【内部培训】安全感知平台+潜伏威胁探针
信息安全-深信服安全感知
大
数
据 时间序列分析
二类分类
多类分类
聚类
分
析
DNS flow引擎
SMTP flow引 擎
POP3 flow引 擎
HTTP flow引 擎
SMB flow引擎
AD flow引擎
离群点检测 IMAP flow引
擎
文件鉴定引擎
异常行为分析建模
长
周
期
用户行为
分
析
场景建模
流量行为 算法集合
操作行为 专家规则
高级威胁检测
运维人员精力有限，处置效率低
看不到威胁的扩散，处置不彻底
根因分析： 设备之间难以协同响应，缺乏影响面分析
一．新的安全形势与挑战 二．面向未来，有效保护 三．深信服安全感知平台 四．产品特色及成功案例
安全建设从被动防御到主动防御升级
被动防御
防御为主、被动响应
• 边界防护 • 入侵防护 • 主机杀毒
建议部署拓扑图
➢ 一个信息汇集分析中心 ----- 织网蛛的大脑
➢ 多个散布的信息采集点 ----- 踩在不同经线的蛛腿
一．新的安全形势与挑战 二．面向未来，有效保护 三．深信服安全感知平台 四．产品特色及成功案例
持续创新，引领技术
• 13年技术积累，基于全流量的深度挖掘能力国内第一；
一．新的安全形势与挑战 二．面向未来，有效保护 三．深信服安全感知平台 四．产品特色及成功案例
国家高度重视网络安全建设
习主席4.19讲话
网络安全法
十三五信息化规划
网络安全等级保护2.0
没有网络安全就没有国家安全 树立动态、综合防护的防护理念 全天候全方位感知网络安全态势 构建关键基础设施安全保障体系 对新型威胁进行持续检测和分析
中职学校网络信息中心机房整改与升级——以吕梁市卫生学校为例
105Internet Application互联网+应用一、学校网络基本情况吕梁市卫生学校是一所全日制三年制中等卫生职业学校，学校现有网络为十多年前新建教学楼时部署，经过多年发展，网络缝缝补补、几经维护，网线私搭乱建，维护人员也换了几波，导致现在运维人员几乎找不到之前部署的线缆，而增加业务需要部署网络时再新增网线，这样恶性循环导致运维人员苦不堪言，网络负载很重，排查故障难度很大。
同时，职工私接路由器导致环路和无法自动获取地址上网的情形时常发生。
该校计算机教室经常承担社会各种等级上机考试，为了保证足够的网络带宽出口，学校网络结构设计为行政办公网络和教学实训网络两条线，计算机教室附属于教学实训的子网络。
随着信息技术的发展，学生上课对网络的依赖程度也越来越强，之前只在行政办公网络中部署了安全设备，而教学实训网络没有部署任何安全设中职学校网络信息中心机房整改与升级——以吕梁市卫生学校为例员在运维管理过程中顾此失彼，无法同时兼顾管理等等。
本次新增安全设备主要针对教学实训网络。
二、机房基础设施整改与升级在机房基础设施建设改造过程中，吕梁市卫生学校大刀阔斧地采用了新风集成机柜、供配电、制冷、监控和综合布线的整体解决方案系统。
首先，利用模块化设计，使得供配电系统处于合理的带载率区间内，以提高电源效率。
供配电系统采用2N 设计，将之前较新的不间断供电系统UPS 接入新的双电源自动切换开关ATS 中，当做备用电源。
在主UPS 电源供电不足的情况下，备用电源还可持续供电4小时左右，实现冗余设计，以满足机房设计要求，提高安全等级。
其次，采用行级制冷单元，配置两个列间恒温恒湿精密空调，结合封闭冷/热通道，以提高制冷效率；密闭冷通道顶部采用活动顶板，与消防联动，不影响气体灭火系统；消防系统通摘要：当前许多学校正面临数字化转型，对信息中心机房的安全防御系统的可靠性、稳定性和安全性有着严格的要求。
同时，网络的快速响应能力、用户上网的安全性以及网络状况的实时可视化、可管可控性也对安全防御系统提出了一定的要求。
网络安全：网络安全威胁防范与入侵检测技术培训ppt
随着黑客技术的不断发展，APT攻击 成为当前最主要的网络安全威胁之一 。
物联网安全
随着物联网设备的普及，针对物联网 设备的攻击逐渐增多，如智能家居、 工业控制系统的安全威胁。
勒索软件
随着加密技术的发展，勒索软件攻击 日益猖獗，对个人和企业造成巨大经 济损失。
数据泄露与隐私侵犯
随着大数据的广泛应用，数据泄露和 隐私侵犯成为网络安全的重要问题。
PART 02
网络安全威胁防范技术
REPORTING
防火墙技术
01
02
03
包过滤防火墙
根据数据包的源地址、目 标地址和端口号等信息， 决定是否允许数据包通过 。
应用层网关防火墙
通过代理服务器或网络地 址转换（NAT）技术，对 应用层协议进行解析和过 滤，以控制网络访问。
ABCD
高校网络安全教育课程
高校开设网络安全课程，培养学生对网络安全的 认知和技能。
安全意识教育游戏
设计有趣的网络安全教育游戏，让用户在游戏中 学习网络安全知识。
THANKS
感谢观看
REPORTING
虚拟专用网络（VPN）
远程访问VPN
允许远程用户通过公共网 络访问公司内部资源。
站点到站点VPN
连接两个不同地点的公司 网络，实现数据传输和资 源共享。
移动VPN
为移动用户提供安全的网 络连接和数据传输服务。
安全审计与入侵检测
安全审计
对网络系统进行定期的安全检查 和评估，发现潜在的安全隐患和 漏洞。
02
工作原理
IDS通过实时监控网络流量和系统日志，收集关键信息，然后利用预设
的安全策略和算法分析收集到的数据，判断是否存在入侵行为。
信息安全-【了解2】SIP销售话术培训
3.协同响应：在发现问题后，通过设备与设备之间的联动半自动化的方式去解决问题。
安全感知平台的产品价值及优势话术
遇到友商竞争或客户发问的情况：
举例说明：
全局可视：可通过全网安全态势感知大屏，外连风险大屏，内网横向移动，服务器漏洞大屏， 外部攻击大屏等从全局维度，外连攻击风险，内部数据访问，核心业务资产评估和外部风险等 安全视角进行可视化展示，辅助IT安全管理进行决策。 精准检测：安全感知系统通过HttpFlow，DnsFlow，NetFlow，SmbFlow,SmtpFlow五大 引擎对全网流量，外联隐藏隧道，内网异常流量，内网恶意操作检测，邮件外发检测进行可视 化检测等帮助用户进行持续性检测。通过UEBA对用户行为建模并且联合机器学习，深度分析对 未知威胁检测。 协同防御：安全感知系统通过与AF，AC联动保障与网关间的协同防御，通过与EDR,VSS联动保 障虚拟化应用场景的交付场景的安全通过与云眼的联动保障在业务全生命周期的进行可视可控。
安全感知平台的产品价值话术
加深客户对安全感知平台价值的理解，加深安全感知 平台作为本地安全大脑的作用。针对被友商引导或被客户 询问价值优势的时候，如何简单介绍安全感知平台的核心 技术。
安全感知平台的产品价值及优势话术
举例说明： 我们的安全感知平台可以帮助咱们单位构建整体安全体系,形成本地的安全大脑
举例说明：
安全感知是帮助客户构建一套安全体系，它类似于小区智能的安防系统。传统小区靠出入口的 保安来保障安全，保安只能解决有明显嫌疑的人或车辆，但是对于假冒身份（社工攻击）、翻墙潜 入（0day攻击）、趁黑混入（变种病毒攻击）的非法人员是难以发现和告警。因此，除了有传统的 安保系统以外还需要构建一整套的智能安防体系：高清摄像头（探针）部署在关键节点对可疑的人 员进行自动的跟踪，并将信息发送给监控中心；智能监控中心（安全感知平台）是用于连接所有的 摄像头和保安对讲机，对所有的信息进行统一的汇总分析（如人脸识别，特征提取，行为分析等）， 即使出入口安防人员出现了疏漏，也能自动提醒和告警，将告警内容发送给保安。
信息安全-安全感知平台(SIP)主打PPT
传统安全体系的挑战之三：响应慢
安全产品众多
WAF UTM
安全审计
漏扫
数据库审计 上网行为管理
下一代防火墙
邮件网关
IDS 抗DDOS
VPN
身份认证 防火墙
IPS 防毒墙
人力运维难度大
根因：安全人才数量少，难培养，不能多精；
如何应对？
构建一个可感知、易运营的安全大脑
外部威胁情报
数据中心
广域网 局域网
在“检测出具体是哪一种僵尸网络”问题上达到了平均90.3%的F值。
全局可视能力：宏观辅助决策
脆弱性可视
全网安全态势可视
外部攻击态势可视
内部横向威胁可视
全局可视能力：微观精准运营
业务维度可视
攻击链可视
详细威胁举证 影响面分析
协同响应能力：三级响应机制
一键阻断 用户提醒
安全感知系统SIP
数
据
探针STA
脆弱性检测
大数据
检测算法
访问关系
业务识别
构建准确的检测模型
交付&可视
整体安全态势 业务安全风险 业务访问关系 横向威胁分析 Kill chain趋势 异常行为画像 安全失陷举证
为业务决策服务的可视化
处置&响应
NGAF联动封堵 EDR联动查杀 上网行为管理联动提醒 安全专家人工服务
协同联动+人工服务
海量数据采集能力
华东某三甲医院
项目背景&部署方式
该医院安全建设非常完善，且内外网隔离环境让客户认为安全 没有问题。只到2017年7月该医院被卫计委对对于其官方网站发生 的篡改事件进行了通报。
客户寻找到多家厂商进行测试，均未发现问题。于是客户找到 我们为其进行安全检测：潜伏威胁探针部署在医院内外网核心交 换机上，安全感知平台部署在内网核心交换机上。
医院信息系统二级等级保护方案
医院信息系统二级等级保护方案一、方案的概述医院信息系统二级等级保护方案如下：依据国家信息系统安全等级保护基本要求和公安部82号令的相关法规，结合对医院网络安全分析的结果，建议从医院办公内网、办公外网方面在网络接入安全、应用安全、主机安全、数据安全等维度进行安全体系的设计，从而实现医院网络安全的整体防护。
其中办公内网包括了医院内部外联区、核心业务区、安全运维区、互联网接入区（外联区主要包含了各级医保单位、农合、银联、分支接入）。
（1）生产内网外联域（医保网/合作交换平台区域）：该区域说明如下：与对端农合交换平台数据对接（使用IPSec VPN），需识别专网之间流量中的威胁，实现对流量中入侵行为的检测与阻断（使用第二代防火墙）。
（2）内网核心业务区：该安全域主要承载内网核心业务信息系统，需对这些业务信息系统提供2-7层安全威胁识别及阻断攻击行为的能力，如SQL注入、XSS（跨站脚本攻击）、CSRF（跨站请求伪造攻击）、cookie 篡改等（使用第二代防火墙）。
（3）安全运维区：使用堡垒主机，数据库审计，日志审计，安全态势感知平台等。
形成规范的运维授权管理流程，通过对运维操作内容的记录，提供指令级别的操作控制能力，通过技术手段有效规范运维人员的操作行为，降低内部安全风险，自动分析运维人员操作过程，评估访问风险、并提供完整的合规审计报告，降低IT内控审计工作量（使用堡垒主机产品）；主要存储业务信息系统产生的数据，需对这些数据库的访问权限进行划分，并对数据库的相关操作进行审计，防止医疗统方行为（使用数据库审计产品）；实时不间断地采集汇聚医院网络中不同厂商不同种类的安全设备、网络设备、主机、操作系统、用户业务系统的日志信息，协助用户进行安全分析及合规审计，及时、有效的发现异常安全事件及审计违规（使用日志审计产品）。
（4）互联网接入区：需在互联网出口边界进行隔离和访问控制，保护内部网络，从2-7层对攻击进行防护，实现对入侵事件的监控、阻断，保护整体网络各个安全域免受外网常见恶意攻击，利用网络防病毒，主动扫描web和电子邮件流量、阻止恶意软件到达并感染网络上主机等防护功能（使用第二代防火墙）；需对互联网出口流量进行识别并对流量进行管控，提高带宽利用率的同时保障用户上网体验，并按相关法律法规进行上网行为审计（使用上网行为管理）。
安全感知平台(SIP)
中
心
EDR插件 EDR插件 EDR插件
探针STA
端点查杀
一键阻断：自动阻断木马与黑客通信 端点查杀：端点执行扫描、查杀等动作 高级人工服务：安全应急响应，解析网络
威胁现状和威胁，并给出安全建设建议
专家服务
办 公 区
协同响应能力
一键阻断
用户提醒
端点查杀
西南某电子政务外网
需求现状
1. 部署了大量的安全防护设备，仍然发生 网页被篡改的安全事件；
国内多个互联网公司数据泄露
就在2017年上半年，国内多个互联网企业的用 户隐私信息遭到泄露，甚至是售卖，影响恶劣。
根因：以防御为核心的安全体系无法应对各类高级攻击（APT攻击、钓鱼邮件等） 缺乏对突破防御并进入网络内部的潜伏威胁的持续检测能力
传统安全体系的挑战之二：看不懂
客户平均每天生成安全告警日志多达上万条 各类安全日志分散在各种安全设备上 安全日志以安全事件角度展示
背景介绍
419讲话---习主席
“谁进来了不知道、是敌 是友不知道、干了什么不 知道”，长期“潜伏”在 里面，一旦有事就发作了
《“十三五”国家信 息化规划》
全天候全方位感知网络安 全态势。加强网络安全态 势感知、监测预警和应急 处置能力建设
2016.4
2016.12
网络安全法开始实施
使得网络安全有法可依， 各行业更加重视网络安 全建设
等保2.0标准
对网络行为、潜伏未知 威胁进行持续检测和分 析
2017.6
即将发布
传统安全体系的挑战之一：看不见
WannaCry
2017年5月，WannaCry勒索病毒全球大爆发，至 少150个国家、30万名用户中招，造成损失达80亿 美元，已经影响到金融，能源，医疗等众多行业，造 成严重的危机管理问题
系统潜伏威胁探针方案
可提供网络流量的会话级视图,根据网络流量的正常行为轮廓特征建立正常流量模型,判别流量是否出现异常,对原始流记录进行异常检测,可发现网络蠕虫、网络水平扫描、网络垂直扫描、IP地址扫描，端口扫描，ARP欺骗，IP协议异常报文检测和TCP协议异常报文等常见网络异常流量事件类型;
支持对节点检测节点内部主机外发的异常流量进行检测支持对信任区域主机外发的异常流量进行检测，如ICMP，UDP，SYN，DNS Flood等DDoS攻击行为；
系统潜伏威胁探针方案
技术指标
指标要求
性能要求
性能≥1Gbps；配置≥4个千兆电口，≥2个千兆光口；
基础检测功能
具备报文检测引擎,可实现IP碎片重组、TCP流重组、应用层协议识别与解析等,具备多种的入侵攻击模式或恶意URL监测模式,可完成模式匹配并生成事件,可提取URL记录和 域名记录,在特征事件触发时可以基于五元组和二元组(IP对)进行原始报文的录制。
支持对常见应用服务（HTTP、FTP、SSH、SMTP、IMAP）和数据库软件（MySQL、Oracle、MSSQL）的口令暴力破解检测功能；
可提供最新的威胁情报信息，能够对新爆发的流行高危漏洞进行预警和自动检测
高级检测
支持5种类型日志传输模式,包含标准模式、精简模式、高级模式、局域网模式、自定义模式，适应不同应用场景需求
支持对被Web网站是否被挂黑链或者病毒等恶意软件进行检测，并且能够对检测到的恶意软件行为进行深入的分析，展示和外部命令控制服务器的交互行为和其他可疑行为；
具备独立的僵尸主机识别特征库，恶意软件识别特征总数在35万条以上；
集中管控
支持安全感知平台对接入探针的统一升级，可展示当前所有接入探针的规则库日期、是否过期等，并支持禁用指定探针的升级；
网络安全探针
网络安全探针网络安全探针是一种用于检测和监视计算机网络中潜在的安全威胁的工具。
它可以通过嗅探网络流量、分析日志和检测异常行为等方式来保护网络和系统的安全。
本文将探讨网络安全探针的定义、作用以及其在拦截威胁和保护网络安全方面的重要性。
首先，网络安全探针可以被定义为一种监视和检测网络流量、日志和行为的设备或软件。
它通常被部署在网络中的关键节点上，如边界路由器、入侵防御系统和防火墙。
它可以通过捕获网络流量并对其进行深度分析，识别出潜在的威胁和攻击行为。
此外，它还可以监视网络设备的日志，发现异常活动，并提供实时警报和报告。
其次，网络安全探针在保护网络安全方面起着至关重要的作用。
首先，它可以帮助识别和追踪潜在的安全威胁。
通过监视网络流量，探针可以检测到恶意软件传播、网络钓鱼、黑客攻击等各种威胁。
它可以识别出异常的流量模式和行为，并对其进行分析和报告。
这使得网络管理员可以及时采取适当的措施来应对这些威胁，并保护网络和系统的安全。
其次，网络安全探针可以帮助阻止和拦截潜在的攻击。
一旦发现异常活动或潜在的威胁，探针可以及时发出警报，并采取相应的措施来阻止攻击者的行为。
例如，它可以配置防火墙规则、入侵防御系统和反病毒软件来阻止恶意流量和攻击代码的传播。
这样可以有效地减少潜在的风险，保护网络和系统的安全。
最后，网络安全探针还可以帮助监控和优化网络性能。
通过分析网络流量和日志，探针可以识别网络阻塞、带宽滥用和网络瓶颈等问题。
它可以帮助网络管理员更好地管理网络资源，提高网络性能和数据传输的效率。
此外，它还可以帮助发现网络设备的故障和问题，及时进行修复和维护，确保网络的稳定和可靠性。
总之，网络安全探针在保护网络安全方面发挥着重要的作用。
它可以帮助识别和追踪潜在的安全威胁，阻止和拦截潜在的攻击，并监控和优化网络性能。
在当今数字化时代，网络安全至关重要。
通过部署网络安全探针，可以有效地保护网络和系统的安全，确保网络的可靠性和稳定性。
潜伏威胁探针3.4_招标参数
生产厂商是Cncert第三方引擎支撑单位（提供相关证明材料）
厂商综合实力
厂商为中国网络安全领导者，为全球知名IT调研公司Forst&Sullivan发布《2014年中国网络安全市场分析报告》中的前三名厂商，且有不少于五个网络产品入围全球权威的IT研究与顾问咨询公司GARTNER的魔力象限（提供所有入围Gartner魔力象限产品的报告，以报告数量为准）
潜伏威胁探针参数
潜伏威胁探针（红字为控标项）
技术指标
指标要求
基础检测功能
具备报文检测引擎,可实现IP碎片重组、TCP流重组、应用层协议识别与解析等,具备多种的入侵攻击模式或恶意URL监测模式,可完成模式匹配并生成事件,可提取URL记录和 域名记录,在特征事件触发时可以基于五元组和二元组(IP对)进行原始报文的录制。
流量记录
能够对网络通信行为进行还原和记录，以供安全人员进行取证分析，还原内容包括：TCP会话记录、Web访问记录、SQL访问记录、DNS解析记录、文件传输行为、LDAP登录行为。
管理功能
能够支持时间同步
能够提供网络管理功能，可进行静态路由配置
多次登录失败将锁定账号5分钟内不得登录
可支持在线升级和离线升级，并依托安全感知平台进行统一管控
具备与cncert、virustotal等知名机构合作共享信誉特征库（恶意URL/域名/IP等）的机制（提供相关证明）
产品资质
目前还在申请当中
其他
中标后三个工作日内，提供样机进行上述功能要求的逐一测试验证，全部通过后才能执行合同流程，测试中发现虚假应标的行为将予以废标处理并保留对该厂商追究相关责任的权利。
厂商资质
电子信息工程中网络安全等级保护加固方案的设计
运营维护技术电子信息工程中网络安全等级保护加固方案的设计于鑫，王婷婷（青岛西海岸公用事业集团有限公司，山东我国信息技术发展态势良好，电子信息工程逐渐成为各行业、然而在电子信息工程充分发挥优势的同时，网络安全威胁也不断增加，如何有效强化电子信息工程中网络安全等级保护成为一项重点研究课题。
基于此，主要围绕电子信息工程中网络安全等级保护进行分析和探讨，并提出加固方电子信息工程；网络安全保护；加固方案Design of Reinforcement Scheme of Network Security Level Protection inElectronic Information EngineeringYU Xin, WANG Tingting(Qingdao West Coast Public Utilities Group Co., Ltd., Qingdaoinformation technology hasimportant technical support in应用。
在此方面工作中，应结合相关企业具体业务需求，确保最终构建的安全加固框架可以为企业运行安将安全可视化、动态感知和闭环联动之间的融合作为基础，构建完善的安全模型。
在此过程中，需注重实现用户、终端、网络接入与全业务链之间的统一化，为有效联动的实现奠定基础，为用户安全提供网络安全体系的构建除确保远程用户和数据资源两者的相互透明化外，还要考虑当前网络环境的复通常包括用户、终端、业务及网络等层面。
在实践设计工作中，不仅需要对这几个层面的安全性进行专门保护，还应为业务链条的策略，通过这种方式可以有效避免一些安全事件。
3.3.2联安全联动主要是在日志采集技术的支持下高效采集网络设备、安全设备的相关日志信息，同时对这些信息进行有效处理。
使用关联分析技术可以准确可靠地提取信息，从而为安全威胁分析工作的开展提供有效支持。
根据呈现的安全态势界面，采用相关安全威胁事件技术进行安全响应。
网络安全态势感知探针报价
网络安全态势感知探针报价
网络安全态势感知探针是一种用于监测和分析网络安全威胁的设备，具有重要的意义。
以下是网络安全态势感知探针的报价。
网络安全态势感知探针的报价根据不同厂商和配置有所不同，一般在数千到数万美元之间。
以下是一个报价示例：
1. 厂商A的网络安全态势感知探针配置如下：
- 网络流量分析功能
- 威胁情报集成功能
- 实时警报和通知功能
- 高级行为分析功能
- 全面的报告和分析功能
报价为：9000美元。
2. 厂商B的网络安全态势感知探针配置如下：
- 入侵检测和防御功能
- 网络流量监测和分析功能
- 威胁情报集成功能
- 实时警报和通知功能
- 高级行为分析功能
报价为：7000美元。
需要注意的是，以上报价仅供参考，实际报价还需根据具体的需求和配置来确定。
此外，还需要考虑到附加的服务和支持费
用，如软件升级、技术支持和培训等。
网络安全态势感知探针在网络安全防护中起着至关重要的作用，能够帮助企业及时发现和应对各种安全威胁，提升网络安全防护能力。
在选择网络安全态势感知探针时，除了价格，还应考虑其功能、性能、扩展性和可靠性等因素，以满足企业的实际需求。
深信服SIP态势安全感知安全感知平台威胁检测探针STA
深信服SIP态势安全感知安全感知平台威胁检测探针STA安全感知平台解决⽅案让IT更简单、更安全、更有价值安全现状安全形势越来越紧迫2017年全球爆发WannaCry勒索病毒，国内⼤量⾼校、医院，甚⾄是认为⽹络隔离做得很好的单位也被病毒感染。
感受影响的组织和造成损失⽆法估量。
2013年Target被⿊客从与供应商对接的外联区⼊侵，如⼊⽆⼈之境，在内部迅速横向渗透⾄POS管理区，最终造成1.1亿⽤户信息泄露，各项损失⾼达10亿美元。
CEO由于⼊侵事件引咎辞职。
2011年，⽼牌安全公司RSA被⿊客通过钓鱼邮件⼊侵，轻易进⼊内⽹，并利⽤0Day漏洞进⼊服务区，获取数据后通过加密隧道进⾏回传，最终盗取了⼤批双因素认证SecureID私钥，直接经济损失6600万美元。
传统完全防护体系的问题：三个不知道问题1问题2问题3安不安全不知道我们是不是被⿊了？不知道啊！安全设备没说啊！安全设备没有警告,就没有问题了？“敌暗我明”，不是看不到问题就没有问题！产品概述⼴州铭冠信息科技深信服安全感知平台⽅案深信服安全感知平台定位为客户的安全⼤脑，是⼀个检测、预警、响应处置的⼤数据安全分析平台。
其以全流量分析为核⼼，结合威胁情报、⾏为分析建模、UEBA、失陷主机检测、图关联分析、机器学习、⼤数据关联分析、可视化等技术，对全⽹流量实现全⽹业务可视化、威胁可视化、攻击与可疑流量可视化等，帮助客户在⾼级威胁⼊侵之后，损失发⽣之前及时发现威胁。
产品定位安全运营中⼼安全感知平台是深信服整个安全体系架构的核⼼组件，能够和NGAF、STA、AC、EDR、VSS、VPN等安全产品对接，是深信服在客户侧实现深度分析、威胁检测、防御联动和服务响应的安全运营中⼼核⼼能⼒⼀全局可视化深信服安全感知平台的全局可视化分为2种类型，⼀种是宏观领导视⾓，结合攻击趋势、有效攻击、业务资产脆弱性对全⽹安全态势进⾏整体评价，以业务系统的视⾓进⾏呈现，可有效的把握整体安全态势进⾏安全决策分析；⼀种是微观运维视⾓，通过失陷主机检测和访问关系可视等技术帮助运维⼈员快速发现安全风险，并提供处理建议，简化运维核⼼能⼒⼆内部威胁检测当前防御体系侧重于互联⽹出⼝和边界防护，⼀旦边界防御被绕过，攻击者将⼀马平川。
SANGFOR_SIP_2018初级能力成长-SIP目标场景及客户画像3
3、有 IDS 、APT检测等需求的客户（广义入侵检测，未知威胁检测需求）
4、行业属性：大企业、政府（自用型网络）、医院、教育、小金融等
部署位置建议
互联网
部署说明
1. 办公区探针：通过流量镜像的方式，负责
监测用户与互联网通信流量、用户与业务服务 器区通信流量，用户之间的流量；（失陷用户） 2.服务器区探针：旁挂在内网服务器区域的交
——安全感知平台产品销售能力建设课程-初级
Contents
1.本地安全大脑应用场景
2.潜伏威胁检测应用场景
3.全网威胁检测应用场景
场景1：本地“安全大脑”场景
打造深信服的本地“安全大脑”
1.安全是割裂的，信息也是割裂，对问题的处置和响应也是割裂的。因此，需
需求 驱动
要安全大脑。
2.安全大脑首先是将所有分区的网络信息进行全局汇总，其次是对所有信息进 行分析并给出决策建议。
4.主管单位对所管理单位的监测、预警、通报平台
目标客户画像
1、网络架构：总部多分支场景 2、总部对分支或所辖单位有安全建设有监督、管理职责 3、对安全建设的成果有展示需求（政绩工程）
4、行业属性：大企业、 主管单位、小金融、连锁企业、政府（省、市、区县两
级、三级纵向组网场景）如：卫计委、教育局、省工商局等
3.通过本地安全运营中心，激活老产品，创造新价值。
4.通过平台与设备间联动，告诉用户安全感知平台作为本地“安全大脑”的作 用。可指挥其他设备进行联动防御。（通过大脑控制“手”“脚”“眼”）
目标客户画像
1、原有深信服AC,AF,EDR,VSS等产品的客户 2、需要做整体安全体系化建设（可分阶段建设） 3、已经初步完成防御建设的客户
为什么需要潜伏威胁检测
网络安全态势感知与威胁情报共享平台
网络安全态势感知与威胁情报共享平台随着互联网的蓬勃发展，网络安全问题日益突出。
各类网络威胁层出不穷，给个人隐私和企业信息安全带来严重风险。
为了保护用户的网络安全，提高社会各界对网络威胁的感知能力，网络安全态势感知与威胁情报共享平台应运而生。
一、网络安全态势感知平台网络安全态势感知平台是指通过监测、分析和预警网络安全事件，为用户提供全面的网络安全态势感知服务。
这个平台集成了各种网络安全设备和技术，通过实时监控网络流量、入侵检测、恶意代码检测等手段，及时发现并分析网络安全事件，为用户提供及时、准确的安全警报。
网络安全态势感知平台的基本架构包括三个层次：数据采集层、数据处理和分析层、数据展示和报告层。
在数据采集层，该平台通过网络设备采集各类网络流量数据、入侵监测系统日志和其他系统日志，形成全面而丰富的网络安全数据库。
在数据处理和分析层，通过数据挖掘、风险评估和统计分析等技术，对采集到的数据进行处理和分析，获得网络安全事件的风险等级和趋势。
最后，在数据展示和报告层，将处理和分析的结果以图形化界面和可视化报表的形式展示给用户，帮助用户全面了解网络安全情况。
二、威胁情报共享平台威胁情报共享平台是指通过收集、分析和共享网络攻击情报，提高各个组织或个人对网络威胁的感知能力，从而保护网络安全和减少损失。
这个平台通过全面搜集各类网络攻击的特征、行为和趋势等，形成丰富的威胁情报数据库。
通过对这些威胁情报进行分析和处理，识别出攻击者的行为模式和手段，并及时将这些情报共享给其他用户，提醒大家采取相应的防护措施。
威胁情报共享平台的基本架构包括两个层次：情报采集和分析层、情报共享和交流层。
在情报采集和分析层，该平台通过多种渠道搜集网络威胁情报，并进行深度分析和处理，形成高质量的情报数据。
在情报共享和交流层，将分析和处理后的情报共享给其他用户，促进用户之间的信息交流和合作，建立起一个防御网络攻击的联合战线。
三、联合平台的好处网络安全态势感知与威胁情报共享平台的联合使用，可以实现网络安全防护的全面覆盖和协同作战。
教育安全工具中的内部威胁检测和防御技巧
教育安全工具中的内部威胁检测和防御技巧随着教育领域的数字化进程不断推进，教育安全问题也变得日益重要。
学校和教育机构面临着来自内部的威胁，这些威胁可能会导致学生和教职员工的隐私泄露、数据丢失以及网络安全风险。
为了保护教育系统的安全，内部威胁的检测和防御至关重要。
本文将探讨教育安全工具中的内部威胁检测和防御技巧。
一、内部威胁的定义和类型内部威胁是指来自学生、教职员工等内部人员的安全威胁。
这些威胁可能包括恶意软件、网络攻击、数据泄露等。
根据威胁的性质和来源，内部威胁可以分为以下几类：1. 学生的安全威胁：学生可能会通过非法途径获取教师账号，从而访问和修改教务系统中的数据。
他们也可能利用学校网络进行网络攻击，如分布式拒绝服务攻击（DDoS）等。
2. 教职员工的安全威胁：教职员工可能会滥用其权限，未经授权地访问和使用教育系统中的敏感数据。
他们也可能成为恶意软件的传播者，从而导致整个教育系统的安全风险。
3. 第三方供应商的安全威胁：教育系统通常会与第三方供应商合作，例如云服务提供商、教育应用程序开发商等。
这些供应商可能存在安全漏洞，从而成为攻击者入侵教育系统的入口。
二、内部威胁检测技巧为了及时发现和应对内部威胁，教育安全工具需要具备一定的内部威胁检测技巧。
以下是几种常见的内部威胁检测技巧：1. 行为分析：通过对用户行为进行分析，检测异常活动。
例如，如果一个学生在短时间内多次尝试登录教师账号，系统可以发出警报并采取相应的防御措施。
2. 数据监控：监控教育系统中的数据流动，及时发现数据泄露和未经授权的数据访问。
例如，如果一个教职员工在未经授权的情况下下载了大量学生信息，系统可以立即发现并采取措施。
3. 异常检测：通过对网络流量和系统日志进行分析，检测异常活动。
例如，如果一个用户的网络流量异常高，系统可以判断其可能存在恶意行为。
三、内部威胁防御技巧除了检测内部威胁，教育安全工具还需要采取相应的防御技巧来应对这些威胁。
【内部培训】安全感知平台+潜伏威胁探针
演示平台
最新平台： 200.200.5.220 admin/admin 最新探针 200.200.5.221 admin/sinfor123
2020/3/22
市场思路 – 搭配销售的其他
服务 ➢ 发现的问题可以搭配安全即服务作为“响应”
设备 ➢ 2017Q3版本，搭配AF联动 ➢ 2017Q3版本，搭配EPS联动
a. 边界防御呗突破只是时间的问题，有没有对内网做持续检 测和响应？ b. 2020/3/22 除了边界以外，对内网、全网的安全状况是否一无所知？
市场思路 – 适用场景
适用场景---对应彩页1-4页：
1、借由深信服的“安全应该可视，安全应该简单”向客户介绍可视 化展示平台。强调可视是安全的基础，不可实/缺乏保护的内网设备/ 应用是安全洼地，黑客的最爱。
安全感知平台
姚志平
2020/3/22
两个故事
客户：某省经信委 需求：持续监控电子政务内网全网安全情况 解决方案：在全网网络汇聚，核心交换，旁路潜伏威胁探针，内 网部署安全感知平台 预算：300W
客户：某省公安厅 需求：在边界部署了我们的防火墙，但是感觉内网缺乏检测手段； 之前内网出过安全事件，黑客通过BYOD作为跳板绕过边界防御 攻陷内网主机 解决方案：在核心业务，核心系统的汇聚交换机部署旁路潜伏威 胁探针，内网部署安全感知平台 预算：100W
关键词：业务资产可视，业务访问关系可视，安全感知
2、借由深信服/Gartner“防御，检测，响应”的理念， 向用户灌输防护被突破只是时间问题，不是是/否的问题。 需要持续检测和快速响应对抗快速迭代的攻防节奏。
关键词：持续检测
3、借由介绍黑客/攻击者的攻击路径与攻击向量，向用户灌输突破边 界以后，需要内网的安全设备起到安全纵深的作用。发现过去边界防 护忽略的内网攻击行为。
威胁探针验收方案
威胁探针验收方案一、验收目标。
咱得确保这个威胁探针就像个超级侦探一样，能把那些隐藏在网络里的坏家伙（威胁）都给揪出来，而且还得准确无误，别搞出些乌龙事件。
二、验收前准备。
1. 组建验收团队。
找几个懂网络安全的技术大神，就像召集一群网络世界的超级英雄。
再加上一些普通用户代表，毕竟他们才是最终要被保护的人。
2. 测试环境搭建。
整一个模拟真实网络环境的小天地。
要有各种设备，像服务器、电脑啥的，就像搭个微缩版的网络城市。
把一些常见的业务系统也装进去，比如办公软件系统、邮件系统，这样威胁探针才有东西可以探测嘛。
三、验收内容和标准。
1. 威胁检测能力。
恶意软件检测。
往测试环境里丢几个常见的恶意软件，像病毒、木马这些坏东西。
威胁探针要是没发现它们，那就像警察看不见小偷在眼皮子底下偷东西一样，肯定不行。
如果它能准确检测到，还能说出这是啥类型的恶意软件，那就像个专业的鉴宝师，一眼看穿假货，这就很靠谱。
网络攻击检测。
让我们的技术大神从外部发起一些常见的网络攻击，比如DDoS攻击（就像一群小混混堵住网络的大门）、SQL注入攻击（偷偷在数据库的门口撬锁）。
威胁探针必须能够快速识别这些攻击，并且能准确地告诉我们攻击的来源和类型。
如果它能做到，那就像个有超能力的保镖，一眼就看出谁是来捣乱的。
异常行为检测。
让测试环境里的一些用户模拟一些奇怪的行为，比如突然大量下载公司机密文件（正常情况下他可没这个权限）或者在半夜登录一些平时很少用的系统。
威胁探针得像个细心的管家，能察觉到这种异常，并且及时发出警报，说“这家伙有点不对劲啊！”2. 准确性和误报率。
我们得统计威胁探针的检测准确性。
在进行了一系列的恶意软件、网络攻击和异常行为测试后，看看它检测正确的次数除以总测试次数，这个比例越高越好。
要是准确性低于80%，那就跟个近视眼的保安一样，不太能让人放心。
误报率也很重要。
不能动不动就大惊小怪，把正常的操作当成威胁。
比如说，有人正常登录办公系统，它却报警说这是入侵，那可不行。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
方案介绍– 对应的解决方案与产品
方案介绍---对应彩页4-8页：
1. 潜伏威胁探针 （Stealth Threat Analytics） STA 旁路在核心交换机以及核心业务区的接入交换区，抓取镜像流量
关键词:旁路，流量抓取
2. 安全感知平台 （Security Intelligent Platform）SIP 部署在内网，集中管理STA，收集STA抓取的日志，并且分析异常行 为，展示访问关系，可疑访问，攻击行为
关键词：业务资产可视，业务访问关系可视，安全感知
2、借由深信服/Gartner“防御，检测，响应”的理念， 向用户灌输防护被突破只是时间问题，不是是/否的问题。 需要持续检测和快速响应对抗快速迭代的攻防节奏。
关键词：持续检测
3、借由介绍黑客/攻击者的攻击路径与攻击向量，向用户灌输突破边 界以后，需要内网的安全设备起到安全纵深的作用。发现过去边界防 护忽略的内网攻击行为。
关键词: 集中管控，展示
2020/3/22
市场思路 – 销售模式
销售模式 ➢ 按探针需要支持的流量选型 ➢ 可视化平台为软件，目前搭配探针赠送，可配合超 融合一起安装销售
销售工具 http://200.200.1.200/cms/plus/list.php?tid=2353
➢ 报价 ➢ 彩页 ➢ PPT
2020/3/22
市场思路 – 整体解决方案
防御 ➢ AF ➢ WAF ➢ 云WAF
检测 ➢ 探针 ➢ 云检测/AF检测
响应 ➢ 安全服务 ➢ 微信告警
2020/3/22
• 引导预算 • 暂时不卖
2020/3/22
2020/3/22
市场思路 – 市场机会
市场机会：
1、安全设备已经多的想吐了，推可视化
关键词：可视，感知
2、防护设备塞不进去，塞检测设备
关键词：检测
3、边界设备塞不进去，塞内网设备
关键ቤተ መጻሕፍቲ ባይዱ：内网，全网
2020/3/22
问题引导
问题引导： 1. 可视，感知
a. 是否清楚内网有多少关键资产和业务设备？ b. 是否清楚内网关键业务的访问关系和流量关系？ c. 是否有安全事件，在处理安全事件的时候是不是根本不知道 黑客是从哪里攻进来的？ 2. 检测 a. 防御设备做了那么多，有没有持续检测的需要？ b. 内网关键业务不适合串接防御设备，有没有用检测设备去持 续发现攻击行为 3. 内网，全网
a. 边界防御呗突破只是时间的问题，有没有对内网做持续检 测和响应？ b. 2020/3/22 除了边界以外，对内网、全网的安全状况是否一无所知？
市场思路 – 适用场景
适用场景---对应彩页1-4页：
1、借由深信服的“安全应该可视，安全应该简单”向客户介绍可视 化展示平台。强调可视是安全的基础，不可实/缺乏保护的内网设备/ 应用是安全洼地，黑客的最爱。
安全感知平台
姚志平
2020/3/22
两个故事
客户：某省经信委 需求：持续监控电子政务内网全网安全情况 解决方案：在全网网络汇聚，核心交换，旁路潜伏威胁探针，内 网部署安全感知平台 预算：300W
客户：某省公安厅 需求：在边界部署了我们的防火墙，但是感觉内网缺乏检测手段； 之前内网出过安全事件，黑客通过BYOD作为跳板绕过边界防御 攻陷内网主机 解决方案：在核心业务，核心系统的汇聚交换机部署旁路潜伏威 胁探针，内网部署安全感知平台 预算：100W
2020/3/22
演示平台
最新平台： 200.200.5.220 admin/admin 最新探针 200.200.5.221 admin/sinfor123
2020/3/22
市场思路 – 搭配销售的其他
服务 ➢ 发现的问题可以搭配安全即服务作为“响应”
设备 ➢ 2017Q3版本，搭配AF联动 ➢ 2017Q3版本，搭配EPS联动