下一代網(wǎng)絡(luò)威脅智能檢測系統(tǒng)介紹

下一代網(wǎng)絡(luò)威脅智能檢測分析系統(tǒng)（以下略稱：OmniX）是我公司自主研發(fā)，具有完全自主知識產(chǎn)權(quán)的一款對網(wǎng)絡(luò)威脅進(jìn)行有效檢測與發(fā)現(xiàn)的新一代威脅檢測產(chǎn)品。它基于多維度海量互聯(lián)網(wǎng)數(shù)據(jù)，進(jìn)行自動化挖掘與云端關(guān)聯(lián)分析，提前洞悉各種安全威脅，并向客戶推送定制的專屬威脅情報。同時結(jié)合部署在客戶本地的軟、硬件設(shè)備，系統(tǒng)能夠?qū)ξ粗{的惡意行為實(shí)現(xiàn)早期的快速發(fā)現(xiàn)，并可對受害目標(biāo)及攻擊源頭進(jìn)行精準(zhǔn)定位，最終達(dá)到對入侵途徑及攻擊者背景的研判與溯源。

產(chǎn)品采取旁路部署，全流量監(jiān)控、整合靜態(tài)檢測、動態(tài)分析等多項(xiàng)獨(dú)創(chuàng)專利技術(shù)，實(shí)現(xiàn)對網(wǎng)絡(luò)中流量深度分析，對未知威脅的早期快速發(fā)現(xiàn)與高精度檢測；對受害目標(biāo)和攻擊源頭進(jìn)行精準(zhǔn)定位，威脅入侵途徑回溯，幫助企業(yè)防患于未察。

1.1 產(chǎn)品架構(gòu)

OmniX采用B/S、分布式部署管理架構(gòu)，通過日志/網(wǎng)絡(luò)流量采集、威脅檢測、系統(tǒng)管理、存儲通信的模塊化設(shè)計(jì)，整合威脅情報分析、安全分析工具以及通過自動化集成響應(yīng)安全事件，實(shí)現(xiàn)了一套易于使用、擴(kuò)展性強(qiáng)的產(chǎn)品架構(gòu)。

產(chǎn)品架構(gòu)如下圖所示：

? 分布式傳感器（Beat Sensor）

分布式傳感器是OmniX系統(tǒng)的數(shù)據(jù)采集模塊，承擔(dān)日志及網(wǎng)絡(luò)流量的采集和威脅檢測過程。傳感器可以靈活分布部署，各自獨(dú)立采集及威脅分析，并將結(jié)果傳回OmniX管理平臺。傳感器的分析支持幾十種應(yīng)用協(xié)議，嚴(yán)格標(biāo)準(zhǔn)的硬件設(shè)計(jì)標(biāo)準(zhǔn)可以輕松部署到IT/OT/IoT生產(chǎn)環(huán)境。

? 威脅情報數(shù)據(jù)庫（IOC）

威脅情報數(shù)據(jù)庫是OmniX系統(tǒng)的核心模塊，承擔(dān)對惡意病毒、攻擊行為、漏洞利用等多樣攻擊的檢測過程。1998年成立以來，在全球超過70多個國家的威脅情報收集傳感器部署、實(shí)時監(jiān)控黑客的活動、追蹤病毒及傳染路徑、監(jiān)控分析暗網(wǎng)活動等形成了威脅數(shù)據(jù)采集分析生態(tài)系統(tǒng)。通過威脅情報生態(tài)系統(tǒng)，實(shí)現(xiàn)了分鐘級數(shù)據(jù)更新，并可以實(shí)現(xiàn)對垃圾郵件、惡意代碼，木馬蠕蟲、釣魚攻擊、比特幣挖礦、勒索病毒、未知惡意代碼、已知漏洞利用（Nday）、未知漏洞利用（0day）等攻擊行為的檢測與回溯。

? 威脅資產(chǎn)管理（Threat Asset Management）

威脅資產(chǎn)管理（Threat Asset Management, 簡稱TAM）是OmniX系統(tǒng)的資產(chǎn)管理模塊，承擔(dān)識別來自內(nèi)部網(wǎng)絡(luò)的IP地址，并為使用者提供編輯，配置資產(chǎn)信息的界面。通過資產(chǎn)管理，可以快速鎖定受到攻擊威脅的主機(jī)信息、用戶信息及設(shè)備信息。

? 數(shù)據(jù)庫&Web Server

數(shù)據(jù)庫和Web Server是OmniX內(nèi)部的關(guān)鍵應(yīng)用服務(wù)，提供存儲、管理與通信數(shù)據(jù)的基礎(chǔ)服務(wù)。其中，Web Server是OmniX與外部系統(tǒng)接口、提供外部管理的核心支撐服務(wù)，數(shù)據(jù)庫是為OmniX提供存儲與查詢能力的核心服務(wù)。這兩個應(yīng)用服務(wù)是關(guān)鍵基礎(chǔ)設(shè)施。

? 惡意軟件分析沙箱

OmniX系統(tǒng)可以高度無縫與第三方惡意軟件分析沙箱結(jié)合。通過充分整合，可以將可疑文件或者URL在隔離的環(huán)境中運(yùn)行分析，可以獲得可疑軟件的詳細(xì)行為信息，例如進(jìn)程創(chuàng)建、調(diào)用函數(shù)、下載的文件以及請求的網(wǎng)絡(luò)流量等等，進(jìn)而對惡意軟件進(jìn)行深度判定。

1.2 主要功能  

• 漏洞利用攻擊檢測，其中包含對未知漏洞利用（0day）的檢測

• 與威脅情報數(shù)據(jù)聯(lián)動，能夠有效進(jìn)行惡意流量的檢測，其中包括對未注冊的可疑惡意域名及未知惡意代碼的檢測

• 結(jié)合惡意軟件分析沙箱，深度判定威脅詳細(xì)信息

1.2.1 威脅檢測能力

t 僵尸網(wǎng)絡(luò)

t 勒索病毒

t 釣魚郵件

t 垃圾廣告

t 比特幣挖礦

t 信息泄露

t 信用卡盜竊

t 系統(tǒng)漏洞

t 網(wǎng)站應(yīng)用攻擊

t 權(quán)限獲取

t 密碼破解

t 網(wǎng)絡(luò)犯罪

t 木馬蠕蟲

t 惡意域名

t 惡意代碼

t IP黑名單

t 0Day攻擊

t DGA（域名生成算法）

1.2.2 威脅管理能力

t 威脅報警

OmniX在檢測到攻擊之后，將在監(jiān)控頁面上產(chǎn)生實(shí)時報警，為了便于監(jiān)控人員對報警進(jìn)行快速分析，OmniX報警界面提供了豐富、詳細(xì)的報警內(nèi)容，包括：攻擊是從哪里來的（攻擊的源IP）、哪里受到了攻擊（攻擊的目的IP）、攻擊是什么時候發(fā)生的（攻擊時間）、攻擊類別、危險程度等攻擊詳細(xì)信息。

t 威脅分析

報表、日志、惡意網(wǎng)絡(luò)流量提取、專業(yè)分析服務(wù)。

t 威脅響應(yīng)

內(nèi)置SIEM聯(lián)動

2 產(chǎn)品特點(diǎn)

l  網(wǎng)絡(luò)威脅的精確檢測

系統(tǒng)使用互聯(lián)網(wǎng)數(shù)據(jù)檢測網(wǎng)絡(luò)中的威脅，利用多種先進(jìn)檢測技術(shù)（如：威脅情報、行為分析等）對流量進(jìn)行深入分析，具有出色的精確檢測效果。

l  易于部署，易于使用

系統(tǒng)采用支持流量鏡像和日志導(dǎo)入等多種部署方式。無需進(jìn)行復(fù)雜的配置，即插即用，快速的發(fā)現(xiàn)問題。

分析結(jié)果簡單直觀，同時提供問題的建議解決方案，不但快速發(fā)現(xiàn)問題，而且快速解決問題。

l  模塊化設(shè)計(jì)，易于擴(kuò)展

系統(tǒng)采用模塊化設(shè)計(jì)，可以根據(jù)客戶的情況選擇不同的功能模塊，如不同威脅情報

庫的選擇，威脅檢測工具的選擇等。

l  數(shù)據(jù)回溯性分析

檢測系統(tǒng)不但可以實(shí)時監(jiān)控分析網(wǎng)絡(luò)流量，同時可以存儲原始數(shù)據(jù)，對網(wǎng)絡(luò)問題進(jìn)行事后分析，以及威脅事件的溯源等。

l  便攜式設(shè)計(jì)

檢測系統(tǒng)有便攜式和機(jī)架式設(shè)計(jì)。便攜式產(chǎn)品易于在網(wǎng)內(nèi)不同節(jié)點(diǎn)移動，解決內(nèi)網(wǎng)檢測的問題。

3 部署方案

OmniX系統(tǒng)采用旁路部署的方式，接入到所監(jiān)控網(wǎng)絡(luò)的交換機(jī)鏡像端口處，由于采用旁路接入的方式，不會改變現(xiàn)有網(wǎng)絡(luò)結(jié)構(gòu)，也不會對現(xiàn)有網(wǎng)絡(luò)的運(yùn)行產(chǎn)生任何影響，其典型部署方式如下：

3.1 實(shí)施步驟說明

1）客戶提供內(nèi)1個內(nèi)網(wǎng)IP，用于內(nèi)網(wǎng)網(wǎng)管pc 遠(yuǎn)程登錄設(shè)備，進(jìn)行ping 測試，確保網(wǎng)管PC 到網(wǎng)絡(luò)威脅檢測設(shè)備可達(dá)。

2) 將核心交換內(nèi)網(wǎng)到互聯(lián)網(wǎng)出口流量及客戶內(nèi)網(wǎng)DNS 流量做鏡像到網(wǎng)絡(luò)威脅檢測設(shè)備。

3）如果檢測系統(tǒng)可連接互聯(lián)網(wǎng)則采取自動升級功能從互聯(lián)網(wǎng)上獲取威脅情報，如果檢測系統(tǒng)不能連接互聯(lián)網(wǎng)則采取離線方式獲取威脅情報升級包