隨著信息化建設(shè)的開(kāi)展，用戶(hù)網(wǎng)絡(luò)的網(wǎng)絡(luò)資產(chǎn)越來(lái)越繁雜，迫切需要智能主動(dòng)發(fā)現(xiàn)、導(dǎo)入或創(chuàng)建的方式來(lái)識(shí)別和梳理目標(biāo)網(wǎng)絡(luò)中要被防護(hù)的資產(chǎn)及業(yè)務(wù)對(duì)象。同時(shí)習(xí)總書(shū)記419講話、國(guó)家網(wǎng)絡(luò)安全法、國(guó)家十三五信息化規(guī)劃，明確提出需要全天候全方位感知網(wǎng)絡(luò)安全態(tài)勢(shì)，感知網(wǎng)絡(luò)安全態(tài)勢(shì)是最基本最基礎(chǔ)的工作，各行業(yè)都在積極響應(yīng)國(guó)家政策的號(hào)召，構(gòu)建態(tài)勢(shì)感知系統(tǒng)以應(yīng)對(duì)目前面臨的嚴(yán)峻挑戰(zhàn)。摸清家底、認(rèn)清風(fēng)險(xiǎn)、找出漏洞、通報(bào)整改、情報(bào)共享五個(gè)方面是態(tài)勢(shì)感知系統(tǒng)核心需要解決的問(wèn)題。 態(tài)勢(shì)平臺(tái)是基于大數(shù)據(jù)技術(shù)、機(jī)器學(xué)習(xí)和關(guān)聯(lián)分析為基礎(chǔ)開(kāi)發(fā)的一套解決復(fù)雜企業(yè)信息安全難題的系統(tǒng)解決方案，內(nèi)嵌安全信息統(tǒng)一管理（SIEM) 的日志分析功能，采用主動(dòng)的智能分析方法，提供一站式實(shí)時(shí)安全態(tài)勢(shì)監(jiān)控、快速響應(yīng)、風(fēng)險(xiǎn)預(yù)測(cè)、系統(tǒng)改進(jìn)，持續(xù)提升安全防御能力，具有經(jīng)歷越多攻擊越強(qiáng)大的可自我進(jìn)化功能。 |
| 功能特點(diǎn) |
全局安全可視：通過(guò)全流量分析、多維度的有效數(shù)據(jù)采集和智能分析能力，實(shí)時(shí)監(jiān)控全網(wǎng)的安全態(tài)勢(shì)、內(nèi)部橫向威脅態(tài)勢(shì)、業(yè)務(wù)外連風(fēng)險(xiǎn)和服務(wù)器風(fēng)險(xiǎn)漏洞等，讓管理員可以清楚的感知全網(wǎng)是否安全、哪里不安全、具體薄弱點(diǎn)、攻擊入口點(diǎn)等，圍繞攻擊鏈（kill-chain）來(lái)形成一套基于“事前檢查、事中分析、事后檢測(cè)”的安全能力，看清全網(wǎng)威脅，從而輔助決策。 大數(shù)據(jù)分析、檢索能力：態(tài)勢(shì)感知平臺(tái)基于大數(shù)據(jù)框架，結(jié)合ES引擎進(jìn)行設(shè)計(jì)，產(chǎn)品默認(rèn)具備TB級(jí)別的海量數(shù)據(jù)存儲(chǔ)、關(guān)聯(lián)分析能力，并可通過(guò)集群等方式進(jìn)行擴(kuò)充。同時(shí)，應(yīng)用數(shù)據(jù)分析團(tuán)隊(duì)在大數(shù)據(jù)性能優(yōu)化方向多年的研發(fā)能力積累，讓?xiě)B(tài)勢(shì)感知平臺(tái)具備萬(wàn)億級(jí)數(shù)據(jù)的超大規(guī)模數(shù)據(jù)管理和秒級(jí)查詢(xún)能力。 智能分析能力，應(yīng)對(duì)未知威脅：隨著黑客的技術(shù)發(fā)展以及變種、逃逸技術(shù)的不斷改進(jìn)，傳統(tǒng)安全設(shè)備的靜態(tài)規(guī)則防御手段已經(jīng)捉襟見(jiàn)肘，依靠規(guī)則僅能防御小部分已知威脅，已無(wú)法檢測(cè)最新攻擊、未知威脅。安全平臺(tái)具備智能分析技術(shù)，利用機(jī)器學(xué)習(xí)、關(guān)聯(lián)分析、EBA等新技術(shù)，能夠檢測(cè)APT攻擊、網(wǎng)絡(luò)內(nèi)部的潛伏威脅等高級(jí)威脅，無(wú)需更新檢測(cè)規(guī)則亦能發(fā)現(xiàn)最新威脅。 實(shí)時(shí)監(jiān)測(cè)，精準(zhǔn)預(yù)警：態(tài)勢(shì)感知平臺(tái)通過(guò)對(duì)全網(wǎng)流量、主機(jī)日志和第三方日志的采集分析，實(shí)現(xiàn)對(duì)已知威脅（僵木蠕毒、異常流量、業(yè)務(wù)漏洞等）和未知威脅（網(wǎng)絡(luò)僵尸、APT、0day漏洞等）的全天候?qū)崟r(shí)監(jiān)測(cè)，同時(shí)結(jié)合智能分析和可人工干預(yù)的便捷運(yùn)營(yíng)支撐，對(duì)已發(fā)現(xiàn)的威脅進(jìn)行精準(zhǔn)化預(yù)警，簡(jiǎn)化運(yùn)維，有效通報(bào)預(yù)警。 高效協(xié)同響應(yīng)，阻斷風(fēng)險(xiǎn)擴(kuò)散，輔助閉環(huán)：態(tài)勢(shì)感知平臺(tái)可聯(lián)動(dòng)捷普自有安全設(shè)備體系作為基礎(chǔ)組件，不僅作為安全數(shù)據(jù)采集，當(dāng)發(fā)生重要安全事件或風(fēng)險(xiǎn)在內(nèi)部傳播時(shí)，亦可通過(guò)聯(lián)動(dòng)進(jìn)行阻斷、控制，避免影響擴(kuò)大。聯(lián)動(dòng)方式涉及到網(wǎng)絡(luò)阻斷，可有效輔助管理員進(jìn)行問(wèn)題閉環(huán)。 威脅舉證與影響面評(píng)估：傳統(tǒng)的安全分析主要以日志為核心，以IP為分析源，難以實(shí)現(xiàn)詳細(xì)的事件級(jí)舉證呈現(xiàn)，無(wú)法全面的了解受損情況。 態(tài)勢(shì)感知平臺(tái)通過(guò)自動(dòng)化的將IP以資產(chǎn)類(lèi)型進(jìn)行劃分，區(qū)分業(yè)務(wù)安全、終端安全維度來(lái)展示不同類(lèi)型的受損情況，迎合運(yùn)維人員對(duì)業(yè)務(wù)資產(chǎn)的側(cè)重點(diǎn)。結(jié)合詳細(xì)的攻擊內(nèi)容舉證、多維度潛伏威脅、基于流量可視的潛在危害分析，可清晰直觀看清威脅影響面，評(píng)估受損情況。 追蹤溯源支撐：做好追蹤溯源的本質(zhì)在于有效數(shù)據(jù)提取。態(tài)勢(shì)感知平臺(tái)基于全流量和第三方日志（中間件、操作系統(tǒng)、安全設(shè)備等）的有效數(shù)據(jù)提取能力，實(shí)時(shí)提取有助于威脅分析和追蹤溯源的關(guān)鍵元數(shù)據(jù)，結(jié)合TB級(jí)別的超大存儲(chǔ)空間及集群部署能力，可存儲(chǔ)至少1年以上的元數(shù)據(jù)。同時(shí)，利用可視化技術(shù)形成以流量可視、潛在危害分析、威脅攻擊鏈可視、統(tǒng)一檢索及大數(shù)據(jù)能力等技術(shù)為主的追蹤溯源支撐體系，為安全專(zhuān)家的溯源分析提供有力支撐。 |
| 技術(shù)優(yōu)勢(shì) |
EBA行為畫(huà)像：EBA（實(shí)體行為分析），屬于目前在安全業(yè)界新興的分析技術(shù)，其旨在基于用戶(hù)或?qū)嶓w的行為分析，來(lái)發(fā)現(xiàn)可能存在的異常。EBA可識(shí)別不同類(lèi)型的異常用戶(hù)行為，這些異常用戶(hù)行為可被視作威脅及入侵指標(biāo)，包括分析異常行為、發(fā)現(xiàn)內(nèi)鬼等。 追蹤溯源可視化：態(tài)勢(shì)感知平臺(tái)創(chuàng)新性的將網(wǎng)絡(luò)流量訪問(wèn)進(jìn)行可視，同時(shí)形成“基于正常（未檢測(cè)到問(wèn)題）發(fā)現(xiàn)異?！钡淖粉櫵菰此悸?。以采集全流量NETFLOW，并結(jié)合幾十種協(xié)議的深度解析和元數(shù)據(jù)采集、存儲(chǔ)、關(guān)聯(lián)分析，形成了一套可視化工具，結(jié)合伴隨的追溯指引讓安全分析人員可快速進(jìn)行追蹤溯源，還可結(jié)合業(yè)務(wù)相關(guān)差異實(shí)現(xiàn)從“正?！卑l(fā)現(xiàn)異常的行為。 ①流量可視
|
②威脅追捕
③統(tǒng)一檢索 為快速檢索具體IOC匹配情報(bào)的相關(guān)數(shù)據(jù)，態(tài)勢(shì)感知平臺(tái)提供了威脅追捕的統(tǒng)一檢索入口，參考kibana框架實(shí)現(xiàn)對(duì)所有安全日志、第三方日志和流量元數(shù)據(jù)的統(tǒng)一檢索引擎，細(xì)化到每個(gè)日志字段的關(guān)聯(lián)查詢(xún)和多個(gè)正則條件的組合查詢(xún)，并提供億萬(wàn)級(jí)日志的秒級(jí)查詢(xún)性能，便于快速溯源分析 機(jī)器學(xué)習(xí)技術(shù)使用：傳統(tǒng)的規(guī)則檢測(cè)技術(shù)無(wú)法應(yīng)對(duì)最新威脅，通過(guò)機(jī)器學(xué)習(xí)不斷構(gòu)建的檢測(cè)模型可適用于發(fā)現(xiàn)未知威脅和可疑行為，提升檢出率，避免規(guī)則庫(kù)依賴(lài)。 態(tài)勢(shì)感知平臺(tái)將機(jī)器學(xué)習(xí)技術(shù)應(yīng)用到整個(gè)攻擊鏈的每個(gè)過(guò)程中，為威脅溯源/追捕、攻擊路徑可視、安全可視提供基礎(chǔ)。 威脅深度分析：態(tài)勢(shì)感知平臺(tái)針對(duì)攻擊日志進(jìn)行深度挖掘分析，通過(guò)內(nèi)置關(guān)聯(lián)分析模型將億級(jí)日志進(jìn)行事件化，減少大量冗余的無(wú)效告警。區(qū)別于傳統(tǒng)的歸并方式，態(tài)勢(shì)感知平臺(tái)的攻擊事件化是針對(duì)相似攻擊意圖進(jìn)行關(guān)聯(lián)，用于挖掘針對(duì)性的攻擊，并結(jié)合攻擊事件給出相應(yīng)的處置建議，形成攻擊閉環(huán)。 威脅情報(bào)結(jié)合：態(tài)勢(shì)感知平臺(tái)通過(guò)從威脅情報(bào)中心獲取可機(jī)讀的威脅情報(bào)，結(jié)合本地智能分析引擎，對(duì)本地網(wǎng)絡(luò)中采集的流量元數(shù)據(jù)進(jìn)行實(shí)時(shí)分析比對(duì)，發(fā)現(xiàn)已知威脅及可疑連接行為，增加智能分析技術(shù)的準(zhǔn)確性和檢出率。 |
| 典型部署 |
態(tài)勢(shì)感知平臺(tái)一般部署到管理區(qū)，作為管理平臺(tái)展示（需要接入交換機(jī)，以便管理和展示）。 潛伏威脅探針通過(guò)旁路到交換機(jī)上，接收交換機(jī)的鏡像流量進(jìn)行采集、檢測(cè)，并將結(jié)果通過(guò)網(wǎng)絡(luò)鏈路傳給平臺(tái)進(jìn)行綜合分析。 1、流量監(jiān)測(cè) 通過(guò)態(tài)勢(shì)感知平臺(tái)及其基礎(chǔ)組件（潛伏威脅探針）即可形成基于流量的實(shí)時(shí)監(jiān)測(cè)體系，基于NTA形式實(shí)現(xiàn)對(duì)已知/未知威脅的持續(xù)檢測(cè)與預(yù)警。
|
2、安全運(yùn)營(yíng)中心 態(tài)勢(shì)感知平臺(tái)以安全大腦為設(shè)計(jì)理念，旨在建設(shè)安全運(yùn)營(yíng)中心。除了用于接收來(lái)自各區(qū)域部署的潛伏威脅探針的流程采集數(shù)據(jù)外，還可以接入以下數(shù)據(jù)（如下圖所示）
3、作為第三方SOC/SIEM的流量檢測(cè)組件 結(jié)合流量監(jiān)測(cè)的部署場(chǎng)景，針對(duì)已經(jīng)構(gòu)建了SOC/SIEM的捷普態(tài)勢(shì)感知平臺(tái)支持?jǐn)?shù)據(jù)開(kāi)放共享，可通過(guò)syslog及自定義的restful api接口，將平臺(tái)重要的分析結(jié)果、數(shù)據(jù)呈現(xiàn)內(nèi)容等傳輸?shù)降谌狡脚_(tái)，以態(tài)勢(shì)感知平臺(tái)的優(yōu)勢(shì)分析能力作為為第三方SOC/SIEM運(yùn)維平臺(tái)的威脅分析組件或流量采集與分析組件，協(xié)助第三方快速構(gòu)建在安全分析、安全可視上的能力。支持對(duì)多個(gè)第三方平臺(tái)進(jìn)行對(duì)接傳輸。 |
|
||||
Copyright© 重慶秉通精益信息技術(shù)有限公司 | |
渝公網(wǎng)安備 50010702502937號(hào)