网络保护一体机产品特色功能

网络保护一体机产品特色功能

2021-12-07 10:04:41
系统概述:
  网络保护一体机(AAD)集成了威胁情报、行为检测、入侵检测、病毒检测、沙箱等 7 款产品,护网行动期间,部署在电力、交通、市政、新闻广电、石油石化、电信运营、智能制造等行业用户的网络出口或关键网络节点处,以方案级的产品架构,系统性的解决护网行动中“攻击检测难”、“分析上报难”、 “溯源取证难”的问题。

  网络保护一体机(AAD)将人工智能、大数据技术与安全技术相结合,实时分析网络流量,监控可疑威胁行为,内置多种检测技术,可对 APT 攻击链进行交叉检测和交叉验证。
  网络保护一体机(AAD)除了具备常规的入侵检测功能外,还可以从网络流量中还原出文件(HTTP、SMTP、POP3、IMAP、FTP、SMB 等协议)并通过多病毒检测引擎有效识别出病毒、木马等已知威胁;通过基因图谱检测技术检测恶意代码变种; 还可以通过沙箱(Sandbox)行为检测技术发现未知威胁;对抽取的网络流量元数据,进行情报检测、异常检测、流量基因检测;最后将所有安全威胁进行关联分析,输出检测结果,对检测及防御 APT 攻击起到关键作用。


系统架构:
  网络保护一体机(AAD)系统架构如图所示,网络保护一体机(AAD)监听口接收镜像/分光流量,通过 DPDK(即数据平面开发套件)对数据包进行快速处理以及硬件资源调度。通过筛选器过滤不必要的数据,将过滤后的数据进行二次处理,分别进行特征检测、元数据/文件提取、 流量存储处理等。通过特征检测引擎检测基于特征的已知攻击,通过元数据/文件提取实现检测数据预处理,通过流量存储实现数据留存取证。之后通过中间件将元数据和事件进行泛化处理,将处理后的数据提交至 AI 检测引擎、异常行为检测引擎、文件检测引擎、威胁情报检测引擎、(Yara/JA3/SSL)检测引擎、关联引擎进行集中检测,最后将检测结果以日志/告警形式输出。

威胁检测流程
  网络保护一体机(AAD)业务处理流程如下图所示:

  网络保护一体机(AAD)采集到的网络流量分别经由入侵检测引擎与行为检测引擎检测分析,入侵检测引擎能在内容、环境、应用层感知入侵。行为检测引擎对流量进行文件还原及元数据提取,还原出的文件通过内置的防病毒引擎对已知威胁进行静态检测;再通过基因检测技术对已知威胁的变种进行检测,并结合智能检测技术防止逃逸和躲避(AET),最后通过对恶意代码在沙箱中的主机行为和网络行为进行深入分析,对未知威胁进行检测。提取出的元数据则通过情报检测,检测恶意 IP/域名等;之后进行异常网络行为检测,如异常的内部和外部互联、C&C 通讯等,之后进行人工智能引擎检测,可对恶意加密流量、暗网流量、隐蔽隧道等进行检测。
 

产品亮点:
人工智能、大数据与安全技术的结合
  网络保护一体机(AAD)采用了人工智能的机器学习/深度学习技术,基于大数据平台,用海量安全数据进行训练,从而具备检测未知威胁的能力,并有效减少安全运维人员的人工识别工作量。
高效的网络异常行为检测技术
  网络保护一体机(AAD)可识别丰富的网络应用层协议,通过协议分析、网络异常行为模式匹配等检测技术快速鉴别出 C&C 通讯、DGA 恶意域名、DDoS 攻击、SSH/FTP 暴力破解、SQL 注入、DNS/ARP 污染、漏洞扫描和漏洞攻击等网络恶意行为。
独特的基因图谱检测技术
  通过结合机器学习、深度学习、图像分析技术,将恶意代码映射为灰度图像,建立卷积神经元网络 CNN 深度学习模型,利用恶意代码家族灰度图像集合训练卷积神经元网络,并建立检测模型,利用检测模型对恶意代码及其变种进行家族检测。基于灰度图像映射的方法可以有效的避免反追踪、反逆向逻辑以及其他常用的代码混淆策略。并且该方法能够有效地检测使用特定封装工具打包(加壳)的恶意代码。
全面的已知、未知威胁检测
  通过内置的下一代入侵检测引擎,Multi-AV 防病毒引擎和威胁情报检测技术对已知威胁进行静态检测;通过基因检测技术对恶意代码的变种进行检测,通过对恶意代码在沙箱中的主机行为和网络行为进行深入分析,对未知威胁进行检测。
便捷的溯源取证能力
  网络保护一体机(AAD)支持解析并存储 HTTP、DNS、FTP、SMTP、POP3、IMAP、SMB 等几十种协议的元数据,具有完整的追溯取证能力。通过可视化操作,可快速定位攻击者,并定位出攻击者的 IP、MAC、攻击方式、攻击协议,以及攻击目标等详细信息。
强大的处理性能
  网络保护一体机(AAD)单台流量处理能力最高可达10Gbps, 文件处理能力最高可达 15 万文件/天,并可按需扩展处理能力。


产品特色功能:
网络流量分析(NTA)
  网络保护一体机(AAD)具备独立的流量采集还原能力,可将采集到的网络流量解析还原并以元数据/pcap 的形式存储,实现元数据/pcap 的高性能采集和预处理。通过系统内置的多个检测引擎进行交叉检测交叉验证,对流量中存在的网络威胁进行精确有效的定位。
下一代入侵检测(NG-IDS)
  网络保护一体机(AAD)支持基于签名的网络入侵行为检测;支持应用感知,能够准确识别常见网络应用协议;支持内容感知,能够还原 HTTP、SMTP、POP3、FTP、IMAP、SMB 等协议中的文件。
  网络保护一体机(AAD)的下一代入侵检测功能能有效弥补目前安全设备(防火墙、IDS 等)对攻击识别能力的不足,能够精确识别应用、内容和环境等各层面攻击,如 Web 应用攻击、恶意提权、漏洞攻击、网络扫描等,大大降低现有 IDS产品的误报率,提升准确率。
网络行为检测(UEBA)
  网络保护一体机(AAD)支持网络异常行为检测,支持 C&C 通讯和 DGA 域名检测,发现僵尸网络或被控主机;支持非法外联和数据外发检测,发现隐蔽通道和窃取数据行为;可以监测发现 DoS 和 DDoS 攻击、SQL 注入、跨站攻击等;支持传输层和应用层网络异常行为,自定义基线(模型)异常检测,例如异地登录行为、异常时间登录行为等;有本地和公网威胁情报关联等。
病毒木马检测(AV)
  网络保护一体机(AAD)内置4个反病毒引擎,支持多反病毒引擎交叉检测,可以对已知威胁进行基于特征的静态检测和交叉验证,最终给出病毒木马家族检测结果。
沙箱(Sandbox)行为检测
  网络保护一体机(AAD)支持基于沙箱行为的未知威胁检测,文件恶意行为模式库高于 700 个,处于行业领先水平。支持恶意文件的追溯取证和行为相似性聚类;支持各种主流的操作系统、浏览器、办公软件等虚拟运行环境。支持多种沙箱环境,包括 Windows 沙箱、Android 沙箱、Linux 沙箱、WEB 沙箱、Office沙箱、PDF 沙箱等,并支持数十种文件类型检测,包括 PE 文件、Office 文件、PDF 文件、网页文件、压缩文件、APK 文件等。

  网络保护一体机(AAD)可基于沙箱技术对各种文件进行内容“引爆”,通过恶意行为模式匹配检测未知威胁,具有高检出率、低误报率、防变种、防逃逸等特点。
威胁情报(TI)检测
  通过海量数据的采集、分析、验证获得威胁情报,内嵌于网络保护一体机(AAD)形成情报中心,并将从流量中提取出的域名、IP、URL 等与系统内置情报进行关联比对,进一步确认威胁来源的危害性,并支持 JA3、JA3S 和 SSL 恶意加密指纹检测。对于高级威胁,可以优先利用情报引擎进行过滤,及时告警。
人工智能(AI)检测
  网络保护一体机(AAD)内置多个人工智能(AI)检测模型,支持对文件基因、流量基因、加密流量、暗网流量、Shadowsocks 流量、VPN 流量、DNS 隐蔽隧道、ICMP 隐蔽隧道、HTTP 隐蔽隧道、HTTPS 隐蔽隧道、DGA 域名、Webshell 网页后门、SQL 注入攻击、XSS 跨站脚本攻击进行检测。通过检测模型检测的方式可大幅度降低对特征规则数量的要求,具备更新频率低、数据量小、准确率高、误报率低、自动判断、人工干预少等优势。
高级持续性威胁(APT)检测
  网络保护一体机(AAD)通过特征检测、行为检测、机器学习、深度学习、集成学习、强化学习的方式对安全数据进行有效的检测收敛降噪,并通过告警关联、情景关联的方式实现 APT 关联分析,进而迅速定位可能的 APT 攻击。
攻击链(Kill-chain)关联分析
  通过网络入侵攻击检测、用户实体行为检测、流量人工智能检测、文件病毒木马检测、文件基因图谱检测、文件沙箱行为检测、情报黑白名单检测、关联分析&威胁画像、元数据回溯分析取证等技术构建攻击链关联检测交叉验证体系,以实现对扫描探测、网络钓鱼、漏洞利用、木马下载、远程控制、横向渗透、行动收割等攻击阶段的检测全覆盖,如图所示:
资产画像(Asset portrait)
  网络保护一体机(AAD)通过对流量的检测分析实现资产发现,对引擎产生的元数据进行处理,采集主机基本信息(IP、MAC 地址、制造商、软件信息以及设备类型等),并关联该主机对应的威胁告警日志,对资产状态、资产存在的风险进行精确评估,实现对资产威胁的精准画像。
元数据(Metadata)采集分析
  网络保护一体机(AAD)支持对流量进行网络层、传输层、应用层元数据提取,可解析还原 DNS、FTP、HTTP、IMAP、POP3、SMB、SMTP、SNMP、ICMP、DCE、RPC、DHCP、DNP3、IRC、krb、Modbus、MySQL、NTLM、RADIUS、RDP、RFB、SIP、SOCKS、SSH、SSL、Syslog、Oracle、Telnet、TFTP、TCP、UDP 等协议并以元数据形式存储,用于威胁的溯源取证。
全流量抓包(pcap)取证
  网络保护一体机(AAD)支持全流量抓包功能,支持抓包策略配置,并支持深度包解析、BPF 规则过滤功能,有效的抓取 pcap 流量包留存取证。