2026威胁情报技术白皮书-新华三

i 1.1技术背景 1-11.2技术优势 1-1 2.1概念介绍 2-12.1.1威胁情报简介 2-12.1.2威胁情报分类 2-22.1.3威胁情报特征库 2-22.1.4威胁情报云端服务器 2-22.1.5威胁情报平台 2-32.2运行机制 2-32.2.1基于安全设备本地威胁情报特征库防护 2-42.2.2安全设备与威胁情报云端服务器协同防护 2-52.2.3安全设备与威胁情报平台协同防护 2-62.2.4安全设备-威胁情报云端服务器-威胁情报平台三者协同防护 2-11 3.1防火墙本地威胁防御场景 3-123.2防火墙-威胁情报云端服务器协同防御场景 3-123.3防火墙-威胁情报平台协同防御场景 3-133.4防火墙-威胁情报云端服务器-威胁情报平台三者协同防御场景 3-13也不断升级和演化。传统安全防护措施，如防火墙、和已知威胁特征。这些手段在面对新的攻击技术、未知恶意软件、零日漏洞以及高级持续性威胁（APT）等时，往往难以及时发现和有效防御，导致攻击者可以长时间潜伏于系在没有威胁情报技术时，安全团队面对海量的安全威胁情报技术的出现和发展，改变了这种被动局面合来自全球的攻击情报和安全事件，帮助组织提威胁情报与传统网络安全技术相比，具有如•提前预警：能够收集和分析全球最新威胁信息，帮助•动态分析：能够借助持续更新和行为关联分析，快速识别并应对新型及未知威胁。•持续更新：威胁情报信息不断更新，能及时适应新通与协同联动，构建联合防御体系，显著提升整体网络安全主动识别、预防和应对网络安全风险的重要技术手胁情报通过自动化、多渠道地收集全球网络安全数据转化为可操作的情报，实现威胁的主动发现、精准分析和快速帮助用户及时识别恶意来源、钓鱼站点和异威胁情报是一种经过分析和加工、能够支撑安全域名情报即域名信誉，是用于判断互联网域名相关数据，评估其是否与恶意行为有关。例如，如果攻击或充当黑客远程控制（C&C）服务器等，就会被标记为高风险防火墙等）可以利用域名信誉自动阻断对这些高风险域名的访问，从而防止数据泄露和终端感染，就会被标记为高风险域名。安全产品（如防火网上各类网址的访问行为和内容，判断其是否涉及恶意活动。例如鱼、传播病毒、托管恶意软件或诈骗活动，就火墙等）可以利用URL信誉自动拦截用户访问这些高风险网址，威胁情报特征库是指经过采集、分析和整理后形成全设备和安全运营人员提供最新、权威的威胁识别依据，支持对恶意行为的精准检测与快速拦截。威胁情报特征库可集成到防火墙、IPS等安全设备中，从而实现设备威胁情报云端服务器是一种用于实时查询和判定网络球最新的威胁情报数据，能够为组织提供高时效本地威胁情报特征库的重要补充，云端服务器可帮助业自研的威胁情报数据，确保情报数据的全面性、权威性和时效•实时威胁情报查询服务：当安全设备本地威胁情报特征库分析，并返回风险判定结果，协助设备实现安全防护和对新型威率，减少重复查询，实现高效复用，保障系统高威胁情报平台是一种用于集成、管理和应用威胁情报驱动的动态安全防护。在“安全设备-威胁情报平台”协同架构中，平台能够动态•安全设备-威胁情报云端服务器-威胁情报平台IP信誉特征库IP信誉特征库时匹配。一旦检测到与特征库中高风险条目相作，实现对已知威胁的自动化识别和快速拦截，有效保障内网用户机），丢弃丢弃允许源DDosWebDDos源IP地址：192.168.1.4192.168.1.4丢弃丢弃允许源DDosWebDDos源IP地址：192.168.1.4192.168.1.2(2)设备将域名与本地域名信誉特征库进行匹配。-如果域名同属于多个攻击类型，则执行严重级别最高的动作。动作的严重级别由高到底-如果URL同属于多个攻击类型，则执行严重级别最高的动作。动作的严重级别由高到防火墙等安全设备除了依托本地威胁情报特征库进行实时检测外，还支持与云端服务器协同联动，进一步扩展对未知威胁的检测能力。云端服务器提供了2、待检测信息上送云端服务器查询2、待检测信息上送云端服务器查询源IP地址：192.168.1.244、云端服务器返回查询结果安全设备胁情报云端服务器1、设备将IP地址、域名等信息与本地特征库进行匹配3、云端服务器对信息进行检测5、设备将云端服务器返回的查询结果缓存到本地6、后续报文可直接匹配缓存结果,无需再次上送云端服务器(1)设备首先将IP地址或域名等信息与本地特征）；(3)云端服务器基于全球最新的威胁情报数据，对该未知对象进行分析与风(4)云端服务器将分析结果返回至安全设备。返回内DDoS攻击、木马下载、端口扫描等攻(5)设备接收到云端服务器的分析结果后，会将结果），b.若本地缓存未命中，则继续与本地特征库进行匹配，并依托安全设备与云端服务器协同的防护体系，安全型和未知威胁的动态、实时防护，显著提升网络安全为提升对新型和未知威胁的防护能力，防火墙汇聚和分析多源安全数据，生成高价值的威胁情报整防护策略，实现对新型威胁的快速识别与精准拦截。同时，安全设备还可以将日志回传至平台，上送日志上送日志Internet安全设备机在安全设备与威胁情报平台协同防护架构下，威胁情报功能的实现流程主要包括情报采集与分析、情报分发与同步、策略动态应用和反馈与优化四个阶段，各阶段具体胁情报平台•自动化分发：平台通过NETCONFoverSOAP等方式，将情报数据安全设备访问钓鱼网站机跨站脚本攻击病毒文件4.反馈与优化对反馈的日志信息进行分析更新情报数据，增量下发安全设备能分析、自动分发、实时应用与持续优化，构2.2.4安全设备-威胁情报云端服务器-威胁台优先、本地补充、云端支撑”的防御机制，精准检待检测威胁信息上送云端服务器查询(1)安全设备优先匹配威胁情报平台下发的最新防护规则，对流量进行精准检测和拦截。通过“平台优先、本地补充、云端支撑”的分病毒、木马、入侵行为和异常访问等安全威胁，并在本依托本地化、自动化的安全防御机制，企业能威胁情报特征库威胁情报特征库域名信誉URL信誉到本地威胁情报特征库无法判定的未知流量、至云端服务器。云端服务器依托全球最新的威胁情通过该协同防护机制，企业不仅能够高效抵御已知了网络安全的整体防护深度和广度，为关键返回查询结果返回查询结果云端服务器防火墙内网用户防火墙部署于企业核心网络出口，并与威胁情报平台协同联动，实现威胁情报的实时共享与应用。平台能够持续收集、分析并更新威胁信息，并将这和拦截可疑流量及攻击行