大数据环境下的网络安全态势感知-2017央企网络安全大会-恒安嘉新

《大数据环境下的网络安全态势感知-2017央企网络安全大会-恒安嘉新》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、大数据环境下的网络安全态势感知恒安嘉新（北京）科技股份公司2017年7月网络安全大数据环境IDC移劢互联网接入口IDC出口城域网省网骨干网间出口出口出口（国内及国际）城域网省网骨干网Internet省网互联网网间出口接入口第三方网络网络安全态势感知的定义态势感知：“在一定的时空条件下，对环境因素的获取、理解以及对未来状态的预测。”(Endsley，1988)"网络态势感知：“在大规模网络环境中，对能够引起网络态势发生变化的安全要素进行获取、理解、显示以及预测最近的发展趋势。”(TimBass,1999)

2、从系统工程角度，网络态势感知是一个从底层数据到抽象信息，再到获取高层知识的过程，包括三个阶段和层次的信息处理过程：态势觉察、态势理解和态势预测态势觉察，是通过在网络中部署的监测设备，实时收集态势感知相关要素的信息，形成特定网络时空环境下的事件序列态势理解，是通过定性或定量的网络态势评价体系，对采集的事件序列进行归幵、关联分析和融合处理，幵以可视化的形态呈现给管理者，形成对当前网络态势的基本判断态势预测，是基于网络态势预测模型和专业人员的经验积累，针对当前的和历叱的网络态势数据，对重要事件的走势和网

3、络整体安全态势做出适当预测，以及时调整策略，采取预备性应对措施Endsley,"Designandevaluationforsituationawarenessenhancement"1988.网络安全态势感知的对象风险驱动从网络安全的角度，网络安全态势感知应该考虑：I已知/已知：基于威胁的实时恶意行基于为预处理能力（实时分析）行基于威胁：为基于风险：II已知/未知：基于行为的准实时威胁已知/已知(知识)：未知/未知已发现能力（准实时分析）知/未III未知/未知：基于风险的多元多维威知胁解构能力（

4、实时/准实时/中长期分析）解构威胁行为网络安全态势感知的层次划分高位：公共互联网环境的宏观网络安全态势感知体系。中位：针对特定域群集的网络安全态势感知体系。低位：围绕具体局域网络环境周界的内部网络安全的态势感知体系。网络安全态势感知的目标1234战略型战术型运营型技术型•国家安全战略、•攻击事件分析•对手的资产、战•恶意IP地址/主机政策报告术、方法和行为•恶意域名•行业安全监管要•漏洞分析报告模式•恶意URL求、风险报告•恶意软件分析•包含签名的深度•恶意短信•年度网络安全信报告技术分析报告•恶意邮件

5、地址息与劢态报告•事件响应报告•弱点分析及加固•恶意软件签名•攻击组织的报告•攻击地图报告•恶意事件日志•周、月、季度威胁情报报告5大数据技术能力数据采集能力数据解析能力数据存储能力数据管理能力数据分析能力数据智库能力数据控制能力数据投放能力数据服务能力在网络安全态势感知领域的映射数据采集能力检测数据解析能力追溯数据存储能力发现安全事件定位安全威胁数据管理能力数据分析能力数据智库能力防御预测处置安全事件分析安全威胁数据控制能力数据投放能力数据服务能力网络安全态势感知核心技术1234IDMaping样本分

6、析异常流量分析流量指纹分析•IP与IM账号，•静态+基于机器•恶意域名分析•黑客工具流微博账号，论学习的劢态沙•钓鱼URL分析量指纹坛账号，邮箱，箱行为分析•恶意证书分析•Webshell流量拨号账户，手•恶意软件聚类•加密流量聚类指纹机号等映射关分析分析•“脱库”流量联分析指纹9网络安全态势分析方法10网络安全态势的评价指标覆盖率可行动性及时性关联性可集成事件响应及安全态势的评价指标调查11网络安全态势的分析效果优化资源投入及部署AB更好的风险呈现提升响应速度FC验证策略及控制的有效性攻击可视化ED强

7、化自身的防护能力12网络安全态势感知的可视化资产分析蜜罐边界网络安全边界攻击分析检测分析多维度安全层次分析摄像追踪身份事件认证分析文件沙箱13网络安全态势感知的可视化典型案例：勒索蠕虫事件5月12日爆发的勒索软件病毒事件波及范围广，影响后果严重。恒安嘉新做为国家级网络安全应急服务支撑单位，早在四月上旬就获取了NSA泄漏的漏洞信息，幵就SMB通信特征做了全网监测。事件发生后，恒安嘉新利用部署在城域网、骨干网、国际网、IDC等国家网络基础设施的安全监测和封堵设备，第一时间开展了事件的安全通报、应急支撑、

8、威胁预警和网络监控工作。应急1.发布事件预警通告预警“永恒之蓝”监测1.全网监测感染态势安全启动2.现网捕获病毒样本更新防护由于恒安嘉新在4月2.全网广谱特征升级3.成功提取病毒规则份针对网络安全综合3.全网蠕虫传播封堵管理平台、僵木蠕安5.1207时5.1220时5.1216时全监测平台、IDC网络安全综合管控平台组建安全运营中心，等多个平台进行升级，1.发布病毒逆向分析报告1.漏洞在线验证安全研究中心，安全分析监控第一时间监测到“永研究