聚焦BCS2021 | 自動化威脅檢測與響應 奇安信多個實戰(zhàn)化產品集中亮相

　　天眼新一代安全感知系統(tǒng)、云鎖服務器安全管理系統(tǒng)、安全DNS、SOAR、系統(tǒng)安全平臺……8月28日，在2021年北京網絡安全大會期間，奇安信多款實戰(zhàn)化產品和解決方案集中亮相，從高級威脅檢測、安全編排自動化與響應、網絡資產攻擊面管理以及服務器安全、工業(yè)物聯(lián)網安全和供應鏈安全等多個方面，幫助客戶構建實戰(zhàn)化網絡安全體系。

　　自動化威脅檢測與響應

　　威脅的檢測與響應作為網絡安全體系建設的重要環(huán)節(jié)，歷來受到政企機構的高度重視。然而面對變幻莫測的攻擊手法和善于偽裝的惡意樣本，檢測與響應手段仍然需要不斷創(chuàng)新。

　　在威脅檢測方面，此次亮相的奇安信新版天眼上線了智能助理、高級阻斷、沙箱防逃逸等多項功能，其中新版沙箱在延續(xù)原版本對惡意文件智能、精準檢測的基礎上，大幅度提升了系統(tǒng)性能和安全性，同時檢測環(huán)境支持macOS和Android操作系統(tǒng)，使得威脅檢測樣本覆蓋更全。同時，為了避免威脅樣本逃逸現(xiàn)象，新版沙箱實現(xiàn)了TLS/HTTPS流量解密的功能，阻止惡意軟件采用TLS/HTTPS對自身流量進行加密保護以躲避檢測的情況。

　　另一方面，新版天眼還增加了云上安全感知系統(tǒng)的“云天眼”，幫助用戶重點解決云上全網安全在東西向流量上的監(jiān)控盲區(qū)，建立一套在“云”上的監(jiān)測預警、威脅檢測、溯源分析和響應處置能力的高級威脅檢測平臺。

　　針對惡意網絡請求的檢測，奇安信安全DNS(QDNS)基于奇安信威脅情報中心商業(yè)威脅情報，能夠對APT攻擊、勒索軟件、竊密木馬、遠控木馬、僵尸網絡、網絡蠕蟲、惡意下載、黑市工具、流氓推廣等幾十種網絡威脅請求進行有效檢測和阻斷。

　　在響應方面，作為安全編排自動化與響應的利器，此次亮相的奇安信SOAR3.0以實戰(zhàn)化為核心，能夠幫助企業(yè)和組織將繁雜安全運行過程梳理為任務和劇本，把分散的安全工具與功能轉化為可編程的應用和動作，并且借助編排和自動化技術，將團隊、工具和流程的高度協(xié)同起來，覆蓋安全運行的防護、檢測、響應等各個環(huán)節(jié)�？傮w來看，奇安信SOAR3.0能夠將安全事件調查與響應操作的效率提高10倍以上;對于需要重復性持續(xù)性的操作，提升的效率更是數(shù)以百倍計。

　　另外，奇安信新版天眼上線了高級阻斷功能，能夠結合250w+條威脅情報、3000+威脅檢測規(guī)則，實現(xiàn)對威脅的智能化阻斷。

　　實戰(zhàn)化安全運行

　　隨著網絡安全實戰(zhàn)攻防演習的開展，政企機構對于檢測與響應的重視程度日益提升，網絡安全體系建設越來越完善，但網絡攻擊事件依然處于高發(fā)狀態(tài)。資產不清、漏洞不明、情報缺失、流程不通等基礎安全問題多年來一直困擾企業(yè)客戶，沒有對資產安全形成運行服務閉環(huán)流程，就難以滿足當前安全運營實戰(zhàn)化、體系化、常態(tài)化的要求。

　　系統(tǒng)安全并非一蹴而就，也不是加強某個環(huán)節(jié)就能解決的，需要提升整體的防護水平。對此，“系統(tǒng)安全運行構想圖”強調，需要用數(shù)據(jù)驅動的實戰(zhàn)化安全運行模式，打通資產管理、配置管理、漏洞管理和補丁管理等四大基礎安全流程，環(huán)環(huán)相扣融入整個大運維環(huán)節(jié)，從而收縮攻擊面、有效控制數(shù)字化運營的基礎風險。

　　通過構建系統(tǒng)安全運行服務支撐平臺，建立多源異構資產和漏洞數(shù)據(jù)的融合治理、統(tǒng)一管理，達到全面掌握自身網絡資產真實安全狀況的目標;同時，幫助政企客戶實現(xiàn)流程的通暢&閉環(huán)，達到管理更有序的目的;平臺自動化能力體現(xiàn)到實際運營工作中，讓原本重復的安全運營工作變得更智能、更簡單、高效，讓安全運行真正成為日常。從而建立與大運維深度融合的安全運營體系，為安全運營的常態(tài)化、實戰(zhàn)化奠基。

　　另外，為幫助客戶檢驗防護體系的有效性，奇安信此次發(fā)布的自動化滲透測試系統(tǒng)，在學習總結奇安信攻擊隊的多年實戰(zhàn)攻防經驗基礎上，自主研發(fā)了高級漏洞利用框架以及大量漏洞利用插件，通過自動化完成信息搜集、社會工程、漏洞利用、權限提升、持續(xù)控制、橫向滲透等滲透測試全過程，將傳統(tǒng)“手工作坊”式的滲透測試轉變?yōu)樽詣踊瘶藴驶�可量化的滲透測試體系。

　　常態(tài)化核心資產防護

　　作為存儲機構核心數(shù)據(jù)的地方，服務器一旦被攻破很可能會導致大量敏感數(shù)據(jù)丟失或被竊，因此在網絡安全體系里，服務器安全防護通常是最后一道防線，其重要性不言而喻。

　　基于服務器端輕量級Agent的云鎖服務器安全管理系統(tǒng)，同時支持單機版、公有云和私有云的部署。通過統(tǒng)一的Web控制中心，RASP、IN-APP WAF以及服務器操作系統(tǒng)內核加固探針，實現(xiàn)對傳統(tǒng)物理服務器和云服務器一致的風險排查、內核加固、已知威脅的精準檢測和未知攻擊的有效防護。

　　此次發(fā)布的新版云鎖重點新增了針對無文件攻擊、帶外(OOB)攻擊、惡意掃描、惡意文件上傳等檢測能力，對反彈Shell、RCE利用和EDR檢測做了重點優(yōu)化。

　　同時，云鎖還創(chuàng)新性的在服務器安全領域引入了微隔離和零信任的理念，基于不同角度(端口、外連、文件、應用等)的白名單機制，以攻促防，從惡意流量“打點->拿權限->橫向滲透”的攻擊邏輯出發(fā)，實現(xiàn)不同階段對高危行為的高效防護。

　　在工業(yè)安全方面，工業(yè)物聯(lián)網是工業(yè)信息系統(tǒng)的神經末梢，直接影響著的系統(tǒng)運行質量，保障工業(yè)物聯(lián)網安全就成為工業(yè)信息化發(fā)展的重中之重。針對工業(yè)物聯(lián)網接入設備自身防護水平差，網絡接入缺乏監(jiān)測、感知能力，安全事件缺少有效技術處置手段，系統(tǒng)存在極大被遠程入侵風險等問題，“天擇”工業(yè)物聯(lián)網接入安全防護系統(tǒng)，對入網終端進行精準、持續(xù)、嚴格的細粒度管控，確保接入網合法、合規(guī)、可信的同時，全方位掌控網絡邊界動態(tài)，及時、靈活、高效的處置安全事件，確保網絡無風險運行。

　　體系化供應鏈安全

　　供應鏈連接了這個世界的每個角落，無論物理空間還是網絡空間。一個組織已經不能僅僅通過保護自己的基礎設施來保護自己。在網絡空間對抗不斷升級、數(shù)字化加速轉型、國家戰(zhàn)略推動、開源代碼被普遍使用的情況下，體系化的軟件供應鏈安全建設勢在必行。

　　據(jù)奇安信威脅情報中心發(fā)布的《全球高級持續(xù)性威脅(APT)2021年中報告》顯示，在愈演愈烈的APT攻擊中，APT攻擊團伙攻擊目標開始更加側重于在供應鏈中負責提供服務的公司。例如，去年12月，黑客在針對網管軟件提供商SolarWinds發(fā)動了供應鏈攻擊，在軟件更新包中植入了后門程序，全球超過18000家機構都受到了此次事件的影響;又例如，全球航空電信協(xié)會SITA——管理著全球超過400家航空公司的機票和旅客數(shù)據(jù)處理，便曾在今年3月宣布服務器被黑客通過高度復雜的攻擊手段入侵。而在國內，奇安信威脅情報中心也曾監(jiān)測到多起安全公司被入侵造成的供應鏈攻擊事件。

　　供應鏈安全建設面向兩個主要的場景：第一是用戶視角的供應鏈安全管理場景;第二是開發(fā)者視角的供應鏈安全開發(fā)場景。針對這兩大場景，奇安信提供的軟件供應鏈安全解決方案，包括代碼安全能力、軟件空間測繪能力、感知與自主測試能力、自動化流程管理能力等四個部分。