面向安全团队的联合分析，旨在通过 Splunk Cloud Platform 和 Splunk Enterprise Security Cloud 的联合分析功能，扩展 SOC 可见性并加速 TDIR（威胁检测、调查和响应）。该方案允许安全团队分析 Splunk 或 Amazon Security Lake 中的数据，实现经济高效的选择，保持数据完整性和减少延迟，并访问和分析所有存储位置的数据，从而获得全面的可见性。
核心观点与关键数据：
- 数据价值随用例变化：实时和近乎实时的安全检测需要最新数据，而合规性和审计用例需要长期数据保留（一年以上）。90%的数据是在过去两年内创建的。
- 数据激增挑战：SecOps 团队面临数据量激增的挑战，难以集成和分析来自不同来源的数据，导致威胁检测和调查中缺乏可见性和背景信息。
- 数据孤岛问题：传统数据集成工具需要移动数据，无法提供实时分析或跨平台兼容性，导致数据孤岛和重复。
关键优势：
- 统一访问和分析安全数据：通过联合分析，安全团队可以整合和分析来自 Splunk 和 Amazon Security Lake 的数据，获得整体安全视图，实时访问数据，并简化数据分析流程。
- 智能资源管理：利用 Amazon Security Lake 的低成本存储，按需将选定的数据引入 Splunk，优化计算资源，降低存储和入口/出口成本，并通过标准化数据流程提高效率。
- 主动事件管理：通过跨存储的所有数据主动检测、调查和响应威胁，确保及时准确的威胁管理，增强安全运营。
额外优势：
- 一致的分析师体验：在 Splunk 平台内支持成熟工作流程，扩展这些流程以进一步分析远程存储的数据，无需跨多个平台搜索或手动拼凑调查。
- 可扩展的威胁搜寻：安全分析师可以跨分布式数据集执行大规模威胁搜索操作，无需集中或复制数据。
- 促进合规性和数据治理：在 Amazon Security Lake 或 S3 等存储中长期廉价地存储大量数据，并在需要时快速访问、分析和查询这些数据。
用例故事：
- 安全监控和事件解决：通过联合分析，安全团队可以快速检测关键事件，并在调查时按需访问更多数据，如 VPC 流日志，获得更全面的可见性。
- 故障排除和调试：通过联合搜索直接在安全湖中的数据上运行搜索，结果返回到 Splunk，优化数据设计，无需水合，提供一系列选择来针对不同用例优化数据设计。
案例研究：
美国金融业监管局 (FINRA) 使用 Splunk 从 170 个应用程序中获取数据，分析大多数美国股票和期权市场交易的数据，借助基于 AWS 的 Splunk 获得成本和运营效率，保护投资者免受欺诈。
研究结论：
联合分析通过整合 Splunk 和 Amazon Security Lake 的数据，为安全团队提供了全面的可见性和高效的资源管理，支持主动事件管理，并促进合规性和数据治理，从而提高安全运营的效率和效果。
