2024年天津市网络安全态势感知技术交流

天津市网络安全态势感知平台技术交流数据驱动安全李晗议程介绍数据驱动安全技术/产品态势感知平台案例PaulCannon通过海量数据的收集、分析与展现，帮助企业获得更好的全局可见性和安全智能，从而抵御新型安全威胁和内部人员监守自盗。数据驱动安全瀚思安信专注于大数据安全分析已拥有招商银行、公安部、天津滨海公安、东风日产、一汽大众、北京联通、河北金融学院、北京燃气集团等十余家客户，涵盖公安、金融、电信、制造、政府等领域。积极拓展大数据安全行业与标准联盟，包括加入《CNCert中国互联网网络安全威胁治理联盟》，与公安部三所共同制定大数据安全体系标准，参与制定数据治理国家标准，与华为达成大数据生态战略合作等。瀚思于2015年获得美国硅谷RedHerring全球创新公司百强、亚洲创新公司百强，为上榜唯一中国安全企业。2015中国信息产业年度人物获得者。4从安全运维中心到安全智能中心从少量单一数据向海量丰富大数据的转变；从基于规则匹配向数据建模，机器学习智能化的转变；从短时间状态监控向长周期趋势变化及动态基线转变；从单一安全事件监控向整体安全态势感知的转变；从依靠自身安全能力为向威胁情报共享，风险预测的转变；洛克希德･马丁公司，2015.9新型信息安全防御体系基于传统安全设备的纵深防御模型是基础；基于大数据技术的实时异常行为检测和持续监控是核心；外部安全威胁情报是重要组成部分；人员和流程是关键要素；安全威胁情报纵深防御大数据安全分析人员流程大数据安全分析系统工作流程搜索和检测监控和告警报表和分析机器学习和模式识别存储和索引安全知识库异常发现流程分布式

机器学习算法Spark集群日志

解析建模器异常检测异常

访问历史学习实时异常检测关联安全

事件历史日志实时日志系统其它日志正常访问

模型HanSightEnterprise可以解决哪些棘手的安全问题？

难于发现外部的网络攻击事件，如：撞库攻击、低速口令探测行为、未知WEB攻击、网站挂马等；内部用户/网络/应用的异常行为，如：低速扫描、用户异常登录、权限的异常变更、僵尸主机、敏感数据泄露等；大量误报的安全告警，如：安全事件与后台系统不一致、相应系统已打补丁等；特定场景下的业务安全，如：账户异常检测、异常用户行为检测、异常业务检测等；案例：某市政府行政审批网站访问来源分析行政审批网站主要是为该市企事业单位提供服务，而从访问热力图看出很多访问来自全国各地乃至美国、日本、欧洲、南非，这是什么原因？深入分析：国外异常访问所有境外网站都获取”cache/global/img/gs.gif”文件进一步此文件后，发现是木马，可确定服务器被当成C&C服务器深入分析：国内异常访问全国各地都有用户从网站直接下载“sysfiles/IE11-Setup-Full-32bitieak.exe”，而网站页面没有此文件链接进一步分析此文件，发现文件是在IE11安装包上进行修改，将hao123作为首页，可确定网站被作为广告软件的流量分发服务器这些文件怎么来的？进一步分析其它日志，发现网站存在SQL注入漏洞，并且有攻击者通过SQL注入工具进行攻击的证据攻击者通过SQL注入漏洞获得WebShell权限后，可完全控制网站服务器，包括文件上传。某攻击者的攻击行为举例：阶段一：利用工具BBScan进行网站的信息泄露扫描。从2016/04/2219:32:51~19:32:52的2秒钟内，向网站发出了380个请求，希望利用这些请求得到网站的关键信息，下面是一些典型的URL请求：/passwd.txt/password.txt/settings.ini/user.sql……所有的URL请求都没有成功，所以信息泄露扫描没有成功。阶段二：利用浏览器访问网站，了解网站登录机制，为阶段三的SQL注入攻击做准备。时间为2016/04/2219:33:56~19:34:55的1分钟内阶段三：利用工具sqlmap对网站进行SQL注入攻击。从2016/04/2219:35:47~19:37:55的2分钟内，利用sqlmap这个SQL注入测试工具对网站进行了200多次SQL注入攻击并成功获得管理员密码。安全态势感知理解构建一个集网络安全态势感知、通报预警和威胁线索分析为一体的综合平台，涵盖安全态势提取、评估和预测预警等功能，能够及时掌握本地网络安全状况，降低网络危险，防范和打击网络违法犯罪，提升感知网络攻击及系统应急响应的能力建设内容一是按照公安部和天津市的统一部署，建设网络安全感知平台；二是遵循统一的数据接口规范进行数据采集和监测分析，实现标准规范的工作流程和通报预警；三是通过大数据技术进行汇总、分析，可视化展示分析结果方案概述方案概述：通过部署大数据安全分析系统提高互联网区和政务外网区，安全监控、分析及响应能力；数据源范围：安全设备、日志应用系统日志（门户网站等）；预期效果：安全可视化呈现、对未知威胁和异常行为的发现、定期产生国家信息中心的报告报表；建设思路建设范围项目建设内容安全生产体系安全监测模块、态势感知模块、情报信息模块数据管理体系数据采集模块、基础数据管理模块、数据接口模块应用管理体系追踪溯源模块、通报预警模块、等级保护模块、快速处置模块、侦查调查模块运维支撑体系平台管理模块、运维监控模块、身份认证模块可视化展示总体架构安全监测互联网省市出口（运营商）外部安全设备（漏洞扫描、威胁发现等）重点单位网络出口关键单位安全设备、WEB、应用日志应用类系统数据管理态势感知追踪溯源等级保护通报预警侦查调查快速处置展示数据存储基础数据管理情报信息运维支撑基础数据平台管理运维页面监控认证数据接口管理数据采集基础库情报库设备库案(事)件库重点部分系统结构图分层设计数据源层数据采集层安全分析层可视化展现层统一管理平台与认证管理安全监测网络安全态势感知与预警平台（集中展示）互联网省市出口数据源：数通设备等可以提供的安全服务：数据分析、威胁分析、统计、告警响应、事件处置重点单位网络出口数据源：防火墙、数通、负载均衡IPS、IDS、抗DDOS攻击、安全审计可以提供的安全服务：数据分析、威胁分析、统计、告警响应、事件处置重点单位数据中心数据源：防火墙、IPS、IDS、抗DDOS攻击、安全审计、服务器、中间件、WEB、APP等可以提供的安全服务：数据分析、威胁分析、统计、告警响应、事件处置外部安全设备数据源：告警日志、流量摘要信息可以提供的安全服务：数据分析、威胁分析、统计、告警响应关键安全技术基础数据管理序号资产属性1

资产编号2

资产名称3

资产IP4

所属安全域5

资产类型6

品牌型号7

重要程度8

开放端口9

漏洞信息10

地理位置信息11

所属应用系统12

资产所属部门13

资产负责人序号人员属性1姓名2账号3所属部门4职位5IP地址6MAC地址7电话8邮箱运维支撑体系平台部署综合展示告警地图归并分析偏离分析（举例：系统登录失败）行为统计（举例：病毒）和弦图（举例：用户与设备）流量分析病毒云图用户邮件用户设备邮件用户办公室案例分享：天津滨海公安大数据安全分析项目安全架构日趋复杂、新型技术不断涌现：不但有传统物理服务器、网络设备和安全设备，也有虚拟机和虚拟设备；不仅有C/S,B/S架构传统应用，也有IaaS，SaaS等新型服务。安全数据快速增长，数据快速处理能力不足：每台物理设备每天生成5万至50万条安全事件，全网带宽也从百兆提升至千兆，每年需处理的安全数据在10TB数量级，而现有安防系统的处理能力仍停留在1TB数量级，快速提取有价值的数据进行分析。安全处理能力分散，未能形成整合优势：现有安全处理方式仍然按照防火墙、病毒防范、行为审计等独立事件进行处理，未能整合安全事件之间的相互关系、行为关联来产生总体安全态势，缺乏科学决策提供依据。解决方案整合传统安全、云安全和大数据安全，构建新型安防管控综合平台基础架构。实现全网安全基础信息采集子系统和存储子系统。完成现有安全监控体系进行云化改造。实现安全事件追踪溯源和风险预警等分析功能。云终端设备移动、终端设备数据大集中云数据云基础设施虚拟化部署前后对比在安全设备与网络设备方面。对于数据的存储和分析能力得到很大的提升，以往的技术1秒最多存储2000条日志，无法满足我局每天几亿条日志的存储要求；由于数据的存储限制，对各种安全设备和网络设备难以进行统一的检测、展现，许多珍贵的信息数据被删除；造成各设备的独立性，无法最大程度的利用数据并找出数据与数据之前的关联性；之前的安全管理方式还是被动式、孤岛式的，一是不能准确了解各种安全设备的配置是否合理；不能应对现有安全设备发现不了的未知威胁。在安全设备与网络设备方面。对于数据的存储和分析能力得到很大的提升，现在可以达到1秒存储30000条，性能提高了十几倍，实现了安全数据的全量存储，并通过对全量数据的专业化处理；大大提升了各种安全设备和网络的存储容量。找到数据与数据之前的关联性，并进行快速分析，还原出问题的真相，最终实现数据的“增值”；对于我局整体的安全状况更加了解，同时发现一些安全设备在配置规则上的薄弱环节加以改善对一些未知威胁可以成功预警；部署前状态部署后效果案例介绍：招商银行大数据安全分析项目“网上银行系统”作为招商银行最为重要的业务系统，每天都会产生大量日志，遗憾的是由于处理能力所限，

招行现有HPArcSight系统只能处理10小时内产生的日志。从而造成招行无法对这些日志进行长周期、大数据量的关联分析，进而发现潜在的威胁。招行急需一个大数据安全分析平台，以便对包括网银日志及SIEM系统事件进行长周期集中保存，并进行关