如何评估大数据安全分析产品(3)

　　Fortscale采用了数据科学中常见的机器学习和统计分析技术，以适应安全环境中的变化。这些技术使得Fortscale可以执行基于数据而非预定义规则的分析。当网络中的基准行为发生变化时，机器学习算法可以在没有人为更新规则集的情况下自动探测到这些变化。

　　RSA Security Analytics包括了预定义的报告和规则，使得分析人员可以很快开始使用SIEM收集到的数据。

　　安全分析也同样非常依赖恶意行为相关的知识。RSA Security Analytics包括的RSA Live服务负责将数据处理和关联规则发送到部署的设备中。这些新的规则可被用于分析刚到达的实时数据和存储在RSA Security Analytics系统的历史数据。与Fortscale类似，RSA Security Analytics也采用了数据科学的相关技术来增强分析的质量。

　　此外，LogRhythm的分析工作流包括了处理、机器分析和取证分析三个阶段。处理阶段负责数据转换，提高原始数据被有用的模式探测到的可能性。它包括了事件标准化、数据分类、metadata标记和风险上下文分析。

　　因素5：合规报告、警告和监控

　　合规报告是当今企业所必须要具备的功能。很多用于合规目的的数据元素都和最好的安全实践绑定在一起。甚至对于那些对合规报告没有硬性需求的公司而言，合规报告也可以很好的用于内部规划。。了解一个大数据安全平台的报告制度满足了企业对于合规方面的特殊需求，是非常重要的。

　　IBM Security QRadar的Risk Manager插件提供了网络设备配置的合规及风险管理的工具。该插件的功能包括自动监控、多供应商产品审计的支持、合规策略评估以及威胁建模。

　　就像之前所提到的，Fortscale使用机器学习算法来不断评估基准活动的变化和探测异常事件。当系统探测到这些事件时，它可以生成警告，并提供事件的相关信息。

　　为了节约终端用户的时间，RSA Security Analytics本身就带有近90种模板，以满足SOX、HIPAA、PCI DSS等的报告需求。

　　SIEM系统中的报告和警告远远超过了固定报告和简单警告的形式。例如，Cybereason Platform就可以自动探测恶意活动。该平台还提供了一个调查窗口，用来将攻击时间线、受影响的用户和设备等信息汇总并以图形的方式展示出来。

　　Splunk Enterprise Security提供了包含关键安全和性能指针以及趋势指针的仪表盘，以进行不间断的监控。而且该平台还支持工作流的优先级。Splunk平台还支持高优先级用户的追踪和关键应用程序的访问报告。

　　Hawkeye AP本身包含了400种报告，而且支持根据特殊需求进行修改。由于Hawkeye AP使用关联数据技术，并支持ANSI Standard SQL、ODBC和JDBC驱动，用户可以可以使用流行的企业级报告工具来创建定制化的报告。

　　LogRhythm的平台包括了分级后的风险的警告、标准报告和一个实时的报告仪表盘。而且，它还包括了案例管理工具、证据锁以及事件追踪数据等额外工具用于取证分析。

　　大数据安全分析工具的功能

　　大数据安全分析工具可以分析很多种的数据类型，也可以处理大规模的数据。当然，并非所有的机构都需要用到当前大数据安全分析产品的所有功能。但是，正在寻找保护企业数据安全工具的机构应该考虑大数据安全分析工具所能扮演的角色。

　　对于大企业和需要存储详细的事件数据的企业，IBM QRadar是一个不错的选择。该平台能够扩展到P字节规模的能力将会是一个很大的亮点。Hawkeye的数据仓库模型和列导向存储使得它能够针对信息安全进行商业智能的报告。这样，当企业需要高级报告或者定制化的报告时，Hawkeye AP就是一个很好的选择。而当企业需要在设备离线的情况下继续捕获事件数据时，它可以考虑Cybereason。此外，RSA Security Analytics和LogRhythm's Security Intelligence Platform可以很好的配合来处理很多数据类型的情况。Splunk提供了大量的数据源连接器，可以很好满足拥有大量数据源的企业的需求。

　　大数据安全分析目前主要被大企业所采用。但是，随着相关工具的花费和复杂度不断降低，中等规模的企业、甚至小企业最后也肯定会意识到该技术的好处。

原文转自：http://www.infoq.com/cn/articles/big-data-security-analysis-products