腾讯安图高级威胁追溯系统产品白皮书文档编号密级内部使用版本编号 1.4 日期腾讯智慧安全

Size: px

Start display at page:

Download "腾讯安图高级威胁追溯系统产品白皮书文档编号密级内部使用版本编号 1.4 日期腾讯智慧安全"

庶郜
5 years ago
Views:

1 文档编号密级内部使用版本编号 1.4 日期腾讯智慧安全

2 版权声明本文中出现的任何文字叙述文档格式插图照片方法过程等内容, 除另有特别注明外, 所有版权均属腾讯科技 ( 深圳 ) 有限公司所有, 受到有关产权及版权法保护任何个人机构未经腾讯科技 ( 深圳 ) 有限公司的书面授权许可, 不得以任何方式复制或引用本文的任何片断适用性说明本模板用于撰写腾讯科技 ( 深圳 ) 有限公司中各种正式文件, 包括技术手册标书白皮书会议通知公司制度等文档使用 - II -

3 目录一. 引言... 1 二. 腾讯安图高级威胁追溯系统介绍产品概述设计理念产品架构产品优势主要功能典型部署... 7 三. 产品价值... 7 四. 服务支持... 8 五. 总结 III -

4 一. 引言网络空间安全 ( 以下称网络安全 ) 事关国家安全和各事业单位的切身利益维护我国网络安全, 贯彻国家网络空间安全战略, 是我们必须担当的责任与义务近年来, 国家相继作出了许多重要的指示与法律政策要求早在 2007 年时, 国家公安部保密局国家密码管理局国务院信息化领导小组办公室就联合颁布了 861 号文件关于开展全国重要信息系统安全等级保护定级工作的通知和信息安全等级保护管理办法, 要求涉及国计民生的信息系统应达到一定的安全等级 2014 年, 中央网络安全和信息化领导小组 ( 简称中央网信办 ) 成立, 总书记和国家主席习近平亲自担任组长, 标志着网络安全上升至国家安全层面! 2015 年开始, 公安部每年在全国范围内组织开展为期 6 个月的网络安全执法大检查, 三年来全面梳理摸排了国家关键信息基础设施, 检测排查并督促整改了一些网络安全重大漏洞隐患风险和突出问题, 网络安全督管工作成效显著 2016 年 4 月, 习近平在网络安全和信息化工作座谈会上指出, 维护网络安全, 首先要知道风险在哪里, 是什么样的风险, 什么时候发生风险, 正所谓聪者听于无声, 明者见于未形感知网络安全态势是最基本最基础的工作 2016 年 12 月, 国务院印发了十三五国家信息化规划, 规划指出, 要加强网络安全态势感知监测预警和应急处置能力, 利用大数据技术对网络安全数据进行关联分析挖掘和可视化展示 2017 年 6 月, 网络安全法正式实施, 将原来散见于各种法规规章中的网络安全规定上升到人大法律层面, 并对关键基础设施运营者等主体的法律义务和责任做了全面规定, 网络安全建设变得有法可依, 违法必罚在国家采取一系列措施维护我国网络空间安全的同时, 我们面临的网络安全形势也在不断发生着变化首先, 黑客的攻击手段更加隐蔽化复杂化智能化从攻击目的来看, 黑客已经从最初的炫耀破坏和窃取数据, 转向以牟利为主的黑灰产产业化运作为主, 如僵尸网络挖矿程序 - 1 -

用户数据窃取等 ; 从攻击技术手段来看, 最开始以常规的僵木蠕漏洞利用口令入侵为主, 现已演变成更加复杂的攻击方式, 例如 APT 攻击社会工程学水坑攻击等 ; 从攻击层级来看, 最初是网络层攻击如 DDOS 身份冒仿数据窃取方式, 现已向应用层攻击如应用层漏洞利用 SQL 注入 XSS 攻击等演进其次, 黑灰产形成了完整的地下利益链条, 对于黑灰产的打击需要有更加全盘的计划和方案

IPS 防毒墙堡垒机等为代表的传统安全产品构建的安全方案, 重点关注企业网络风险的防御, 大都基于规则特征库采取被动防御策略, 通过在网络边界进行病毒木马查杀流量清洗和入侵防御, 满足安全合规和基础的网络防护需求 ; 同时传统的安全方案主要发挥的是各单个产品的防护效果, 方案往往缺乏统一的安全大脑来整合全网的防护效果, 因而防护成效及运维效率都大打折扣腾讯智慧安全依托腾讯近 20

5 用户数据窃取等 ; 从攻击技术手段来看, 最开始以常规的僵木蠕漏洞利用口令入侵为主, 现已演变成更加复杂的攻击方式, 例如 APT 攻击社会工程学水坑攻击等 ; 从攻击层级来看, 最初是网络层攻击如 DDOS 身份冒仿数据窃取方式, 现已向应用层攻击如应用层漏洞利用 SQL 注入 XSS 攻击等演进其次, 黑灰产形成了完整的地下利益链条, 对于黑灰产的打击需要有更加全盘的计划和方案黑灰产业相互依附, 形成了各种各样的产业链, 其中如恶意注册虚假认证虚假交易等部分黑灰产业甚至已经发展成了一条龙服务, 从前期骗取农村工厂等人口的身份信息, 到后期网络交易平台虚假认证和虚假交易的整个过程, 都有跨境跨地区的专人负责图 1 黑灰产利益链条形成示意图最后, 网络安全建设更加强调安全闭环的完整性, 不仅强调事中的安全防御, 安全威胁的监测和预警也成为重要环节以防火墙 IPS 防毒墙堡垒机等为代表的传统安全产品构建的安全方案, 重点关注企业网络风险的防御, 大都基于规则特征库采取被动防御策略, 通过在网络边界进行病毒木马查杀流量清洗和入侵防御, 满足安全合规和基础的网络防护需求 ; 同时传统的安全方案主要发挥的是各单个产品的防护效果, 方案往往缺乏统一的安全大脑来整合全网的防护效果, 因而防护成效及运维效率都大打折扣腾讯智慧安全依托腾讯近 20 年的安全能力建设和安全实践经验, 针对国内用户业务和网络的安全, 认为应该统一规划单位的网络安全架构, 构建整体安全闭环解决方案, 在实现业务连续稳定的同时, 达到实现整网安全的统一监测分析预警和响应处置的目的其中, 在整体安全闭环方案中, 威胁情报的收集分析和利用起着越来越重要的作用通过充分发挥威胁情报的优势, 可以更快更及时帮助用户发现内外部的各种已知和未知的安全威胁与风险, 预测并尽力规避威胁的发生 - 2 -

6 二. 腾讯安图高级威胁追溯系统介绍 2.1 产品概述腾讯安图高级威胁追溯系统, 是腾讯智慧安全团队构建的高级威胁追溯平台, 旨在帮助用户通过该平台进行线索研判, 攻击定性和关联分析, 追溯威胁源头, 预测威胁的发生并及时预警设计理念腾讯安图高级威胁追溯系统是一套具备 PB 级数据处理的威胁感知平台, 目前该平台追踪 60+APT 组织, 涉及起全球范围内 APT 攻击事件依托腾讯安全的多年积累的海量大数据, 以及全球最大的 IP DNS URL 文件黑白名单四大信誉数据库, 同时可以对互联网上活跃的未被发现的攻击进行记录目前 PDNS 库拥有 90 亿 DNS 解析记录, 每天新增 100 万 ; 样本库总样本 150 亿, 每天新增 1000 万 ; URL 库每天处理超 100 亿条, 覆盖超过 10 亿用户其次, 腾讯安图高级威胁追溯系统也是一套高效的高级威胁追溯平台, 用户可以通过域名 IP 事件家族 MD5 值等快速分析威胁详情, 精准定位威胁源头, 并直观形象地可视化呈现出来 - 3 -

扩展信息包括地理信息 whois 信息关联样本关联 APT 事件历史活跃信息以及最为全面的开源威胁情报 2) 可视化自动分析可视化和智能模型的自动化关联分析,

7 2.2 产品架构反馈每天处理 8000 亿条安全数据, 累计存储 200PB 数据, 调动近 40 万核的算力, 秒级结果 2.3 产品优势 1) 多维度情报数据汇集全球不同来源的威胁情报及网络基础设施数据, 包括失陷检测 IoC IP 信誉域名信誉文件信誉文件动静态分析数据事件家族黑客团伙等, 扩展信息包括地理信息 whois 信息关联样本关联 APT 事件历史活跃信息以及最为全面的开源威胁情报 2) 可视化自动分析可视化和智能模型的自动化关联分析, 对线索安全要素进行深度挖掘, 以自动化的方式输出关联分析后的溯源路径, 降低安全分析门槛, 提升安全分析效率 3) 安全要素态势分析安全要素的态势分析包括 IP 域名文件事件家族的传播趋势和地域分布, 更直观的了解安全要素的影响情况 - 4 -

8 2.4 主要功能安全要素的同源分析与家族聚类全面展示威胁情报信息威胁情报事件访问该域名的样本信息该域名上的可疑 URL 该域名上的可疑样本信息包含该域名的样本信息, 最后将这些信息通过人工智能算法进行关联和拓展威胁情报信息 : 为用户展示情报源情报信息以及情报分类标签等信息, 方便用户进一步追溯关联信息威胁情报事件 : 展示情报事件名称摘要信息和收录时间信息访问该域名的样本信息 : 从文件 hash 情报标签样本描述检出引擎数最近更新时间角度出发展示样本信息 - 5 -

9 该域名上的可疑 URL: 展示可疑 URL 链接及情报标签该域名上的可疑样本信息 : 包含样本 MD5 情报标签和病毒家族信息包含该域名的样本信息 : 展示样本 MD5 情报标签文件名称病毒名称检测时间等信息点击任意文件 hash 或样本 MD5, 用户可进一步查看样本的关联信息, 并提供静态信息网络信息信息样本行为可视化分析父子关系同源分析和态势分析等详情安全要素的关联拓线用户可查看域名的访问关系邮箱与域名之间的关联关系等等, 以及风险的扩散路径, 并以图形化形式呈现系统将以下这些基础信息进行理性关联并梳理出其中的关系脉络, 从而为用户提供一种由单点拓展到全局的高级能力查询域名注册信息 : 该功能下用户可查看详细的域名注册信息, 包括创建时间邮箱传真注册者注册机构电话域名状态更新时间域名服务器查询备案信息 : 该功能下用户可查看详细的主体名称主体性质站点名称管理员备案号和备案更新时间等信息查询 PDNS 信息 : 该功能下, 用户首先可查看 IP 地址地理位置运营商和 As ID 等当前域名解析信息, 其次, 可查看 DNS 的历史解析记录, 可看到 DNS 解析结果解析次数和解析类型等信息, 最后可以查看指向当前解析 IP 的域名列表查询子域名列表 : 该功能下, 用户可查看当前域名下的子域名信息, 包含其域名 IP 和情报标签等安全要素态势分布 - 6 -

10 以图形化形式呈现互联网上威胁的传播趋势和地域分布等信息 2.5 典型部署本产品为 SaaS 化产品, 可以通过授权帐号密码 /key 访问系统三. 产品价值 (1) 智能分析, 精准追踪通过海量威胁情报收集以及大数据分析, 将威胁攻击路径还原成图谱, 便于用户快速直观地定位风险及源头同时跟踪超过 60 个以上的 APT 组织 (2) 实时掌握网络威胁态势腾讯安图高级威胁追溯系统将网络威胁态势进行多维分类汇总, 实时呈现, 并可结合微信或 APP 等第三方应用程序及时推送给用户, 实现一部手机在手, 随时随地掌握网络威胁态势 - 7 -

(3) 威胁情报库威胁情报库规格如下 : 信息库名称信息库总量日均新增 IP 信誉库 20 亿 + 100 万域名信誉库 10 亿 + 100 万 Whois 信息库 3 亿 + 10 万全球样本库 150 亿 + 1000 万 PDNS 信息库 90 亿 + 100 万 DGA 库

11 (3) 威胁情报库威胁情报库规格如下 : 信息库名称信息库总量日均新增 IP 信誉库 20 亿万域名信誉库 10 亿万 Whois 信息库 3 亿 + 10 万全球样本库 150 亿万 PDNS 信息库 90 亿万 DGA 库 213 万 +,21 个家族 2 万蜜罐 27 万 + 1 万四. 服务支持专业分析师在线协查服务包括提供对威胁进行安全大数据分析并给出关联信息 ; 通过逆向分析等手段来剖析攻击手段, 通过大数据分析来从更大范围上确定感染受众 ; 威胁狩猎报告讲解事件的来龙去脉以及如何缓解等服务 - 8 -

12 五. 总结腾讯安图高级威胁追溯系统是腾讯基于多源情报基础安全数据和腾讯特色数据结合腾讯多年威胁情报溯源算法模型经验提炼的高级威胁追溯平台该平台旨在帮助安全人员对攻击事件进行线索研判, 攻击定性和关联分析, 并最终溯源攻击链, 挖掘事件背后的攻击团伙及其攻击目的危害手段和历史攻击事件等, 真正做到高效准确的溯源分析 - 9 -

IQ

TRITON APX IQ TRITON APX TRITON APX TRITON TRITON APX TRITON AP-WEB Websense ACE Web DLP TRITON APX IT TRITON APX Web TRITON APX DLP TRITON APX DLP Web (DLP) TRITON AP-WEB TRITON AP-EMAIL DLP (OCR) TRITON

腾讯安图高级威胁追溯系统产品白皮书 文档编号 密级内部使用 版本编号 1.4 日期 腾讯智慧安全

腾讯安图高级威胁追溯系统产品白皮书文档编号密级内部使用版本编号 1.4 日期腾讯智慧安全