安全管理人員一直在探求改善信息安全的最佳方法。在此過程中，他們發現成功的秘密就在企業當中，健全的安全就存在于日志數據、元數據、非結構化數據以及大量的其它數據中。“只在此山中，云深不知處”。但是，找到適當的數據并得出對IT和企業來說有意義的科學結論絕非易事。下面談幾個可以更好地理解IT風險的最佳安全分析方法，使企業更好地保護資產。

1、不要認為SIEM全面解決了你的安全需要

許多企業試圖深入地進行安全分析，這就需要重新思考他們進行分析所使用的數據。企業安全團隊也許會確信已經全面解決了安全分析問題，因為他們已經擁有了SIEM或日志管理，但除了日志之外，安全人員還需要關注其它的許多數據。從包括人力資源記錄到欺詐性數據在內的一切數據在傳統上一般都不屬于IT安全的范圍，但正是這種數據與IT的安全數據有著非常有意義的結合點。企業并沒有充分利用數據，沒有充分發揮數據的全部功能。如果企業能夠真正挖掘環境中的非結構化數據、元數據或者環境外的非結構化數據等，將極大地改善安全狀況。

2、不能僅僅關注關于攻擊者的數據

把重點從SIEM數據中轉移出來還有另一個目的，因為大量的元數據、記錄數據以及關于網絡的其它數據都日益受到安全分析的重視。安全人員應更密切地關注企業的準備狀態，而不僅僅重視關于潛在攻擊者的數據。這也是成熟企業更好更全面地認識企業風險的一個重要標志。

“知彼知已，百戰不殆”。安全團隊不要僅僅重視分析攻擊者，還要考慮一下自身。在此，不妨遙想一下戰爭年代作戰指揮部的情形。戰爭的謀略家和指揮家們圍繞在一張桌子旁，桌子上擺放著象征著不同物件或人物的模型。此時，他們已經獲得了關于敵方行動的情報，這就像安全管理者獲得SIEM的日志一樣。但對于戰爭游戲，有兩個至關重要的要素：軍隊部署和地形偵察。如果指揮者不知道自己的軍隊在哪里，作戰指揮部就是在紙上談兵，其決策毫無用處。如果指揮者沒有掌握準確的地形信息，其思考和決策也必然存在巨大誤差。對于信息安全而言，對網絡的調查就相當于偵察地形，知道資產、防御及其狀態就如同明確軍隊部署一樣。對付攻擊者，不能僅看他們在日志中的信息，還要確切地知道企業的資產是如何組織的，網絡結構又是怎樣的。毛澤東說“沒有調查就沒有發言權”，對于網絡安全亦如此。

3、確定企業的重要問題

在安全團隊尋找日志數據之外的其它數據源時，在決定衡量和分析哪些方面問題上，企業在行業中的地位、業務流程、企業資產等都扮演著重要角色。

在部署安全措施時，不可“抄襲”。對企業來說，理解自己所處的位置及被攻擊的地方是很重要的。不同的企業有不同的攻擊者，因而需要制定對付這些攻擊者的具體措施。企業需要衡量每位員工容易在哪些方面暴露，確定或至少猜測一下關于企業數據的特征和攻擊者會如何攻擊的特定信息，強化關于企業具體業務的安全方法。這就是“具體問題具體分析”。

4、關注關鍵基礎架構的變化

在考慮到企業需要時，找到應當持續監視的關鍵企業資產變得相對容易。企業的關鍵資產，不管是證書服務器還是特定的本地驅動，安全管理者都應當監視并分析其變化。

可以將變化分為系統變化(或配置變化)以及商業知識的變化。由于這些關鍵系統不應當有很多變化，所以發現問題不會花費太多時間。而對變化進行分組可以節省大量時間。

5、安全分析

企業用于分析的數據越多，就越容易看到數據的不完善方面。為了從數據中獲得最好的結論，就需要在前期清理數據，而且要認識到在數據收集中存在的問題。

在把這些數據源組合在一起時，你可能會注意到一些矛盾問題。在你從兩個不同的團隊(這兩個團隊都在公司內部獨立工作)收集數據時，你要整合這些數據，卻發現這似乎不可能。

分析人員以整合數據和評估數據源為基礎，可以進一步改善數據質量和數據分析的質量。如果將數據源組合在一起，分析人員會發現問題出在哪里，并認識到自己并沒有掃描所有的主機，甚至會發現有的網絡竟然不受控制，而且也沒有得到完整的日志。

6、利用企業內部的業務情報專家

如果企業沒有雄厚的財力雇傭數據專家去審查和分析安全數據，也不必放棄希望。安全分析人員可以請求企業的業務情報團隊幫助進行分析。業務情報團隊擁有其自己的數據存儲機制，其人員未必受到過信息安全的良好培訓，卻有大量的專業技術，當然知道數據分析的重點。依靠業務情報部門可以使安全分析有一個良好的開端，至少對于安全分析是這樣。

7、牢記安全數據也需要保護

安全團隊收集的數據和分析信息越多，其資料庫越容易成為攻擊者的目標。隨著安全分析的不斷深入，分析人員必須知道，分析得到的數據要比公司數據更有吸引力，原因就在于這種數據掌握著揭示企業防御機制的秘密。

如果企業的安全工具還不如網絡本身更安全，它就會成為可被攻擊者利用的一個漏洞。例如，基于胖客戶端的工具可以帶來安全威脅，這是因為筆記本電腦上往往攜帶著大量的數據，而該種設備又有可能失竊或被滲透。在數據中心找到一個安全位置來存放安全數據有助于減少這些漏洞。

當然，以上的方法并非安全問題的最全面的解決之道，卻可給安全團隊提個醒兒，或可在安全分析時助一臂之力。