intelligence，但是含義還是有所區別的】

　　SANS對350位IT專(zhuān)業(yè)人士進(jìn)行了調查問(wèn)卷。報告顯示：

　　1)有47%的用戶(hù)依然投資在SIEM上，通過(guò)增強的SIEM獲得安全分析的能力;

　　2)27%的用戶(hù)將內部威脅情報關(guān)聯(lián)應用于SIEM;

　　3)61%的用戶(hù)認為大數據將在安全分析中扮演必不可少角色(36%認為大數據扮演關(guān)鍵角色，25%認為大數據是必要的，但不是最關(guān)鍵的);

　　4)47%的用戶(hù)認為他們的情報和分析實(shí)踐初步實(shí)現了自動(dòng)化。

　　SANS進(jìn)行了多項有針對性的調查。其中，“攻擊檢測與響應的障礙”首當其沖的是缺乏對應用、以及支撐的系統和脆弱性的可見(jiàn)性(39.1%);排在第二的障礙是難以理解和標識正常行為，進(jìn)而導致無(wú)法識別異常行為;排在第三位的是缺乏訓練有素的人;排在第四位的是不知道哪些是關(guān)鍵的需要采集的信息，以及如何進(jìn)行關(guān)聯(lián)。

　　在問(wèn)及“安全分析人員主要看什么系統產(chǎn)生的日志”時(shí)，57%的人選擇了傳統的邊界防御設備(FW/IDP)產(chǎn)生的告警;42%的人選擇了終端監測系統的告警(譬如防病毒)。此外，有37%的人選擇了“SIEM的自動(dòng)化告警”，還有32%的人選擇了通過(guò)SIEM/LM去進(jìn)行事件分析，并手工產(chǎn)生告警。SANS認為，調查結果表明下一代的SIEM具備自動(dòng)化分析和智能告警的能力。

　　在問(wèn)及“實(shí)現安全智能需要跟哪些檢測技術(shù)交互”時(shí)，幾乎各種檢測技術(shù)都有涉及，印證了安全智能的技術(shù)交互的廣泛性。在目前，主要交互(對接)的是FW/UTM/IDP、漏洞管理、基于主機的惡意代碼分析(終端防病毒)、SIEM、LM。在未來(lái)，計劃要交互的主要是基于網(wǎng)絡(luò )的惡意代碼分析(沙箱)、NAC、用戶(hù)行為監控。

　　在問(wèn)及“對當前安全分析能力的滿(mǎn)意度”時(shí)，最滿(mǎn)意的是分析的性能與響應時(shí)間，最不滿(mǎn)意的是安全分析的可見(jiàn)性，分析師的培訓以及分析師的緊缺排在最不滿(mǎn)意的第三位。

　　在問(wèn)及“應用安全分析最有價(jià)值的作用”是什么時(shí)，首選最高的是發(fā)現未知威脅，次選最高的是檢測內部威脅，第三選擇最高的是降低錯報。

　　在問(wèn)及“未來(lái)對安全分析/智能的投資”領(lǐng)域時(shí)，67%的受訪(fǎng)者選擇了培訓/人員，其次是事故響應能力，第三是SIEM(47%)。此外，選擇基于網(wǎng)絡(luò )包的分析、用戶(hù)行為監控、情報、大數據分析引擎的人都超過(guò)了20%。

【安全分析與安全智能調研報告】相關(guān)文章：

安全分析與安全智能調研報告07-23

食品安全調研分析報告（精選5篇）05-24

安全調研報告02-21

安全培訓調研報告04-05

勞動(dòng)安全調研報告03-23

安全生產(chǎn)調研報告06-21

學(xué)校安全的調研報告12-29

安全工作調研報告10-28

行業(yè)分析調研報告10-24

安全生產(chǎn)專(zhuān)題調研報告07-13