对预测未知威胁的要求 – 摘自美国2013年国防预算法案

围观次数:521 views

Federal-Facility-Physical-Security-680x400

美国的国防采购一直是先进实用技术和产品的风向标,对信息安全行业发展方向的指导和引领作用也是不言而喻。行业内一直有个传说,称美国2013年国防预算法案中抛弃了基于识别特征库的安全产品。可惜每次听到或看到都语焉不详。因此笔者找到了原文,翻译给大家,并一起分析探讨其真实含义。

1、

 仔细想想,这要求再合理不过了。虽然美国国防部每年都有大笔预算砸向信息基础设施,但海量条数的威胁库,对计算能力、存储空间、和网络带宽,都是极大的压力,而且只要不能及时更新威胁库,很容易令敌对方有机可乘。

法案中只是泛泛地提到了威胁库,并没有专指基于识别特征(signature-based)的产品。但不幸的是,根据上面的描述,那些号称有几百亿条黑白名单信誉库的威胁情报厂商也躺枪了,显然不能满足上面的要求。同时,能够应对内部威胁也在法案其它处明确提出,而传统特征库的作用十分有限。虽然上面描述部分是在主机安全产品采购的章节,但相信在网络安全领域将会有同样的要求。

这三点要求可不是简单地只针对特征库!

有些含义深刻的推论很容易被忽视:“大数据安全”符合这个要求吗?数据采集分析和结果回传是不是同样会消耗大量带宽和存储?怎样才能用小规则库预测大量威胁?采用什么技术才能在单台设备上跑出预测威胁的效果?怎样同时应对内部威胁和外部威胁?

如果识别规则库的体积,与被识别数据以相同数量级增长,那么此识别框架体系必然会遇到巨大瓶颈。这条经验是笔者从事内容识别工作实践总结出来的,也同样应用于数据分类分级和防泄漏等领域。随着威胁数量猛增,特征库可预见地会变得愈加庞大,部署与使用的难度也会剧增。

有别于大数据安全,这也清晰地说明了“数据驱动的安全”的另一个重要发展方向:只利用少量数据和少量计算,就能预测发现未知威胁。不需要也不能够直接使用“大数据”的支持。显然地,某些机器学习和数据挖掘算法可以满足此类需求。

必须要重点澄清的是,这里并不是全盘否定特征库。实际上,基于识别特征的系统早已部署完毕,下一代系统的要求是在此之上的补充和发展。

附上原文供参考:

n-7

n-2

2、
美国众议院军事委员会(负责对国防部、武装力量、能源部大部分机构提供资金以及实施监督),对基于识别特征的安全产品的局限性也有清晰认识,下面是其对于国防预算使用的建议:

综合近两年安全行业基于机器学习、行为分析、和数据挖掘的全新威胁检测产品的风起云涌的形势,委员会认为有潜力的新技术也昭然若揭。采用机器学习和数据挖掘技术的引擎,只需要同步数据量很小的规则库,就能发现大量新出现的威胁。而行为分析产品,在军队这种行为高度规程化一板一眼的环境里,归纳正常行为基线相当容易,侦测异常行为准确率高,更是有奇效。当然,现在主流的行为分析方法也是使用数据挖掘里的算法。

此外,由于单台设备上可供分析的数据量小,来源也要全面立体化。像只分析鼠标键盘这种单一类型行为只会导致漏误报率高。正确的做法是,除了传统的日志,还应使用敏感数据保有量和使用、访问内部服务器并下载关键信息、恶意域名访问等数据进行分析,才能达到较好效果。

附上原文供参考:

n-4

 

 

发表评论

邮箱地址不会被公开。 必填项已用*标注

广告赞助