為應對日益復雜的網絡安全形勢，國網某省電力有限公司在2019年開展網絡安全專項建設并建成網絡安全分析室，由網絡安全分析室開展國網某省電力有限公司網絡安全監(jiān)測、安全攻擊研判分析、應急處置等相關安全工作。同時，為做好網絡安全防護，網絡安全分析室共計建設并裝備各類網絡安全設備三十余套，設備功能各異、種類繁多且互不兼容。安全防御能力得到提升的同時產生了大量安全告警，一個安全運維人員同時負責監(jiān)測多臺設備，同一攻擊事件會被多臺安全設備捕捉產生多次重復告警。按照國網某省電力有限公司7*24小時三班兩運轉常態(tài)化監(jiān)測要求，共計需要投入18人開展網絡安全監(jiān)測，人力成本較高工作壓力大，且大量重復告警嚴重消耗了監(jiān)測人員的精力導致運維處置效率低下。
網絡安全大數(shù)據(jù)監(jiān)測與智能分析平臺作為管理類系統(tǒng)，以友好直觀的方式（可視化大屏）將復雜的系統(tǒng)內部數(shù)據(jù)抽取出運維人員最為關心的數(shù)據(jù)集中展現(xiàn)出來，并提供方便的操作方式給分析人員使用，同時通過資產配置管理將設備的更多管理屬性可視化呈現(xiàn)出來，使得管理和溯源更方便迅速。集中告警大屏為用戶提供全局監(jiān)視面板，監(jiān)控網絡、資產整體運行態(tài)勢。
網絡安全大數(shù)據(jù)監(jiān)測與智能分析平臺技術架構圖如下：
網絡安全大數(shù)據(jù)監(jiān)測與智能分析平臺項目具體建設任務包括：
(1) 對眾多安全設備產生的告警日志進行集中收集和統(tǒng)一管理，對不同格式的安全告警日志進行范式化解析，生成統(tǒng)一日志屬性的日志數(shù)據(jù)。
(2) 對重復告警進行合并處理，包括對單個安全事件在同一安全設備一定時間內的重復告警進行分析合并，以及對同一安全事件在不同安全設備的多次告警進行關聯(lián)合并。
(3) 建立大數(shù)據(jù)安全分析引擎，支持自定義安全分析規(guī)則，將不同設備不同類型的安全數(shù)據(jù)進行集中關聯(lián)分析。
(4) 從資產的角度進行資產安全評估，基于資產的流量、行為、漏洞、事件等進行多維度畫像分析。
(5) 通過定制 API 接口，將網內的全流量分析系統(tǒng)、沙箱檢測系統(tǒng)、威脅情報系統(tǒng)、終端安全EDR等安全組件進行有機組合，結合內置安全編排劇本庫，各組件按照指定的編排劇本，獨立完成分析任務，開發(fā)擴展檢測和響應模塊，負責威脅預防、檢測和響應的互操作和協(xié)調，并提供響應工單。
