九游老哥云
适用、高效——九游老哥科技助力恒泰证券清静运营平台建设
2021-05-14
随着企业信息化的一直生长，企业数据资产日趋增多、系统的关联性和重漂后一直增强，信息清静防护事人情临亘古未有的难题和挑战 。
为了更好监控和包管信息系统清静稳固运行，实时识别和提防清静危害，同时知足国家和行业羁系要求，包管信息清静治理事情的依法合规，恒泰证券通过安排九游老哥智能清静运营平台，建设了一个全数据、集中治理的清静运营治理平台，做到事前预警、事中监控、事后剖析，周全提升公司信息清静治理与防护水平 。
一、九游老哥智能清静运营平台
九游老哥智能清静运营平台以大数据框架为基础，团结威胁情报系统，通过对攻防场景的机械学习、威胁建模、场景关联剖析、异常行为剖析以及清静编排自动化、可视化泛起等手艺，助力建设和完善清静态势周全监控、清静威胁实时预警、资产及误差全生命周期治理、清静事故紧迫响应的能力，并为清静运营提供可靠的信息数据支持，协助运维职员快速发明和剖析清静问题，且能通过运维手段实现清静闭环治理 。
二、企业面临的痛点
恒泰证券希望通过建设一套由资产治理、威胁情报以及日志、流量剖析系统为支持的态势感知平台，将各单点防护装备(WAF、IPS、流量探针UTS)举行整合，实现公司信息系统整体的清静态势感知，实时发明并阻止正在举行或将要泛起的来自内外部的信息清静问题，并在事务挖掘、视察时提供剖析途径 。
通过安排九游老哥智能清静运营平台建设，使用大数据收罗、剖析手艺，网络种种清静装备（IPS、WAF、UTS等）的数据，并将种种清静数据举行关联剖析，再使用可视化手艺，将种种攻击行为举行可视化展示，实现对系统清静的整体展示、态势感知、攻击事务溯源及对潜在威胁的预警功效 。
三、立体清静威胁防御系统
3.1 治理层面
恒泰证券公司向导高度重视信息清静，建设健全信息清静防御系统 。设立IT战略生长和治理委员会，肩负公司信息清静事情向导小组事情 。另设立信息清静联络联念头制，由公司系统运行总部信息清静部牵头，在各部分、各子公司设立信息清静联络专员，用于实时转达信息清静预警和事务 。
3.2 手艺层面
现在划分在呼和浩特机房和深圳机房安排UTS流量探针，网络全网流量信息，并上传至清静运营平台，对攻击举行剖析、溯源、展示、研判、处置惩罚 。
基于区域/资产的数据降噪步伐
主要步伐
• 结适用户营业举行事务规则调优，将误报量降低 。
• 区域举行展示，快速将危害定位至内网有问题的区域 。
• 重新界说事务标准，对高危事务举行外发；专注于高保真清静事务 。
• 团结资产主要性及用途对要害事务举行二次筛选，发明真实攻击的事务 。
• 荟萃内网区域界线的装备举行再筛选，可以发明突破界线的攻击 。
通过上述步伐，逐日真正的高危告警数目可以收敛到5-6条，极大提高了运维效率 。
营业系统及规则降噪调优
A、通过运维事情台发明攻击事务；
B、通过攻击详情睁开审查流量上下文信息；
C、联系相关营业部分举行确熟悉别 。
按区域举行重点监控展示
A、将区域与装备举行绑定，以便天生每个区域的告警 。
B、基于现网区域拓扑举行大屏展示，对网内所有区域清静情形举行展示 。通过比对，可以快速相识某区域保存清静问题 。
大屏展示
事务级别界说与重点告警展示
A、自界说中高危及需要关注的事务级别
内部映射，将特殊重大/重大映射为高；较大/一样平常映射为中；轻度与未知映射为低；同时在高中、低基础上，筛选出差别级别中用户需要关注的 。
B、重点展收告警
对中高危事务重点展示并举行邮件告警 。
中高危展示
基于资产特征与告警举行整合筛选
A、界说主要资产种别
主要资产界说：如可以SSH登录，或者可获取高权限的资产 。
B、基于资产视角的威胁定位
• 资产治理、威胁情报、事务剖析团结提高了我们的剖析处置惩罚、响应处置惩罚速率 。
• 终端、服务器、应用的标识可快速定位到受害主机认真人、团队及其联系方法 。
• 因此可快速定位是从哪个区域提倡的攻击及攻击影响规模（因接入所有清静装备事务可集中搜索） 。
基于内网区域界线装备举行筛选出实锤事务
基于内网清静装备IP，重点监控及快速审查突破内网进来的攻击，凭证其监测装备告警特征对外网清静装备举行规则防护完善与自界说添加新规则，这些告警都是需要深入关注的 。
四、实战案例
一样平常清静运营中，攻击溯源作为清静事故中事后响应的主要组成部分，通过对受害资产、内网流量、日志等举行剖析一定水平上还原攻击者的攻击路径与攻击手法，有助于修复误差与危害阻止二次事务的爆发 。攻击知识可转换成防御优势，能够做到起劲自动且有预见性，更好地控制效果 。
五、效果展示
智能清静运营平台的建设为恒泰证券信息清静取得了如下效果：
1、建设纵深化清静防御系统
通过智能清静运营整体解决计划的建设，实现对网络清静的剖析研判、跟踪和剖析，周全掌握网络清静态势、威胁、危害和隐患；实现实时监测误差、网络攻击情形；实时转达预警重大网络清静威胁；实时剖析研判、准确清静监测、实时应急处置惩罚 。经由多重纵深清静防护系统建设，能够实现清静区域界线、清静网络通讯和清静盘算情形三重防护，并建设清静治理中心，通过手艺手段实现集中治理，系统治理、审计治理、清静治理 。融合事前监测预警、事中实时防御、事后检测响应的全历程清静防护能力 。知足《中华人民共和国网络清静法》以及证券行业相关主管部分关于信息系统清静防护建设要求的有关划定 。
2、清静态势可视化展示
分区域直观展示目今面临的种种网络攻击，实现重点清静监控指标的展现，在泛起高威胁攻击时可通过实时攻击地图举行展示，同时团结历史数据剖析，展示数据中心清静态势及生长趋势，为运维处置惩罚职员作出预警及处置惩罚研判的决议依据 。
3、攻击路径可视化提供决议支持
使用攻击链模子和机械学习算法，团结威胁情报，实时转达预警重大网络清静威胁；提前感知攻击者的下一步攻击妄想，提供决议数据，指导举行清静防御系统的迅速调解、一连运营，使清静防御系统变得更有智慧 。
4、清静防护/运维效果量化剖析
使用平台资产治理能力，界说资产的清静价值 。团结资产清静价值、资产威胁情形从资产视角实时发明重点攻击 。
5、建设7*24小时全天候多方法清静监控诉警系统
通过平台告警推送接口与恒泰证券信息手艺中心集中告警平台的对接，提高清静告警的时效性，实现7*24小时的清静监控诉警 。告警信息通过企业微信、短信、邮件以及声音等多种方法向清静治理相关职员推送 。其次，通过一直的对系统过滤规则调优提高每条告警的有用性，降低误报，为清静事务处置惩罚职员提供更具价值信息，有用提高事务处置惩罚效率 。
六、妄想展望
随着玄色工业链的萌生和壮大，日益频仍的APT等网络攻击，正在导致政企行业神秘情报被窃取、工业系统被破损、金融系统遭受经济损失，2014年曝光的专门针对我国海事部分的“海莲花”APT攻击事务、2015年乌克兰“电力门事务”、2016年沙特阿拉伯Shamoon2.0的攻击，2017年全球规模爆发的永恒之蓝误差攻击等，众多有针对性的清静事务，将未知威胁防御话题提到了空前的高度 。恒泰证券将在全流量三期中通过九游老哥智能清静运营平台与终端检测与响应系统对接，以端点检测与响应手艺为焦点，通过可信特征治理、综合行为检测、基线横向剖析和清静沙箱等方法对用户的行为举行剖析，有用发明已知和未知的威胁，提升防护精准度，降低企业终端清静危害 。
