沙箱安全解决方案研华
研华科技安全沙箱项目
Fortinet APT解决方案
2015年11月
目录
一、APT高级持续性威胁介绍......................................
二、Fortinet ATP防御...........................................
三、如何进行APT攻击防御.......................................
3.1 APT恶意代码分类............................................
3.2 沙箱简介...................................................
3.3 沙箱挑战...................................................
四、Fortinet针对研华APT解决方案...............................
4.1部署方式 ...................................................
4.2 FortiSandbox简介...........................................
4.3 FortiSandbox解决常见沙箱的技术难题.........................
4.4 FortiGuard学习.............................................
五、Fortinet优势...............................................
5.1安全与性能..................................................
5.2灵活的部署..................................................
5.3投资回报率高................................................
一、APT高级持续性威胁介绍
随着更全面的安全应用程序和技术的迅猛发展，研华科技现在有了更多的方法来进行实时的身份监控、权限和证书检查。然而，日渐复杂的安全问题依然有增无减，使得其带来的威胁仍然不容忽视。云计算的产生将给带来天翻地覆的变化，研华科技坚定不移的走上了云计算道路的大趋势将不会受到任何挑战，但数据保护和虚拟环境中的风险管理却让人望而却步，毋庸置疑在云计算的发展道路上，安全问题已经成为了它最大的“绊脚石”。
高级持续性威胁(Advanced Persistent Threat，APT)，威胁着研华科技的数据安全。APT是黑客以窃取核心资料为目的，针对客户所发动的网络攻击和侵袭行为，是一种蓄谋已久的“恶意商业间谍威胁”。这种行为往往经过长期的经营与策划，并具备高度的隐蔽性。APT的攻击手法，在于隐匿自己，针对特定对象，长期、有计划性和组织性地窃取数据，这种发生在数字空间的偷窃资料、搜集情报的行为，就是一种“网络间谍”的行为。这种攻击行为首先具有极强的隐蔽能力，通常是利用研华科技或机构网络中受信的应用程序漏洞来形成攻击者所需C&C网络;其次APT攻击具有很强的针对性，攻击触发之前通常需要收集大量关于用户业务流程和目标系统使用情况的精确信息，情报收集的过程更是社工艺术的完美展现;当然针对被攻击环境的各类0day收集更是必不可少的环节。
在已经发生的典型的APT攻击中，攻击者经常会针对性的进行为期几个月甚至更长时间的潜心准备，熟悉用户网络坏境，搜集应用程序与业务流程中的安全隐患，定位关键信息的存储位置与通信方式，整个惊心动魄的过程绝不逊于好莱坞巨制《偷天换日》。当一切的准备就绪，攻击者所锁定的重要信息便会从这条秘密通道悄无声息的转移。例如，在某台服务器端成功部署Rootkit后，攻击者便会通过精心构造的C&C网络定期回送目标文件进行审查。
二、Fortinet ATP防御
为了防御新型恶意软件和APT攻击，仅仅依赖传统的防病毒软件是远远不够的，必须结合多种安全技术，建立覆盖网络和终端的立体防御体系，从各个可能的入口进行封堵。
Fortinet针对APT攻击的安全解决方案在防病毒技术的技术上进行了大量扩充和延伸，称之为ATP（高级威胁防御）。Fortinet的ATP主要包括以下特性：
恶意软件特征检测及过滤
双重沙箱（本地及云端）检测0day威胁
僵尸网络防御
IPS（入侵防御）
文件类型过滤
三、如何进行APT攻击防御
3.1 APT恶意代码分类
APT攻击中的恶意代码有两大类
第一类是已知的恶意代码，这些恶意代码是针对已知的系统漏洞。虽然研华科技都知晓应该为系统漏洞按照最新的补丁，不过由于管理或者人力的问题，大多数的研华科技都很难随时更新到最新的修补程序。
另一大类的恶意代码是针对零日(0day)漏洞的恶意代码或者是未知的恶意代码，或者编写符合自己攻击目标，但能饶过现有防护者检测体系的特种，这些0day漏洞和特种木马，都是防护者或防护体系所未知的。
对于第一类已知恶意代码攻击目前很多安全设备已经可以做到防护如IPS等，但是对于第二类零日攻击（0Day）即未知威胁恶意代码的检测，
主要依赖于各种沙箱技术。包括手机沙箱、PE沙箱、web沙箱等，通过沙箱技术，构造一个的环境，任何灰度的流量装入一个隔离的沙箱中。通过提取流量中的相关代码，然后将代码放到沙箱中执行，在隔离的虚拟化的沙箱环境中分析恶意软件或恶意内容，可让安全人员实际看到恶意软件的运作模式。例如，如果怀疑电子邮件附件和URL藏有恶意软件，就可以将其放入沙箱，沙箱分析威胁相关信息，例如参与攻击的源头，被攻击的系统、、文件、URL及恶意软件等，借助这些信息，可以识别各种恶意代码，安全管理人员可以决定适当的防御措施，由于APT攻击途径多种多样，可以是邮件，可以是web，可能来源于等等，因此沙箱技术是防范APT攻击的关键。
3.2 沙箱简介
什么是沙箱
沙箱是一种虚拟分析技术，通常指在沙箱中模拟用户环境（如复制标准的工作站）运行待检测的代码，通过分析输出结果来确认某种攻击行为。
恶意的特征通常表现为：
下载已知病毒
修改注册表
访问外网的恶意IP地址
感染进程
为什么要使用沙箱
高级威胁（APT/ATA）很难被检测到如：
基于行为的检测 vs. 基于特征的检测
基于特征的检测不能捕获所有威胁
实时运行分析可以发现静态（特征）检测不能发现的问题
检测是在运行代码后进行的，所以可以检查到各个方面还有更多…
恶意软件通常还会去下载更多恶意软件
沙盒会捕捉到这些动作，并跟踪整个过程
3.3 沙箱挑战
在当前的网络攻击技术中，攻击者为了绕过沙箱过滤识别技术，使用了大量的沙箱逃逸技术如：VM检测、时间炸弹、Debug循环、事件触发（鼠标点击、系统重启等）。
常见的沙箱存在以下问题：
操作系统单一：适应范围较窄，速度慢
单一软件版本：如只适用于java、Adobe reader等
攻击需要在特定的版本软件中运行，例如：恶意软件不能在沙
箱中运行，这样将绕过沙箱
针对于这样一些特性，Fortinet公司研发了全新的多层次的安全威胁解决方案，该方案对沙盒本身的检测机制进行了更新，更结合了Fortinet 公司多款明星产品，以及多年在安全领域的积累，为用户提供更全面有效的APT防御方案。
四、Fortinet针对研华APT解决方案
4.1部署方式
研华科技承载着众多的内部业务，除了要对APT攻击进行精准防护之外，要求较低的延迟及较高保密性，而传统的云沙箱安全技术需要将可疑
数据上传到各自厂商的云端沙箱进行隔离运行进而判断数据流量的安全性，很难满足研华科技对低延迟及高保密性的要求。
目前研华科技的网络架构大致如下，在Internet出口都已经部署过防火墙设备，图中User用户的上网都是通过深信服的行为管理设备接入Internet，而服务器都有自己独有的线路。此外也有MPLS线路通到各分
支机构。
用户主要关心的问题主要集中在以下几个方面：
1、用户网络APT攻击的防御
用户网络中，各种用户的访问习惯较为繁杂，一些用户没有养成良
好的网络安全习惯，容易受到钓鱼邮件，网站的攻击，从而成为肉
鸡，从而对内网的服务器可能会造成影响，如敏感信息外泄，服务
器受到攻击等。
2、对MPLS网络的安全防御
研华科技的公司总部和各分支机构使用MPLS打通了整个网络，但
总部和分支机构之间并没有安全防护设备，只有一台riverbed广
域网加速设备。由于各分支机构的网络是相对独立管理的，使得总
部和分支机构之间只要有一方受到APT攻击就可能影响到另一方。
3、对于server网络的安全防御
目前对于Server端虽然和用户的网络是分开的，但对于Server的
防御也仅限于防火墙，并没有网关IPS,网关防病毒等等类似的设备，总所周知传统的防火墙对于APT的防御是没有效果的。因此Server
的防御也需进一步提高。
为此Fortinet提供了本地沙箱技术-FortiSandbox硬件设备。对于研华的此次网络安全沙箱项目，有几种配置和部署的方式，客户可根据自己的需求进行选择：
部署方式一：
部署一台FortiSandbox 1000D设备，但由于FortiSandbox是离线检测设备，需要有数据源，我们可以在核心交换机上做镜像端口，将需要进行检测的流量镜像出来，然后FortiSandbox进行检测即可。
此种解决方案部署方便，对现有网络架构无改动，只需在核心交换机上镜像流量即可，对用户和服务器都完全透明。但是由于核心交换机上镜像过来的流量会较多，会造成Fortisandbox大量的扫描工作都浪费在一些无用的文件或流量上，从而造成扫描效率低下，整体检出率降低。
部署方式二：
部署一台FortiGate 1200D设备，同时将一台FortiSandbox 1000D，放在网络中只要FortiGate1200D和FortiSandbox1000D能在内网互连即可。FortiGate 1200D设备作为针对网络流量的探针设备，对网络中的流量进行打分评估，对于可疑的流量转发给直连的FortiSandbox 1000D设备。
由于FortiGate 1200D支持虚拟域功能，我们可以将一台FortiGate 1200D分成多个逻辑域，用于网络探测, 如下图所示一共划分了四个虚拟域，都进行透明模式的部署，在此种模式下所有的文件已经经过FortiGate1200D的第一层过滤，对于已知的威胁已经可以由
FortiGate1200D过滤掉，而对于已知可信无威胁的文件，FortiGate1200D 会将其放过，而不会发送到Fortisandbox进行没有必要的查杀。只有可疑的文件才会被发送到Fortisandbox的虚拟环境中进行模拟以深层检测威胁。
FortiSandbox本地沙箱技术即解决了有效识别和拦截APT攻击的安全防御功能，又满足了研华科技安全的保密性要求。
FortiGate 1200D七层防病毒可以做到9.5Gbps,且其IPS的能力可以达到11Gbps，并发会话为1千1百万，完全可以满足研华上网和邮件流量检查能力。
FortiGate1200D和FortiSandbox 1000D的无缝集成如下所示：
网络中的流量到FortiGate后会先进行第一层的过滤，当发现有可疑文件时会自动提交给FortiSandbox，提交是通过SSL加密进行传输的。可疑文件到达FortiSandbox后，会在其VM的仿真环境中进行一系列模拟运行，加速其威胁爆发等操作，以此来检测该文件是否是一个有威胁的文件。通常一个文件的检测在几分钟之内就可以完成，检测的结果会发送给FortiGate和对应的FortiGuard云服务。FortiGate会存储这个文件的HASH值，从而当同样的文件再次经过FortiGate时会被阻断，从而实现阻止功能。
由于多节点都部署在一台FortiGate上，推荐使用我们的FortiBridge Bypass盒来实现bypass功能。部署方式如下：
当FortiGate设备正常工作时，数据流如下，FortiBridge在收到流量后将流量转发给FortiGate设备，FortiGate在处理完流量后，再将流量发到FortiBridge的另一个接口，FortiBridge直接进行转发。FortiBridge 2002F的型号可以支持多模光口bypass。
FortiBridge在运行时，会实时发送ping包从INT1到EXT1，看这个心跳包是否能穿过FortiGate返回到FortiBridge，从而判断FortiGate 设备是否处于通电并且正常工作的模式。
一旦发现FortiGate设备发生故障，FortiBridge会立刻检测到，并阻断到FortiGate的数据流，直接进行转发，如下图所示：
由于PIX 515E已购买多年，已渐渐不能满足研华当前网络的需求，FortiGate其完善的防火墙IPS功能，完全可以替代PIX 515E的功能，如下图所示，这样网络架构更清晰，客户所需维护的设备也少一个。
此种部署方式对于最左边的用户只能防护其到总部的流量，但并不能确保其本身不受ATP的攻击，因此较完善的情况下我们可以采取部署方式三。
部署方式三：
在部署方式二的基础上，我们再在左边网络部署一台FortiGate300D，来做其的网络探针功能，如下图所示。
其总体架构和部署方式二并没用太大区别，只是再多部署一个网络探针，以便更好的收集网络中威胁的存在。这样流量的样本和检测都更全面。
4.2 FortiSandbox简介
FortiSandbox是Fortinet的创新型高级威胁防护解决方案的重要组成部分。FortiSandbox设计用于检测和分析，旨在对绕过传统的高级攻击进行安全防御，并被NSS实验室评为推荐等级。在独立的NSS实验室的测试，FortiSandbox达到了99％检出抗逃逸检测的效果，并且由于采用了Fortinet独特的多层次的沙盒分析方法可以在一分钟内检测出大部分威胁。
FortiSandbox通过FortiGuard提供的安全知识库，将所有的协议检测和攻击识别功能于一体的设备。它可以公司旗下的FortiGate，FortiMail 和FortiClient等产品无缝的集成，推动了Fortinet的安全生态系统，自动保护，学习和提高客户的整体威胁防护能力。通过经济实惠，以及简单而灵活的部署和管理模式为用户提供非常有效的保护，防止高级持续性威胁。补充用户建立防御这一前沿的沙箱的能力;分析文件中包含的多种虚拟机环境，以确定以前未知的威胁，并揭示了全面攻击的生命周期。
FortiSandbox与Fortinet其他安全技术形成有效的互补，FortiSandbox 是特有的多合一沙箱设备。
我们通常说进行APT防御并不是一个沙盒可以解决的，这是一个综合多层次防御的课题，必须整合防火墙、IPS、防病毒等多层次安全防御手段，再和沙盒有效的进行无缝衔接，才是APT防御的最佳实践。
4.3 FortiSandbox解决常见沙箱的技术难题
FortiSandbox主要设计原理：首先明确筛选出“黑”与“白”文件，然后扫描“灰色”文件。
首先FortiGate 1000C在网络上工作，它的恶意软件过滤功能针对标准网络协议，与应用无关。FortiGate可扫描过滤的协议包括HTTP、SMTP、POP3、IMAP、MAPI、FTP、SMB、IM、NNTP等，在支持协议的全面性上走在了业界的前列。对于使用非标准端口的协议应用（例如，在使用代理服务器的环境中，HTTP协议不使用TCP 80端口，却使用了TCP 8080端口），FortiGate同样可以对其中的恶意软件进行过滤。
网络通信通过加密协议（如HTTPS等）进行时，其中包含的恶意文件也会被加密，有可能绕过防御防御机制。FortiGate支持对多种加密协议（如HTTPS、SMTPS、POP3S、IMAPS、FTPS等）的识别与扫描，在加密环境下也可防止恶意软件的传播。
通过使用FortiGate 1000C设备快速的进行已知特征匹配，这个特征库包括防病毒特征库和IPS特征库等，对于识别出来已知恶意文件（即为黑色文件）会立即阻断，明确是没有威胁的安全文件（即为白色文件）则会被放行，不能确定的文件（即灰色文件）则会优先进入轻量级的本地实时沙箱（位于FortiGate内部）。
本地实时沙箱是一个简单、快速的轻量级沙箱，它能够模拟部分软件的执行，发现其中的恶意行为，且与OS无关，可以有效地防止有些恶意
文件为了躲避沙箱检测而设计的VM逃逸行为。对于FortiGate内的本地沙箱仍不能确定的灰色文件，则该文件将被发送至FortiSandbox 3000D
沙箱设备。
FortiSandbox 3000D是一个更加强大、细致、复杂的沙箱环境，能够模拟多种主流操作系统，并提供代码仿真环境，然后在一个完全虚拟的运行环境中执行，从而发现更加隐蔽的恶意软件，一旦恶意代码被检测到，结果会被提交到FortiGate设备，并且自动串接反恶意软件签名，以便更新到FortiGate的威胁数据库，并可通过FortiGuard安全云不断更新其沙箱环境和检测机制，提升沙箱的检测识别能力，令0day攻击无处藏身。
FortiSandbox设备相当于将云端的安全实验室搬到了用户网络内部，所有文件都不会发往外网。对于像研华这样非常重视数据保密和隐私的用户，FortiSandbox是最佳选择。恶意的,和高/中/低风险等所有分类都在一个直观的控制面板中显示。提供丰富的日志和报告 - 在虚拟环境中执行完整的威胁信息,包括系统活动,漏洞尝试,Web流量,后续的下载,通讯
尝试等等操作。
4.4 FortiSandbox的操作系统支持
Windows XP是病毒滋生的沃土,也是沙盒能够检测到最多病毒的操作系统。在2014 年4月8日以后,XP不再受到微软的支持。这意味着不再有安全补丁更新,因此 XP环境中会有越来越多的安全漏洞出现。XP环境将更加肥沃而易于感染。好消息是,更多的恶意软件将会在 FortiSandbox 的XP沙盒中正确触发。坏消息是,其将成为攻击者的肥肉靶子。可以打赌,恶意软件将会紧随那些尚未切换到 7/8 的唾手可得的终端用户而开发出来。从过去的趋势来看,迁移不可能一蹴而就。
FortiGuard 实验室观察到的大多数威胁仍然是可执行文件的形式,特别
是可移植的可执行 32 位格式( PE32 )。 32 位主要是用于在 Windows XP
环境中执行的。Windows XP仍是一个活跃的市场,也是一个容易获取的目标。微软在Windows7/8中引入了安全技术,用以阻止恶意代码和文件漏洞的执行。由于 Windows XP没有相同的技术,在沙盒中的 XP下运行代码会提高检测效果,即使该威胁是专门为Windows 7/8编写的。同时若黑客(开发者)可以编写 32 位恶意软件,其就会在今天的 XP 上生效,也会在用户迁移到 Windows XP /8 时跨平台生效,所以,开发者没有必要专门制作针对 Windows 7/8 恶意软件。所以大多数恶意行为都可以在 XP (不支持64 位代码)中观察到,而不需在 7/8 中进一步测试。但运行于带有 CPRL 的 FortiSandbox 的 Fortinet 杀毒引擎完全支持 32 位和 64 位代码
以及多个平台: Windows、Mac 、Linux、Android、Window Mobile、iOS、Blackberry和遗留下来的 Symbian。尽管 FortiGuard 实验室并没有预期 64 位威胁会立即发起攻击, 但 Fortinet 使用其 CPRL、杀毒引擎和FortiSandbox 已经能够同时捕获这两种威胁。
当网络环境一旦出现转变,其下受到支持的环境也会跟着转变。为了有效地捕捉病毒威胁,FortiSandbox 根据现有的网络环境威胁同时在Windows XP 和 Windows 7/8 的虚拟环境中配置资源,并以 FortiGate 和FortiSandbox整合了新式规避技术侦测功能和目标平台的强化技术。不止如此,FortiSandbox 还通过代码仿真和杀毒引擎预过滤为 O/S 独立检测提供支持。
当前FortiSandbox 3000D可支持28个虚拟机同时运行，其中Windows XP 22个，Window 7等64位操作系统6个。
五、Fortinet优势
5.1安全与性能
对抗高级目标针对性攻击最好的办法就是寻找一套完备的并且扩展力强的防御框架。Fortinet提出的这套框架将安全情报贯穿于整个防御系统中,而这套系统包含了传统网络安全与新兴的高级威胁防护工具,从网络、应用和终端三个维度对威胁进行持续地、实时地检测、发现、抑制,交付给客户可执行力强的持续安全威胁情报,以提供不间断的有效防御。
Fortinet 整合了FortiGuard Labs 的安全情报资源给我们的旗舰产品FortiGate下一代防火墙、FortiMail 安全邮件网关 , FortClient 终端安全软件, FortiSandbox 高级威胁检测系统, 以及其他能够为用户提供安全保护的安全产品,最终目的就是持续优化我们的安全产品,提升Fortinet交付给客户的安全解决方案的安全能力,使其可以帮助用户对抗最新的安全威胁。
在Fortinet 的解决方案中,不仅能够对已知威胁进行很好的检测、识别和阻挡,让用户免受已知威胁的侵害,更能够通过其他安全系统的互相补充作用来缓解新兴威胁带来的安全影响,这一切的背后都是FortiGuard Labs全球领先的威胁情报及安全研究能力的支撑。
Fortinet采用多层次文件处理技术，优化资源使用，提高安全性和性能。
5.2灵活的部署
FortiSandbox 能够在一套解决方案中支持众多环境和众多协议的检测, 因此能够简化网络架构的部署和运维。不仅如此,通过集成FortiGate、FortiMail等Fortinet产品,能够为您的网络安全架构焕发出新的生命力。
支持多种部署模式适应各种需求和结构，保护现有投资。
独立模式
这种部署方式依赖于从交换机端口和/或管理员选择文件上传到设备。如果要在已经存在的由多厂商组成的威胁防御系统中添加FortiSandbox,这是最适合的方式。
FortiGate/FortiMail 集成
作为互联网安全网关,FortiGate可以被设置为提交可疑文件到FortiSandbox上。这种无缝集成的方式降低了网络复杂性,并且扩展了
功能,比如支持了对应用程序和协议进行 SSL加密。
分布式FortiGate 集成
这种部署可以应用于那些拥有众多分支机构的分布式环境
中,FortiGate部署在分支机构,并提交可疑文件到一个位于中心的FortiSandbox来进行集中处理。这种部署方式的好处在于TCO最低,并且可以防止在远处分支地区的安全威胁。
5.3高性能ATP防御系统
ATP（高级威胁防御）对设备的性能要求很高，很容易成为网络性能的瓶颈。与同类产品不同，FortiGate是全球唯一使用专用ASIC芯片加速的硬件安全网关，并结合Fortinet公司的专利技术CPRL（内容处理识别语言），可实现数倍于同类产品的性能。Fortinet最新一代内容处理ASIC芯片——FortiASIC CP8，可直接运行CPRL进行恶意软件检测，将CPU从繁重的工作中解放出来，通过这种CPU+ASIC分布式处理的机制，实现单台
设备近20Gbps的防恶意软件吞吐能力，远超同类其它产品，对于Web浏
览这样的实时应用的延迟也微乎其微。FortiGate还可通过负载均衡HA方式提升ATP性能，在大量用户的万兆网络中实现高性能实时防御。
六、FortiSandbox产品特性
管理
支持WebUI & CLI 配置
支持多管理员账户
文件备份和恢复配置
检测到恶意文件时电子邮件通知
为全局邮件列表和FortiGate VDOM管理员发送周报
集中搜索页面可以让管理员创建自定义搜索条件
频繁的签名自动更新
自动检查和下载新的VM镜像
VM 状态监控
网络/部署?
静态路由支持
文件输入: 离线/嗅探器模式,点播文件上传,文件提交的集成设
备 ?
基于Web的API可以让用户间接上传样本来执行扫描 ?
可以创建一个封闭的虚拟网络来扫描可疑文件 ?
设备集成: ?
–文件提交端 : FortiGate, FortiMail
–上传数据库代理: FortiManager
–远程日志: FortiAnalyzer, Syslog Server ?
高级威胁防御
?虚拟 OS 沙盒:
–并发Windows 虚机实例
–反逃逸技术: 睡眠调用,进程和注册表查询 ?
–回调检测: 可疑 URL 访问, 僵尸网络 C&C 通信和被激活的恶意软件攻击流量-
–下载捕获的数据包,原始文件,追踪日志和快照没有文件大小限制,但是可以通过配置来限制文件大小 ?
文件类型支持:
–归
档: .tar, .gz, .tar.gz, .tgz, .zip, .bz2, .tar.bz2, .b
z, .tar.Z, .cab, .rar, .arj
–可执行文件: (eg: .exe, .dll), PDF, Windows Office 文档, Javascript, AdobeFlash 和 JavaArchive (JAR) 文件–媒体文件: .avi, .mpeg, .mp3, .mp4
协议/应用支持:
–嗅探模式: HTTP, FTP, POP3, IMAP, SMTP, SMB
–与 FortiGate集成模式: HTTP, SMTP, POP3, IMAP, MAPI, FTP,IM和同等的SSL加密版本
–与FortiMail集成模式: SMTP, POP3, IMAP
嗅探模式的网络威胁检测:识别僵尸网络行为,网络攻击,恶意连
接访问 ?
扫描 SMB/NSF 网络共享和隔离的可疑文件。 ?
扫描Web站点的URL ?
可选项:自动将可疑文件提交到云服务的人工分析和签名创建 ?
可选项:转发文件到一个网络共享平台,方便以后用其他第三方工
具扫描 ?
监控和报告 ?
实时监控小工具(可选源和时间段选项为显示方式):扫描结果统
计, 扫描行为 , Top目标主机, Top 恶意软件, Top 传染的 URLs,
Top 回调域
下钻事件查看器: 内容行为的动态表,恶意软件的名称,等级, 类
型,来源,目的地,检测时间和下载路径内容 ?
日志– GUI, 下载原始日志文件 ?
针对恶意文件的报告生成:在文件的特征和行为的详细报告 - ?文
件修改,流程行为,注册表行为,网络行为,VM快照 ?
更多的分析: 可下载的文件–示例文件,沙箱示踪日志和PCAP
捕获 ?
FortiSandbox 3000D参数
电力物联网全场景安全态势感知解决方案
电力物联网全场景安全态势感知解决方案 电力物联网全场景态势感知解决方案根据电力物联网典型的“云、网、边、端”分层结构构建安全防护体系，提升电力物联网全场景安全态势感知能力，解决电力物联网安全态势感知体系欠缺和应急响应能力不足的问题。 摘要 电力物联网全场景态势感知解决方案根据电力物联网典型的“云、网、边、端”分层结构构建安全防护体系，提升电力物联网全场景安全态势感知能力，解决电力物联网安全态势感知体系欠缺和应急响应能力不足的问题。对全业务电力物联网的各环节进行安全保障，防止恶意渗透攻击、防止数据丢失、防止恶意篡改，确保接入终端可信、传输通道可靠、业务应用可控，实现全景安全监测，全面提高全业务电力物联网安全综合防御能力。 关键词：电力物联网；全场景安全态势感知体系；云边协同；局部安全自治；联防联动机制 内容目录： 0 引言 1 目标及内涵 1.1 电力物联网特点
1.2 总体目标 2 关键产品及防护能力 2.1 “云”态势感知技术及产品 2.2 “网”态势感知技术及产品 2.3 “边”态势监测技术及产品 2.4 “端”态势监测技术及产品 3 应用案例 4 结语 ０引言 电力物联网是物联网在电力行业的具体表现形式和应用落地，通过将电力用户及其设备、电网企业及其设备、发电企业及其设备、供应商及其设备，以及人和物连接起来，产生共享数据，为用户、电网、发电、供应商和政府社会服务，以电网为枢纽，发挥平台和共享作用，为全行业和更多市场主体发展创造更大机遇，提供价值服务。作为落实建设能源互联网，加快新型数字基础设施建设的核心任务，建设电力物联网势不可挡。 然而，电力物联网的建设将极大改变现有电力业务模式和专业体系，也不可避免的对电网现有网络安全防护体系产生冲击；同时，随着国内外安全形势的不断变化，以及国家要求的进一步明确，都对物联网安全提出了新要求。
沙箱安全解决方案研华
研华科技安全沙箱项目 Fortinet APT解决方案 2015年11月 目录 一、APT高级持续性威胁介绍...................................... 二、Fortinet ATP防御........................................... 三、如何进行APT攻击防御....................................... 3.1 APT恶意代码分类............................................ 3.2 沙箱简介................................................... 3.3 沙箱挑战................................................... 四、Fortinet针对研华APT解决方案............................... 4.1部署方式 ................................................... 4.2 FortiSandbox简介........................................... 4.3 FortiSandbox解决常见沙箱的技术难题......................... 4.4 FortiGuard学习............................................. 五、Fortinet优势............................................... 5.1安全与性能.................................................. 5.2灵活的部署.................................................. 5.3投资回报率高................................................
深信服EMM技术白皮书-沙箱
1.1.EMM客户端aWork的使用 员工通过个人域中的EMM客户端aWork访问工作域，是一种轻量级的沙箱机制，不需要Android系统、iOS系统的高权限。 EMM客户端aWork的使用流程如下： 1.2.EMM沙箱客户端技术概述 非安全应用通过自动方式集成封装组件，成为安全应用。安全区应用间共享同一个安全剪切板，共享同一个虚拟外置存储，安全应用间可以正在的互相访问；但是个人区的的非安全应用禁止访问安全区应用的数据。
封装安全组件包括以下几个功能模块，安全剪切板、安全分享模块、安全文件系统等，通过应用封装隔离组件后，封装的应用数据会与个人应用分离，安全应用间会共享安全数据，同时个人应用禁止访问安全应用。 1.3.沙箱文件系统 文件系统隔离将个人区与安全区的应用数据进行隔离存储，对企业的数据进行安全加密重定向处理，达到安全区应用与非安全区应用无法互相访问的安全效果，具体包括对企业应用数据进路径重定向、存储路径加密、存储数据加密；通过封装隔离组件后，封装应用间会共享同一个虚拟的文件系统,与外部应用隔离同时安全应用间可以互相共享。 文件系统隔离主要包括两大功能：文件隔离和文件内容加密。通过隔离功能将文件路径重定向到安全沙箱目录，方便对安全数据进行管理；通过加密功能对文件数据进行加密，保证数据是加密存储，即使文件泄露也不会导致数据泄露。 文件隔离的工作流程如下所示： 1.拦截到OS系统的文件操作，判断访问的文件是否为重定向安全区数据；
2.如果不是访问安全工作区数据，直接返回系统调用，否则修改访问路径重定向 到安全数据区； 3.对访问到的数据进行加解密操作，完成后调用原系统调用。 1.4.分享和打开隔离 应用进行分享隔离主要包括如下场景： 1.安全应用向个人应用主动分享; 2.个人应用向安全应用进行分享; 3.安全应用向安全应用进行分享。 分享和打开隔离主要限制安全应用主动分享给非安全应用、非安全应用主动拉起安全应用分享。 在某些客户场景下，处于便利性考虑，可以通过放开非安全应用到安全应用的文件分享，如在个人App中的有用的工作文件希望传递到工作域中的OA App中，提升工作效率。 1.5.剪切板隔离 剪切板隔离通过构建虚拟安全剪切板，主要控制 1.个人应用和安全应用复制粘贴； 2.安全应用与安全应用之间的复制粘贴。 默认情况下，从个人App粘贴到安全应用是禁止的，但是出于工作便利性考虑，可以配置放开，保障工作效率。
态势感知整理版
态势感知研究和应用现状 0、定义 0.1态势感知 “态势感知”这个词最早源于军事。美国研发的各类导弹预警系统，就是这个概念最初的应用。公认的态势感知概念是：在特定时空下，对动态环境中各元素或对象的感知、理解以及对未来状态的预测。 0.2网络态势 网络态势指的是由各种网络设备运行状况、网络行为以及用户行为等因素所构成的整个网络当前状态和变化趋势。 0.3网络态势感知 网络态势感知则是在大规模网络环境中，对能够引起网络态势发生变化的安全要素进行获取、理解、显示以及预测未来的趋势。网络态势感知中的感知、理解和预测元素能有效追踪、分析并提供有关新兴威胁、威胁攻击者、漏洞和恶意软件有关的可操作情报。[3] 态势是一种状态、一种趋势，是整体和全局的概念，任何单一的情况或状态都不能称之为态势。因此对态势的理解特别强调环境性、动态性和整体性，环境性是指态势感知的应用环境是在一个较大的范围内具有一定规模的网络；动态性是态势随时间不断变化，态势信息不仅包括过去和当前的状态，还要对未来的趋势做出预测；整体性是态势各实体间相互关系的体现，某些网络实体状态发生变化，会影响到其他网络实体的状态，进而影响整个网络的态势。 0.4网络安全态势感知 网络安全态势感知就是利用数据融合、数据挖掘、智能分析和可视化等技术，直观显示网络环境的实时安全状况，为网络安全提供保障。借助网络安全态势感知，网络监管人员可以及时了解网络的状态、受攻击情况、攻击来源以及哪些服务易受到攻击等情况，对发起攻击的网络采取有效措施；网络用户可以清楚地掌握所在网络的安全状态和趋势，做好相应的防范准备，避免和减少网络中病毒和恶意攻击带来的损失；应急响应组织也可以从网络安全态势中了解所服务网络的安全状况和发展趋势，为制定有预见性的应急预案提供基础。[7] 0.5深度态势感知 深度态势感知的含义是“对态势感知的感知，是一种人机智慧，既包括了人的智慧，也融合了机器的智能（人工智能）”,是能指+所指，既涉及事物的属性（能指、感觉）又关联它们之间的关系（所指、知觉），既能够理解弦外之音，也能够明白言外之意。它是在Endsley以主体态势感知（包括信息输入、处理、输出环节）的基础上，是包括人、机（物）、环境（自然、社会）及其相互关系的整体系统趋势分析，具有“软/硬”两种调节反馈机制；既包括自组织、自适应，也包括他组织、互适应；既包括局部的定量计算预测，也包括全局的定性算计评估，是一种具有自主、自动弥聚效应的信息修正、补偿的期望-选择-预测-控制体系。从某种意义上讲，深度态势感知是为完成主题任务在特定环境下组织系统充分运用各种类人认知活动（如目的、感觉、注意、动因、预测、自动性、运动技能、计划、模式识别、决策、动机、经验及知识的提取、存储、执行、反
企业防勒索病毒安全解决方案
企业防勒索病毒安全解决方案 一、方案应用背景 勒索病毒是指：黑客通过锁屏、加密文件等方式劫持用户文件数据，并敲诈用户钱财的恶意软件，利用恶意代码干扰中毒者的正常使用，只有交钱才能恢复正常。自2017年5月WannaCry勒索病毒爆发以来，在短时间内大范围传播，给企业、高校、医院机构、公共基础设施造成了严重后果。硅谷网络风险建模公司Cyence的首席技术长George Ng称，仅“永恒之蓝”网络攻击造成的全球电脑死机直接成本总计约80亿美元。中国是勒索病毒攻击受害最为严重的国家之一，WannaCry勒索病毒爆发时仅一天时间，国内有近3W机构被攻击，覆盖至全国各地，其中教育、医疗、大型企业是国内被攻击最为严重的三大行业。 时隔一年后的2018年，勒索病毒威胁犹存。据相关机构统计，Globelmposter、Crysis、GandCrab、Satan是2018年上半年最为活跃的四大勒索病毒家族，传播量占到上半年勒索病毒传播总量的90%以上。今年七月，针对Windows 服务器的勒索病毒“撒旦”开始对大批企业服务器发起攻击，病毒会将计算机中的数据库文件进行加密，同时还具备二次传播能力，有可能入侵局域网内的其他机器。专家预测，由于利润丰厚、追踪困难等原因，未来各种勒索软件的攻击将会更为频繁，杀伤力也更大。
二、方案应对方法 针对持续爆发的勒索病毒，应当通过构建起从事前到事后全周期、全方位的安全防护体系，帮助各企事业单位及国家关键信息基础设施部门抵御勒索病毒的侵害。 在事前，从传播、加密、扩散三条路径对勒索病毒进行监测，并从网络异常、入侵、多引擎病毒、威胁变种基因等多方面进行分析检测，对未知威胁，采用沙箱检测方式，检测涵盖已知未知高级威胁，检测结果以预警方式发布，建立未知威胁预警体系。 勒索病毒有以下传播方式: 1、通过邮件附件进行传播； 2、通过钓鱼邮件进行群发下载URL传播； 3、企业用户在恶意站点下载病毒文件进行传播；
智能态势感知系统
智能态势感知系统 产品简介 产品文档
【版权声明】 ?2013-2018 腾讯云版权所有 本文档著作权归腾讯云单独所有，未经腾讯云事先书面许可，任何主体不得以任何形式复制、修改、抄袭、传播全部或部分本文档内容。 【商标声明】 及其它腾讯云服务相关的商标均为腾讯云计算（北京）有限责任公司及其关联公司所有。本文档涉及的第三方主体的商标，依法由权利人所有。 【服务声明】 本文档意在向客户介绍腾讯云全部或部分产品、服务的当时的整体概况，部分产品、服务的内容可能有所调整。您所购买的腾讯云产品、服务的种类、服务标准等应由您与腾讯云之间的商业合同约定，除非双方另有约定，否则，腾讯云对本文档内容不做任何明示或模式的承诺或保证。
文档目录 产品简介 产品概述 产品优势 应用场景
产品简介 产品概述 最近更新时间：2018-12-18 17:16:40 什么是腾讯态势感知（私有云）？ 腾讯态势感知（私有云）（下文也叫御见）是腾讯面向政府、军队、金融、制造业、医疗、教育等大型企事业单位，推出的安全大数据分析及可视化平台。御见以安全检测为核心、以事件关联分析和腾讯威胁情报为重点、以 3D 可视化为特色、以可靠服务为保障，可针对企业面临的外部攻击和内部潜在风险，进行深度检测，为企业提供及时的安全告警。通过对海量数据进行多维度分析和及时预警，能及时智能处理安全威胁，实现企业全网安全态势可知、可见、可控的闭环。 主要功能 态势总览 通过态势总览，直观展示企业在全网范围内的资产安全状况、最新待处理威胁、风险事件、安全事件趋势等，运用安全评分、趋势图、柱状图、分布图等直观图形，实现可视化展示，结合平台所收集、加工、分析后的多维数据，直观查看结果，方便安全运维人员及时发现和处理威胁，从而帮助客户有效洞察企业所面临的外部威胁和内部脆弱性风险，极大地提高了安全运维团队的监测、管理、处置安全事件的效率。 资产感知 提供资产可视功能，帮助用户从资产的角度了解安全态势。盘点现有资产，对资产进行编辑管理。通过流量发现、第三设备导入、用户主动添加等手段，摸清企业内网资产，建立完整、丰富的资产库，为实现威胁、风险事件与企业内网资产紧密关联打下基础，方便运维人员对企业内网资产进行管理。 威胁发现 对接第三方设备日志、流量日志、威胁情报等数据，御见大数据分析平台对数据进行清洗、过滤、归一后，进行安全规则检测，实时发现最新威胁事件，并进行威胁态势感知与威胁事件告警，方便运维人员查询具体的威胁事件，从中获得威胁事件更详细信息，帮助调查分析、溯源事件、联动处置问题。 风险预警 实时收集互联网最新安全漏洞情报，向客户传递最新漏洞情报。通过持续监控外部威胁和内部风险，全面分析事件详情，为客户提供专业的处置方案，协助客户快速定位问题、精准定位溯源、及时正确处置威胁，做到及时查漏补缺、防患未然。
沙箱安全解决方案-研华
研华科技安全沙箱项目FortinetAPT解决方案 2015年11月
目录 一、APT高级持续性威胁介绍 (3) 二、Fortinet ATP防御 (4) 三、如何进行APT攻击防御 (6) 3.1 APT恶意代码分类 (6) 3.2 沙箱简介 (7) 3.3 沙箱挑战 (8) 四、Fortinet针对研华APT解决方案 (9) 4.1部署方式 (9) 4.2 FortiSandbox简介 (15) 4.3 FortiSandbox解决常见沙箱的技术难题 (16) 4.4 FortiGuard学习 (18) 五、Fortinet优势 (20) 5.1安全与性能 (20) 5.2灵活的部署 (21) 5.3投资回报率高 (22)
一、APT高级持续性威胁介绍 随着更全面的安全应用程序和数据库技术的迅猛发展，研华科技现在有了更多的方法来进行实时的身份监控、权限和证书检查。然而，日渐复杂的安全问题依然有增无减，使得其带来的威胁仍然不容忽视。云计算的产生将给互联网带来天翻地覆的变化，研华科技坚定不移的走上了云计算道路的大趋势将不会受到任何挑战，但数据保护和虚拟环境中的风险管理却让人望而却步，毋庸置疑在云计算的发展道路上，安全问题已经成为了它最大的“绊脚石”。 高级持续性威胁(Advanced Persistent Threat，APT)，威胁着研华科技的数据安全。APT是黑客以窃取核心资料为目的，针对客户所发动的网络攻击和侵袭行为，是一种蓄谋已久的“恶意商业间谍威胁”。这种行为往往经过长期的经营与策划，并具备高度的隐蔽性。APT的攻击手法，在于隐匿自己，针对特定对象，长期、有计划性和组织性地窃取数据，这种发生在数字空间的偷窃资料、搜集情报的行为，就是一种“网络间谍”的行为。这种攻击行为首先具有极强的隐蔽能力，通常是利用研华科技或机构网络中受信的应用程序漏洞来形成攻击者所需C&C网络;其次APT攻击具有很强的针对性，攻击触发之前通常需要收集大量关于用户业务流程和目标系统使用情况的精确信息，情报收集的过程更是社工艺术的完美展现;当然针对被攻击环境的各类0day收集更是必不可少的环节。
网络空间安全态势感知与大数据分析平台建设方案V1.0
网络空间安全态势感知与大数据分析平台建设方案 网络空间安全态势感知与大数据分析平台建立在大数据基础架构的基础上，涉及大数据智能建模平台建设、业务能力与关键应用的建设、网络安全数据采集和后期的运营支持服务。 1.1网络空间态势感知系统系统建设 平台按系统功能可分为两大部分：日常威胁感知和战时指挥调度应急处置。 日常感知部分包括大数据安全分析模块、安全态势感知呈现模块、等保管理模块和通报预警模块等。该部分面向业务工作人员提供相应的安全态势感知和通报预警功能，及时感知发生的安全事件，并根据安全事件的危害程度启用不同的处置机制。 战时处置部分提供从平时网络态势监测到战时突发应急、指挥调度的快速转换能力，统筹指挥安全专家、技术支持单位、被监管单位以及各个职能部门，进行协同高效的应急处置和安全保障，同时为哈密各单位提升网络安全防御能力进行流程管理，定期组织攻防演练。 1.1.1安全监测子系统 安全监测子系统实时监测哈密全市网络安全情况，及时发现国际敌对势力、黑客组织等不法分子的攻击活动、攻击手段和攻击目的，全面监测哈密全市重保单位信息系统和网络，实现对安全漏洞、威胁隐患、高级威胁攻击的发现和识别，并为通报处置和侦查调查等业务子系统提供强有力的数据支撑。 安全监测子系统有六类安全威胁监测的能力： 一类是云监测，发现可用性的监测、漏洞、挂马、篡改（黑链/暗链）、钓鱼、和访问异常等安全事件 第二类是众测漏洞平台的漏洞发现能力，目前360补天漏洞众测平台注册有4万多白帽子，他们提交的漏洞会定期同步到态势感知平台，加强平台漏洞发现的能力。 第三类是对流量的检测，把重保单位的流量、城域网流量、电子政务外网流量、IDC 机房流量等流量采集上来后进行检测，发现webshell等攻击利用事件。 第四类把流量日志存在大数据的平台里，与云端IOC威胁情报进行比对，发现APT 等高级威胁告警。 第五类是把安全专家的分析和挖掘能力在平台落地，写成脚本，与流量日志比对，把流量的历史、各种因素都关联起来，发现深度的威胁。 第六类是基于机器学习模型和安全运营专家，把已经发现告警进行深层次的挖掘分析和关联，发现更深层次的安全威胁。
【安全】信息安全态势感知平台技术白皮书
【关键字】安全 信息安全态势感知平台 技术白皮书 注意 本文档以及所含信息仅用于为最终用户提供信息，成都思维世纪科技有限责任公司（以下简称“思维世纪”）有权更改或撤销其内容。 未经思维世纪的事先书面许可，不得复印、翻译、复制、泄漏或转录本文档的全部或部分内容。 本文档以及本文档所提及的任何产品的使用均受到最终用户许可协议限制。 本文档由思维世纪制作。思维世纪保留所有权利。
目录 1.综述....................................................................... 错误!未定义书签。 1.1.项目背景.......................................................................... 错误!未定义书签。 1.2.管理现状.......................................................................... 错误!未定义书签。 1.3.需求描述.......................................................................... 错误!未定义书签。 2.建设目标............................................................... 错误!未定义书签。 3.整体解决方案 ...................................................... 错误!未定义书签。 3.1.解决思路.......................................................................... 错误!未定义书签。 3.2.平台框架 ........................................................................ 错误!未定义书签。 动态掌握全网风险状态 ................................... 错误!未定义书签。 实时感知未来风险趋势 ................................... 错误!未定义书签。 安全管理提供数据支撑 ................................... 错误!未定义书签。 决策执行效果进行评价 ................................... 错误!未定义书签。 4.平台功能介绍 ...................................................... 错误!未定义书签。 4.1.全网安全风险实时监测.................................................. 错误!未定义书签。 解决问题场景 ................................................... 错误!未定义书签。 具体实现功能描述 ........................................... 错误!未定义书签。 4.2.业务系统安全风险管理.................................................. 错误!未定义书签。 解决问题场景 ................................................... 错误!未定义书签。 具体实现功能描述 ........................................... 错误!未定义书签。 4.3.内容安全风险管理.......................................................... 错误!未定义书签。 解决问题场景 ................................................... 错误!未定义书签。 具体实现功能描述 ........................................... 错误!未定义书签。 4.4.数据安全风险管理.......................................................... 错误!未定义书签。 解决问题场景 ................................................... 错误!未定义书签。 具体实现功能描述 ........................................... 错误!未定义书签。 4.5.重大安全事件态势分析.................................................. 错误!未定义书签。
Android安全机制分析与解决方案探析
Android安全机制分析与解决方案探析 摘要： android做为全球最受欢迎的智能手机平台，由于源码开放、可编程软件框架、网络化设备的特点，很易受到智能手机病毒的攻击，从linux机制、android特有的安全机制、其它保护机制三个角度分析android安全机制，为加强恶意软件检测和系统底层访问控制，提出基于主机的入侵检测系统（hids）和selinux （security-enhanced linux）。 关键词： android；安全机制；权限 android平台是google于2007年推出的一种基于linux 2.6核心的开源智能手机操作系统。在智能机平台的竞争中android目前占有较大的优势，受到了业界的广泛关注。它主要有操作系统、用户界面和应用程序三部分组成，不仅包括移动电话工作所需的全部软件，而且不存在任何以往像专有权等阻碍移动产业创新的障碍。由于该系统自身具备的开放源码的特征，所以它的安全性能正在成为信息安全领域研究的一个重要课题。 1 android系统架构 android os的整体架构分为以下4个层次： 1.1 应用程序层applications application层是android os的用户应用层，它包括一系列核心应用程序包，应用程序是用java语言编写的，且运行在虚拟机上的程序，例如email客户端、sms短消息程序、浏览器等。 1.2 应用程序框架层application framework
该层是android平台专门为应用程序的开发而设计的，应用程序框架都是由java语言编写，允许开发人员完全访问核心应用程序所使用的api框架，它是开发者进行android开发的基础。它由一系列的服务和系统构成，主要由view、通知管理器、活动管理器等由开发人员直接调用的组件组成。 1.3 本地库及运行环境libraries（核心库）和android rutime （虚拟机） android本地库居于linux内核上面，是一套c/c++库，被上层各种各样的系统组件调用。在android应用程序内通过java本地调用（jni）实现合并这些库。android运行环境包括libraries（核心库）和android rutime（虚拟机）。核心库由java语言编写，提供了大量的java 5 se包的子类和一些android特有的库。android rutime（虚拟机）运行.dex（dalvik-executable）文件，一种被认为比java类文件更加简洁和节省内存的文件。 1.4 linux内核层linux kernel android的内核为linux 2.6内核，它主要提供安全性、驱动、进程管理、内存管理、网络协议栈等核心系统服务等等。android 框架详细结构如下图1所示。 2 android安全机制 在实际应用中，手机的安全问题主要是由手机病毒引起的，其主要危害可以归纳为两个部分：数据安全和系统安全。google为android平台配备了多个安全机制。本文主要研究系统安全和数据
沙箱安全解决方案-研华
研华科技安全沙箱项目Fortinet APT解决方案 2015年11月 目录
一、APT高级持续性威胁介绍..................................... 错误!未定义书签。 二、Fortinet ATP防御.......................................... 错误!未定义书签。 三、如何进行APT攻击防御 ...................................... 错误!未定义书签。 APT恶意代码分类.............................................. 错误!未定义书签。沙箱简介..................................................... 错误!未定义书签。沙箱挑战..................................................... 错误!未定义书签。 四、Fortinet针对研华APT解决方案.............................. 错误!未定义书签。部署方式...................................................... 错误!未定义书签。 FortiSandbox简介............................................. 错误!未定义书签。 FortiSandbox解决常见沙箱的技术难题........................... 错误!未定义书签。 FortiGuard学习............................................... 错误!未定义书签。 五、Fortinet优势.............................................. 错误!未定义书签。安全与性能.................................................... 错误!未定义书签。灵活的部署.................................................... 错误!未定义书签。投资回报率高.................................................. 错误!未定义书签。
态势感知方案
XX单位 安全感知平台项目建设方案
目录 1 项目概况 (1) 1.1 项目名称 (1) 1.2 编制依据 (1) 1.3 项目立项依据 (2) 1.4 项目建设的必要性 (3) 1.5 项目建设目标 (4) 1.6 总投资估算 (5) 2 需求分析 (5) 2.1 信息化和安全建设现状分析 (5) 2.2 行业现状和攻防对抗需求分析 (6) 2.2.1 传统威胁有增无减，新型威胁层出不穷 (6) 2.2.2 已有检测技术难以应对新型威胁 (7) 2.2.3 未知威胁检测能力已经成为标配 (8) 2.3 现有安全体系的不足分析 (8) 2.3.1 看不清自身业务逻辑 (9) 2.3.2 看不见潜藏威胁隐患 (10) 2.3.3 缺乏整体安全感知能力 (11) 3 方案理念 (13) 3.1 看清业务逻辑 (13) 3.2 看见潜在威胁 (14)
3.3 看懂安全风险 (15) 3.4 辅助分析决策 (16) 4 解决方案 (16) 4.1 方案概述 (16) 4.2 安全感知系统 (17) 4.2.1 系统架构 (17) 4.2.2 部署拓扑 (18) 4.2.3 组件实现 (19) 4.2.4 主要功能 (28) 4.3 监测响应服务 (41) 4.3.1 安全事件监测、预警和通报 (41) 4.3.2 安全事件应急响应处置 (42) 4.3.3 重要时期信息安全保障 (44) 4.3.4 常规驻场值守服务 (44) 5 方案价值和主要技术优势 (44) 5.1 全网业务资产可视化 (44) 5.2 全网访问关系可视化 (45) 5.3 多维度威胁检测能力 (47) 5.4 安全风险告警和分析 (48) 5.5 全局视角态势可感知 (49) 6 价格估算表..................................................... 错误!未定义书签。
智能油田解决方案
案例名称：研华智能油田解决方案 行业分类：油气 地点：大连 项目介绍：“智能油田就是在数字油田的基础上，借助业务模 型和专家系统，全面感知油田动态，自动操控油田活动，持续 优化油田管理，虚拟专家辅助油田决策，用计算机系统智能地 管理油田。”这是全球范围内第一次对智能化油田提出明确的 定义。。“智能油田就是在数字油田 该项目是针对螺杆式智能采油系统，目前已经在辽河油田 某采油厂做小批量测试。系统总体很稳定，同时功能方面在根 据客户要求不断增加。 ?系统需求 1.终端主机对数据进行采集，专家系统进行分析，并本地存储。 2.通过无线所有终端数据汇总到总服务器主机，主机通过Internet发布数据信息。 3.可多台客户端同时在线，浏览不同的井口状态。 ?系统描述 应用于油田采油行业 产品选用UNO+ADAM+WebAccess组合。 基于WebAccess网络结构，使得海量实时数据得到高效的处理，适合分布广，总点数很大的系统。 基于UNO平台，在户外恶劣条件下，保证了稳定不间断的运行。 ?项目实施（产品型号及详细产品规格） 产品说明
UNO-2050E 产品特点： ?板上集成GX2 400MHz处理器 ?DI*8,DO*8 ?2个RS-232和2个RS-232/422/485端口，带自动数据流控制 ADAM-4117产品特点： ?宽工作温度，-40-85 摄氏度 ?宽电源输入，10-48V ?浪涌，EFT和ESD保护 ?采样率：100Hz. WebAccess产品特点： ?首家完全基于IE浏览器的HMI/SCADA监控软件， ?全部的工程项目、数据库设置、图面制作和软件管理都通过 internet标准浏览器完成. ?分散式架构的监控节点,中央数据库服务器及多层式网络安全结 构, 提供各类自动化应用完整架构。 ?系统架构图
态势感知研究的方法论
2011.02/中国信息安全/ 41 文/中国科技大学网络态势感知研究中心 王砚方 态势感知研究的方法论“态势感知”是网络安全文献中使用频度相当高的一个术语，态势感知已成为研究网络安全所必需解决的问题，但业内的专家对此可能有不同的理解。本文企望通过相关的介绍和分析提出一己的看法。“态势感知”概念的来源由于人的因素在动态系统（如飞机驾驶、空中交通管制、电力网管理等）中彰显出越来越大的重要性，M.R.Endsley在1995年提出人类决策模型，总结出包括采集、理解和预测三个层次的态势感知模型。此模型基于各元素间的确定关系，例如由飞机的航速、方位角及风速判断它的落地点和落地时间，机场的空中交通管理人员就可以按事先确定的方案引导飞机安全降落。再如战斗机驾驶员根据空中环境的动态变化，按规定的程序作战场上的各种相应的战术动作。在自动控制设备运行时，遇到异常时操作员如何介入，也可按专家事先制定的方案进行。总之，Endsley模型是指导人——机器的互动的原则：如果用较多的人工，可以得到对机器设备状态的较多的感知，因而可使设备接近最佳的状态；而如果自动程度较高，可以节省人工，但操作员的感知较少，遇 到不理想的情况就难以作出抉择，在这个问题 上，Endsley模型就是要解决人工同自动化之间最好的折中。这种模型适用于处理简单的系统，专家的先验的成分较多。显然，它不适用于复杂网络。事实上自这个模型提出的十五年来，在许多方面开拓了研究，如人员培训、设计、工作团队协调等方法有不少成果。国内有学者把它作为通用的理论模型，提出基于流量和局域网的单机日志的数据融合，建立大规模网络安全的态势评估模型。 到上世纪末，已经有人意识到仅靠在单个计算机上的防入侵设备已不能解决网络的安全问题，出现了把网络上安全传感器和计算机上的防入侵等
安全沙箱机制
安全沙箱机制 安全沙箱，作为一个独立的逻辑存储空间，将设备上的企业应用和存储区域与个人的划分开，限制两方数据的互相通信，从而加固了企业应用的数据安全性。“企业沙箱”是一个逻辑概念，可以很好的帮助最终用户理解一系列安全功能，并掌握其使用。但再技术层面上，由于各OS的区别，并在各个平台上实现方法不一样，操作上也稍有区别。 安全沙箱可以提供多一层的密码保护和数据加密。除了设备的开机密码外，当用到安全沙箱内部的任何一个APP时，需要进行第二层的密码验证。同时，所有进到沙箱内部的数据都是进行了加密存储的。即使当设备丢失，越狱后，能够读出沙箱内的文件，但文件已被加密，也无法破解文件的内容。对于越狱威胁较大的BYOD场景，尤为重要。 普通的APP包括企业内部开发或是来自于公开市场的，是不能进入到安全沙箱内部的，需要经过转换成安全APP。可以通过联系MI，将其转换成安全沙箱内部的安全APP，或有MI提供SDK，企业自行开发修改APP为安全APP。 安全APP不仅能够在沙箱内工作，保证安全。还可以提供更多的可控接口。如限制APP的复制/粘贴，打印，打开方式等。远征配置APP，如企业的APP需要连接到的服务器地址。可以进行统一的身份验证登陆，SSO。违反策略后的自动销毁数据功能。 企业安全容器，很好的解决了，企业应用延伸到移动设备时，设备上的数据安全问题。同时还尽量保留了各OS的原生操作体验，减少了用户接受难度。对于企业来说也可以轻松的创建安全app。 但是仅仅保证了设备上的数据安全还不够，在整个安全体系中，还有一个环节，就是设备上APP和企业中心端服务器的通信安全问题。这就涉及到了基于APP 的安全隧道技术。安全APP，都加入了一个安全隧道的连接器，通过配合中心端的安全网关，可以建立一条从某个设备上的某个APP到安全网关的加密隧道，类似于VPN技术。但是区别在于，VPN是针对于整台设备的，而APP隧道是针对于某个APP的，且用户不需要手动打开隧道，便于操作。
沙箱、蜜罐和欺骗防御的区别
沙箱、蜜罐和欺骗防御的区别 网络、网络攻击，以及用于阻止网络攻击的策略，一直在进化发展。欺骗防御(Deception)是令研究人员和信息安全人员得以观察攻击者行为的新兴网络防御战术，能让攻击者在“自以为是”的公司网络中表现出各种恶意行为。 “欺骗防御”这个术语从去年开始才逐渐流传开来，所以很难讲清这些解决方案与其他试图诱骗攻击者的工具——比如沙箱和蜜罐，到底有什么区别。与其他战术一样，网络欺骗技术诱骗攻击者和恶意应用暴露自身，以便研究人员能够设计出有效防护措施。但网络欺骗防御更依赖于自动化和规模化，无需太多专业知识和技能来设置并管理。这三种技术都有各自独特的需求和理想用例，要想切实理解，需更仔细地深入了解其中每一种技术。 1、沙箱 Sandboxie(又叫沙箱、沙盘)即是一个虚拟系统程序，允许你在沙盘环境中运行浏览器或其他程序，因此运行所产生的变化可以随后删除。它创造了一个类似沙盒的独立作业环境，在其内部运行的程序并不能对硬盘产生永久性的影响。在网络安全中，沙箱指在隔离环境中，用以测试不受信任的文件或应用程序等行为的工具。沙箱是一种按照安全策略限制程序行为的执行环境。早期主要用于测试可疑软件等，比如黑客们为了试用某种病毒或者不安全产品，往往可以将它们在沙箱环境中运行。经典的沙箱系统的实现途径一般是通过拦截系统调用，监视程序行为，然后依据用户定义的策略来控制和限制程序对计算机资源的使用，比如改写注册表，读写磁盘等。 几乎自网络和第三方程序出现起，对网络流量和程序的分析需求就一直存在。上世纪70年代，为测试人工智能应用程序而引入的沙箱技术，能令恶意软件在一个封闭的环境中安装并执行，令研究人员得以观测恶意软件的行为，识别潜在风险，开发应对措施。
5.《移动终端安全关键技术与应用分析》自测练习(修正版)
《移动终端安全关键技术与应用分析》自测 练习（修正版） 一、单选题(共44题，每题1分，共44分) 1.苹果的签名采用哪种方式[1.0] A.自签名证书 B.都不是 C.OEM或移动运营商来颁发 D.第三方商业性权威数字机构签名认证 标准答案：C 试题分析：120 2.主动防御的优点[1.0] A.能预测未知攻击，从本质上解决了防御落后于攻击的难题 B.能自我学习，通过特征库的自我记录与更新，可以是系统的安全层得到动态提高 C.主动防御能够对系统实行固定周期甚至实时的监控，这样就能快速响应检测到的攻击 D.三项都正确 标准答案：D 试题分析：133 3.以下哪种业务码与网络计费和SIM卡内部资料的修改有关。[1.0] A.PIN1 B.PIN2 C.PUK1 D.PUK2 标准答案：B 试题分析：P52 4.以下哪项不是软件终端安全测试方法中的人工分析过程[1.0] A.网络数据分组分析 B.应用行为分析 C.软件内容分析 D.源代码分析 标准答案：C 试题分析：P117 5.Windows Phone的安全机制不包括：________。[1.0] A.应用程序安全机制 B.数据独立存储 C.沙箱机制 D.权限命名机制 标准答案：D 试题分析：81 6.常用的软件动态分析技术不包括：________。[1.0] A.符号执行 B.Fuzz分析 C.沙箱技术 D.数据流分析 标准答案：D 试题分析：19 7.关于DVM下列说法不正确的是[1.0] A.主要特性包括进程管理功能、内存管理功能、对象的生命周期管理功能、安全与异常管理功能 等 B.对于整形、长整型、浮点等变量的分配使用不同的指令 C.基于寄存器的虚拟机，可以有效减少内存访问的次数，以加快程序的执行 D.同时运行多个程序，并且每个程序都对应了一个独立的dalvik进程 标准答案：B 试题分析：p33-34 8.以下不是SIM卡中的关键数据[1.0] A.ICCID B.IMSI C.PUK D.CAP 标准答案：D 试题分析：p44 9.PIN码的管理状态不包括：________[1.0] A.PIN输入状态 B.PIN输入成功状态 C.PIN未输入或输入错误状态 D.PIN锁住状态 标准答案：B 试题分析：57 10.人工分析不包括：________[1.0]
业互联网安全监测与态势感知解决方案
业互联网安全监测与态势感知解决方案
一、项目概况 通信管理局担负协调管理省内通信网、互联网、工业互联网网络信息安全的重要职责。为进一步规划统筹省内工业企业网络安全建设，推进“两化融合”进程，实现工业网络向数字化、网络化、智能化转变，某省通信管理局与中新赛克独家合作，通过在监管侧部署工业互联网安全监测与态势感知平台，实现对设备和控制的安全防护、对工业网络进行风险评估、态势感知、监测预警及应急处置。 1.项目背景 今年来，我国从法律法规、战略规划、标准规范等多个层面对工业互联网安 全做出了一系列工作部署，提出了一系列工作要求。某通信管理局在对管局侧信 安系统“专线资源”进行审核时发现，省内企业基数大、工业资产类型繁杂难以实 现有效地统一监管，主要存在以下几种典型的安全问题： ●部分基础企业对互联网专线信息存在漏报、误报等问题，导致管局对专 线数据监管不全，且缺少核验机制； ●对于专线的使用仅仅存在于数据统计，缺乏数据资源获取手段和对专线 数据进行深入挖掘分析的技术手段，无法发现数据的潜在价值； ●缺少对工业互联网协议与设备的识别能力、缺少对专线中存在的工业互 联网安全事件的监测预警、处置溯源能力、安全态势分析能力； ●针对专线接入的重点用户、关键基础设施缺少安全监管和保障手段。 因此，为规范对专线监管的内容和范围，省通信管理局希望通过部署工业互 联网安全监测与态势感知平台，实现对违法开办互联网信息服务进行管控、黑灰 产业链监测预警、防范互联网诈骗、为工业互联网安全等工作打下基础。 2.项目简介 本项目提出的工业互联网安全联动解决方案以工业网络安全数据、关键基础 设施行业数据为基础，以包含工控设备资产指纹、漏洞信息、安全设备信息、物 联网传感数据及工业网络模型等海量数据的资源池为支撑，运用自主知识产权的 云计算、大数据及人工智能安全感知技术，精准定位暴露在网上的工业系统、工业 云平台以及工业设备，进行全面的漏洞扫描，并通过AI 分析网络安全威胁态