不错过任何蛛丝马迹 是时候和不完美网络攻击者说再见了

名词解释

不完美攻击者：指防守方明知被攻击，但没有足够证据还原所有细节的攻击者。

众所周知，破案的关键在于从细节之中找出完整的证据链，从而还原案件真相。

网络攻防亦是如此。为了避免被防守方察觉，攻击者会小心隐藏自己的行踪。不过，再高明的攻击手法也会在系统内部留下蛛丝马迹，如果防守方不能搜集到完整的证据链，那么得到的只能是攻击者的“局部画面”，从而产生了“不完美攻击者”。

显然，这对防守方的细节观察能力，提出了很高的要求。

然而令人头疼的是，当安全事件发生时，因为传统设备日志很难在维度和细粒度上满足溯源取证需求，导致出现证据链不完整、关键证据缺失、证据数据查询慢等问题，无法对安全事件做出及时响应、彻底处置。

例如：

系统部分终端已经失陷，但由于攻击手法相对隐蔽，流量检测设备没发现异常，也没产生告警，调查线索无从下手；

设备流量日志存储不完整，导致失陷后查询攻击者证据链缺失，很难还原攻击行为的各个细节，从而出现“不完美攻击者”；

发生安全事件后，由于设备性能等各个方面原因，想要在海量日志中检索攻击行为相关的上下文和日志信息，需要消耗较长的时间，导致响应和溯源滞后，甚至给机构带来较大损失。

对此，在即将到来的大规模实战攻防演习期间，奇安信又将推出一款全新的实战攻防必备神器——天眼全流量溯源取证平台，面向安全分析人员提供一套集数据采集、存储、回溯、分析、溯源取证等功能于一体的高性能数据采集和智能分析解决方案。

天眼全流量溯源取证平台犹如安防监控摄像机一般，已经进行了全流量存储、全流程记录、全过程留痕，自动保留攻击者“案发现场”，可有效帮助防守方的安全分析人员按需提取历史原始流量并回放，完整地还原安全事件的真实场景，抽丝剥茧寻找攻击者线索。从而，更有效、更快速地应对攻击者的隐藏手段，定位真实的攻击源头，及时阻断网络攻击。

在调取监控录像时，大家往往关注这些重点。首先，视频录制得是否够全，以防出现录制视频画面不完整、关键证据丢失的情况。其次，视频录像存储的周期是否够长，以防出现查看录像时被自动清除的情况。最后，视频是否支持加速回放，以快速定位问题。

天眼全流量溯源取证平台在设计之初就考虑到了上述问题，具备“录得全，存得长，查得快”的特点。