企業(yè)高級威脅檢測防護解決方案

1. 高級持續性威脅愈演愈烈

企業(yè)和組織機構的內網(wǎng)安全，既關(guān)系到自身增值業(yè)務(wù)的高效運營(yíng)，也關(guān)系到其基礎網(wǎng)絡(luò )和日常辦公的正常開(kāi)展。隨著(zhù)近幾年國家對網(wǎng)絡(luò )安全的重視程度在逐步提高，尤其是等級保護的強力推行，多數的企業(yè)和組織機構都部署了防火墻、IPS和防病毒軟件等常規的安全設備或軟件系統。然而，信息技術(shù)的飛速發(fā)展也讓黑客的攻擊手段變得更加高明，針對計算機和網(wǎng)絡(luò )系統的攻擊行為也在持續進(jìn)化，層出不窮的新型高級惡意威脅仍然能夠輕易穿透這種基礎的網(wǎng)絡(luò )安全防護網(wǎng)，直達企業(yè)內部核心資產(chǎn)。此類(lèi)攻擊手段復雜、潛伏時(shí)間較長(cháng)、檢測難度很大，業(yè)界統稱(chēng)為APT（Advanced Persistent Threat，高級持續性威脅）。一次成功的 APT攻擊，輕則造成公司核心商業(yè)機密泄漏，重則導致金融、能源、交通等涉及國計民生的行業(yè)陷入癱瘓。

2. 缺乏專(zhuān)崗安全運營(yíng)人員

隨著(zhù)網(wǎng)絡(luò )信息化的持續完善，企業(yè)信息系統的規模逐漸變大，網(wǎng)絡(luò )中每天都在發(fā)生的安全威脅事件也在持續增加，安全告警數據量每日成千上萬(wàn)已是常態(tài)?，F實(shí)情況下只有較少的大型企業(yè)、政府機構或其他組織機構才會(huì )配備專(zhuān)業(yè)的網(wǎng)絡(luò )安全部門(mén)或個(gè)人，很多體量較小的企事業(yè)機構可能都不會(huì )有專(zhuān)職的安全運營(yíng)人員，而且人員的專(zhuān)業(yè)技能更新往往也跟不上安全技術(shù)的快速發(fā)展。這種情況已經(jīng)嚴重影響了企業(yè)網(wǎng)絡(luò )安全事件檢測、分析與處置的效率，無(wú)法保證高效的安全運營(yíng)體系建設和管理。

3. 安全事件分析需要專(zhuān)業(yè)的技術(shù)手段

在日常安全監控、安全應急響應、攻防演練支撐、兩會(huì )重保、安全攻防演練等場(chǎng)景下，僅僅有人還不夠，必須要有一套專(zhuān)業(yè)的安全事件分析工具或專(zhuān)業(yè)的網(wǎng)絡(luò )安全產(chǎn)品來(lái)做支撐，提供基于流量的深度協(xié)議分析和基于文件的深度威脅檢測功能，同時(shí)要具備較強的流量處理性能、較高的準確率和較低的誤報率，能夠提供自動(dòng)或半自動(dòng)的檢測分析手段，允許用戶(hù)在一定程度上自定義分析流程或自定義檢測規則，能夠展示詳細的檢測結果和證據，有一套內容豐富的可視化呈現界面，方便投到大屏顯示設備，等等。

1、系統架構

國舜高級持續性威脅預警系統架構如圖所示，監聽(tīng)口接收鏡像/分光流量，通過(guò)流量采集引擎對數據包進(jìn)行快速處理以及硬件資源調度。通過(guò)篩選引擎過(guò)濾不關(guān)注的數據，將過(guò)濾后的數據進(jìn)行二次處理，分別進(jìn)行特征檢測、元數據提取、文件提取、流量存儲處理等。通過(guò)特征檢測引擎檢測基于特征的已知攻擊，通過(guò)元數據、文件提取實(shí)現檢測數據預處理，通過(guò)流量存儲實(shí)現數據留存取證。之后通過(guò)中間件將元數據和事件進(jìn)行泛化處理，將處理后的數據提交至AI檢測引擎、異常行為檢測引擎、文件檢測引擎、威脅情報檢測引擎、（Yara/JA3/SSL）檢測引擎，結合關(guān)聯(lián)引擎進(jìn)行集中檢測，最后將檢測結果以日志/告警形式輸出，并以大屏的方式展現。

2、部署方案

國舜高級持續性威脅預警系統通過(guò)分光或鏡像網(wǎng)絡(luò )流量的方式，旁路部署在單位網(wǎng)絡(luò )進(jìn)出口處，對流經(jīng)的網(wǎng)絡(luò )流量進(jìn)行監測，實(shí)時(shí)告警，發(fā)現潛在的高級威脅。系統部署方式如圖所示：

國舜高級持續性威脅預警系統通過(guò)持續監測網(wǎng)絡(luò )流量、分析安全威脅，能夠幫助用戶(hù)實(shí)時(shí)了解自身網(wǎng)絡(luò )的安全運行態(tài)勢，發(fā)現潛在的惡意行為，找出受攻擊的辦公電腦，發(fā)現已知威脅變種、未知威脅和惡意加密傳輸的流量，讓網(wǎng)絡(luò )安全隱患無(wú)處遁形。

1.豐富

國舜高級持續性威脅預警系統內置多種檢測引擎，覆蓋已知威脅檢測和未知威脅檢測、流量威脅檢測和文件威脅檢測、靜態(tài)威脅檢測和動(dòng)態(tài)威脅檢測，既可檢測實(shí)時(shí)流量，也能回放歷史報文，還可對接其他文件來(lái)源，多種檢測技術(shù)能夠完整覆蓋APT攻擊的整個(gè)攻擊鏈，在不同的階段可以使用不同的檢測技術(shù)來(lái)有效應對。

2.專(zhuān)業(yè)

系統集成了多個(gè)AV檢測引擎，能夠保證文件檢出率；集成十幾種人工智能檢測技術(shù)，包括文件基因圖譜檢測、惡意加密流量檢測、暗網(wǎng)（Tor）通信檢測、ShadowSocks通信檢測、隱蔽隧道檢測（ICMP、HTTP、DNS）、DGA域名檢測、web攻擊檢測等，有效克服傳統安全檢測技術(shù)難以企及的諸多領(lǐng)域難題。

3.靈活

系統提供了豐富的自定義功能，可以在界面上靈活開(kāi)啟和關(guān)閉各種檢測開(kāi)關(guān)，可以自定義系統模式，自定義沙箱運行種類(lèi)、數量和檢測參數；可以自定義各類(lèi)檢測策略和引擎規則，比如文件類(lèi)型、IP信譽(yù)、文件白名單、流量白名單等；針對加密https協(xié)議，系統可以通過(guò)自定義網(wǎng)站和私鑰對的方式來(lái)解密流量；針對網(wǎng)絡(luò )異常行為和郵件異常行為，系統可以通過(guò)自定義規則來(lái)靈活匹配和告警，等等。

4.高效

系統提供了多種可視化分析面板，將客戶(hù)日常運營(yíng)中各類(lèi)常見(jiàn)的高頻關(guān)注事件分別進(jìn)行多維度可視化展示。同時(shí)，針對攻防演練和重保等重點(diǎn)應用場(chǎng)景，系統提供了一站式工作臺，預置十幾種快速查詢(xún)條件，提供豐富的事件搜索、關(guān)聯(lián)查詢(xún)和元數據追溯等功能。配合國舜安全運營(yíng)平臺和大數據分析系統，有效提升安全事件分析和溯源取證的效率。

1.持續監控網(wǎng)絡(luò )攻擊，時(shí)刻把握安全態(tài)勢 國舜高級持續性威脅預警系統部署在網(wǎng)絡(luò )出入口處，能夠持續監控網(wǎng)絡(luò )流量，利用各類(lèi)檢測引擎實(shí)時(shí)監控內外部網(wǎng)絡(luò )攻擊，幫助安全運營(yíng)人員時(shí)刻把握網(wǎng)絡(luò )安全態(tài)勢。 2.多元檢測高級威脅，及時(shí)修補安全隱患 利用沙箱技術(shù)和人工智能檢測技術(shù)全面檢測各種高級威脅，可以及時(shí)發(fā)現自身網(wǎng)絡(luò )中各類(lèi)信息系統存在的網(wǎng)絡(luò )安全隱患，提醒用戶(hù)修補漏洞加固系統。 3.深入洞察安全事件，高效追溯攻擊來(lái)源 系統提供的各類(lèi)可視化分析面板，能夠協(xié)助用戶(hù)深入洞察各類(lèi)網(wǎng)絡(luò )安全事件，同時(shí)，利用系統內置的關(guān)聯(lián)分析和深入鉆取等功能，可以高效追溯攻擊來(lái)源。 4.有效滿(mǎn)足監管要求，助力合法合規建設 系統留存了詳實(shí)的網(wǎng)絡(luò )流量數據和文件樣本數據，在等保合規建設中能夠有效滿(mǎn)足日志審計和網(wǎng)絡(luò )行為分析等各類(lèi)監管要求，助力單位實(shí)現合法合規建設。