安全運(yùn)營就是從Event到Accident的過程

平安運(yùn)營就是從Event到Accident的過程隨著信息化與平安成熟度的提高，通過實(shí)時(shí)大數(shù)據(jù)平安分析技術(shù),從海量數(shù)據(jù)中判定攻擊失陷，已經(jīng)是平安運(yùn)營的核心關(guān)注點(diǎn)與必然趨勢(shì)。作為一個(gè)具有多年經(jīng)驗(yàn)的信息平安與IT風(fēng)險(xiǎn)管理從業(yè)者，我之所以對(duì)態(tài)勢(shì)感知、大數(shù)據(jù)分析、平安管理平臺(tái)感興趣，一個(gè)很大的原因是曾經(jīng)那些平安管理的理念與方法，正在通過管理平臺(tái)與技術(shù)手段逐步得到了落地，從而使平安管理與技術(shù)的融合度越來越高。比方態(tài)勢(shì)感知中的指標(biāo)、大數(shù)據(jù)分析中的場(chǎng)景，都可以與信息科技風(fēng)險(xiǎn)管理的關(guān)鍵風(fēng)險(xiǎn)指標(biāo)KRI,以及信息平安管理中的有效性度量很好地結(jié)合起來。平安管理平臺(tái)、自動(dòng)化編排與響應(yīng)也同樣需要與事件管理、應(yīng)急響應(yīng)融合貫通。所以今天把平安運(yùn)營中幾個(gè)最基本的概念，從管理與平臺(tái)兩個(gè)方面穿插理解一下。如果從字面理解，Event、Incident、Accident三個(gè)詞都是"事件"的意思，但在安全管理標(biāo)準(zhǔn)、平安管理平臺(tái)定義中卻出現(xiàn)不同的詞，可見它們之間是存在著細(xì)微差異的。一、對(duì)Event的理解Event在有些平安標(biāo)準(zhǔn)里會(huì)被翻譯成“事態(tài)"，直白理解就是事情的狀態(tài)，從風(fēng)險(xiǎn)管理角度看，它只是一種狀態(tài)而已，還不涉及到潛在的損失，可能是一種風(fēng)險(xiǎn)的潛在因素，也可能不是。舉個(gè)例子來講，一個(gè)辦公室的門沒有關(guān)，這個(gè)"門沒關(guān)"就屬于Event,只是一種狀態(tài)，不去考慮為什么沒關(guān)，或者應(yīng)不應(yīng)該關(guān)，沒有產(chǎn)生風(fēng)險(xiǎn)，也沒有帶來損失。在平安管理平臺(tái)中，S正M中的E就是這個(gè)Event了，采集上來的告警也好，日志也好，其實(shí)都是一種客觀的狀態(tài)記錄，這些都是進(jìn)行平安分析所需要的原料，通過分析引擎進(jìn)行分析后產(chǎn)生全新的告警。二、對(duì)Incident的理解Incident在平安標(biāo)準(zhǔn)里通常被翻譯成"事件"，也就是事件與應(yīng)急管理中的"事件"。從風(fēng)險(xiǎn)管理角度看，它不再只是一種狀態(tài)，而是變成了一種風(fēng)險(xiǎn)，可能會(huì)帶來或者已經(jīng)帶來了損失。還是上面的例子，如果這個(gè)辦公室是存放著敏感資料的話，這個(gè)門按規(guī)定是需要默認(rèn)關(guān)閉的，這個(gè)門沒有關(guān)就不再只是一種狀態(tài)，而是一種風(fēng)險(xiǎn)事件了，由于可能帶來損失，所以是需要處置的。在平安管理平臺(tái)中，將多個(gè)平安告警進(jìn)行聚合，按時(shí)間順序或攻擊路徑排列，這個(gè)就是SecurityIncident,有些產(chǎn)品將其命名為"平安事件"。比方一次病毒的傳播，可能影響了多臺(tái)終端，由于攻擊目的地址不同，告警是無法合并的，但可以聚合成一個(gè)SecurityIncidento三、對(duì)Accident的理解Accident在平安標(biāo)準(zhǔn)里通常被翻譯成"事故"，它不再是一種潛在風(fēng)險(xiǎn)，而是確定已經(jīng)產(chǎn)生了損失。從風(fēng)險(xiǎn)管理角度看，Incident與Accident是包含與被包含關(guān)系，Accident是程度更加嚴(yán)重的Incident還是上面的例子，如果這個(gè)辦公室是存放著敏感資料的話，有一個(gè)小偷趁著門沒有關(guān)把資料偷走了，由于確實(shí)造成了損失的既成事實(shí)，所以這個(gè)就屬于Accident,是一次平安事故了。在平安管理平臺(tái)中，目前并沒有看到單獨(dú)的Accident概念,它被包含在SecurityIncident里面了，但在作為一個(gè)好的平安管理平臺(tái)，是需要通過豐富的上下文信息來幫助分析人員，能夠快速判斷是否造成了Accident另外，如果確定已經(jīng)發(fā)生Accident的話，是需要編制針對(duì)性的專題報(bào)告的，那么平安管理平臺(tái)是否可以提供足夠的信息，方便平安分析人員完成報(bào)告編制，甚至是能夠自動(dòng)化導(dǎo)出事故報(bào)告，這也是安管平臺(tái)的一個(gè)挑戰(zhàn)。四、總結(jié)一下隨著信息化與平安成熟度的提高，通過實(shí)