通信世界网讯(CWW) 信息安全的检测中有一部分是高端安全检测，高端安全检测涉及对检测模式的重新认识，这就涉及到大数据。

探寻高端检测

从检测方面来看，有三个境界：

第一种是“检测足”，属于简单检测，比如：有阈值限制，超过了什么值，系统就会告警；再比如，包过滤规则；这些检测都相对简单。

第二种是“检测腰”，基于单一特征的检测，比如：漏洞特征、病毒特征、攻击特征、URL黑白名单等等特征库检测。单一特征强调的是可表达、可处理和可操作性。所谓特征（或者称某种模型），我们使用它的计算复杂度要大大低于提炼获取它的复杂度。这里比喻成检测腰，就是因为它有一个收紧计算复杂度的作用。传统安全公司技术能力的竞争，主要就是看你能获取和积累多少特征。

第三种是“检测颈”，属于高端检测，包括APT检测或者宏观态势感知等。另外，检测腰中部分特征的提炼和分析其实也属于高端检测的范畴。

安全的三种境界

谈到高端安全检测问题，可以简单地分为两类，一类是宏观安全检测，典型问题就是网络宏观态势感知；一类是微观安全问题，典型问题就是APT（Advanced Persistent Threat，高级持续性威胁）攻击发现。

关于宏观态势感知，如城域网的网络事件态势感知，目前方法还相对较少。举个例子，启明星辰实现了一个地址熵算法。熵是离散度的一种评价，所谓地址熵就是累积计算网络上的源地址的熵和目的地址的熵，并对两条随时间变化的地址熵曲线进行跟踪分析。如果目的地址熵突然下降，也就是目的地址突然集中了，由此可以立即判断出来可能发生了分布式拒绝服务攻击；如果目的地址熵微升而源地址熵下降，源地址相对较集中，意味着有网址在密集地向外广泛地发包，可以初步判断可能出现了扫描事件或蠕虫传播。这两个地址熵指标就像天气预报中常用的温度、气压等这些衡量指标。目前，在城域网监控方面这样特别有效的既简单又精妙的算法并不多。

关于APT攻击，目前常见的提出的APT应对方法，很多是在APT中的A（高级）上下功夫。也就是如何深入分析隐蔽性很深的恶意代码和行为。确实，当我们拿到一段值得怀疑的代码和数据集，对其进行深入分析是可行的；但是难的就是，从茫茫数据中，我怎么能够确定哪段数据值得怀疑并进行深入的分析呢？

试解高端检测中的大数据问题

上面提到的这两种高端信息安全检测问题，最终都导向了大数据方法。

面对宏观态势感知和预测问题，归结起来就是在海量的数据中发现宏观的波动趋势。哪怕是细微的波动，也是宏观问题。宏观态势感知和预测，就是要发现这些波动，并且判断出来哪些波动会演变成灾难性的网络风暴，以便及时加以遏制。要发现和描述这样的态势，仅仅靠局部数据计算得出的简单统计指标是非常不够的，即使是地址熵这样的精妙指标也是不够的。在这方面的研究中，可以类比的其他学科就是天气预报、股票期货金融品分析预测等等。这种分析活动，自然而然就是大数据。

而面对APT攻击发现问题，最终也是大数据问题。

APT的A高级，不仅仅是某些具体攻击手法隐藏很深，还包括APT攻击在空间上的不确定性；而APT的P所代表的时间上的长期持续性或者断续性，更是APT的检测难点。