行業(yè)背景
在當(dāng)前信息安全已經(jīng)上升到國(guó)家安全層面的形勢(shì)下，來(lái)自國(guó)外具有國(guó)家背景的攻擊者已經(jīng)針對(duì)多家央企，通過(guò)免殺、魚(yú)叉、水坑攻擊等新技術(shù)手段進(jìn)行高級(jí)可持續(xù)性攻擊。然而大量未知威脅攻擊手段可以繞過(guò)以特征檢測(cè)為核心檢測(cè)手段的傳統(tǒng)安全防護(hù)設(shè)備，企業(yè)難以有效發(fā)現(xiàn)未知威脅，也就無(wú)法抵御未知威脅，如何檢測(cè)未知威脅成為企業(yè)面臨的挑戰(zhàn)。
央企的終端資產(chǎn)管理是項(xiàng)龐大而復(fù)雜的工作，是對(duì)企業(yè)的管理能力嚴(yán)峻的挑戰(zhàn)；各個(gè)分公司所部署的終端安全管理系統(tǒng)多種多樣，防病毒能力也層次不齊，影響了整個(gè)企業(yè)整體終端防護(hù)能力。由于大多企業(yè)并未采用統(tǒng)一的終端安全軟件，企業(yè)無(wú)法對(duì)具體的指標(biāo)進(jìn)行考核，難以出臺(tái)精細(xì)有效的管理要求，無(wú)法全面提高集團(tuán)整體終端安全防護(hù)能力。
隨著信息安全技術(shù)的不斷變化，導(dǎo)致信息安全風(fēng)險(xiǎn)日益復(fù)雜化。我國(guó)的網(wǎng)站仍然存在較多的漏洞風(fēng)險(xiǎn)，Web服務(wù)日益成為網(wǎng)絡(luò)攻擊的重點(diǎn)目標(biāo)，DNS攻擊、暴力破解、零日漏洞利用讓網(wǎng)站弱不禁風(fēng)。傳統(tǒng)的Web安全解決方案通過(guò)WAF等安全設(shè)備的堆疊來(lái)進(jìn)行安全防護(hù)，這已經(jīng)無(wú)法解決央企網(wǎng)站所面臨的安全風(fēng)險(xiǎn)。
央企大多重視信息安全建設(shè)，正在逐步完善信息安全防護(hù)體系，網(wǎng)絡(luò)中部署了大量的安全產(chǎn)品和設(shè)備，為信息系統(tǒng)的安全運(yùn)行提供了有力的保障。但往往這些設(shè)備和產(chǎn)品來(lái)自多個(gè)廠商，無(wú)法進(jìn)行有效的協(xié)同防護(hù)，都是各自為戰(zhàn)；無(wú)法從總體上進(jìn)行安全態(tài)勢(shì)可視化展現(xiàn)，企業(yè)安全管理人員無(wú)法整體了解和掌握集團(tuán)安全態(tài)勢(shì)。信息安全建設(shè)效果看不到和摸不到，信息安全人員工作成績(jī)也難以體現(xiàn)，此類問(wèn)題也困擾著信息安全管理人員。
解決方案
解決思路
1、以數(shù)據(jù)為核心取代以技術(shù)為核心
新型安全體系本質(zhì)上就是圍繞數(shù)據(jù)為核心的數(shù)據(jù)驅(qū)動(dòng)安全的技術(shù)思路，數(shù)據(jù)是新型安全體系最本質(zhì)與最核心的內(nèi)容，具體來(lái)說(shuō)就是依靠數(shù)據(jù)的大范圍分析實(shí)現(xiàn)對(duì)威脅的感知、發(fā)現(xiàn)、分析、溯源。新型防御技術(shù)依靠數(shù)據(jù)為核心，相當(dāng)于將整個(gè)攻擊過(guò)程都錄制下來(lái)，而后對(duì)攻擊的全過(guò)程進(jìn)行回溯分析，不但能夠了解到攻擊的全貌，而且有可能在攻擊過(guò)程的任意一個(gè)環(huán)節(jié)、片段對(duì)攻擊進(jìn)行發(fā)現(xiàn)。
簡(jiǎn)言之，通過(guò)單點(diǎn)檢測(cè)技術(shù)，只可能看到攻擊過(guò)程某一片段的快照，而透過(guò)數(shù)據(jù)的鏡子，卻可以看到攻擊的全貌、攻擊的歷史、可以通過(guò)別人的被攻擊數(shù)據(jù)做到提前預(yù)防，可以看到更多的攻擊。
2、以云端分析取代設(shè)備分析
新型防御體系強(qiáng)調(diào)的是云端的海量存儲(chǔ)與大規(guī)模深度計(jì)算，存儲(chǔ)規(guī)模的增大，意味著可以有更多的規(guī)則、更多的樣本、更多的數(shù)據(jù)作為檢測(cè)的基礎(chǔ)與依據(jù)，而大規(guī)模的云端計(jì)算資源意味著可以展開(kāi)復(fù)雜度更高的算法對(duì)流量、樣本、行為進(jìn)行深度分析與歷史分析，云端的海量存儲(chǔ)與計(jì)算使得基于人工智能與數(shù)據(jù)挖掘的大數(shù)據(jù)分析成為可能，同時(shí)云端的海量帶寬也解決了Anti-DDoS中由于帶寬限制無(wú)法接下全部待清洗流量的難題，奇安信公司用于惡意樣本分析的云端資源超過(guò)一萬(wàn)臺(tái)，用于Anti-DDoS的帶寬高達(dá)500Gbps，這一切都將包括惡意樣本分析、抗D的能力提高到了一個(gè)歷史高度，如果不采用云計(jì)算的基礎(chǔ)設(shè)施，依靠傳統(tǒng)的安全設(shè)備，這一切都是不可能做到的。
3、以情報(bào)線索取代技術(shù)對(duì)抗
傳統(tǒng)安全的防御思路是基于攻防技術(shù)對(duì)抗為基礎(chǔ)的，攻防技術(shù)對(duì)抗可以在獲得攻擊細(xì)節(jié)的前提下有效對(duì)抗標(biāo)準(zhǔn)的攻擊行為，但是對(duì)于加入嚴(yán)重變形與繞過(guò)手段的攻擊卻無(wú)能為力，回到前面提到的，攻防對(duì)抗是矛與盾的競(jìng)賽，現(xiàn)實(shí)中從來(lái)都是先有矛后有盾，因此傳統(tǒng)的對(duì)抗思路無(wú)法解決未知威脅的問(wèn)題，典型的如未知木馬、未知漏洞就是傳統(tǒng)安全防御中最頭疼的問(wèn)題。新型防御技術(shù)中強(qiáng)調(diào)威脅情報(bào)的價(jià)值與使用，轉(zhuǎn)而在整個(gè)網(wǎng)絡(luò)活動(dòng)中尋找有價(jià)值的可疑線索，通過(guò)可疑線索結(jié)合已有的海量歷史數(shù)據(jù)，進(jìn)一步深挖線索背后的一系列行為活動(dòng)。依靠威脅情報(bào)線索的思路，防守一側(cè)只要有一次抓住線索，就能夠以及線索捕獲攻擊，徹底扭轉(zhuǎn)了以往攻防雙方不對(duì)等的較量，這一切都?xì)w功于新型防御體系思路的轉(zhuǎn)變。
解決方案
1、終端一體化解決方案
依據(jù)統(tǒng)一基線策略、分級(jí)管理、分級(jí)授權(quán)的方針搭建企業(yè)統(tǒng)一防病毒體系、統(tǒng)一計(jì)算機(jī)安全管理體系。建設(shè)終端和服務(wù)器病毒防護(hù)，安全管控，網(wǎng)絡(luò)準(zhǔn)入一體的平臺(tái)進(jìn)行統(tǒng)一安全管理，終端安裝單個(gè)Agent就可實(shí)現(xiàn)病毒防護(hù)、安全準(zhǔn)入、安全管控等安全功能。
終端防病毒：提供針對(duì)終端安全的防護(hù)措施，為終端提供安全的上網(wǎng)辦公環(huán)境。包括互聯(lián)網(wǎng)中的病毒、木馬、蠕蟲(chóng)、網(wǎng)馬、僵尸網(wǎng)絡(luò)、流氓軟件、間諜軟件等惡意代碼進(jìn)行有效的識(shí)別、查殺與隔離；
終端管控：控制中心制定策略，全網(wǎng)對(duì)USB接口、無(wú)線路由，移動(dòng)存儲(chǔ)及各種外設(shè)接口進(jìn)行管控；設(shè)定軟件運(yùn)行黑白名單，禁止娛樂(lè)軟件、盜版軟件的安裝及運(yùn)行；根據(jù)部門、用戶設(shè)定終端帶寬管理策略，有效杜絕P2P軟件帶來(lái)的網(wǎng)絡(luò)擁塞問(wèn)題。對(duì)全網(wǎng)終端進(jìn)行IP、Mac地址綁定，有效防止私自修改行為；對(duì)客戶端進(jìn)行防黑加固，提供有針對(duì)性監(jiān)控功能，包括系統(tǒng)賬號(hào)變更、重點(diǎn)端口監(jiān)控，共享目錄管控等；
統(tǒng)一運(yùn)維：采用統(tǒng)一運(yùn)維功能，實(shí)現(xiàn)全網(wǎng)終端的補(bǔ)丁統(tǒng)一升級(jí)、普通軟件分發(fā)、硬件資產(chǎn)管理、一鍵加速、一鍵修復(fù)及遠(yuǎn)程協(xié)助功能，協(xié)助IT維護(hù)人員高效的完成終端運(yùn)維工作。
企業(yè)通過(guò)總部天擎終端安全管理中心對(duì)總部和分支機(jī)構(gòu)終端設(shè)置強(qiáng)管控安全策略，分支機(jī)構(gòu)在總部安全策略基礎(chǔ)上按需調(diào)整安全管控力度。在內(nèi)網(wǎng)部署私有云引擎，在不訪問(wèn)外部互聯(lián)網(wǎng)情況下實(shí)現(xiàn)終端病毒云查殺。通過(guò)部署NAC網(wǎng)絡(luò)準(zhǔn)入設(shè)備，阻止未授權(quán)設(shè)備接入內(nèi)網(wǎng)和訪問(wèn)敏感資源，保證內(nèi)網(wǎng)接入安全的同時(shí)也提高安全管理軟件的安裝率。
企業(yè)通過(guò)技術(shù)結(jié)合管理的方式，根據(jù)企業(yè)實(shí)際狀況，制定終端安全管理制度，對(duì)終端安全具體的防護(hù)內(nèi)容提出了管理和考核要求，并通過(guò)技術(shù)手段進(jìn)行檢測(cè)。分支機(jī)構(gòu)根據(jù)基線要求對(duì)本單位終端進(jìn)行管理，對(duì)執(zhí)行結(jié)果進(jìn)行評(píng)分，從而有力的推動(dòng)企業(yè)的終端安全建設(shè)。
2、未知威脅解決方案
高級(jí)持續(xù)性威脅（Advanced Persistent Threat，簡(jiǎn)稱APT）是一種可以繞過(guò)各種傳統(tǒng)安全檢測(cè)防護(hù)措施，通過(guò)精心偽裝、定點(diǎn)攻擊、長(zhǎng)期潛伏、持續(xù)滲透等方式，伺機(jī)竊取網(wǎng)絡(luò)信息系統(tǒng)核心資料和各類情報(bào)的攻擊方式。事實(shí)證明，傳統(tǒng)安全設(shè)備已經(jīng)無(wú)法抵御復(fù)雜、隱蔽的APT攻擊。
為了及時(shí)發(fā)現(xiàn)此類威脅，奇安信天眼將大數(shù)據(jù)技術(shù)應(yīng)用于威脅發(fā)現(xiàn)領(lǐng)域，在云端通過(guò)多維度跨域分析，深度數(shù)據(jù)挖掘和人工智能技術(shù)對(duì)海量數(shù)據(jù)進(jìn)行深度分析以實(shí)時(shí)獲知未知威脅的發(fā)展動(dòng)態(tài)。
奇安信天眼系統(tǒng)獨(dú)有的云端威脅情報(bào)系統(tǒng)結(jié)合本地安全大數(shù)據(jù)引擎，建立云端 + 本地系統(tǒng)的關(guān)聯(lián)分析及立體式防護(hù)體系，為用戶提供全方位的未知威脅感知能力。
企業(yè)部署奇安信天眼系統(tǒng)未知威脅檢測(cè)系統(tǒng)可以及時(shí)有效的發(fā)現(xiàn)未知威脅，提升管理人員對(duì)未知威脅的發(fā)現(xiàn)速度和效率，最大限度的降低受攻擊后的損失，回溯方案可以記錄內(nèi)網(wǎng)的任何一次網(wǎng)絡(luò)行為為回溯提供強(qiáng)大的支撐。
威脅情報(bào)：奇安信天眼實(shí)驗(yàn)室在云端共搜集了200PB與安全相關(guān)的數(shù)據(jù)，涵蓋了DNS解析記錄、WHOIS信息、樣本信息、文件行為日志等內(nèi)容，并針對(duì)所有這些信息使用了機(jī)器學(xué)習(xí)、深度學(xué)習(xí)、重沙箱集群、關(guān)聯(lián)分析等分析手段，最終形成云端威脅情報(bào)下發(fā)本地進(jìn)行檢測(cè)。
本地檢測(cè)：傳感器負(fù)責(zé)將所有鏡像流量進(jìn)行還原分析，提取HTTP、SMTP、POP3、FTP等文件傳輸協(xié)議中出現(xiàn)的文件內(nèi)容，將文件通過(guò)加密通道傳送到檢測(cè)器；檢測(cè)器對(duì)所有文件進(jìn)行解壓縮，格式檢查后，將使用靜態(tài)檢測(cè)、半動(dòng)態(tài)檢測(cè)、沙箱檢測(cè)等多種檢測(cè)手段對(duì)文件中可能包含的惡意行為進(jìn)行捕捉分析以發(fā)現(xiàn)高級(jí)威脅。使用該方案后，可以有效發(fā)現(xiàn)網(wǎng)絡(luò)中出現(xiàn)的漏洞利用行為，木馬控制行為，同時(shí)沙箱檢測(cè)還可以提供更多高級(jí)沙箱防逃逸技術(shù)以避免攻擊繞過(guò)整個(gè)檢測(cè)系統(tǒng)。
回溯：分析平臺(tái)可以依靠自身獨(dú)特的分布式搜索架構(gòu)設(shè)計(jì)，將所有傳送至此的行為信息和告警信息進(jìn)行快速的存儲(chǔ)并建立索引。建立索引后的信息可以在分析平臺(tái)上快速的搜索到。如此，安全管理人員便可以利用該方案記錄過(guò)去一段時(shí)間內(nèi)出現(xiàn)的任何一次網(wǎng)絡(luò)行為，發(fā)現(xiàn)任何一次網(wǎng)絡(luò)行為中的具體細(xì)節(jié)，提升網(wǎng)絡(luò)透明度及可視性，快速發(fā)現(xiàn)高級(jí)威脅結(jié)合本地系統(tǒng)進(jìn)行準(zhǔn)確溯源，牢牢掌握安全工作的主導(dǎo)位置，滿足上級(jí)監(jiān)管單位對(duì)于安全工作的溯源及定位要求。
天眼可以與天擎終端安全管理系統(tǒng)進(jìn)行聯(lián)動(dòng)，借助奇安信天眼的深度檢測(cè)能力，結(jié)合奇安信天擎在終端上的精確防御能力，實(shí)現(xiàn)對(duì)PC終端的攻擊防御。
（終端安全管理系統(tǒng)部署示意圖）
3、網(wǎng)站安全解決方案
網(wǎng)站安全環(huán)境日益惡化，全國(guó)范圍內(nèi)時(shí)常發(fā)生重大網(wǎng)絡(luò)安全事件；《2015年中國(guó)互聯(lián)網(wǎng)安全報(bào)告》顯示，2015年境內(nèi)75028個(gè)網(wǎng)站被植入后門，境內(nèi)24550個(gè)網(wǎng)站被篡改，2015年1-6月1Gbit/s 以上DDoS日均攻擊數(shù)量1558起。2015年奇安信掃描國(guó)內(nèi)現(xiàn)有網(wǎng)站中存在漏洞的網(wǎng)站約為43%，奇安信網(wǎng)站衛(wèi)士共攔截各類網(wǎng)站漏洞攻擊16.5億次，較2014年增長(zhǎng)約135.7%。
安域是為大型企業(yè)定制網(wǎng)站云防護(hù)產(chǎn)品。不同于傳統(tǒng)的網(wǎng)站防護(hù)設(shè)備，利用虛擬化技術(shù)形成了集掃描、監(jiān)控、防護(hù)、DSN防御于一體的顛覆性立體化的Web安全防護(hù)體系。能有效防護(hù)常見(jiàn)的Web漏洞攻擊，并能夠識(shí)別多種變型攻擊方式，同時(shí)能有效針對(duì)DDoS攻擊和CC攻擊進(jìn)行防護(hù)?；贑DN的原理，在全國(guó)部署了多個(gè)IDC骨干節(jié)點(diǎn)，每個(gè)節(jié)點(diǎn)上都部署了奇安信自研的云WAF模塊。通過(guò)修改網(wǎng)站DNS域名解析將原本指向網(wǎng)站服務(wù)器IP修改為指向云防護(hù)節(jié)點(diǎn)IP，以此實(shí)現(xiàn)網(wǎng)站流量調(diào)度，將客戶真實(shí)網(wǎng)站服務(wù)器隱藏在云防護(hù)節(jié)點(diǎn)之后，通過(guò)云防護(hù)節(jié)點(diǎn)強(qiáng)大的集群防護(hù)能力進(jìn)行攻擊流量清洗和黑客攻擊行為攔截。
相比于傳統(tǒng)的本地硬件方案，云防護(hù)方案在解決傳統(tǒng)方案的不足的同時(shí)，極大地降低了采購(gòu)成本及運(yùn)維成本，并實(shí)現(xiàn)了集團(tuán)總部對(duì)于成員單位的管理要求，增強(qiáng)了全集團(tuán)的信息化安全。
（未知威脅感知系統(tǒng)部署示意圖）
4、安全態(tài)勢(shì)感知與運(yùn)營(yíng)解決方案
針對(duì)企業(yè)安全現(xiàn)狀，可在部署未知威脅感知系統(tǒng)基礎(chǔ)上，升級(jí)軟硬件方式來(lái)完成本地大數(shù)據(jù)安全平臺(tái)（安全態(tài)勢(shì)感知與運(yùn)營(yíng)平臺(tái)）的建設(shè)。未知威脅感知系統(tǒng)將成為安全態(tài)勢(shì)感知與運(yùn)營(yíng)系統(tǒng)子系統(tǒng)。安全態(tài)勢(shì)感知與運(yùn)營(yíng)系統(tǒng)對(duì)集團(tuán)內(nèi)所有安全設(shè)備的告警信息，服務(wù)器、網(wǎng)絡(luò)設(shè)備日志，以及互聯(lián)網(wǎng)出口及關(guān)鍵區(qū)域流量進(jìn)行全量采集，結(jié)合資產(chǎn)價(jià)值、資產(chǎn)脆弱性以及安全威脅進(jìn)行關(guān)聯(lián)分析，感知全局安全風(fēng)險(xiǎn)態(tài)勢(shì)，并將安全態(tài)勢(shì)以可視化方式展現(xiàn)起來(lái)，從而使安全管理人員能夠?qū)ζ髽I(yè)安全狀況一目了然。同時(shí)安全態(tài)勢(shì)感知與運(yùn)營(yíng)平臺(tái)可作為企業(yè)信息安全體系的大腦，綜合分析各種告警和風(fēng)險(xiǎn)，并下發(fā)安全策略到終端和網(wǎng)絡(luò)邊界防護(hù)設(shè)備，進(jìn)行安全協(xié)同聯(lián)動(dòng)防護(hù)。
全集團(tuán)部署安全態(tài)勢(shì)感知與運(yùn)營(yíng)系統(tǒng)，總部和分支分級(jí)部署，從而對(duì)整個(gè)集團(tuán)的安全態(tài)勢(shì)進(jìn)行分析和展現(xiàn)。
（安域部署示意圖）
客戶價(jià)值
部署終端安全管理系統(tǒng)、未知威脅感知系統(tǒng)、安全態(tài)勢(shì)感知與運(yùn)營(yíng)平臺(tái)后，能夠?yàn)槠髽I(yè)實(shí)現(xiàn)如下價(jià)值：
提升終端安全管理能力
全集團(tuán)集中部署天擎終端安全管理系統(tǒng)，建設(shè)統(tǒng)一防病毒體系、統(tǒng)一計(jì)算機(jī)安全管理體系；利用管理和技術(shù)有效結(jié)合，可以完美解決終端系統(tǒng)所面臨的病毒、惡意軟件、補(bǔ)丁缺失、配置不規(guī)范問(wèn)題，保障全集團(tuán)的終端安全。
統(tǒng)一安全管理中心和模塊化單一終端軟件，易用的產(chǎn)品功能，可以降低運(yùn)維人員維護(hù)成本。私有云病毒查殺功能，既保證了病毒查殺效率，也可以降低終端資源消耗，獲得良好的企業(yè)內(nèi)部用戶體驗(yàn)。
獲得未知威脅感知能力
通過(guò)部署天眼未知威脅感知系統(tǒng)，通過(guò)進(jìn)行云端大數(shù)據(jù)計(jì)算和挖掘，結(jié)合專家分析所形成的威脅情報(bào)數(shù)據(jù)與本地流量進(jìn)行關(guān)聯(lián)分析，最大限度地發(fā)現(xiàn)企業(yè)內(nèi)未知威脅，從而使企業(yè)獲得一般企業(yè)所不具備的未知威脅感知能力，使企業(yè)的安全檢測(cè)能力處于行業(yè)領(lǐng)先地位。
具備安全態(tài)勢(shì)感知能力
部署安全態(tài)勢(shì)感知與運(yùn)營(yíng)系統(tǒng)將能使企業(yè)管理人員能夠準(zhǔn)確和直觀的了解集團(tuán)安全態(tài)勢(shì)，集團(tuán)信息安全狀況一目了然。
極大提高網(wǎng)站綜合防護(hù)能力
安域云安全防護(hù)平臺(tái)集成了網(wǎng)站加速、安全監(jiān)控、云WAF、抗海量DDOS、抗CC、DNS防護(hù)、WEB攻擊防護(hù)等，可以為企業(yè)建立一套完整且功能強(qiáng)大的網(wǎng)站安全防御體系，極大提高網(wǎng)站的綜合防護(hù)能力。
具有安全溯源能力
當(dāng)發(fā)生安全事件后，可以快速對(duì)歷史流量數(shù)據(jù)進(jìn)行檢索，結(jié)合云端的海量互聯(lián)網(wǎng)數(shù)據(jù)進(jìn)行多維可視化關(guān)聯(lián)，快速定位攻擊、還原攻擊路徑和追溯攻擊者，從源頭上控制安全風(fēng)險(xiǎn)，降低攻擊再次發(fā)生的可能性。