面向信息安全的大數(shù)據(jù)分析

1、面向信息安全的大數(shù)據(jù)分析概念、過程、應(yīng)用、實(shí)現(xiàn)議題面向安全的大數(shù)據(jù)分析實(shí)現(xiàn)大數(shù)據(jù)分析的基本概念面向安全的大數(shù)據(jù)分析過程面向安全的大數(shù)據(jù)分析應(yīng)用大數(shù)據(jù)分析的概念定義需要新處理模式才能具有更強(qiáng)的決策力、洞察力和流程優(yōu)化能力的海量、高增長率 和多樣化的信息資產(chǎn)。(Gartner)所涉及的資料量規(guī)模巨大到透過目前主流軟件工具，在合理時(shí)間內(nèi)無法達(dá)到采集、 管理、處理、并整理成為幫助企業(yè)經(jīng)營決策更積極目的的資訊。由數(shù)量巨大、結(jié)構(gòu)復(fù)雜、類型眾多數(shù)據(jù)構(gòu)成的數(shù)據(jù)集合，是基于云計(jì)算的數(shù)據(jù)處理 與應(yīng)用模式，通過數(shù)據(jù)的整合共享，交叉復(fù)用,形成的智力資源和知識服務(wù)能力。)通常用來形容個(gè)公司創(chuàng)造的大量非結(jié)構(gòu)化和半結(jié)構(gòu)化數(shù)

2、據(jù)，這些數(shù)據(jù)在下載到關(guān) 系型數(shù)據(jù)庫用于分析時(shí)會花費(fèi)過多時(shí)間和金錢。(著云臺)特征nV 兌(Volume, Variety, Value, Velocity, Veracity)數(shù)量巨大、種類繁多(結(jié)構(gòu)迥異)、跨度綿長、價(jià)值蘊(yùn)藏、流轉(zhuǎn)迅速、真實(shí)可靠大數(shù)據(jù)分析的應(yīng)用領(lǐng)域大數(shù)據(jù)分析的交付模式大數(shù)據(jù)分析的般過程大數(shù)據(jù)分析的誤區(qū)與黃金標(biāo)準(zhǔn)議題面向安全的大數(shù)據(jù)分析實(shí)現(xiàn)大數(shù)據(jù)分析的基本概念面向安全的大數(shù)據(jù)分析過程面向安全的大數(shù)據(jù)分析應(yīng)用面向安全大數(shù)據(jù)分析的目標(biāo)面向安全大數(shù)據(jù)分析的目標(biāo)面向安全大數(shù)據(jù)分析的數(shù)據(jù)源面向安全大數(shù)據(jù)分析的數(shù)據(jù)源異常行為Web攻擊DDoS僵尸網(wǎng)絡(luò)網(wǎng)頁篡改惡意文件安全情報(bào)態(tài)勢感知安全設(shè)備

3、告警誘騙系統(tǒng)日志終端行為日志數(shù)據(jù)庫日志操作系統(tǒng)日志W(wǎng)eb訪問日志網(wǎng)絡(luò)流量日志網(wǎng)絡(luò)行為日志DNS查詢請求認(rèn)證授權(quán)日志非結(jié)構(gòu)數(shù)據(jù)面向安全大數(shù)據(jù)分析的行為建模面向安全大數(shù)據(jù)分析的行為建模規(guī)則類身份時(shí)間地點(diǎn)方式操作資源規(guī)則類1規(guī)則類2規(guī)則類3規(guī)則類4規(guī)則類5規(guī)則類6規(guī)則類7規(guī)則類8規(guī)則類n規(guī)則1實(shí)例：除中間件和admin賬戶外，其它任何身份的對數(shù)據(jù)庫的訪問都是違規(guī)的規(guī)則3實(shí)例：admin賬戶只能在工作時(shí)間從維護(hù)終端IP2訪問數(shù)據(jù)庫，其他行為都是違規(guī)的規(guī)則7實(shí)例：除了通過堡壘主機(jī)以遠(yuǎn)程桌面方式進(jìn)行的更新操作，其它都是違規(guī)的面向安全大數(shù)據(jù)分析的方法事件驅(qū)動(基于線索)的分析方法面向安全大數(shù)據(jù)分析的方法事件

4、驅(qū)動(基于線索)的分析方法面向安全大數(shù)據(jù)分析的方法數(shù)據(jù)驅(qū)動(基于算法)的分析方法面向安全大數(shù)據(jù)分析的方法數(shù)據(jù)驅(qū)動(基于算法)的分析方法面向安全大數(shù)據(jù)分析的算法議題面向安全的大數(shù)據(jù)分析實(shí)現(xiàn)大數(shù)據(jù)分析的基本概念面向安全的大數(shù)據(jù)分析過程面向安全的大數(shù)據(jù)分析應(yīng)用Webshell檢測Web訪問日志：User-Agents:內(nèi)容簡短、版本陳舊Referrer:通常沒有URIs:以前沒有出現(xiàn)過客戶端行為特征:只訪問某一個(gè)URI主機(jī)行為日志：創(chuàng)建用戶、重啟進(jìn)程、清除磁盤空間、讀取日志堡壘機(jī)日志: 審計(jì)root用戶的行為聚類算法：以文件為對象，以上述屬性為變量，進(jìn)行聚類分析期望結(jié)果：1) 找出離群點(diǎn)，2) 高度懷疑該離群點(diǎn)代表的文件是Webshell。Web攻擊行為檢測僵尸主機(jī)檢測僵尸主機(jī)檢測DDoS攻擊檢測流量日志協(xié)議類型TCP flagToS(服務(wù)類型)檢測算法總流量突變，超出變化趨勢范圍（置信區(qū)間）:出入流量占比SYN流入/FIN流出比率ICMP 請求應(yīng)答比源地址/目的端口分散度TCP/UDP平均報(bào)文長度議題面向安全的大數(shù)據(jù)分析實(shí)現(xiàn)大數(shù)據(jù)分析