解惑 | 大数据最终能搞定互联网安全吗?

　　安全分析工具或技术伴随我们已有一段时间，但是有了最新的技术，检测恶意攻击变得容易多了。

　　我之前一直以为，经过改进的计算机安全控制措施有望“搞定”互联网，并且阻止持续不断的犯罪活动——而到头来，能够带来希望的却是大数据分析技术。

　　我很早以前就撰文道，只有大规模地改进互联网验证机制（即普遍的身份）才能大大减少犯罪活动。如果互联网上的每个人都有一个默认的、可靠的身份，攻击者想实施网络犯罪活动并且得逞的难度就会大大提高。

　　我们已经看到这些年来取得了一些进展，比如双因子验证以及更好的访问控制机制。简单的登录名和密码的日子已经屈指可数。虽然防御性控制、搜查令和收集法律证据这些都要花时间，不过执行部门方面所作的工作增加了成功起诉的数量。

　　不过，让我感到失望的是，普遍匿名性和薄弱的验证仍然是常态。目前，互联网犯罪似乎达到了顶峰，社会的大部分人士已接受了如今的糟糕势态，觉得这是不可避免的结局。他们觉得，我们无法做得更好。

　　事实绝非如此。随着互联网趋于成熟，正当使用会占主导地位，犯罪活动会日渐式微。然而过去我未曾料到的一点是，大数据分析工具或技术在保护互联网、我们的企业网络以及我们的个人数据方面有望扮演重大角色。在整个解决方案中，大数据安全分析工具或技术实际上比更强大的验证来得还要重要。

　　事实上，我们拥有大数据安全性分析工具或技术已有一段时间。比如说，如今的反垃圾邮件机制效果很好。在互联网上发送的所有电子邮件中，垃圾邮件可能仍占了50%以上，但是进入到你收件箱的却寥寥无几。而5年前到10年前，你在收件箱中看到的邮件大多数是垃圾邮件。

　　后来，安全厂商不仅创建了更好的本地电子邮件过滤器，还开始早早识别电子邮件模式，以防止垃圾邮件发送到收件箱。反垃圾邮件解决方案可能发现同一封电子邮件发送到数百个人，或者同一个IP地址非常迅速地发送众多不同的电子邮件，从而触发过滤器。

　　垃圾邮件发送者的对策是，征用无辜者的计算机作为垃圾邮件中继站，并进行窃听，确保每一封垃圾邮件都具有独特性，但是大数据分析工具或技术能够发现隐藏的模式。

　　另一种长期使用的分析技术是反恶意软件启发方法。由于病毒及其他恶意软件使用复杂的置换引擎（permutation engine），从而在每个用户面前显得具有独特性，反恶意软件厂商开始在定期扫描过程中寻找不良的行为模式。表现出恶意软件行为（感染其他文件和启动过程中隐藏起来等）的未知程序会因每个被发现的行为而被打分。收集了足够多可能恶意的行为后，反恶意软件厂商将该程序标为恶意程序，并为它赋予一个与行为最匹配的普通恶意软件ID。

　　知名安全软件厂商在试图破解准确、可信的计算机安全分析技术的真谛。我们在收集我们需要的大部分数据，但必须弄清楚什么数据为我们提供了最准确的结果，还有我们缺少什么数据。我们在大数据安全分析工具或技术方面的早期尝试离不开从事这些工作的公司和服务：

　　监控指控和控制中心，查找恶意机器人程序，告诉你的计算机何时连接到那些网站，表明受到了威胁。

　　监测貌似合法的网络流量，将恶意的隧道流量标记出来。

　　跟踪多个高级持续性威胁团伙及其活动。

　　区别合法的登录和恶意的哈希传递（pass-the-hash）攻击。

　　检测使用恶意JavaScript重定向手段的网络钓鱼、欺诈和网站。

　　辨别使用你身份或财务信息的事务是不是合法事务。

　　识别内部人员滥用数据的情况。

　　正如CSO网站上的这篇文章解释我们无疑处在大数据计算机安全分析的早期阶段。但是，今天在奠定未来安全分析技术的基础。

　　长期以来，我们人类已经能够迅速找到威胁的迹象。现在是时候让计算机接过这项任务的一些方面。我们仍需要更强大的基本安全控制机制，不过很明显，大数据安全分析工具或技术在整个安全架构中将成为更重要的一部分。