Splunk：用數(shù)據(jù)分析驅動企業(yè)安全

程夢瑤

在國外取得成功的很多硅谷知名企業(yè)，在進入中國市場后，屢屢出現(xiàn)水土不服的境況，這并非是個案。從大數(shù)據(jù)安全切入，Splunk在中國下的這盤棋將變得越來越有看頭。

成立于2003年，并于2012年4月登錄納斯達克市場，成為全球第一家上市的大數(shù)據(jù)公司，Splunk在中國市場并不缺乏擁躉者。很多從美國硅谷回國創(chuàng)業(yè)的大數(shù)據(jù)創(chuàng)業(yè)者，對于Splunk在大數(shù)據(jù)處理，尤其是機器數(shù)據(jù)處理方面的能力，十分推崇。在Gartner發(fā)布的2016信息安全和事件管理魔力象限中，Splunk的業(yè)內領導者地位不容撼動，這份報告從側面印證了Splunk在大數(shù)據(jù)安全方面的潛能。

大數(shù)據(jù)來源于機器

Splunk提出90%的大數(shù)據(jù)源于機器，這些機器數(shù)據(jù)隱藏于金融科技、工業(yè)4.0、平臺經(jīng)濟、DevOps、云端、物聯(lián)網(wǎng)等各領域，包含數(shù)據(jù)庫數(shù)據(jù)、安全設備數(shù)據(jù)、服務器數(shù)據(jù)、點擊流以及全球定位系統(tǒng)IVR射頻識別數(shù)據(jù)等。傳統(tǒng)的日志工具對日志格式有一定要求，而Splunk幾乎可以處理所有格式的日志數(shù)據(jù)，無論是防火墻、交換機、路由器還是操作系統(tǒng)、應用程序。通過對機器數(shù)據(jù)的搜索和分析，實時獲取運營情報，為企業(yè)提供安全事故的調查和預測、內部威脅感知和實時監(jiān)控能力。

從某種程度上看，Splunk作為機器數(shù)據(jù)的引擎，收集、索引和利用所有應用程序、服務器和設備生成的計算機數(shù)據(jù)，并通過機器學習、可視化分析等方法，以短、頻、快的方式解決并調查安全事件。不久前，針對勒索病毒W(wǎng)annaCry的襲擊，美國圣何塞市的兒童探索博物館（Childrens Discovery Museum of San Jose， US）通過Splunk的監(jiān)測，在勒索軟件開始傳播的第一時間就發(fā)現(xiàn)了危機，控制了勒索軟件的襲擊。

與此同時，Splunk實時機器數(shù)據(jù)分析能力也十分強悍。在Splunk公司北亞區(qū)總經(jīng)理戴健慶看來，Splunk的核心產(chǎn)品聚焦于Splunk Enterprise?！拔覀兛梢酝ㄟ^cloud方式來提供這個服務，所以叫Splunk Cloud，也有一個比較簡單的版本叫Splunk Light。在Splunk Enterprise的方案上面，我們有應用軟件，大部分應用軟件其實也是免費的，在Splunkbase可以免費下載和應用。”

事實上，Splunkbase是Splunk的一個App商店，在這個商店里有超過1000個基于Splunk平臺的開發(fā)應用：小到對一個特定場景的應用，例如一個基于Google Maps的數(shù)據(jù)可視化展現(xiàn)；大到龐大的方案，例如對于企業(yè)整個Window系統(tǒng)架構運作的監(jiān)控和預警。使用者只要花少量時間瀏覽一下，就能從中找到合適的應用，免費下載使用。這些應用是一個開放系統(tǒng)，由全世界的Splunk用戶、合作伙伴開發(fā)、維護和使用，因此更新的速度很快，數(shù)量也在不斷增加中。

以分析為驅動的安全性

在數(shù)據(jù)大爆炸的時代，原來很多方式已經(jīng)不能夠滿足客戶的要求?！皬男畔踩慕嵌热プネ{、抓欺詐，往往有點大海撈針的感覺，因為各種各樣的預警太多?！盨plunk全球安全事業(yè)部總經(jīng)理、公司高級副總裁宋海燕認為，在IT行業(yè)，新型的安全中心需要對情景感知做實時的分析和快速的反應，安全運營的方式也亟需從監(jiān)測中心的角色向指揮中心的角色轉變，而在安全實施方面，機器學習和人工智能，可以有效利用更多數(shù)據(jù)、更多情景幫助實現(xiàn)更精確、快速的決策。

“Splunk一直致力于分析驅動公司的安全性?！彼魏Ｑ喾謩e從三個方面來闡述：第一，通過購置風險模型讓應用風險和IT風險連接在一起，使分析更精準；第二，注重智能收集，搶占制高點；第三，連接人和數(shù)據(jù)。如果一個軟件能夠把人、數(shù)據(jù)和技術做到最好的融合，它應該是最受大家追捧的。“我們在人和計算機，也叫用戶界面上，花了很多研發(fā)精力，希望剛剛畢業(yè)的人員拿到產(chǎn)品以后可以很容易上手。在信息安全里面，我們有一級、二級、三級的分析人員，目標就是讓一級的分析員用我們的產(chǎn)品可以做二級分析員的事情，二級分析員可以做三級分析員的事情。這樣，對于客戶來講，他就會覺得這個解決方案是可以幫助他，而不是給他增加負擔?！彼魏Ｑ嘌a充道。

大數(shù)據(jù)安全，成為了Splunk進入中國市場的核心籌碼。Splunk并不滿足于做安全體系上的某一顆螺絲釘，而是想成為安全體系中的大腦，來指揮調度各種安全設備。眾所周知，安全產(chǎn)業(yè)的鏈條很長，每一家安全廠商都有自己擅長的領域，若想成為安全領域的神經(jīng)中樞，Splunk勢必要協(xié)調安全鏈條上的其他廠商，保持產(chǎn)品層面上良好的兼容性，并能做到動態(tài)適配相應伙伴。

在戴健慶看來，Splunk于2014年在上海建立的研發(fā)中心將有效配合中國本土的合作伙伴，做到動態(tài)適配，而Splunk的產(chǎn)品跟其他產(chǎn)品的結合是比較方便的，尋求中國本土的合作伙伴，也是目前Splunk在中國市場的發(fā)力點?！癝plunk本身是一個平臺，可以讓客戶解決不同大數(shù)據(jù)的問題。我們也了解，中國的市場百花齊放，有不同行業(yè)、不同應用。我們的策略是，在健康、交通等不同行業(yè)的垂直應用，尋求本地公司來合作?！睋?jù)戴健慶介紹9，這個季度應該有兩個合作伙伴可以確定下來，一個是在網(wǎng)絡安全方面，一個是在網(wǎng)絡數(shù)據(jù)分析方面。

在國外取得成功的很多硅谷知名企業(yè)，在進入中國市場后，屢屢出現(xiàn)水土不服的境況，這并非是個案。從大數(shù)據(jù)安全切入，Splunk在中國下的這盤棋將變得越來越有看頭。