可能取代SIEM的PB級遙測數據平臺：谷歌發布Backstory
責編：gltian ｜2019-03-08 13:07:25已經十分火爆的網絡安全市場再現巨鯨入水：3月4日，谷歌母公司Alphabet發布了一款由谷歌內部安全基礎設施設計及運營團隊打造的網絡安全產品。
Alphabet子公司Chronicle脫胎自其X計劃，于2016年成立。如今，該公司宣稱將推出3款網絡安全產品： “Backstory”、“Uppercase” 和 “Virustotal” (谷歌于2012年買入的一款惡意軟件跟蹤工具)。
其中，Backstory因其“無限擴展”能力，以及使用了構造谷歌基礎設施核心的威脅分析引擎而引人注目。極有可能取代2025年市場規模估值1,770億美元的安全信息與事件管理(SIEM)工具。
Backstory基本上就是威脅態勢版“谷歌”，能夠攝入、保留和處理大量威脅數據以進行即時分析。Chronicle首席執行官 Stephen Gillett 將之描述為“以PB為單位思考時代的首款全球安全遙測平臺?！?/p>
Chronicle為谷歌核心基礎設施再添一層，可供客戶上傳安全遙測數據，包括海量數據，如DNS流量、網絡流量、終端日志、代理日志等，方便進行索引并應用分析引擎自動分析。很多SIEM也能達成同樣功效，其中區別就在于可擴展性。
新平臺或可取代SIEM
正如Chronicle發布的白皮書所言，SIEM平臺對大數據量適應不良。而且，來自終端檢測及響應(EDR)系統(例如常規殺毒軟件)的大量遙測數據幾乎不會饋送至SIEM，即便攝入，通常也只保留數周。
威脅情報饋送理應附加更多上下文，但往往噪音冗余太甚，以致造成的麻煩比清除的威脅還多。外包給安全服務提供商(MSSP)也不過是將資本支出轉換為運營支出，把問題挪到了其他地方而已。
Backstory能使公司企業運用索引、管理和分析工具，針對自身數據集和第三方或客戶饋送的威脅信號，自行保留、分析和搜索大量安全及網絡遙測數據。
Chronicle將之描述為“存儲企業安全遙測數據的無限擴展容器”，且定價不以遙測數據量為基礎。
該公司并未透露具體定價數額，但表示：因為不以數據量為收費基準，客戶產生的每個比特數據都可以保存下來。
用戶可一秒查詢，實時獲悉公司每臺設備是否在與Backstory海量數據庫中與威脅相關的任意域名或IP地址通信——即便該查詢需要檢索數十PB的遙測數據。換句話說，客戶公司CEO問 “我們銀行會不會遭遇民主黨全國委員會(DNC)那樣的攻擊？” 時，分析師可以立即回答“不會，我們很安全”或者“會，我們最好采取……行動”。所有這些都無需單獨編寫查詢語句，一個控制臺就全都搞定了。
Backstory可通過不同方式接入各種類型的遙測數據。最常用的就是 Backstory Forwarder，一個輕量級軟件容器，部署在客戶網絡，支持系統日志、包捕獲和已有日志管理/SIEM解決方案。
客戶還可以通過安全API直接向Backstory平臺發送遙測數據。Backstory也能從其他云服務(比如亞馬遜S3)拉取遙測數據。舉個例子，CrowdStrike的EDR解決方案將其終端日志推送至S3，同時使用Backstory-Crowdstrike的客戶就可以將Backstory配置成從S3拉取數據。Carbon Black 的EDR則采用事件轉發器直接向Backstory推送終端遙測數據。簡單講，用戶有多種方式上傳自己的遙測數據。
Chronicle白皮書：