内部威胁检测

内部人员的操作可能有意或无意地导致违规，因此监控网络中的内部威胁并在识别威胁后修正威胁（内部威胁检测）非常重要，企业需要一个智能的内部威胁检测工具，可以监控各种流量和安全异常并发出警报。

什么是内部威胁检测

内部威胁检测是指使用一系列智能监控工具和功能来检测由显示疏忽、恶意或泄露行为的内部人员导致的网络安全威胁。

为什么内部威胁检测很重要

与外部威胁相比，内部人员可以轻松访问敏感且通常是业务关键型数据，当内部人员造成的安全漏洞或任何网络安全漏洞没有得到密切监控和补救时，可能会对公司造成严重的损害，内部威胁检测不佳的后果包括数据盗窃和泄露，以及违反法规和合规性要求等。

内部威胁检测如何工作

• 很难防止内部威胁，尤其是当内部人员是特权用户或攻击者使用授权凭据访问网络时。
• 有效的内部威胁检测可以通过威胁检测软件和强大的策略来实现，以监控内部行为、定期用户访问审核并鼓励员工遵循网络安全最佳实践。

内部威胁检测工具

Firewall Analyzer 内部威胁检测软件，可生成安全和流量报告，以帮助识别网络的内部威胁，除了生成报告外，还可以触发和记录安全和流量异常的警报。以下功能可帮助 IT 管理员识别和修正内部威胁。

• 员工互联网使用监控
• URL 监控
• 影子 IT 监控
• 变更监控
• 防火墙警报

员工互联网使用监控

员工的互联网使用会影响公司的安全和流量基础设施。员工使用大量数据供个人使用不仅会破坏带宽可用性，还会导致恶意软件和其他安全漏洞，从而威胁整个网络基础设施。

Firewall Analyzer 监控内部威胁，并使管理员了解以下内容：

• 组织中的员工访问的因特网站点。
• 员工用于通信的协议。
• 工作时间和非工作时间的 Web 使用详细信息和趋势。
• 可能导致环境中攻击的互联网事务。
• 员工触发的防火墙规则以及防火墙规则使用模式。
• 历史使用趋势，可用于识别当前异常事件。
• 包含入站和出站流量的深入详细信息的图表。

借助这些内容，管理员不仅可以识别内部威胁，还可以通过微调防火墙策略来限制占用带宽的网站或恶意网站来修复它们。

URL 监控

Firewall Analyzer 监控并记录员工访问的 URL，并将其作为其 Web 使用情况报告的一部分显示，这些报告不仅提供特定 URL 的带宽消耗，还列出员工尝试访问的被拒绝的 URL。使用此报告，管理员可以清楚地识别导致网络问题的 URL，以阻止有问题的 URL。

影子 IT 监控

影子IT并不是一个新现象，但第三方云应用程序的使用激增引发了新一波的安全复杂性，大多数员工不认为自己是内部威胁，因为在大多数情况下，他们只是想提高生产力。但是，通过注册云服务并使用消耗性 API 与手机交互，员工可以让黑客利用公司网络或提取敏感数据而不会引起怀疑。

Firewall Analyzer 监控并生成有关通过防火墙设备访问的所有应用程序的报告，通过这些报告，安全管理员可以轻松识别可疑应用程序，并在员工尝试访问特定应用程序时生成警报。

变更监控

防火墙对于网络安全至关重要，任何防火墙性能的核心都是其配置。如果企业的防火墙配置没有得到适当的监控和管理，网络可能容易受到攻击。Firewall Analyzer 使用 CLI 或 API 从防火墙设备（威胁检测防火墙）获取防火墙配置，并使管理员能够密切关注对网络安全基础结构所做的更改。

管理员在处理防火墙配置更改请求时可能会犯意外错误或执行不正确的更改，从而为违规留下空间。Firewall Analyzer 可确保定期捕获防火墙设备中的所有配置和后续更改并将其存储在数据库中，配置更改管理报告可帮助管理员准确了解谁对防火墙配置进行了哪些更改、何时以及为什么。

防火墙警报

设置基于带宽的触发器和基于安全的触发器（预览体验成员威胁检测解决方案）可用于识别内部威胁，使用Firewall Analyzer 的警报管理功能，管理员可以设置流量和安全触发器，触发防火墙警报后，警报可以直接发送到电子邮件或手机（短信）。还可以进一步调查和确定网络威胁的来源和类型，警报也会显示在Firewall Analyzer 的 UI 中。

通过监控关键安全指标并获取有关各种基于带宽的触发器（预览体验成员威胁检测系统）的通知，管理员可以轻松识别内部威胁并修复安全问题。

内部威胁的警告信号

内部威胁是源自目标组织的网络安全风险，以下是内部人员试图破坏网络的数字警告信号：

• 下载或访问异常大量的数据。
• 访问与其工作职能无关的敏感数据。
• 发送多个访问与其工作职能无关的资源的请求。
• 数据囤积和从敏感文件夹复制文件。
• 通过电子邮件向组织外部发送敏感数据。

Firewall Analyzer 安全日志监控与审计平台，能够实时将企业网络安全设施(如防火墙、代理服务器、入侵检测/防御系统和VPN等)在运行过程中产生的安全日志和事件以及配置日志汇集到审计中心，进行全网综合安全分析。帮助安全管理人员快速识别病毒攻击、异常流量以及用户非法行为等重要的安全信息，从而运用合理的安全策略，保证网络的安全。