現在的威脅形勢變得愈發嚴峻。在工作場所中，用戶不僅使用公司的設備，還會攜帶自己的設備。再加上聯網設備的涌現和廣泛部署，你會發現目前攻擊者可利用的攻擊面非常大，這需要通過主動風險管理來控制。當你有這么多方法進入企業網絡時，這會給網絡安全帶來很大的問題：企業每天需要處理洪水般的警報。

[[166008]]

事實上，根據2014年Fire Eye委托IDC進行的調查顯示，超過三分之一的美國公司表示他們每個月會收到5000個警報;37%的公司稱他們每個月要處理10000多個警報。

這些數據非常驚人。試想一下，作為安全專家，不僅需要處理這些警報，同時還有其他的任務。更重要的是，大多數安全人員都有很多職責，這意味著他們可能無法盡可能快地對安全警報做出響應，從而導致響應時間變慢，在重大數據泄露事故發生時帶來嚴重后果。

如果主動風險管理還不是你網絡安全戰略的一部分，那么，沒有及時看到或者響應警報會有可怕的后果。讓我們以Target數據泄露事故為例，在超過4000萬信用卡號碼被盜后，最后是由美國司法部通知Target這件事情的。當Target回過頭看時，他們發現在攻擊者真正刪除數據的幾天前就已經觸發了警報。

為什么企業會錯過這樣的警報?

核心在于企業如何部署主動風險管理和安排安全人員。在很多情況下，安全專家肩負太多職責，而未能及時響應警報。研究表明，75%的公司需要多達5小時才能響應重要警報;60%需要6到12個小時才能響應中等警報，而對于低級別警報，30%需要超過一天的時間。另外，超過一半的警報是誤報和重復警報，你需要過濾巨量的數據。

這個問題的另一方面在于企業不信任其安全框架。如果企業沒有完全或準確地利用其安全應用中提供的所有功能，那么，這個產品就不會發揮作用。如果你沒有打算按所設計的方式來使用產品，那你為什么花錢購買這些產品呢?

你可以做些什么?

對于如何處理收到的警報以及減少其數量到可管理的水平，這里有一些方法，包括聘請更多的人員或者重新安排現有人員用來只處理警報。畢竟，你越快響應重要警報，你就可越快分析威脅并確定它們是否為真正的威脅，如果是真正的威脅，你就可以更快修復以及進行取證分析來確定其根本原因。

你還可以從整合安全應用和系統中受益。雖然部署各種供應商的產品通常是一件好事，但在這種情況下，使用單個供應商的產品則更好。這是因為很多安全供應商有內置生態系統，提供分析、警報和管理選項組合，選擇單個供應商的安全基礎設施非常有益。

如果你不想完全取代現有基礎設施，那你可以考慮部署安全信息和事件管理(SIEM)應用。這些工具可提供對安全基礎設施的整體視圖，并提供威脅情報、實時監控、應用監控、行為分析和日志管理以及報告。這種對安全基礎設施的整體視圖為你提供了最佳途徑來減少警報。SIEM產品還可以在專家開始審查事件之前執行很多分析，雖然總是需要人的參與，但正確使用的話，這些產品甚至可以阻止攻擊。

另一種選擇是外包你的安全監控。提供托管服務的公司會為你積極監控你的安全性。他們可以管理警報以及這些警報的分析，并告知你任何潛在的問題。

最后，你應該不斷審查安全工具的配置，并進行調整以減少警報的數量。減少警報的數量可為你節省時間，讓安全專家可將重點放在真正的威脅上，并整合主動風險管理政策。