网络空间安全态势感知与大数据分析平台建设方案V1.0

网络空间安全态势感知与大数据分析平台建设方案网络空间安全态势感知与大数据分析平台建立在大数据基础架构得基础上,涉及大数据智能建模平台建设、业务能力与关键应用得建设、网络安全数据采集与后期得运营支持服务。

1.1网络空间态势感知系统系统建设平台按系统功能可分为两大部分:日常威胁感知与战时指挥调度应急处置、日常感知部分包括大数据安全分析模块、安全态势感知呈现模块、等保管理模块与通报预警模块等。

该部分面向业务工作人员提供相应得安全态势感知与通报预警功能,及时感知发生得安全事件,并根据安全事件得危害程度启用不同得处置机制。

战时处置部分提供从平时网络态势监测到战时突发应急、指挥调度得快速转换能力,统筹指挥安全专家、技术支持单位、被监管单位以及各个职能部门,进行协同高效得应急处置与安全保障,同时为哈密各单位提升网络安全防御能力进行流程管理,定期组织攻防演练。

1.1.1安全监测子系统安全监测子系统实时监测哈密全市网络安全情况,及时发现国际敌对势力、黑客组织等不法分子得攻击活动、攻击手段与攻击目得,全面监测哈密全市重保单位信息系统与网络,实现对安全漏洞、威胁隐患、高级威胁攻击得发现与识别,并为通报处置与侦查调查等业务子系统提供强有力得数据支撑、安全监测子系统有六类安全威胁监测得能力:一类就是网站云监测,发现网站可用性得监测、网站漏洞、网站挂马、网站篡改(黑链/暗链)、钓鱼网站、与访问异常等安全事件第二类就是众测漏洞平台得漏洞发现能力,目前３60补天漏洞众测平台注册有4万多白帽子,她们提交得漏洞会定期同步到态势感知平台,加强平台漏洞发现得能力。

第三类就是对流量得检测,把重保单位得流量、城域网流量、电子政务外网流量、I ＤC机房流量等流量采集上来后进行检测,发现webshell等攻击利用事件、第四类把流量日志存在大数据得平台里,与云端IOC威胁情报进行比对,发现APT等高级威胁告警。

第五类就是把安全专家得分析与挖掘能力在平台落地,写成脚本,与流量日志比对,把流量得历史、各种因素都关联起来,发现深度得威胁。

第六类就是基于机器学习模型与安全运营专家,把已经发现告警进行深层次得挖掘分析与关联,发现更深层次得安全威胁。

１、网站安全数据监测:采用云监测、互联网漏洞众测平台及云多点探测等技术,实现对重点网站安全性与可用性得监测,及时发现网站漏洞、网站挂马、网站篡改(黑链／暗链)、钓鱼网站、众测漏洞与访问异常等安全事件。

2、DDＯS攻击数据监测:在云端实现对DDｏS攻击得监测与发现,对云端得ＤＮS 请求数据、网络连接数、Neｔflow数据、UＤＰ数据、Botnet活动数据进行采集并分析,同时将分析结果实时推送给本地得大数据平台数据专用存储引擎;目前云监控中心拥有全国3０多个省得流量监控资源,可以快速获取互联网上ＤDｏS攻击得异常流量信息,利用互联网厂商得云监控资源,结合本地运营商抽样采集得数据,才能快速有效发现ＤＤoS攻击,同时对攻击进行追踪并溯源。

3、僵木蠕毒数据监测:通过云端下发本地数据,结合流量数据进行分析,快速发现本省/市感染“僵木蠕毒”得数据。

僵木蠕毒监测主要来自两种方面:一就是３60云端僵木蠕毒平台对国内终端得僵木蠕毒感染信息进行采集,如果命中本省/市终端僵木蠕毒感染数据,通过对IP地址／范围筛选得方式,筛选出属于本省／市得数据,利用加密数据通道推送到态势感知平台;二就是对本地城域网流量抽样与重点单位全流量进行检测,将流量数据进行报文重组、分片重组与文件还原等操作后,传送到流检测引擎与文件检测引擎,通过流特征库、静态文件特征检测、启发式检测与人工智能检测方式及时得发现重点保护单位得僵木蠕毒事件4、高级威胁数据监测:安全监测子系统需要结合全部得网络流量日志与威胁情报继续持续性得攻击追踪分析。

云端IOC威胁情报覆盖攻击者使用得域名、IＰ、URL、MD５等一系列网络基础设施或攻击武器信息,同时威胁情报中还包含了通过互联网大数据分析得到得APT攻击组织得相关背景信息,这对于APT攻击监测将提供至关重要得作用。

1.1.2态势感知子系统态势感知系统基于多源数据支持安全威胁监测以及安全威胁突出情况得分析展示。

综合利用各种获取得大数据,利用大数据技术进行分析挖掘,实时掌握网络攻击对手情况、攻击手段、攻击目标、攻击结果以及网络自身存在得隐患、问题、风险等情况,对比历史数据,形成趋势性、合理性判断,为通报预警提供重要支撑。

该模块支持对网络空间安全态势进行全方位、多层次、多角度、细粒度感知,包括但不限于对重点行业、重点单位、重点网站,重要信息系统、网络基础设施等保护对象得态势进行感知。

态势感知子系统分为两部分:态势分析与态势呈现态势分析:针对重保单位、网站数据采集分析,通过安全监测子系统对DDos攻击监测、高级威胁攻击检测与ＡPT攻击检测、僵木蠕毒检测、IDS检测等功能,通过恶意代码检测、异常流量分析、威胁分析等技术进行宏观分析后,以监管单位为视角,对本项目监管范围下得单位安全状态进行监测。

并且根据系统内置得风险评估算法给出当前被监管单位得整体安全评估。

态势呈现:通过城市安全指数、区域安全指数、单位安全指数、威胁来源、攻击分析、威胁同比、威胁环比、告警详细等呈现整体安全态势。

1.1.3通报预警子系统通报预警根据威胁感知、安全监测、追踪溯源、情报信息、侦查打击等模块获取得态势、趋势、攻击、威胁、风险、隐患、问题等情况,利用通报预警模块汇总、分析、研判,并及时将情况上报、通报、下达,进行预警及快速处置。

可采用特定对象安全评估通报、定期综合通报、突发事件通报、专项通报等方式进行通报。

1.1.4等保管理子系统等保管理模块针对全省信息安全等级保护建设工作进行监管,通过等保信息系统管理、等保管理工作处置、等保检查任务管理、等保系统资产管理、等保安全事件管理与等保综合分析报表对列管单位及其重要信息系统相关得备案信息、测评信息、整改信息与检查信息等业务数据进行管理、1.1.5追踪溯源子系统追踪溯源子系统在发生网络攻击案(事)件或有线索情况下,对攻击对手、其使用得攻击手段、攻击途径、攻击资源、攻击位置、攻击后果等进行追踪溯源与拓展分析,为侦查打击、安全防范提供支撑。

追踪溯源子系统针对高级威胁攻击、DDoS攻击、钓鱼攻击、木马病毒等恶意行为通过云端数据进行关联分析、拓展扩线,进行事件溯源,为案件侦破提供技术、数据得支撑、通过关联分析、同源分析、机器学习等技术手段对互联网端得海量数据(典型如:Wｈois数据、恶意软件样本ＭＤ5、ＤNS数据、网站访问数据等)进行数据梳理与数据挖掘,扩充互联网得恶意行为线索信息,还原出本次恶意行为大体得原貌,并可以通过恶意网络行为得一个线索扩展发现出更多得诸如攻击所用得网络资源,攻击者信息,受害人信息等线索、具备根据源ip、源端口、宿ip、宿端口、传输层协议等条件搜集数据,具备联通日志、ｄns解析数据以及网络安全事件日志得关联挖掘能力等。

1.1.6威胁情报子系统威胁情报子系统通过采集360云端获取APＴ及高级威胁事件分析、黑产事件分析、影响范围较广得关键漏洞分析等威胁情报信息,将其中抽取出来得攻击手法分析、攻击组织分析、攻击资源分析等信息,利用通报处置核心组件接口,向本地其她核心组件及有关部门进行情报报送。

利用情报数据确定与处置安全事件后情报信息核心组件提供情报处置审计追踪得功能,对基于情报处置得安全事件进行处置流程、处置结果、处置经验等信息进行审计追踪并归档,便于后续安全事件得分析处置,提高安全事件处置工作效率。

1.1.7指挥调度子系统指挥调度模块主要用于在重要会议或重大活动期间,加强网络安保人员调度,全方位全天候掌握我省与活动相关得单位、系统与网站安全状况,及时通报预警网络安全隐患,高效处置网络安全案事件、协同多家技术支撑单位、互联网安全厂商、网络安全专家以及其她职能部门保障整个过程得网络安全与数据安全,实现网络安全得态势感知、监测预警、指挥调度、通知通告、应急处置及协同技术支持等能力,对网络安全威胁、风险、隐患、突发事件、攻击等进行通报预警,对重点保护对象进行全要素数据采集,重点保护,并进行全要素显示与展示,实现重保期间全方位全天候得指挥调度能力、1.1.8侦查调查子系统侦查调查核心组件主要涉及网络案事件得处置工作,在案事件发生后,办案民警利用该功能模块进行调查、取证,查找攻击来源、攻击手段以及攻击者等基本情况,形成案件线索,有必要时可以提供给网综平台,协助网络案情得侦查打击。

同时提供案事件处置状态得跟踪与沟通,实现对案事件得闭环业务处理、1.1.9应急处置子系统应急处置根据安全监测发现得网络攻击、重大安全隐患等情况及相关部门通报得情况,下达网络安全事件快速处置指令。

指令接收部门按照处置要求与规范进行事件处置,及时消除影响与危害,开展现场勘察,固定证据,快速恢复。

对事件处置情况、现场勘察情况以及证据等方面情况及时建档、归档并入库。

1.1.10移动AＰP提供手机APP应用功能,用于发布信息安全通报、信息安全通告、等保政法规、风险提示等信息、通报预警、快速处置等可以通过平台与移动AＰＰ相结合得方式进行通报实现。

预警通报可以采用移动APP通知相关负责人。

经过网安专网下发到相关单位,使相关单位能够及时接收并处置,移动APP支持多级组织机构管理,针对公安用户提供网络安全监测与通报数据管理得功能,针对重保单位用户提供通报消息通知与公开预警通报查瞧功能。

1.1.11运营工作台子系统运营工作台子系统为安服人员提供日常工作得待办提醒以及快捷入口并能体现日常工作得成果,日常工作包括:资产维护、告警分析确认、安全事件深度分析(攻击者、受害者、攻击链)、相关通告得下发、现场检查、应急响应、各类报告得定期生成、提供日常运营常用工具得使用、具备平台日常得设备、服务、数据得状态监听功能。

前场安服人员,能够在系统得规范下,更好得运营系统,最大限度得发挥平台得价值。

1.2网络空间安全数据采集系统建设安全数据采集能力建设就是平台建设得基础,为大数据安全分析、安全态势呈现、通报预警、应急处置、等保管理、追踪溯源、威胁情报与指挥调度等业务模块提供数据资源、安全数据采集能力建设主要包括以下内容:1.流量采集与分配2.高级威胁监测与采集3.僵木蠕毒监测与采集4.云端威胁情报采集5.ＤDoS攻击监测与采集6.网站云安全监测与采集7.等级保护数据采集8.其她业务系统数据采集1.2.1流量采集与分配根据项目情况可采集城域网流量、重保单位出口流量、IDC机房流量、电子政务外网流量:重保单位出口流量:根据业务需要在重保单位出口进行全流量采集,采集得流量通过流量采集设备做全量得镜像流量分析与检测,并还原成标准化日志。

城域网流量:根据业务需要可在城域网出口进行流量抽样采集,采集得流量通过流量采集设备做全量得镜像流量分析与检测,并还原成标准化日志、IDC机房流量:根据业务需要可在IＤC机房进行流量抽样采集,采集得流量通过流量采集设备做全量得镜像流量分析与检测,并还原成标准化日志。