云方案的安全日志收集

引言：最近，向云服務(wù)的遷移給試圖應(yīng)對(duì)海量數(shù)據(jù)（可能位于同樣云平臺(tái)中的外部）的企業(yè)帶來不少挑戰(zhàn)。幸運(yùn)的是，很多云服務(wù)供應(yīng)商已經(jīng)在此領(lǐng)域有著積極的表現(xiàn)，而且出現(xiàn)了一些激動(dòng)人心的機(jī)會(huì)。

所有信息安全控制的共同特征是以日志事件和警告形式生成的數(shù)據(jù)輸出。隨著企業(yè)規(guī)?；虬踩降奶嵘@種數(shù)據(jù)的規(guī)模及存儲(chǔ)要求也要快速增長(zhǎng)。傳統(tǒng)上，企業(yè)往往購(gòu)買越來越多的相對(duì)廉價(jià)的存儲(chǔ)來處理和歸檔這些日志。

某些行業(yè)和法律要求日志數(shù)據(jù)的保留時(shí)間要達(dá)到數(shù)年之久，所以，我們很容易想象到，在如此長(zhǎng)的時(shí)間之后，這些日志可能達(dá)到的規(guī)模之大。

最近，向云服務(wù)的遷移給試圖應(yīng)對(duì)這些海量數(shù)據(jù)（可能位于同樣云平臺(tái)中的外部）的企業(yè)帶來了不少的挑戰(zhàn)。幸運(yùn)的是，很多云服務(wù)供應(yīng)商已經(jīng)在此領(lǐng)域有著積極的表現(xiàn)，而且出現(xiàn)了一些激動(dòng)人心的機(jī)會(huì)。

云中分析

有一千個(gè)員工的企業(yè)其網(wǎng)絡(luò)規(guī)模也就是一般水平，其每天生成的日志就可多達(dá)100GB。

如果企業(yè)將多數(shù)環(huán)境都托管到一個(gè)云平臺(tái)中，對(duì)這些數(shù)據(jù)的分析卻在企業(yè)本地實(shí)施，例如，通過一套SIEM方案幾乎是不可能的。如何使這些數(shù)據(jù)同步快速地適應(yīng)適時(shí)的分析？還有一種可能，攻擊者可以通過生成海量的日志數(shù)據(jù)，造成安全監(jiān)視的臨時(shí)無效，從而延遲或中止這些數(shù)據(jù)流。

在此，最可行的方案就是在云平臺(tái)內(nèi)部直接監(jiān)視和分析日志數(shù)據(jù)。有一種可能的方案就是，將一個(gè)SIEM應(yīng)用或一個(gè)簡(jiǎn)單的日志分析應(yīng)用運(yùn)行在一個(gè)基于云的服務(wù)器上，并且將一些更相關(guān)的或過濾后的數(shù)據(jù)提交給企業(yè)的本地環(huán)境。

正如前文所述，云服務(wù)供應(yīng)商的系統(tǒng)可以使客戶根據(jù)其環(huán)境來配置這些方案。微軟已經(jīng)為其Azure平臺(tái)發(fā)布了一份白皮書，介紹了Azure Deployment Monitoring和Windows Event Forwarding。Amazon也提供了類似方案，并且大多數(shù)CSP允許客戶部署自己的SIEM或者Splunk的相關(guān)服務(wù)。亞馬遜提供了類似的選擇，而且多數(shù)云服務(wù)供應(yīng)商都允許客戶部署自己的SIEM或相關(guān)的Splunk服務(wù)。

云下載

即使其數(shù)量巨大，安全日志數(shù)據(jù)也可以定期地或?qū)ｉT從供應(yīng)商下載。這些數(shù)據(jù)可以在必要時(shí)連同其它的事件，提交給SIEM，比如Alien Vault或者ArcSight來做本地分析，定期的下載可以基于API連接。

下載可以是每天進(jìn)行或經(jīng)常實(shí)施，這看起來就如同是有效地持續(xù)地進(jìn)行數(shù)據(jù)同步。這種方法往往用于從基于云的安全產(chǎn)品獲取數(shù)據(jù)，例如，云反病毒方案和入侵檢測(cè)系統(tǒng)。

如前所述，在進(jìn)行這類設(shè)置時(shí)，帶寬的使用、提交數(shù)據(jù)時(shí)的中斷、限制安全事件的可見性都是必須考慮的問題。對(duì)于合規(guī)原因或深入的事件調(diào)查來說，有時(shí)需要幾個(gè)月的數(shù)據(jù)。

由于這些數(shù)據(jù)的巨大規(guī)模，下載未必可行。云服務(wù)供應(yīng)商可以協(xié)助這種定制化的適當(dāng)?shù)姆桨?。例如，亞馬遜開發(fā)了一種稱為“雪球”的安全傳輸解決方案，其設(shè)計(jì)目的就是可以使海量的數(shù)據(jù)進(jìn)出其AWS云。其它的供應(yīng)商也有類似的選擇，因?yàn)檫@些海量的數(shù)據(jù)請(qǐng)求并不罕見。

上傳至云

有些企業(yè)并不期望從云下載安全數(shù)據(jù)，而是需要將安全數(shù)據(jù)上傳到云環(huán)境中。

例如，如果企業(yè)的云環(huán)境中有一個(gè)SIEM產(chǎn)品，就會(huì)存在這種需求。就像前面所討論的，由于有些企業(yè)在其云環(huán)境中生成的安全日志數(shù)據(jù)比在本地生成的更多，所以才有了這種可能性。這些在本地生成的日志數(shù)據(jù)需要上傳到云進(jìn)行分析和關(guān)聯(lián)。

企業(yè)還可利用可靠的離線存儲(chǔ)形式，用于合規(guī)或數(shù)據(jù)冗余的目的。攻擊者可以針對(duì)安全日志數(shù)據(jù)進(jìn)行攻擊，而擁有一個(gè)安全的離線副本就成為信息安全的最佳實(shí)踐。

企業(yè)將海量數(shù)據(jù)上傳到云，服務(wù)供應(yīng)商會(huì)遇到與從云下載大量數(shù)據(jù)相同的問題：上傳所占用的時(shí)間和所需要的帶寬使其根本無法實(shí)現(xiàn)。將數(shù)據(jù)安放到安全的硬件上就成為了唯一方案。

SIEM作為服務(wù)

專門的第三方的基于云的安全運(yùn)營(yíng)中心（SOC）供應(yīng)商也逐步受到歡迎。例如，有的供應(yīng)商可以允許客戶上傳其安全日志數(shù)據(jù)，并且可以為用戶監(jiān)視和分析這些數(shù)據(jù)，并在必要時(shí)發(fā)出警告。這種設(shè)置可稱為“安全運(yùn)營(yíng)即服務(wù)”，或“SIEM即服務(wù)”。如今，這種“SIEM即服務(wù)”越來越多，今后，這種趨勢(shì)將會(huì)繼續(xù)增長(zhǎng)。

使用“SIEM即服務(wù)”供應(yīng)商意味著，企業(yè)不必花費(fèi)高昂成本建立其自己的全天候的安全運(yùn)營(yíng)中心。但是，企業(yè)需要考慮的一個(gè)很重要的問題是，由此所需要的帶寬、服務(wù)的可用性、可能的合規(guī)和法律問題意味著這種方案并不是適用于每個(gè)企業(yè)的最佳選擇。

結(jié)束語

在過去幾年中，云客戶必須要應(yīng)對(duì)與安全日志數(shù)據(jù)的挑戰(zhàn)，這些困難多數(shù)都得到了解決，而且有許多方案可供使用。

其中多數(shù)方案都創(chuàng)造了一種類似“混搭”的云配置，其中的部分?jǐn)?shù)據(jù)位于本地，還有部分?jǐn)?shù)據(jù)位于云中。企業(yè)應(yīng)當(dāng)通過使用相對(duì)容易的上傳和下載選擇，以某種形式來實(shí)現(xiàn)數(shù)據(jù)的同步。

在數(shù)據(jù)規(guī)模成為一個(gè)挑戰(zhàn)時(shí)，與云服務(wù)供應(yīng)商的選擇有關(guān)的討論可能導(dǎo)致一種定制化的方案，從而更適合需求。最近的“SIEM即服務(wù)”的出現(xiàn)展示出，云安全領(lǐng)域是動(dòng)態(tài)變化的，而且在此領(lǐng)域更為有趣的許多發(fā)展都有望在未來幾年嶄露頭角。