在《為什么需要大數(shù)據(jù)安全分析》一文中，我們已經(jīng)闡述了一個重要觀點，即：安全要素信息呈現(xiàn)出大數(shù)據(jù)的特征，而傳統(tǒng)的安全分析方法面臨重大挑戰(zhàn)，信息與網(wǎng)絡安全需要基于大數(shù)據(jù)的安全分析。那么，到底什么是大數(shù)據(jù)安全分析，他與我們一般意義上的大數(shù)據(jù)分析有何異同之處?讓我們先從大數(shù)據(jù)自身的定義開始。
1 大數(shù)據(jù)的定義
如何定義大數(shù)據(jù)?《大數(shù)據(jù)的沖擊》一書將大數(shù)據(jù)通俗定義為“用現(xiàn)有的一般技術難以管理的大量數(shù)據(jù)的集合”，并廣義地定義為“一個綜合性概念，它包括因具備3V(海量/高速/多樣，Volume / Variety/Velocity)特征而難以進行管理的數(shù)據(jù)，對這些數(shù)據(jù)進行存儲、處理、分析的技術，以及能夠通過分析這些數(shù)據(jù)獲得實用意義和觀點的人才和組織。”
Gartner將大數(shù)據(jù)定義為“海量、高速、多變的信息資產(chǎn)，需要對它進行經(jīng)濟的、創(chuàng)新性的信息處理從而獲得超越以往的洞察力、決策支持能力和處理的自動化”(high volume, velocity and/or variety information assets that demand cost-effective,innovative forms of information processing that enable enhanced insight,decision making, and process automation)。
2 大數(shù)據(jù)的基本特征
大數(shù)據(jù)的三個公認的基本特點是3V，即海量、高速和多變。海量是指數(shù)據(jù)容量越來越大;高速表示需要處理的速度和響應的時間越來越快，對系統(tǒng)的延時要求相當高;多變就要處理各種各樣類型的數(shù)據(jù)，包括結構化的、半結構化的、甚至是非結構化的數(shù)據(jù)。
IBM在上述三個特點基礎之上增加了一個V(Veracity)，即“真實性”、“準確性”。IBM認為只有真實而準確的數(shù)據(jù)才能讓對數(shù)據(jù)的管控和治理真正有意義。
此外，業(yè)界還有人總結出其它的大數(shù)據(jù)特點，例如低價值密度(Value)、存活性(Viability)，等等。低價值密度是指大數(shù)據(jù)中真正有意義的信息含量比重低;存活性是指特定情況下的大數(shù)據(jù)具有很強的時效性。
3 大數(shù)據(jù)分析的定義
大數(shù)據(jù)技術的核心就是大數(shù)據(jù)分析(Big Data Analysis / Analytics)。一般地，人們將大數(shù)據(jù)分析定義為一組能夠高效存儲和處理海量數(shù)據(jù)、并有效達成多種分析目標的工具及技術的集合。
Gartner將大數(shù)據(jù)分析定義為追求顯露模式檢測和發(fā)散模式檢測，以及強化對過去未連接資產(chǎn)的使用的實踐和方法(the practices and technology used to pursue emerging and divergentpattern detection as well as enhance the use of previously disconnectedinformation assets)，意即一套針對大數(shù)據(jù)進行知識發(fā)現(xiàn)的方法。
通俗地講，大數(shù)據(jù)分析技術就是大數(shù)據(jù)的收集、存儲、分析和可視化的技術，是一套能夠解決大數(shù)據(jù)的4V(海量、高速、多變、低密度)問題，分析出高價值(Value)的信息的工具集合。
4 大數(shù)據(jù)安全分析
當前網(wǎng)絡與信息安全領域，正在面臨著多種挑戰(zhàn)。一方面，企業(yè)和組織安全體系架構的日趨復雜，各種類型的安全數(shù)據(jù)越來越多，傳統(tǒng)的分析能力明顯力不從心;另一方面，新型威脅的興起，內控與合規(guī)的深入，傳統(tǒng)的分析方法存在諸多缺陷，越來越需要分析更多的安全信息、并且要更加快速的做出判定和響應。信息安全也面臨大數(shù)據(jù)帶來的挑戰(zhàn)。
于是，業(yè)界出現(xiàn)了將大數(shù)據(jù)分析技術應用于信息安全的技術——大數(shù)據(jù)安全分析(Big Data Security Analysis / Analytics，簡稱BDSA)，也有人稱做針對安全的大數(shù)據(jù)分析(Big Data Analysis for Security)。
必須特別指出的是，大數(shù)據(jù)安全分析是指利用大數(shù)據(jù)技術來進行安全分析，而非我們一般所言的大數(shù)據(jù)安全(Big Data Security)。大數(shù)據(jù)安全，通常是指研究如何保護大數(shù)據(jù)自身的安全，包括針對大數(shù)據(jù)計算和大數(shù)據(jù)存儲的安全性。
以上，也闡釋了大數(shù)據(jù)和安全的兩個連接關系，即基于大數(shù)據(jù)技術的安全和大數(shù)據(jù)自身的安全。這兩者是兩個不同的領域，本文探討的是前者，即基于大數(shù)據(jù)技術的安全，本質上就是大數(shù)據(jù)技術的一種在安全領域的應用。
借助大數(shù)據(jù)安全分析技術，能夠更好地解決天量安全要素信息的采集、存儲的問題，借助基于大數(shù)據(jù)分析技術的機器學習和數(shù)據(jù)挖據(jù)算法，能夠更加智能地洞悉信息與網(wǎng)絡安全的態(tài)勢，更加主動、彈性地去應對新型復雜的威脅和未知多變的風險。
必須強調的是，對于大數(shù)據(jù)安全分析而言，最關鍵的不在于大數(shù)據(jù)本身，而在于對這些數(shù)據(jù)的分析方法。大數(shù)據(jù)安全分析可以用到大數(shù)據(jù)分析的所有普適性的方法和技術，但當應用到網(wǎng)絡安全領域的時候，還必須考慮到安全數(shù)據(jù)自身的特點和安全分析的目標，這樣大數(shù)據(jù)安全分析的應用才更有價值。例如，在進行異常行為分析，或者惡意代碼分析和APT攻擊分析的時候，分析模型才是最重要的。其次，才是考慮如何利用大數(shù)據(jù)分析技術(例如并行計算、實時計算、分布式計算)來實現(xiàn)這個分析模型。
此外，大數(shù)據(jù)安全分析要產(chǎn)生實際價值還離不開安全分析師【注：后續(xù)還會專題闡述】。
5 大數(shù)據(jù)安全分析平臺
大數(shù)據(jù)安全分析不是一個產(chǎn)品分類，而代表一種技術，一種安全分析的理念和方法。各種安全產(chǎn)品都能夠運用大數(shù)據(jù)安全分析技術去重塑自身。
在一個較為完備的基于大數(shù)據(jù)安全分析的解決方案中，往往會有一個大數(shù)據(jù)安全分析平臺作為整個方案的核心部件，承載大數(shù)據(jù)分析的核心功能，將分散的安全要素信息進行集中、存儲、分析、可視化，對分析的結果進行分發(fā)，對分析的任務進行調度，將各個分散的安全分析技術整合到一起，實現(xiàn)各種技術間的互動。
原創(chuàng)作品，允許轉載，轉載時請務必以超鏈接形式標明文章 原始出處 、作者信息和本聲明。否則將追究法律責任。http://yepeng.blog.51cto.com/3101105/1608613
京公網(wǎng)安備 11010502049343號