若问“态势感知”为何物?直教人知己知彼百战不殆

　　【PConline 杂谈】随着物联网、移动互联网、大数据、云计算等新兴技术的迅速发展及落地，使得如今的网络边界越来越模糊，与此同时，在巨大利益的驱使下，数据窃取、勒索病毒、DDoS攻击等安全事件时有发生，信息安全不再是企业、组织、国家要面对的问题，而是关乎所有人！若要防范攻击，先要‘感知’威胁，正所谓“知己知彼，百战不殆”。那么，我们要如何感知威胁？这与安全圈里人人都在谈论的安全态势感知有何关系？

若问“态势感知”为何物?直教人知己知彼百战不殆

何为态势感知？

　　 实际上，这个概念最早出现在军事领域，涵盖感知、理解和预测三个层次。后来，随着网络安全重要性的凸显，态势感知开始在网络安全领域展露头角，升级为“网络态势感知（Cyberspace Situation Awareness，CSA）”，是一种基于环境、动态、整体地洞悉安全风险的能力，并以安全大数据为基础，从全局视角提升对安全威胁的发现识别、理解分析和响应处置，旨在大规模网络环境中对能够引起网络态势发生变化的安全要素进行获取、理解、显示以及最近发展趋势的顺延性预测，进而进行安全的相关决策与行动。

　　 正如上图所示，态势是一种状态、一种趋势，更是整体和全局的概念，因此任何单一的情况或状态都不能称之为态势。因此，我们在理解态势时，要特别强调环境性、动态性和整体性。这里，环境性指的是态势感知的应用环境是在一个较大的范围内具有一定规模的网络；动态性，指的是态势随时间不断变化，态势信息既包括过去和当前的状态，还包括对未来趋势的预测；整体性，则是态势各实体间相互关系的体现，某些网络实体状态发生变化，会影响到其他网络实体的状态，而影响整个网络的态势。

　　 了解了态势感知之后，我们就好理解何为安全态势感知了。所谓安全态势感知，就是利用数据融合、挖掘、智能分析以及可视化等技术，最直观的显示网络中的实时安全状况，从而为网络提供安全保障。有了可视化的安全态势感知，监管人员可以及时当前网络状况，是否收到攻击，攻击来源以及体系内有哪些服务是薄弱环节易遭攻击，做好对应安全策略，防范于未然。

为何都在谈论态势感知？

　　 你以为只有你在进步吗？如今我们所面对的攻击者，已从兴趣驱动变成更务实的利益驱动，他们不仅分工明确，所采用的攻击技术也更先进，手段更高明，花招更多。攻击的专业化和利益化，引发的直接后果就是，‘不是你会不会被黑，而是何时会被黑’，甚至说被黑了你都不知道。

　　 面对越来越专业的恶意攻击，我们还要用落后的边界隔离理念，日渐臃肿的攻击特征库，与对方多变的渗透技术，智能的HaaS服务，隐蔽的信道相抗衡吗？态势感知成破局关键。要知道，一次成功的渗透和攻击，包含了信息搜集、攻击尝试、移动提权、信息回传等多个过程，因此没有万无一失的筹谋，再聪明的攻击者也会留下蛛丝马迹，而我们要做的就是在“事前”发现它。

　　 不仅如此，在《“十三五”国家信息化规划》中，也将安全态势感知列入了十大任务之中，可见其重要性非同一般。此外，随着《网络安全法》的出台，各大安全厂商纷纷投身于网络安全态势感知相关解决方案的研发当中，例如锐捷网络、360、绿盟、深信服、亚信安全等厂商，都已推出自己相关的态势感知解决方案。

安全，我要眼见为实

　　 之前我们说，态势感知以安全大数据为基础，从全局视角提升对安全威胁的发现识别、理解分析和响应处置。为此，网络安全态势感知要在对网络资源进行要素采集的基础上，对数据预处理、网络安全态势特征提取、态势评估、预测以及态势展示等环节通力完成。那么如何将这些重要的信息以及网络威胁，清晰的呈现给用户呢？

　　 以锐捷网络安全态势感知解决方案为例，该解决方案以锐捷RG-BDS大数据安全分析平台为核心，是一个“设备+平台+服务”多维度的方案。作为态势感知信息的来源基础，锐捷将从防火墙、IPS、WAF以及各种服务器、网络设备等安全采集层，获取大量的例如安全攻击事件、用户访问记录、业务异常信息等安全信息。并从攻击发现、APT深度分析、威胁预测、安全知识库协助、工单跟踪闭环等模块构建全流程安全体系，打造出“四大”核心能力。

　　 那么，有了大量的安全数据后，RG-BDS要如何筛选和精准分析这些数据呢？我们说，安全分析相当于人的大脑，分析模型非常重要，而BDS内置有数百个安全分析模型，并且能够通过机器学习、威胁情报等自动生成相应分析模型，更支持云端持续的分析模型升级能力。

　　 就“攻击行为可发现”而言，针对攻击威胁日益隐蔽化，例如定制化的APT高级攻击和“暗网”内销售的0day漏洞代码，都可以让恶意代码长期隐藏在企业内网而不被察觉。为此，该方案以“发现”为第一核心能力，通过对基础网络、中间件、业务系统、终端、安全设备等多维度的信息采集，结合深度分析、机器学习等关键技术，以实时发现和精准定位为目标，实现攻击溯源、归并告警等多种方式的可视化呈现，让用户网络中的攻击行为无处可藏，为用户带去“看得见的安全，信得过的网络”。

　　 最后，要如何对未来威胁进行预测呢？答案就是，除了自身数据的深度分析，BDS还将提供云端安全情报中心联动，实时获取最新的安全威胁数据，结合客户网络风险的分析结果，对未来安全趋势进行预判及风险预警，提前进行安全加固防范。

　　 如今，我们已从单纯的网络安全迈向了涵盖物联网、车联网、云计算、大数据、移动互联等多领域的大安全时代，显然过去那些传统的安全防护措施已不能很好的保护我们，正因如此，安全技术才更应与时俱进，利用人工智能、大数据等新兴技术，建立起适合当下安全环境的新型防御体系，而态势感知，可以让用户看清业务，看到威胁，更看懂风险所在。