俗話說，明槍易躲，暗“賊”難防;外神好躲，內鬼難防?？催^《無間道》或者玩過《三國殺》的應該都清楚，他們時刻以非內鬼身份去思考和與別人溝通，到關鍵時刻爆發，給予致命一擊。
網絡安全領域也是如此，一條黑色產業鏈正在無形的吞噬著這個時代，個人信息泄漏已經在生活中埋下了一顆定時炸彈，并且“內鬼”已經讓這顆炸彈開始倒計時。
據公安部網站消息，自今年4月公安部部署全國公安機關開展打擊整治網絡侵犯公民個人信息犯罪專項行動以來，截至目前，全國公安機關網絡安全保衛部門累計查破刑事案件1200余起，抓獲犯罪嫌疑人3300余人，其中抓獲銀行、教育、電信、快遞、證券、電商網站等行業內部人員270余人，網絡黑客90余人，繳獲信息290余億條，清理違法有害信息42萬余條，關停網站、欄目近900個，專項行動取得明顯成效。
由此數據我們發現，信息泄露主要有兩個渠道：內鬼加黑客，從這組數據看比例是270：90=3：1，也就是說信息泄露的75%為內鬼所為。
“內鬼”不除個人信息安全難以保障
對數據比較敏感的同學不難發現，行業內部人員監守自盜的數字則要比黑客高出3倍，當然我們也不排除黑客躲藏技術或許更高一籌的情況，不過可以確認的是，“內鬼”已經成為現階段信息泄漏的主要途徑之一。“內鬼”不除，個人信息安全就難以得到保障。
“內鬼”因何如此猖獗?一方面是由于企業內網的薄弱，我們發現很多企業內網除了統一的整體安全保護體系例如防火墻、IDS、防病毒、數據庫審計、口令密碼等之外，基本沒有專門的技術智能化保護措施，針對這些核心資源進行有效保護;另一方面，即使企業會根據業務需求制定內部安全策略，以權限的形式指派承擔相關職責的人員，但這并不能有效防范擁有合法權限的內部用戶的異常行為，即合法用戶的異常行為。
因此基于內部用戶的行為分析，能夠發現內部人員的操作是否會對系統安全產生威脅，是解決內部威脅預警、檢測并保證系統安全的重要技術手段。
基于內部用戶的行為分析區別于基于特征的分析，后者雖然是一種立桿見影的手段，對于傳統的安全風險很有效，但時效性欠缺，并需要強大的相應隊伍。而基于用戶行為的分析，是一種較為復雜的方式，通過數據統計的方式來尋找異常，但缺點是準確度不確定，收集的數據越完善，準確度越高。
如何做到準確無誤的找到并抓獲這個“內鬼”?就需要知道他訪問的目的地、所用端口、什么協議以及訪問了什么端口、IP等內容，好在很多網絡安全設備廠商用標準數據交換方式很好的解決了這個問題。
以NetFlow標準為例，由于一個IP數據包的Flow至少定義了幾個關鍵元素：源IP地址、目的IP地址、源端口號、目的端口號、第三層協議的類型等，NetFlow可以利用分析IP數據包的幾種屬性，快速區分網絡中傳送的各種類型的業務數據流。
而瀚思則可以通過大數據安全平臺的采集器將日志和NetFlow統一收集，從而進行關聯分析。
做好關聯分析最終揪出“內鬼”
但是，在做好關聯分析前還要弄清楚一件事情：日志、網絡流量、權量抓包的數據分析并不是新的課題，但為什么現在不奏效了?
這是由于在大數據時代，企業的這些數據量要以億為單位，而“內鬼”的異常行為所產生的日志，只有幾條，在大數據技術和機器學習技術的能力不完善的情況下，要做到在這些數據中查找出幾條的異常數據，說成大海撈針也只是有過之而不及。
京公網安備 11010502049343號