隨著信息化建設(shè)的開展，用戶網(wǎng)絡(luò)的網(wǎng)絡(luò)資產(chǎn)越來越繁雜，迫切需要智能主動發(fā)現(xiàn)、導(dǎo)入或創(chuàng)建的方式來識別和梳理目標(biāo)網(wǎng)絡(luò)中要被防護的資產(chǎn)及業(yè)務(wù)對象。同時習(xí)總書記419講話、國家網(wǎng)絡(luò)安全法、國家十三五信息化規(guī)劃，明確提出需要全天候全方位感知網(wǎng)絡(luò)安全態(tài)勢，感知網(wǎng)絡(luò)安全態(tài)勢是最基本最基礎(chǔ)的工作，各行業(yè)都在積極響應(yīng)國家政策的號召，構(gòu)建態(tài)勢感知系統(tǒng)以應(yīng)對目前面臨的嚴(yán)峻挑戰(zhàn)。摸清家底、認(rèn)清風(fēng)險、找出漏洞、通報整改、情報共享五個方面是態(tài)勢感知系統(tǒng)核心需要解決的問題。 態(tài)勢平臺是基于大數(shù)據(jù)技術(shù)、機器學(xué)習(xí)和關(guān)聯(lián)分析為基礎(chǔ)開發(fā)的一套解決復(fù)雜企業(yè)信息安全難題的系統(tǒng)解決方案，內(nèi)嵌安全信息統(tǒng)一管理（SIEM) 的日志分析功能，采用主動的智能分析方法，提供一站式實時安全態(tài)勢監(jiān)控、快速響應(yīng)、風(fēng)險預(yù)測、系統(tǒng)改進，持續(xù)提升安全防御能力，具有經(jīng)歷越多攻擊越強大的可自我進化功能。 |
| 功能特點 |
全局安全可視：通過全流量分析、多維度的有效數(shù)據(jù)采集和智能分析能力，實時監(jiān)控全網(wǎng)的安全態(tài)勢、內(nèi)部橫向威脅態(tài)勢、業(yè)務(wù)外連風(fēng)險和服務(wù)器風(fēng)險漏洞等，讓管理員可以清楚的感知全網(wǎng)是否安全、哪里不安全、具體薄弱點、攻擊入口點等，圍繞攻擊鏈（kill-chain）來形成一套基于“事前檢查、事中分析、事后檢測”的安全能力，看清全網(wǎng)威脅，從而輔助決策。 大數(shù)據(jù)分析、檢索能力：態(tài)勢感知平臺基于大數(shù)據(jù)框架，結(jié)合ES引擎進行設(shè)計，產(chǎn)品默認(rèn)具備TB級別的海量數(shù)據(jù)存儲、關(guān)聯(lián)分析能力，并可通過集群等方式進行擴充。同時，應(yīng)用數(shù)據(jù)分析團隊在大數(shù)據(jù)性能優(yōu)化方向多年的研發(fā)能力積累，讓態(tài)勢感知平臺具備萬億級數(shù)據(jù)的超大規(guī)模數(shù)據(jù)管理和秒級查詢能力。 智能分析能力，應(yīng)對未知威脅：隨著黑客的技術(shù)發(fā)展以及變種、逃逸技術(shù)的不斷改進，傳統(tǒng)安全設(shè)備的靜態(tài)規(guī)則防御手段已經(jīng)捉襟見肘，依靠規(guī)則僅能防御小部分已知威脅，已無法檢測最新攻擊、未知威脅。安全平臺具備智能分析技術(shù)，利用機器學(xué)習(xí)、關(guān)聯(lián)分析、EBA等新技術(shù)，能夠檢測APT攻擊、網(wǎng)絡(luò)內(nèi)部的潛伏威脅等高級威脅，無需更新檢測規(guī)則亦能發(fā)現(xiàn)最新威脅。 實時監(jiān)測，精準(zhǔn)預(yù)警：態(tài)勢感知平臺通過對全網(wǎng)流量、主機日志和第三方日志的采集分析，實現(xiàn)對已知威脅（僵木蠕毒、異常流量、業(yè)務(wù)漏洞等）和未知威脅（網(wǎng)絡(luò)僵尸、APT、0day漏洞等）的全天候?qū)崟r監(jiān)測，同時結(jié)合智能分析和可人工干預(yù)的便捷運營支撐，對已發(fā)現(xiàn)的威脅進行精準(zhǔn)化預(yù)警，簡化運維，有效通報預(yù)警。 高效協(xié)同響應(yīng)，阻斷風(fēng)險擴散，輔助閉環(huán)：態(tài)勢感知平臺可聯(lián)動捷普自有安全設(shè)備體系作為基礎(chǔ)組件，不僅作為安全數(shù)據(jù)采集，當(dāng)發(fā)生重要安全事件或風(fēng)險在內(nèi)部傳播時，亦可通過聯(lián)動進行阻斷、控制，避免影響擴大。聯(lián)動方式涉及到網(wǎng)絡(luò)阻斷，可有效輔助管理員進行問題閉環(huán)。 威脅舉證與影響面評估：傳統(tǒng)的安全分析主要以日志為核心，以IP為分析源，難以實現(xiàn)詳細的事件級舉證呈現(xiàn)，無法全面的了解受損情況。 態(tài)勢感知平臺通過自動化的將IP以資產(chǎn)類型進行劃分，區(qū)分業(yè)務(wù)安全、終端安全維度來展示不同類型的受損情況，迎合運維人員對業(yè)務(wù)資產(chǎn)的側(cè)重點。結(jié)合詳細的攻擊內(nèi)容舉證、多維度潛伏威脅、基于流量可視的潛在危害分析，可清晰直觀看清威脅影響面，評估受損情況。 追蹤溯源支撐：做好追蹤溯源的本質(zhì)在于有效數(shù)據(jù)提取。態(tài)勢感知平臺基于全流量和第三方日志（中間件、操作系統(tǒng)、安全設(shè)備等）的有效數(shù)據(jù)提取能力，實時提取有助于威脅分析和追蹤溯源的關(guān)鍵元數(shù)據(jù)，結(jié)合TB級別的超大存儲空間及集群部署能力，可存儲至少1年以上的元數(shù)據(jù)。同時，利用可視化技術(shù)形成以流量可視、潛在危害分析、威脅攻擊鏈可視、統(tǒng)一檢索及大數(shù)據(jù)能力等技術(shù)為主的追蹤溯源支撐體系，為安全專家的溯源分析提供有力支撐。 |
| 技術(shù)優(yōu)勢 |
EBA行為畫像：EBA（實體行為分析），屬于目前在安全業(yè)界新興的分析技術(shù)，其旨在基于用戶或?qū)嶓w的行為分析，來發(fā)現(xiàn)可能存在的異常。EBA可識別不同類型的異常用戶行為，這些異常用戶行為可被視作威脅及入侵指標(biāo)，包括分析異常行為、發(fā)現(xiàn)內(nèi)鬼等。 追蹤溯源可視化：態(tài)勢感知平臺創(chuàng)新性的將網(wǎng)絡(luò)流量訪問進行可視，同時形成“基于正常（未檢測到問題）發(fā)現(xiàn)異常”的追蹤溯源思路。以采集全流量NETFLOW，并結(jié)合幾十種協(xié)議的深度解析和元數(shù)據(jù)采集、存儲、關(guān)聯(lián)分析，形成了一套可視化工具，結(jié)合伴隨的追溯指引讓安全分析人員可快速進行追蹤溯源，還可結(jié)合業(yè)務(wù)相關(guān)差異實現(xiàn)從“正?！卑l(fā)現(xiàn)異常的行為。 ①流量可視
|
②威脅追捕
③統(tǒng)一檢索 為快速檢索具體IOC匹配情報的相關(guān)數(shù)據(jù)，態(tài)勢感知平臺提供了威脅追捕的統(tǒng)一檢索入口，參考kibana框架實現(xiàn)對所有安全日志、第三方日志和流量元數(shù)據(jù)的統(tǒng)一檢索引擎，細化到每個日志字段的關(guān)聯(lián)查詢和多個正則條件的組合查詢，并提供億萬級日志的秒級查詢性能，便于快速溯源分析 機器學(xué)習(xí)技術(shù)使用：傳統(tǒng)的規(guī)則檢測技術(shù)無法應(yīng)對最新威脅，通過機器學(xué)習(xí)不斷構(gòu)建的檢測模型可適用于發(fā)現(xiàn)未知威脅和可疑行為，提升檢出率，避免規(guī)則庫依賴。 態(tài)勢感知平臺將機器學(xué)習(xí)技術(shù)應(yīng)用到整個攻擊鏈的每個過程中，為威脅溯源/追捕、攻擊路徑可視、安全可視提供基礎(chǔ)。 威脅深度分析：態(tài)勢感知平臺針對攻擊日志進行深度挖掘分析，通過內(nèi)置關(guān)聯(lián)分析模型將億級日志進行事件化，減少大量冗余的無效告警。區(qū)別于傳統(tǒng)的歸并方式，態(tài)勢感知平臺的攻擊事件化是針對相似攻擊意圖進行關(guān)聯(lián)，用于挖掘針對性的攻擊，并結(jié)合攻擊事件給出相應(yīng)的處置建議，形成攻擊閉環(huán)。 威脅情報結(jié)合：態(tài)勢感知平臺通過從威脅情報中心獲取可機讀的威脅情報，結(jié)合本地智能分析引擎，對本地網(wǎng)絡(luò)中采集的流量元數(shù)據(jù)進行實時分析比對，發(fā)現(xiàn)已知威脅及可疑連接行為，增加智能分析技術(shù)的準(zhǔn)確性和檢出率。 |
| 典型部署 |
態(tài)勢感知平臺一般部署到管理區(qū)，作為管理平臺展示（需要接入交換機，以便管理和展示）。 潛伏威脅探針通過旁路到交換機上，接收交換機的鏡像流量進行采集、檢測，并將結(jié)果通過網(wǎng)絡(luò)鏈路傳給平臺進行綜合分析。 1、流量監(jiān)測 通過態(tài)勢感知平臺及其基礎(chǔ)組件（潛伏威脅探針）即可形成基于流量的實時監(jiān)測體系，基于NTA形式實現(xiàn)對已知/未知威脅的持續(xù)檢測與預(yù)警。
|
2、安全運營中心 態(tài)勢感知平臺以安全大腦為設(shè)計理念，旨在建設(shè)安全運營中心。除了用于接收來自各區(qū)域部署的潛伏威脅探針的流程采集數(shù)據(jù)外，還可以接入以下數(shù)據(jù)（如下圖所示）
3、作為第三方SOC/SIEM的流量檢測組件 結(jié)合流量監(jiān)測的部署場景，針對已經(jīng)構(gòu)建了SOC/SIEM的捷普態(tài)勢感知平臺支持?jǐn)?shù)據(jù)開放共享，可通過syslog及自定義的restful api接口，將平臺重要的分析結(jié)果、數(shù)據(jù)呈現(xiàn)內(nèi)容等傳輸?shù)降谌狡脚_，以態(tài)勢感知平臺的優(yōu)勢分析能力作為為第三方SOC/SIEM運維平臺的威脅分析組件或流量采集與分析組件，協(xié)助第三方快速構(gòu)建在安全分析、安全可視上的能力。支持對多個第三方平臺進行對接傳輸。 |
|
||||
Copyright© 重慶秉通精益信息技術(shù)有限公司 | |
渝公網(wǎng)安備 50010702502937號