大數(shù)據(jù)時(shí)代強(qiáng)勢襲來，為社會(huì)和經(jīng)濟(jì)發(fā)展帶來了巨大的挑戰(zhàn)和機(jī)遇。數(shù)據(jù)作為新的核心生產(chǎn)要素，正在全面重構(gòu)全球生產(chǎn)、流通、分配、消費(fèi)等領(lǐng)域，對全球競爭、國家治理、經(jīng)濟(jì)發(fā)展、產(chǎn)業(yè)轉(zhuǎn)型、社會(huì)生活等方方面面產(chǎn)生深刻影響。數(shù)字經(jīng)濟(jì)時(shí)代，數(shù)據(jù)已成為一種重要的高價(jià)值的生產(chǎn)資料，通過數(shù)據(jù)的流轉(zhuǎn)、使用發(fā)揮出巨大的價(jià)值。例如，電商企業(yè)可以根據(jù)用戶購買行為數(shù)據(jù)進(jìn)行精準(zhǔn)營銷，從而帶來經(jīng)濟(jì)利益；電信運(yùn)營商可以通過采集用戶行為數(shù)據(jù)并進(jìn)行分析，建立起客戶流失預(yù)警機(jī)制，從而降低客戶流失的風(fēng)險(xiǎn)。
數(shù)據(jù)價(jià)值愈加凸顯的同時(shí)，數(shù)據(jù)在流轉(zhuǎn)使用過程中面臨的安全風(fēng)險(xiǎn)也越來越多。明朝萬達(dá)認(rèn)為當(dāng)前企業(yè)數(shù)據(jù)主要面臨兩個(gè)方向的風(fēng)險(xiǎn)，即內(nèi)部風(fēng)險(xiǎn)和外部風(fēng)險(xiǎn)。而隨著防火墻、IDS等安全防護(hù)技術(shù)不斷發(fā)展，加之企業(yè)的重要數(shù)據(jù)往往運(yùn)行于內(nèi)部網(wǎng)絡(luò)甚至是涉密網(wǎng)絡(luò)，處于相對嚴(yán)格的隔離狀態(tài)，由黑客攻擊、撞庫等外部風(fēng)險(xiǎn)導(dǎo)致數(shù)據(jù)被竊取的難度較高。然而，由于業(yè)務(wù)拓展、市場分析等重要場景的需要，企業(yè)內(nèi)部的重要數(shù)據(jù)就需要從防護(hù)嚴(yán)密的生產(chǎn)環(huán)境導(dǎo)出到辦公環(huán)境，脫離安全系統(tǒng)的防護(hù)，大大增加了數(shù)據(jù)安全的風(fēng)險(xiǎn)。此外，企業(yè)長期忽略對內(nèi)部員工的管控和權(quán)限的追蹤，導(dǎo)致內(nèi)部風(fēng)險(xiǎn)逐漸成為影響數(shù)據(jù)安全的主要方式，為企業(yè)的數(shù)據(jù)安全和信譽(yù)造成了巨大安全隱患。據(jù)FortScale的統(tǒng)計(jì)數(shù)據(jù)顯示，企業(yè)所遭遇的數(shù)據(jù)安全事件中，大約85%的概率是與內(nèi)部員工有關(guān)。因此，數(shù)字化時(shí)代的數(shù)據(jù)安全防護(hù)主戰(zhàn)場已由抵御外部風(fēng)險(xiǎn)逐漸轉(zhuǎn)向內(nèi)部風(fēng)險(xiǎn)防護(hù)。
“ 在企業(yè)面臨的內(nèi)部風(fēng)險(xiǎn)中，數(shù)據(jù)泄露是影響數(shù)據(jù)安全的主要威脅。根據(jù)泄露途徑不同，可將內(nèi)部數(shù)據(jù)泄露大致劃分為數(shù)據(jù)使用泄露、數(shù)據(jù)存儲(chǔ)泄露和數(shù)據(jù)傳輸泄露。其中，數(shù)據(jù)使用泄露主要是指員工在使用過程中進(jìn)行一系列的操作，導(dǎo)致數(shù)據(jù)的泄露，主要方式包括打印機(jī)等；數(shù)據(jù)存儲(chǔ)泄露，是指員工通過存儲(chǔ)設(shè)備存儲(chǔ)數(shù)據(jù)，導(dǎo)致數(shù)據(jù)的泄露，主要方式包括移動(dòng)存儲(chǔ)設(shè)備、第三方云盤等；數(shù)據(jù)傳輸泄露，是指員工通過各類信息交換工具或軟件，進(jìn)行數(shù)據(jù)傳輸，導(dǎo)致數(shù)據(jù)的泄露，主要方式包括即時(shí)通信工具、電子郵件等。 ”
在《網(wǎng)絡(luò)安全法》《數(shù)據(jù)安全法》《個(gè)人信息保護(hù)法》等數(shù)據(jù)相關(guān)法律法規(guī)相繼頒布實(shí)施后，從國家、法律的層面明確了數(shù)據(jù)的重要性，對企業(yè)而言，無論是出于滿足合規(guī)性要求，還是對企業(yè)內(nèi)部穩(wěn)定、市場拓展、資源獲取、品牌建設(shè)等多方面的要求，加強(qiáng)企業(yè)內(nèi)部數(shù)據(jù)安全防護(hù)都勢在必行。
安全信息及事件管理（SIEM）
根據(jù)市場調(diào)研我們可以發(fā)現(xiàn)，安全信息及事件管理（Security Information and Event Management，SIEM）是企業(yè)應(yīng)對內(nèi)部數(shù)據(jù)安全問題最為廣泛采用的一種技術(shù)。該技術(shù)是安全信息管理（SIM）和安全事件管理（SEM）的結(jié)合體，能夠?yàn)槠髽I(yè)內(nèi)部所有IT資源產(chǎn)生的安全信息進(jìn)行統(tǒng)一的實(shí)時(shí)監(jiān)控、歷史分析。
SIEM主要是由采集層，存儲(chǔ)層，計(jì)算層，輸出層四部分組成。采集層主要用來采集所有網(wǎng)絡(luò)安全信息源，并對數(shù)據(jù)集進(jìn)行簡單處理，轉(zhuǎn)化為統(tǒng)一的格式，便于存儲(chǔ)。存儲(chǔ)層主要功能是存儲(chǔ)采集的原始數(shù)據(jù)和計(jì)算分析完成的結(jié)果，并為后續(xù)的分析與可視化展示提供數(shù)據(jù)支撐。計(jì)算層，是SIEM中最為重要的一層，包括規(guī)則匹配計(jì)算，算法計(jì)算，流量分析計(jì)算等多種計(jì)算分析模型。輸出層主要是將計(jì)算層分析的結(jié)果進(jìn)行多種輸出方式實(shí)現(xiàn)可視化展示。
基于日志分析和規(guī)則匹配技術(shù)，SIEM系統(tǒng)不斷融合關(guān)聯(lián)分析等其他方法，對安全事件進(jìn)行監(jiān)視、聚合、關(guān)聯(lián)和報(bào)告，在保護(hù)企業(yè)內(nèi)部敏感數(shù)據(jù)的安全中發(fā)揮著重要的作用。然而，隨著影響數(shù)據(jù)安全應(yīng)用場景的多樣性和不定因素的增加，SIEM也存在如下問題：
1、SIEM能夠?qū)τ|發(fā)預(yù)定規(guī)則的行為數(shù)據(jù)，快速地做出報(bào)警，但其警報(bào)的有效性往往取決于規(guī)則的合理性。不合理的監(jiān)控規(guī)則，會(huì)大大增加數(shù)據(jù)安全事件的誤報(bào)數(shù)量，促使企業(yè)擴(kuò)充安全運(yùn)維中心的人員數(shù)量和增加人員安全培訓(xùn)成本，這無疑增加了企業(yè)的經(jīng)濟(jì)負(fù)擔(dān)。此外，SIEM將安全事件進(jìn)行簡單的劃分，無法完成行為風(fēng)險(xiǎn)的優(yōu)先級排序這可能造成真正的數(shù)據(jù)安全事件無法及時(shí)處理，最終造成巨大的安全隱患和經(jīng)濟(jì)損失。
2、SIEM監(jiān)控規(guī)則的制定是一件非常復(fù)雜和耗時(shí)的工程。隨著造成數(shù)據(jù)安全風(fēng)險(xiǎn)的途徑和技術(shù)的日新月異，靜態(tài)的規(guī)則實(shí)現(xiàn)數(shù)據(jù)防泄漏始終慢人一步，維護(hù)與革新企業(yè)內(nèi)部不斷增加的規(guī)則將會(huì)產(chǎn)生巨大經(jīng)濟(jì)消耗。
3、互聯(lián)網(wǎng)的高速發(fā)展，也使得影響數(shù)據(jù)安全的未知因素急劇增加，而對于未知的數(shù)據(jù)安全威脅，SIEM難以提供有效的報(bào)警和防護(hù)，最終導(dǎo)致安全事件頻發(fā)以及巨大經(jīng)濟(jì)損失。
用戶實(shí)體行為分析（UEBA）
綜上所述，基于規(guī)則的SIEM數(shù)據(jù)安全技術(shù)對于數(shù)據(jù)安全事件的精準(zhǔn)預(yù)報(bào)、動(dòng)態(tài)的安全風(fēng)險(xiǎn)途徑與方式，特殊員工的行為監(jiān)控，實(shí)時(shí)的行為預(yù)測與風(fēng)險(xiǎn)評分，難以達(dá)到當(dāng)前企業(yè)對于數(shù)據(jù)安全的要求。因此，企業(yè)迫切需求一種能夠彌補(bǔ)傳統(tǒng)SIEM技術(shù)不足的新技術(shù)來應(yīng)對內(nèi)部數(shù)據(jù)安全風(fēng)險(xiǎn)，用戶實(shí)體行為分析（User Entity and Behave Analyse，UEBA）應(yīng)運(yùn)而生。
UEBA作為一種基于人工算法的新興數(shù)據(jù)安全技術(shù)，不同于SIEM以流量和請求為分析視角，而是直接以用戶以及實(shí)體為監(jiān)控對象，其監(jiān)控和管理方式，由基于規(guī)則分析轉(zhuǎn)為數(shù)據(jù)處理，關(guān)聯(lián)分析、行為建模、異常檢測，風(fēng)險(xiǎn)評分預(yù)測。
UEBA技術(shù)，從不同數(shù)據(jù)源中獲取用戶和實(shí)體的歷史行為數(shù)據(jù)，利用人工智能算法構(gòu)建行為分析模型，并形成用戶和實(shí)體的正常行為基線。當(dāng)用戶或?qū)嶓w的行為偏離正常的行為基線時(shí)，UEBA將該行為視為異常行為，并迅速做成相應(yīng)的處理和警報(bào)。同時(shí)，UEBA對用戶和實(shí)體的行為進(jìn)行風(fēng)險(xiǎn)等級評分，從而對數(shù)據(jù)安全風(fēng)險(xiǎn)等級進(jìn)行更為細(xì)化排序，為企業(yè)提供更明確的風(fēng)險(xiǎn)級別序列，提高企業(yè)數(shù)據(jù)安全風(fēng)險(xiǎn)處理效率。
相比于傳統(tǒng)的SIEM數(shù)據(jù)安全技術(shù)，UEBA具備更多優(yōu)勢。
1、UEBA基于人工智能算法，具有更強(qiáng)大的行為分析能力，通過模型構(gòu)建的用戶和實(shí)體行為基線，來衡量當(dāng)前用戶和實(shí)體的行為的數(shù)據(jù)安全風(fēng)險(xiǎn)等級，避免了構(gòu)建和維護(hù)規(guī)則而產(chǎn)生的巨額費(fèi)用；
2、UEBA基于構(gòu)建的行為基線，無需設(shè)定復(fù)雜的閾值，便能完成行為的安全風(fēng)險(xiǎn)評估；
3、UEBA通過連接事件、實(shí)體、用戶和異常等，展現(xiàn)安全事件全貌，使安全運(yùn)維人員聚焦真實(shí)風(fēng)險(xiǎn)和威脅，提高安全運(yùn)營和威脅檢測的效率；
4、UEBA能夠自適應(yīng)動(dòng)態(tài)的環(huán)境變化和業(yè)務(wù)變化，通過異常評分的定量分析，分析全部事件，無需硬編碼的閾值，即可發(fā)現(xiàn)隱藏的、緩慢變化的未知威脅。
明朝萬達(dá)數(shù)據(jù)安全專家表示，UEBA在解決企業(yè)內(nèi)部數(shù)據(jù)安全的問題上，以獨(dú)特的監(jiān)控角度，強(qiáng)大的自適應(yīng)學(xué)習(xí)和行為分析能力，動(dòng)態(tài)的行為基線，風(fēng)險(xiǎn)預(yù)測與等級評分機(jī)制，已經(jīng)成為了彌補(bǔ)基于規(guī)則的SIEM數(shù)據(jù)安全防護(hù)系統(tǒng)的關(guān)鍵性技術(shù)。
