Big data in cybersecurity

De uitdaging was altijd het opslaan van deze grote hoeveelheid data en het ‘zoekbaar’ maken van deze data. Men is altijd gewend geweest met databases te werken en daar zoekopdrachten (queries) op uit te voeren, maar deze databases (bijvoorbeeld SQL gebaseerd) zijn altijd gevuld met gestructureerde data, data met een vast patroon (datamodel). Met big data wordt alles opgeslagen, of het nou gestructureerd is (bijv. log data) of totaal niet gestructureerd (netwerk verkeer, video, afbeeldingen). Dit gebeurd dan ook nog eens in grote hoeveelheden en over een lange tijd zodat trends en afwijkingen op gedrag inzichtelijk gemaakt kunnen worden. Het idee is ‘laten we alles maar opslaan want wie weet wat we er mee kunnen’.

Om big data mogelijk te maken is dus opslagcapaciteit nodig. Deze moet geschikt zijn om allerlei soorten data op te slaan, maar belangrijker: moet het mogelijk maken om de data snel te kunnen raadplegen om te gebruiken in analyses. Voor analyse moet de enorme hoeveelheid opgeslagen data gequeried kunnen worden en het antwoord op de query mag niet te lang op zich laten wachten. Hiervoor wordt op het storageplatform software gebruikt die het mogelijk maak dit te doen (voorbeelden hiervan zijn MapR in combinatie met Hadoop).

In cyber security is big data belangrijk voor SOC-omgevingen. Alleen de meta data van netwerk verkeer is niet meer zo interessant, het is interessant om te weten wat er in het volledige netwerk pakket zat, welke applicatie, welke bestanden er getransporteerd zijn et cetera. Met big data security analytics-oplossingen, die steeds meer in het veld te zien zijn, kan dit gedaan worden: grote hoeveelheden netwerk verkeer worden centraal opgeslagen op speciale hardware met een eigen besturingssysteem en analyse-omgeving, zodat de opgeslagen data doorzocht kan worden (bijvoorbeeld op aanvraag vanuit een Security Information & Event Management (SIEM) systeem).

Waarom het interessant is om big data security analytics toe te passen? Het kan veel meer context geven aan een (mogelijke) bedreiging door aan te tonen wat er precies gebeurd is: wie, wat, waar vandaan en wat is er aan data gefiltreerd.