大數(shù)據(jù)時代的來臨，企業(yè)不僅要學習如何挖掘數(shù)據(jù)價值，還要竭盡所能的進行安全整合，以免遭到更強有力的攻擊，降低風險。近日，在參加“OWASP 2015中國應用安全論壇——業(yè)務安全之大數(shù)據(jù)分析”會議上，WebRAY創(chuàng)始人權小文先生表示：“任何事物都有存在的兩面性，大數(shù)據(jù)也是如此，雖然黑客盯準了它，但大數(shù)據(jù)一樣可以用來反擊?；诖髷?shù)據(jù)分析的內(nèi)網(wǎng)異常檢測技術，已經(jīng)為有效發(fā)現(xiàn)和阻斷內(nèi)網(wǎng)攻擊的做好了準備?！?/p>

　　APT防范思路“掉頭”內(nèi)網(wǎng)

　　企業(yè)內(nèi)網(wǎng)承載大量的核心資產(chǎn)和機密數(shù)據(jù)，雖然用戶采用了層層疊加的網(wǎng)絡安全防護產(chǎn)品，SOC、監(jiān)控中心、網(wǎng)管系統(tǒng)、流量分析系統(tǒng)等處處把關，但出現(xiàn)在內(nèi)網(wǎng)的攻擊和泄露事件并未減少。究其緣由，這與內(nèi)網(wǎng)安全數(shù)年來不能改變的傳統(tǒng)防護技術有關，更與內(nèi)網(wǎng)入侵事件所處的場景化有關。

　　那么，何為“傳統(tǒng)”、何為“情景”呢?權小文做出了如下解答：

　　他指出，“內(nèi)網(wǎng)防護現(xiàn)狀是離散的、非體系化的防護方法，而大量的安全事件或者是內(nèi)部員工的惡意、無意造成，或者是長期的潛伏或離職意向前的突發(fā)行為。因此，要想在內(nèi)網(wǎng)發(fā)現(xiàn)不法人員盜取數(shù)據(jù)的‘行走軌跡’，就要借助防御APT攻擊的思路，針對內(nèi)網(wǎng)定制化的情景，通過獲取樣本，建立正常行為模型，然后分析內(nèi)部網(wǎng)絡流量或終端服務器上的行為，做到情景感知，這將是有別于傳統(tǒng)防御方案的新起點、后續(xù)監(jiān)測和分析的觸發(fā)點?！?/p>

　　據(jù)了解，APT攻擊防范的難點在于，黑客采用了高度定制的代碼，有時很可能只適用“一次”，隨之潛伏下來，由于沒有已知的特征，所以這些攻擊很難被傳統(tǒng)對檢測手段發(fā)現(xiàn)。而靜態(tài)檢測無法檢測到深度攻擊行為，但動態(tài)檢測由于存在大量的環(huán)境組合，無法窮舉，所以不應該使用任何一種單獨的方法對目標進行檢測，這就需要把所有信息關聯(lián)起來分析。而針對內(nèi)網(wǎng)環(huán)境，WebRAY所倡導的方法，是把有效對付APT攻擊的成功經(jīng)驗、關聯(lián)分析等技術部署在企業(yè)內(nèi)網(wǎng)情景中，而這必然離不開大數(shù)據(jù)技術作為“支點”。

　　大數(shù)據(jù)帶來“情景”分析新機遇

　　內(nèi)網(wǎng)安全的重要性不言而喻，那么，用戶部署安全攻擊防護產(chǎn)品、終端病毒的防范、對服務器加固、網(wǎng)絡隔離、部署身份認證和安全審計系統(tǒng)，這系列動作的目的又是什么呢?不外乎形成一個有效的流程：預警→監(jiān)控→溯源→安全事件責任認定。但是，現(xiàn)實與夢想總有差距。

　　權小文表示，大數(shù)據(jù)技術應用帶來了內(nèi)網(wǎng)檢測預警新形態(tài)和新機遇。他說，“由于傳統(tǒng)的、基于SOL存儲的安全信息無法整合分析，只能對可以定義的數(shù)據(jù)進行存儲，對于不能定義的數(shù)據(jù)丟棄，在數(shù)據(jù)的完整性層面勢單力薄。而大數(shù)據(jù)系統(tǒng)采用NoSQL的非結構化存儲，這種技術突破了之前SOC等系統(tǒng)采用的SQL存儲的模式，可以保存所有數(shù)據(jù)，保證了數(shù)據(jù)的完整性。”

　　作為大數(shù)據(jù)分析平臺，采集與存儲階段都要盡可能保證數(shù)據(jù)完整性，而WebRAY方案從路由器旁路采集數(shù)據(jù)流量、服務器狀態(tài)、安全設備的日志和相關信息，同時采用漏洞掃描器，主動去掃描檢測數(shù)據(jù)，構建大數(shù)據(jù)分析的因子，提高了判別的準確性。另外，大數(shù)據(jù)分析也讓WebRAY在業(yè)內(nèi)提出了先進的5W1H分析方法，并以此為主線，滿足了用戶內(nèi)網(wǎng)安全流程的建設目標，實現(xiàn)了內(nèi)控管理的情景感知。

　　5W1H分析系統(tǒng)中的情景感知因素有Who、When、Where、What、Why、How，通過這些因素可有構建出“主體”到“客體”的訪問行為情景。主體是人或應用，客體是應用或數(shù)據(jù)。而情境分析首先關注審計客體和審計動作，即以What和How為主要關聯(lián)對象，發(fā)現(xiàn)任何一個存在的異?，F(xiàn)象。這些常見的異常情景包括：登錄異常行為(異常時間、異常IP、多IP登錄、頻繁登錄失敗等)、業(yè)務違規(guī)行為(惡意業(yè)務訂購、業(yè)務只查詢不辦理、高頻業(yè)務訪問、業(yè)務繞行等)、共享賬號(一個賬號短時間換IP，一個IP登了多個賬號等)。另外，5W1H分析方法在網(wǎng)絡事件中的應用，還可以解決證據(jù)的準確性、完整性等問題就，并且通過合并、改變、簡化、取消等操作解決證據(jù)存儲瓶頸。

　　內(nèi)網(wǎng)安全“五步曲”

　　為了應對“新常態(tài)”下的安全風險，有效保障業(yè)務安全，OWASP 2015中國應用安全論壇重點圍繞“如何利用大數(shù)據(jù)分析來保障業(yè)務安全”進行多角度深層次的討論。而WebRAY所倡導的“大數(shù)據(jù)+情景化”的內(nèi)控安全方法更是得到了參會嘉賓的高度認可，與此同時，權小文還建議企業(yè)在內(nèi)控安全管理中，可以采用以下5個具體步驟進行實踐，從而實現(xiàn)大數(shù)據(jù)分析的內(nèi)網(wǎng)異常檢測：

　　第1階段中的主動采集、掃描、探測網(wǎng)絡威脅，以及監(jiān)控、識別獲取證據(jù)等，對應著登錄異常行為;第2階段中的數(shù)據(jù)關聯(lián)、分析、歸一化，對應源IP偽造、DDoS攻擊識別等流量異常行為;第3階段中的深度分析，用于形成完整的回溯流程、確定單獨事件的5W1H元素，形成混合模式的5W1H鏈條、以及針對Who鏈條的信譽體系庫;第4階段的計算與專家?guī)旖槿胧窃谇懊?個階段后開始，此時已經(jīng)能夠重現(xiàn)完整事件過程，而專家的介入，是為了校對事件追溯過程，通過內(nèi)置的事件分析模版，進行責任匹配等;第5階段是定責，這包括了初步認定結果、展示相關問題及其證據(jù)鏈、更新WHO信譽庫。

　　最后，權小文表示：“用戶需要重點注意的是在第2階段，需要事先定義好安全情景，其完整的功能包括數(shù)據(jù)關聯(lián)分析、歸并、形成Key-Value形態(tài)的范式，NOSQL存儲，便于檢索等，其目的在于解決重復登錄系統(tǒng)、異地登陸、繞行登錄等異常信息。而這個階段也是發(fā)揮‘大數(shù)據(jù)+情景化’的關鍵所在，是大數(shù)據(jù)內(nèi)網(wǎng)安全達到情景化、可視化、感知化，責任化的優(yōu)勢所在?！?/p>