次世代SIEM？IBM眼中的SOAPA

安全信息和事件管理（SIEM）產品及服務負責從大量企業安全控制項、主機操作系統、企業應用和企業使用的其他軟體中收集安全日誌數據，並進行分析和報告。

有些SIEM還可以試圖阻止它們檢測到正在進行的攻擊，這可能幫助阻止破壞或者限制成功攻擊可能造成的損壞。

但是這段時間SIEM似乎遇到了強有力的挑戰，現在的市場在推一種名叫SOAPA的概念，有些人說它會取代SIEM，果真如此嗎？《SOAPA來臨，SIEM時代終結？》

如今，市場正在逐漸地往SOAPA偏移，IBM對Resilient System以及Splunk對Caspida的收購就是對這個趨勢最好的見證。

此外，McAfee也開始將自己的工具和生態夥伴與SOAPA技術集成起來，以及進行一些相關的收購來填補架構方面的欠缺。

在本次針對IBM 安全部總經理Marc van Zadelhoff的採訪中，我們主要對SOAPA的需求、驅動力及其規模等內容進行了探討，你可以點擊觀看完整

訪問視頻

什麼是安全運作和分析平台架構（SOAPA）？

在過去，大多數企業使用安全信息和事件管理（SIEM）產品和服務進行安全分析和運作工作。

現在，SIEM依然發揮著重要的作用，但是很多企業開始為他們的安全操作中心（SOCs）填充額外的數據、分析工具以及操作管理系統。

我們現在看到的SOCs已經成為端點檢測和響應工具（EDR）、網路分析、威脅情報平台（TIPs）以及事件響應平台（IRPs）的結合體。

總的來說，安全行業正被一波又一波新型感測器、不同的數據源、分析工具以及操作需求所驅動而發生著翻天覆地的變化。

而這些變化又推動著整體安全技術向更全面的事件驅動軟體架構（SOA2.0）變革。

於是，被ESG稱為「SOAPA（ a security operations and analytics platform architecture，安全運作和分析平台架構）」的平台便應運而生。

SOAPA是一個動態的架構，這意味著隨著時間的推移，新的數據源和控制平面還會遞增。

另外，SOAPA本身就是基於SIEM開發的，除了有與SIEM類似的功能之外，SOAPA還有以下的幾個功能模塊：端點檢測/響應工具（EDR）、事故響應平台（IRP）、網路安全分析、UBA /機器學習演算法、反惡意軟體沙箱以及威脅情報等。

IBM將SOAPA描述為一個「優於又次於SIEM」的架構。例如在調查和數據收集工具方面次於SIEM，但是在高級分析和操作服務，如用戶行為分析（UBA）、事件響應平台（IRPs）等方面又優於SIEM。

驅動力是什麼？

為什麼越來越多的企業組織開始追求SOAPA，甚至一些行業分析師還唱衰SIEM，大肆宣揚「SOAPA替代論」以及「SIEM死亡論」？

對此Marc是非常清楚的。IBM的大中型企業客戶一般都有很多不同的安全點工具（security point tools），無法進行有效地管理。

IBM客戶告訴他，在他們面臨危險的威脅環境且缺乏網路安全技能團隊的時候，他們不能使用一個點工具（point tools）集來保持領先的安全操作。這最後一點值得關注。

根據最新發布的2017 ESG IT消費者意向調查顯示：45%的企業存在網路安全技能缺失問題。這一現狀進一步驅動力SOAPA的發展。

是時候打造SOAPA標準了嗎？

還不是時候。雖然IBM相信SOAPA架構對網路安全的重要意義，但是Marc認為讓行業在一個標準構架上進行合作還為時尚早。

他說現在行業中已經有幾個SOAPA領導企業了，所以API集成目前而言是個可以接受的方法。

在採訪最後，Marc表示SOAPA是網路安全「這部小說」中最激動人心的「篇章」——SOAPA有能力帶來更大規模的數據收集，更好的數據擴充以及更完善的數據分析。

* 參考來源：

networkworld

，米雪兒編譯，轉載請註明來自

FreeBuf.COM

喜歡這篇文章嗎？立刻分享出去讓更多人知道吧！