SIEM、UBA、UEBA分不清？那就真该看看本指南
|
互联网遍及20多年来，收集安详也从简朴的配置防火墙和假造局域网(VLAN)，成长到了由呆板进修(ML)和人工智能(AI)驱动的说明。变革太大，怎样顺应?
驱动收集安详巨变的引擎是收集犯法，及其快速打败安详技能迭代前进的超强手段，险些是安详技能一更新，收集犯法的新应对就接踵而来了。防火墙是第一个被挑衅的安详技能，需监督流量的局限之大、伟大度之高，已经到了无从应对的境地。曾经被视为可促进威胁追捕的入侵检测体系(IDS)、入侵防止体系(IPS)和各层终端及装备安详法子，也很快步了防火墙后尘。 嘲讽的是，导致防止法子跟不上威胁成长的祸首罪魁并不是防火墙、IDS、IPS和终端安详软件检测不到收集进攻，而是它们发生的警报开始让防止者不堪重负。流量不绝增进，且新生代器材还在不断添加着需监督的账户、应用、权限和用户;安详供给商急于回收可使人类公道拣选变乱的专家体系来办理题目。 SIEM的鼓起 2000至2010年间，安详信息打点(SIM)、安详变乱打点(SEM)及其彼此团结的产品安详信息及变乱打点(SIEM)，是办理数据过载的公道要领。SIEM不消各个专属体系来打点日记数据，而是提供同一的视图泛起网络自各个来历的数据并举办关联处理赏罚。尽量SIEM成为了不行或缺的安详协助——安详运营中心(SOC)和齐集式安详监督假如缺乏SIEM将难以执行日记监督事变。 归纳总结下它的优弱点照旧很有须要的：
SIEM也有范围，首当其冲的就是其有用性取决于馈送进来的日记变乱及运用法则关联变乱以发生有效警报的方法。原则上，好的法则应能发明非常变乱。但想要既发明非常变乱又不让安详团队被误报沉没，却并不像市场营销宣传册上写的那么简朴。 很明明，成立和维护这些法则(可能调解SIEM随附的法则模板)黑白常伟大的，由于尺度化日记输入以兼容各监督体系所用差异数据名目标进程就很伟大。鉴于这些名目和日记中捕捉的输入城市随时刻历程而改变和增进，这项事变会变得繁复难题。 UBA及用户的回归 送进SIEM的数据不绝增进，SIEM打点越来越难，SIEM及时检测进攻又不至累垮安详团队的手段遭到质疑。于是，人们不得不开始探求新的全能办理方案。Gartner所谓的用户举动说明(UBA)便进入了人们的视线。 该要领点出了用户的重要性，指出梳理收集探测器网络的数据注定达不到安详目标，应该放弃揣摩日记变乱的寄义及其彼此相关，转而存眷用户基线状态及其凭据。一旦用户变乱偏离了已知正常状态，无论是内部照旧外部的正常状态，就会发生警报。 2005年阁下，新一代的防火墙已经纳入了用户打点成果，但对投入SOC和SIEM的公司企业来说，将该成果整合到同一的体系中总比作为单独的监督装备更故意义。某些环境下，UBA被实现成SIEM的扩展或其自带的一个成果，由于供给商是按照市场需求来开拓产物的。 仿佛还差点儿什么? 2015年，Gartner以为UBA已经进化到了新的阶段，演酿成了用户及实体举动说明(UEBA)，多加了一个字母。根基上就是增进了主机、处事器和各类应用，某些UBA着实已经插手了这些对象供关联用户变乱及其对处事器和数据的会见。可以以为，Gartner将UBA改为UEBA只是在声名一个明明的究竟：固然监督用户举动很重要，同时监督用户与之互动的资源同样重要。 引人深思的题目是UBA/UEBA是代替照旧补足SIEM。不肯失去成熟市场的老牌供给商天然但愿市场论调朝着这个题目不值得争论的偏向成长。好比说，假如公司企业已经陈设了SIEM，那他们可以并行构建UEBA，将UEBA的数据馈送给SIEM以得到更高条理的视图。 另一种概念则以为，UEBA不只仅是传统SIEM说明的一个面向用户的扩展，而是领略收集安详的全新方法。一向以来，收集安详就是计划些通过法则来实现的计策。哪个处所呈现了违背法则的变乱，安详产物就会发生一条警报。这种模式的题目从来都是费时艰辛还拦不住机巧百出的进攻者。并且，传统模式对内部人威胁完全无效，具有正当权限的员工无论是恶意操纵照旧有时误设置资源，都能躲过传统要领的检测。 呆板与人 UEBA的重点在于检测变乱或其上下文是否偏离了收集既定的“正常”状态。这一点很洪流平上由呆板进修软件实现，但呆板进修自己并不是应UEBA的检测需求而发生的，呆板进修不外是刚好很善于模式辨认，能发明偏离既定状态的非常环境罢了。 假如行使呆板智能作为安详器材的模式能证明有用，UEBA就可被视作SIEM的更换物。但二者也存在融合的也许。假如然的走了融合蹊径，市场也许会受到必然震荡，由于这种演变将会整合供给商，让他们在这个稍成熟的产物品类中相互竞争。 最终，客户思量的将不再是信赖哪种技能，而是想要投资哪种收集和安详管理方法。界线安详还是最简朴的收集安详操纵，即便在自身抵牾的重压下濒临瓦解。 想要得到最佳安详确践，新采用的要领得可以或许及时检测威胁又不至发生太多误报。其它，不消花太多时刻争论各类缩略语的寄义了，将来属于既能充实操作已有技能又对新技能敞开器量的办理方案。 【本文是51CTO专栏作者“”李少鹏“”的原创文章，转载请通过安详牛（微信公家号id:gooann-sectv）获取授权】 戳这里，看该作者更多好文 【编辑保举】
点赞 0 （编辑：河北网） 【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容! |
