专家谈态势感知三要素：平台技术人缺一不可

3月28日，由中国计算机学会计算机安全专委会、360企业安全集团和绿盟联合主办的RSA2017热点研讨论在北京举行，360企业安全集团在研讨会现场展出了多维度的网络空间安全态势感知系统。

据悉360安全态势感知系统已经在全国多地监管部门、金融等重要行业和大型企业落地实施。360企业安全集团副总裁韩永刚在研讨会期间接受媒体采访时表示，态势感知是一种基于环境的、动态、整体地洞悉安全风险的能力，是以安全大数据为基础，从全局视角提升对安全威胁的发现识别、理解分析、响应处置能力的一种方式，最终是为了决策与行动，是安全能力的落地。

360企业安全集团副总裁韩永刚

政策驱动，态势感知成为安全行业热点

态势感知的概念最早在军事领域被提出，覆盖感知、理解和预测三个层次。并随着网络的兴起而升级为“网络态势感知（Cyberspace Situation Awareness，CSA）”。旨在大规模网络环境中对能够引起网络态势发生变化的安全要素进行获取、理解、显示以及最近发展趋势的顺延性预测，进而进行决策与行动。

习近平总书记在去年的419座谈会上提出：“安全是发展的前提，发展是安全的保障，安全和发展要同步推进。要树立正确的网络安全观，加快构建关键信息基础设施安全保障体系，全天候全方位感知网络安全态势，增强网络安全防御能力和威慑能力。”，随着《网络安全法》和《国家网络安全战略》的相继出台，态势感知被提升到了战略高度，众多大行业、大型企业都开始倡导、建设和积极应用态势感知系统，以应对网络空间安全严峻挑战。

如今，“态势感知”已经成为网络空间安全领域聚焦的热点，也成为网络安全技术、产品、方案不断创新、发展、演进的汇集体现，更代表了当前网络安全攻防对抗的最新趋势。

韩永刚称，现在国内很多大的行业和大型企业，都开始态势感知能力的建设，以此把网络安全放到关键的位置，首先对自己整体的安全态势有一个全面的掌握和理解，之后从多维度加强自身的安全运营和威胁应对处置能力。

业务驱动，态势感知必备三大核心

韩永刚向记者介绍，目前态势感知主要有三大应用方向：一类是监管机构，更多从国家层面，或者是省市大地域层面，关注跟国计民生相关的关键信息基础设施，对它们的安全态势进行整体的监测与关注。

还有一类是大型行业，如政府、金融、大型企业，他们从自己的体系内部去做态势感知，首先是其内部系统的安全运营，发现重要威胁，解决问题，把安全能力，通过态势感知这样的体系和平台去落地。这些大型机构也会有很多分支或二级单位，也需要通过态势感知对这些单位进行外部监管，以提升整体的安全状态的掌握。同时与监管机构进行在事件应急处置及威胁情报方面的合作。

最后一类是机构或企业内部的态势感知，对自己内部有价值的核心资产、业务系统，从日常的安全工作角度出发，发现各类威胁与内部异常违规，保证业务系统能够比较平稳、顺畅地运行，更偏内部安全的运营型能力的落地。

“态势感知系统是个体系，需要结合新技术、数据、系统平台和人的能力”，韩永刚认为一个完整的态势感知系统需要包含以下几个大核心部分：

首先是对整个周边安全态势要素的完整获取，也就是对数据的理解和获取、采集的能力。比如流量数据的还原与监控、云端数据的理解、扫描类的数据、各类日志数据等。把来自不同的源头、不同类型的数据融合在一起、产生关联，通过进一步分析去发现问题。

这也就要求一个大数据平台能把海量数据高效的存储与计算处理，在此基础上做深度的安全检测、事件捕猎、调查分析，发现、定位、溯源安全事件。

尤其在安全数据分析上，是着重应该加强的地方。多维度的安全分析工具平台与能力，才能够真正捕获威胁与攻击，甚至溯源攻击背后的情况。这时深度的多维度数据关联分析、基于语义分析的检测引擎、可进行人机交互式的调查研判平台、可视化分析、威胁情报技术、特定问题的机器学习都成为有力的武器。我们不仅要看见有安全问题的发生，更要知道攻击目的、攻击方式、会产生什么后果、是什么组织进行的。做到知己知彼。

再有就是安全能力的落地，不光是技术与平台，要结合人的能力。态势感知系统的运转，既需要对日常安全事件持续处理的运维人员，也需要能够对数据进行深度分析的研判分析人员。最终的汇总信息还需要能进行决策与行动安排的决策者。这些不同的岗位，代表着将安全态势感知运转起来的落地能力，这种能力的建设，既可以自己进行，也可以借助外部的专业力量。

数据驱动，360成为态势感知先行者

“360之所以成为态势感知领域的先行者，安全大数据能力最为重要”，韩永刚称，在为客户建设态势感知系统过程中，在数据层面，360企业安全会分成两个层面进行。

在客户机构内部，帮客户建立轻量级的安全大数据平台，进行基础数据的采集、处理，从流量、系统、应用各个层面尽量细致地把这些数据汇集。这时的数据量会从传统几亿条提升到几千亿条，这种跨越用传统技术是很难做到的。 而这恰恰是360企业安全的优势，可以帮客户建立一种能够去处理这种能力的平台，成为威胁的发现、分析、研判的基础。

同样的，在这个系统平台之上，360企业安全也帮助客户建立安全持续监测 – 通报预警 – 分析研判 - 快速处置 – 态势感知 – 追踪溯源的业务流程闭环。

另一个层面，在态势感知中，外部数据产生的作用也非常大。这里的“外部的数据”，是指从互联网层面上的看的数据。企业看到内部的一些单点事件，在外部可能曾经发生过，并有各种关联。一些技术比较高超的攻击者，甚至是APT攻击组织，在进行攻击的时候，其实很多利用的资源，或者是用过的手法，在外部的互联网上都会有一些痕迹。通过不同的数据维度，时间维度，把这些线索串联起来，就能形成威胁情报体系。

360在生产、研究这些情报的时候，会用到很多基础数据，比如样本数据、DNS数据，都是上百亿的数据量。把这些不同维度的安全数据汇集，再去做挖掘、分析，在更广的互联网领域里去做拓展和溯源。这个过程中会用到外部的大数据的体系，把这两个体系结合，能够对态势感知实现更好的落地效果。

韩永刚认为，建立态势感知系统首先要明确目标、范围和目的，梳理清晰要监测与防护的最关键业务资产或机构，然后应用合理的技术从微观层面获取完整的安全要素数据，这些数据拿到的越全，对威胁发生的过程、攻击链条看的就更全。再结合态势感知的系统平台、来自外部安全大数据的情报能力，从中观层面来分析数据、发现威胁与异常，做到结合安全服务来落地安全能力。而这些也是360天然独特的优势。所以态势感知不只是宏观层面的大屏展示或“地图炮”，更应该是结合微观与中观层面的安全数据、平台、安全能力。