為了從安全的角度來對付“大數據”，企業(yè)應該怎么做？很多企業(yè)會希望整合大量不同的數據源，但大部分企業(yè)沒有這樣做的原因在于：這是一個長期而具有挑戰(zhàn)性的過程。

為了利用大數據來加強企業(yè)信息安全，我們需要部署哪些技術和流程？日志管理？SIEM部署？我們需要進行什么樣的培訓？保護數據中心需要怎么做？在本文中，筆者將提供現實的建議，讓企業(yè)信息安全團隊知道他們必須部署什么樣的技術以及必須部署什么樣的流程以充分利用大數據。

什么是大數據？為什么它對信息安全意義重大？

就像電影《黑客帝國》中的感知機器人或者《終結者》電影中的Skynet一樣，現在的大數據環(huán)境由大規(guī)模并行處理數據庫產品（不過所幸的是，它們沒有自我感知能力）組成，這些產品通過處理PB級（1015）到ZB級（1021）看似不同的數據來創(chuàng)建趨勢和數據映射。通過建立這種宏觀層面的信息，大數據可以讓企業(yè)了解到他們的產品是如何以前所未有的經濟理解水平在運行。也就是說，通過以新方式來結合和分析海量數據，我們可以實現新的業(yè)務洞察力。

雖然大數據在商業(yè)世界有很多有價值的應用，重要的是要記住，這些大數據信息對于企業(yè)信息安全團隊同樣具有價值。那么，安全團隊應該怎樣利用大數據以加強企業(yè)安全—同時抵御內部和外部威脅？

保護大數據：基礎設施準備

首先，對于利用大數據系統(tǒng)來分析企業(yè)內活動的安全工具，企業(yè)安全團隊必須了解傳統(tǒng)安全修復工具和它們之間的基礎設施差異。在現在的企業(yè)安全辦公室，我們并不難找到報告不同類型安全數據（試圖查找問題的安全分析師會對這些數據感興趣）的各種安全工具，日志記錄工具、安全監(jiān)控工具、外圍安全設備、應用程序訪問控制設備、配置系統(tǒng)、供應商風險分析程序、GRC產品等，這些工具收集了大量信息，企業(yè)安全團隊必須分解和規(guī)范化這些信息以確定安全風險。

雖然這些傳統(tǒng)工具針對其特定類型的控制提供了數據視圖，但這些系統(tǒng)的輸出往往不是統(tǒng)一的，又或者這些數據被分解成匯總數據，并被輸入到一個或者多個SIEM工具以在視覺上顯示安全團隊感興趣的預定事件。一旦確定了某個趨勢或者潛在事故，安全專業(yè)人士團隊就必須從大量輸出數據中篩選出證據以發(fā)現任何未經授權或惡意的活動。對于安全管理而言，這種“松散結合”的方法通常可行，但它速度很慢，很容易錯過良好偽裝的惡意事件，并且要在對大量歷史數據進行收集、分析和總結后，才能發(fā)現嚴重的安全事件。

相比之下，大數據安全環(huán)境的創(chuàng)建需要依賴于前面提到的工具，為安全信息輸入單一邏輯大數據安全信息倉庫。這種倉庫的優(yōu)勢在于，它將數據作為更大的安全生態(tài)系統(tǒng)的一部分，這個安全生態(tài)系統(tǒng)具有強大的分析和趨勢分析工具來識別威脅，威脅需要通過檢查多個數據集才能被確認，而不像傳統(tǒng)的方法那樣---安全團隊通過虛擬放大鏡來篩選松散耦合的數據集。#p#

保護大數據：基礎設施支持

當然在其核心，這種新環(huán)境將需要對基礎設施進行調整，使其能夠收集和分析數據。

為了創(chuàng)建支持大數據環(huán)境的基礎設施，我們需要一個安全且高速的網絡來收集很多安全系統(tǒng)數據源，從而滿足大數據收集要求。鑒于大數據基礎設施的虛擬化和分布式性質，企業(yè)需要將虛擬網絡作為底層通信基礎設施。此外，從承載大數據的角度來看，在數據中心和虛擬設備之間使用VLAN等技術作為虛擬主機（已經部署了虛擬交換機）內的網絡是最佳選擇。由于防火墻需要檢查通過防火墻的每個會話的每個數據包，它們成了大數據快速計算能力的瓶頸。因此，企業(yè)需要分離傳統(tǒng)用戶流量與構成大數據安全數據的流量。通過確保只有受信任的服務器流量流經加密網絡通道以及消除之間的傳統(tǒng)基礎設施防火墻，這個系統(tǒng)就能夠以所需要的不受阻礙的速度進行通信。

接著，這個安全數據倉庫的虛擬服務器需要受到保護。最好的做法是，確保這些服務器按照NIST標準進行加強，卸載不必要的服務（例如FTP工具）以及確保有一個良好的補丁管理流程。鑒于這些服務器上的數據的重要性，我們還需要為大數據中心部署備份服務。此外，這些備份還必須加密--無論是通過磁帶介質還是次級驅動器的備份，畢竟在很多時候，安全數據站點發(fā)生數據泄露事故都是因為備份媒介的丟失或者被盜。另外，應該定時進行系統(tǒng)更新，同時，為了進行集中監(jiān)控和控制，還應該部署具有正式運營中心的系統(tǒng)監(jiān)視工具。

大數據安全：整合現有工具和流程

為了確保大數據安全倉庫位于安全事件生態(tài)系統(tǒng)的頂端，我們還必須整合現有安全工具和流程。當然，這些整合點應該平行于現有的連接，因為企業(yè)不能為了大數據的基礎設施改組而放棄其安全分析功能。對于一項新部署，最好的方法是盡量減少連接數量—通過連接企業(yè)和/或業(yè)務線的SIEM工具的輸出到大數據安全倉庫。由于這些數據已經被預處理，它將允許企業(yè)開始測試其分析算法與加工后的數據集。

在與安全信息和事件管理工具的整合工作完成后，初始趨勢和事件將開始顯現，我們還需要開發(fā)一個程序來去耦SIEM工具的輸入使其直接進入倉庫。最好的做法是為輸入選擇一個良好定義的標準化數據格式，這將大大較少所需要的整合和規(guī)范化步驟，確保對數據倉庫改善后的分析算法的持續(xù)驗證。

隨著時間的推移，改進的分析功能將使數據倉庫成為企業(yè)安全工具的主要收集點，企業(yè)的安全辦公室將擁有對安全事件分析的單一入口點。

最后，由于大數據在一個新的不同的環(huán)境運行，我們還需要為安全辦公人員定制一個培訓計劃。培訓計劃應該著眼于新開發(fā)的分析和修復過程，因為安全大數據倉庫將通過這些過程來標記和報告不尋常的活動和網絡流量。大數據生態(tài)系統(tǒng)的實際操作有著非常標準化的功能，未經授權的更改或者訪問將很容易被發(fā)現。

大數據將為安全團隊帶來新的工作方式，而不會出現科幻電影中“機器接管人類”的戲劇化的一幕。通過了解大數據的優(yōu)勢、制定切合實際的目標以及利用現有安全技術的優(yōu)勢，安全管理人員將會發(fā)現他們在大數據進行的投資是值得的。