在今天這場(chǎng)IT變革中，正如英特爾中國(guó)研究院首席工程師吳甘沙在2013年全球大數(shù)據(jù)技術(shù)峰會(huì)上所提出的那樣，大數(shù)據(jù)是本，云計(jì)算是術(shù)，物聯(lián)網(wǎng)和移動(dòng)互聯(lián)網(wǎng)是用。大數(shù)據(jù)讓舊有IT和業(yè)務(wù)運(yùn)營(yíng)模式發(fā)生極大變化，它也同樣影響著信息安全的未來(lái)走向。今年在美國(guó)RSA大會(huì)上，RSA執(zhí)行主席亞瑟·科維洛在主題演講中甚至將演講題目定為：大數(shù)據(jù)重新定義信息安全。

2013大數(shù)據(jù)全球技術(shù)峰會(huì)專題

提到大數(shù)據(jù)安全，其實(shí)需要從兩個(gè)維度去理解，一個(gè)是大數(shù)據(jù)本身的安全，包括數(shù)據(jù)中心、存儲(chǔ)等的安全，另一個(gè)是利用大數(shù)據(jù)來(lái)提升安全能力。如果說(shuō)前者意味著更大挑戰(zhàn)，那么后者則是更好的機(jī)會(huì)。

大數(shù)據(jù)是否會(huì)重構(gòu)信息安全產(chǎn)業(yè)，對(duì)這個(gè)問(wèn)題，安全界仍然存在爭(zhēng)議。但可以肯定是，大數(shù)據(jù)正在為安全從業(yè)者提供一個(gè)更寬廣的新視角，幫助他們更加前瞻性地發(fā)現(xiàn)安全威脅。

利用大數(shù)據(jù)分析提前發(fā)現(xiàn)威脅，這在APT(高級(jí)持續(xù)性攻擊)日益猖獗的今天顯得尤為可貴，但這究竟怎么實(shí)現(xiàn)?華為安全智能中心高級(jí)架構(gòu)師李鑫在大數(shù)據(jù)技術(shù)峰會(huì)上介紹了他們的做法。他表示，把安全檢測(cè)技術(shù)與大數(shù)據(jù)處理的過(guò)濾、篩選等技術(shù)相結(jié)合，就能夠發(fā)現(xiàn)互聯(lián)網(wǎng)中存在的威脅數(shù)據(jù)及所在區(qū)域，提升應(yīng)對(duì)威脅的能力，揭示安全威脅的模式與發(fā)展趨勢(shì)。

將安全檢測(cè)與大數(shù)據(jù)技術(shù)相融合，第一步是收集數(shù)據(jù)，包括：可執(zhí)行文件、壓縮包、圖片、頁(yè)面、流量等，那些長(zhǎng)尾數(shù)據(jù)往往有著重要的價(jià)值;第二步是提煉數(shù)據(jù)，對(duì)上一步收集上來(lái)的數(shù)據(jù)進(jìn)行分類、關(guān)聯(lián)分析和挖掘;第三步是檢測(cè)，這個(gè)過(guò)程會(huì)用到安全分析技術(shù)和數(shù)據(jù)挖掘技術(shù)。通過(guò)這三步，最終發(fā)現(xiàn)威脅。

在數(shù)據(jù)提煉的環(huán)節(jié)，華為安全智能中心將千億級(jí)的數(shù)據(jù)按照多個(gè)維度進(jìn)行了分類處理，如：按照內(nèi)容可分為黃賭毒、金融理財(cái)和體育競(jìng)技;按照功能可分為bbs/論壇等交互性站點(diǎn)、門(mén)戶和代理服務(wù)器;按照平臺(tái)可分為操作系統(tǒng)和平臺(tái)軟件。這種分類，是基于威脅出現(xiàn)的頻率來(lái)進(jìn)行，比如：黃賭毒內(nèi)容的網(wǎng)站，出現(xiàn)惡意軟件的風(fēng)險(xiǎn)明顯要高出其他。數(shù)據(jù)提煉還包括對(duì)億級(jí)URL/IP數(shù)據(jù)進(jìn)行生命周期評(píng)估，即：通過(guò)數(shù)據(jù)監(jiān)測(cè)的歷史結(jié)果來(lái)預(yù)判未來(lái)的威脅。

大數(shù)據(jù)環(huán)境下，安全分析模式正在發(fā)生改變，數(shù)據(jù)采集、數(shù)據(jù)提煉、安全分析、安全態(tài)勢(shì)判斷，這已經(jīng)形成一個(gè)新的完整鏈條。李鑫坦言，安全分析模式的改變，也凸顯出海量的待分析數(shù)據(jù)和目前相對(duì)有限的分析能力之間的矛盾。

如何提高對(duì)海量數(shù)據(jù)的分析能力?李鑫并未給出明確答復(fù)。不過(guò)，惠普在上個(gè)月推出的大數(shù)據(jù)安全解決方案也許能給我們一些啟示?；萜諏P ArcSight的安全信息與事件管理(SIEM)功能與HP Autonomy IDOL內(nèi)容分析引擎進(jìn)行了整合，通過(guò)解讀原始安全數(shù)據(jù)的含義，擴(kuò)大了企業(yè)安全監(jiān)視功能的覆蓋范圍;通過(guò)對(duì)與數(shù)據(jù)相關(guān)的人力情緒(如行為模式等)進(jìn)行跟蹤和分析，企業(yè)能夠更迅速地識(shí)別之前被忽視的威脅。值得注意的是，ArcSight是全球領(lǐng)先的安全信息和日志管理產(chǎn)品，而Autonomy以IDOL(智能數(shù)據(jù)處理平臺(tái))見(jiàn)長(zhǎng)，2年前，正是因?yàn)榭春闷鋵?duì)非結(jié)構(gòu)數(shù)據(jù)的處理技術(shù)，惠普以高達(dá)110億美元的價(jià)格收購(gòu)了這家公司。