过去一年半时间里，严重威胁到公司业务执行能力的安全失败和数据泄露日益增加，企业需要付出更多努力来阻止此类事件。客户的敏感金融和个人信息需要被保护。
作为回应，很多公司现在意识到，需要从内部支撑起对抗在自家网络中搜寻目标的攻击者的工作。在过程中，攻击的数量和种类之多，让人们意识到：单独一家公司的IT部门，是不可能从大量潜在问题和可能的攻击通告中筛出真正的威胁的。即便公司企业在部署下一代防火墙、终端检测和响应产品，从病毒签名迁移到宣称可以填补检测和驻留时间空白的感染指标(IOC)，警报疲劳也持续困扰诸多的IT安全团队。
为提升竞争力，公司企业一直在应用安全分析技术。此类技术的前景在于，可以做到IT部门员工做不到的事——审查无穷无尽的数据，标记出你应该关注的真正威胁。
然而，不是所有安全分析解决方案都是生而平等的。有5个关键特性，对确保安全分析的有效性和阻挡当下高级威胁的能力非常重要。
一、对任务和数据的极端灵活性
安全分析必须时刻准备好处理任何提交上来的问题。强有力的安全分析必须承担起比仅检测简单入侵的安全软件更多的责任。它要能适用于任一数据源——无论是网络、设备、服务器，还是用户日志等等。可以参考数量庞大种类繁多的用例。
然而，仅仅能够与这些信息来源接驳尚不足够。安全分析需要处理数据的多种不同特性——从响应时间或次数这种指标，到来自用户、主机和代理的信息。还需要足够智能，要能够检测像“信标”这样的模式，以及通信数据包中的高信息含量内容，然后，还得能够得出分析结论并形成对实际正在发生的事件及发生范围的洞见。
换句话说，想要成功，安全分析需要能够使用每种数据源、数据特性和摆在面前的潜在问题，来检测与高级攻击相关联的非常规行为;然后分析这些行为，向用户呈现分析结果。
二、快速、准确、实时分析
如果实现了真正的安全分析，分析结果的出炉应该很快——近实时地给出结论，让用户感觉这一切几乎是自动发生的。涉及安全问题的时候，数据处理速度非常重要——因为发现问题过程中的任何延迟都能对公司造成巨大损失，尤其是数据泄露正在进行中的时候。
同时，虽然处理速度非常重要，它前面还有一个安全分析过程中最重要的元素：理解所侦获内容的含义，向终端用户输出应关注的重点结论。
随着要忧心的网络攻击数量逐年增加，很容易看出IT经理被标记潜在数据泄露的警报，或其他需要注意的问题折磨得不堪重负。这些问题中很多都不是数据泄露或者需要立即投以关注的;但在大多数基于签名或定义有误的IOC的安全软件看来，每个问题都需要标记，这样才不会遗漏。这种做法明显是对利用环境噪音隐匿踪迹的攻击者有利。随着警报疲劳越来越严重，分析师们也越来越难以在高级检测产品吐出的一堆堆警报中筛选出真正有价值的了。
三、前事不忘后事之师
这种情况下，机器学习技术便常出现在人们的谈论中了。传统安全工具和人类终端用户始终能力有限。每天能够用来审查警报的时间就那么多，一旦陷入自己筛选重要警报或通知的境地，就已经增加了错过关键通报的可能性。此外，尽管很多公司在SIEM中部署了规则集以辅助过滤高相关度的事件，这也不过是对“什么东西有问题”的静态理解，与能够基于检测出的基线模式识别出异常情况的机制相比，在动态性上完全不具备可比性。
机器学习能将对潜在问题的分析，推进到不仅仅是看出什么东西和得出某些结论的程度。引入机器学习技术之后，安全分析就能看出问题，关联其严重性，然后确保基于数据的概率得分，只分拣出最重要的条目。
机器学习是大多数安全分析中的关键部分——它能识别并理解模式、数据的周期性和数据中的异常，从每个实例中学会什么是正常行为，异常值都分布在哪儿。这有助于让IT经理基于分析得分相关性，知晓该对收到的每个警报做出什么反应，而不是寄希望于他/她选出正确的警报。
四、扩展能力
安全分析应该具备随公司成长而扩展的能力。随着公司声名渐蜚，业务拓展，产生的数据、拥有的客户和公司业务规模都会一起增长。这意味着被网络罪犯或黑客盯上的可能性也增加了。但是，也不总是最大的客户被最先袭击或被袭击最多次，是那些对防止和检测攻击者准备最不足的公司才会沦为网络攻击的最先最频繁受害者。
安全分析需要能够处理所有这些实例，并按需求扩展。数据量的增加不应该影响到安全分析解决方案的效能。相反，更多的数据应该为攻击添加上下文环境，产出对攻击者技术的恰当识别。
五、易于部署和理解结果
最后一条可被分割成两项，但其实是一体两面的东西。市面上基于安全分析的产品越来越多，很多新入者都来自于结合了分析的临近安全空间(很多情况下都产生了太多数据而导致噪音太大)。部署和理解结果的容易度，归结于从分析中获取到价值。
将预先制备并定义好的入侵检测“配方”作为安全分析的一部分部署下去，正成为越来越重要的一项能力。这有点像“调谐”客户数据类型的迭代循环，但成功的解决方案应该是最灵活且最有助于调谐过程的那种。
为应用安全分析，产生的结果需要包含像攻击进展和威胁分类之类的符合用户本地环境的东西。这一部分通常都缺失了，或者留给客户自己去显示到自身面板上。很多厂商的假设是：每个客户都养着一支数据科学家军队，可以利用结果向安全分析师“描述清楚情况”。显然，事实没那么简单。你得缩短评估和部署智能的、高度可调的适应自身安全团队风格的安全分析的时间。
结论
安全分析的重要性再怎么强调也不为过，尤其是在数据泄露事件继续频登头条，攻击者渐用针对性新方法规避防御技术的当下。这也是为什么，想要成功，你先得理解安全分析关键要素的原因——为确保你的实现会査讫所有该査讫的条目，而你不会想破脑袋都不知道为什么你的分析解决方案没能找出所有该找出的异常。通过实现与以上5个要素紧密挂钩的安全分析解决方案，你就能在挫败针对你公司的下一次攻击中占据有利位置。
