网络空间安全系统态势感知与大大数据分析报告平台建设方案设计V1.0

网络空间安全态势感知与大数据分析平台建设方案网络空间安全态势感知与大数据分析平台建立在大数据基础架构的基础上，涉及大数据智能建模平台建设、业务能力与关键应用的建设、网络安全数据采集和后期的运营支持服务。

1.1网络空间态势感知系统系统建设

平台按系统功能可分为两大部分：日常威胁感知和战时指挥调度应急处置。

日常感知部分包括大数据安全分析模块、安全态势感知呈现模块、等保管理模块和通报预警模块等。该部分面向业务工作人员提供相应的安全态势感知和通报预警功能，及时感知发生的安全事件，并根据安全事件的危害程度启用不同的处置机制。

战时处置部分提供从平时网络态势监测到战时突发应急、指挥调度的快速转换能力，统筹指挥安全专家、技术支持单位、被监管单位以及各个职能部门，进行协同高效的应急处置和安全保障，同时为哈密各单位提升网络安全防御能力进行流程管理，定期组织攻防演练。

1.1.1安全监测子系统

安全监测子系统实时监测哈密全市网络安全情况，及时发现国际敌对势力、黑客组织等不法分子的攻击活动、攻击手段和攻击目的，全面监测哈密全市重保单位信息系统和网络，实现对安全漏洞、威胁隐患、高级威胁攻击的发现和识别，并为通报处置和侦查调查等业务子系统提供强有力的数据支撑。

安全监测子系统有六类安全威胁监测的能力：

一类是云监测，发现可用性的监测、漏洞、挂马、篡改（黑链/暗链）、钓鱼、和访问异常等安全事件

第二类是众测漏洞平台的漏洞发现能力，目前360补天漏洞众测平台注册有4万多白帽子，他们提交的漏洞会定期同步到态势感知平台，加强平台漏洞发现的能力。

第三类是对流量的检测，把重保单位的流量、城域网流量、电子政务外网流量、IDC 机房流量等流量采集上来后进行检测，发现webshell等攻击利用事件。

第四类把流量日志存在大数据的平台里，与云端IOC威胁情报进行比对，发现APT 等高级威胁告警。

第五类是把安全专家的分析和挖掘能力在平台落地，写成脚本，与流量日志比对，把流量的历史、各种因素都关联起来，发现深度的威胁。

第六类是基于机器学习模型和安全运营专家，把已经发现告警进行深层次的挖掘分析和关联，发现更深层次的安全威胁。

1、安全数据监测：采用云监测、互联网漏洞众测平台及云多点探测等技术，实现对重点安全性与可用性的监测，及时发现漏洞、挂马、篡改（黑链/暗链）、钓鱼、众测漏洞和访问异常等安全事件。

2、DDOS攻击数据监测：在云端实现对DDoS攻击的监测与发现，对云端的DNS 请求数据、网络连接数、Netflow数据、UDP数据、Botnet活动数据进行采集并分析，同时将分析结果实时推送给本地的大数据平台数据专用存储引擎；目前云监控中心拥有全国30多个省的流量监控资源，可以快速获取互联网上DDoS攻击的异常流量信息，

利用互联网厂商的云监控资源，结合本地运营商抽样采集的数据，才能快速有效发现DDoS攻击，同时对攻击进行追踪并溯源。

3、僵木蠕毒数据监测：通过云端下发本地数据，结合流量数据进行分析，快速发现本省／市感染“僵木蠕毒”的数据。僵木蠕毒监测主要来自两种方面：一是360云端僵木蠕毒平台对国终端的僵木蠕毒感染信息进行采集，如果命中本省／市终端僵木蠕毒感染数据，通过对IP地址/围筛选的方式，筛选出属于本省／市的数据，利用加密数据通道推送到态势感知平台；二是对本地城域网流量抽样和重点单位全流量进行检测，将流量数据进行报文重组、分片重组和文件还原等操作后，传送到流检测引擎和文件检测引擎，通过流特征库、静态文件特征检测、启发式检测和人工智能检测方式及时的发现重点保护单位的僵木蠕毒事件

4、高级威胁数据监测：安全监测子系统需要结合全部的网络流量日志和威胁情报继续持续性的攻击追踪分析。云端IOC威胁情报覆盖攻击者使用的域名、IP、URL、MD5等一系列网络基础设施或攻击武器信息，同时威胁情报中还包含了通过互联网大数据分析得到的APT攻击组织的相关背景信息，这对于APT攻击监测将提供至关重要的作用。

1.1.2态势感知子系统

态势感知系统基于多源数据支持安全威胁监测以及安全威胁突出情况的分析展示。综合利用各种获取的大数据，利用大数据技术进行分析挖掘，实时掌握网络攻击对手情况、攻击手段、攻击目标、攻击结果以及网络自身存在的隐患、问题、风险等情况，对比历史数据，形成趋势性、合理性判断，为通报预警提供重要支撑。该模块支持对网络

空间安全态势进行全方位、多层次、多角度、细粒度感知，包括但不限于对重点行业、重点单位、重点，重要信息系统、网络基础设施等保护对象的态势进行感知。

态势感知子系统分为两部分：态势分析和态势呈现

态势分析：针对重保单位、数据采集分析，通过安全监测子系统对DDos攻击监测、高级威胁攻击检测与APT攻击检测、僵木蠕毒检测、IDS检测等功能，通过恶意代码检测、异常流量分析、威胁分析等技术进行宏观分析后，以监管单位为视角，对本项目监管围下的单位安全状态进行监测。并且根据系统置的风险评估算法给出当前被监管单位的整体安全评估。

态势呈现：通过城市安全指数、区域安全指数、单位安全指数、威胁来源、攻击分析、威胁同比、威胁环比、告警详细等呈现整体安全态势。

1.1.3通报预警子系统

通报预警根据威胁感知、安全监测、追踪溯源、情报信息、侦查打击等模块获取的态势、趋势、攻击、威胁、风险、隐患、问题等情况，利用通报预警模块汇总、分析、研判，并及时将情况上报、通报、下达，进行预警及快速处置。可采用特定对象安全评估通报、定期综合通报、突发事件通报、专项通报等方式进行通报。

1.1.4等保管理子系统

等保管理模块针对全省信息安全等级保护建设工作进行监管，通过等保信息系统管理、等保管理工作处置、等保检查任务管理、等保系统资产管理、等保安全事件管理和等保综合分析报表对列管单位及其重要信息系统相关的备案信息、测评信息、整改信息和检查信息等业务数据进行管理。