每天10万条告警！该想法子给告警降噪了

日志管理分析平台Sumo Logic在2020年曾发布过一项全球SOC和SecOps安全运营的调查结果，在过去五年中，有70％的受访企业安全警报数量增加了一倍以上，99％的人表示大量告警导致安全团队遇到问题，83％的人表示他们的安全人员正在遭受告警疲劳的折磨。

对传统的IDS以及近些年的NTA/NDR等业界检测类产品来说，告警量大、无法处理完已经成为此类产品继续发展的障碍。关于“告警量”，当前存在以下问题：

1、 当前各类安全设备普遍存在的问题：告警量巨大，也是所有甲方客户面临的共同痛点。

2、 部分安全产品采用粗暴的归并策略，通过归并降低了告警量，但缺少意义，不利于运营。

3、 部分安全产品在告警的基础上生成新的事件，增加了工作量且安全事件策略比较固定，难以运营。

一个真实的网络环境，相较于正常流量，真实的攻击活动的数量是微乎其微的，然而一招不慎，可使满盘皆输，如何从海量的正常数据中把恶意数据“揪”出来，就是各类威胁检测类产品的使命所在。

然而实际情况是，各类威胁检测产品的告警数据如下图所示。与用户定义的实际恶意数据相比，多出来了很多“误报”数据。

威胁检测产品的告警数据示意图

这里的“误报”打了引号，根本原因是用户对“误报”的定义，与安全产品、安全分析人员定义的误报往往存在差异。用户定义的“恶意数据”不同的客户定义不一样，严格的客户一般指实实在在给资产或数据带来威胁或损失的行为，而安全产品为了减少漏报，一般会把存在潜在风险的行为或对象提炼出来形成告警。安全产品的出发点是好的，只是手段上受限，以引入误报来弥补漏报问题。而客户定义的严格的恶意数据，一般都是满足渗透过程、攻击链或者ATTCK矩阵的攻击行为。

以客户定义的严格的恶意数据来说，我们来分析下这些“误报“数据的构成有哪些？

基于以上分析，我们将客户定义的严格的恶意数据与“误报”数据中的风险问题，定义为广义的安全事件。通过“原始告警/日志-归并告警-安全事件”三层架构，结合专家系统的安全事件知识库，去提炼体现具体攻击事件和风险的安全事件，降低告警量，提升了安全运营效率。

扫描器扫描事件对于大多数甲方来说，是最习以为常的安全运维操作。传统的安全设备有几个常见做法：

1、 首先需要收集扫描器IP有哪些，将此类IP进行手工加白，往往存在收集不全的问题；

2、 不少安全检测产品以攻击者视角，对此类IP做归并，但是否为扫描器，还需要人工进一步分析。

安恒信息AXDR通过大数据分析技术和专家系统知识库生成有效的安全事件，减轻安全分析人员告警日志逐条分析的工作重担，并尽可能地体现完整的攻击路径，助力安全运行人员提升威胁分析能力与安全运营效率，降低平均修复时间。