然而，這個實現(xiàn)過程將非常艱難，因為成功的大數(shù)據(jù)安全分析部署將要重繪IT部門的邏輯邊界，但現(xiàn)在很少有安全廠商提供支持這種過渡的產(chǎn)品。

在2012年Gartner安全和風(fēng)險管理峰會上，Gartner公司副總裁Neil MacDonald談到了與大數(shù)據(jù)相關(guān)的一些重要信息，他指出，鑒于大數(shù)據(jù)的數(shù)量、速度、多樣性和復(fù)雜性，分析和處理大數(shù)據(jù)需要采用不同的方法，而現(xiàn)在有很少IT企業(yè)具有可擴(kuò)展性系統(tǒng)，能夠以合理的速度來分析幾TB的數(shù)據(jù)。

他又舉出了幾種很難相關(guān)聯(lián)、分析和用于業(yè)務(wù)和信息安全決策的大數(shù)據(jù)類型，包括網(wǎng)絡(luò)數(shù)據(jù)包捕捉、傳感器、各類交易數(shù)據(jù)、合規(guī)監(jiān)控和威脅情報。

“重點不是數(shù)據(jù)，而是你應(yīng)該如何處理這些數(shù)據(jù)：對這些數(shù)據(jù)進(jìn)行分析獲取的你需要的情報信息，”MacDonald表示，“我認(rèn)為大數(shù)據(jù)分析是真實的，而不只是炒作，這也是我們將要處理和分析的信息安全數(shù)據(jù)類型。”

由于高級持續(xù)性攻擊(通常簡稱為APT)的迅速崛起，大數(shù)據(jù)分析成為很多企業(yè)信息安全部門迫切需要解決的問題。傳統(tǒng)安全防御措施很難檢測高級持續(xù)性攻擊，因為這種攻擊與之前的惡意軟件模式完全不同。

“你怎么知道出現(xiàn)問題了?以前你訂閱了供應(yīng)商的服務(wù)，他們會告訴你問題是什么樣子，然后你可以去尋找問題，”MacDonald表示，“但現(xiàn)在，在一個沒人它什么樣子，你怎么找出問題?”

企業(yè)必須先確定正常、非非惡意活動是什么樣子，然后查找與之不同的活動，從而發(fā)現(xiàn)惡意活動。但Macdonald表示，要成功做到這一點，企業(yè)需要更多的數(shù)據(jù)來建立一個基線標(biāo)準(zhǔn)，這也就是大數(shù)據(jù)的用武之地。

MacDonald預(yù)測，到2016年，40%的企業(yè)(銀行、保險、醫(yī)藥和國防行業(yè)為主)將積極地對至少10TB數(shù)據(jù)進(jìn)行分析，以找出潛在危險的活動。然而，供應(yīng)商的產(chǎn)品格局無法在短期內(nèi)進(jìn)行轉(zhuǎn)變。現(xiàn)在，企業(yè)通常依賴于SIEM系統(tǒng)來關(guān)聯(lián)和分析安全相關(guān)的數(shù)據(jù)，MacDonald表示目前的SIEM產(chǎn)品無法處理這么大的工作量，大多數(shù)SIEM產(chǎn)品提供接近實時數(shù)據(jù)，但只能處理規(guī)范化數(shù)據(jù)，還有些SIEM產(chǎn)品能夠處理大量原始交易數(shù)據(jù)，但無法提供實時情報信息。

MacDonald表示，這意味著一些企業(yè)將不得不自己來建立有效的大數(shù)據(jù)分析系統(tǒng)，他預(yù)測將會有越來越多的企業(yè)開始建立大數(shù)據(jù)項目，例如像Zions Bancorporation大數(shù)據(jù)部署項目，該公司使用來自初創(chuàng)公司Zettaset公司的技術(shù)建立了一個基于Hadoop安全大數(shù)據(jù)倉庫。

MacDonald建議，在進(jìn)行自定義部署之前，企業(yè)應(yīng)該向SIEM供應(yīng)商尋求幫助，跟蹤市場發(fā)展趨勢。一些較大供應(yīng)商(例如IBM、惠普和EMC及其RSA和VMware子公司)正在基于其SIEM產(chǎn)品建立和整合類似技術(shù)。

McDonald表示，最終，安全大數(shù)據(jù)將演化為IT商業(yè)智能發(fā)展趨勢的一部分，即結(jié)合信息安全情報和IT業(yè)務(wù)數(shù)據(jù)，以提供更高水平的業(yè)務(wù)情報。安全和業(yè)務(wù)數(shù)據(jù)相結(jié)合能夠帶來巨大的價值，因為隨著IT系統(tǒng)逐漸虛擬化，在安全和業(yè)務(wù)部門使用標(biāo)準(zhǔn)行為基線來發(fā)現(xiàn)異常行為將越來越普遍。此外，運營團(tuán)隊將知曉對安全至關(guān)重要的數(shù)據(jù)，例如哪些系統(tǒng)承載企業(yè)最寶貴的數(shù)據(jù)。

“你可以想想這幅畫面，其中包含海量數(shù)據(jù)，”MacDonald表示：“要到達(dá)金字塔的頂端，你必須使用有意義的模式和可見度來提取大量數(shù)據(jù)，讓數(shù)據(jù)具有可操作性，知道應(yīng)該對這些數(shù)據(jù)做什么以及哪些數(shù)據(jù)應(yīng)該優(yōu)先處理。這聽起來很困難，但這正是關(guān)鍵所在，也就是Gartner公司所謂的安全情報：我需要知道將重點放在哪里——通過IT風(fēng)險‘熱圖’來顯示工作重點。”

關(guān)于這種演變是否將發(fā)生在未來幾年內(nèi)，與會者有不同的意見。Open Field Capital公司研究分析師Luis Scull表示，他不認(rèn)為大數(shù)據(jù)在未來幾年內(nèi)將掌控大局，因為大多數(shù)企業(yè)不具備相關(guān)資源或政策資本。

然而，新澤西州某公司的技術(shù)協(xié)助和事件響應(yīng)高級主管Robert House表示，在他們企業(yè)，大家已經(jīng)開始談?wù)摯髷?shù)據(jù)安全分析系統(tǒng)的話題，因為他們迫切地需要找到創(chuàng)新的方法來檢測威脅。但SIEM供應(yīng)商還沒有加快步伐來幫助客戶采取下一步行動。

House表示：“我的經(jīng)驗是大部分供應(yīng)商解決方案不會對他們提供給你的數(shù)據(jù)進(jìn)行補(bǔ)充，你需要在企業(yè)內(nèi)部來完成。”合規(guī)也推動著大數(shù)據(jù)的演化，隨著 PCI DSS(支付卡行業(yè)數(shù)據(jù)安全標(biāo)準(zhǔn))和SOX(薩班斯-奧克斯利法案)有更先進(jìn)的防御方法，在未來幾年內(nèi)，我們會對安全大數(shù)據(jù)系統(tǒng)的需求更迫切。

“由于Stuxnet和Flame等攻擊變得越來越智能，你將需要加強(qiáng)安全控制，不斷改善你的安全方法。”