搜索

[10779] 2016-12-01_SOAPA来临，SIEM时代终结？

文档创建者：s7ckTeam
浏览次数：7
最后更新：2025-01-18
2016-12-01_SOAPA来临，SIEM时代终结？ S O A P A 来 临 ， S I E M 时 代 终 结 ？ l a t i a o j u n   F r e e B u f   2 0 1 6 - 1 2 - 0 1 安 全 信 息 和 事 件 管 理 （ 安 全 信 息 和 事 件 管 理 （ S I E M ） 产 品 及 服 务 负 责 从 大 量 企 业 安 全 控 件 、 主 机 操 作 系 统 、 企 业 应 用 和 企 业 使 用 的 其 他 软 件 中 收 ） 产 品 及 服 务 负 责 从 大 量 企 业 安 全 控 件 、 主 机 操 作 系 统 、 企 业 应 用 和 企 业 使 用 的 其 他 软 件 中 收 集 安 全 日 志 数 据 ， 并 进 行 分 析 和 报 告 。 集 安 全 日 志 数 据 ， 并 进 行 分 析 和 报 告 。 有 些 有 些 S I E M 还 可 以 试 图 阻 止 它 们 检 测 到 正 在 进 行 的 攻 击 ， 这 可 能 帮 助 阻 止 破 坏 或 者 限 制 成 功 攻 击 可 能 造 成 的 损 坏 。 但 是 这 段 还 可 以 试 图 阻 止 它 们 检 测 到 正 在 进 行 的 攻 击 ， 这 可 能 帮 助 阻 止 破 坏 或 者 限 制 成 功 攻 击 可 能 造 成 的 损 坏 。 但 是 这 段 时 间 时 间 S I E M 似 乎 遇 到 了 强 有 力 的 挑 战 ， 现 在 的 市 场 在 推 一 种 名 叫 似 乎 遇 到 了 强 有 力 的 挑 战 ， 现 在 的 市 场 在 推 一 种 名 叫 S O A P A 的 概 念 ， 有 些 人 说 它 会 取 代 的 概 念 ， 有 些 人 说 它 会 取 代 S I E M ， 果 真 如 此 吗 ？ ， 果 真 如 此 吗 ？                 S I E M 从 2 0 0 5 年 正 式 诞 生 到 现 在 ， 也 就 1 0 多 年 时 间 。 这 段 时 间 内 ， S I E M 经 历 了 从 周 边 安 全 事 件 关 联 工 具 到 安 全 分 析 系 统 的 演 变 ， 最 后 成 为 一 枝 独 秀 。 其 早 期 供 应 商 e S e c u r i t y ， G u a r d e d N e t ， I n t e l l i t a c t i c s 和 N e t F o r e n s i c s 也 早 已 随 着 时 光 流 逝 不 复 盛 况 。 今 时 今 日 ， S I E M 市 场 被 L o g R h y t h m ， M c A f e e ， H P ， I B M 以 及 S p l u n k 等 一 些 寡 头 垄 断 。
S I E M 供 应 商 概 貌 而 且 有 些 激 进 分 子 认 为 S I E M 是 一 种 过 时 的 的 技 术 。 他 们 认 为 ， 日 志 管 理 和 事 件 关 联 根 本 无 法 跟 上 网 络 安 全 的 发 展 的 步 伐 。 因 此 ， 我 们 需 要 新 的 技 术 来 改 变 这 种 境 况 ， 比 如 人 工 智 能 、 机 器 学 习 算 法 以 及 神 经 网 络 来 对 实 时 安 全 数 据 进 行 处 理 和 分 析 。 还 有 一 群 “ 帮 凶 ” 也 在 无 形 之 中 给 予 他 们 支 持 ， 这 群 “ 帮 凶 ” 就 是 行 业 分 析 师 ， 一 些 行 业 分 析 师 唱 衰 S I E M ， 大 肆 宣 扬 “ S I E M 死 亡 论 ” 。 难 道 S I E M 真 的 已 死 ？ 其 实 也 未 必 。 企 业 的 安 全 运 行 和 分 析 需 求 迫 切 需 要 将 以 前 的 技 术 整 合 成 一 个 新 的 东 西 。 S O A P A 是 什 么 ？ 是 什 么 ？ 于 是 乎 ， 被 E S G （ E n t e r p r i s e   S t r a t e g y   G r o u p - 企 业 战 略 集 团 企 业 战 略 集 团 ） 称 作 S O A P A （   a   s e c u r i t y   o p e r a t i o n s   a n d   a n a l y t i c s   p l a t f o r m   a r c h i t e c t u r e   - 安 全 安 全 运 作 和 分 析 平 台 架 构 运 作 和 分 析 平 台 架 构 ） 的 平 台 应 运 而 生 。 这 个 平 台 包 含 类 S I E M 的 功 能 ， 并 且 ， S I E M 本 身 的 功 能 在 其 中 仍 然 扮 演 着 十 分 重 要 的 角 色 ， 这 些 功 能 会 将 分 析 过 的 数 据 汇 总 到 公 共 库 中 存 储 起 来 。 与 过 去 一 枝 独 秀 的 地 位 不 同 ， 现 在 的 S I E M 只 是 S O A P A 平 台 中 的 某 一 个 组 成 部 分 。 这 些 技 术 设 计 需 要 以 异 步 协 作 作 为 前 提 ， 这 样 才 能 让 安 全 工 程 师 迅 速 通 过 工 具 找 到 数 据 并 根 据 需 要 采 取 行 动 。 S O A P A 是 一 个 动 态 的 架 构 ， 这 意 味 着 随 着 时 间 的 推 移 ， 新 的 数 据 源 和 控 制 平 面 还 会 递 增 。 另 外 ， S O A P A 本 身 就 是 基 于 S I E M 开 发 的 ， 那 么 S O A P A 是 否 本 身 就 只 是 个 新 的 营 销 噱 头 呢 ？ 实 际 上 ， 除 了 有 与 S I E M 类 似 的 功 能 之 外 ， S O A P A 还 有 以 下 的 几 个 功 能 模 块 ： 端 点 检 测 端 点 检 测 / 响 应 工 具 （ 响 应 工 具 （ E D R ） ） 安 全 分 析 家 经 常 想 要 通 过 监 测 和 调 查 主 机 行 为 深 挖 安 全 警 报 ， 所 以 E D R （ 这 个 领 域 的 主 要 玩 家 有 C a r b o n   B l a c k ， C o u n t e r t a c k ， C r o w d S t r i k e ， G u i d a n c e   S o f t w a r e 等 ） 成 为 了 S O A P A 的 重 要 组 成 部 分 。 我 们 在 先 前 的         C a r b o n   B l a c k 分 析 文 章 中 提 过 ， E D R 是 一 个 类 别 工 具 和 解 决 方 案 ， 专 注 于 检 测 、 调 查 和 减 轻 在 主 机 或 端 点 的 可 疑 活 动 。 事 故 响 应 平 台 （ 事 故 响 应 平 台 （ I R P ） ） 我 们 知 道 ， 网 络 专 家 的 工 作 除 了 收 集 ， 处 理 和 分 析 数 据 的 安 全 性 之 外 ， 还 需 要 尽 快 给 警 报 排 定 优 先 级 以 及 处 理 这 些 警 报 。 基 于 上 述 需 求 ， H e x a d i t e ， P h a n t o m ， R e s i l i e n t   S y s t e m （ I B M ） ， S e r v i c e N o w 和 S w i m l a n e 等 I R P 平 台 相 继 诞 生 。 网 络 安 全 分 析 网 络 安 全 分 析 S I E M 的 日 志 分 析 和 E D R 主 机 行 为 监 控 都 会 由 S O A P A 中 的 流 量 和 数 据 包 分 析 来 执 行 ， 这 部 分 市 场 的 主 要 玩 家 包 括 了 A r b o r   N e t w o r k s ， B l u e   C o a t / S y m a n t e c ， 思 科 （ L a n c o p e ） 和 R S A 。 U B A   / 机 器 学 习 算 法 机 器 学 习 算 法 虽 然 U B A 、 机 器 学 习 等 工 具 被 业 界 过 分 炒 作 ， 但 毫 无 疑 问 ， 机 器 学 习 在 今 后 会 大 有 作 为 ， 肯 定 会 用 于 安 全 分 析 ， 正 因 为 如 此 有 潜 力 ， 业 界 大 佬 ， 如 B a y   D y n a m i c s ， C a s p e d a   ( S p l u n k ) ，   E x a b e a m ， N i a r a ， S q r r l   a n d   V a r o n i s 等 都 应 该 出 现 在 S O A P A 阵 营 中 。 漏 洞 扫 描 器 和 安 全 资 产 管 理 漏 洞 扫 描 器 和 安 全 资 产 管 理 了 解 哪 些 警 报 需 要 优 先 级 处 理 ， 是 安 全 运 行 的 重 要 组 成 部 分 。 如 果 要 做 出 这 个 决 策 ， 我 们 就 不 得 不 借 助 漏 洞 管 理 系 统 （ 如 Q u a l y s ， R a p i d 7 ， T a n i u m ） 中 的 可 靠 数 据 和 其 他 工 具 （ 这 些 工 具 监 控 系 统 状 态 和 网 络 配 置 ） 来 驱 动 ， 在 这 些 数 据 和 工 具 的 帮 助 下 ， 我 们 才 可 以 做 出 决 策 。 反 恶 意 软 件 沙 箱 反 恶 意 软 件 沙 箱 我 们 知 道 ， 有 些 针 对 性 攻 击 可 能 会 采 用 0 d a y 恶 意 软 件 来 发 动 。 有 了 这 项 技 术 后 ， 我 们 就 可 以 很 容 易 的 对 这 类 攻 击 进 行 更 充 分 的 理 解 了 。 F i r e E y e ， F i d e l i s 和 趋 势 科 技 的 沙 箱 肯 定 会 成 为 S O A P A 的 一 部 分 。 威 胁 情 报 威 胁 情 报 威 胁 情 报 也 就 是 ： “ 对 敌 方 的 情 报 ， 及 其 动 机 、 企 图 和 方 法 进 行 收 集 、 分 析 和 传 播 ， 帮 助 各 个 层 面 的 安 全 和 业 务 成 员 保 护 企 业 关 键 资 产 。 ”  
通 常 情 况 下 ， 为 了 自 己 的 企 业 安 全 ， 企 业 组 织 想 要 将 内 部 网 络 异 常 与 外 部 的 恶 意 软 件 活 动 作 对 比 ， 以 收 集 情 报 ， 化 解 危 险 。 正 是 因 为 企 业 有 这 个 需 求 ， S O A P A 才 延 伸 到 威 胁 情 报 的 来 源 和 其 他 平 台 （ 如 B r i g h t p o i n t ， F i r e E y e /   i S i g h t 的 合 作 伙 伴 ， R e c o r d e d F u t u r e ， T h r e a t C o n n e c t ， T h r e a t Q u o t i e n t 等 ） 。 除 了 技 术 本 身 之 外 ， 这 里 还 有 一 些 关 于 除 了 技 术 本 身 之 外 ， 这 里 还 有 一 些 关 于 S O A P A 的 其 他 想 法 ： 的 其 他 想 法 ： 1 、 除 了 安 全 工 具 之 间 的 数 据 交 换 ， 下 一 个 较 大 的 创 新 将 来 自 于 由 中 央 下 一 个 较 大 的 创 新 将 来 自 于 由 中 央 S O A P A 指 挥 和 控 制 的 安 全 基 础 设 施 的 分 析 和 管 理 指 挥 和 控 制 的 安 全 基 础 设 施 的 分 析 和 管 理 （ 如 配 置 管 理 ， 策 略 管 理 等 ） 。 2 、 市 场 方 面 ， 市 场 已 经 在 朝 着 S O A P A 这 边 偏 移 。 I B M 对 R e s i l i e n t   S y s t e m 的 收 购 ， S p l u n k 对 C a s p i d a 的 收 购 以 及   E l a s t i c   S e a r c h 对 的 收 购 就 是 对 这 个 趋 势 的 最 好 见 证 。 3 、 众 所 周 知 ， M c A f e e 已 经 从 英 特 尔 独 立 出 来 ， 预 计 这 家 公 司 会 投 资 其 企 业 安 全 管 理 平 台 ， 以 壮 大 自 己 在 这 方 面 的 优 势 。 另 外 ， M c A f e e 也 在 加 快 步 伐 ， 将 自 己 的 工 具 和 生 态 伙 伴 与 S O A P A 技 术 集 成 起 来 ， 以 及 进 行 一 些 相 关 的 收 购 ， 以 填 补 架 构 方 面 的 欠 缺 。 4 、 从 上 文 可 知 ， S I E M 仍 然 在 S O A P A 中 处 于 核 心 地 位 ， 它 的 优 势 还 是 比 较 明 显 ， 鉴 于 此 ， 一 些 企 业 （ C A ？ P a l o   A l t o ?   S y m a n t e c ？   T r e n d   M i c r o ? ） 或 许 会 对 L o g R h y t h m 进 行 收 购 ， 以 抢 占 先 机 。 5 、 以 上 提 到 的 各 个 技 术 要 素 都 可 以 在 内 部 或 通 过 S a a S 传 递 。 因 此 S O A P A 必 须 足 够 灵 活 才 能 适 应 这 些 选 项 。 6 、 在 搭 建 S O A P A 时 ， 规 模 要 足 够 大 ， 特 别 是 企 业 组 织 提 高 了 云 计 算 和 物 联 网 使 用 比 例 后 ， 对 规 模 这 一 需 求 就 变 得 更 为 急 切 。 我 们 也 相 信 ， 云 分 析 和 存 储 在 未 来 会 成 为 S O A P A 的 一 部 分 。 7 、 就 目 前 的 形 势 来 看 ， 一 部 分 供 应 商 可 能 提 供 自 己 专 有 的 解 决 方 案 ， 但 有 些 企 业 客 户 应 该 就 不 会 买 账 了 ， 他 们 有 可 能 不 采 用 单 一 供 应 商 的 解 决 方 案 ， 他 们 在 搭 建 S O A P A 方 案 的 时 候 ， 会 和 那 些 比 较 一 流 的 供 应 商 和 生 态 合 作 伙 伴 一 起 合 作 。 而 实 力 不 足 的 中 小 企 业 则 可 以 从 单 一 解 决 方 案 供 应 商 或 者 S a a S 供 应 商 处 购 买 。 总 结 总 结 我 们 不 能 说 S I E M 就 此 要 被 取 代 ， 起 码 它 还 是 在 S O A P A 中 发 挥 应 该 有 的 作 用 。 S O A P A 的 出 现 ， 只 证 明 了 这 个 行 业 已 经 向 更 好 的 方 向 发 展 了 ， 也 表 明 安 全 的 协 作 是 个 大 趋 势 。 S I E M 未 来 还 会 向 云 分 析 和 存 储 进 军 ， 将 会 有 更 多 的 S I E M 厂 商 加 入 S O A P A 阵 营 。 * 参 考 来 源 ： n e t w o r k w o r l d ， F B 小 编 l a t i a o j u n 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 。
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理