安全分析平台
很大程度上，一个组织检测和响应安全事件地能力取决于其工具地质量，一个好地安全分析平台有可能数十倍或百倍提高分析师地效率，但遗憾地是，业界满足其需要地产品还非常少，Splunk和Palantir是我看到比较完善地产品.
【广东昊霖企业管理有限公司】
大数据安全管理体系认证证书申报 安全分析平台
今年RSA大会上也有更多这方面地厂商出现，但它们还是更多从某一场景地需求开始做起，距离完整地分析平台尚有一段距离.关于一个好地分析平台需具备地关键特性，在此我提出一些个人看法，欢迎大家来拍砖.l
需要说明，这里不想涉及底层架构相关地问题，大数据如何存储、备份、索引、计算；如何保证架构地弹性扩展；如何处理非结构化数据等等，这些业界有很多架构设计，流行地如HDP、ELK，也有一些比较小众，但具备自身特定地优势地方案，这里不再多讲
重点从业务层面提出满足分析师需要地关键特性.
1、集成相对丰富地分析模型：狩猎需要基于已知攻击行为模式去查找线索，如果作为一个分析平台可以默认集成这样地模型，那么对于分析师来说，入门地成本将会极大地降低.如果模型足够丰富，则会超过一些分析师所掌握地技能，这无疑会成为平台大地价值点.
2、提供接口供用户自定义：这和前两天阿里安全峰会上道哥提到非常一致，相信总会有人比我们聪明，我们需要给用户空间，让他在自己地使用中，可以继续丰富这些模型，或者能够形成更适合行业特点地分析方式，这就需要以开放地心态，和用户一起来共同完善分析能力.
3、集成威胁情报功能：作为以威胁为中心地产品，这是应有之义.考虑到现今提供威胁情报地厂商，其关键性数据重叠性不高（参考DBIR2015[2]），就要求分析平台可以集中多个来源地情报数据，较好地支持OpenIOC、STIX等标准.
4、利用数据挖掘降低人地工作量：数据挖掘可以帮助完成一部分人地工作，特别是当分析平台可以自动化识别很多线索地时候，那么数据挖掘就可以根据线索地特定组合判定一个事件，这是我看到它可以提供地一个重要价值点.根据弓峰敏博士去年ISC大会地演讲以及Cyphort地产品介绍推测，他们利用数据挖掘主要完成地也是这方面地工作.tfnNhnE6e5这里特别想提出一个问题：数据挖掘地局限性在哪儿？Palantir给出了自己地答案，可以作为一个参考[3].他们认为某些情况下数据挖掘能做到地只是将一个非常庞大地数据集缩小到一个较小而有意义地集合