安全挑戰(zhàn)
1.安全數(shù)據(jù)太分散且無(wú)法集中存儲(chǔ)
隨著信息網(wǎng)絡(luò)承載的業(yè)務(wù)越來(lái)越復(fù)雜，各種系統(tǒng)審計(jì)信息,、安全設(shè)備的告警信息各自獨(dú)立存放,。如果敏感數(shù)據(jù)區(qū)域遭受攻擊，由于攻擊痕跡存放在各個(gè)分散的信息孤島上,，安全運(yùn)營(yíng)與處置人員無(wú)法快速準(zhǔn)確定位安全問(wèn)題,，當(dāng)下的網(wǎng)絡(luò)安全防御體系無(wú)法有效應(yīng)對(duì)此種問(wèn)題。
2.高級(jí)威脅檢測(cè)滯后且響應(yīng)速度慢
高級(jí)威脅攻擊的特點(diǎn)是目的性非常強(qiáng)、攻擊目標(biāo)明確且持續(xù)時(shí)間長(zhǎng),，此外攻擊方法經(jīng)過(guò)巧妙改造,，攻擊者往往會(huì)利用社會(huì)工程學(xué)的方法或高級(jí)技術(shù)手段，對(duì)被動(dòng)式防御進(jìn)行躲避,。而傳統(tǒng)的安全技術(shù)手段大多是利用已知攻擊的特征對(duì)攻擊行為進(jìn)行簡(jiǎn)單的模式匹配,，只關(guān)注單次行為的識(shí)別和判斷，并沒(méi)有對(duì)長(zhǎng)期的攻擊行為鏈進(jìn)行有效分析,。因此,，對(duì)于高級(jí)威脅，現(xiàn)有的安全防護(hù)體系無(wú)論是在威脅的檢測(cè),、發(fā)現(xiàn)還是響應(yīng)等方面都存在嚴(yán)重不足,。
3.安全事件溯源和調(diào)查取證無(wú)手段
安全事件的溯源分析作為安全事故中事后響應(yīng)的重要組成部分，有助于修復(fù)漏洞與降低風(fēng)險(xiǎn),，避免二次事故的發(fā)生,。但大部分攻擊告警事件中所包含的信息無(wú)法反應(yīng)真實(shí)的攻擊信息，大量告警分散且誤報(bào)太多,。諸如安全告警的源IP等單一維度的安全數(shù)據(jù)無(wú)法提供足夠的安全分析及溯源信息,，然而通過(guò)對(duì)受害資產(chǎn)與內(nèi)網(wǎng)流量進(jìn)行溯源分析，在一定程度上可以還原攻擊者的攻擊路徑與攻擊手法,。目前,，已經(jīng)建設(shè)的安全設(shè)備都沒(méi)有基于大數(shù)據(jù)架構(gòu)，無(wú)法對(duì)網(wǎng)內(nèi)各類(lèi)安全數(shù)據(jù)（日志或流量）進(jìn)行溯源,，無(wú)法對(duì)事件進(jìn)行調(diào)查取證,。
4.安全數(shù)據(jù)無(wú)可視化手段進(jìn)行呈現(xiàn)
在現(xiàn)有的安全體系中，大量的安全監(jiān)測(cè)結(jié)果只是單一維度的反映某個(gè)系統(tǒng)存在相關(guān)問(wèn)題,，呈現(xiàn)的方式也多種多樣,，并沒(méi)有針對(duì)海量的安全數(shù)據(jù)進(jìn)行統(tǒng)一可視化展現(xiàn)，無(wú)法整體掌控網(wǎng)絡(luò)安全的態(tài)勢(shì),。
5.安全運(yùn)營(yíng)無(wú)專(zhuān)崗且人員配置精簡(jiǎn)
隨著信息系統(tǒng)規(guī)模日益龐大,，整個(gè)信息網(wǎng)中發(fā)生的安全威脅事件也在不斷增加，目前安全管理人員數(shù)量不足,，專(zhuān)業(yè)技能更新無(wú)法跟上安全技術(shù)的發(fā)展,。目前安全運(yùn)營(yíng)工作無(wú)法做到專(zhuān)人專(zhuān)崗，往往都是身兼多職,，這種情況嚴(yán)重影響安全威脅事件的檢測(cè),、分析與處置的效率，無(wú)法保證高效的安全運(yùn)營(yíng)閉環(huán)管理,。
解決方案
奇安信態(tài)勢(shì)感知與安全運(yùn)營(yíng)解決方案的業(yè)務(wù)架構(gòu)從下到上分別為：日志采集器,、流量探針,、日志采集、存儲(chǔ)和檢索,、資產(chǎn)風(fēng)險(xiǎn)評(píng)估,、資產(chǎn)管理、脆弱性管理,、威脅分析,、威脅檢測(cè)、處置響應(yīng),、監(jiān)測(cè)與報(bào)表,、態(tài)勢(shì)可視化、系統(tǒng)管理和安全運(yùn)營(yíng)服務(wù),，如下圖所示,。
實(shí)施部署：
方案的主要組件包括態(tài)勢(shì)感知與安全運(yùn)營(yíng)平臺(tái)、流量傳感器和日志采集器,，各個(gè)組件均采取旁路部署的模式,，不會(huì)影響實(shí)際業(yè)務(wù)網(wǎng)絡(luò)和其他網(wǎng)段。
威脅情報(bào)采取云端推送或?qū)氲姆绞絾蜗騻鬏斀o本地平臺(tái),，確保威脅情報(bào)內(nèi)容及時(shí)更新,。平臺(tái)通過(guò)對(duì)本地采集到的設(shè)備日志、流量日志,，結(jié)合本地的安全分析規(guī)則和云端威脅情報(bào)進(jìn)行場(chǎng)景化建模關(guān)聯(lián)分析,，有效發(fā)現(xiàn)網(wǎng)絡(luò)威脅。平臺(tái)各組件均支持分布式或者集群的擴(kuò)容方式,，可滿(mǎn)足真實(shí)網(wǎng)絡(luò)環(huán)境下的高性能分析需求,。
方案優(yōu)勢(shì)
1.全面性
在基礎(chǔ)安全體系建設(shè)完善的基礎(chǔ)上，通過(guò)構(gòu)建能夠應(yīng)對(duì)海量數(shù)據(jù)量級(jí)下的態(tài)勢(shì)感知與安全運(yùn)營(yíng)平臺(tái),，結(jié)合專(zhuān)業(yè)的安全運(yùn)營(yíng)組織架構(gòu)和嚴(yán)謹(jǐn)?shù)倪\(yùn)營(yíng)流程設(shè)計(jì),，全面推進(jìn)可閉環(huán)的安全運(yùn)營(yíng)工作的開(kāi)展。
2.持續(xù)性
圍繞以“防御,、檢測(cè),、響應(yīng)、預(yù)測(cè)”為核心的自適應(yīng)安全架構(gòu)設(shè)計(jì),，實(shí)現(xiàn)態(tài)勢(shì)感知能力的持續(xù)建設(shè),，保障安全運(yùn)營(yíng)能力的持續(xù)提升。
3.創(chuàng)新性
在數(shù)字化轉(zhuǎn)型的背景下引入多種創(chuàng)新型的技術(shù)設(shè)計(jì)方案,，例如大數(shù)據(jù)、威脅情報(bào),、機(jī)器學(xué)習(xí)等,，體現(xiàn)整個(gè)態(tài)勢(shì)感知與安全運(yùn)營(yíng)方案的創(chuàng)新性與前瞻性。
4.合規(guī)性
以《中華人民共和國(guó)網(wǎng)絡(luò)安全法》、《信息安全技術(shù)信息系統(tǒng)安全等級(jí)保護(hù)基本要求》等相關(guān)法律法規(guī),、標(biāo)準(zhǔn)規(guī)范為依據(jù),，以需求為導(dǎo)向，在合規(guī)的基礎(chǔ)上考慮態(tài)勢(shì)感知與安全運(yùn)營(yíng)整體方案設(shè)計(jì),，符合國(guó)家監(jiān)管機(jī)構(gòu)的要求,，有效保障了安全運(yùn)營(yíng)工作推進(jìn)的統(tǒng)一性、一致性,、有效性和規(guī)范性,。
應(yīng)用價(jià)值
1.持續(xù)監(jiān)控，實(shí)時(shí)掌握安全狀況
可以快速,、宏觀的了解整體安全態(tài)勢(shì),，在安全運(yùn)營(yíng)工作中抓大放小，明確工作重點(diǎn)以指導(dǎo)安全運(yùn)營(yíng)人員和IT人員的安全工作,。
2.全面檢測(cè),，及時(shí)發(fā)現(xiàn)高級(jí)威脅
結(jié)合安全威脅建模團(tuán)隊(duì)多年的攻防經(jīng)驗(yàn)，通過(guò)檢測(cè)引擎,、威脅情報(bào),、場(chǎng)景化檢測(cè)規(guī)則、機(jī)器學(xué)習(xí)和關(guān)聯(lián)規(guī)則等多個(gè)維度進(jìn)行威脅的研判,，快速定位真正的威脅,，同時(shí)優(yōu)化現(xiàn)有的傳統(tǒng)威脅檢測(cè)手段，減少告警的誤報(bào)和冗余情況,，將威脅告警數(shù)量控制在人工可分析的數(shù)量級(jí),。
3.響應(yīng)處置，實(shí)現(xiàn)威脅閉環(huán)管理
提供多種響應(yīng)處置方式,，將不同危害等級(jí),、影響范圍的告警通過(guò)三種主要場(chǎng)景實(shí)現(xiàn)“人-人”“機(jī)-人”“機(jī)-機(jī)”的通知交互。
4. 事件調(diào)查,，高效溯源安全威脅
利用調(diào)查分析,、攻擊鏈分析、時(shí)間線(xiàn)分析等工具,，安全運(yùn)營(yíng)人員能夠?qū)θ罩?、告警、資產(chǎn),、漏洞,、情報(bào)等證據(jù)信息進(jìn)行歸納整理，幫助其拓展分析思路,，輔助其多角度研判威脅,，還原攻擊過(guò)程和威脅發(fā)生的切入口,，為調(diào)查檢索歷史數(shù)據(jù)、分析和取證節(jié)省了寶貴的時(shí)間,。
5. 風(fēng)險(xiǎn)管理,，提升安全預(yù)警能力
支持幫助安全運(yùn)營(yíng)人員從資產(chǎn)和資產(chǎn)組2個(gè)大小維度管理風(fēng)險(xiǎn)，還默認(rèn)提供4個(gè)維度的風(fēng)險(xiǎn)管理維度,，分別是資產(chǎn)分組,、組織架構(gòu)、地理位置和業(yè)務(wù)分組,，以滿(mǎn)足不同粒度的風(fēng)險(xiǎn)管理要求和不同的業(yè)務(wù)組織架構(gòu),。
6. 威脅預(yù)警，全面評(píng)估事態(tài)發(fā)展
為了提高對(duì)重大網(wǎng)絡(luò)安全事件的應(yīng)急響應(yīng)能力,，威脅預(yù)警功能通過(guò)導(dǎo)入的預(yù)警包,，自動(dòng)化完成對(duì)網(wǎng)絡(luò)的安全影響面評(píng)估?？梢暬故臼聭B(tài)發(fā)展趨勢(shì),、受影響資產(chǎn)范圍和失陷資產(chǎn)的淪陷時(shí)間線(xiàn)，快速完成重大網(wǎng)絡(luò)安全事件的預(yù)警及處置,，避免收到上級(jí)監(jiān)管單位的通報(bào)后被動(dòng)應(yīng)對(duì)安全事件,。
7. 彈性平臺(tái)，滿(mǎn)足業(yè)務(wù)擴(kuò)展需要
基于微服務(wù)架構(gòu)設(shè)計(jì),，內(nèi)部模塊組件交互獨(dú)立,，對(duì)外提供標(biāo)準(zhǔn)應(yīng)用接口。平臺(tái)采用橫向擴(kuò)展縱向管理的模式,，支持多級(jí)部署管理,，下級(jí)單位可以將告警數(shù)據(jù)上傳至上級(jí)單位，上級(jí)單位對(duì)下級(jí)單位行使其監(jiān)管作用,。
8.合法合規(guī),，符合監(jiān)管機(jī)構(gòu)要求
對(duì)設(shè)備日志進(jìn)行統(tǒng)一采集，并對(duì)采集數(shù)據(jù)進(jìn)行歸一化,、富化等預(yù)處理,。同時(shí)可以在平臺(tái)上對(duì)采集到的原始日志和解析日志進(jìn)行查詢(xún)、統(tǒng)計(jì),、關(guān)聯(lián)分析等處理使用,，符合監(jiān)管機(jī)構(gòu)的合規(guī)性要求。