搜索

[16390] 2021-02-01_网络安全运营能力建设思路：技术能力建设

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2021-02-01_网络安全运营能力建设思路：技术能力建设 网 络 安 全 运 营 能 力 建 设 思 路 ： 技 术 能 力 建 设 o n e e l e v e n   F r e e B u f   2 0 2 1 - 0 2 - 0 1 本 系 列 文 章 共 分 为 五 篇 ， 本 文 接 上 一 篇 文 章 ， 如 欲 了 解 前 情 ， 可 点 击 以 下 链 接 进 行 回 顾 ： 第 一 篇   网 络 安 全 运 营 的 驱 动 力 以 及 整 体 架 构 设 计 四 、 技 术 能 力 建 设 四 、 技 术 能 力 建 设 安 全 技 术 能 力 建 设 工 作 并 非 从 零 开 始 ， 而 是 以 组 织 基 础 设 施 安 全 建 设 为 基 础 ， 围 绕 组 织 机 构 的 安 全 目 标 ， 建 立 与 制 度 流 程 相 配 套 并 保 证 有 效 执 行 的 技 术 和 工 具 集 ， 技 术 工 具 建 议 使 用 标 准 的 安 全 产 品 或 平 台 ， 也 可 以 是 自 主 开 发 的 组 件 或 工 具 ， 技 术 能 力 建 设 需 要 进 行 整 体 规 划 和 实 现 ， 且 要 和 组 织 的 业 务 系 统 和 信 息 系 统 等 进 行 衔 接 。 同 时 ， 安 全 技 术 能 力 需 要 保 证 覆 盖 组 织 业 务 使 用 的 各 个 场 景 中 的 安 全 需 求 。 根 据 O W A S P 提 出 的 C y b e r - d e f e n s e - m a t r i x ， 将 各 项 安 全 技 术 分 别 映 射 到 不 同 层 次 的 安 全 对 象 中 。 4 . 1   资 产 测 绘 资 产 测 绘 随 着 组 织 越 来 越 多 的 资 产 需 要 暴 露 在 互 联 网 空 间 ， 更 大 的 网 络 空 间 暴 露 面 带 来 了 更 多 的 网 络 空 间 安 全 威 胁 。 特 别 是 分 支 机 构 较 多 的 大 型 组 织 ， 对 资 产 及 高 危 脆 弱 性 的 检 查 效 率 、 准 确 性 以 及 详 尽 的 报 告 内 容 有 着 极 高 的 要 求 ， 同 时 各 监 管 机 构 要 求 组 织 能 够 预 防 并 快 速 处 置 网 络 空 间 安 全 隐 患 ， 因 此 ， 组 织 需 要 理 清 资 产 ， 确 定 资 产 暴 露 面 ， 快 速 定 位 并 准 确 验 证 漏 洞 以 提 升 网 络 和 业 务 系 统 的 健 壮 性 和 稳 定 性 。 同 时 ， 从 运 营 者 的 视 角 出 发 ， 采 用 专 业 收 集 手 段 进 行 组 织 未 知 资 产 发 现 ， 以 及 对 资 产 信 息 的 变 化 和 异 动 进 行 监 测 和 管 理 ， 并 分 析 资 产 间 的 关 联 性 ， 自 动 梳 理 资 产 类 型 、 服 务 与 框 架 ， 帮 助 组 织 对 资 产 进 行 透 明 化 、 智 能 化 管 理 。 资 产 发 现 识 别 能 力 资 产 发 现 能 力 是 资 产 测 绘 的 基 础 能 力 ， 必 须 在 组 织 的 某 种 环 境 或 场 景 中 发 现 存 活 资 产 ， 并 且 通 过 分 析 资 产 的 所 属 业 务 属 性 来 识 别 资 产 详 情 ， 包 括 资 产 所 使 用 的 操 作 系 统 、 中 间 件 、 数 据 库 、 应 用 程 序 、 开 放 端 口 以 及 与 其 他 资 产 的 关 联 关 系 等 。 资 产 发 现 能 力 还 应 是 全 面 和 精 准 的 ， 避 免 因 不 完 善 的 甚 至 错 误 的 资 产 发 现 造 成 重 大 风 险 隐 患 。 资 产 持 续 监 控 能 力 资 产 详 细 信 息 形 成 资 产 配 置 清 单 ， 这 种 清 单 并 不 是 一 成 不 变 的 ， 资 产 配 置 会 随 着 业 务 需 求 的 变 更 而 不 断 变 化 ， 变 化 的 范 畴 和 频 率 是 由 业 务 的 变 更 需 求 所 引 导 的 。 要 保 证 资 产 配 置 清 单 的 持 续 有 效 ， 必 须 具 备 对 资 产 配 置 变 更 的 持 续 监 控 能 力 。 安 全 运 营 人 员 一 般 可 通 过 周 期 性 资 产 发 现 和 复 查 ， 及 时 发 现 资 产 信 息 的 变 化 情 况 ， 进 而 对 资 产 变 更 信 息 的 确 认 和
管 理 ， 确 保 后 续 安 全 运 用 过 程 中 资 产 配 置 信 息 的 准 确 性 。 资 产 漏 洞 检 测 能 力 安 全 运 营 人 员 通 过 定 期 的 资 产 漏 洞 检 测 ， 特 别 是 在 出 现 0 d a y 、 1 d a y 漏 洞 出 现 时 ， 能 够 结 合 威 胁 情 报 信 息 全 面 、 有 效 地 识 别 资 产 存 在 的 漏 洞 及 风 险 情 况 ， 并 利 用 安 全 运 营 团 队 技 术 实 力 和 管 理 能 力 ， 持 续 进 行 整 改 加 固 ， 形 成 及 时 有 效 的 漏 洞 响 应 处 理 能 力 。 4 . 2   I A M 身 份 识 别 与 访 问 管 理 I A M （ I d e n t i t y   a n d   A c c e s s   M a n a g e m e n t ） 技 术 是 一 套 全 面 建 立 和 维 护 数 字 身 份 ， 提 供 有 效 安 全 的 I T 资 源 访 问 的 业 务 流 程 和 管 理 手 段 ， 实 现 组 织 资 产 统 一 的 身 份 认 证 、 授 权 和 身 份 数 据 集 中 管 理 与 控 制 。 身 份 和 访 问 管 理 是 一 套 业 务 处 理 流 程 ， 也 是 一 个 用 于 创 建 、 维 护 和 使 用 数 字 身 份 的 支 持 基 础 结 构 。 I A M 是 实 现 零 信 任 网 络 架 构 的 基 础 ， 组 织 中 应 用 I A M 主 要 是 定 义 和 管 理 个 人 网 络 用 户 的 角 色 和 访 问 权 限 ， 以 及 规 定 用 户 获 得 授 权 （ 或 被 拒 绝 授 权 ） 的 条 件 。 I A M 系 统 的 核 心 目 标 是 为 每 个 用 户 赋 予 一 个 身 份 。 该 数 字 身 份 一 经 建 立 ， 在 用 户 的 整 个 “ 访 问 生 命 周 期 ” 存 续 期 间 都 应 受 到 良 好 的 维 护 、 调 整 与 监 视 。 因 此 ， 身 份 管 理 的 首 要 目 标 就 是 ： 从 用 户 登 录 系 统 到 权 限 授 予 到 登 出 系 统 的 整 个 过 程 中 ， 根 据 需 要 在 恰 当 的 条 件 下 及 时 赋 予 正 确 的 用 户 对 组 织 内 适 当 资 产 的 访 问 权 。 I A M 具 有 单 点 登 录 、 强 大 的 认 证 管 理 、 基 于 策 略 的 集 中 式 授 权 和 审 计 、 动 态 授 权 、 可 管 理 性 等 功 能 。 I A M 系 统 为 各 个 管 理 员 提 供 了 修 改 用 户 角 色 、 跟 踪 用 户 活 动 、 创 建 用 户 活 动 报 告 和 贯 彻 管 理 策 略 的 工 具 及 技 术 。 这 些 系 统 的 出 现 就 是 为 了 能 够 管 理 整 个 组 织 内 的 用 户 访 问 ， 并 确 保 用 户 活 动 符 合 组 织 规 章 制 度 与 监 管 规 定 。 针 对 用 户 对 访 问 组 织 业 务 服 务 的 安 全 使 用 要 求 的 多 样 性 ， 结 合 访 问 需 求 和 特 点 ， I A M 可 以 采 用 基 于 角 色 访 问 控 制 、 基 于 风 险 的 访 问 控 制 、 基 于 属 性 访 问 控 制 等 技 术 ， 通 过 制 定 基 于 主 体 属 性 和 客 体 属 性 的 访 问 控 制 授 权 策 略 来 灵 活 设 定 用 户 对 服 务 的 使 用 权 限 ， 从 而 实 现 访 问 细 粒 度 的 访 问 控 制 。 4 . 3   E D R 端 点 （ P C 、 服 务 器 、 移 动 设 备 和 嵌 入 式 设 备 等 ） 作 为 构 建 信 息 化 网 络 的 基 本 组 成 单 元 和 重 要 元 素 ， 具 有 部 署 范 围 广 、 使 用 数 量 多 、 承 担 业 务 功 能 多 样 、 存 储 重 要 信 息 数 据 等 特 点 ， 容 易 成 为 攻 击 的 对 象 。 攻 击 者 往 往 首 先 利 用 目 标 网 络 中 的 脆 弱 端 点 建 立 据 点 ， 再 通 过 进 一 步 的 漏 洞 利 用 构 筑 长 期 驻 留 条 件 ， 最 终 迈 向 既 定 目 标 。 端 点 检 测 与 响 应 （ E n d p o i n t D e t e c t i o n   a n d   R e s p o n s e ， E D R ） ， 相 比 于 传 统 的 端 点 安 全 防 护 手 段 ， E D R 一 方 面 借 助 于 云 计 算 和 人 工 智 能 的 威 胁 分 析 来 解 决 传 统 端 点 防 护 产 品 无 法 解 决 的 A P T 攻 击 问 题 ； 另 一 方 面 重 点 加 强 自 动 化 的 智 能 响 应 能 力 ， 大 大 降 低 了 应 急 响 应 的 技 术 门 槛 ， 使 其 依 赖 系 统 就 可 以 自 动 实 现 攻 击 阻 止 、 隔 离 修 复 、 取 证 分 析 和 追 踪 溯 源 。 E D R 的 核 心 在 于 ， 一 方 面 利 用 已 有 的 黑 名 和 基 于 特 征 的 端 点 静 态 防 御 技 术 来 阻 止 已 知 威 胁 ， 另 一 方 面 通 过 云 端 威 胁 情 报 、 机 器 学 习 、 异 常 行 为 分 析 、 攻 击 指 示 器 等 方 式 ， 主 动 发 现 来 自 外 部 或 内 部 的 各 类 安 全 威 胁 。 同 时 ， 基 于 端 点 的 背 景 数 据 、 恶 意 软 件 行 为 以 及 整 体 的 高 级 威 胁 的 生 命 周 期 的 角 度 进 行 全 面 的 检 测 和 响 应 ， 并 进 行 自 动 化 阻 止 、 取 证 、 补 救 和 溯 源 ， 从 而 有 效 地 对 端 点 进 行 安 全 防 护 。 在   E D R 中 ， 通 常 由 端 点 和 端 点 检 测 和 响 应 中 心 组 成 ， 端 点 只 具 备 信 息 上 报 、 安 全 加 固 、 行 为 监 控 、 活 动 文 件 监 控 、 快 速 响 应 和 安 全 取 证 等 基 本 功 能 ， 负 责 向 端 点 检 测 与 响 应 中 心 上 报 端 点 的 运 行 信 息 ， 同 时 执 行 下 发 的 安 全 策 略 和 响 应 、 取 证 指 令 等 ； 而 端 点 检 测 与 响 应 中 心 负 责 资 产 发 现 、 安 全 加 固 、 威 胁 检 测 、 响 应 取 证 等 。 相 较 于 传 统 的 端 点 安 全 防 御 技 术 ， E D R   借 助 于 云 计 算 和 人 工 智 能 技 术 ， 完 整 覆 盖 端 点 安 全 防 御 全 生 命 周 期 ， 主 动 发 现 和 清 除 来 自 外 部 或 内 部 的 安 全 威 胁 ， 显 著 提 升 了 端 点 应 对   A P T   和 未 知 威 胁 的 主 动 防 御 能 力 ， 将 是 下 一 代 网 络 安 全 体 系 的 重 要 组 成 部 分 。 4 . 4   数 据 保 护 数 据 保 护 数 据 是 数 字 经 济 时 代 最 重 要 的 生 产 要 素 之 一 ， 大 数 据 高 速 发 展 的 同 时 ， 数 据 破 坏 、 泄 露 事 件 屡 有 发 生 ， 并 且 规 模 和 严
重 程 度 越 来 越 大 ， 数 据 安 全 问 题 已 成 为 各 行 业 创 新 发 展 的 制 约 因 素 之 一 。 数 据 保 护 以 数 据 为 核 心 ， 聚 焦 数 据 安 全 生 命 周 期 ， 将 数 据 生 命 周 期 的 安 全 要 求 映 射 到 数 据 安 全 实 现 技 术 上 ， 分 别 对 数 据 的 采 集 、 存 储 、 传 输 、 处 理 、 交 换 和 销 毁 过 程 域 进 行 相 应 的 安 全 控 制 ， 夯 实 数 据 安 全 技 术 底 盘 ， 构 建 数 据 安 全 场 景 落 地 ， 实 现 组 织 数 据 资 产 可 视 、 数 据 血 缘 可 溯 、 数 据 风 险 可 控 、 数 据 威 胁 可 管 。 数 据 采 集 安 全 数 据 采 集 阶 段 主 要 是 在 基 础 安 全 能 力 的 基 础 上 ， 增 加 安 全 验 证 、 数 据 清 洗 、 数 据 识 别 、 数 据 标 签 等 安 全 技 术 应 对 措 施 。 数 据 安 全 加 密 数 据 存 储 隔 离 与 加 密 采 用 前 置 代 理 及 加 密 网 关 技 术 、 应 用 层 改 造 加 密 技 术 、 基 于 文 件 级 的 加 解 密 技 术 、 基 于 视 图 及 触 发 器 的 后 置 代 理 技 术 、 基 于 表 空 间 加 密 技 术 对 数 据 进 行 加 密 存 储 ； 数 据 传 输 加 密 应 明 确 需 要 进 行 加 密 传 输 的 场 景 后 ， 选 择 合 适 的 加 密 算 法 对 数 据 进 行 加 密 传 输 。 数 据 访 问 控 制 可 以 采 用 基 于 角 色 访 问 控 制 、 基 于 风 险 的 访 问 控 制 、 基 于 属 性 访 问 控 制 等 技 术 ， 保 证 在 数 据 生 命 周 期 的 各 个 阶 段 和 不 同 场 景 下 的 数 据 的 机 密 性 和 完 整 性 ， 允 许 合 法 使 用 者 访 问 数 据 资 产 ， 防 止 非 法 使 用 者 访 问 数 据 资 产 ， 防 止 合 法 使 用 者 对 数 据 资 产 进 行 非 授 权 的 操 作 访 问 。 数 据 泄 漏 防 护 数 据 泄 漏 防 护 的 核 心 思 想 就 是 沿 着 数 据 传 递 方 向 逐 级 进 行 防 护 ， 进 而 达 到 降 低 风 险 的 效 果 。 数 据 泄 露 防 护 在 数 据 资 产 分 类 的 基 础 上 ， 结 合 组 织 的 业 务 流 程 和 数 据 流 向 ， 构 建 完 善 的 可 能 导 致 数 据 泄 露 各 个 环 节 的 安 全 ， 可 以 采 用 的 主 要 技 术 包 括 数 据 加 密 技 术 、 权 限 管 控 技 术 、 基 于 内 容 深 度 识 别 的 通 道 防 护 技 术 。 数 据 脱 敏 为 确 保 数 据 脱 敏 过 程 可 控 ， 对 敏 感 数 据 采 用 有 效 脱 敏 技 术 的 同 时 需 适 应 业 务 需 求 ， 目 前 数 据 脱 敏 的 技 术 主 要 有 为 基 于 数 据 失 真 / 扰 乱 技 术 、 数 据 加 密 技 术 和 数 据 限 制 发 布 技 术 。 数 据 审 计 数 据 安 全 审 计 需 要 由 以 系 统 为 核 心 向 以 数 据 为 核 心 进 行 转 变 ， 覆 盖 数 据 处 理 各 参 与 方 以 及 整 个 数 据 生 命 周 期 ， 制 定 覆 盖 系 统 行 为 和 数 据 活 动 的 安 全 审 计 策 略 与 规 程 ， 明 确 审 计 对 象 、 审 计 目 的 、 审 计 内 容 、 审 计 方 法 、 审 计 频 度 、 相 关 角 色 和 职 责 、 管 理 层 承 诺 、 供 应 链 上 各 参 与 方 协 调 、 合 规 性 分 析 等 内 容 ， 建 立 数 据 安 全 审 计 规 程 与 协 调 机 制 ， 确 保 审 计 事 件 的 可 追 溯 性 。 数 据 销 毁 数 据 销 毁 主 要 是 指 获 得 组 织 、 用 户 的 授 权 许 可 或 请 求 后 对 数 据 进 行 清 除 或 销 毁 。 使 用 组 织 授 权 的 技 术 和 方 法 对 敏 感 信 息 进 行 清 除 或 销 毁 ， 保 证 无 法 还 原 ， 并 且 具 备 安 全 审 计 能 力 。 4 . 5   流 量 检 测 流 量 检 测 高 级 持 续 网 络 攻 击 ( A P T 攻 击 ) 能 利 用 各 种 攻 击 手 段 针 对 特 定 目 标 实 施 攻 击 ， 在 攻 击 后 进 行 伪 装 ， 基 于 特 征 检 测 和 行 为 检 测 的 传 统 威 胁 检 测 手 段 已 经 越 来 越 难 以 应 对 新 型 的 安 全 攻 击 手 法 ， 因 此 需 要 多 种 基 于 流 量 的 检 测 检 测 和 分 析 技 术 组 合 应 对 。 病 毒 检 测 技 术
通 过 对 流 量 中 的 文 件 还 原 ， 将 文 件 从 传 输 协 议 中 进 行 恢 复 。 恢 复 的 文 件 会 经 过 多 A V 检 测 模 块 ， 对 文 件 进 行 病 毒 查 杀 检 测 。 通 过 威 胁 情 报 对 还 原 的 文 件 h a s h 进 行 检 测 与 对 比 ， 检 查 文 件 是 否 为 流 行 恶 意 文 件 ； 通 过 文 件 规 则 检 测 ， 读 取 文 件 的 特 征 ， 检 测 文 件 特 征 是 否 命 中 文 件 特 征 ， 对 文 件 的 特 征 指 纹 进 行 安 全 检 查 。 基 因 检 测 技 术 传 统 安 全 威 胁 的 检 测 是 一 种 数 字 型 检 测 ， 即 使 A I 的 检 测 结 果 也 是 通 过 值 的 对 比 来 判 断 事 件 本 身 的 安 全 性 。 但 数 值 与 数 值 之 间 的 差 异 ， 容 易 产 生 误 判 。 转 换 成 基 因 图 谱 以 后 ， 无 论 文 件 如 何 改 变 、 内 容 混 淆 ， 转 后 的 图 谱 与 已 留 存 的 家 族 图 谱 的 内 容 几 乎 完 全 一 致 ， 误 判 率 很 低 ； 且 在 家 族 图 谱 的 存 储 过 程 中 ， 过 滤 变 化 的 内 容 ， 将 固 定 不 变 的 特 征 作 为 基 因 指 纹 ， 从 而 大 大 提 高 威 胁 变 种 的 检 测 效 率 。 沙 箱 检 测 技 术 沙 箱 是 一 个 封 闭 的 且 独 立 检 测 环 境 ， 类 似 于 蜜 罐 系 统 ， 用 于 检 测 网 络 攻 击 。 沙 箱 技 术 也 可 以 针 对   0 d a y   攻 击 ， 传 统 的 异 常 检 测 使 用 的 是 特 征 检 测 方 法 ， 而   0 d a y   攻 击 采 用 的 是 非 未 知 的 攻 击 技 术 ， 所 以 当 有   0 d a y   攻 击 时 ， 使 用 沙 箱 进 行 检 测 可 以 提 高 防 御 入 侵 的 能 力 ， 但 被 检 测 样 本 的 复 杂 性 和 多 样 性 使 得 沙 箱 检 测 变 得 非 常 局 限 。 异 常 检 测 技 术 异 常 检 测 主 要 是 识 别 异 常 活 动 ， 包 括 上 下 行 数 据 异 常 流 量 比 等 行 为 特 征 。 当 遇 到   A P T   中 的 0 d a y 攻 击 时 ， 没 有 异 常 的 特 征 故 无 法 检 测 ， 所 以 异 常 检 测 在 平 常 首 先 需 要 采 取 的 是 对 正 常 的 网 络 行 为 建 模 ， 当 检 测 的 行 为 与 建 模 行 为 有 偏 差 时 ， 就 存 在 网 络 攻 击 。 其 核 心 是 元 数 据 的 提 取 、 对 异 常 特 征 的 检 测 和 行 为 模 式 的 检 测 。 元 数 据 包 括 时 间 、 空 间 、 流 量 等 ， 用 少 量 的 数 据 去 检 测 是 否 异 常 ； 异 常 特 征 涵 盖 了 时 间 、 空 间 、 流 量 等 基 础 特 征 ， 也 可 以 用 于 互 相 计 算 而 得 出 的 新 特 征 ； 行 为 模 式 主 要 是 针 对 主 机 、 服 务 器 行 为 。 全 流 量 检 测 技 术 全 流 量 是 指 对 O S I 七 层 协 议 每 一 层 进 行 全 方 位 检 测 。 在 应 用 层 可 以 进 行 还 原 数 据 、 内 容 ， 如 还 原 下 载 附 件 ， 还 可 以 还 原 行 为 。 在 传 输 层 可 以 检 测 流 量 其 是 否 加 密 ， 或 者 检 测 数 据 格 式 ， 还 可 以 检 测 对 消 息 的 控 制 和 管 理 。 网 络 层 是 端 到 端 的 检 测 ， 可 以 检 测 数 据 包 的 大 小 ， I P   地 址 等 。 数 据 链 路 层 是 单 链 路 上 的 数 据 检 测 。 物 理 层 则 可 以 用 于 检 测 帧 、 电 流 、 信 号 等 。 攻 击 溯 源 分 析 网 络 攻 击 溯 源 通 常 是 在 网 络 攻 击 时 对 攻 击 者 的 查 找 ， 对 应 用 层 的 I D   映 射 到   I P 地 址 后 ， 将 应 用 层 溯 源 转 化 成 网 络 层 的 溯 源 ， 溯 源 内 容 包 括 攻 击 者 发 起 的 相 关 信 息 ， 如 使 用 的 设 备 、 I P 、 邮 件 、 日 志 、 路 由 信 息 等 等 。 然 后 可 以 将 这 些 信 息 进 行 关 联 分 析 ， 提 取 特 征 或 者 找 出 交 集 ， 有 利 于 对 攻 击 源 的 快 速 定 位 、 重 建 攻 击 链 和 识 别 攻 击 意 图 。 在   A P T   检 测 中 ， 安 全 人 员 一 般 先 检 测 出 攻 击 或 者 预 测 出 攻 击 ， 根 据 检 测 或 者 预 测 的 结 果 进 行 碎 片 关 联 分 析 ， 最 后 查 找 攻 击 源 。 4 . 6   攻 击 溯 源 攻 击 溯 源 组 织 的 攻 击 溯 源 能 力 是 网 络 安 全 运 营 体 系 的 重 要 组 成 部 分 ， 通 过 对 资 产 与 流 量 进 行 分 析 一 定 程 度 上 还 原 攻 击 者 的 攻 击 路 径 与 攻 击 手 法 ， 有 助 于 提 高 组 织 主 动 防 御 的 能 力 。 攻 击 溯 源 能 力 应 从 应 急 响 应 流 程 为 出 发 点 ， 结 合 组 织 自 身 管 理 要 求 ， 构 建 以 下 能 力 ： 事 件 取 证 能 力 事 件 取 证 能 力 属 于 取 证 技 术 的 一 种 ， 主 要 归 类 为 信 息 发 现 技 术 ， 对 能 够 获 取 的 原 始 日 志 做 进 一 步 的 分 析 和 关 联 判 断 ， 如 在 入 侵 事 件 发 生 时 段 内 资 产 的 系 统 负 荷 、 系 统 的 访 问 记 录 、 I P 来 源 。 同 时 ， 能 够 支 持 攻 击 、 入 侵 、 篡 改 等 安 全 事 件 发 生 后 的 取 证 能 力 ， 包 括 页 面 内 容 获 取 与 比 对 、 文 件 快 照 等 。 事 件 管 理 能 力
安 全 事 件 主 要 由 安 全 设 备 分 析 后 上 报 的 事 件 以 及 人 工 发 现 的 安 全 事 件 ， 事 件 管 理 能 力 支 持 各 类 安 全 事 件 的 集 中 接 入 和 解 析 呈 现 ， 并 能 够 对 安 全 事 件 做 初 步 的 归 一 化 处 理 ， 发 现 重 大 安 全 事 件 的 告 警 和 应 急 上 报 流 程 。 资 产 关 联 能 力 资 产 关 联 能 力 能 够 与 组 织 内 的 配 置 管 理 系 统 、 资 产 管 理 系 统 进 行 资 产 同 步 ， 在 发 现 安 全 事 件 告 警 后 能 够 准 确 地 定 位 到 资 产 的 详 细 信 息 和 责 任 人 ， 如 安 全 资 产 的 价 值 、 安 全 资 产 所 属 的 安 全 域 信 息 ， 以 便 进 一 步 做 出 应 急 处 置 判 断 。 同 时 ， 能 够 与 其 他 多 个 安 全 平 台 对 接 ， 实 现 多 业 务 联 动 处 置 ， 做 到 人 员 、 技 术 、 平 台 多 维 度 联 动 。 行 为 溯 源 能 力 行 为 溯 源 属 于 网 络 追 踪 技 术 的 一 种 形 态 ， 网 络 追 踪 技 术 是 指 通 过 收 集 分 析 网 络 中 每 台 主 机 的 有 关 信 息 ， 找 到 事 件 发 生 的 源 头 ， 确 定 攻 击 者 的 网 络 地 址 以 及 展 开 攻 击 的 路 径 ， 将 攻 击 者 在 网 络 中 的 活 动 轨 迹 进 行 串 接 ， 通 过 准 确 分 析 安 全 事 件 路 径 ， 为 实 现 近 源 端 拦 截 提 供 技 术 支 撑 。 通 常 的 溯 源 路 径 为 追 踪 溯 源 攻 击 主 机 、 追 踪 溯 源 攻 击 控 制 主 机 、 追 踪 溯 源 攻 击 者 、 追 踪 溯 源 攻 击 组 织 。 4 . 7   U E B A G a r t n e r 率 先 提 出 了 用 户 行 为 分 析 U B A ( U s e r   B e h a v i o r   A n a l y t i c s ) 的 概 念 ， 旨 在 应 对 日 益 增 长 的 内 部 威 胁 。 后 来 ， 实 体 （ E n t i t y ） 的 概 念 又 被 引 入 了 U B A 技 术 ， 并 逐 步 演 进 成 U E B A ， 其 中 E 更 多 是 指 I T 资 产 或 设 备 ， 包 括 服 务 器 、 终 端 、 网 络 设 备 等 ， 通 过 对 它 们 的 行 为 异 常 分 析 可 以 发 现 外 部 或 的 网 络 攻 击 行 为 。 用 户 和 实 体 行 为 分 析 是 一 种 面 向 用 户 和 实 体 的 行 为 ， 通 过 对 行 为 进 行 建 模 以 创 建 基 线 ， 采 用 高 级 数 据 分 析 方 法 （ 如 机 器 学 习 等 方 法 ） 对 用 户 和 实 体 行 为 进 行 分 析 ， 并 刻 画 用 户 和 实 体 行 为 基 线 的 技 术 ， 最 后 将 其 用 于 评 估 潜 在 风 险 。 用 户 和 实 体 行 为 分 析 与 传 统 的 网 络 安 全 检 测 手 段 最 大 的 区 别 在 于 ， 传 统 的 检 测 手 段 主 要 关 注 安 全 事 件 ， 而 用 户 和 实 体 行 为 分 析 是 面 向 行 为 的 。 用 户 和 实 体 行 为 分 析 的 重 点 在 于 分 析 用 户 和 实 体 的 行 为 ， 而 行 为 分 析 更 便 于 推 测 出 用 户 或 者 实 体 行 为 的 意 图 ， 可 在 海 量 的 数 据 中 发 现 用 户 和 实 体 的 可 疑 行 为 。 用 户 和 实 体 行 为 分 析 的 数 据 来 源 包 括 用 户 信 息 、 应 用 日 志 、 设 备 资 产 信 息 、 网 络 流 量 、 主 机 日 志 和 数 据 库 日 志 等 数 据 ， 从 数 据 中 提 取 用 户 和 实 体 的 各 种 行 为 ， 使 用 高 级 数 据 分 析 方 法 进 行 行 为 分 析 ， 并 构 建 用 户 和 实 体 的 行 为 基 线 或 模 型 ， 将 偏 离 了 行 为 基 线 的 行 为 视 为 异 常 。 U E B A 通 过 基 于 正 常 行 为 为 人 和 机 器 行 为 创 建 基 线 来 进 行 操 作 。 使 用 数 据 科 学 创 建 用 户 或 实 体 的 每 个 适 用 属 性 的 行 为 模 型 。 给 定 足 够 的 数 据 ， 可 以 识 别 出 表 示 典 型 行 为 的 趋 势 。 与 该 基 准 的 偏 差 很 容 易 被 视 为 异 常 行 为 和 潜 在 威 胁 。 U E B A 可 以 帮 助 安 全 运 营 团 队 发 现 网 络 中 隐 藏 的 、 或 未 知 威 胁 ， 包 括 外 部 攻 击 和 内 部 威 胁 ； 可 以 自 适 应 动 态 的 环 境 变 化 和 业 务 变 化 ； 通 过 异 常 评 分 的 定 量 分 析 ， 分 析 全 部 事 件 ， 无 需 硬 编 码 的 阈 值 ， 即 使 表 面 看 起 来 细 微 的 、 慢 速 的 、 潜 伏 的 行 为 ， 也 可 能 被 检 测 出 来 。 4 . 8   欺 骗 防 御 欺 骗 防 御 面 对 各 类 新 型 的 攻 击 手 段 ， 仅 从 防 御 者 的 角 度 出 发 、 沿 袭 以 往 的 修 补 漏 洞 、 事 后 审 计 等 传 统 网 络 安 全 防 御 思 路 已 经 落 后 ， 因 此 必 须 转 换 思 路 ， 引 入 更 主 动 的 、 基 于 攻 击 者 视 角 的 网 络 安 全 新 理 念 。 而 欺 骗 防 御 则 是 在 这 样 的 背 景 下 催 生 的 一 门 新 兴 前 沿 网 络 安 全 技 术 。 欺 骗 防 御 技 术 是 当 前 网 络 安 全 防 御 理 念 的 一 个 重 大 转 变 ， 网 络 安 全 防 御 体 系 中 的 重 要 组 成 部 分 。 与 传 统 的 “ 御 敌 于 国 门 之 外 ” “ 消 灭 一 切 漏 洞 和 安 全 隐 患 ” 的 安 全 防 御 理 念 有 所 不 同 ， 欺 骗 防 御 技 术 是 一 种 主 动 式 防 御 手 段 。 基 于 欺 骗 的 防 御 技 术 是 防 御 方 为 改 变 网 络 攻 防 不 对 称 格 局 而 引 入 的 一 种 新 思 路 ， 其 核 心 思 想 是 通 过 干 扰 攻 击 者 的 认 知 以 促 使 攻 击 者 采 取 有 利 于 防 御 方 的 行 动 ， 从 而 记 录 攻 击 者 的 活 动 与 方 法 、 增 加 其 实 施 攻 击 的 代 价 、 降 低 其 攻 击 成 功 的 概 率 。 基 于 杀 伤 链 攻 击 模 型 在 欺 骗 防 御 中 的 应 用 如 下 ： 侦 查 阶 段 和 武 器 化 阶 段
组 织 需 要 识 别 和 确 定 目 标 ， 根 据 目 标 环 境 决 定 采 取 的 方 法 ， 如 确 定 目 标 操 作 系 统 、 安 全 防 护 软 件 、 应 用 软 件 、 存 在 的 漏 洞 等 。 在 此 阶 段 可 以 通 过 隐 藏 操 作 系 统 类 型 、 提 供 虚 假 设 备 、 提 供 虚 假 服 务 等 手 段 ， 从 而 误 导 攻 击 者 的 武 器 研 制 以 挫 败 攻 击 ， 或 将 攻 击 者 注 意 力 转 移 到 虚 假 目 标 上 从 而 发 现 攻 击 。 投 送 阶 段 在 此 阶 段 攻 击 者 要 将 生 成 的 攻 击 代 码 发 送 至 目 标 系 统 以 建 立 初 步 的 立 足 点 。 常 用 的 方 法 包 括 钓 鱼 邮 件 、 水 坑 攻 击 、 恶 意 站 点 等 。 此 时 ， 组 织 的 网 络 欺 骗 防 御 与 边 界 防 御 设 备 相 结 合 ， 当 边 界 防 御 设 备 检 测 到 恶 意 特 征 之 后 则 将 攻 击 流 量 转 移 到 欺 骗 环 境 ， 也 可 以 通 过 改 变 组 织 结 构 外 形 使 得 攻 击 代 码 被 投 送 到 错 误 的 目 标 。 漏 洞 利 用 阶 段 和 安 装 阶 段 在 此 阶 段 当 检 测 到 针 对 漏 洞 的 利 用 企 图 时 ， 透 明 的 将 攻 击 者 的 探 测 流 量 转 移 到 未 打 补 丁 的 诱 饵 ， 诱 饵 将 会 返 回 存 在 漏 洞 的 响 应 。 同 时 ， 可 以 在 系 统 中 留 下 欺 骗 防 御 技 术 的 特 征 ， 使 攻 击 者 以 为 攻 击 行 为 被 记 录 从 而 阻 止 进 一 步 攻 击 动 作 。 命 令 控 制 与 任 务 执 行 执 行 的 任 务 可 以 分 为 两 种 ， 一 种 是 控 制 系 统 以 作 为 跳 板 进 一 步 渗 透 ， 另 一 种 是 获 取 系 统 上 的 数 据 资 源 。 对 于 以 控 制 系 统 为 主 的 攻 击 ， 任 务 执 行 相 当 于 再 次 发 起 攻 击 ， 即 新 一 轮 的 侦 查 ， 通 过 在 网 络 中 布 设 欺 骗 防 御 环 境 可 以 检 测 到 被 控 节 点 。 而 对 于 以 系 统 数 据 为 目 标 的 攻 击 ， 如 果 攻 击 者 访 问 了 作 为 入 侵 指 示 器 的 数 据 资 源 同 样 意 味 着 攻 击 暴 露 。 通 过 进 行 欺 骗 防 御 技 术 可 以 有 效 弥 补 传 统 安 全 防 御 手 段 应 对 高 层 次 网 络 攻 击 中 存 在 的 局 限 性 和 不 足 ， 提 高 组 织 安 全 事 件 发 生 时 的 分 析 和 响 应 速 度 。 此 外 ， 捕 获 的 攻 击 数 据 可 加 工 形 成 标 准 的 本 地 威 胁 情 报 输 出 ， 在 其 他 安 全 设 备 和 安 全 子 系 统 中 流 动 ， 增 强 组 织 原 有 安 全 体 系 整 体 防 护 能 力 。 4 . 9   威 胁 情 报 威 胁 情 报 4 . 1 0   S O A R 4 . 1 1   S I E M / S O C / 态 势 感 知 态 势 感 知 长 按 下 方 二 维 码 或 点 击 底 部 【 阅 读 原 文 】 查 看 完 整 文 章 内 容 长 按 下 方 二 维 码 或 点 击 底 部 【 阅 读 原 文 】 查 看 完 整 文 章 内 容 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理