基于大数据的信息安全态势感知应用研究

安 全

（江苏安博电子有限公司，徐州 221000）

1 引言

态势感知能贯穿安全风险监控、分析、响应和预测的全过程，以威胁、风险、资产、业务、用户等为对象，基于安全日志、网络流量、用户行为、终端日志、业务数据、资产状态等多源数据，结合外部情报，通对全局状态评价、外部攻击评级、系统合规自检等手段，实现“事态可评估”；通过对攻击趋势分析、异常流量判断和终端行为检测，实现“趋势可预测”；通过对未知威胁的智能检测识别、流量/行为/资产的状态监控和多维度风险分析，实现“风险可感应”；通过对攻击溯源取证、云网端协同联动、工单流程闭环处理和设备策略自适应调整，实现“知行可管控”。

2 态势感知系统技术体系架构设计

网络安全态势感知在安全告警事件的基础上提供统一的网络安全高层视图，使安全管理员能够快速准确地把握网络当前的安全状态，并以此为依据采取相应的措施。

架构可划分为四个层次，数据采集层、计算存储层、业务能力层和系统服务层。

（1）数据采集层。主要采集网络入口处防火墙日志、入侵检测日志，网络中关键主机日志以及主机漏洞信息，接入威胁情报。由于不同数据源对网络安全事件的定义通常具有不同的格式，还需要通过范式处理将数据归一化为统一格式，然后进行去除冗余及噪声数据。

（2）计算存储层。采用Hadoop MapReduce和Spark构建大数据计算、存储平台。大数据存储支撑态势感知的海量日志存储与处理；大数据的快速处理为高速网络流量的深度安全分析提供了技术支持，为高智能模型算法提供计算资源。

（3）业务能力层。通过云沙箱引擎、Web安全引擎、安全分析引擎、云化运维引擎和智能学习引擎协同工作，通过融合、归并和关联底层多个检测设备提供的安全事件信息，从整体上动态反映网络安全情况，并对网络安全的发展趋势进行预测和预警。

（4）系统服务层。通过安全态势感知和情报中心感知网络状态、受攻击情况、攻击来源，掌握网络安全状况和发展趋势，制定有预见性的应急预案，做好相应的防范准备。通过安全云服务中心构建关键信息基础设施安全体系，增强网络安全防御能力和威慑能力。

3 态势感知在信息安全防护功能研究

（1）攻击态势感知。通过对各种网络设备、安全设备、服务器、主机和业务系统等的日志信息采集分析，实现对整网安全攻击情况的可视化呈现和趋势预测。除了攻击类型、攻击趋势，攻击源和攻击目的TOP分析呈现外，对于二次攻击的模型分析和数据挖掘、攻击路径分析和追踪溯源等方面进行突破，为后续的安全策略生成和联动响应提供必要的技术支撑。

（2）威胁态势感知。威胁态势感知主要针对安全漏洞、病毒、蠕虫、木马和恶意代码等风险检测情况，通过对入侵防御系统、防病毒网关、WEB安全网关、沙箱等多种设备进行信息采集和钻取分析，从多个维度将威胁形势进行呈现，同时结合外部情报信息实现对未知安全风险进行分析判断和预警，为后续的响应决策赢得时间。

（3）流量态势感知。流量分析是态势感知的重要内容，围绕用户、业务、关键链路和互联网访问等多个维度的流量分析，一方面可以实现对用户和业务访问的精细化管理，建立网络流量的多种流量基线，从而为后续的链路、带宽、和服务器扩容提供技术支撑。另一方面，通过对多维度实时流量的监控，可以有效发现网络中的异常攻击流量，用户访问异常行为，以及诸如DDOS攻击和病毒蠕虫攻击的信息，提升对于流量攻击的风险把控和防御。

（4）行为态势感知。通过分析监控用户终端的进程、终端外部媒介的使用行为、互联网出口用户的流量访问、以及用户主机的各种Email/FTP/HTTP/IM等外发行为，结合机器学习和人工智能算法，准确找到用户行为之间的关联，一方面可以为用户进行画像，对其访问轨迹、互联网访问的内容和关注重点等进行分析，同时通过数据挖掘找到其兴趣爱好，为后续的信息推送等服务提供支撑。另一方面，对用户的Email邮件关键字、文件上传下载、HTTP访问以及即时通讯言论敏感词进行安全审计，通过机器学习等算法找到其不同行为之间的关联，对潜在的用户异常行为进行挖掘和判断，确保安全合规和信息泄露防护的需求。

（5）运维态势感知。围绕着用户、资产、和业务的关联，聚焦资产或业务的状态监控、性能监控、配置基线管理、运维告警和故障诊断，结合大数据的分析方法，全面感知和监控资产的运营状态和安全指数，为运维决策和联动响应提供可视化的呈现和简易化的操作；同时也可以实现对用户的远程代维代管，为后续的云安全运维增值业务的开展提供帮助。

4 结束语

信息安全态势感知采用大数据技术，实现事件的分布式采集、分析、存储和检索，对海量的日志数据、流量数据、数据包数据等做到实时关联分析、快速检索、高效统计，并以高度可视化的方式进行数据展现。使用态势感知技术，可利用安全数据提供安全态势分析与展示的数据服务，提供与网关设备和终端控制系统的联动，及时阻断攻击和违规访问，实现安全运营的闭环操作，保证网络信息安全运营。