从追逐警报到捕获威胁:有效SOC的进化
作者: 日期:2016年11月12日 阅:3,080

无论被称为SOC、CSOC(计算机安全运维中心)、网络防御中心还是别的什么东西,安全运维中心(SOC)的根本使命都不会变——帮助企业检测、分析、响应、报告和预防网络安全事件。不过,随着威胁态势不断改变,怎么有效做到这一点也发生了变化,分析师及其所依赖的技术身上的担子也更重了。

 

sco

很多SOC采取的是反应式方法,提供一套包括日志管理、实时监视、事件响应和调查在内的标准服务。他们使用传统的SIEM(安全信息和事件管理),从内部源收集日志数据,进行关联,以简单实时的基于规则的分析来检测已知威胁。只要触发警报,他们就介入调查。一段时间里,这种水准的服务就足够了。但随着攻击越来越复杂,很明显有很多恶意行为都躲过了监视且没有产生明显日志数据,比如零日漏洞攻击和针对性恶意软件。这意味着传统攻击检测已经不再那么有效了。

由于成功数据泄露事件数量持续增长,且攻击者持续数周、数月甚至更长时间不被检测到,如今仅仅调查警报已经不够了。SOC分析师们很清楚不可能检测和封锁所有攻击的事实,他们必须采取积极的方式来保护公司资产,找出活跃威胁和被入侵系统。威胁捕获的重点,在于积极找出进入到网络中的威胁。这需要对可能被入侵系统的深入检查及查阅大量历史数据,以找出传统警报机制没有识别出的恶意活动。

投入威胁捕获

威胁捕获行动涉及一系列工具和技术。如果发现潜在数据泄露的证据,可以调查该系统以确定发生了什么、怎么发生的、是否有其他系统受到影响等,以便能够遏制和缓解攻击。然而不幸的是,人工捕获行动投入大产出小,耗费大量人力物力,却只有有限的机会可以查出东西。即便找出之前忽视掉的问题令人十分振奋,如果缺乏恰当的技术对之做出处理,那也只会是时间和金钱的浪费。

幸亏安全分析技术和威胁情报的发展,有助于充分利用捉襟见肘的分析师资源,开展更有效率的行动。这些技术提供帮助的方式有两种:将捕获集中在更有可能被泄露的资产上,以及重评估已发生事件以揭示最新威胁情报。

捕获被侵入系统

如大多数SOC分析师所知,很多情况下你是从普通员工报告‘某某系统有点不对劲’,而不是通过SIEM警报,来得知攻击的发生。高级攻击经常能避免触发明显警报,但仍会留下有东西出了差错的证据。被侵入的系统则会表现得与平时不一样。但依赖人工来发现非正常活动是不够的,而且跟不上当今的威胁态势。

高级分析大显身手之处正在于此。对潜在被侵入系统的积极发现和深入调查需要时间、精力和技术——这三样东西对绝大多数企业而言都是非常珍贵的。高级分析能基于发现异常来辅助识别捕获区域。突然偏离日常基线的系统,可能就正在运行新的未知进程、向不受信网络发送大量信息,或者与正常业务范围以外的地方进行通信。这些异常可能是无辜的,也可能指向潜在的被侵入系统。为发现此类异常,大多数成功捕获行动会从几种分析的综合运用开始:统计分析以识别出离群值,机器学习算法以评估这些离群值,判断是否与已知恶意行为类似。基于这些分析,具备较高被侵入概率的系统会被标识出来,进行后续深入彻底的调查。

重新评估过去

威胁捕获还包括通过检查历史数据找出可能被忽视掉的威胁。为克服传统SIEM的限制,威胁捕获采用基于大数据的新平台,来采集、管理和分析来自各种内部外部源的大量历史数据。在第一轮实时分析可能会错过什么东西的场合,可以使用大数据系统来检查可能的大量日志储备和其他可用数据源。通过采用最新威胁情报来重新分析,可具备重评估数据的能力,得到后见之明的好处。比如说,根据时下掌握的信息,通向命令与控制(C&C)基础设施的潜在恶意连接,有可能没被注意到。将更新过的威胁情报与网络通信历史元数据做对比,分析师就可能回顾性地发现攻击。

无论是积极找寻被侵入系统,还是重评估过去事件,目标都是增加捕获行动成功的可能性。大数据平台;实时全球威胁情报;再辅以基于规则的、统计的机器学习分析,分析师肩上的担子便能被有效减轻。为达成更具成效的捕获探索,这些技术必须协同使用,并融进分析师对所处环境的洞见和知识。具备了从追逐警报到捕获威胁的转型能力,SOC便能进化得在面对高级攻击时更加积极主动,更有效。

 

关键词:

申明:本文系厂商投稿收录,所涉观点不代表安全牛立场!


相关文章