<mark id="oztn4"></mark>
0
不知道你還記不記得一個有意思的歷史典故：一個霸道君主為了取悅漂亮小姐姐，亂搞情報監測系統，然后自己華麗麗地狗帶了。。。
紅紅火火吼吼，說的就是“烽火戲諸侯”。
在古代，烽火臺會根據不同的敵情傳遞不同顏色、濃度等形式的狼煙，完成最原始的情報監測和傳遞。
到了《長安十二時辰》里，情報監測和傳遞的黑科技玩得更 666 了：長安城一百零八坊，每三百步設一望樓。遍布整個長安的瞭望塔，樓上的兵卒時刻俯視街面；如發現任何異常，立刻向臨近望樓傳遞信息，一樓接一樓，片刻即可傳回靖安司總部，呈于李必面前。
有的觀眾不服氣了，這都是馬伯庸和編劇瞎編的：“望樓在唐代是有的，但它只是野戰時軍營里搭建的瞭望塔，一般是由木頭搭建的。電視劇里的情節應該是作者虛構的，它可以起到瞭望作用，但不叫望樓，也沒有那么復雜的信號系統。”
好吧，雖然歷史上的“情報的監測與傳遞”沒有電視劇這么酷炫，但“情報監測”演化到現代企業的攻防對戰中，可要比劇華麗多了。
13年前，有一家叫做網神的安全公司推出了國內最早的安全管理平臺（SOC），那會傳統 SOC 經歷了“烽火臺”一般的初期發展，主要對企業的安全日志進行分析，然后促進一下合規管理。
“烽火臺”——傳統 SOC 慢慢發展，十年后，2016 年奇安信（網神母公司）推出了其中一個“迭代版”——新一代態勢感知與安全運營平臺（NGSOC）。
NGSOC 終于達到了比“劇版望樓”更黑的黑科技成就：應用大數據、威脅情報、流量分析和機器學習等多項新技術，對海量日志實現存儲計算、高級威脅檢測、響應處置閉環。
而且，它是能動手就絕不嗶嗶的實干派。
奇安信集團大數據與安全運營公司總經理馬江波告訴雷鋒網，NGSOC 更重要的是支撐實戰化的安全運營工作，經過了 200 多家企業實際使用的蓋章認定。在一次實戰化攻防演練的過程（也就是傳說中神秘的 XX 行動）中，NGSOC 作為部分政企機構的安全攻防作戰平臺，發現了數百起攻擊行為。
至此，你可以把它理解為，這次“劇版望樓”終于運用到了現實生活中。
雷鋒網感興趣的是，是什么讓“烽火臺（傳統SOC）”演變成了“劇版望樓（NGSOC）”，NGSOC 的黑科技到底怎么用，以及未來企業中的威脅情報監測和響應又將發展成什么樣？馬江波，這個來自朗訊貝爾實驗室，將安全管理平臺做到市場占比第一的 20 年經驗老司機決定講一講開車，哦不，NGSOC 的故事。
［馬江波：雙手叉腰，毫不慌張。］
這要從企業資產中數據越來越值錢開始說起。
自打黑客和內鬼紛紛認識到了數據的重要性，他們的黑手就伸過來了。
比如，有偷酒店數據的。
最近幾年，萬豪集團旗下的喜達屋酒店疑似發生用戶數據，直到今年一月才正式確定全世界超過 3.23 億的客戶資料被泄露，同時約 2500 萬的護照號碼也疑似被竊取。
你在哪里開了個房，你是誰，你用了什么支付，你有什么奇奇怪怪的喜好，統統被收進了黑客的數據口袋。
有偷就有賣。
一個星期前，數據交易商已經出售超過 680 萬條來自美國潮流服飾與運動鞋交易平臺 StockX 的用戶數據，這些用戶信息是今年 5 月被黑客盜取的，用戶名稱、電子郵件地址、送貨地址、用戶名、混淆后的密碼和購買歷史等被打包帶走。
外部黑客虎視眈眈，企業內鬼同步在挖墻腳。
7 月 23 日一大早，市民劉大媽來到南京市公安局鼓樓分局漢中門派出所報警。前一天劉大媽買菜時，女兒在家替她簽收了一份 99 元的貨到付款快遞。“我閨女看姓名、住址、電話全是對的，就把錢付了。可我最近根本沒有網購，打開一看是個太陽能壁燈，最多值十幾塊錢，這不明擺著被騙了嗎？”劉大媽按照快遞單上的寄件方電話撥打過去，結局可想而知。
這是最近南京警方破獲一起侵犯公民個人信息實施精準詐騙中的受害案例，誰能想到，靠著 99 元的“貨到付款”，人家居然騙走了 1200 萬！民警赴河南鄭州抓獲嫌疑人13名， 其 中 6 人是快遞公司員工。
原來，這個詐騙團伙利用快遞公司員工得到的內部客戶信息實施精準詐騙。
里外都有黑手盯著自家寶貴的數據，企業也很頭疼，一旦重要數據因為網絡攻擊或是意外事件而泄露，將會導致組織的數據資產和聲譽遭受嚴重損失。
這是第一個需求。
第二，外部攻擊越來越厲害了。
厲害到什么程度？
以前，可能只是小毛賊黑客單兵作戰，現在他們的攻擊越來越組織化——黑客組團出擊，分工明確，目標長遠，現在在網絡上已形成了制造木馬、傳播木馬、盜竊賬戶信息、第三方平臺銷贓、洗錢這一分工明確的網上黑色產業鏈。
漏洞也漸漸納入進網絡軍火的范疇。原來只是一個看似簡單的系統漏洞，很可能成為橫掃 150 多個國家、全球 20 多萬家機構電腦中的 Wannacry 翻版武器。
企業已經不能夠再向以前一樣防御這種武器和黑客的進攻，單純地被動防守已經扛不住了。監測、防御、響應和預警得一條龍跟上來，主動地發現自家的薄弱之處，實現主動防御。
而第三個不得不面臨的大環境是，新的法律法規明確提出了安全監測預警的要求。
不是嚇你，捅了婁子就要被警察蜀黍抓進去，就問你擔心不擔心？
（不擔心，因為我不是 CSO 或安全負責人？？？）
道理我都懂，但還是不能好好過這一生。
企業可能面臨這種終極困擾的人生哲學：你說得都對，但是到底什么是主動防御，什么是監測、防御、響應和預警形成閉環？
我們以兩類處置方法進行對比：
第一種，聽到了狼的叫聲，狼好像朝這邊過來來了，放羊的小孩自己干不過狼，他想直接去叫村里的防衛隊過來，沒有權限，人家說，一個小孩懂什么，萬一不是狼，你聽錯了怎么辦？當然是要聽村長的命令。小孩只能去找村長，誰想到村長正在開會，誰也不能打擾，等到村長開完會，找人處置時，羊圈已經被掃得一干二凈。
第二種，狼來了，村里安置了報警器和各種自動的陷阱，狼一踏進來，被捉。
“過去攻擊來了，判斷后你要找一個安全研究員，把防火墻再加強，這個周期非常長，現在檢測出攻擊以后，第一反應就是阻斷，一鍵響應，自動給防火墻下指令，阻斷這個報警，這就是一種主動防御的能力。”馬江波說。
另一層主動防御是，小孩長大了，具備了自己分析判斷的經驗，可以自己進行不太復雜的判斷，減輕村長判斷的負擔，只有在情況比較復雜時，才需要村長出馬。
“NGSOC 把調查的上下文為安全分析的人準備好，比如相關的流量，甚至終端日志的多維度關聯，讓安全分析員的效率有很大的提升，這是一種主動。”馬江波說，在這錯綜復雜的分析中，一部分是自動處置，其他依靠人工，但這已經大大減輕了安全分析員的工作量，但在本質上，要建立以人為中心的安全監測預警體系。
說了半天，還是需要高級分析人員的參與？
是的，但我們先看看 NGSOC 還能為人做些什么。
馬江波告訴雷鋒網，NGSOC 建立大數據技術架構之上，運用 Hadoop、Spark、ES 等大數據組件，解決海量數據的采集、存儲和計算的難題。傳統的數據庫只能處理億級數據且查詢速度在分鐘級，以前可能安全分析人員抽了根煙回來，平臺還沒算完，但現在 NGSOC 支持分布式大數據架構，可以處理百億級數據，查詢速度達到秒級，這是第一個技術創新點。
第二個創新點是，將威脅情報和全流量分析技術引入安全運營平臺。
威脅情報就是敵方的攻擊策略和攻擊手法，而流量分析有效彌補原有日志數據不足，有攻擊就會留下流量產生。流量分析與威脅情報結合，又產生“1+1大于2”的效果，在數百起 APT 攻擊和勒索病毒的事件的發現和溯源發揮至關重要的作用，已經成為安全分析人員進行高級威脅的發現和溯源的最有效手段之一。
第三，搭載首個分布式事件關聯引擎，關聯引擎每秒可以處理高達 10 萬條安全事件，支持彈性業務擴展，也就是說將兩件看上去沒什么關系的事情挖個底朝天，結果發現了其中的勾連，就好比讓人的思維發散式延展，平臺自動幫你呈現其中的關系，建立精準的模型。
這個很好理解——比如某姑娘說要去做頭發，突然有個神器分析了她最近做頭發的頻率，去的地點，社交網站發的圖片和博文，閨蜜點贊數和閨蜜動向，然后告訴你，這個姑娘很可能不是去做傳統意義上的頭發。
說到這里，講一個更正經的八卦。
熟悉安全行業的讀者可能知道，幾個月前，奇安信的前世版本“360企業安全”正式與 360 分家。不久以后，360 就收回了此前給“360 企業安全”的技術、品牌、數據授權。
這種情況下，NGSOC 會不會受到影響？
馬江波微微一笑，給雷鋒網列出了“數據驅動 NGSOC ”背后的數據源：
“NGSOC 針對的是企業級用戶，有 4000 萬企業級終端數據，這一部分并未受到分家的影響。
奇安信有自己的網關，這些網關設備可以產生數據，會提供警情、URL的數據，這對企業級市場更有價值。
國內最大的漏洞平臺“補天”可以提供 35 萬的漏洞信息。
情報除了來自于大數據，還有國內外的情報廠商。”
“我們更在意的是企業級的終端數據。”馬江波強調。
八卦完畢，回到正題，馬江波提到，NGSOC 是重服務的，以人為核心的安全運營服務，但是一般企業哪有那么多經驗豐富的高級分析人員？
靠奇安信派駐高級分析人員。
客戶：我們木有厲害的安全運營人員，能不能派高級分析人員駐場？
奇安信：好的，我來了。
100個客戶：我們木有厲害的安全運營人員，能不能派高級分析人員駐場？
奇安信：我。。。。？？？？？
NGSOC 的客戶屬于政企端，客戶將大數據嚴嚴實實地揣在懷里，要想通過第三方供應商運營分析數據，很多客戶猶豫了。但是，總體上高級運營分析人員數量有限，到底分配給誰？
馬江波原來想的是，在每一個省建立一個一級運營中心，大概配備10人的高級分析團隊，在市級設立二級駐場分析人員，因為這些政企單位在省和市的內部通道可以打通，那么，二級的數據可以流向一級，一級的分析能力能流向二級，這樣的模式能從一定程度上打消客戶的顧慮。
這種模式目前還在試行中。
但是，NGSOC 運營服務的終極思路還是“云端運營”：實現30%－40%的云端運營，客戶有疑問時，派高級分析人員實地“上課”。
面對謹慎的客戶，馬江波還想再勸說一下：“如果甲方慢慢認可這種模式，其實對他們的響應效率、能力的提升、成本的降低都有幫助的。真正運營起來需要的是人才，人才不足的情況下，企業也應該解決人才匱乏的問題，為什么我們不做呢？我覺得不光對乙方好，對甲方也好。”
NGSOC 在為這種終極思路鋪路：奇安信在青島和綿陽的安全人才培訓基地招募了很多種子選手，計劃在2019年培養超過1500名安全服務工程師。“ 現在這些種子選手像學徒一樣進入中心，和高級的人才在一起。如果能夠堅持下來，他們慢慢不就從初級變成中級了嘛”。
在人不夠和急需人的矛盾下，NGSOC 的另一個目標是自動化響應。
一個安全分析師每周能審查并響應的安全警報撐死能達到 1.2 萬個，一般每周有幾十萬個警報，部分已知的安全告警的分析和響應其實可以通過標準化流程進行，SOAR（安全編排、自動化和響應平臺）將機器可標準化執行的數據采集、威脅分析和響應行為編排為安全劇本playbook，通過工作流引擎來自動化執行，讓機器承擔大量已知告警的分析和響應工作，高級安全分析人員則可以專注于新型的攻擊事件。
馬江波說，這事馬上就提上日程，2020 年上半年，NGSOC 計劃推出 SOAR 組件。
除了人和工具，企業要想真的用好安全運營平臺，日常隨手拎出潛伏的妖魔鬼怪，還要靠自己。
已經有人為你們踩過了坑。
第一個坑：永恒之藍來臨時，微軟已經提前一個月發出安全預警通告，但是，由于資產脆弱性管理和補丁管理制度的缺失，無法有些協同企業內部的不同部門協同工作。從而造成大量企業沒有及時安全補丁，造成百萬級電腦數據被加密，無法恢復。有效執行安全運營的相關管理流程太關鍵了！
第二個坑：安全產品買了一堆，但是缺乏標準協同標準和接口，NGSOC 無法做到與網關設備、終端 EDR等聯動響應，以及與企業內外部資源共享威脅情報、協同處置安全威脅。
睿智的將軍看清了一切，做好了神勇的決策，但是調動不了士兵作戰，這是將軍的悲劇，也是大廈傾覆的前兆。
雷峰網原創文章，未經授權禁止轉載。詳情見轉載須知。
