NSA系列外泄军火级漏洞应对手册

在较长一段时间里，我国行业企业网络安全关注点，更多的在网站安全和暴露在互联网上的可感知业务节点上，其关注的更多的是网站篡改、DDoS攻击等可感知度更高的风险。而对于感知度较低的秘密窃取、深度预制等APT攻击，特别是来自国家行为体的网络入侵预制，关注和投入不足。来自国家行为体、特别是超级大国的网络攻击，通常具有极高的隐蔽性，难以捕获和发现。因此当武器级“永恒之蓝”漏洞被“魔窟”蠕虫非受控使用时，带来大面积影响也可想而知。

在4.19网信工作座谈会上，习近平总书记指出“网络安全具有很强的隐蔽性，一个技术漏洞、安全风险可能隐藏几年都发现不了，结果是‘谁进来了不知道、是敌是友不知道、干了什么不知道’，长期‘潜伏’在里面，一旦有事就发作了。’”要求我们“聪者听于无声，明者见于未形”，“全天候、全方位感知网络安全态势”。

因此，从整体来看，网络安全防御的重点应该从原来浅层次的网站安全和暴露在互联网上的一些业务节点入口安全转变为针对全面的信息系统节点，内网系统、业务系统和网络纵深展开，围绕着关键数据资产保障所展开。综合来看，从之前斯诺登爆料的ANT装备体系到“影子经纪人”所释放的与斯诺登的爆料相印证的材料，以及本批公开的漏洞利用工具和攻击平台，说明了超级大国在网络攻击方面，对整个内网体系，特别是对物理隔离系统的有效穿透能力。从这批漏洞来看，既说明了其取得“桥头堡”的能力，也说明了在穿透物理隔离防线后的全面横向移动能力。

面对这样一种综合性的能力，必须采用有效的产品和解决方案去应对。例如在端点安全上，传统反病毒的“非黑即白”模式，难以有效应对远程端口植入、内存加载、浏览器劫持注入免杀恶意代码，而证书认证，虽然是供应链安全的保障，但对盗用软件厂商数字证书和深度的代码植入则又难以应对。因此需要采用黑白双控、信誉分析、行为建模等相应的端点防护手段，并结合强有力的安全配置策略和驱动层主防能力，才能改善端点防御情况。安天智甲终端防御系统基于上述机制设计，基于安天下一代威胁检测引擎所提供的黑白双项检测能力和向量分析能力，实现对可执行程序和内存对象的内容、行为、发布者和位置的综合授信判断，并给予生僻度、网内分布、场景连贯性等进行信誉分析。智甲支持更灵活的群组安全策略，在终端有效防护的基础上，可以实现全要素的感知分析和信息采集，以有效支撑用户态势感知系统的需求。安天智甲充分考虑到内网用户可能无法及时更新补丁的特点，提供了基础补丁+重点补丁的组合策略，通过热补丁、补丁动态策略期等来降低风险影响。针对勒索软件，其考虑到内网用户不可能按时更新病毒库的特点，通过检测引擎+主动防御+行为画像阻断的多重防御机制，即使经过深度加工伪装的勒索软件绕过引擎检测，其加密文件行为依然会被阻断。从而有效减低其带来的危害。 

从流量监测来看，过去更多的是把边界侧的流量检测作为一个主要的检测点，采用的是单包的、轻量级的、实时化的检测方式，而从安天的研发部署探海威胁检测系统的安全实践来看，围绕着网络出口和重点网段的进行更细粒度基础流量解析（从五元组到十三元组）、载荷还原捕获、向量级的载荷分析，形成一个分析大数据，因此可以有效在获得威胁情报和分析成果时，建立起向前的追溯能力。在流量侧的全要素检测采集的基础上，可以完成对端点、链路和使用者的行为画像，从而有效呈现安全风险。

对于行业、企业网络每日进行着大量的运行维护、数据交换、文件分享等工作，而安全威胁也潜藏在这些行为之中，在这些可执行文件和文档文件之内。网内每日新增的载体文件，包括可执行程序以及相应的文档文件，不可能依靠用户本身的安全能力，或简单地凭借网络管理员的安全技能，去完成相关的判断，同时更不可能把文档文件传回给安全厂商做相应的分析支持，因此客户必须具备私有化的分析支撑能力。安天追影威胁检测系统是可以集群化部署于客户侧的分析系统，其不仅具备普通沙箱的动态分析能力，而且融合了安天深度的静态格式识别和解析能力，从而使分析可以寄托动态和静态向量的相互补充和验证来进行。除了对威胁的检测和解析，安天追影结合既有的黑白名单支持，可以直接进行威胁情报生产，使相关的安全网关、流量监测和终端侧能形成对C2等攻击方所使用资源的有效阻断。

安天的安全产品能够有效获得安天面向客户定向化的威胁情报同步和输送，用户亦可选择对接安天强大的云端分析能力和专家体系实现的有效支持。

在深度的防御对抗中，传统“地图炮”式的态势感知虽然可以展示部分威胁状况，但对于改善网络资产的实际安全保障水平，价值低微。安天的态势感知系统是围绕着资产和威胁视角展开的，实现资产信誉评价和威胁认知，充分了解资产和威胁的关联，评价威胁对资产所造成的后果和风险。

在2月17日国家安全工作座谈会上，习近平总书记再次要求我们“加强网络安全预警监测，确保大数据安全，实现全天候全方位感知和有效防护”。安天多年所做的基础工作和产品解决方案，正是围绕防护的有效性、感知的全面性和持续性而展开。防御武装到牙齿的网络攻击者，不能期望持续会有类似“斯诺登”或“影子经济人”的爆料，更不可能期望攻击者会留下开关域名式的可发现中止条件。协助客户感知、呈现、削弱和阻断最隐蔽、最高级的威胁，达成有效防护，实现价值输出，是安天产品的核心要义，是安天人的使命所系。