Mohawk College 希望采用行业领先的 SIEM 解决方案，以管理防卫措施，应对不断增长的威胁，确保原本可以保护自身复杂 IT 环境的强大系统不被破坏。

学院与 GlassHouse 合作建立了 QRadar SIEM 平台，以深入了解 IT 环境，进而检测、调查并响应网络安全泄露事件。

高等教育机构是网络犯罪分子最丰富、最成熟的攻击目标之一。这些机构为学生和教师提供知识产权、研究和个人信息的成果。总体而言，这种成果唾手可取，很容易被不正确的参与者截获，因为网络安全措施和技术通常未能深入实施，并未考虑到多个大学或院系的系统预防和响应。

安大略省汉密尔顿市 Mohawk College 的 IT 安全服务经理 Andrew Frank 表示：“您的机构包含众多不同的部门，各自从事着不同的工作，从而形成了一个需要保护的复杂环境。”“通常，如果您没有制定周密的安全计划，技术人员就会尽一切努力保护环境。他们很快就会用完资源而去购买一些反恶意软件，或者可能安装花哨的下一代新防火墙。虽然这些补丁非常重要，但它们也只是 Mohawk 之类的学院为了应对网络攻击所采取的一部分举措。”

Mohawk 会采取全面的网络安全措施不足为奇。Mohawk College 侧重于应用研究，涵盖多个研究领域，旨在帮助学生获得汉密尔顿和大多伦多地区企业的实际经验。Mohawk 因自身业务的创新而闻名，拥有获得 LEED 认证的绿色建筑以及供暖和制冷系统。

此外，Mohawk 还教授网络安全课程，并设有规模庞大的 Central IT 部门，负责监督机构的网络安全。毫无疑问，数年前该学院就需要引入最先进的网络安全工具来保护和防卫恶意攻击者。

Frank 回忆起学院网络安全环境的演变过程。他说：“针对这件事，我们的董事会开始询问，探讨如何制定计划以保护我们的关键资产。”Central IT 首先研究了不同行业安全框架，包括用于管理信息安全的 ISO 27001 和 ISO 27002 标准。然后，该部门采用美国国家标准与技术协会 (NIST) 的网络安全框架 (CSF) 进行差距分析，并根据学院的五大支柱进行了评分：标识、保护、检测、响应和恢复。

学院发现，自身在标识需要保护的资产并对这些资产进行整体保护方面表现出色。但是，检测方面的得分不高。因此，如果控件出现故障，学院就无法快速标识泄露事件，也无法继续响应并从泄露事件中恢复。Frank 表示，“尽管您可以将所有资源都投入保护机制，但并不存在一劳永逸的解决方案。”“最终结果是，泄露的风险很高，环境也很复杂。”

Mohawk 决定专注并投资于检测。Frank 表示：“我们希望确保如果有人跨过我们的保护，我们能迅速检测并将其从网络中根除。”在高等教育中，有时可能需要几个月的时间才会意识到攻击者已渗透系统。他表示：“即使系统真的泄露，我们也不希望这种情况发生。”

“快速检测对我们很重要，但事后也同样重要。”Frank 指出，“希望能够回放以准确标识发生的事件，以及哪些系统受到影响，在事件发生后重建系统，并在泄露事件发生后重新保护网络。”

Mohawk 开始寻找行业领先的检测平台。当时，该机构已在与 IBM 合作开发其网络安全课程，将 QRadar 解决方案等 SIEM 工具包括在内。正是考虑到这种协同作用，Frank 及其同事开始为该学院探索 SIEM 解决方案。

Frank 概述了学院的标准：“我们想要一款易于使用、用户无需大量培训即可通过数据策应和搜索的工具，既能查看事件日志，又能进行网络流量分析。”该学院需要一种工具，该工具不仅可以存储搜索信息，还可标识事件并划分其优先级，并提供应用 AI 以更快调查泄露事件的选项。

QRadar 很快在 Mohawk 调查的解决方案中名列前茅。该工具从所有工具中脱颖而出，因为 Gartner 在其 SIEM 魔力象限报告中将该工具评为 SIEM 领导者。该工具在公共云提供商中享有良好的声誉，并获得其他高等教育机构的强烈推荐。

即使拥有最好的网络安全保护系统，一些威胁也能穿过防护。而且，如果安全团队无法发现威胁，就无法做出响应。现在，实施 QRadar 后，Mohawk 可以快速发现并响应网络安全泄露事件。

“一切都归功于能见度，”Frank 表示。“能够发现网络上正在发生的事情，能够发现不同的机器是如何相互连接和通信的。这需要创建警报，以便能够查看网络中是否存在需要调查的潜在泄露事件。QRadar 可提供过往未拥有的一层能见度。”

Frank 将监督 Mohawk 安全系统的过往复杂性与当前借助 QRadar 仪表板查看该系统的简单性进行对比。“想象一下，在大型组织中，您可以拥有许多不同的安全工具和设备，”他表示。“从端点上的反恶意软件到数据中心，再到防火墙（组织外部，以及内部不同位置），以及入侵防御传感器等。”以前，这些元素都拥有独属界面，他的安全团队必须单独登录才能查看可能的威胁。而且每个元素都盘根错节，分布在不同的部门、园区和位置。

“现在，QRadar 将所有这些数据汲取到透明窗格中供我们查看，”Frank 表示。“然后，这些解决方案中出现的所有警报、警告和潜在威胁实际上都通过基于风险的方法划分优先级，供我们开展调查。因此，这确实有助于快速筛选信息，并确保我们专注于那些最重要的风险或威胁。”

Mohawk 还采用 QRadar Data Store 提供集中式日志管理，提高了该学院的支付卡行业数据安全标准 (PCI DSS) 合规性。Frank 认为，集中式日志还有助于运营团队。“当我们在数据中心排除与安全无关的问题时，运营团队现在能够深入发掘细节，”他表示。“他们可以搜索以快速查找所需信息，而不必手动进入每台计算机并尝试手动查看日志。我认为这加快了普通基础架构团队将要面临的许多挑战。”

Frank 很高兴学院选择与 GlassHouse 这样的 IBM 业务合作伙伴合作，并对 GlassHouse 团队表示赞赏：“他们不仅在 QRadar 周围拥有非常高素质、技术含量高、知识渊博的员工，而且总体上还具备网络安全性。给我们留下了深刻的印象。”

反过来，GlassHouse 的 Jeff Wilson 解释了为什么与 Mohawk 保持密切关系会带来成功。“就集成到 QRadar 而言，在 Mohawk 的环境中，不存在什么困难，”他表示。“在安全性方面，与客户进行紧密而有效的互动，例如了解其流程、基础架构和软件环境，以及最关键数据的存储位置，这些对于提供安全性和寻找修补现有漏洞的方法非常重要。因此，我认为 GlassHouse 这类中型公司与 Mohawk 这类中型客户非常契合，才能携手实现这种成功。”

此次合作之所以取得成功，还要归功于大学理事会的支持以及已从 QRadar 解决方案中受益的其他部门（例如运营和基础架构团队）的支持。“他们了解该工具是什么、其工作方式，并发现工具本身如何让特有部门受益，”Frank 表示。“我认为这是一个关键的成功因素，也让所有人都能参与进来，在学院内部寻找正确的解决方案。”

该学院通过提供包括 SIEM 在内的网络安全课程，在幕后安全部门与学术计划之间建立协同作用。最终，该学员对 QRadar 平台的使用可能会成为一种招聘工具，因为希望在网络安全等高需求领域培养技能的学生会发现，该学院正在通过实施最先进的 SIEM 解决方案来实践教学内容。

Mohawk（链接位于 ibm.com 外部）成立于 1966 年 ，位于加拿大安大略省汉密尔顿，其自身定位为以创新文化而闻名的高等教育目的地。Mohawk College 的使命是教育和培养高技能的毕业生，助力其取得成功并为社区做出贡献。Mohawk College 已为超过 32,500 名全日制学生、半工半读制学生、学徒制学生和国际学生提供教育，拥有约 1,000 名教师。旗下有三个主要园区：Fennell、Stoney Creek 以及 McMaster University 的 Mohawk-McMaster 应用健康科学研究所。

IBM 业务合作伙伴 GlassHouse（链接位于 ibm.com 外部）于 1993 年在加拿大多伦多成立，一直在帮助私营和公共部门的客户降低 IT 环境的复杂性和运营成本。该公司在云端、托管服务、企业安全、基础架构等方面拥有专业知识，并提供解决方案。该公司的加拿大总部位于多伦多，美国总部位于伊利诺伊州莱尔，拥有约 80 名员工。