當(dāng)前安全工具并不能應(yīng)對所有的數(shù)據(jù)的問題：OpenSOC呼吁大數(shù)據(jù)技術(shù)和開源技術(shù)。

幾年前，行業(yè)媒體DarkReading的執(zhí)行編輯凱利•杰克遜•希金斯表示安全專家最想知道，但不想承認(rèn)的事，“有越來越多的宿命感：它不再是如果或當(dāng)你遭受過黑客攻擊，而其前提是假設(shè)你必須已經(jīng)被攻擊，重點(diǎn)是盡量減少損害。”

然而這不是數(shù)據(jù)中心運(yùn)營商所希望聽到的。

不要放棄

技術(shù)先進(jìn)的對手顯然有能力戰(zhàn)勝當(dāng)前最佳實(shí)踐安全系統(tǒng)，這可能助長人們這種無能為力的感覺。然而，思科公司為了其信用并不準(zhǔn)備放棄。思科服務(wù)公司2014發(fā)布《托管威脅防御》旨在保護(hù)客戶免受已知的入侵，零日攻擊和高級持續(xù)性威脅。

思科公司產(chǎn)品安全事件響應(yīng)團(tuán)隊(duì)（PSIRT）首席工程師奧馬爾•桑托斯表示，為了使托管威脅防御具備可行的威懾力，思科制定了以下規(guī)則（博客文章）：

•能夠捕獲完整的數(shù)據(jù)包級數(shù)據(jù)，并提取協(xié)議元數(shù)據(jù)，以創(chuàng)建每個(gè)客戶網(wǎng)絡(luò)的獨(dú)特配置文件。

•全球網(wǎng)絡(luò)安全運(yùn)營中心將獲得黑客的活動警報(bào)

•該技術(shù)將警報(bào)數(shù)據(jù)，企業(yè)的資料，以及思科的威脅情報(bào)結(jié)合在一起，創(chuàng)建一個(gè)行動計(jì)劃

幾乎同時(shí)，思科分析師注意到，報(bào)警數(shù)據(jù)需要處理量遠(yuǎn)遠(yuǎn)超過他們的設(shè)想。其服務(wù)的客戶數(shù)據(jù)泛濫，其中包括一些大型企業(yè)組織。分析師不能從簡單的日志條目分離出重要的信息。

現(xiàn)有的方法太慢

由于捕獲的數(shù)據(jù)量，對手能夠利用一些時(shí)間來分析英特爾，并制定響應(yīng)所需的長度。“如果產(chǎn)生一個(gè)突破口，泄露敏感的客戶信息，或知識產(chǎn)權(quán)受到損害，企業(yè)業(yè)的聲譽(yù)、資源、知識產(chǎn)權(quán)則面臨更大的風(fēng)險(xiǎn)。”對于思科公司這個(gè)博客文章，思科安全解決方案前經(jīng)理人巴勃羅•薩拉薩爾解釋說。“快速識別和解決問題的關(guān)鍵，但傳統(tǒng)的方法來安全事故的調(diào)查可能會很耗時(shí)。”

據(jù)薩拉薩爾傳統(tǒng)方法需要研究：

•從安全事故和事件管理報(bào)告（以及運(yùn)行批查詢的其他情況下的其他遙測源）

•外部威脅情報(bào)來源，以揭露主動警告潛在的攻擊

•為了確定背景下的網(wǎng)絡(luò)取證工具全包捕獲和歷史紀(jì)錄

為了應(yīng)對數(shù)據(jù)過載，以及為客戶提供更好的服務(wù)托管威脅防御，思科公司和Hortonworks公司開發(fā)了安全分析框架OpenSOC。

分析平臺

OpenSOC架構(gòu)（Cisco和OpenSOC項(xiàng)目）

OpenSOC采用大數(shù)據(jù)分析和機(jī)器，提供了一個(gè)應(yīng)用程序異常檢測和事件取證平臺，“通過集成在Hadoop生態(tài)系統(tǒng)，如Storm、Kafka,以及Elasticsearch；OpenSOC提供一種整合能力的可擴(kuò)展的平臺，如全方位捕獲索引，存儲，數(shù)據(jù)豐富，流處理，批量處理，實(shí)時(shí)搜索，以及遙測聚集。”薩拉薩爾說，“它還提供了一個(gè)集中的平臺，使安全分析師檢測和快速應(yīng)對先進(jìn)的安全威脅。”

OpenSOC關(guān)鍵要素

為了將原始數(shù)據(jù)轉(zhuǎn)化為可操作的信息，盡快，薩拉薩爾表示OpenSOC開發(fā)團(tuán)隊(duì)專注于三個(gè)關(guān)鍵要素：

•語境：

企業(yè)的首要任務(wù)是管理捕獲的大量數(shù)據(jù)。“OpenSOC攝取的數(shù)據(jù)并將其推送至各個(gè)處理單元的先進(jìn)計(jì)算和分析，提供安全保護(hù)的必要環(huán)境和高效的信息存儲能力，”薩拉薩爾寫道。“它提供可視性和成功的調(diào)查，修復(fù)和取證工作所需的信息。”

•實(shí)時(shí)

分析數(shù)據(jù)與實(shí)時(shí)數(shù)據(jù)一樣重要，搞清楚什么是可操作的數(shù)據(jù)。這意味著，在大規(guī)模應(yīng)用威脅智能感知系統(tǒng)，地理定位，以及DNS信息的收集的數(shù)據(jù)。如果它能工作，分析師可以根據(jù)準(zhǔn)確及時(shí)的信息做出決定。

•集中視角

如果沒有一個(gè)可以理解的格式，可以快速準(zhǔn)確地獲得正確的信息。“該接口呈現(xiàn)出了威脅情報(bào)和豐富的數(shù)據(jù)，在一個(gè)單一的頁面發(fā)布警告摘要。”薩拉薩爾補(bǔ)充說。“先進(jìn)的搜索功能和完整的數(shù)據(jù)包提取工具可用于調(diào)查，而無需在多個(gè)工具之間進(jìn)行周轉(zhuǎn)。”

簡單地說，薩拉薩爾指出的是，通過使用OpenSOC，安全分析師可以通過一個(gè)單一的工具瀏覽他們的重要數(shù)據(jù)，并避免艱難應(yīng)對海量的非結(jié)構(gòu)化數(shù)據(jù)。“它可以根據(jù)采集和查看任何遙測，無論是專門的醫(yī)療設(shè)備或銷售設(shè)備的定制點(diǎn)，”薩拉薩爾建議說，“通過利用Hadoop，OpenSOC還具有積木規(guī)模的數(shù)據(jù)收集、存儲量，并分析了基于網(wǎng)絡(luò)的需要。”

一個(gè)開源項(xiàng)目

2014年，思科和Hortonworks公司發(fā)布開源的OpenSOC。不久后，該OpenSOC項(xiàng)目啟動，“該OpenSOC項(xiàng)目是一個(gè)協(xié)作開發(fā)項(xiàng)目，致力于提供一個(gè)可擴(kuò)展的先進(jìn)的安全分析工具。”OpenSOC項(xiàng)目網(wǎng)站上表示，“ApacheHadoop框架具有堅(jiān)實(shí)的基礎(chǔ)，并重視以高品質(zhì)社區(qū)為基礎(chǔ)的開放源碼開發(fā)。”

目前OpenSOC框架提供以下功能：

•用于連接OpenSOC擴(kuò)展和解析器監(jiān)視任何遙測源

•為任何遙測數(shù)據(jù)流擴(kuò)展充實(shí)框架

•在任何遙測數(shù)據(jù)流中，異常檢測和實(shí)時(shí)規(guī)則為基礎(chǔ)的警報(bào)

•Hadoop支持的存儲遙測數(shù)據(jù)流，可自定義保留時(shí)間

•由彈性搜索支持的遙測數(shù)據(jù)流的自動實(shí)時(shí)索引

•遙測相關(guān)和SQL查詢能力以支持Hive存儲在Hadoop中的數(shù)據(jù)

•ODBC/JDBC兼容，并與現(xiàn)有的分析工具整合

•設(shè)計(jì)規(guī)模為處理每秒數(shù)百萬的消息

這是那些參與OpenSOC項(xiàng)目，該框架將繼續(xù)發(fā)展，提高組織應(yīng)對安全事件響應(yīng)能力。為此，該項(xiàng)目有以下目標(biāo)：

•要為高級安全分析工具的發(fā)展提供了一個(gè)協(xié)作的開源社區(qū)

•鼓勵(lì)公開交流，以改善其他功能和鑒定的不足之處

•識別功能的增強(qiáng)以提高OpenSOC

開放式SOC是一個(gè)集成了安全工具、大數(shù)據(jù)捕獲和機(jī)器學(xué)習(xí)的開源項(xiàng)目。然而，為了應(yīng)對黑客攻擊，該項(xiàng)目是一項(xiàng)正在進(jìn)行的工作，OpenSOC項(xiàng)目成員將加強(qiáng)建設(shè)與發(fā)展，并實(shí)施支持幫助。

文章來源：機(jī)房專用空調(diào) http://www.rongguina.cn