新华三2026威胁情报技术白皮书

威胁情报技术白皮书Copyright©2025新华三技术有限公司版权所有，保留一切权利。非经本公司书面许可，任何单位和个人不得擅自摘抄、复制本文档内容的部分或全部，并不得以任何形式传播。除新华三技术有限公司的商标外，本手册中出现的其它公司的商标、产品标识及商品名称，由各自权利人拥有。本文档中的信息可能变动，恕不另行通知。目录1概述 1-1技术背景 1-1技术优势 1-1技实现 2-1概念介绍 2-1威胁情报简介 2-1威胁情报分类 2-2威胁情报特征库 2-2威胁情报云端服务器 2-2威胁情报平台 2-3运行机制 2-3基于安全设备本地威胁情报特征库防护 2-4安全设备与威胁情报云端服务器协同防护 2-5安全设备与威胁情报平台协同防护 2-6安全设备-威胁情报云端服务器-威胁情报平台三者协同防护 2-11典组网用 3-12防火墙本地威胁防御场景 3-12防火墙-威胁情报云端服务器协同防御场景 3-12防火墙-威胁情报平台协同防御场景 3-13防火墙-威胁情报云端服务器-威胁情报平台三者协同防御场景 3-13概述技术背景和已知威胁特征。这些手段在面对新的攻击技术、未知恶意软件、零日漏洞以及高级持续性威胁（APT）等时，往往难以及时发现和有效防御，导致攻击者可以长时间潜伏于系统之中，造成数据泄露、业务中断和严重损失。AI技术优势威胁情报与传统网络安全技术相比，具有如下优势：IPS时间。技术实现概念介绍威胁情报简介（ThreatIPURL威胁情报分类IP情报IPIPIPIPIPDDoSIPIPS）可IPIP（C&C）Web防火墙等）DGADGADGADGAURLURLURL（URL）URL如Web）可以利用URL威胁情报特征库IPURLIPS威胁情报云端服务器威胁情报云端服务器的主要功能包括：IP威胁情报平台（如恶意IPRL等威胁情报平台的核心功能包括：AIIPS运行机制威胁情报功能主要通过如下方式实现安全防护：IP信--基于安全设备本地威胁情报特征库防护IPURL图1基于安全设备本地威胁情报特征库防护示意图 Internet安全设备IP安全设备中IP信誉功能对报文的处理过程如下：IPIPIPIPIPIPIPIPIP（），仅当IPIP（IPIPIP图2IP地址与IP信誉特征库匹配示意图源IP源IP地址：192.168.1.4IP信誉特征库DDos 允许目的192.168.1.2丢弃目的 Web192.168.2.1DDos 丢弃源192.168.1.4IPIPP安全设备中域名信誉功能对报文的处理过程如下：DNS>URL安全设备中URL信誉功能对报文的处理过程如下：。URL与URLURL如果RLRLURL>URLURL安全设备与威胁情报云端服务器协同防护DDoSIP图3安全设备与云端服务器协同防护实现流程源源IP地址：192.168.1.24安全设备 胁情报云端服务器安全设备与云端服务器协同防护的具体流程如下：IP（如允许、丢弃等）；如果匹配失败，则进入下一步处理。IPIPIPDNSIPDDoS攻击、木马下载、端口扫描等攻击风险的标识，以及检测到的风险所属攻击分类。IP地IP）安全设备与威胁情报平台协同防护图4安全设备与威胁情报平台协同防护示意图上送日志 Internet安全设备在安全设备与威胁情报平台协同防护架构下，威胁情报功能的实现流程主要包括情报采集与分析、情报分发与同步、策略动态应用和反馈与优化四个阶段，各阶段具体实现如下。威胁情报平台作为安全信息汇聚与处理中心，负责多源威胁数据的采集和深度分析。具体实现包括：IPURL等图5情报采集与分析示意图…………胁情报平台高价值威胁情报需及时、可靠地传递至安全设备，实现自动化与高效联动。具体实现包括：NETCONFoverSOAP情报。图6情报分发与同步示意图安全设备IPURL图7策略动态应用示意图 Internet访问钓鱼网站合规文件安全设备访问钓鱼网站合规文件病毒文件病毒文件跨站脚本攻击图8反馈与优化示意图对反馈的日志信息进行分析更新情报数据，增量下发安全设备安全设备-威胁情报云端服务器-威胁情报平台三者协同防护图--待检测威胁信息上送云端服务器查询待检测威胁信息上送云端服务器查询三者协同防护的具体实现流程如下：IP典型组网应用防火墙本地威胁防御场景IP、图10防火墙本地威胁防御场景示意图IP信誉URL信誉Internet防火墙内网用户域名信誉防火墙-威胁情报云端服务器协同防御场景Internet云端服务器防火墙内网用户图11防火墙-威胁情报云端服务器协同防御场景示意图Internet云端服务器防火墙内网用户防火墙-威胁情报平台协同防御场景IPURL图12防火墙-威胁情报平台协同防御场景示意图下发情报下发情报威胁情报平台上报日志Internet防火墙内网用户防火墙-