本文中，我們主要基于真實環(huán)境提出三種可解決此問題的有效方法。

一、真正有價值的事件

安防監(jiān)控系統的最大問題就是哪些異常會引發(fā)事件。作為安全運營團隊面臨的挑戰(zhàn)之一是要從眾多事件中找出相關且有意義的事件，而這事件中混雜著太多誤報。在解決這一問題前，就是要明白該如何定義一個事件，當然，需要根據安防監(jiān)控系統所屬領域來定義。在實際決策中，首先需要非常了解專業(yè)領域，然后使用復雜算法，來找到真正的目標。

例如，在內部威脅領域，安防監(jiān)控系統可識別出某一用戶是首次進行數據庫操作。但由于之前沒發(fā)生過此類操作，因此會被視為異常，但這就是真正的安全事件了嗎？為了回答這個疑問，我們需將用戶和數據庫進行分類，以及將二者進行關聯分析。這樣才能讓你對整個事件有深入的了解，而不是僅僅停留在表面。

二、事件分組

一旦識別出真正有價值的事件，可基于事件描述的具體場景進行分組，降低事件數量，使安全工程師可對同類事件整體處理。盡管每個單一事件可能是有效的，但是當事件按類別組合在一起，更多、更易于理解的說明信息顯示這些事件可以作為一個整體來處理，這樣可大幅提高處理效率。

三、兩類分組方式：

1. 按事件類型分組。例如：多個用戶濫用一個服務賬號。

這表示該服務賬號為某一群體所共用，這并不是一個好的做法。可通過調整賬號權限來解決此類問題。

2. 按事件描述內容進行分組。例如，某一用戶濫用特定的數據庫帳號、訪問了某些應用數據表，并訪問了大量文件。這意味著該用戶可能會損害企業(yè)的數據。應對用戶及其行為進行評估。

根據Imperva CounterBreach的客戶數據示例，可以看到經過分組，客戶需要處理的事件數量大幅減少。雖然事件在持續(xù)增加，但分組數量卻增加緩慢，直至不再新增分組。

東莞安防

圖1：用13個分組取代了377個事件

事件優(yōu)先級評分

過去，安全事件優(yōu)先級劃分通常是通過將事件劃分為嚴重程度（嚴重、高、中、低）來完成。這種類型的分類并不能明確決定首先應該做什么。假設有10起事件被歸類為嚴重事件。所有的事件必須立即處理，但首先應該處理哪一起？

建議為各類事件設置優(yōu)先級評分制，分數范圍為0至100。不同的事件和得分標準使用不同的計算方法，最后得出優(yōu)先級評分。

例如：“數據庫記錄訪問過多”事件的傳統優(yōu)先級為高，因為這種情況下可能意味著數據被盜。

當這類事件同時發(fā)生兩筆，乍一看，應按同一緊急程度處置，但這兩筆事件的優(yōu)先性真的是一樣嗎？

下面來看一下具體情況：

1. 一個用戶訪問了生產環(huán)境數據庫中的105000條記錄。

2. 一個用戶訪問了測試環(huán)境數據庫中的100000條記錄。

可以明確看出，第一筆事件的處理應優(yōu)先于第二筆，因為它的危害性更大。

使用新的評分法后：

事件類型：數據庫記錄訪問過多：得70分

記錄的訪問數量》 100000 ：加+5分

生產環(huán)境數據庫：加+10分

根據上述算法，前述第一條事件的最終優(yōu)先級分數為85分，而第二條事件的評分為70分。

支持分組評分

正確使用評分標準及分值，是決定事件處置順序與事件優(yōu)先級相比配的基本要素。但這需要對被監(jiān)控的對象有深入了解。

方法的使用

這幾種方法都可以減少所需處置的事件數量，但最好能同時應用。

如上例所示，雖然真正有價值的事件數量仍然很多，特別是監(jiān)控范圍較廣的情況下。事件分組可極大的減少所需處理的事件數量。而設置優(yōu)先級評分，可以幫助了解哪類事件或哪組事件需要優(yōu)先處理。

安防監(jiān)控工程

結論：

安全是安防監(jiān)控系統是極重要的保護層，但當各類事件數量過多，安防監(jiān)控系統變得難以管理并需要耗費大量時間來處理這些事件，甚至可能無法使用而放棄安防監(jiān)控系統。專注于重要事件（真正有價值的事件），支持綜合分類（事件分組），定義明確優(yōu)先級（事件優(yōu)先級評分），提供更加快速、更加高效的事件調查解決方案，從而實現真正有效的監(jiān)控。