内网威胁感知与攻击溯源系统

一、现状与问题

        随着《网络安全法》正式成为法律法规，等级保护系列政策更新，“安全” 对于大部分企业来说已成为“强制项”。然而，网络空间安全形势日趋复杂和严峻。席卷全球的勒索病毒在全球范围大爆发，对企业的正常工作，造成巨大影响。高级持续性威胁(APT攻击)、鱼叉攻击、内部员工和外包人员的越权操作，也在不断的威胁着企业核心数据安全。

                                 威胁一直存在，但企业安全管理人员却没有相应的技术手段和工具发现问题、定位攻击源。

二、解决方案

        针对以上问题，现在企业的网络安全思维要有所转变，企业网络安全不仅要有优秀的防御能力，更要有主动的安全溯源和应急响应能力。面对边界网络安全设备不能保证100%网络安全的现状，能帮助企业准确发现威胁、快速定位威胁、有效控制威胁扩散的工具越来越重要。

        武汉钛安科技内网威胁感知与攻击溯源系统，通过“虚拟仿真”技术，在黑客必经之路上布置陷阱、诱敌深入，可实现对APT攻击事件、蠕虫病毒（勒索病毒）传播、异常操作事件的精确定位。解决内部网络攻击行为难以识别、难以定位、难以溯源三大问题，赋予内网全新的主动对抗能力。结合日志大数据溯源模块、流量大数据溯源模块，帮助企业溯源黑客身份和攻击意图，实现全网安全态势感知。

三、系统功能

          应用“主动防御”思想，在核心服务器区，设置“虚拟仿真陷阱“，迷惑攻击者，配合安全审计，实现对APT攻击事件、蠕虫病毒（勒索病毒）传播、异常操作事件的精确定位。

1.虚拟仿真

        1）系统可实现对各种系统应用（SSH，telnet）、数据库应用（mysql、oracle）、业务应用（http、https）的高仿真模拟，通过在企业内网部署高仿真应用“陷阱”，混淆黑客的攻击目标，将攻击隔离进沙箱系统，识别攻击行为，延缓攻击进程，并以多种方式通知管理员。

        2）伪装代理，通过在企业内网真实核心服务器上部署“伪装代理”，可让“陷阱”遍布整个内网，将黑客针对真实服务器上“陷阱”的攻击流量引入本系统，提高本系统对攻击行为的感知率。

        3）诱饵文件，系统基于Web“bug”工作原理，可在伪造的“敏感文件”中插入“追踪”代码，让窃密者感染管理员设计的“木马病毒”，以帮助管理人员快速定位窃密者。

2.攻击识别与内网威胁情报

        1）已知攻击识别，系统内置入侵检测模块，可准确识别所有针对仿真应用的攻击源IP和已知攻击事件类型。

        2）未知攻击识别，系统详细记录针对仿真应用的各种攻击行为日志，基于行为分析模式，利用大数据对未知攻击识别引擎进行训练,可精确识别每条黑客攻击源,攻击路径以及攻击手法，为管理人员提供有效的威胁感知和攻击定位工具。

        3）内网威胁情报，系统在识别和记录攻击的同时，可获取攻击源的的详细信息，包括浏览器版本、操作系统类型、设备指纹、开放端口等，为攻击溯源提供内网威胁情报信息。

3.攻击溯源

        利用内网威胁情报信息，日志大数据溯源模块和流量大数据溯源模块可进一步确定攻击源（病毒源）对内网核心资产的攻击行为，帮助运维人员快速溯源攻击行为、确定攻击范围、全面掌握内网安全态势。

4.集中管理与溯源展示

        系统支持多节点分级管理，并能通过数据关联分析，以时间流的形式进行组织，可视化的呈现出安全事件的攻击流程。威胁情报智能仪表板提供威胁情报感知报告。