分析网络运营

绿盟智能安全运营平台产品白皮书文档编号密级完全公开版本编号V1.
0日期2019-9-21撰写人批准人2019绿盟科技版权声明本文中出现的任何文字叙述、文档格式、插图、照片、方法、过程等内容,除另有特别注明,版权均属绿盟科技所有,受到有关产权及版权法保护.
任何个人、机构未经绿盟科技的书面授权许可,不得以任何方式复制或引用本文的任何片断.
版本变更记录时间版本说明修改人2019.
09.
21V1.
0新增目录一.
安全现状及挑战.
11.
1安全现状.
11.
2当前挑战.
2二.
绿盟智能安全运营方案.
22.
1方案概述.
22.
2方案价值.
32.
2.
1高层:辅助决策42.
2.
2中层:管理落地42.
2.
3基层:运营支撑42.
3一个中心.
42.
4六大子方案.
52.
4.
1日志威胁管理方案52.
4.
2全流量威胁管理方案72.
4.
3漏洞闭环管理方案82.
4.
4用户异常行为分析方案92.
4.
5网站安全管理方案102.
4.
6一键封堵闭环管理方案112.
5安全运营服务.
12三.
方案创新.
123.
1安全大数据分析技术.
123.
2安全态势感知技术.
133.
3异常行为分析技术.
133.
4安全编排与自动化技术.
143.
5柔性平台灵活扩展.
143.
6威胁情报关联分析.
153.
7融合安全运营服务.
15四.
总结16-1-密级:完全公开2019绿盟科技错误!
未知的文档属性名称一.
安全现状及挑战1.
1安全现状随着企业信息化的不断发展,企业信息化资产数量日趋增多、系统的关联性和复杂度不断增强,然而当前信息安全形势日益严峻,信息安全防护工作面临前所未有的困难和挑战.
为了更好监控和保障信息系统运行,及时识别和防范安全风险,同时满足国家和行业监管要求,保证信息安全管理工作的依法合规,亟需建立一个全数据、集中管理的安全运营管理平台,做到事前预警、事中监控、事后分析,全面提升信息安全管理与防护水平.
同时,IT技术及攻防技术的不断演进,企业对信息安全技术人员的依赖日益加深,对技术人员的安全能力也有了更高的要求.
这不仅加剧了技术人员的需求缺口,也增加了管理人员使用成本.
企业在转变生产方式和业务拓展的大背景下,IT运维和人员数量和人员成本的与日俱增,又使得企业预算捉襟见肘.
与此同时,中国把网络安全提升到国家战略层面,相关法规政策接二连三密集出台.
2015年1月,公安部颁布《关于加快推进网络与信息安全通报机制建设的通知》(公信安[2015]21号)文件,要求建立省市两级网络与信息安全信息通报机制,积极推动专门机构建立网络安全全流量监测通报手段和信息通报预警及应急处置体系.
2016年,国家主席习近平在网络安全和信息化工作座谈会上发表"4.
19讲话",再一次强调网络安全建设的重要性,并提出:"要树立正确的网络安全观,加快构建关键信息基础设施安全保障体系,全天候全方位感知网络安全态势,增强网络安全防御能力和威慑能力,要加快网络立法进程,完善依法监管措施,化解网络风险.
"2017年6月1日,《中华人民共和国网络安全法》正式施行,顺应了网络安全发展法制化大趋势,对我国网络安全产业发展有着重要的意义.
其中第二十一条,国家实行网络安全等级保护制度.
网络运营者应当按照网络安全等级保护制度的要求,履行下列安全保护义务,保障网络免受干扰、破坏或者未经授权的访问,防止网络数据泄露或者被窃取、篡改.
第五十二条,负责关键信息基础设施安全保护工作的部门,应当建立健全本行业、本领域的网络安全监测预警和信息通报制度,并按照规定报送网络安全监测预警信息.
2019年5月13日,国家市场监督管理总局召开新闻发布会,等级保护2.
0标准正式发布,并于2019年12月1日正式实施.
-2-密级:完全公开2019绿盟科技错误!
未知的文档属性名称1.
2当前挑战1.
企业采购了大量的安全设备,并且部署在不同位置,分布零散.
——如何管理2.
安全设备产生的海量的日志,为日志采集、存储和分析带来了困难.
——如何收集、分析和展示3.
信息化领导者被日常工作拖累,陷于细节,无法宏观判断,有效决策.
——如何将风险管理工作落地执行4.
部署了网络平台或者安全平台,依旧是被动响应事件和处理,采购了安全能力还会遇到安全问题.
——如何变被动为主动5.
部署了网络平台或者安全平台,缺乏专业安全分析人员,平台发挥不了作用,用不起来.
——平台如何真正起作用6.
重大安全事件保障工作越来越多,每次重保都会手忙脚乱的应对.
——如何有效利用工具使各系统和平台协同管理7.
紧急事件、专项工作等工作无法快速处理,给企业安全带来不必要的隐患.
——如何通过平台快速处理此类问题二.
绿盟智能安全运营方案2.
1方案概述随着"互联网+"的全面推进,信息技术在国家社会经济建设中的应用也越来越广泛.
可以看到,新型的网络安全威胁层出不穷,高风险等级的安全事件不断出现,这将是未来安全行业的"新常态".
每一次重大的"安全事件"都是对安全组织的一次重大考验.
从获取敌情、武器到位、到大规模实施"安全服务"、监视和闭环管理等要素活动都对安全组织的能力提出更高的挑战.
因此,未来的企业安全运营体系建设,需要关注以下几个方面:1)能够在战略和战术上利用威胁情报;2)能够利用机器学习、复杂统计分析或预测算法等技术进行安全建模和高级分析;3)能够快速、准确的取证调查和威胁追溯;4)能够进行持续的监控与分析,构建自适应体系;-3-密级:完全公开2019绿盟科技错误!
未知的文档属性名称5)尽可能的自动化,提升安全运营效率;2015年,Gartner提出了自适应架构体系,即以持续监控和分析为核心,持续构建自适应体系架构的4个分层结构:大数据,安全情报,知识库及情景感知智能.
到2018年,已演进为持续自适应风险与信任评估体系(CARTA),受到越来越多的安全厂家和客户的认可.
基于Gartner提出的安全运营架构,绿盟科技公司在2016年提出并打造了适应市场新变化的下一代安全运营体系:即以IT资产为基础,以业务系统为核心,在持续监控和分析的基础上,通过连续响应,自适应调整防护策略,实现对网络攻击的动态防御,形成闭环的安全运营体系.
绿盟科技通过融合最新的安全技术,包括大数据安全、智能威胁研判、基于情报的漏洞管理、威胁情报平台、海量数据存储和分析、SOAR安全编排技术、云安全管理平台,覆盖了边界控制、评估分析、威胁防御、监测预警、合规治理等全面的安全管控界面,同时,打造了更具备扩展性、安全管控性、智能决策性、安全运营性的安全大数据分析平台,为用户提供全面的、智能的、可扩展的安全分析、展示和管理能力,极大提升了用户的安全管理水平.
绿盟科技智能安全运营解决方案强调以安全分析为核心,结合云端威胁情报,通过各种攻防场景及可视化手段,协助企业构建一个从防御、检测、响应、到预测于一体的自适应系统,从安全运营角度落实平台与流程,为客户带来了满意的使用体验:1)通过云端情报与本地数据关联分析,进行有效的事前预警,缩短了客户应对新生威胁的时间.
2)通过大数据分析和可视化技术,对攻击行为进行猎捕和追溯,快速定位攻击背后的黑手.
3)通过持续的漏洞监控和自动化管理,帮助客户将风险管理落到实处,实现了对漏洞的闭环管理.
4)通过高级分析和工单流转系统,自动化分析威胁和响应处置,提升客户安全运营整体效率,缩短运维响应时间.
5)通过安全运营服务和安全编排自动化响应SOAR技术,帮助客户降低整体的安全运营投入成本和风险,减轻客户的安全运营负担.
2.
2方案价值为应对当前安全管理工作中的大量多样性设备、海量日志、各类新型网络威胁、分析手段匮乏等挑战,安全防护体系开始更看重网络安全监测和响应能力.
随着中国安全政策法规-4-密级:完全公开2019绿盟科技错误!
未知的文档属性名称的完善,尤其是等保2.
0国家标准的正式发布,安全管理平台、安全运营需求将成为安全体系的"标配",用于提升安全管理工作的监测和应急响应能力.
绿盟智能安全运营方案帮助客户实现三大价值:2.
2.
1高层:辅助决策全局安全态势可视化,帮助高层管理者掌握企业全网安全状况,随时了解最新的安全趋势和风险状态,辅助决策安全建设方向和投资.
2.
2.
2中层:管理落地威胁、漏洞、资产集中闭环管理,帮助中层管理者落地安全管理和技术体系,威胁事件预警和追溯,漏洞监控并闭环处置,动态发现资产变化,做到心中有数.
2.
2.
3基层:运营支撑帮助运维人员精准攻击发现,及时事件预警,日志审计回溯,协同应急处置,减轻运维工作量,提高工作效率.
2.
3一个中心绿盟智能安全运营平台(NSFOCUSIntelligentSecurityOperationPlatform,iSOP)是遵循绿盟智慧安全2.
0理念,以运营为中心,智能化、全场景的统一安全管理平台.
iSOP以大数据框架为基础,结合威胁情报系统,通过对攻防场景的机器学习、威胁建模、场景关联分析、异常行为分析以及安全编排自动化、可视化呈现等技术,帮助客户建立和完善安全态势全面监控、安全威胁实时预警、资产及漏洞全生命周期管理、安全事故紧急响应能力.
通过独有的自适应体系架构,为安全运营提供可靠的信息数据支撑,协助客户快速发现和分析安全问题,并通过运维手段实现安全闭环管理.
绿盟智能安全运营平台iSOP采用一个中心、六大子方案的架构.
一个中心是指iSOP智能安全运营平台,以资产为核心,安全运营为出发点,覆盖威胁、脆弱性、资产及异常行为等多种安全分析能力,并能够实现针对数据的采集、分析、检测、研判、处置的闭环管理能力.
-5-密级:完全公开2019绿盟科技错误!
未知的文档属性名称六大子方案是指六个不同的安全分析方向,日志威胁管理方案、全流量威胁管理方案、漏洞闭环管理方案、用户异常行为分析方案、网站安全管理方案、一键封堵闭环管理方案,可灵活建设任意组合,为安全运营提供有效支撑,覆盖各种安全运营场景.
2.
4六大子方案2.
4.
1日志威胁管理方案绿盟智能安全运营平台iSOP是以资产为核心、风险为导向的安全运营解决方案,能够通过多源异构的日志数据采集和大数据分析,利用场景关联分析、机器学习、异常行为分析等先进技术,协助企业IT运维人员和安全分析人员快速发现资产面临的威胁和脆弱性.
并且以情报为驱动,针对企业IT资产情况进行全方位的监控和告警,协助用户进行安全闭环管理.
1、多层异构大数据自适应接入针对各种层出不穷的数据源类型,绿盟科技提出了交互式日志语义解析引擎的实现思路,保证了多厂家、多层次数据免插件、自动柔性接入,大幅降低后期各类数据接入的技术及人力成本.
不仅可实时采集不同厂商的安全设备、网络设备、主机、操作系统以及各种应用系统产生的多源异构的日志信息,还使用大数据技术,在并发内存的内处理机制方面能够带来绿盟智能安全运营平台iSOP全流量威胁管理方案一键封堵闭环管理方案漏洞闭环管理方案网站安全管理方案用户异常行为分析方案日志威胁管理方案-6-密级:完全公开2019绿盟科技错误!
未知的文档属性名称数倍于采用磁盘访问方式的解决方案,借助离线计算引擎在小时级别内,即可完成对海量日志的处理.
2、安全数据自主持续监测针对不同的数据接口,绿盟科技采用并行化设计思路,实现对数据接口的实时监测,利用自适应接入引擎,实现数据7x24小时的无间断数据监测,并依据实时数据流量,自适应调整数据接口带宽、数据清洗管道数量及存储空间等三级自动流控及自恢复机制,保证数据完整接入及入库.
3、安全数据智能分析面向不同安全业务场景,绿盟科技构建多种智能安全分析引擎,包括多源数据关联分析引擎、攻击链分析引擎、安全态势理解及推理引擎、威胁情报分析引擎、机器学习引擎、用户行为分析引擎等.
4、威胁态势感全面呈现绿盟智能安全运营平台态势感知可以针对整体范围或某一特定时间与环境进行因素理解与分析,最终形成历史的整体态势以及对未来短期的预测.
通过对入侵、异常流量、僵木蠕、主机安全、网站安全等态势进行多维度分析,能够很好的洞察企业内部整体安全状态,并通过量化的评判指标直观的理解当前态势情况.
5、高效的情报关联分析绿盟智能安全运营平台将本地告警数据、网络资产数据、漏洞数据与绿盟威胁情报数据按照多个维度进行关联分析,实时感知资产的威胁和脆弱性,通过平台安全规则的筛选和过滤最终形成漏斗效应,保证告警的更加精准和有效,并洞察新的威胁动向.
-7-密级:完全公开2019绿盟科技错误!
未知的文档属性名称2.
4.
2全流量威胁管理方案Gartner在2017年6月发布了十大信息安全技术,其中一项就是网络流量分析技术,Gartner对其的定义为:"网络流量分析解决方案融合了传统的基于规则的检测技术,以及机器学习和其他高级分析技术,它通过监控网络流量、连接和对象,找出恶意的行为迹象,尤其是失陷后的痕迹.
"这充分说明了网络流量分析技术在应对安全威胁方面的重要性.
绿盟全流量威胁管理解决方案针对原始流量进行采集和监控,对流量信息进行深度还原、存储、查询和分析,通过融合了传统的基于规则的检测技术、机器学习、威胁情报、虚拟沙箱和其他高级分析技术,可及时掌握重要信息系统相关网络安全威胁风险,及时检测漏洞利用、病毒木马、网络攻击情况,及时发现网络安全事件线索,及时通报预警重大网络安全威胁,调查、防范和打击网络攻击等恶意行为,帮助安全管理者快速检测失陷主机.
绿盟全流量威胁管理解决方案包含以下四部分:1、统一威胁探针(UTS)主要实现流量数据的采集和解析工作,可以对流量数据进行逐层解码,将解析后的流量元数据上传至大数据平台,将原始流量pcap数据留存在本地硬盘.
同时UTS集成入侵检测、病毒检测及吸星引擎等各类安全探针,提供统一威胁检测能力.
2、威胁分析系统(TAC)提供恶意文件检测功能,基于沙箱检测引擎,可以动态虚拟执行各类文件及应用程序,并将检测结果上报至TAM进行进一步处理和分析.
3、威胁情报中心(NTI)提供威胁情报功能,通过与情报的有效结合,可以实时获取全球最新的热点事件和信息,大幅提升安全威胁事件检测能力.
4、绿盟智能安全运营平台(iSOP)是全流量威胁分析系统的核心,iSOP平台可以对流量元数据进行加工和整理,利用其强大的大数据分析能力及各类机器学习算法,快速检测各类重点事件,如APT攻击事件、Botnet事件、恶意样本传播、WebShell、隐蔽隧道等高危安全事件.
iSOP从资产角度出发,结合攻击链模型向用户展示失陷主机,帮助客户从海量告警事件中,快速定位需要关注和处理的资产.
当系统检测规则落后于攻击行为,特别是0day攻击发生后,用户需要通过数据回溯分析,来检测出以往系统漏检的一些重要攻击行为信息.
系统通过情报或用户自定义规则作为输入,可以对历史流量数据进行回溯分析,同时提供原始流量取证能力.
最后iSOP平台以灵活的自定义检测策略、数据挖掘分析能力,提供北向接口等功能,使得客户能够扩展和集成安全能力,实现投资的收益最大化.
-8-密级:完全公开2019绿盟科技错误!
未知的文档属性名称2.
4.
3漏洞闭环管理方案黑客攻击本质上是利用系统存在的安全漏洞对系统进行危害.
因此要避免黑客攻击,一个重要的安全防护手段就是在黑客之前发现重要信息系统存在的脆弱性问题,并进行修补,做到防患于未然.
近几年来,漏洞的披露和漏洞的利用方式逐步发生了改变,借助各大社区、社交平台,漏洞的传播速度惊人,早上披露的漏洞,到下午可能已经有了利用代码,到了晚上很多攻击可能已经发生.
安全厂商已经开始积极应对这种变化,领先的厂商已经建立了完善的系统的安全情报体系,并且把厂商和客户通道打通,帮建立客户安全漏洞的应急响应机制,第一时间知道漏洞爆发,随着漏洞出现时间跟踪漏洞的利用过程,随时调整漏洞的响应级别.
针对现在安全漏洞在互联网传播迅速、被利用时间短、对网络爆发式影响的特点,结合多年的安全研究和服务经验,绿盟科技提出了绿盟漏洞闭环管理方案.
从漏洞管理的全局视角来看,客户会面对来自内部和外部的漏洞风险管理:内部的漏洞管理、资产管理,外部的漏洞应急、漏洞威胁.
威胁是外部因素,新漏洞披露的消息,漏洞是否被关注,是否已经有了利用该漏洞攻击的代码,是否被用于恶意软件进行传播,所有这些说明漏洞的外部威胁的强弱;漏洞是内部因素,是在具体网络资产上客观存在的,利用难度、利用方式、被利用的后果,以及资产和资产上的数据重要性,以及是安全防护是否到位,说明网络自身的健壮程度.
通过适合的管理流程,把内外部安全因素统一度量、分析和管理,才能有效应对目前安全漏洞的新趋势变化.
绿盟漏洞闭环管理方案提供漏洞管理的全过程支撑,量化跟踪和分析流程执行情况,促进管理流程持续优化.
同时充分利用漏洞情报信息,触发流程运转,帮助客户建立快速响应机制,及时有效完成漏洞修补工作.
包括三部分:-9-密级:完全公开2019绿盟科技错误!
未知的文档属性名称1、威胁情报中心NTI:提供威胁情报功能,通过与情报的有效结合,可以实时获取全球最新的热点漏洞和事件信息,大幅提升漏洞预警能力.
2、漏洞扫描设备:包括现有漏洞扫描工具、WEB扫描工具和配置核查工具,提供系统漏洞、Web漏洞、配置漏洞的发现能力,通过iSOP平台进行集中的调度和管理.
3、绿盟智能安全运营平台(iSOP):作为漏洞闭环管理的核心,将漏洞发现、修复、整改、加固、验证和预警整个过程进行全程监控,通过平台将系统漏洞、IT运维人员、责任人和管理流程紧密绑定,并有效监控和管理,使每一个漏洞的管理都会落实到人,实现最终的闭环管理的目的.
2.
4.
4用户异常行为分析方案调查显示,虽然大多数的攻击可能来自组织以外,但最严重的损害往往是由内部人员造成的.
SANS在2017年发布的内部威胁调研报告显示,40%的被调查者认为,恶意内部人员是他们面临的最大威胁.
Verizon2018DataBreachInvestigationReport的统计数据也佐证了这一点,28%的数据泄漏由都是内部威胁造成的.
只有管理好内部威胁,才能保卫网络安全,这逐渐成为一种共识.
诞生于2014年的UEBA(UserEntityBehaviorAnalytics,用户和实体行为分析)技术就是有效应对内部威胁的利器.
Gartner率先提出了用户行为分析UBA(UserBehaviorAnalytics)的概念,旨在应对日益增长的内部威胁.
后来,实体(Entity)的概念又被引入了UBA技术,并逐步演进成UEBA,其中E更多是指IT资产或设备,包括服务器、终端、网络设备等,通过对它们的行为异常分析可以发现外部的网络攻击、内部的横向移动或者主机遭受病毒侵害的行为.
Gartner预测,到2022年,核心UEBA技术将出现在80%的威胁检测和安全事件响应解决方案中.
-10-密级:完全公开2019绿盟科技错误!
未知的文档属性名称绿盟智能安全运营平台(iSOP)提供用户异常行为分析方案,使用高级分析方法和机器学习的模型,对用户和实体(例如ip地址、应用、设备和网络等)的行为进行评估、关联并建立基线,以发现内部威胁以及外部入侵行为.
2.
4.
5网站安全管理方案网站作为网络信息系统对外提供服务的重要窗口,面临的安全威胁也是最多的.
对重要网站信息系统的黑客攻击,不仅会对网站造成严重破坏,还会让黑客能够利用被黑网站对网站浏览者进行攻击,造成更为恶劣的影响.
因此,需要对网站的安全态势进行监控,及时发现网站安全问题.
网站安全管理方案可以及时监控到网站漏洞情况,发现网站挂马、网页篡改、域名劫持等黑客攻击行为,对网站平稳度、网站敏感内容等进行持续监控,并有效进行运维管理,从而避免因为网站出现问题导致公众问题.
绿盟智能安全运营平台(iSOP)提供网站安全管理方案,能够针对网站安全事件、web入侵攻击、网站漏洞进行持续监控,并结合威胁情报及网站资产信息进行关联分析,能够有效针对网站进行风险监控、事件闭环.
-11-密级:完全公开2019绿盟科技错误!
未知的文档属性名称2.
4.
6一键封堵闭环管理方案绿盟智能安全运营平台(iSOP)提供一键封堵闭环管理解决方案,通过网络安全预警研判和处置,实现快速、闭环的行业安全事件预警处置能力.
iSOP通过内外部的态势数据、评估数据、情报数据的综合分析,形成安全事件预警,并利用邮件、短信、移动互联网APP等方式快速通知到相关单位,并根据相关单位安全业务能力的强弱,进行针对性指导,最后对处置结果进行验证,达到及时发现攻击行为、快速控制安全风险的目的,在小时级的时间内实现行业重大安全事件的闭环处置管理.
-12-密级:完全公开2019绿盟科技错误!
未知的文档属性名称2.
5安全运营服务企业已经购买了很多安全检测防护类设备和安全运营分析的平台,但是苦于缺乏专业的安全人才来管理运营分析这些设备和平台上的日志数据,无法真正发挥出设备和平台的能力来保障企业安全,绿盟智能安全运营解决方案融合了安全运营服务,可将客户本地的运营平台跟绿盟科技云端安全运营支撑平台对接,由绿盟云端专家给客户提供7x24小时的运营服务,并跟客户本地测的驻场运营人员配合,实现热点事件的预警与防护、高危访问源的检测与封杀、可疑安全事件的发现与确认等系列闭环的安全运营服务,帮助企业降低整体的安全运营投入成本和风险、减轻客户的安全运营负担,保障企业网络安全.
三.
方案创新3.
1安全大数据分析技术安全从业者早已知道,在海量的安全数据中,各类数据之间有千丝万缕的联系,通过对这些联系的分析,可以发现很多靠传统手段无法发现的安全问题.
但是面对海量的安全日志、网络流量、威胁情报、环境信息……传统的利用数据库进行安全分析、数据挖掘变得极端困难,更无法形成有效的安全态势感知.
-13-密级:完全公开2019绿盟科技错误!
未知的文档属性名称绿盟科技经过多年的研究,和安全事件分析经验积累,提出了多种安全分析模型.
同时绿盟科技利用在大数据分析方面的技术积累,形成了安全大数据分析技术.
二者结合将以往不可能的安全大数据分析变为可能.
3.
2安全态势感知技术绿盟科技在态势感知、早期预警方面持续进行安全研究,持续跟踪了美国安全防护预警体系建设思路,对美国的"爱因斯坦计划"、"可信互联网连接(TIC)计划"以及后续的"持续监控计划"都进行了深入的研究.
在此基础上,绿盟科技形成了自己的态势感知和安全预警理论,利用安全大数据分析技术,结合多种安全分析模型和安全产品实现了强大的态势感知能力.
能够提供包括顶层设计、平台建设、子系统建设全套解决方案实施能力.
3.
3异常行为分析技术长期以来,传统安全技术都是依赖于规则进行检测,检测引擎里内置了很多已知规则、专家经验和人为设定的阈值,这种技术通常会导致误报率很高、准确率很低的问题,甚至对于一些新型的未知威胁行为根本检测不出来.
用户和实体行为分析(UEBA)则是从另外一个-14-密级:完全公开2019绿盟科技错误!
未知的文档属性名称视角去发现问题,从单维度检测到多维度分析,从单点检测到长周期分析,从基于规则分析到关联分析、行为建模、异常分析来发现更多更准确的安全威胁.
总的来说,行为分析一般使用在没有显著攻击特征的分析场景下,这些场景可能是较长时间周期的异常行为,也可能是网络安全角度正常的违规行为,这些场景下传统的检测设备无法做出有效的响应,需要利用基线算法、图算法、时间序列分析等行为分析方法来做分析和检测.
绿盟科技通过异常行为分析技术UEBA,来发现内部威胁以及外部入侵行为3.
4安全编排与自动化技术众所周知,传统数据中心中,网络的配置无疑是繁琐而易错的,随着数据中心规模的不断增大,网络以及安全服务数量也随之不断的增长,安全运维更是难上加难.
不管多么先进的技术,最终面向的都是用户,对网络安全技术知之甚少的网络服务使用者来讲,如何能够以最简单的方式来实现网络安全服务,这是用户所希望实现的.
从运维的角度来看,无论是网络、安全运维,还是其它IT基础设施的运维,都正在从劳动密集型向技术密集型转变,运维管理人员将会从重复、简单、枯燥的工作中解脱出来,去推动新的工作.
因此网络、安全服务自动化运维是众多数据中心追求的解决方案.
面对越来越复杂的网络和安全场景,运维人员往往不能只借助一种手段解决问题,而是需要多个设备或者服务协调,来完成一系列的安全功能.
因此如何有效的管理这些服务,就是编排(Orchestration)要做的事情.
2017年,Gartner提出了"安全编排、自动化及响应"(SOAR)这个术语,用以描述脱胎于事件响应、安全自动化、案例管理和其他安全工具的一系列新兴平台.
安全编排和自动化响应SOAR,能够帮助企业和组织收集安全运维团队监控到的各种信息(包括各种安全系统产生的告警),并对这些信息进行事件分析和告警分诊.
然后在标准工作流程的指引下,利用人机结合的方式帮助安全运维人员定义、排序和驱动标准化的事件响应活动.
绿盟科技通过安全编排和自动化响应技术SOAR来提供运维效率,SOAR的编排组件能将不同数据集和安全技术整合到一起.
自动化组件则旨在最小化事件响应过程中重复性任务的人工干预,帮助加速问题的解决.
响应是SOAR的核心功能,以自动化的方式综合运用经编排的不同技术中的元素,驱动事件妥善解决.
3.
5柔性平台灵活扩展绿盟安全态势感知平台采用灵活先进的柔性平设计,可以满足各种不同规模的部署场景,支持快速扩展.
-15-密级:完全公开2019绿盟科技错误!
未知的文档属性名称平台采用模块化设计,分为日志威胁管理、全流量威胁管理、漏洞闭环管理、用户异常行为分析、网站安全管理、一键封堵闭环管理.
每一个子系统均可以独立上线运行或下线停运.
不同的子系统组合可以实现不同的态势感知目标,随业务目标变化支持灵活扩展.
在平台监控性能不足时可以通过集群技术对平台计算资源、存储资源、监控采集设备进行灵活扩充,整个平台所有模块部件都可以通过设备扩容实现态势感知能力扩充.
平台提供SDK、开放API接口等方式,能够满足监控业务可扩展性需求,能够根据安全业务需求的变化进行平台功能的调整.
3.
6威胁情报关联分析绿盟威胁情报中心(NSFOCUSThreatIntelligencecenter,NTI)是绿盟科技依赖多年的安全经验和情报数据积累推出的一款威胁情报分析和共享平台,可为用户提供及时准确的威胁情报数据.
借助NTI的威胁情报支撑,用户可及时洞悉资产面临的安全威胁进行准确预警,了解最新的威胁动态,实施积极主动的威胁防御和快速响应策略,结合安全数据的深度分析全面掌握安全威胁态势,并准确地进行威胁追踪和攻击溯源.
3.
7融合安全运营服务MDR服务(ManagedDetectionandResponseService)是国际知名咨询机构Garnter在2016年5月提出的概念,后续逐步被发达国家或地区的企业客户所接受.
绿盟科技此次将安全运营服务融于到智能安全运营解决方案中,与传统的运维服务不同,安全运营服务是采用一体化集成的方式为企业提供端到端的服务.
借助这种新的服务模式,企业可以规避信息安全建设项目人员、技术、流程和管理的风险,有效避免投资浪费.
另外一方面,企业无需为安全运营投入大量精力进行规划、设计、部署和运维,可大幅度降低安全运营带来的负担,使企业可以集中资源和精力再自有业务上创造价值.
从部署角度,MDR支持云端安全专家提供远程服务,也支持本地安全专家提供驻场服务,或者两者的组合,灵活方便,方便各种使用场景.
-16-密级:完全公开2019绿盟科技错误!
未知的文档属性名称四.
总结随着"互联网+"的全面推进,信息技术在国家社会经济建设中的应用也越来越广泛,新型的网络安全威胁也更加突出,传统以"防护"为主的安全体系将面临极大挑战.
未来网络安全防御体系将更加看重网络安全的监测和响应能力,充分利用网络全流量、大数据分析及预测技术,大幅提高安全事件监测预警和快速响应能力,应对大量未知安全威胁.
作为业务、场景和数据三驱动的自适应安全综合管控平台,绿盟智能安全运营平台(iSOP)将原本分散的各种安全信息予以整合提炼,不但使运维效率大幅度的提高,而且使运维人员的安全分析视角在广度和深度方面得到全面的突破,进而推动了以人为安全运营主体向以平台为安全运营主体的安全运营思路进行跃变,可逐步降低运维人员在安全运营中的投入比重,最大程度的实现智能化的安全自运营治理生态体系.