当前位置: 首页 > 网络安全 > 安全热点 > 正文

网络安全等级保护制度2.0标准中的威胁情报检测系统

【来源:网络安全等级保护制度2.0标准中的威胁情报检测系统 | 发布日期:2019-11-06 】

威胁情报检测系统与传统的基于规则的检测系统相比,有很大变革,至少需要具备如下八个模块:

一、全流量的日志、文件提取与报警pcap存储:对网络全流量进行协议还原,提取网络流量日志与流量中的文件,对所有报警和可疑网络行为保存pcap以供后续分析,并提供可视化能力对机器的网络行为进行深度分析;

二、威胁情报检测模块:分钟级别同步最新的专业威胁情报数据,并用于实时流量检测,情报包不只包含基础的失陷指标IOC,还应包含黑客团伙情报信息;

三、机器学习模型检测模块:应用各类机器学习算法对传统统计规则、威胁情报无法发现的网络威胁进行检测,如数据窃取行为、隧道通信行为、DGA域名等;

四、恶意文件检测引擎模块:对流量中提取的文件应用本地的文件检测引擎,进行高效率的恶意文件识别;

五、沙箱检测模块:对本地可疑文件,应用本地或者云端沙箱技术进行判定;

六、内网横向移动检测模块:支持接入内网流量发现内部横向移动行为;

七、自定义情报检测模块:支持提供自定义情报功能,并应用于实时流量检测;

八、攻击链回溯分析模块:对所有发现的各类威胁告警可以按照攻击链进行关联,完整回溯攻击过程。