為應(yīng)對(duì)日益復(fù)雜的網(wǎng)絡(luò)安全形勢(shì)，國(guó)網(wǎng)某省電力有限公司在2019年開展網(wǎng)絡(luò)安全專項(xiàng)建設(shè)并建成網(wǎng)絡(luò)安全分析室，由網(wǎng)絡(luò)安全分析室開展國(guó)網(wǎng)某省電力有限公司網(wǎng)絡(luò)安全監(jiān)測(cè)、安全攻擊研判分析、應(yīng)急處置等相關(guān)安全工作。同時(shí)，為做好網(wǎng)絡(luò)安全防護(hù)，網(wǎng)絡(luò)安全分析室共計(jì)建設(shè)并裝備各類網(wǎng)絡(luò)安全設(shè)備三十余套，設(shè)備功能各異、種類繁多且互不兼容。安全防御能力得到提升的同時(shí)產(chǎn)生了大量安全告警，一個(gè)安全運(yùn)維人員同時(shí)負(fù)責(zé)監(jiān)測(cè)多臺(tái)設(shè)備，同一攻擊事件會(huì)被多臺(tái)安全設(shè)備捕捉產(chǎn)生多次重復(fù)告警。按照國(guó)網(wǎng)某省電力有限公司7*24小時(shí)三班兩運(yùn)轉(zhuǎn)常態(tài)化監(jiān)測(cè)要求，共計(jì)需要投入18人開展網(wǎng)絡(luò)安全監(jiān)測(cè)，人力成本較高工作壓力大，且大量重復(fù)告警嚴(yán)重消耗了監(jiān)測(cè)人員的精力導(dǎo)致運(yùn)維處置效率低下。
網(wǎng)絡(luò)安全大數(shù)據(jù)監(jiān)測(cè)與智能分析平臺(tái)作為管理類系統(tǒng)，以友好直觀的方式（可視化大屏）將復(fù)雜的系統(tǒng)內(nèi)部數(shù)據(jù)抽取出運(yùn)維人員最為關(guān)心的數(shù)據(jù)集中展現(xiàn)出來(lái)，并提供方便的操作方式給分析人員使用，同時(shí)通過資產(chǎn)配置管理將設(shè)備的更多管理屬性可視化呈現(xiàn)出來(lái)，使得管理和溯源更方便迅速。集中告警大屏為用戶提供全局監(jiān)視面板，監(jiān)控網(wǎng)絡(luò)、資產(chǎn)整體運(yùn)行態(tài)勢(shì)。
網(wǎng)絡(luò)安全大數(shù)據(jù)監(jiān)測(cè)與智能分析平臺(tái)技術(shù)架構(gòu)圖如下：
網(wǎng)絡(luò)安全大數(shù)據(jù)監(jiān)測(cè)與智能分析平臺(tái)項(xiàng)目具體建設(shè)任務(wù)包括：
(1) 對(duì)眾多安全設(shè)備產(chǎn)生的告警日志進(jìn)行集中收集和統(tǒng)一管理，對(duì)不同格式的安全告警日志進(jìn)行范式化解析，生成統(tǒng)一日志屬性的日志數(shù)據(jù)。
(2) 對(duì)重復(fù)告警進(jìn)行合并處理，包括對(duì)單個(gè)安全事件在同一安全設(shè)備一定時(shí)間內(nèi)的重復(fù)告警進(jìn)行分析合并，以及對(duì)同一安全事件在不同安全設(shè)備的多次告警進(jìn)行關(guān)聯(lián)合并。
(3) 建立大數(shù)據(jù)安全分析引擎，支持自定義安全分析規(guī)則，將不同設(shè)備不同類型的安全數(shù)據(jù)進(jìn)行集中關(guān)聯(lián)分析。
(4) 從資產(chǎn)的角度進(jìn)行資產(chǎn)安全評(píng)估，基于資產(chǎn)的流量、行為、漏洞、事件等進(jìn)行多維度畫像分析。
(5) 通過定制 API 接口，將網(wǎng)內(nèi)的全流量分析系統(tǒng)、沙箱檢測(cè)系統(tǒng)、威脅情報(bào)系統(tǒng)、終端安全EDR等安全組件進(jìn)行有機(jī)組合，結(jié)合內(nèi)置安全編排劇本庫(kù)，各組件按照指定的編排劇本，獨(dú)立完成分析任務(wù)，開發(fā)擴(kuò)展檢測(cè)和響應(yīng)模塊，負(fù)責(zé)威脅預(yù)防、檢測(cè)和響應(yīng)的互操作和協(xié)調(diào)，并提供響應(yīng)工單。
