基于攻击链的威胁感知系统

《基于攻击链的威胁感知系统》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、——————————————————————云客网您网站的流量加油站基于攻击链的威胁感知系统随着网络威胁形式的多样化和复杂化以及面临APT攻击的挑战，新一代威胁不仅传播速度更快，其利用的攻击面也越来越宽广，可以覆盖移动、桌面、网络、web和各种应用、社交网络等，新常态下仅仅依靠传统NIPS/NIDS设备提供给用户的信息已经不能满足现阶段客户的需要，专业化、系统化、智能化等越来越显得尤为关键;尤其是伴随着互联网的发展，用户体验需求的提升，更需要对网络威胁的行为通过大数据分析的方式，直观的给客户展示出整个动态攻击过程。为了能够满足客户需求，简化客户对设备的操作流程，提高客户对攻击流

2、程的直观感受，适用新常态下威胁感知变化;需要对传统NIPS漏洞规则的划分维度做全新调整，结合完整的解决方案，彻底摆脱传统NIPS设备显示给客户的单一事件单一告警的无状态统计局面。通过对漏洞规则重新按照事件的攻击链划分，结合数据处理中心对规则新分类告警的日志分析，利用智能化的势态分析模块从大数据分析的角度分阶段的(探测扫描、渗透攻击、攻陷入侵、安装工具和恶意行为五个阶段)给客户呈现出攻击的整个过程。说到新常态，何为新常态?新常态是“习式热词”。“新”就是“有异于旧质”;“常态”就是固有的状态;新常态就是不同以往的、趋势性的、不可逆的发展状态。何为网络安全威胁的新常态呢?就是依托大

3、规模的安全情报系统和专业、智能的大数据分析模块相互融合，充分利用数据驱动安全的方式，实现“人机地云”的全天候，全方位，多维度、立体式的网络安全威胁感知解决方案。传统设备告警问题SEO排名http://www.yuntask.com/——————————————————————云客网您网站的流量加油站告警日志是设备在检测到入侵行为后，给用户展示的第一手的直观告警信息，基于网络设备接入层面的不同，告警日志数量就不同，会差出几个数量级。为了能够提高威胁感知的整体效果，需要转化、提升网络威胁空间形态的表现形式，实现由虚拟向实体的延伸，完成从局部到整体的把握;通过告警日志分析聚焦全球范围

4、的威胁态势，启动威胁感知的全新范式，那么对告警日志的分析就显得至关重要，对告警日志分析包括了对告警日志的分类，分类的维度直接影响客户对告警的日志的识别和判断，进而会影响威胁态势感知的呈现效果。传统设备漏洞规则类别目前的设备规则条目高达几千条，规则分类和策略的合理配置息息相关。传统的NIPS中规则会按照多个维度对规则进行分类，实现了规则由无序到有序的转换，包括攻击类别、协议种类、服务类型、技术手段、威胁程度等多个方面展示下图展示了其中的两种分类形式：SEO排名http://www.yuntask.com/——————————————————————云客网您网站的流量加油站设备告警

5、信息展示设备产生告警后的“一攻一报”的告警方式，比较单一。传统设备分类的不足传统的NIPS分类只是按照攻击类型，攻击种类等单层面，无状态的将规则进行分类，攻击展现不能从整体把握攻击过程，不能直观展示攻击效果，不能引领用户对攻击行为做出判断，更不能适应现阶段大数据驱动下的网络安全防御方案。威胁感知系统为构建新常态下的威胁感知态势，结合海量数据的分析，形成以新规则为主导，以新分类为依据，以攻击链为引领的新型告警日志分析平台;随着网络攻击行为的变化、升级形成颠覆式的有状态的攻击行为检测预警方案;以客观的多元化的攻击形态为基础，彻底改变人类固有思维模式中的“一攻一报”的单点威胁告警模式

6、，实现思维方式的转型，进而推动产品品质，解决方案，用户体验方面的提升;结合用户对全面把控动态威胁感知的诉求，从大数据挖掘的角度出发，通过智能化的数据分析，真正跳出传统NIPS检测告警形态的怪圈，最终实现新常态下的威胁感知态势解决方案。基于攻击链模型的规则分类标准规则的分类情况最终会影响到后续的整个攻击链的构建和威胁感知的效果，适应新的攻击行为和攻击手法将现有规则分为了五个攻击阶段，探测扫描阶段、渗透攻击阶段、攻陷入侵阶段、安装工具阶段和恶意行为阶段。SEO排名http://www.yuntask.com/——————————————————————云客网您网站的流量加油站探测扫

7、描阶段.包括了攻击者在攻击前的对目标的扫描，包括网络扫描、系统扫描、端口、漏洞扫描等，扫描行为是攻击入侵的前期准备阶段，通过信息收集，掌握目标机器的系统，漏洞信息，对进一步进行入侵攻击有事半功倍的效果。渗透攻击阶段.该阶段是已经对目标机器做了扫描，或是直接对目标机器进行攻击，包括利用栈，堆方面的漏洞，利用Web系统平台方面的漏洞，逻辑配置错误方面的漏洞，内存破坏方面的漏洞等，对目标主机发起攻击。攻陷入侵阶段.该阶段表示了目标主机已经不黑客成功攻陷，接下来攻击者可以做他想做的事情，攻陷阶段的表