码迷,mamicode.com
首页 > 其他好文 > 详细

SANS:2014年日志管理调查报告

时间:2014-11-16 01:57:23      阅读:229      评论:0      收藏:0      [点我收藏+]

标签:日志管理   lm   sans   siem   安全事件管理   

2014年10月份,SANS发布了2014年度的《日志管理调查报告》。在今年,对于日志分析/安全分析的报告分为了两个,一个是延续了2013年的安全分析(Security Analytics)的调研报告,另一个则是重新续上了2012年的日志管理(Log Management)的调研报告。在2013年,两个调研主题合并到一起了。这也说明了安全分析与日志管理正在向着不同的路径前进。

这次调研了522名专业人士。其中97%的受访者都表示他们收集了日志【在2012年这一数据则是89%】,42%的受访者将这些日志送给了SIEM来进行分析和管理。与之前(2012年)一样,人们对日志管理最大的抱怨依然是如何有效识别高级威胁,占了46%的受访者。


调研问题1:收集日志的原因

85%的人认为是“检测和追踪可疑行为;65%的人选择了”支撑IT/网络的例行维护“;62%的人选择了”取证分析“。这与2012年的调研没有太大出入。


调研问题2:日志管理的挑战

最大的3个挑战依次是:大数据分析、关联分析、日志的范化和分类。


调研问题3:日志采集的日志源

最多的是安全设备、网络设备,以及主机操作系统(尤其是Windows,还有虚拟环境),再往后是WEB日志、业务系统日志、终端日志,访问控制日志。


调研问题4:每天的日志量

接近30%的组织每天日志量小于50GB,超过每天1TB的不到10%。【其实不是日志量少,而是国外日志归并过滤做的比较多,对此,Gartner的SIEM MQ报告中有企业通常EPS等级的评估】


调研问题5:花费在日志分析上的时间

22%的人每周1~4小时,另有22%的每周超过1天。情况好于上次调研。


调研问题6:日志留存时间

40%的人选择90天到1年之间。34%的人选择1~7年。29%的人选择30~90天。至于企业和组织在评估留存日志时长的时候,主要考虑的三大因素是:为了调查/取证,遵循企业一般的实践经验,为了做历史/趋势分析。


调研问题7:在调查取证的时候,最常查询的信息

登录/注销、登录失败、密码错误;与恶意代码、僵尸网络或其他可疑行为相关的源目的流量信息;VPN用户的信息、时长、位置和连接的频度;DNS请求信息。


调研问题8:日志管理的自动化程度

46%的受访者表示所在组织和企业实现了部分自动化的日志管理(含自动化分析)。调研表明,用户未来会越来越倾向于将日志分析过程自动化。这也是日志量不断增大后的必然选择。


最后,调研报告表示,“A Long Way, Baby”,什么意思?没错,日志管理还需要继续不断提升,还有很长的路要走。

【参考】

SANS:2013年度安全分析(日志管理)调查报告

SANS:2012年度日志管理调查报告

SANS:2011年度日志管理调查报告

SANS:2010年度日志管理调查报告


SANS:2014年日志管理调查报告

标签:日志管理   lm   sans   siem   安全事件管理   

原文地址:http://yepeng.blog.51cto.com/3101105/1577058

(0)
(0)
   
举报
评论 一句话评论(0
登录后才能评论!
© 2014 mamicode.com 版权所有  联系我们:gaon5@hotmail.com
迷上了代码!