基于聯合處置與智能分析的網絡安全防護平臺應用實踐

文/李罡、王德超、邱燁、閆洪利、喬慶學， 濟南軌道交通集團有限公司

一、安全防護平臺總體情況

為滿足國家網絡安全戰略要求及應對當前愈演愈烈的各類已知、未知網絡安全風險及APT類攻擊，濟南軌道交通集團在內部管理網數據中心建立了以下一代防火墻為核心的網端一體化聯合處置平臺，同步聯合WAF、上網行為管理、終端殺毒等手段對集團網絡及信息系統進行事前、事中、事后的全生命周期安全防護；同時，部署了基于大數據和人工智能算法的智能安全中心進行全網安全運營，該中心主要包含智能威脅感知、態勢感知研判及安全運營響應等三個功能模塊。初步搭建了基于聯合處置和智能分析的網絡安全防護平臺，為集團內部管理網絡安全保駕護航。

二、安全防護平臺建設背景

在當前復雜多變的信息安全形勢下，無論是外部黑客入侵、內部惡意使用，還是軟硬件、協議在生命周期的各個階段中產生的網絡安全隱患問題，安全管理手段都正在變得越來越不夠用，安全問題難以及時發現；當攻防演練逐漸成為集團所需要面對的常態業務，如何確保系統安全成為了亟需解決的問題；同時，業務系統集成關系越來越復雜，數據安全性、應用安全性等問題越來越凸顯。

集團內部管理網已上線和正在建設的業務系統達二十余個，基本覆蓋了企業管理、工程建設、運營管理和資源開發等核心業務，信息系統的正常運轉以成為保障集團員工辦公的必要條件。為此，集團數據中心設置安全控制中心，實現安全業務編排和策略統一管理，覆蓋安全服務配置、運維兩大場景，與安全態勢感知系統、安全設備構成全面威脅感知、分析和響應的整網主動防御、多維安全防護體系，保障信息系統安全、穩定運行。

圖1 安全控制中心實景圖

三、主要內容及關鍵技術

（一）主要內容

1.網端一體化聯合處置平臺

集團根據可能面臨的所有網絡安全威脅和風險漏洞，在安全控制中心內部署了網端一體化聯合處置平臺（圖2），以技術配合管理，管理銜接技術，打通網絡安全管理中的人、技術和操作過程等環節，形成統一的安全聯合處置平臺；平臺具有通信網絡、安全區域邊界、計算環境等網絡側的強大識別和安全防御能力，幫助集團內部管理網從橫向到縱向構建立體縱深的安全防護架構；平臺包含傳統防火墻、下一代防火墻、WAF、上網行為管理、終端安全系統等，實現全方位的安全防護；平臺統一展示來自外部入侵行為觸發的網絡安全告警信息，并自動阻斷黑客非法攻擊。

圖2 網端一體化聯合處置平臺

2.大數據智能安全中心

根據一個安全管理中心，三重防護的思想，集團在安全控制中心內部署還部署大數據智能安全中心。通過收集探針、日志審計、數據庫審計等安全軟硬件日志信息，實時報警、阻攔、定位攻擊源、實現安全體系整體聯動，多維防御。安全管理中心的內容如圖3所示。

圖3 安全管理中心功能架構圖

大數據智能安全中心依據核心功能分為智能威脅感知中心、攻擊態勢感知研判中心及安全運營響應中心三個模塊。智能威脅感知中心依靠安全實時分析和深度感知智能引擎對平臺采集的內網流量數據、日志數據及資產數據進行威脅分析檢測，如圖4所示。

圖4 智能威脅感知中心

攻擊態勢感知研判中心則從多維態勢感知、威脅情報、安全追蹤溯源及分析報告等四個層面為集團提供內外部安全態勢感知研判，如圖5所示。

圖5 態勢感知研判中心

安全運營響應中心為集團提供了日常安全運營管理的載體，從技術角度完善了集團安全運營能力與流程。安全運營工作臺對收集到的有代表性的網絡攻擊行為、新產生的網絡安全威脅情報、網絡安全整體分析報告和各部門單位的應急處置狀況進行統一發布，提高統一調度和指揮能力。減少安全事件對人工的依賴，流程化完成事件管理，提高了協作溝通效率，如圖6所示。

圖6 安全運營響應中心

（二）關鍵技術

1.安全矩陣全域覆蓋

集團在網絡邊界和終端環境進行網絡安全能力全域覆蓋，網絡流量層分析威脅的特征結合終端層的行為分析，降低來自不同介入點的風險，可實時定位本地無法檢出的威脅。當邊界安全設備識別外來網絡攻擊和異常網絡流量時，集團網端一體化聯合處置平臺可通過黑名單的方式過濾外部攻擊行為，保障內網網絡安全。

2.智能協同閉環處置

集團在流量及終端側構建基于AI的檢測與防御能力，通過實時流量分析，安全技術聯動抵御來自網絡側的攻擊，流量層溯源定位被攻擊主機，聯動終端殺毒發起對被攻擊主機的全面的掃描，該平臺可快速定位網絡內的攻擊主機，確定是惡意攻擊或者主機感染病毒，進行隔離，完成取證操作，保障集團網絡安全閉環管理。

3.未知病毒精準防御

集團通過AI提煉病毒特征，對可能遭受的木馬變種病毒進行防范；當終端感染變種病毒時，可自行啟用網端一體化聯合處置平臺的微隔離策略，限制傳染面在單個主機上，保障集團網絡的安全以及核心業務和服務器區域不受木馬變種病毒干擾。

4.安全運營威脅預知

全網安全日志統一分析結合后臺專家分析，給出最佳策略配置建議、每日巡檢及安全播報、全網高危事件等，全天候安全運營，通過智能安全中心提高網絡安全風險預警能力，保障集團網絡安全。

四、主要應用場景

（一）網絡威脅追蹤溯源

基于安全事件的攻擊手法來源等，結合威脅情報追溯類似的攻擊事件，深挖攻擊事件背后的團伙和實際的攻擊者，集團通過安全設備的日志可以回溯攻擊源，分析非法攻擊行為，并進行安全防范，提高安全防御機制，防患于未然。

（二）安全態勢全局總攬

通過態勢感知大屏、分析報告、安全日志在海量的安全告警中，分析提煉出關鍵的事件，為集團提供決策處理，完成僅憑把人工不可能完成的工作量任務變成輕松完成，規避了重要的安全事件不被海量告警淹沒。

（三）網絡風險及時發現

內部的惡意主機或進程對外攻擊可能涉嫌違法，對集團內部攻擊風險不可估量，基于智能安全中心中對流量的深度檢測，實現及時發現和處置集團內部惡意資產。

（四）安全處置聯動防御

大數據智能安全中心發現潛在的入侵和高隱蔽性攻擊，預測即將發生的安全事件并與安全防護設備形成聯動能力，自動安全調整訪問控制策略下發至防御設備，第一時間通過聯動防御設備阻斷攻擊者的連接。集團存在大量核心業務數據，通過智能安全中心杜絕終端感染導致的整個網絡被勒索或者被非法控制，實時保障集團網絡不被外界非法攻擊行為入侵。

五、經驗總結

通過集團網端一體化聯合處置平臺和大數據智能安全中心的建設，一方面有效提升了集團的信息安全管理水平，協助集團統一監管全網環境安全風險，整合安全要素，打破數據孤島、能力孤島；另一方面實現了安全監測自動化運營流程和安全事件自動化響應，形成威脅發現、智能研判和響應處置的安全運營閉環處置流程，釋放安全管理人員手動處置威脅負擔，解決了威脅發現不及時、安全響應滯后等安全運維過程中的通病問題。

該平臺提升了體系化縱深聯動防御能力，平臺發現潛伏威脅和高隱蔽性攻擊后，可以預測即將發生的安全事件，能夠與安全防護設備形成聯動形成安全閉環，從而保障集團網絡安全。