信息安全-终端检测响应平台EDR解决方案

第一章概述

二十一世纪以计算机和网络通信为代表的信息化技术迅速发展，现代政府

部门、金融机构、企事业单位和商业等组织的日常办公对信息系统以及计算机终

端愈发依赖，信息技术几乎渗透到了世界的各行各业及工作生活的方方面面。组

织机构的正常运行高度依赖于信息系统，而针对其所承载的服务和数据的安全

保护就显得尤为重要，如数据的安全性、完整性，终端计算机的可靠性、可用性

等方面出现缺陷，将会给组织机构带来不可计量的损失。而如今，全球化的互联

网使得组织机构不仅依赖信息系统，还不可避免地通过计算机与外部的信息系

统建立密切联系。面对来自外部以及内部的威胁，对信息系统及系统终端的保护

需求则更为突出。

第二章面对日益严峻的安全风险，大部分组织机构通过以边界安全网关类

设备为基础构建信息系统安全防护体系，并在一定程度上抵御来自外部的

攻击，然而内部信息系统是不断变化发展的，系统环境在任何时刻都会呈

现开放、共享等特点，不应以孤岛形式存在，外部威胁只是安全风险的一部

分，作为办公环境的重要组成，开放的信息系统及办公计算机终端环境将

面临更为严峻的内部威胁挑战。正因如此，终端的安全性显得格外重要且又

是容易被忽略的安全薄弱环节。

第三章XX终端计算机具有点数多、覆盖面大、难管理等特点，加之XX信

息安全人员人手有限，终端分布环境复杂，威胁风险事件较多，使信息安

全人员对终端安全工作处于被动状态。在终端安全方面，一旦出现病毒感染、

恶意破坏传播、数据丢失等事件，将会给XX造成严重损失，后果不堪设想。

现由于XX各部门及员工对计算机的合规使用、对终端安全以及病毒防范的

意识和能力参差不齐，已严重影响到计算机信息系统安全性。正因如此，全

方位做好XX信息系统的终端安全防护工作，在XX建设一套终端安全检测与

响应系统，以确保XX的日常办公安全、稳定、高效运行。

第四章应用场景与风险分析

4.1防病毒应用概况

4.1.1信息化飞速发展，组织内部人员的正常办公，与计算机终端密不可

分，它为使用者带来便利同时，亦产生了层出不穷的安全威胁。这其中就

以计算机病毒最为致命，它具有破坏性强、传播途径多样等特点，一旦感

染将会给XX造成巨大损失。针对于此，XX在现有信息系统中通过部署**

防病毒产品，用以防御已知威胁，这在一定程度上确实能够提升终端安

全防护水平，但就日前信息化技术发展来说，如勒索病毒大范围感染传

播事件，攻击者的免杀技术不断升级，传统防病毒产品已无法及时有效

的应对新的高级威胁。

4.1.2现状及风险分析

4.1.2.1人工运维加剧威胁防御成本

4.1.2.2传统终端安全产品以策略、特征为基础，辅以组织规定以及人员操作

制度驱动威胁防御，勒索病毒等高级威胁一旦产生，将会在内部不可

控的感染传播。信息系统的恢复工作，需要逐台逐点完成，大量人工

成本呈几何增长态势。

4.1.2.3另外针对新型病毒而言，需要充分研究其技术特点，以针对性的防御

措施进行加固，这就对企业运维人员的专业性要求极高，那么面对层

出不穷的新型威胁，现阶段以传统防病毒产品为基础进行有效应对难

度较大。

4.1.2.4基于特征匹配杀毒无法有效抵御新型病毒

4.1.2.5已有防病毒产品基于病毒特征库方式进行杀毒，在高级威胁持续产生

的大环境下，呈现被动、后知后觉等检测特点，无法及时有效防御新

型病毒，如WannaCry勒索病毒。另外，本地特征库数量受存储、性能、

资源等多方面影响，现有本地特征库文件规模无法满足已知病毒的查

杀需求。

4.1.2.6病毒特征库数・增长加重主机运算资源

4.1.2.7伴随着己知病毒样本的不断增加，本地病毒特征库数量日益增多，现

已严重加剧终端存储、运算资源成本，查杀病毒过程会出现卡顿、假

死等现象，严重影响用户日常办公。而信息系统环境亦会伴随着信息

技术更新而迭代，现有防病毒产品已无法适配如云化等新的特定场景。

4.1.2.8杀毒处置方式落后无法适应病毒新的传播方式与环境

4.2如信息系统内某台终端发现病毒，防病毒产品将采取基于文件隔离的

方式进行处置，此种方式相对落后，如文件隔离失败情况产生，单点

威胁将快速辐射到面，因此传统防毒产品已经无法适应新的病毒传播

方式及环境。

4.3终端间访问控制应用概况

4.3.1一直以来，企业广泛的采用纵深防御技术

(defensindepth)和最小权限逻辑(leastprivilege)

来进行企业网络安全管理。而隔离是实现这两个理念的

基本方式，例如传统安全管理中，通过边界部署防火墙

来实现可信网络与外部网络的隔离，内部不同安全级

别间划分安全域，域间通过防火墙实现隔离，并通过设

置安全策略按需赋予访问权限。

4.3.2现状及风险分析

4.3.2.1终端间缺少基本的访问控制体系

4.3.2.2从近年来的安全事件我们可以看到，攻击者从以破坏为主的攻击逐渐

转变为以特定的政治或经济目的为主的高级可持续攻击。无论从著名

的LockheedMartinCyberKillChain（洛克希德-马丁公司提出的网

络攻击杀伤链），还是近年名声大噪的勒索病毒、挖矿病毒，这些攻

击都有一些显著特点，一旦边界的防线被攻破或绕过，攻击者就可以

在数据中心内部横向移动，而中心内部基本没有安全控制的手段可以

阻止攻击。这也突出了传统安全的一个主要弱点，复杂的安全策略、

巨大的资金和技术都用于了边界防护，而同样的安全级别并不存在于

内部。

4.3.2.3终端间访问关系无法有效可视

4.4对终端间访问关系的梳理必不可少，若通过路由表单等静态报表很难

看到每个业务域内部各个终端的访问关系展示以及访问记录，也无法

通过可视化的方式看到每个业务域之间的访问关系展示以及每个业务

域的流量状态、访问趋势、流量排行

4.5设备联动应用现状

4.5.1XX网络的建设伊始及后续应用，就与外部网络存在密不可分的连通

性，资料查阅、信息交流、数据共享等行为普遍存在，这使得XX办公人

员大大增加了工作便捷性。然而，网络化办公增加工作效率同时，由此产

生的外部威胁、非法操作行为即随之而来，正因如此，XX在现有信息系

统中通过部署深信服下一代防火墙AF、行为管控AC.安全感知平台SIP

等设备，以便达到抵御外部攻击威胁、规范化组织用户上网行为、感知网

络威胁等效果，这些技术措施的良好运用，有效增强了信息系统安全性。

然而安全体系的建设应呈现一体化形态，各安全设备分散应用、各自为战,

无法有效实现安全防护工作的进一步增值，病毒威胁一旦感染至终端，

前期所做一切工作将形同虚设。

4.5.2现状及风险分析

4.5.2.1未构成整体安全防护体系

4.5.2.2传统安全防护工作的建立，必然与各安全设备形成密不可分的关系，

但术业有专攻，目前各安全设备只可达到职责范围内的对应防护效果,

即各系统只可对其涉及的对象进行安全管理，查看相应信息、检测对

应流量、收集安全日志，各系统的功能及信息均呈现分散特点，未有

效整合安全防御能力，并形成整体化的安全防护体系。

4.5.2.3缺乏设备间有效联动机制

4.5.2.4安全威胁的产生不会因为防御技术的升级而终止，面对层出不穷的威

胁，诸多安全设备各司其职、各自为战，安全设备间未形成有效的联

动机制，威胁一旦在某点爆发将快速影响到面，然而现阶段，有效应

对及响应手段只可依靠人工。

4.5.2.5安全防护能力不可延伸至端点

前期已建设的深信服AC.AF、SIP等系统，在安全防护能力方面，更多偏重

于网络层面，无法延伸至端点。然而就终端而言，其有效使用与XX用户日常工

作密不可分，终端作为安全防护工作的最后一公里，重要程度不言而喻，新型

勒索病毒等威胁一旦出现，将不可控的感染至终端，而此时维护工作量大、恢复

难度高、感染覆盖面广等等问题均全面暴露，给XX造成不可预估的损失。

第五章建设思路

综上所述,XX已在信息系统内部建立防病毒、防火墙、上网行为管理、安全感知的系统,

但以新型威胁、终端安全等角度为出发点，仍存在诸多不足。本方案将设计通过深信服终端

检测与响应系统（以下简称"EDR"）进行XX终端安全防护项目建设,EDR是深信服公司提

供的一套综合性终端安全解决方案，方案由轻量级的端点安全软件和管理平台软件共同组

成。EDR以具有自主知识产权的创新型SAVE人工智能弓擎为核心，通过预防、防御、检测、

响应赋予终端更为精准、持续的检测、快速处置能力，应对高级威胁同时实施联动协同、威

胁情报共享、智能响应机制，可以实现威胁快速检测、有效处置终端一系列安全问题，构建

全新智能化的下一代终端安全系统，为XX提供行之有效的整体安全防御体系。

图3-1项目建设思路

5.1构建多维度威胁防御体系

5.2通过EDR的全面部署应用，提供全网终端病毒、木马、入侵攻击等威

胁防御能力，通过EDR人工智能SAVE引擎、全网信誉库、云查引擎、

行为分析等技术，全面应对威胁，有效防御新型未知病毒的感染与传

播，解决现有信息系统安全问题，构建百分百多维度威胁防御体系。

5.3建设多平台立体防御壁垒

5.4通过EDR的全面部署应用，提供多安全平台联动机制，EDR可与深信服

AC.AF、SIP进行联动，实现威胁情报的共享与接收效果。EDR在收到

其他设备发送的威胁情报时，可第一时间进行隔离处置，有效缩短威

胁响应时间，智能化的处置方式，大大减少管理人员维护工作量、提

开安全防护水平，并全面形成多平台立体防御壁垒。

5.5设计原则

5.5.1对于XX网络终端安全防护工作，应当以威胁风险为核心，以重点

保护为原则，从使用的角度出发，重点保护信息系统计算机，在项目建

设中应当遵循以下的原则。

5.5.2适度安全原则

5.5.3任何信息系统都不能做到绝对的安全，在进行终端安全防护建设中,

要在安全需求、安全风险和安全成本之间进行平衡和折中，过多的安全要

求必将造成安全成本的迅速增加和运行的复杂性。

5.5.4适度安全也是项目建设的初衷，因此在进行项目建设的过程中，一

方面要严格遵循基本要求，另外也要综合成本的角度，针对XX终端的实

际风险，提出对应的保护强度，并按照保护强度进行安全防护系统的设

计和建设，从而有效控制成本。

5.5.5技术管理并重原则

5.5.6信息安全问题从来就不是单纯的技术问题，把防范黑客入侵和病毒

感染理解为信息安全问题的全部是片面的，仅仅通过部署安全产品很难

完全覆盖所有的信息安全问题，因此组织机构后续还应制定有效的管理

制度，使技术与管理相结合，更有效的保障系统的整体安全性。

5.5.7合规性原则

5.5.8终端安全防护应当考虑与国家相关标准的符合性，在本次项目建设

中，采用的EDR必须满足国家法律法规的标准要求。

5.5.9成熟性原则

5.5.10采取的安全措施和产品，在技术上是成熟的，是被检验确实能够解

决安全问题并在很多项目中有成功应用的；

5.5.11综合治理原则

5.6在本项目中，内网终端的安全保护不仅仅是一个技术问题，各种安全

技术应该与运行管理机制、人员的思想教育与技术培训、安全法律法

规建设相结合，从多角度综合考虑。

5.7建设范围与规模

本项目将为XX信息系统构建全网终端安全防护体系，建设EDR系统，保证

内部终端安全、可控、可审计。

本次项目建设的范围包含XX全单位、涉及服务器**点、终端**点。

第六章方案设计

6.1总体架构

＞综上，结合现状以及方案建设思路，本次项目设计采用EDR系统进行建

设，系统主要由基础平台、核心引擎、系统功能三部分组成：

基础平台：

＞由主机代理、恶意文件查杀引擎、WEB控制台三部分组成，该平台提供

EDR系统良好运行的基础支撑，提供终端安全防护功能的基本运行环境,

负责功能指令以及消息的接收、发送、执行;

＞核心引擎：

＞由人工智能SAVE引擎、云端威胁情报、第三方引擎所组成，用以实现病

毒有效检测以及快速响应功能。

系统功能：

系统功能展现则由预防、防御、检测、响应四部分组成，通过上述四部分功

能对终端赋予加固措施，有效抵御病毒木马等威胁，实现安全有效的终端防护

效果。

系统总体架构如下图所示：

图4-1总体架构

6.2产品设计理念

Gartner自适应闭环架构四阶段模型，四个阶段共定义了12个建议项用来完善四阶段模型的

各个防护阶段，深信服EDR是业界唯一完全满足12个建议项的终端安全厂商

预防、颈测组织防护

主动风险分析强化和隔离系统

系统滑洞检测微隔离

ProactiveriskanalysHardenandisolatesystems

人工智能—预测攻击转移攻击者

勒索诱捕

SAVE引擎PredictattacksDivertattacks

基线系统阻止事件

安全基线核查一键隔离

BaselinesystemsPreventissues

修复与进行变更检测事件文件实时监控

文件修复

Remediate/MakechangeDetectissues主动扫描

网端联动设计/模式变更CoS^es终端围剿式查杀

持续迭代Design/Modelchange

调查与取证确认风险并按优先级排列麻肺等切分举

溯源分析

InvestigateForensicsConfirmandprioritizerisk以物可3万尖

响应、调查检测、监控

6.2.1预防阶段

>通过【系统漏洞检测]来进行【主动风险分析】，明确系统层面的漏洞风险是否为可接

受风险

>通过【人工智能引擎SAVE],具有强泛化能力，可以使用半年前引擎模型即可查出最新

勒索病重，【预测变种攻击】

>通过【安全基线核查I।明确等保合规或者【安全基线】是否达到预期

6.2.2防护阶段

>通过【微隔离】【强化和隔离系统】，细粒度管控终端间访问关系开做到可视化展现

>通过【勒索诱饵陷阱】，当勒索病毒加密诱饵文件可通过进程回溯病毒文件进行查杀，达

到【转移攻击】的目的

6.2.3通过【一键隔离】阻止感染终端持续向外扩散，阻

止【事件升级】

6.2.4检测阶段

>通过【文件实时监控I2与【主动扫描】持续【检测威胁事件】

>通过【终端围剿式查杀】和【终端间访问控制】做到一台感染，全网感知，【抑制事件】

见安全基线核查4.4.3

见基于多维度威胁防御体系4.4

进一步爆发

6.2.5通过【威胁等级分类】【确认风险优先级】，进一

步明确内网安全情况，并按优先级进行处理

6.2.6响应阶段

>通过【文件修复】对受感染文件进行【修复】，当无法修复或修复失败时再进行隔离

>通过【云网端协同联动】对【全网网络安全架构进行设计】，并通过不断完善云网端体

系和版本升级进行持续迭代

6.3通过EDR针对攻击事件进行【溯源分析】进行【调查

与取证】，对攻击链条进行重新审视，并针对审视结

果

6.4统一管理平台适配全类型资产

适配全类型资产

桌面云，传统PC,笔记本，私有云，服务器,私有云，公有云全适配

>终端系统兼容性广阔

6.5与底层虚拟化解耦，适配全部虚拟化底层平台

6.6基于多维度的智能检测技术

6.6.1检测引擎

终端上的安全检测是核心的技术，传统的病毒检测技术使用特征匹配，而特征匹配没有泛

化能力或泛化能比较弱，当病毒经过简单的变种，就必须新增加特征规则，因此，随着病

毒数量越来越大，病毒特征库也就跟着越来越大，同时运行所占资源也就越来越多。而基于

AI技术的查杀引擎，利用深度学习的技术，通过对海量样本数据的学习，提炼出来的高维

特征，具备有很强的泛化能力，从而可以应对更多的未知威胁。而这些高维特征数量极少,

并且不会随着病毒数同步增长，因此，AI技术具有更好检出效果、更低资源消耗的优点。

当然，仅靠一个AI杀毒引擎是不够的，深信服的EDR产品构建了一个多维度、轻量级的漏

斗型检测框架，包含文件信誉检测引擎、基因特征检测弓I擎、AI技术的SAVE引擎、行为

引擎、云查引擎等。通过层层过滤，检测更准确、更高效，资源占用消耗更低。

文件信誉检都障

............r

基于本地、全网、安全云脑构建'

文件信誉检测引擎

文件信誉库

整因特征检需引掌

基因特征检测引擎基于“小红伞”引擎构建基因特征识别库

■旄怆邪引・速度快，准确率高，误杀操作少

利用深度学习训练数千维度的算法模型！|人工智能检测引虢

持续学习，自我成长行为分析检汨引尊

无特征检测技术|行为分析检测弓।擎

虚拟沙盒、引擎和操作系统环境仿真

安全云■检意引，解析您意代码本质

安全云脑检测引SS

使用大数据分析平台，基于多维威胁情报T

秒级响应检测结果

6.6.1.1文件信誉检测引擎

基于传统的文件hash值建立的轻量级信誉检测引擎，主要用于加快检测速度并有更好的检

出效果，主要有两种机制：

6.6.1.21.本地缓存信誉检测：对终端主机本地已经检测出来的已知

文件检测结果缓存处理，加快二次扫描，优先检测未知文件。

6.6.1.32.全网信誉检测:在管理平台上构建企业全网的文件信誉库,

对单台终端上的文件检测结果汇总到平台，做到一台发现威

胁，全网威胁感知的效果。并且在企业网络中的检测重点落

到对未知文件的分析上，减少对已知文件重复检测的资源开

消。

6.6.1.4基因特征检测引擎

深信服EDR的安全运营团队，根据安全云脑和EDR产品的数据运营，对热点事件的病毒家族

进行基因特征的提取，洞见威胁本质，使之能应对检测出病毒家族的新变种。相比一般的静

态特征，基因特征提取更丰富的特征，家族识别更精准。

分段哈希

局部敏感哈希

关键代码片段

关键数据片段

6.6.1.5Al技术SAVE引擎

•SAVE(SangforAIbasedVanguardEngine)是由深信服创新研究院的博1.团队联合EDR

产品的安全专家，以及安全云脑的大数据运营专家，共同打造的人工智能恶意文件检

测引擎。该引擎利用深度学习技术对数亿维的原始特征进行分析和综合，结合安全专家

的领域知识，最终挑选了数千维最有效的高维特征进行恶意文件的鉴定。

•基于人工智能技术，拥有强大的泛化能力，能够识别未知病毒或者已知病毒的新变种；

6.6.1.6对勒索病毒检测效果达到业界领先，包括影响广泛的

WannaCryxBadRabbit等病毒。2018年10月新发现的

GandCrab5.0.3.Rapid、

GandCrab5.0.4.KrakenCryptor2.0.7勒索病毒，使用9

月已经合入产品并发布的SAVE1.0.0可以全部检出和查杀。

对非勒索病毒也有较好的检出效果；

6.6.1.7云+边界设备+端联动，依托于深信服安全云脑海量的安全数

据，SAVE能够持续进化，不断更新模型并提升检测能力，

从而形成传统引擎、人工智能检测引擎和云端检测引擎的完

美结合，构成了深信服的安全云脑+安全网关AF/SIP/AC+终

端安全EDR的整体解决方案。

6.6.1.8行为引擎

传统静态引擎，是基于静态文件的检测方式，对于加密和混淆等代码级恶意对抗，轻

易就被绕过。而基于行为的检测技术，实际上是让可执行程序运行起来，“虚拟沙盒”捕获

行为链数据，通过对行为链的分析而检测出威胁。因此，不管使用哪种加密或混淆方法，都

无法绕过检测。最后，执行的行为被限制在“虚拟沙盒”中，检测完毕即被无痕清除，不会

真正影响到系统环境。

文件操作注册表操作行为分析

网络访问远程注入

创建服务

虚拟沙盒进程

6.6.1.9行为引擎在分层漏斗检测系统结构中，与云查引擎处于最低

层，仅有少量的文件到达该层进行鉴定，因此，总体资源消

耗较少。

6.6.1.10云查引擎

针对最新未知的文件，使用I0C特征（文件hash、dns、url、ip等）的技术，进行云端查

询。云端的安全云脑中心，使用大数据分析平台，基于多维威胁情报、云端沙箱技术、多引

擎扩展的检测技术等，秒级响应未知文件的检测结果。

深信服安全云脑中心

6.6.2勒索病毒诱捕

装载在终端系统上的EDR客户端，在系统关键目录及随机目录放置诱饵文件，当病毒调用加

密进程对终端文件加密，当加密到诱饵文件时，诱饵文件将加密进程反馈至EDR客户端，

EDR客户端立即杀掉加密进程阻止加密，并根据调用进程的病毒源文件进行查杀，有效阻止

勒索病毒对关键目录文件的进一步的加密和扩散

SE

O

S

6.6.3终端安全基线核查

一、身份鉴别策略组

1.6tMm

2.

3.内力*总

二、访问控制策略组

1

2.MfMX

三、安全审计策略组检测

1.安金***・

、剩余信息保护策略组检测

1.

2.

五、入侵防范检测

1.印275«火・

2.a/立，

3,■必9URW

4,盼，力典

5,采后之密■和《篙

六、恶意代码防范

1.防■■代科

图4-4安全合规审杳

终端的安全合规性是重中之重，信息系统中终端一旦不合规将产生不可预知的

安全风险，正因如此，无论是国家法律法规，还是组织内部的规章指引，对于

主机方面都具有明确的安全要求，本方案将通过全面部署应用深信服终端检测

与响应系统，对内部终端进行安全合规审查，依据等级保护的主机安全要求进

行设计，对身份鉴别、访问控制、安全审计、入侵防范、恶意代码防范等策略进

行合规性审查，满足企业建设等级保护系统的主机安全要求。

6.6.4全网终端围剿式查杀

当某一台终端发现病毒文件，基于文件信誉引擎立即将此病毒文件的md5特征值进行全网

通报，做到一台发现，全网感知，在全网进行围剿式查杀

6.7应用创新微隔离技术的动态防护体系

6.7.1创新微隔离技术

6.7.2EDR微隔离方案提出了一种基于安全域应用角色之间的流量访问控

制解决方法，系统可实现基于主机应用角色之间的访问控制，做到可视

化的安全访问策略配置，简单高效地对应用服务之间访问进行隔离控制。

优先对所有的服务器进行业务安全域的逻辑划域隔离，并对业务区域内

的服务器提供的服务进行应用角色划分，对不同应用角色之间服务访问

进行控制配置，减少了非法人员对物理、虚拟服务器攻击机会，集中统一

管理服务器的访问控制策略。并且基于安装轻量级主机Agent软件的微隔

离访问控制，不受虚拟化平台、物理机器和虚拟机器影响。另一方面，微

隔离功能的应用，可在发生病毒感染情况下，将威胁放置在可控范围内，

从而有效提升安全防护水平。

6.7.3终端间访问关系控制

在东西向访问关系控制上，优先对所有的服务器进行业务安全域的逻辑划域隔离，并对业

务区域内的服务器提供的服务进行应用角色划分，对不同应用角色之间服务访问进行访问

控制配置，减少了对物理、虚拟的服务器被攻击的机会，集中统一管理服务器的访问控制策

略。并且基于安装轻量级主机Agent软件的访问控制，不受虚拟化平台的影响，不受物理

机器和虚拟机器的影响。

数据中心业务区

不同业务系统的安全隔离与访问控制

通过全面部署应应用提供者应用服务应用使用者策略动作

用深信服终端检

测与响应系统，

可全面解决信息

系统内部网络互

访不可控问题，

规范化主机、业

务等网内不同对

象的网络访问行

为。

利用应用角色之

间的主机流量访

问控制的技术，

提供对业务安全

域之间、业务安

全域内不同应用

角色之间、业务

安全域内相同应

用角色之间的访

问控制策略配

置，提供简单可

视化的安全访问

策略配置，提高

安全管理效率。

业务安全域

门户网站业务域WEB应用角色Apache(Http,80)All允许

门户网站业务域DB应用角色MySQL(TCP,3306)WEB应用角色允许

门户网站业务域ALLALLALL拒绝

0A业务域DB应用角色MySQL(TCP,3306)邮件应用角色允许

0A业务域ALLALLALL拒绝

表4-1微隔离角色访问控制

6.7.4例如门户网站业务域的WEB应用角色服务器组提供Apache应用服务,

策略动作允许门户网站业务域内所有主机的访问，而DB应用角色服务器

组提供的MySQL应用服务，策略动作只允许门户网站业务域内的WEB应用

角色服务器组的访问。

6.7.5门户网站业务域内WEB应用角色之间的主机，由于没有访问需求，

配置为隔离拒绝策略。

6.7.6终端访问关系可视化

在访问关系可视化中，采用统一管理的方式对终端的网络访问关系进行图形化展示，可以

看到每个业务域内部各个终端的访问关系展示以及访问记录，也可以看到每个业务域之间

的访问关系展示以及每个业务域的流量状态、访问趋势、流量排行，同时可以根据每个访问

关系会生成访问关系控制策略，让用户决定是否启用该策略，减少了手动新增策略的工作

量，提高了安全管埋的效率

6.8创新微隔离技术，有效应对高级威胁快速传播，将

病毒遏制在指定范围之内，使信息系统环境可控性

大大提|W]O

6.9网端云协同联动

深信服EDR产品能与NGAF（下一代防火墙）、AC（上网行为管理）、SIP（态势感知）、

安全云脑等产品进行协同联动响应，形成涵盖云、边界、端点上中下立体防御架构，内外部

威胁情报可实时共享。EDR产品可与安全云脑协同响应，关联在线数十万台安全设备的云反

馈威胁情报数据，以及第三方合作伙伴交换的威胁情报数据，智能分析精准判断，超越传统

的黑白名单和静态特征库为已知/未知威胁检测提供有力支持。可与防火墙NGAF、SIP产

品进行关联检测、取证、响应、溯源等防护措施，与AC产品进行合规认证审查、安全事件

响应等防护措施，形成应对威胁的云管端立体化纵深防护闭环体系。

多维度、快速响应云陋推送、接收热点事件威胁情报

极大缩短威胁驻留时间

威胁上报与接收

任务指令推送

6.9.1深信服下一代防火墙与EDR终端检测响应平台

深信服认为网络及终端的安全要从整体来建设才会充分保障业务的价值、网络与终端要进

行充分联动，基于网络及终端各自的优势，网络可通过恶意流量特征进行深度检测与防御,

而终端有丰富的威胁上下文信息，两者协同联动可充分定位泛化的恶意威胁。优势互补，信

息共享，深度解析，快速闭环，最终为用户交付最佳的威胁防御能力。

云网协同联动和高效醺1他・

SIP/AF始fDR下发解除主凯羯令

6.9.1.1全面威胁防御

网端纵深防御：

通过网络域和终端域的安全防御全覆盖，构建系统化防御能力抵御不同介入点风险，构建由

端点到网络的纵深防御能力

全面的风险可视化能力：

6.9.1.2对威胁的完整可见，通过边界安全设备对贯穿网络的南北向

恶意内容进行检测与防御，同时对终端的东西横向威胁进行

检测与防御，构建基于主机的横向及外联攻击画像，提供全

面完整的风险可视化能力

6.9.1.3快速处置闭环

热点攻击处置：

基于网络域及端点域威胁上下文的深度关联有效改变企业安全现状，网络流量层分析威胁

的特征，在端点上实现恶意载体的深度行为分析、取证，威胁可在网络、端点的威胁信息共

享下实现二次确认，精准定位诸如无文件攻击、勒索病毒、挖矿病毒等热点攻击

威胁处置闭环：

6.9.1.4策略级细粒度集成，一个安全域识别到的威胁可以动态调整

另一个安全域的安全配置，增强整体防御能力，有效抵御威

胁，如在流量层发现恶意流量，可以溯源攻击主机，并向该

域发起全局扫描、分析、取证、闭环处置的系列动作；在终

端域发生远控行为，可以在流量层对远控主机进行网络域的

联动封锁

6.9.1.5便捷运维管理

统一管理提丁I运维效率：

相对于网络与终端割裂式的部署及各自为政的管理方式，在威胁来临时依然各自为战，构建

网端一体化统一管理平台.全局预警有效防御、降低管理开销及安全能力的拥有成本

安全风险一键处置：

网端智能协同，当发生威胁时，可通过统一管理平台的一键处置，将终端域风险迅速隔离,

并在网络域自动生成联动封锁规则，全面封锁恶意威胁

6.9.1深信服安全感知平台与EDR终端检测响应平台

深信服安全感知平台基于大数据关联分析与深度挖掘技术快速定位出内网失陷主机和高级

威胁，对于来自于互联网或边界的攻击行为，通过联动深信服EDR终端检测响应平台下发安

全策略，及时阻断相应的攻击行为。对于服务器与终端的失陷主机，通过联动EDR管理平台

下发一键扫描策略，快速查杀恶意程序，并利用EDR客户端的微隔离功能，封堵主机的攻击

行为，防止威胁的进一步扩散。

网端溯源分析，精准的高级威胁检测

SIP和EDR内置轻量级人二智能的检测引擎SAVE,通过创新人工智能无特征技术，准确检测

勒索病毒。未知病毒检出率高达97.8%,对已知病毒检出率高于99猊7^^25丫、8252旗、

Globelmposter及其变种99.9%检出查杀。

通过SIP对流量侧

6.9.1.1智能的闭环响应体系

方案通过SIP智能联动EDR实现协同响应，并提供专业的安全响应服务，从而实现威胁发现

到处置的闭环安全效果。

云网协司联动和高效魔胁处・

6.9.1.2全网安全监测预警能力

6.9.1方案采集全网流量和系统日志，对整体网络安

全进行有效检测，快速梳理资产信息，实时监测

异常访问行为，对外部攻击、服务器主动外联、内

部横向渗透等行为进行实时检测和告警，一旦出

现安全事件能够快速告警和处置，保护专网整体

安全有效运行。

6.9.2深信服上网行为管理与EDR终端检测响应平台

深信服上网行为管理AC与终端安全检测响应平台EDR,产

品深度融合，帮助客户构建绿色、安全、高效、易用的上网

环境；

6.9.2.2保障接入身份安全

实现有线无线网络接入认证,AC支持802.1X,旁路无感知、无线Portal等多种接入认证

方式；

6.9.2.3支持AD域、短信、微信等29种认证方式，根据上网场

景灵活选择；

6.9.2.4全面外发审计

6.9.2.5深信服AC具备业界专业的内容识别与审计技术，通过

EDR内置的审计插件，能对各种上网行为和多种外发数据进

行有效审计包含网页、邮箱、网盘、微信、QQ等外发内容

审计。

6.9.2.6通过各类外发审计分析发现泄密异常行为，及时预警

泄密风险，快速定位泄密事件。

终端安全准入，保障接入终端安全

统一安装终端安全软件,AC认证后可强制推送安装终端EDR软件；

终端安全性准入检查包括系统漏洞扫描、杀软安装、开放接口等情况，只允许符合安

全要求的终端接入网络；

6.9.2.7定期进行终端漏洞扫描，漏洞扫描后可自动修复和上

报；

网端智能联动，加强威胁防护能力

深信服AC支持恶意URL过滤、网络杀毒检测、僵尸主机检测等，保护上网安全；

深信服终端EDR以人工智能算法为核心，大幅提升终端病毒安全查杀效果，可全面查杀

勒索病毒的新型病毒威胁，

通过云网端联动，AC发现的终端威胁和攻击，可及时联动EDR进行终端安全扫描和修

复。

6.10全网资产盘点

图4-3全网资产管理

6.11现信息系统中服务器、PC终端、应用等资产随着业务的增加而增加，资

产的所有者与资产的关联关系不够清晰，安全责任难以落地。围绕资

产的自身安全防护措施难以执行。对此，本方案将通过全面部署应用

深信服终端检测与响应系统，实现全网终端资产的全面管理功能，管

理对象包含业务服务器主机和用户PC终端。盘点每台终端设备的名称、

IP地址、MAC地址、所属组织、责任人、资产编号、资产位置等信息。

使每台终端资产信息清晰展示，每个安全事件责任到人，从而将安全

管理工作落实到位。

6.12漏洞补丁管理

补丁检测极大地简化了管理员甄别终端资产漏洞的流程，EDR产品支持各种类型不同的操作

系统以及不同版本的操作系统的补丁规则库的更新，可以做到最新漏洞的实时检测与防御，

并提供了漏洞检测与处置的功能，可以指定不同的终端进行全部、高危或者指定漏洞的检测,

得到每一台终端的全部漏洞信息，并且可指定漏洞进行修复或者忽略处理。终端根据最新的

补丁规则库进行系统补丁检测，匹配来判断当前是否已经进行补丁的安装，同时终端支持

多种方式来获取最新的补丁安装包，包括微软补丁服务器、深信服官方补丁服务器、管理平

台以及自定义服务器。保证在网络隔离环境下，终端也可以通过管理平台来进行补丁的升级。

EDR产品的漏洞检测、补丁更新，大大提高了管理效率，增强了终端资产的安全性。

漏洞检测补丁更新

6.13暴力破解检测与响应

6.14服务器密码安全问题即突出亦普遍存在，许多高级威胁的感染传播也

正是运用此点，传统解决办法是通过使用边界防护设备，针对外部对

内部的密码爆破尝试行为进行阻断。但伴随着黑客技术的不断更新迭

代、服务器边界的模糊化，来自内部或服务器之间（横向快速移动）

的密码爆破亦逐渐增多。

6.15本方案将通过全面部署应用深信服终端检测与响应系统，用以端点

agent在服务器之上持续监控密码爆破行为，如发现非法人员进行密

码爆破，EDR将提供响应手段，系统可设置对特定IP进行基于时间维

度的自动封停操作，有效避免服务器被非法人员爆破成功。

6.16僵尸网络检测

6.17本方案将通过全面部署应用深信服终端检测与响应系统，对僵尸网络

进行有效检测，EDR可对报文的会话、报文netflow信息进行分析，检

测主机是否有被木马程序控制并形成僵尸网络，系统可全面展现僵尸

网络主机的详细信息，如显示僵尸网络文件检测产生的事件日志，例

如恶意文件名称、文件名称、操作动作、发现时间等，另系统还可支

持显示僵尸网络文件检测过程的详情内容，例如文件路径、文件大小、

文件创建时间、进程ID.父进程、进程模块、网络行为等信息。

6.18基于Web后门的综合检测技术

传统的WebShell文件检测是基于特征码的检测技术，严重依赖于特征库，很难及时

检测新的变种，检测效率也随着特征库的变大而迅速降低。采用机器学习的检测方法，通过

先利用语法分析器生成语法树，基于语法树提取出危险特征以及正常特征，特征包含数量

统计特征、字符串嫡、运算符号统计等，再学习已标记样本特征数据来构建检测模型，然后

利用此模型对样本进行检测判定，该方法不仅可以正确检测出已有样本数据，对未知样本

也有很好的检测效果。

对WebShell文件的检测综合利用文件信誉库、静态分析、机器学习等手段对文件进行判断,

相比流量侧的防御，检测方案将会更全面地分析文件。

6.19全网威胁定位

6.19.1内网威胁定位

EDR已守护全网咚询00070天

终端概况

格皎咒。危修科

03929―30H3ft6t/ift12

待处理高危事件

3EOP5。11m

Wtfl

Hm（2W2W.UTH

■己MB9

1，m】0Q9D：：

i°

■«q«ow<W7llO«7.97）?U