（原标题：信息安全的“无间道” 如何严防内鬼？）
俗话说，明枪易躲，暗“贼”难防;外神好躲，内鬼难防。看过《无间道》或者玩过《三国杀》的应该都清楚，他们时刻以非内鬼身份去思考和与别人沟通，到关键时刻爆发，给予致命一击。
网络安全领域也是如此，一条黑色产业链正在无形的吞噬着这个时代，个人信息泄漏已经在生活中埋下了一颗定时炸弹，并且“内鬼”已经让这颗炸弹开始倒计时。
据公安部网站消息，自今年4月公安部部署全国公安机关开展打击整治网络侵犯公民个人信息犯罪专项行动以来，截至目前，全国公安机关网络安全保卫部门累计查破刑事案件1200余起，抓获犯罪嫌疑人3300余人，其中抓获银行、教育、电信、快递、证券、电商网站等行业内部人员270余人，网络黑客90余人，缴获信息290余亿条，清理违法有害信息42万余条，关停网站、栏目近900个，专项行动取得明显成效。
由此数据我们发现，信息泄露主要有两个渠道：内鬼加黑客，从这组数据看比例是270：90=3：1，也就是说信息泄露的75%为内鬼所为。
“内鬼”不除个人信息安全难以保障
对数据比较敏感的同学不难发现，行业内部人员监守自盗的数字则要比黑客高出3倍，当然我们也不排除黑客躲藏技术或许更高一筹的情况，不过可以确认的是，“内鬼”已经成为现阶段信息泄漏的主要途径之一。“内鬼”不除，个人信息安全就难以得到保障。
“内鬼”因何如此猖獗?一方面是由于企业内网的薄弱，我们发现很多企业内网除了统一的整体安全保护体系例如防火墙、IDS、防病毒、数据库审计、口令密码等之外，基本没有专门的技术智能化保护措施，针对这些核心资源进行有效保护;另一方面，即使企业会根据业务需求制定内部安全策略，以权限的形式指派承担相关职责的人员，但这并不能有效防范拥有合法权限的内部用户的异常行为，即合法用户的异常行为。
因此基于内部用户的行为分析，能够发现内部人员的操作是否会对系统安全产生威胁，是解决内部威胁预警、检测并保证系统安全的重要技术手段。
基于内部用户的行为分析区别于基于特征的分析，后者虽然是一种立杆见影的手段，对于传统的安全风险很有效，但时效性欠缺，并需要强大的相应队伍。而基于用户行为的分析，是一种较为复杂的方式，通过数据统计的方式来寻找异常，但缺点是准确度不确定，收集的数据越完善，准确度越高。
如何做到准确无误的找到并抓获这个“内鬼”?就需要知道他访问的目的地、所用端口、什么协议以及访问了什么端口、IP等内容，好在很多网络安全设备厂商用标准数据交换方式很好的解决了这个问题。
以NetFlow标准为例，由于一个IP数据包的Flow至少定义了几个关键元素：源IP地址、目的IP地址、源端口号、目的端口号、第三层协议的类型等，NetFlow可以利用分析IP数据包的几种属性，快速区分网络中传送的各种类型的业务数据流。
而瀚思则可以通过大数据安全平台的采集器将日志和NetFlow统一收集，从而进行关联分析。
做好关联分析最终揪出“内鬼”
但是，在做好关联分析前还要弄清楚一件事情：日志、网络流量、权量抓包的数据分析并不是新的课题，但为什么现在不奏效了?
这是由于在大数据时代，企业的这些数据量要以亿为单位，而“内鬼”的异常行为所产生的日志，只有几条，在大数据技术和机器学习技术的能力不完善的情况下，要做到在这些数据中查找出几条的异常数据，说成大海捞针也只是有过之而不及。
本文来源：中关村在线
责任编辑：
王晓易_NE0011
