迈克菲SIEM：像发动机般驱动安全互联

大数据为SIEM(安全信息和事件管理)赋予了新的生命，迈克菲资深信息安全专家程智力近日表示，大数据时代企业所面临的任何信息系统都是大数据的系统，安全面临的复杂程度前所未有。目前，每周有469000个恶意软件样本被发现，83%的企业遭受过高级持续威胁的攻击。至2015年，通过网络进行通信的设备将达150亿，市场上存在135家一级安全厂商，较多安全复杂架构的采用，势必增加企业管理和投资的复杂度，以及技术成本的压力。

在安全的困境中，企业需要深度的防护。程智力强调大数据时代安全互联的价值，安全日志的信息量越来越大，在这样的架构下，如果没有安全互联，也就意味着架构之间是互相割裂的。割裂的系统在安全事件的发生过程中，并不能形成报警或不能形成有效的报警。

基于安全互联的SIEM

SIEM长期以来一直是安全团队赖以管理和处理此类信息的核心工具。程智力指出大数据时代的安全需求是迈向实时化，包括持续的可视化和持续的响应。和简单的做到一次和短时间内的可视和响应不同，实现持续的安全管理和响应是很困难的，但迈克菲基于技术手段和平台做到了这一点，这就是安全互联。

安全互联为迈克菲SIEM产品提供了架构的基础，从底层基于英特尔的硬件增强安全保护，到信息的实时响应与共享，迈克菲将其全球威胁智能感知系统与应用、终端、网络、数据库等其它渠道信息进行整合，对安全数据进行实时分析。此外，IPS、防火墙等技术也被融入SIEM解决方案中，与其数据捕获、关联和分析功能相结合，以提高威胁跟踪与风险评估能力，从而实现实时协作、受控响应及精确报告。

“当实施了很多安全控制以后，怎么样把安全的事件整合成我们所理解的数据尤为重要。也就是对大数据进行深入的挖掘和分析，才能形成有效的防护体系。”程智力表示，这个工作就是迈克菲SIEM去做的。

迈克菲下一代SIEM即Nitro就是把不同的安全管理系统的事件进行有效的收集整理，并且进行标准化，然后按照迈克菲安全专家所提出的关联的建议以及按照企业自身的安全风险的情况，把它整合成企业所能理解的安全的警报，安全威胁的数据，使真正的机器语言变成可以被理解的安全管理语言。“如果管理平台是我们的架构，是我们的底盘，那么Nitro相当于安全互联平台的一个心脏，它是发动机，是关联所有部件最核心的部位。”程智力说到。

大数据驱动的下一代SIEM

为什么安全数据逐步演变成为大数据问题?试图管理传统SIEM的任何企业对此都深有体会，尤其在仔细品味大数据定义之后更为明显。大数据包含的数据集规模过于庞大，使用现有的数据库管理工具难以有效处理。面临的挑战包括捕获、存储、搜索、共享、分析和虚拟化。

所以，迈克菲发布了下一代SIEM，“传统的SIEM并不是为大数据的安全时代所设计”，程智力表示，传统SIEM系统构建于数据库和架构基础之上，并且这些数据库和架构在处理大量事件、历史记录数据和关系数据扩展的能力方面存在固有的局限性。另外，传统SIEM系统的分析能力也有所欠缺。许多企业不得不关闭重要但非主要的分析功能，然后再耗费数小时的等待才能生成一份报告。容量和分析技术不能扩展以满足不断增长的需求。

“对于迈克菲来说，我们下一代SIEM的特点是采用的专属型数据库，并不是关系型数据库和文件型数据库，有很好的读写能力和索引能力应对我们巨大而复杂的查询压力。”程智力指出，下一代SIEM还能够识别更多上下文信息和数据的背景，而不是简单的事件流分析。

可以说，在当今的威胁环境下，SIEM给出了大数据安全挑战下的最佳答案。