互聯(lián)網(wǎng)上的安全風(fēng)險越來越多，種類也越來越繁雜，現(xiàn)在每周新發(fā)現(xiàn)46,9000個惡意軟件樣本，它們大多目標明確，采用秘密的方式竊取機密數(shù)據(jù)，而且其自身還在不斷演進。據(jù)統(tǒng)計，有83%的企業(yè)遭受過高級持續(xù)性威脅的攻擊，而且到2015年通過網(wǎng)絡(luò)進行通信的設(shè)備將達150億。大數(shù)據(jù)時代安全架構(gòu)在變得愈發(fā)復(fù)雜，安全需求也在持續(xù)增加，需要各種新興技術(shù)應(yīng)對新型風(fēng)險和威脅。但這勢必增加企業(yè)管理的復(fù)雜度，投資的復(fù)雜度并造成技術(shù)成本壓力。此時需要采取深度防御策略，并通過安全互聯(lián)的方式實現(xiàn)全面整體的安全防御，實時獲取安全信息，對其進行關(guān)聯(lián)性分析，更快、更早的發(fā)現(xiàn)安全威脅。

       新安全威脅下需要下一代SIEM

       SIEM，Security Information and Event Management，安全信息與事件管理。SIEM可以為來自企業(yè)和組織中所有IT資源（包括網(wǎng)絡(luò)、系統(tǒng)和應(yīng)用）產(chǎn)生的安全信息（包括日志、告警等）進行統(tǒng)一的實時監(jiān)控、歷史分析，對來自外部的入侵和內(nèi)部的違規(guī)、誤操作行為進行監(jiān)控、審計分析、調(diào)查取證、出具各種報表報告，實現(xiàn)IT資源合規(guī)性管理的目標，同時提升企業(yè)和組織的安全運營、威脅管理和應(yīng)急響應(yīng)能力。

       以往企業(yè)每天所產(chǎn)生的安全數(shù)據(jù)量還不是很多，而今企業(yè)每天都在產(chǎn)生大量的安全數(shù)據(jù)，而且有更多狡猾的安全威脅隱藏在這些數(shù)據(jù)背后，這就需要下一代SIEM能夠有更高、更強的性能去應(yīng)對大數(shù)據(jù)，SIEM要能夠?qū)Υ髷?shù)據(jù)進行更具深度和廣度的挖掘，進而發(fā)現(xiàn)潛藏安全威脅的蛛絲馬跡。

       傳統(tǒng)SIEM并不是為大數(shù)據(jù)時代的安全所設(shè)計，其或者采用扁平化的數(shù)據(jù)存儲方式，或者采用關(guān)系型數(shù)據(jù)庫。以扁平化的方式存儲數(shù)據(jù)，讀寫速度快，但索引能力很差，在進行查詢或者分析操作時效率低下。關(guān)系型數(shù)據(jù)庫建立了很好的索引，極大提高了查詢性能，但其讀寫速度卻很差?！拔覀兠棵腌娍吹降氖录菐资f的級別，傳統(tǒng)的SIEM可能只能應(yīng)對幾萬的數(shù)據(jù)”， 邁克菲資深信息安全專家程智力認為傳統(tǒng)型的SIEM僅做了事件搜集的工作，而沒有對數(shù)據(jù)進行深度挖掘，無法識別上下文之間的信息以及數(shù)據(jù)背后的信息。

       程智力, 邁克菲資深信息安全專家

       大數(shù)據(jù)時代需要新型的SIEM，“要有非常好的專屬數(shù)據(jù)庫，既能夠很快的讀寫數(shù)據(jù)，也能夠?qū)崿F(xiàn)快速的查詢工作”。下一代SIEM還要能夠識別更多上下文信息和數(shù)據(jù)背景，實現(xiàn)基于應(yīng)用程序的識別?！爸朗录澈蟛僮鞯挠脩羰钦l，其物理位置在哪里，用戶所使用的應(yīng)用程序是什么，應(yīng)用程序打開了哪個文檔，文檔里有哪些內(nèi)容，我們要識別出應(yīng)用程序里面的內(nèi)容。”要識別應(yīng)用，識別應(yīng)用才能做到更深入的分析和安全呈現(xiàn)。下一代SIEM由于能對安全體系內(nèi)的所有事件進行實時監(jiān)測分析，所以當(dāng)APT攻擊剛剛開始試探系統(tǒng)漏洞與弱點時，就能夠被及時發(fā)現(xiàn)，阻斷APT對系統(tǒng)的進一步威脅。而且，邁克菲的下一代SIEM借助其全球安全數(shù)據(jù)庫，能夠快速識別攻擊來源，從根本上攔截APT攻擊。

       大數(shù)據(jù)時代下選擇SIEM
   
       哪些企業(yè)需要SIEM，企業(yè)什么時候需要SIEM？程智力表示，沒有不需要SIEM的企業(yè)，只是看企業(yè)是否到了需要SIEM的時候。當(dāng)企業(yè)還在進行基礎(chǔ)IT建設(shè)時，還不需要SIEM產(chǎn)品。而當(dāng)其進行與大數(shù)據(jù)相關(guān)的業(yè)務(wù)時，就要考慮選擇SIEM了。當(dāng)企業(yè)要進行更深入的數(shù)據(jù)挖掘、進行應(yīng)用的數(shù)據(jù)挖掘時就需要借助SIEM來實現(xiàn)其需求。

       專業(yè)的安全管理人員有利于SIEM的順暢運行。搜集數(shù)據(jù)僅僅是SIEM的基礎(chǔ)功能，還需要對這些數(shù)據(jù)進行深入的挖掘分析，而這就需要具有專業(yè)的安全知識。在SIEM上線的初期，需要專業(yè)人員的指導(dǎo)，幫助進行安全評估、策略設(shè)定等等。SIEM主要提供發(fā)現(xiàn)問題的數(shù)據(jù)信息、解決問題的意見信息，具體執(zhí)行還需要由專業(yè)安全人員進行，企業(yè)需要根據(jù)SIEM架構(gòu)配置好合理的安全管理人員。

       用戶如果希望將其傳統(tǒng)SIEM產(chǎn)品升級成邁克菲的下一代SIEM產(chǎn)品，那么無需擔(dān)心數(shù)據(jù)遷移問題，邁克菲會幫助其對傳統(tǒng)數(shù)據(jù)進行重新格式化以及數(shù)據(jù)分析。而且這些服務(wù)都是免費進行的。

       2013年被認為是企業(yè)大規(guī)模采用大數(shù)據(jù)技術(shù)的一年，卻也是“網(wǎng)絡(luò)安全漏洞之年”。安全是大數(shù)據(jù)價值實現(xiàn)的根本，安全信息與事件管理（SIEM）作為智能安全系統(tǒng)中非常重要的領(lǐng)域，隨著大數(shù)據(jù)應(yīng)用的逐步深入將迎來更多的發(fā)展機遇。