行業(yè)背景
在當前信息安全已經上升到國家安全層面的形勢下，來自國外具有國家背景的攻擊者已經針對多家央企，通過免殺、魚叉、水坑攻擊等新技術手段進行高級可持續(xù)性攻擊。然而大量未知威脅攻擊手段可以繞過以特征檢測為核心檢測手段的傳統(tǒng)安全防護設備，企業(yè)難以有效發(fā)現(xiàn)未知威脅，也就無法抵御未知威脅，如何檢測未知威脅成為企業(yè)面臨的挑戰(zhàn)。
央企的終端資產管理是項龐大而復雜的工作，是對企業(yè)的管理能力嚴峻的挑戰(zhàn)；各個分公司所部署的終端安全管理系統(tǒng)多種多樣，防病毒能力也層次不齊，影響了整個企業(yè)整體終端防護能力。由于大多企業(yè)并未采用統(tǒng)一的終端安全軟件，企業(yè)無法對具體的指標進行考核，難以出臺精細有效的管理要求，無法全面提高集團整體終端安全防護能力。
隨著信息安全技術的不斷變化，導致信息安全風險日益復雜化。我國的網站仍然存在較多的漏洞風險，Web服務日益成為網絡攻擊的重點目標，DNS攻擊、暴力破解、零日漏洞利用讓網站弱不禁風。傳統(tǒng)的Web安全解決方案通過WAF等安全設備的堆疊來進行安全防護，這已經無法解決央企網站所面臨的安全風險。
央企大多重視信息安全建設，正在逐步完善信息安全防護體系，網絡中部署了大量的安全產品和設備，為信息系統(tǒng)的安全運行提供了有力的保障。但往往這些設備和產品來自多個廠商，無法進行有效的協(xié)同防護，都是各自為戰(zhàn)；無法從總體上進行安全態(tài)勢可視化展現(xiàn)，企業(yè)安全管理人員無法整體了解和掌握集團安全態(tài)勢。信息安全建設效果看不到和摸不到，信息安全人員工作成績也難以體現(xiàn)，此類問題也困擾著信息安全管理人員。
解決方案
解決思路
1、以數(shù)據為核心取代以技術為核心
新型安全體系本質上就是圍繞數(shù)據為核心的數(shù)據驅動安全的技術思路，數(shù)據是新型安全體系最本質與最核心的內容，具體來說就是依靠數(shù)據的大范圍分析實現(xiàn)對威脅的感知、發(fā)現(xiàn)、分析、溯源。新型防御技術依靠數(shù)據為核心，相當于將整個攻擊過程都錄制下來，而后對攻擊的全過程進行回溯分析，不但能夠了解到攻擊的全貌，而且有可能在攻擊過程的任意一個環(huán)節(jié)、片段對攻擊進行發(fā)現(xiàn)。
簡言之，通過單點檢測技術，只可能看到攻擊過程某一片段的快照，而透過數(shù)據的鏡子，卻可以看到攻擊的全貌、攻擊的歷史、可以通過別人的被攻擊數(shù)據做到提前預防，可以看到更多的攻擊。
2、以云端分析取代設備分析
新型防御體系強調的是云端的海量存儲與大規(guī)模深度計算，存儲規(guī)模的增大，意味著可以有更多的規(guī)則、更多的樣本、更多的數(shù)據作為檢測的基礎與依據，而大規(guī)模的云端計算資源意味著可以展開復雜度更高的算法對流量、樣本、行為進行深度分析與歷史分析，云端的海量存儲與計算使得基于人工智能與數(shù)據挖掘的大數(shù)據分析成為可能，同時云端的海量帶寬也解決了Anti-DDoS中由于帶寬限制無法接下全部待清洗流量的難題，奇安信公司用于惡意樣本分析的云端資源超過一萬臺，用于Anti-DDoS的帶寬高達500Gbps，這一切都將包括惡意樣本分析、抗D的能力提高到了一個歷史高度，如果不采用云計算的基礎設施，依靠傳統(tǒng)的安全設備，這一切都是不可能做到的。
3、以情報線索取代技術對抗
傳統(tǒng)安全的防御思路是基于攻防技術對抗為基礎的，攻防技術對抗可以在獲得攻擊細節(jié)的前提下有效對抗標準的攻擊行為，但是對于加入嚴重變形與繞過手段的攻擊卻無能為力，回到前面提到的，攻防對抗是矛與盾的競賽，現(xiàn)實中從來都是先有矛后有盾，因此傳統(tǒng)的對抗思路無法解決未知威脅的問題，典型的如未知木馬、未知漏洞就是傳統(tǒng)安全防御中最頭疼的問題。新型防御技術中強調威脅情報的價值與使用，轉而在整個網絡活動中尋找有價值的可疑線索，通過可疑線索結合已有的海量歷史數(shù)據，進一步深挖線索背后的一系列行為活動。依靠威脅情報線索的思路，防守一側只要有一次抓住線索，就能夠以及線索捕獲攻擊，徹底扭轉了以往攻防雙方不對等的較量，這一切都歸功于新型防御體系思路的轉變。
解決方案
1、終端一體化解決方案
依據統(tǒng)一基線策略、分級管理、分級授權的方針搭建企業(yè)統(tǒng)一防病毒體系、統(tǒng)一計算機安全管理體系。建設終端和服務器病毒防護，安全管控，網絡準入一體的平臺進行統(tǒng)一安全管理，終端安裝單個Agent就可實現(xiàn)病毒防護、安全準入、安全管控等安全功能。
終端防病毒：提供針對終端安全的防護措施，為終端提供安全的上網辦公環(huán)境。包括互聯(lián)網中的病毒、木馬、蠕蟲、網馬、僵尸網絡、流氓軟件、間諜軟件等惡意代碼進行有效的識別、查殺與隔離；
終端管控：控制中心制定策略，全網對USB接口、無線路由，移動存儲及各種外設接口進行管控；設定軟件運行黑白名單，禁止娛樂軟件、盜版軟件的安裝及運行；根據部門、用戶設定終端帶寬管理策略，有效杜絕P2P軟件帶來的網絡擁塞問題。對全網終端進行IP、Mac地址綁定，有效防止私自修改行為；對客戶端進行防黑加固，提供有針對性監(jiān)控功能，包括系統(tǒng)賬號變更、重點端口監(jiān)控，共享目錄管控等；
統(tǒng)一運維：采用統(tǒng)一運維功能，實現(xiàn)全網終端的補丁統(tǒng)一升級、普通軟件分發(fā)、硬件資產管理、一鍵加速、一鍵修復及遠程協(xié)助功能，協(xié)助IT維護人員高效的完成終端運維工作。
企業(yè)通過總部天擎終端安全管理中心對總部和分支機構終端設置強管控安全策略，分支機構在總部安全策略基礎上按需調整安全管控力度。在內網部署私有云引擎，在不訪問外部互聯(lián)網情況下實現(xiàn)終端病毒云查殺。通過部署NAC網絡準入設備，阻止未授權設備接入內網和訪問敏感資源，保證內網接入安全的同時也提高安全管理軟件的安裝率。
企業(yè)通過技術結合管理的方式，根據企業(yè)實際狀況，制定終端安全管理制度，對終端安全具體的防護內容提出了管理和考核要求，并通過技術手段進行檢測。分支機構根據基線要求對本單位終端進行管理，對執(zhí)行結果進行評分，從而有力的推動企業(yè)的終端安全建設。
2、未知威脅解決方案
高級持續(xù)性威脅（Advanced Persistent Threat，簡稱APT）是一種可以繞過各種傳統(tǒng)安全檢測防護措施，通過精心偽裝、定點攻擊、長期潛伏、持續(xù)滲透等方式，伺機竊取網絡信息系統(tǒng)核心資料和各類情報的攻擊方式。事實證明，傳統(tǒng)安全設備已經無法抵御復雜、隱蔽的APT攻擊。
為了及時發(fā)現(xiàn)此類威脅，奇安信天眼將大數(shù)據技術應用于威脅發(fā)現(xiàn)領域，在云端通過多維度跨域分析，深度數(shù)據挖掘和人工智能技術對海量數(shù)據進行深度分析以實時獲知未知威脅的發(fā)展動態(tài)。
奇安信天眼系統(tǒng)獨有的云端威脅情報系統(tǒng)結合本地安全大數(shù)據引擎，建立云端 + 本地系統(tǒng)的關聯(lián)分析及立體式防護體系，為用戶提供全方位的未知威脅感知能力。
企業(yè)部署奇安信天眼系統(tǒng)未知威脅檢測系統(tǒng)可以及時有效的發(fā)現(xiàn)未知威脅，提升管理人員對未知威脅的發(fā)現(xiàn)速度和效率，最大限度的降低受攻擊后的損失，回溯方案可以記錄內網的任何一次網絡行為為回溯提供強大的支撐。
威脅情報：奇安信天眼實驗室在云端共搜集了200PB與安全相關的數(shù)據，涵蓋了DNS解析記錄、WHOIS信息、樣本信息、文件行為日志等內容，并針對所有這些信息使用了機器學習、深度學習、重沙箱集群、關聯(lián)分析等分析手段，最終形成云端威脅情報下發(fā)本地進行檢測。
本地檢測：傳感器負責將所有鏡像流量進行還原分析，提取HTTP、SMTP、POP3、FTP等文件傳輸協(xié)議中出現(xiàn)的文件內容，將文件通過加密通道傳送到檢測器；檢測器對所有文件進行解壓縮，格式檢查后，將使用靜態(tài)檢測、半動態(tài)檢測、沙箱檢測等多種檢測手段對文件中可能包含的惡意行為進行捕捉分析以發(fā)現(xiàn)高級威脅。使用該方案后，可以有效發(fā)現(xiàn)網絡中出現(xiàn)的漏洞利用行為，木馬控制行為，同時沙箱檢測還可以提供更多高級沙箱防逃逸技術以避免攻擊繞過整個檢測系統(tǒng)。
回溯：分析平臺可以依靠自身獨特的分布式搜索架構設計，將所有傳送至此的行為信息和告警信息進行快速的存儲并建立索引。建立索引后的信息可以在分析平臺上快速的搜索到。如此，安全管理人員便可以利用該方案記錄過去一段時間內出現(xiàn)的任何一次網絡行為，發(fā)現(xiàn)任何一次網絡行為中的具體細節(jié)，提升網絡透明度及可視性，快速發(fā)現(xiàn)高級威脅結合本地系統(tǒng)進行準確溯源，牢牢掌握安全工作的主導位置，滿足上級監(jiān)管單位對于安全工作的溯源及定位要求。
天眼可以與天擎終端安全管理系統(tǒng)進行聯(lián)動，借助奇安信天眼的深度檢測能力，結合奇安信天擎在終端上的精確防御能力，實現(xiàn)對PC終端的攻擊防御。
（終端安全管理系統(tǒng)部署示意圖）
3、網站安全解決方案
網站安全環(huán)境日益惡化，全國范圍內時常發(fā)生重大網絡安全事件；《2015年中國互聯(lián)網安全報告》顯示，2015年境內75028個網站被植入后門，境內24550個網站被篡改，2015年1-6月1Gbit/s 以上DDoS日均攻擊數(shù)量1558起。2015年奇安信掃描國內現(xiàn)有網站中存在漏洞的網站約為43%，奇安信網站衛(wèi)士共攔截各類網站漏洞攻擊16.5億次，較2014年增長約135.7%。
安域是為大型企業(yè)定制網站云防護產品。不同于傳統(tǒng)的網站防護設備，利用虛擬化技術形成了集掃描、監(jiān)控、防護、DSN防御于一體的顛覆性立體化的Web安全防護體系。能有效防護常見的Web漏洞攻擊，并能夠識別多種變型攻擊方式，同時能有效針對DDoS攻擊和CC攻擊進行防護。基于CDN的原理，在全國部署了多個IDC骨干節(jié)點，每個節(jié)點上都部署了奇安信自研的云WAF模塊。通過修改網站DNS域名解析將原本指向網站服務器IP修改為指向云防護節(jié)點IP，以此實現(xiàn)網站流量調度，將客戶真實網站服務器隱藏在云防護節(jié)點之后，通過云防護節(jié)點強大的集群防護能力進行攻擊流量清洗和黑客攻擊行為攔截。
相比于傳統(tǒng)的本地硬件方案，云防護方案在解決傳統(tǒng)方案的不足的同時，極大地降低了采購成本及運維成本，并實現(xiàn)了集團總部對于成員單位的管理要求，增強了全集團的信息化安全。
（未知威脅感知系統(tǒng)部署示意圖）
4、安全態(tài)勢感知與運營解決方案
針對企業(yè)安全現(xiàn)狀，可在部署未知威脅感知系統(tǒng)基礎上，升級軟硬件方式來完成本地大數(shù)據安全平臺（安全態(tài)勢感知與運營平臺）的建設。未知威脅感知系統(tǒng)將成為安全態(tài)勢感知與運營系統(tǒng)子系統(tǒng)。安全態(tài)勢感知與運營系統(tǒng)對集團內所有安全設備的告警信息，服務器、網絡設備日志，以及互聯(lián)網出口及關鍵區(qū)域流量進行全量采集，結合資產價值、資產脆弱性以及安全威脅進行關聯(lián)分析，感知全局安全風險態(tài)勢，并將安全態(tài)勢以可視化方式展現(xiàn)起來，從而使安全管理人員能夠對企業(yè)安全狀況一目了然。同時安全態(tài)勢感知與運營平臺可作為企業(yè)信息安全體系的大腦，綜合分析各種告警和風險，并下發(fā)安全策略到終端和網絡邊界防護設備，進行安全協(xié)同聯(lián)動防護。
全集團部署安全態(tài)勢感知與運營系統(tǒng)，總部和分支分級部署，從而對整個集團的安全態(tài)勢進行分析和展現(xiàn)。
（安域部署示意圖）
客戶價值
部署終端安全管理系統(tǒng)、未知威脅感知系統(tǒng)、安全態(tài)勢感知與運營平臺后，能夠為企業(yè)實現(xiàn)如下價值：
提升終端安全管理能力
全集團集中部署天擎終端安全管理系統(tǒng)，建設統(tǒng)一防病毒體系、統(tǒng)一計算機安全管理體系；利用管理和技術有效結合，可以完美解決終端系統(tǒng)所面臨的病毒、惡意軟件、補丁缺失、配置不規(guī)范問題，保障全集團的終端安全。
統(tǒng)一安全管理中心和模塊化單一終端軟件，易用的產品功能，可以降低運維人員維護成本。私有云病毒查殺功能，既保證了病毒查殺效率，也可以降低終端資源消耗，獲得良好的企業(yè)內部用戶體驗。
獲得未知威脅感知能力
通過部署天眼未知威脅感知系統(tǒng)，通過進行云端大數(shù)據計算和挖掘，結合專家分析所形成的威脅情報數(shù)據與本地流量進行關聯(lián)分析，最大限度地發(fā)現(xiàn)企業(yè)內未知威脅，從而使企業(yè)獲得一般企業(yè)所不具備的未知威脅感知能力，使企業(yè)的安全檢測能力處于行業(yè)領先地位。
具備安全態(tài)勢感知能力
部署安全態(tài)勢感知與運營系統(tǒng)將能使企業(yè)管理人員能夠準確和直觀的了解集團安全態(tài)勢，集團信息安全狀況一目了然。
極大提高網站綜合防護能力
安域云安全防護平臺集成了網站加速、安全監(jiān)控、云WAF、抗海量DDOS、抗CC、DNS防護、WEB攻擊防護等，可以為企業(yè)建立一套完整且功能強大的網站安全防御體系，極大提高網站的綜合防護能力。
具有安全溯源能力
當發(fā)生安全事件后，可以快速對歷史流量數(shù)據進行檢索，結合云端的海量互聯(lián)網數(shù)據進行多維可視化關聯(lián)，快速定位攻擊、還原攻擊路徑和追溯攻擊者，從源頭上控制安全風險，降低攻擊再次發(fā)生的可能性。