面臨的挑戰(zhàn)
隨著IT技術(shù)的飛速發(fā)展以及互聯(lián)網(wǎng)的廣泛普及，金融企業(yè)都建立了網(wǎng)絡(luò)信息系統(tǒng)。雖然防火墻、入侵檢測系統(tǒng)等常規(guī)的網(wǎng)絡(luò)安全產(chǎn)品可以解決信息系統(tǒng)一部分安全問題，但計(jì)算機(jī)終端的信息安全一直是整個(gè)網(wǎng)絡(luò)信息系統(tǒng)安全的一個(gè)薄弱環(huán)節(jié)。據(jù)權(quán)威機(jī)構(gòu)調(diào)查，超過85%的安全威脅來自企事業(yè)單位內(nèi)部。在國內(nèi)，高達(dá)80%的計(jì)算機(jī)終端應(yīng)用單位未部署有效的終端安全管理系統(tǒng)和完善的管理制度，造成內(nèi)部網(wǎng)絡(luò)木馬、病毒、惡意軟件肆虐，各種0day漏洞、APT攻擊層出不窮。同時(shí)系統(tǒng)與應(yīng)用軟件的安全漏洞使得黑客入侵有機(jī)可乘；自主知識產(chǎn)權(quán)操作系統(tǒng)的缺乏，使得國內(nèi)廣大XP用戶在停服后面臨前所未有的挑戰(zhàn)。
在金融業(yè)的信息安全防御思路中，事前發(fā)現(xiàn)、事中攔截、事后響應(yīng)是最常見的方式。但是從Web安全走過了這么多年的結(jié)果中看到，在攻與防的博弈中，越來越多的案例證實(shí)攻方始終占據(jù)領(lǐng)先優(yōu)勢。而在傳統(tǒng)的攔截手段逐步失去效果的情況下，如何快速的對威脅進(jìn)行預(yù)測、檢測、發(fā)現(xiàn)將成為安全的重點(diǎn)發(fā)展趨勢。 在Web安全中，由于網(wǎng)站是開放給所有用戶的，它在開放業(yè)務(wù)給用戶的時(shí)候，也把自己暴露給了黑客，對網(wǎng)站的入侵相比其他的安全領(lǐng)域門檻更低，而Web網(wǎng)站的安全性恰恰影響到該金融公司的公共形象。比如：銀行業(yè)的門戶網(wǎng)站被入侵后，會導(dǎo)致大量的用戶無法進(jìn)行網(wǎng)上銀行的交易。金融業(yè)的門戶網(wǎng)站被入侵后，黑客進(jìn)一步篡改網(wǎng)頁信息，會導(dǎo)致大量的虛假消息誤導(dǎo)用戶。更有甚者，黑客可以通過網(wǎng)站掛馬的技術(shù)，進(jìn)一步的得到用戶的賬戶信息。導(dǎo)致大量資產(chǎn)外流等惡性后果的產(chǎn)生。
網(wǎng)絡(luò)安全事件的發(fā)展顯示駭客正在使用越來越精密且有效率的方式來進(jìn)行攻擊。在金融行業(yè)，很多APT攻擊都是通過魚叉式釣魚郵件或者水坑式攻擊的方式，利用高級惡意軟件去攻擊終端主機(jī)，以進(jìn)入組織的內(nèi)部網(wǎng)絡(luò)，進(jìn)行偷竊或破壞。由于這種高級惡意軟件的具備的特點(diǎn)（如：多種逃避檢測技術(shù)、針對特定目標(biāo)、零日攻擊等）傳統(tǒng)安全產(chǎn)品很難及時(shí)發(fā)現(xiàn)。組織不能有效的抵御這些高級惡意軟件，意味有可能存在以下的風(fēng)險(xiǎn)：
競爭力受損：攻擊者有可能盜竊商業(yè)機(jī)密、客戶記錄等業(yè)務(wù)資料，也有可能竊取知識產(chǎn)權(quán)信息，這些數(shù)據(jù)的曝光或者被競爭對手掌握，都可能嚴(yán)重?fù)p害競爭力。
聲譽(yù)受損：客戶和合作伙伴的信任是市場成功的關(guān)鍵，被曝光的安全事件、泄露客戶個(gè)人資料以及成為攻擊跳板都可能迅速的破壞這種信任關(guān)系。
業(yè)務(wù)中斷：部分攻擊的目的是為了中斷組織的相關(guān)業(yè)務(wù)，使其無法正常運(yùn)轉(zhuǎn)。而安全事件爆發(fā)后的處理也會嚴(yán)重影響正常的運(yùn)營。。
解決方案
奇安信天擎新一代終端安全管理系統(tǒng)是奇安信面向政府、企業(yè)、金融、軍隊(duì)、醫(yī)療、教育、制造業(yè)等大型企事業(yè)單位推出的集防病毒與終端安全管控于一體的解決方案。奇安信天擎新一代終端安全管理系統(tǒng)，以大數(shù)據(jù)技術(shù)為支撐、以可靠服務(wù)為保障，它能夠?yàn)橛脩艟_檢測已知病毒木馬、未知惡意代碼，有效防御APT攻擊，并提供終端資產(chǎn)管理、漏洞補(bǔ)丁管理、安全運(yùn)維管控、網(wǎng)絡(luò)安全準(zhǔn)入、移動(dòng)存儲管理、終端安全審計(jì)、XP盾甲防護(hù)諸多功能。主要功能模塊如下：
- 威脅發(fā)現(xiàn)
- 天擎終端可以收集終端上的各種安全狀態(tài)信息，包括：漏洞修復(fù)情況、病毒木馬情況、危險(xiǎn)項(xiàng)情況、安全配置以及終端各種軟硬件信息等。這些安全狀態(tài)信息會匯集到服務(wù)器端的控制中心，使管理員全面了解網(wǎng)內(nèi)所有終端的安全情況、硬件狀態(tài)以及軟件安裝情況等。
- 立體防護(hù)
- 天擎終端具有漏洞修復(fù)、病毒木馬查殺、黑白名單、硬件準(zhǔn)入、軟件準(zhǔn)入、安全審計(jì)等多樣化的防護(hù)手段，從準(zhǔn)入、防黑加固、病毒查殺、軟件和終端行為控制等多個(gè)層次，為用戶構(gòu)建立體防護(hù)網(wǎng)，確保企業(yè)終端安全。
- 安全管控
- 天擎控制中心為管理員提供了統(tǒng)一修復(fù)漏洞、統(tǒng)一殺毒、統(tǒng)一升級、流量管理、軟件統(tǒng)一分發(fā)卸載、終端安全策略管理等多種管理功能，管理員可以通過控制臺直接對網(wǎng)內(nèi)所有終端進(jìn)行統(tǒng)一管控。
- 終端檢測和響應(yīng)（EDR）
- 通過天擎的EDR模塊細(xì)粒度的采集及分析終端的進(jìn)程socket事件、進(jìn)程dns事件、帶附件郵件發(fā)送接收事件、出入文件事件和接收上傳附件事件、終端軟硬件資產(chǎn)、行為信息等相關(guān)數(shù)據(jù)并接收個(gè)威脅情報(bào)平臺發(fā)送的告警信息等線索來快速定位問題根源，對威脅事件進(jìn)行深度挖掘和關(guān)聯(lián)，將入侵的鏈路完整呈現(xiàn)，這樣才能進(jìn)行有效的處置并提供安全基線、防止同類攻擊再次發(fā)生。（流程如下圖所示）：
- 奇安信天擎為內(nèi)網(wǎng)用戶提供一體化智能漏洞修復(fù)方案，幫助內(nèi)網(wǎng)終端用戶快速發(fā)現(xiàn)各類補(bǔ)丁，提供補(bǔ)丁修復(fù)功能，且還有奇安信首創(chuàng)的補(bǔ)丁安裝藍(lán)屏修復(fù)機(jī)制，防止補(bǔ)丁修復(fù)異常帶來的系統(tǒng)無法正常使用，確保終端都能及時(shí)、準(zhǔn)確的打上補(bǔ)丁，以有效降低漏洞帶來的其他安全風(fēng)險(xiǎn)。天擎還能為客戶提供獨(dú)有的大數(shù)據(jù)引擎（Big Data Engine：BDE）系統(tǒng)，將全網(wǎng)終端日常運(yùn)維數(shù)據(jù)匯聚存儲分析，并能顯示客戶內(nèi)部的病毒木馬爆發(fā)趨勢及病毒種類排名做可視化的展示，也可根據(jù)客戶的行業(yè)特點(diǎn)和客戶運(yùn)維管理所需的要求定制報(bào)表，為管理員提供更佳有效的終端安全運(yùn)維依據(jù)，提高終端安全管理水平。
奇安信網(wǎng)站群監(jiān)測系統(tǒng)依靠奇安信強(qiáng)大的云端資源，為用戶提供網(wǎng)站可用性監(jiān)控、網(wǎng)站掛馬、釣魚網(wǎng)站、網(wǎng)頁篡改、暗鏈發(fā)現(xiàn)、漏洞掃描、漏洞輿情等安全服務(wù)。系統(tǒng)為用戶提供統(tǒng)一云平臺管理賬號，用戶處無需部署任何軟硬件產(chǎn)品，可以隨時(shí)隨地，利用任何可聯(lián)網(wǎng)終端通過瀏覽器對監(jiān)控對象進(jìn)行7x24小時(shí)的監(jiān)控、查看與管理。
奇安信網(wǎng)站群監(jiān)控系統(tǒng)由基礎(chǔ)數(shù)據(jù)支撐系統(tǒng)，數(shù)據(jù)處理引擎，本地?cái)?shù)據(jù)處理模塊、系統(tǒng)管理與展示模塊4部分組成：
奇安信網(wǎng)站群監(jiān)測使用webscan掃描引擎，該引擎以多年網(wǎng)站防護(hù)經(jīng)驗(yàn)為基礎(chǔ)研發(fā)的一款掃描產(chǎn)品，周期性的提供安全漏洞就檢測服務(wù)，自動(dòng)更新補(bǔ)天及運(yùn)營團(tuán)隊(duì)每日編寫的檢測規(guī)則。全面、快捷識別網(wǎng)站存在的最新漏洞。通過分析模型及海量樣本庫加權(quán)判斷網(wǎng)站是否被仿冒，網(wǎng)頁是否被掛馬，檢測網(wǎng)頁被篡改位置及內(nèi)容，及時(shí)告警使其得到快速處理。同時(shí)可以搜取更具有價(jià)值的相似頁面，通過內(nèi)容比對，上下文分析等技術(shù)為網(wǎng)站釣魚提供判斷依據(jù)。
奇安信網(wǎng)站群檢測使用全國80個(gè)探測點(diǎn)定時(shí)對網(wǎng)站的可訪問性、DNS解析失敗率、連接失敗率等基本訪問情況進(jìn)行探測。目前云服務(wù)監(jiān)控?fù)碛腥珖?1個(gè)省市的80余個(gè)監(jiān)測點(diǎn)，同時(shí)監(jiān)測頻率最小能到1分鐘。能7x24小時(shí)實(shí)時(shí)監(jiān)測用戶的網(wǎng)站的可用性，并結(jié)合奇安信的大數(shù)據(jù)分析平臺，對網(wǎng)站的性能指標(biāo)進(jìn)行詳細(xì)分析，為網(wǎng)站的運(yùn)維和優(yōu)化提供數(shù)據(jù)支撐。
奇安信網(wǎng)站群檢測DDOS分析系統(tǒng)，聚焦于全球DDOS攻擊現(xiàn)狀及趨勢的分析功能。結(jié)合海量網(wǎng)絡(luò)數(shù)據(jù)進(jìn)行分析建模，有效發(fā)現(xiàn)異常訪問流量。系統(tǒng)檢測到被監(jiān)管資產(chǎn)出現(xiàn)故障后，能有效分析網(wǎng)站是否遭受DDOS攻擊，攻擊類型，開始時(shí)間等重要信息供參考解決客戶問題。
部署奇安信天眼未知威脅檢測及回溯方案中的檢測方案可以幫助金融客戶及時(shí)有效的發(fā)現(xiàn)未知威脅，提升管理人員對未知威脅的發(fā)現(xiàn)速度和效率，最大限度的降低金融客戶受攻擊后的損失，回溯方案可以記錄內(nèi)網(wǎng)的任何一次網(wǎng)絡(luò)行為為回溯提供強(qiáng)大的支撐。
- 威脅情報(bào)
- 奇安信天眼實(shí)驗(yàn)室在云端共搜集了200PB與安全相關(guān)的數(shù)據(jù)，涵蓋了DNS解析記錄、WHOIS信息、樣本信息、文件行為日志等內(nèi)容，并針對所有這些信息使用了機(jī)器學(xué)習(xí)、深度學(xué)習(xí)、重沙箱集群、關(guān)聯(lián)分析等分析手段，最終形成云端威脅情報(bào)下發(fā)本地進(jìn)行檢測。
- 本地檢測
- 傳感器負(fù)責(zé)將所有鏡像流量進(jìn)行還原分析，提取HTTP、SMTP、POP3、FTP等文件傳輸協(xié)議中出現(xiàn)的文件內(nèi)容，將文件通過加密通道傳送到檢測器；檢測器對所有文件進(jìn)行解壓縮，格式檢查后，將使用靜態(tài)檢測、半動(dòng)態(tài)檢測、沙箱檢測等多種檢測手段對文件中可能包含的惡意行為進(jìn)行捕捉分析以發(fā)現(xiàn)高級威脅。使用該方案后，可以有效發(fā)現(xiàn)網(wǎng)絡(luò)中出現(xiàn)的漏洞利用行為，木馬控制行為，同時(shí)沙箱檢測還可以提供更多高級沙箱防逃逸技術(shù)以避免攻擊繞過整個(gè)檢測系統(tǒng)。
- 回溯
- 分析平臺可以依靠自身獨(dú)特的分布式搜索架構(gòu)設(shè)計(jì)，將所有傳送至此的行為信息和告警信息進(jìn)行快速的存儲并建立索引。建立索引后的信息可以在分析平臺上快速的搜索到。如此，安全管理人員便可以利用該方案記錄過去一段時(shí)間內(nèi)出現(xiàn)的任何一次網(wǎng)絡(luò)行為，發(fā)現(xiàn)任何一次網(wǎng)絡(luò)行為中的具體細(xì)節(jié)，提升網(wǎng)絡(luò)透明度及可視性，快速發(fā)現(xiàn)高級威脅結(jié)合本地系統(tǒng)進(jìn)行準(zhǔn)確溯源，牢牢掌握金融客戶安全工作的主導(dǎo)位置，滿足上級監(jiān)管單位對于安全工作的溯源及定位要求。
方案價(jià)值
-
為金融行業(yè)客戶建設(shè)統(tǒng)一防病毒體系、統(tǒng)一計(jì)算機(jī)安全管理體系；利用管理和技術(shù)有效結(jié)合，可以完美解決終端系統(tǒng)所面臨的病毒、惡意軟件、補(bǔ)丁缺失、配置不規(guī)范問題，保障用戶的終端安全。統(tǒng)一安全管理中心和模塊化單一終端軟件，易用的產(chǎn)品功能，可以降低運(yùn)維人員維護(hù)成本。私有云病毒查殺功能，既保證了病毒查殺效率，也可以降低終端資源消耗，獲得良好的內(nèi)部用戶體驗(yàn)。
-
通過奇安信廠商多年積累的大數(shù)據(jù)、成熟的樣本分析模型、高尖端的安全運(yùn)營團(tuán)隊(duì)為基礎(chǔ)。為用戶實(shí)時(shí)監(jiān)控網(wǎng)站可用性、實(shí)時(shí)分析網(wǎng)站完整性、周期掃描網(wǎng)站脆弱性、及時(shí)通告網(wǎng)站0day及輿情、自動(dòng)抓取并分析仿冒網(wǎng)站、事實(shí)監(jiān)控網(wǎng)站是否遭受DDOS攻擊等服務(wù)。做到事前告警、事中建議、事后溯源，協(xié)助用戶解決網(wǎng)站資產(chǎn)安全問題。
-
通過部署天眼未知威脅感知系統(tǒng)，通過進(jìn)行云端大數(shù)據(jù)計(jì)算和挖掘，結(jié)合專家分析所形成的威脅情報(bào)數(shù)據(jù)與本地流量進(jìn)行關(guān)聯(lián)分析，最大限度地發(fā)現(xiàn)金融行業(yè)客戶內(nèi)部未知威脅，從而使金融行業(yè)客戶獲得一般企業(yè)所不具備的未知威脅感知能力，使金融行業(yè)客戶的安全檢測能力處于行業(yè)領(lǐng)先地位。
