方案背景
網(wǎng)絡(luò)安全形勢(shì)日益嚴(yán)峻，面對(duì)海量的威脅事件和更高的安全需求，傳統(tǒng)的解決方案已無(wú)法完全覆蓋安全態(tài)勢(shì)分析和統(tǒng)一管理的要求，必須要結(jié)合多維大數(shù)據(jù)關(guān)聯(lián)分析的技術(shù)手段，建立網(wǎng)絡(luò)安全態(tài)勢(shì)感知平臺(tái)，實(shí)時(shí)檢測(cè)網(wǎng)絡(luò)安全風(fēng)險(xiǎn)和威脅，綜合分析網(wǎng)絡(luò)安全態(tài)勢(shì)，及時(shí)通報(bào)預(yù)警和快速應(yīng)急處置來(lái)應(yīng)對(duì)當(dāng)下的網(wǎng)絡(luò)安全威脅。
◆ 以APT攻擊、勒索病毒為代表的威脅愈發(fā)呈現(xiàn)出組織性強(qiáng)、潛伏期長(zhǎng)、復(fù)合度高的特點(diǎn)，單一的安全檢測(cè)只能發(fā)現(xiàn)某些具體的攻擊類型，難以準(zhǔn)確判斷復(fù)雜的安全事件；
◆ 網(wǎng)絡(luò)安全產(chǎn)品細(xì)分趨勢(shì)明顯，類型繁多，面對(duì)海量的威脅告警和日志記錄，傳統(tǒng)的安全運(yùn)維方式很難做到對(duì)有效信息的全面掌握，管理的技術(shù)瓶頸和運(yùn)維的資源投入帶來(lái)的壓力和矛盾日益凸顯；
◆ 隨著網(wǎng)絡(luò)監(jiān)管的力度不斷加強(qiáng)，針對(duì)漏洞風(fēng)險(xiǎn)的安全通告或者單位內(nèi)部的安全預(yù)警，缺少統(tǒng)一的管控平臺(tái)，很多情況下難以做到安全問(wèn)題的有效跟進(jìn)和閉環(huán)處理。
方案概述
輕量態(tài)勢(shì)感知解決方案集感知、分析、研判和處置于一體，基于可自助選擇和靈活編排的感知系統(tǒng)，分析平臺(tái)可以通過(guò)資產(chǎn)治理模型、漏洞生命周期、入侵攻擊鏈條和安全威脅情報(bào)等多個(gè)維度的安全分析模型對(duì)元數(shù)據(jù)進(jìn)行關(guān)聯(lián)提取，實(shí)現(xiàn)風(fēng)險(xiǎn)預(yù)測(cè)和對(duì)總體風(fēng)險(xiǎn)態(tài)勢(shì)、入侵威脅態(tài)勢(shì)和資產(chǎn)安全態(tài)勢(shì)的全面感知，并結(jié)合通報(bào)預(yù)警和應(yīng)急處置形成閉環(huán)安全指揮體系，適用于態(tài)勢(shì)整體監(jiān)控、等保合規(guī)檢查、風(fēng)險(xiǎn)通報(bào)預(yù)警、行業(yè)數(shù)據(jù)上報(bào)等多種應(yīng)用場(chǎng)景。
◆ 原始事件感知
單一的安全事件無(wú)法描述整體的安全態(tài)勢(shì)，而態(tài)勢(shì)感知方案的基礎(chǔ)是類型豐富、線索詳細(xì)的安全事件，本方案涵蓋了網(wǎng)絡(luò)資產(chǎn)、脆弱性風(fēng)險(xiǎn)、入侵威脅、Web安全和APT威脅等多種類型的原始事件，提供了全面的元數(shù)據(jù)信息。
◆ 安全關(guān)聯(lián)分析
不同的安全視角可以為管理員提供多方面的決策依據(jù)，本方案采用鉆石安全分析理論，將資產(chǎn)治理、脆弱性安全管理、入侵攻擊鏈條和安全威脅情報(bào)等事件類型進(jìn)行有機(jī)整合，分別從用戶視角和攻擊者視角進(jìn)行關(guān)聯(lián)分析，并通過(guò)溯源分析提取原始事件和歷史軌跡，幫助用戶更全面的理解和跟蹤網(wǎng)絡(luò)事件態(tài)勢(shì)，從而實(shí)現(xiàn)合理準(zhǔn)確的研判和處置。
◆ 多維態(tài)勢(shì)監(jiān)控
網(wǎng)絡(luò)安全態(tài)勢(shì)感知的核心目標(biāo)之一是降低安全分析的技術(shù)門檻，簡(jiǎn)化運(yùn)維壓力，因此一方面需要自動(dòng)過(guò)濾噪音數(shù)據(jù)，減少管理資源投入的浪費(fèi)；另一方面需要提供直觀的可視化分析視圖，降低事件監(jiān)控的難度。本方案通過(guò)提供多種形態(tài)的態(tài)勢(shì)監(jiān)控大屏，結(jié)合形象的動(dòng)畫(huà)效果和豐富的統(tǒng)計(jì)圖表，幫助不同角色的管理和運(yùn)維人員從各自關(guān)注的視角進(jìn)行有效的安全監(jiān)控。
方案架構(gòu)
方案整體功能架構(gòu)圍繞各類安全事件的感知采集、提取上報(bào)、關(guān)聯(lián)分析、風(fēng)險(xiǎn)畫(huà)像和態(tài)勢(shì)感知展開(kāi)，并依托多維度的分析引擎進(jìn)行關(guān)聯(lián)分析，最終形成整體態(tài)勢(shì)感知監(jiān)控和安全事件應(yīng)急指揮等核心安全能力。
方案部署
方案由安全感知分析平臺(tái)和各類感知系統(tǒng)組成，分為本地部署和多級(jí)部署兩種典型部署場(chǎng)景。
多級(jí)部署
對(duì)于多級(jí)部署來(lái)說(shuō)，一級(jí)數(shù)據(jù)中心除了需要實(shí)現(xiàn)本部的態(tài)勢(shì)感知體系建設(shè)之外，還需要兼顧各二三級(jí)中心或分支單位的安全事件集中感知分析和通報(bào)處置管理，因此需要通過(guò)專網(wǎng)或互聯(lián)網(wǎng)安全通道建立數(shù)據(jù)連接，形成全局態(tài)勢(shì)感知體系；二級(jí)數(shù)據(jù)中心除了需要向總部上報(bào)各類安全事件之外，還需要對(duì)自身的資產(chǎn)和威脅情況進(jìn)行安全管理。
方案優(yōu)勢(shì)
豐富的元數(shù)據(jù)
本方案包含了資產(chǎn)臺(tái)賬信息、資產(chǎn)脆弱性數(shù)據(jù)、入侵威脅事件、高級(jí)威脅事件和橫向異常行為等多種類型的數(shù)據(jù)，可以提取資產(chǎn)IP、端口、服務(wù)、系統(tǒng)、中間件、安全漏洞、弱口令、Webshell后門、內(nèi)容審計(jì)、惡意訪問(wèn)、非法掃描、僵尸主機(jī)、木馬、蠕蟲(chóng)攻擊、暴力破解、注入、跨站腳本、請(qǐng)求偽造等各種維度的元數(shù)據(jù)，原始信息豐富，研判依據(jù)全面，可以為態(tài)勢(shì)感知提供可靠的數(shù)據(jù)支撐，并且在事件研判時(shí)提供詳細(xì)的依據(jù)線索。
動(dòng)態(tài)的資產(chǎn)視角
本方案通過(guò)資產(chǎn)治理的安全視角，從網(wǎng)絡(luò)資產(chǎn)管理出發(fā)，圍繞資產(chǎn)屬性、管理狀態(tài)、自身安全性和被攻擊風(fēng)險(xiǎn)進(jìn)行關(guān)聯(lián)分析，在入侵監(jiān)控、脆弱性監(jiān)控的基礎(chǔ)上進(jìn)一步補(bǔ)全了事件分析的維度。通過(guò)在線感知、事件學(xué)習(xí)和手動(dòng)梳理相結(jié)合的方式，形成動(dòng)態(tài)更新的資產(chǎn)臺(tái)賬，可以保障資產(chǎn)管理的準(zhǔn)確性和時(shí)效性，從而協(xié)助用戶從業(yè)務(wù)角度梳理安全態(tài)勢(shì)，精準(zhǔn)識(shí)別安全風(fēng)險(xiǎn)，合理執(zhí)行應(yīng)急響應(yīng)。
◆ 準(zhǔn)確的關(guān)聯(lián)分析
本方案通過(guò)不同維度的原始安全事件，有效提升了事件關(guān)聯(lián)分析的準(zhǔn)確性，通過(guò)態(tài)勢(shì)感知方案的整合以及關(guān)聯(lián)分析，可以迅速建立不同類型安全事件之間的聯(lián)系，排除干擾因素，提取有效信息；結(jié)合資產(chǎn)的健康狀態(tài)、遭受威脅的可能性、威脅的破壞程度等信息準(zhǔn)確判斷事件影響程度，并根據(jù)相關(guān)平臺(tái)模塊給出處置建議，以便進(jìn)行下一步通報(bào)和處理。
◆ 詳細(xì)的溯源畫(huà)像
本方案相關(guān)安全組件均具備原始事件深度鉆取和留存的能力，可以針對(duì)某個(gè)安全事件從流量中實(shí)時(shí)提取特征摘要和原始報(bào)文，并通過(guò)對(duì)數(shù)據(jù)包字段的深度解析追溯原始IP信息，同時(shí)結(jié)合安全情報(bào)對(duì)攻擊源進(jìn)行畫(huà)像分析，從而形成詳細(xì)的溯源線索。另外，通過(guò)分析平臺(tái)的大數(shù)據(jù)存儲(chǔ)分析能力，可以保留足夠完整的歷史事件記錄并根據(jù)資產(chǎn)進(jìn)行梳理；并針對(duì)某個(gè)節(jié)點(diǎn)發(fā)生的安全事件進(jìn)行歷史追溯，理清整個(gè)事件的行動(dòng)軌跡，形成完整的證據(jù)鏈。
◆ 閉環(huán)的處置流程
方案整體設(shè)計(jì)思路包含安全事件的態(tài)勢(shì)監(jiān)控、關(guān)聯(lián)分析、事件研判、通報(bào)預(yù)警和應(yīng)急處置等環(huán)節(jié)，覆蓋安全事件從發(fā)現(xiàn)分析到處置跟蹤的完整流程；利用通報(bào)處置功能將安全技術(shù)與管理操作有效結(jié)合起來(lái)，協(xié)助用戶跟進(jìn)事件處置的整個(gè)過(guò)程，不論對(duì)于高風(fēng)險(xiǎn)的入侵事件、高危的漏洞或是非法的行為等事件，都能夠真正意義上地做到安全閉環(huán)處置。
方案價(jià)值
◆ 降低安全管理壓力
輕量態(tài)勢(shì)感知方案通過(guò)感知分析平臺(tái)將安全能力進(jìn)行合理整合，幫助用戶理解安全事件，提取有效信息并給出分析結(jié)果和處置建議。一方面，統(tǒng)一了運(yùn)維視角，減少反復(fù)查看多臺(tái)安全設(shè)備造成的人力浪費(fèi)；另一方面，過(guò)濾了大量噪音事件的干擾，提升整體運(yùn)維管理效率；最后，借助豐富的安全分析模型，幫助用戶更直觀、清晰地理解安全態(tài)勢(shì)，降低了設(shè)備管理的學(xué)習(xí)成本。
◆ 提升安全分析效率
傳統(tǒng)安全產(chǎn)品對(duì)事件的記錄多以日志列表形式呈現(xiàn)，雖然支持部分字段過(guò)濾和條件查詢功能，但總體表現(xiàn)可讀性較差且難以發(fā)現(xiàn)關(guān)鍵問(wèn)題；尤其在同時(shí)運(yùn)維多臺(tái)安全產(chǎn)品時(shí)，監(jiān)控操作更加復(fù)雜。本方案將各類安全產(chǎn)品日志事件進(jìn)行集中統(tǒng)計(jì)，并利用平臺(tái)的安全分析模型進(jìn)行原始日志事件的歸并、過(guò)濾和分類，提供直觀、可視化的分析視角和一鍵處置機(jī)制，極大地簡(jiǎn)化了監(jiān)控復(fù)雜度；同時(shí)，通過(guò)系統(tǒng)預(yù)定義和用戶自定義的事件通報(bào)方法，及時(shí)對(duì)高危事件進(jìn)行預(yù)警，進(jìn)一步提高了安全監(jiān)控的效率。
◆ 簡(jiǎn)化安全處置流程
傳統(tǒng)的安全解決方案，無(wú)論事件分析或者處置流程，在安全產(chǎn)品應(yīng)用的基礎(chǔ)上，仍然需要大量的人力投入，包括安全事件的分析研判，安全設(shè)備的運(yùn)維操作以及處置流程的協(xié)調(diào)、傳遞、執(zhí)行和檢查等。一方面，要求擁有專業(yè)的安全技術(shù)人員；另一方面，需要制定線下的規(guī)范制度并依賴人工執(zhí)行和跟進(jìn)。本方案通過(guò)感知分析平臺(tái)進(jìn)行事件的集中分析和展示，可極大的節(jié)省人力成本的投入，提高工作效率。