草庐IT

阻碍企业开展大规模威胁检测的6个挑战

安全牛 2023-03-28 原文
截至2022年底,全球互联网用户数量已经超过50亿。在用户数量快速增长的同时,网络中的设备和应用也在持续不断增加,这些都导致了网络系统会产生更加庞大的数据。而当企业正在产生的数据超出他们所能收集和分析的数据量时,企业就无法及时检查这些数据中是否存在可能导致安全威胁的隐患和漏洞,并最终遭受巨大的财务和商誉损失。

为了在大数据时代更有效的开展大规模威胁检测活动,企业安全团队需要不断改进和完善现有的安全威胁检测方法,确保威胁检测工作的可扩展性、灵活性和检测效率。在此过程中,可能会面临以下六个挑战。

挑战1:实现大规模的可见性监控

全球各地的企业组织都在将业务系统向云计算转移,安全运营团队需要能够跟上这种发展的步伐。在此过程中,一些传统的安全监控设备(比如传统SIEM系统等),可能会无法适应云环境中的监控要求,安全团队需要寻找新一代的安全监控工具,不仅可以管理大批产生的数据,同时降低安全运营成本。

企业在扩展安全可见性监控的规模时,应该首先认清到他们在当前威胁分析过程中的不足和成本。这样在设计新一代威胁检测系统时,重点关注那些薄弱的度量指标,从而实现安全监控能力的提升。

挑战2:自动化技术的应用

通过自动化手段可以让安全团队将注意力集中在更繁重的任务上,如果方法得当,还可以节省运营支出。这意味着花在低价值的简单手动任务上的时间和资源会更少,为处理高价值的任务节约了时间。但是,企业在开始采用自动化威胁检测工具时,往往会面临很多困惑,包括需要对什么工作进行自动化,以及如何评价自动化的工作质量等。

对于那些已经习惯了全手动化工作的安全团队来说,没必要一下子全部实现自动化模式的升级。依赖现有的内部资源常常可以更快地踏上自动化之路。当安全分析师逐步了解如何利用自动化工具开展日常工作时,不仅会看到减少手动工作的好处,还会进一步发现自动化能力后续完善的需求。

挑战3:安全警报泛滥

随着数字化应用的不断深入和各种安全工具的不断应用,企业安全运营团队面对的安全威胁告警注定会不断增加,其增速通常会超过团队自身能力的成长。虽说通过自动化手段可以简化警报、缩短跟进处理时间,但任何CISO都不希望看到其团队将时间浪费在类似密码误输入引起的登录失败上。因此,企业需要思考如何有效关联和分析大规模的安全事件数据,消除误报信息,发现真正的威胁活动。目前,市场上大多数的安全检测工具还难以将各种看似独立的事件关联起来综合分析。CISO需要在预算有限的情况下动用一切资源,确保在重大危害发生前洞悉企业整体的安全威胁状况。

挑战4:数据过载

由于数据量的不断增加,企业安全团队如今面临数据过载的挑战,而且这种情况会越来越严重。为了有效处理庞大的数据,企业要注意应该重点收集那些高价值、高质量的数据,并确保这些数据在检测和响应管道中被充分使用。如果数据质量不好,或者没有实际用途,就可以先不采集,这助于节省资金和处理周期。

挑战5:掌握软件编程技术

检测即代码对现代安全团队的高效工作有很多好处。如果能够根据自己的要求编写检测与警报代码,安全团队就可以实现更高的稳定性、预测性和扩展性。但这需要威胁检测分析师投入时间和精力来学习至少一门编程语言。

事实上,掌握像Python之类的编程语言比想象中的容易得多,这对安全团队来说是一项意义重大的技能。不断实践是学习编程技能的最好方法。在实际工作中,威胁检测分析师可以从基于实际案例的简单编程工作入手,查阅编程教学网站或其他实用的资源,了解如何编写切实可行的程序。

挑战6:安全运营团队能力不足

如今,企业很难招聘到在网络安全威胁检测方面受过良好培训、经验丰富的从业人员,因此被迫雇佣更多缺乏从业经验的分析师。这些分析师需要较长时间的业务培训和经验积累,才能胜任岗位。因此,有条件的企业应该积极部署应用新一代TDIR(威胁检测调查与响应)平台,在提供自动化能力同时,还可以提供更完善的上下文信息,弥补安全分析师经验上的不足。

企业不仅需要新的工具来洞见威胁,还应该奉行持续创新和优化发展的工作心态。如果安全团队拥有合适的工具和方法流程支持,并保持积极主动的威胁检测状态,就能够不断提升自身的威胁检测能力和防护效果。

有关阻碍企业开展大规模威胁检测的6个挑战的更多相关文章

  1. ruby - RuntimeError(自动加载常量 Apps 多线程时检测到循环依赖 - 2

    我收到这个错误:RuntimeError(自动加载常量Apps时检测到循环依赖当我使用多线程时。下面是我的代码。为什么会这样?我尝试多线程的原因是因为我正在编写一个HTML抓取应用程序。对Nokogiri::HTML(open())的调用是一个同步阻塞调用,需要1秒才能返回,我有100,000多个页面要访问,所以我试图运行多个线程来解决这个问题。有更好的方法吗?classToolsController0)app.website=array.join(',')putsapp.websiteelseapp.website="NONE"endapp.saveapps=Apps.order("

  2. ruby - 检测由 RSpec、Ruby 运行的代码 - 2

    我想知道我的代码是否在rspec下运行。这可能吗?原因是我正在加载一些错误记录器,这些记录器在测试期间会被故意错误(expect{x}.toraise_error)弄得乱七八糟。我查看了我的ENV变量,没有(明显的)测试环境变量的迹象。 最佳答案 在spec_helper.rb的开头添加:ENV['RACK_ENV']='test'现在您可以在代码中检查RACK_ENV是否经过测试。 关于ruby-检测由RSpec、Ruby运行的代码,我们在StackOverflow上找到一个类似的问题

  3. ruby - 使用 Ruby Daemons gem 检测停止 - 2

    我正在使用rubydaemongem。想知道如何向停止操作添加一些额外的步骤?希望我能检测到停止被调用,并向其添加一些额外的代码。任何人都知道我如何才能做到这一点? 最佳答案 查看守护程序gem代码,它似乎没有用于此目的的明显扩展点。但是,我想知道(在守护进程中)您是否可以捕获守护进程在发生“停止”时发送的KILL/TERM信号...?trap("TERM")do#executeyourextracodehereend或者你可以安装一个at_exit钩子(Hook):-at_exitdo#executeyourextracodehe

  4. ruby - Ruby 脚本如何检测到它正在 irb 中运行? - 2

    我有一个定义类的Ruby脚本。我希望脚本执行语句BoolParser.generate:file_base=>'bool_parser'仅当脚本作为可执行文件被调用时,而不是当它被irbrequire(或通过-r在命令行上传递)时。我可以用什么来包装上面的语句,以防止它在我的Ruby文件加载时执行? 最佳答案 条件$0==__FILE__...!/usr/bin/ruby1.8classBoolParserdefself.generate(args)p['BoolParser.generate',args]endendif$0==_

  5. Ruby 无法检测字符串中的换行符 - 2

    我有以下字符串,我想检测那里的换行符。但是Ruby的字符串方法include?检测不到它。我正在运行Ruby1.9.2p290。我哪里出错了?"/'ædres/\nYour".include?('\n')=>false 最佳答案 \n需要在双引号内,否则无法转义。>>"\n".include?'\n'=>false>>"\n".include?"\n"=>true 关于Ruby无法检测字符串中的换行符,我们在StackOverflow上找到一个类似的问题: h

  6. 【自动驾驶环境感知项目】——基于Paddle3D的点云障碍物检测 - 2

    文章目录1.自动驾驶实战:基于Paddle3D的点云障碍物检测1.1环境信息1.2准备点云数据1.3安装Paddle3D1.4模型训练1.5模型评估1.6模型导出1.7模型部署效果附录show_lidar_pred_on_image.py1.自动驾驶实战:基于Paddle3D的点云障碍物检测项目地址——自动驾驶实战:基于Paddle3D的点云障碍物检测课程地址——自动驾驶感知系统揭秘1.1环境信息硬件信息CPU:2核AI加速卡:v100总显存:16GB总内存:16GB总硬盘:100GB环境配置Python:3.7.4框架信息框架版本:PaddlePaddle2.4.0(项目默认框架版本为2.3

  7. ruby - 重新连接 tcpsocket(或如何检测已关闭的套接字) - 2

    我有一个连接到服务器的ruby​​tcpsocket客户端。在发送数据之前如何检查套接字是否已连接?我是否尝试“拯救”断开连接的tcpsocket,重新连接然后重新发送?如果是这样,有没有人有一个简单的代码示例,因为我不知道从哪里开始:(我很自豪我设法在rails中获得了一个持久连接的客户端tcpsocket。然后服务器决定杀死客户端,一切都崩溃了;)编辑我已经使用此代码解决了一些问题-如果未连接,它将尝试重新连接,但如果服务器已关闭则不会处理这种情况(它将继续重试)。这是正确方法的开始吗?谢谢defself.write(data)begin@@my_connection.write(

  8. css - 检测到 Sass 更改但 style.css 仅在我保存时每 5 到 7 次被覆盖 - 2

    我在一台Windows764位机器上使用Sass和Ruby(最新版本),我正在我的家庭服务器上处理一个共享文件夹。(但是,我不得不承认问题本身也出现在服务器上,因为我试图安装Ruby并直接-watch服务器上的文件)。问题如下:如果我第一次保存,检测到变化,我的style.css被直接覆盖。之后,我总是需要保存多达7次才能覆盖style.css。每次都会检测到更改,但不会编译任何内容。这是一个屏幕:>>>Sassiswatchingforchanges.PressCtrl-Ctostop.overwritestyle.css>>>Changedetectedto:E:/Websites

  9. ruby - Ruby 中的大规模调度 - 2

    我需要一个用于大型动态任务集合的调度程序。目前我正在查看resque-scheduler,rufus-scheduler,和clockwork.如果您提供有关选择使用哪一个(或其他替代方案)的建议,我将不胜感激。一些细节:有大量要定期执行的任务(最多100K)。最短执行周期为1h。新任务可能会不时出现。现有任务可能会更改或删除。调度延迟最小化在这里不是关键任务(可扩展性和可持续性最重要)。任务执行不是繁重的操作,可以轻松并行。总结,我需要类似cron的Ruby项目,它可以处理大量动态变化的任务集合。更新:我花了一天时间尝试调度库,现在我想简单总结一下新获得的经验。我已经不再关注Cloc

  10. ruby-on-rails - 检测 Rails 是否正在运行站点 - 2

    我所在的团队负责管理公司面向公众的云平台。我们拥有大量运行面向互联网的VM的用户群。我想对我们的地址空间进行自动扫描,看看是否有人在运行Rails应用程序,这样我就可以通知他们升级他们的Rails版本,以避免本周出现的严重安全漏洞。我注意到在某些Apache部署中,有一个有用的PassengerHeader:X-Powered-By:PhusionPassenger(mod_rails/mod_rack)2.0.3然而,这并不可靠。我想知道是否有一种可靠的方法来检测在Web服务器后面运行的Rails,无论是使用响应header还是某种可以确定的GET/POST。谢谢!

随机推荐