[[155866]]

尋找一名具有數(shù)據(jù)研究經(jīng)驗(yàn)的安全分析師以應(yīng)對(duì)現(xiàn)代威脅，就如同尋找一只傳說中的獨(dú)角獸。這人兒壓根就不存在。可這是真的么？

三大技能來當(dāng)安全分析師

最近在金融、醫(yī)療、外賣等行業(yè)層出不窮的數(shù)據(jù)泄露事件向我們揭示了現(xiàn)代網(wǎng)絡(luò)犯罪新特點(diǎn)：精于發(fā)現(xiàn)以及利用漏洞（哪怕是最細(xì)微的安全缺口）。對(duì)于惡意活動(dòng)來說，檢測(cè)總是來的慢那么半拍，而公司及客戶卻已為此付出了沉重的代價(jià)。

商界領(lǐng)袖開始尋求更多的首席信息安全官（CISOs）及其他安全工作人員，這點(diǎn)已不足為奇，他們想要組織和資產(chǎn)得到有力的保護(hù)。而他們?yōu)榧訌?qiáng)網(wǎng)絡(luò)安全開始越來越多地利用與整合安全分析。因此，安全分析師們需要以下三個(gè)技能：

1、安全專業(yè)知識(shí)：安全分析師必須理解安全數(shù)據(jù)、事件響應(yīng)、攻擊向量以及更多；

2、數(shù)據(jù)科學(xué)專業(yè)知識(shí)：安全分析師需要先進(jìn)的分析技巧，例如使用機(jī)器學(xué)習(xí)、預(yù)測(cè)分析算法以及知道如何準(zhǔn)備分析數(shù)據(jù)；

3、MapReduce/Spark/Storm/Hive/Pig 專業(yè)知識(shí)：安全分析師必須能夠編碼大量的大數(shù)據(jù)工具，來優(yōu)化千兆字節(jié)的數(shù)據(jù)分析。

盡管我可以很有信心地告訴你找一個(gè)精通所有領(lǐng)域的安全分析師就像找獨(dú)角獸，這樣的人不存在！而事實(shí)上，在安全領(lǐng)域找一個(gè)只懂其中一個(gè)專業(yè)的安全專家，也是不可能的。

未來的挑戰(zhàn)

因?yàn)殡[形網(wǎng)絡(luò)攻擊能夠進(jìn)行幾個(gè)星期、幾個(gè)月甚至更長(zhǎng)時(shí)間而不被發(fā)現(xiàn)，安全分析師則必須能夠在那漫長(zhǎng)的時(shí)期內(nèi)識(shí)別和分析攻擊類型。他們還必須能夠運(yùn)用視覺想象把“點(diǎn)與點(diǎn)”間的數(shù)據(jù)進(jìn)行聯(lián)系，并且從常規(guī)中識(shí)別出攻擊活動(dòng)。

另一個(gè)問題是每天有成千上萬的安全事件針對(duì)組織機(jī)構(gòu)發(fā)布警告——大多數(shù)都不是惡意或者有針對(duì)性的攻擊活動(dòng)。而區(qū)分真正有針對(duì)性的攻擊和無惡意事件是極其有難度的，除非安全分析師具備相應(yīng)的技能與能使他們成為入門級(jí)數(shù)據(jù)專家的工具。

當(dāng)安全分析師能夠就大數(shù)據(jù)提出一個(gè)不錯(cuò)的問題，他們便可以發(fā)現(xiàn)攻擊序列并且更好地理解這些事件對(duì)于業(yè)務(wù)的影響。

安全分析師具有這些技能后可以更好地運(yùn)用在他們的安全領(lǐng)域：分析安全事故、發(fā)現(xiàn)威脅根源并且能夠在對(duì)手挖出具有更高價(jià)值的漏洞前將其識(shí)破。

因此，分析師希望利用大數(shù)據(jù)來應(yīng)對(duì)現(xiàn)代戰(zhàn)斗中的威脅，至于仍需磨練的數(shù)據(jù)探索，則可以遵循以下：

確定攻擊的順序：安全分析師需要分析數(shù)據(jù)周圍事件的異常，通過把信息、用戶及業(yè)務(wù)應(yīng)用數(shù)據(jù)包括到內(nèi)容中去，他們便可得出一個(gè)安全事件影響的結(jié)論。

提許多問題并迅速得到答案：安全分析師必須進(jìn)行基于假設(shè)和猜想的安全研究調(diào)查。他們要根據(jù)需求提出盡可能多的問題，然后得到快速響應(yīng)，并迅速將研究焦點(diǎn)集中于這些響應(yīng)上面。

從大量數(shù)據(jù)中獲得見解：在許多組織中，IT、用戶和業(yè)務(wù)應(yīng)用程序的安全事件和審計(jì)日志數(shù)據(jù)每天累計(jì)可達(dá)10TB。考慮到一個(gè)數(shù)據(jù)泄露時(shí)間大致為243天，安全分析師需要對(duì)十二個(gè)月內(nèi)的千兆字節(jié)數(shù)據(jù)進(jìn)行異常和模式檢測(cè)。

將安全事件轉(zhuǎn)化為業(yè)務(wù)影響：安全分析師需要對(duì)IT、用戶及業(yè)務(wù)應(yīng)用程序數(shù)據(jù)及安全事件數(shù)據(jù)有一個(gè)集中的掌握。多結(jié)構(gòu)數(shù)據(jù)必須共處在一個(gè)數(shù)據(jù)庫(kù)中進(jìn)行轉(zhuǎn)化或聯(lián)系，這樣安全調(diào)查結(jié)果便是其對(duì)業(yè)務(wù)影響的結(jié)果。

尋找獨(dú)角獸

獨(dú)角獸是神話里的一種動(dòng)物，但深知安全領(lǐng)域?qū)I(yè)知識(shí)的安全分析師絕對(duì)是存在在現(xiàn)實(shí)社會(huì)中的。當(dāng)一個(gè)懷揣“十八般武藝”的安全分析師研究大數(shù)據(jù)安全分析時(shí)，你的企業(yè)便可掌握一個(gè)完整的網(wǎng)絡(luò)和技術(shù)安全風(fēng)險(xiǎn)脈絡(luò)，并能更快地檢測(cè)和緩解可能存在的網(wǎng)絡(luò)攻擊。