企业高级威胁检测防护解决方案

1. 高级持续性威胁愈演愈烈

企业和组织机构的内网金沙9570登录入口，既关系到自身增值业务的高效运营，也关系到其基础网络和日常办公的正常开展。随着近几年国家对网络金沙9570登录入口的重视程度在逐步提高，尤其是等级保护的强力推行，多数的企业和组织机构都部署了防火墙、IPS和防病毒软件等常规的金沙9570登录入口设备或软件系统。然而，信息技术的飞速发展也让黑客的攻击手段变得更加高明，针对计算机和网络系统的攻击行为也在持续进化，层出不穷的新型高级恶意威胁仍然能够轻易穿透这种基础的网络金沙9570登录入口防护网，直达企业内部核心资产。此类攻击手段复杂、潜伏时间较长、检测难度很大，业界统称为APT（Advanced Persistent Threat，高级持续性威胁）。一次成功的 APT攻击，轻则造成公司核心商业机密泄漏，重则导致金融、能源、交通等涉及国计民生的行业陷入瘫痪。

2. 缺乏专岗金沙9570登录入口运营人员

随着网络信息化的持续完善，企业信息系统的规模逐渐变大，网络中每天都在发生的金沙9570登录入口威胁事件也在持续增加，金沙9570登录入口告警数据量每日成千上万已是常态。现实情况下只有较少的大型企业、政府机构或其他组织机构才会配备专业的网络金沙9570登录入口部门或个人，很多体量较小的企事业机构可能都不会有专职的金沙9570登录入口运营人员，而且人员的专业技能更新往往也跟不上金沙9570登录入口技术的快速发展。这种情况已经严重影响了企业网络金沙9570登录入口事件检测、分析与处置的效率，无法保证高效的金沙9570登录入口运营体系建设和管理。

3. 金沙9570登录入口事件分析需要专业的技术手段

在日常金沙9570登录入口监控、金沙9570登录入口应急响应、攻防演练支撑、两会重保、金沙9570登录入口攻防演练等场景下，仅仅有人还不够，必须要有一套专业的金沙9570登录入口事件分析工具或专业的网络金沙9570登录入口产品来做支撑，提供基于流量的深度协议分析和基于文件的深度威胁检测功能，同时要具备较强的流量处理性能、较高的准确率和较低的误报率，能够提供自动或半自动的检测分析手段，允许用户在一定程度上自定义分析流程或自定义检测规则，能够展示详细的检测结果和证据，有一套内容丰富的可视化呈现界面，方便投到大屏显示设备，等等。

1、系统架构

国舜高级持续性威胁预警系统架构如图所示，监听口接收镜像/分光流量，通过流量采集引擎对数据包进行快速处理以及硬件资源调度。通过筛选引擎过滤不关注的数据，将过滤后的数据进行二次处理，分别进行特征检测、元数据提取、文件提取、流量存储处理等。通过特征检测引擎检测基于特征的已知攻击，通过元数据、文件提取实现检测数据预处理，通过流量存储实现数据留存取证。之后通过中间件将元数据和事件进行泛化处理，将处理后的数据提交至AI检测引擎、异常行为检测引擎、文件检测引擎、威胁情报检测引擎、（Yara/JA3/SSL）检测引擎，结合关联引擎进行集中检测，最后将检测结果以日志/告警形式输出，并以大屏的方式展现。

2、部署方案

国舜高级持续性威胁预警系统通过分光或镜像网络流量的方式，旁路部署在单位网络进出口处，对流经的网络流量进行监测，实时告警，发现潜在的高级威胁。系统部署方式如图所示：

国舜高级持续性威胁预警系统通过持续监测网络流量、分析金沙9570登录入口威胁，能够帮助用户实时了解自身网络的金沙9570登录入口运行态势，发现潜在的恶意行为，找出受攻击的办公电脑，发现已知威胁变种、未知威胁和恶意加密传输的流量，让网络金沙9570登录入口隐患无处遁形。

1.丰富

国舜高级持续性威胁预警系统内置多种检测引擎，覆盖已知威胁检测和未知威胁检测、流量威胁检测和文件威胁检测、静态威胁检测和动态威胁检测，既可检测实时流量，也能回放历史报文，还可对接其他文件来源，多种检测技术能够完整覆盖APT攻击的整个攻击链，在不同的阶段可以使用不同的检测技术来有效应对。

2.专业

系统集成了多个AV检测引擎，能够保证文件检出率；集成十几种人工智能检测技术，包括文件基因图谱检测、恶意加密流量检测、暗网（Tor）通信检测、ShadowSocks通信检测、隐蔽隧道检测（ICMP、HTTP、DNS）、DGA域名检测、web攻击检测等，有效克服传统金沙9570登录入口检测技术难以企及的诸多领域难题。

3.灵活

系统提供了丰富的自定义功能，可以在界面上灵活开启和关闭各种检测开关，可以自定义系统模式，自定义沙箱运行种类、数量和检测参数；可以自定义各类检测策略和引擎规则，比如文件类型、IP信誉、文件白名单、流量白名单等；针对加密https协议，系统可以通过自定义网站和私钥对的方式来解密流量；针对网络异常行为和邮件异常行为，系统可以通过自定义规则来灵活匹配和告警，等等。

4.高效

系统提供了多种可视化分析面板，将客户日常运营中各类常见的高频关注事件分别进行多维度可视化展示。同时，针对攻防演练和重保等重点应用场景，系统提供了一站式工作台，预置十几种快速查询条件，提供丰富的事件搜索、关联查询和元数据追溯等功能。配合国舜金沙9570登录入口运营平台和大数据分析系统，有效提升金沙9570登录入口事件分析和溯源取证的效率。

1.持续监控网络攻击，时刻把握金沙9570登录入口态势 国舜高级持续性威胁预警系统部署在网络出入口处，能够持续监控网络流量，利用各类检测引擎实时监控内外部网络攻击，帮助金沙9570登录入口运营人员时刻把握网络金沙9570登录入口态势。 2.多元检测高级威胁，及时修补金沙9570登录入口隐患 利用沙箱技术和人工智能检测技术全面检测各种高级威胁，可以及时发现自身网络中各类信息系统存在的网络金沙9570登录入口隐患，提醒用户修补漏洞加固系统。 3.深入洞察金沙9570登录入口事件，高效追溯攻击来源 系统提供的各类可视化分析面板，能够协助用户深入洞察各类网络金沙9570登录入口事件，同时，利用系统内置的关联分析和深入钻取等功能，可以高效追溯攻击来源。 4.有效满足监管要求，助力合法合规建设 系统留存了详实的网络流量数据和文件样本数据，在等保合规建设中能够有效满足日志审计和网络行为分析等各类监管要求，助力单位实现合法合规建设。