安恒AiLPHA大数据智能安全分析平台-

AiLPHA 大数据 智能安全平台采用业界领先的大数据分析技术架构，结合专业的安全经验，依托雄厚的研发实力，兼顾未来业务的发展，以“数据驱动安全分析，构建智能自适应安全运营中心”为产品理念，为企业用户提供全局安全 态势感知 能力、为业务不间断稳定运行提供安全保障，为用户提供信息系统安全决策支撑。产品广泛适用于政府、金融、运营商、公安、电力能源、电子商务、税务、工商、社保、交通、卫生、教育、及各企事业单位等。

AiLPHA大数据智能安全平台通过对用户网内海量泛安全数据的采集、治理、分析和研判响应，构建“安全大数据中心”和“智能安全运营中心”，具备多维数据采集处理、海量数据高速检索、多维高效威胁发现、智能态势感知研判和SOAR 自动化 响应编排等优势功能。

各规格包含的功能及内容：

【基础版】包含1套安恒态势感知平台+1套基础分析计算节点，实时流数据为用户提供安全分析能力和风险告警及多维度可视化展示；

【标准版】包含1套安恒态势感知平台+2套基础分析计算节点，实时流数据为用户提供安全分析能力和风险告警及多维度可视化展示，同时增加一个计算分析节点；

【高级版】包含1套安恒态势感知平台+3套基础分析计算节点，实时流数据为用户提供安全分析能力和风险告警及多维度可视化展示，同时增加2个计算分析节点；

【旗舰版】包含1套安恒态势感知平台+4套基础分析计算节点，实时流数据为用户提供安全分析能力和风险告警及多维度可视化展示，同时增加3个计算分析节点；

【专业版A】包含1套安恒态势感知平台+5套基础分析计算节点，实时流数据为用户提供安全分析能力和风险告警及多维度可视化展示，同时增加5个计算分析节点；

【专业版B】包含1套安恒态势感知平台+6套基础分析计算节点，实时流数据为用户提供安全分析能力和风险告警及多维度可视化展示，同时增加4个计算分析节点；

一、安全大数据中心

1. 多维度数据采集处理：数据采集模块以协议/接口采集为主，Agent收集为辅。针对不能通过协议采集或接口转发数据的必要采集对象，采用安装Agent的方式进行数据采集。

系统支持的数据采集方式如下：

协议/接口采集：支持采集节点通过Syslog、Kafka、Ftp/Sftp、webservice、SNMP、file、JDBC/ODBC等协议或接口采集数据；

Agent采集：Agent支持Windows、Linux、Unix等系统的数据收集。

系统支持采集的数据源类型如下：

网络系统全量数据：网络流量、日志数据、资产信息、组织架构、安全域、人员、账号等；

威胁情报：恶意IP、恶意 域名 、邮箱和文件HASH值等；

采集所得原始数据很大一部分是非结构化数据，需要将这部分非结构化的原始日志处理转换为结构化数据。系统提供了一个链式可插拔的数据ETL模块，以插件的形式实现各种原始日志的格式化流程。

2. 海量数据高速检索：是经过预处理之后的安全数据以结构化的形式分布式存储在系统 数据库 中，对外提供数据查询与统计服务，从而实现海量数据检索与挖掘。

AiLPHA大数据智能安全平台支持安全日志/安全事件/安全告警的分类检索。提供数据搜索输入框，可输入关键字包括不限于设备IP、日志发生时间、原始信息等进行检索；支持输入时间段、表达式等条件；支持快速选项卡检索；可指定多个查询条件进行组合查询；搜索结果以列表方式实现清晰展示，可在前端页面直接导出检索结果。

二、智能安全运营中心

1.多维高效的威胁发现能力

a.安全实时分析

在大多数安全检测场景中，对数据的实时性要求很高，数据的价值随着时间的流逝而降低。实时数据分析系统能够对正在发生的事件进行实时分析，及时发现最可疑的安全威胁。

系统具有以下实时分析能力：

高效低延迟数据处理：基于内存的算法和模型，提高大规模数据的处理速度。数据处理量级可达10万EPS，最低数据分析延迟小于1秒钟。

预置海量 威胁检测 模型：内置了1300多种安全分析模型，包括180多种扫描探查检测类模型、740多种渗透攻击检测类模型、20多种获取权限检测类模型、210多种命令控制检测类模型和30多种资产破坏类检测模型，覆盖Intrusion Kill Chain的各个维度。

灵活自定义安全分析场景：支持根据用户网络实际环境动态调整平台安全分析能力，可自定义规则模型、统计模型、情报模型、关联模型和AI模型等五类安全分析场景。 

高鲁棒性：平台支持分析引擎状态的监控，可以自动检测并拉起分析引擎，保证平台不间断的实时分析。

b. 用户实体行为分析（UEBA）系统

UEBA基于海量的数据，对用户进行分析，建模和学习，从而构建出用户在不同场景中的正常状态并形成基线。实时监测用户当前行为，通过已经构建的规则模型、统计模型、机器学习模型和无监督的聚类分析。及时发现用户、系统和设备存在的可疑行为，解决海量日志里快速定位安全事件的难题。

该系统亮点如下：

快速发现异常用户行为：采用专用的用户行为分析算法，能够快速发现异常用户行为，包括历史未出现过的异常行为。

精准的用户异常行为监测：利用网络分析的方法，把看似不相关的用户和行为关联起来，从而提高异常行为监测的准确度和灵敏度，并通过多维态势可视化系统能够实时展现总体用户行为威胁状况。

定制化用户画像能力：由于用户行为随实际网络环境的不同存在较大差异性，平台支持根据用户实际业务场景定制行为分析画像，确保UEBA分析结果真实可靠。

c.深度感知智能引擎

AiLPHA深度感知智能引擎（Deep Sense Intelligent Engine, DSIE）能够对多维度的信息和多源数据进行整合、关联、智能分析和预测，基于攻击意图、攻击策略、攻击方法、攻击次数、攻击时间、处置状态等影响因子构建资产评级模型，基于海量安全告警分析在大量内网资产中识别失陷资产，把最关键的信息和最重要的威胁展现给用户。

d.潜伏威胁检测

AiLPHA大数据智能安全平台利用认知攻击循环模型（侦查渗透、驻留控制、执行渗透或横向移动）和ATT&CK安全模型，通过对安全大数据中心（SDC）提供的数据总线服务对网络数据包、文件元数据、终端日志、威胁情报、沙箱报告、漏洞知识库等进行智能分析，重建攻击全路径，洞悉发动攻击的人员、目标、时间、地点和手段，发现高级潜伏威胁。

e. 数据安全 监管

AiLPHA大数据智能安全平台通过自主研发的四大引擎对用户网内进行细粒度的数据资产测绘，建立从数据采集、数据传输、数据存储、数据处理、数据交换到数据销毁的全生命周期的使用、处理、访问档案保证数据流转脉络清晰、流向合规；智能识别用户可信度，动态降低用户权限，防范越权数据操作行为，做到对数据安全的防患于未然。

2.智能态势感知研判能力

a.多维态势感知

AiLPHA大数据智能安全平台采取实用美观的可视化系统从多个维度全面展现安全态势，为用户研判安全事件、下达决策指令及保障网络安全提供直观有效的支撑。

该系统亮点如下：

实用美观的可视化大屏：自主研发的态势感知可视化大屏，通过地图、热力图、柱形图、折线图、饼图、仪表盘等方式能够有效的展示出复杂数据中蕴含的最有价值的信息。

多视角态势感知：支持监测外部对内部攻击、内部跨安全域横向攻击、内部外连攻击等3种威胁方向，从攻击事件、资产安全、追踪溯源、运行监测、重保方案等12个维度进行可视化展示安全态势的可视化呈现。

灵活自定义仪表盘：支持针对数据中任意字段的计数、平均值、求和、最大值、最小值、唯一值等5种算子的统计结果配置可视化图表，通过拖拽图表配置组装成仪表盘，仪表盘支持7种布局类型，能够支持时间范围自定义选择。

AiView可视化自定义：支持通过自定义的方式对大屏进行编辑，可以通过调用平台的分析指标，或通过Rest API，SQL等方式直接调用第三方数据源作为大屏展示的数据源。可视化组件超过80种，包括饼图、柱状图、折线图、散点图、雷达图、漏斗图、桑基图、漏斗图、地图等，满足用户自定义态势感知大屏的需求。

b.威胁情报碰撞

AiLPHA大数据安全平台依托于安恒风暴中心，集成海量的威胁情报数据。情报来源包括但不限于玄武盾云防护数据、Sumap全球资产雷达扫描数据、分布式蜜罐系统数据以及国内外200余家威胁情报交换数据。采用云沙箱、机器学习识别与专家分析等方式，提炼形成面向政企用户网络安全的高质量威胁情报中心。为用户提供如下核心情报功能：

情报收集（内部+外部各类情报源）

多源情报关联分析

情报检索验证与攻击溯源

情报更新维护

关联下游产品

c.Sherlock攻击追踪溯源

平台能实现基于资产安全告警和攻击者的追踪溯源功能，结合先进的大数据关联技术能够实现对安全告警事件和攻击者的追踪与取证，并提供溯源报表的一键智能下载。

告警溯源：能够对告警事件实现闭环式溯源，并提供对告警事件原始日志的查询服务。

攻击者追踪溯源：提供攻击者追踪溯源大屏，基于大数据关联分析技术，聚合展现疑似黑客组织IP组、攻击引发告警类型以及类似攻击行为手段，可基于时间轴动态查看攻击行为取证列表，实现对攻击者的精准追踪溯源。

资产威胁溯源：提供资产威胁溯源可视化分析大屏，为安全运维人员聚合呈现资产被攻击行为、影响资产范围、告警取证信息等，支持针对网内任意资产查询并呈现被访问趋势、被攻击趋势、被攻击手段、资产健康状态，资产评分等信息。

d.安全事件调查取证

AiLPHA大数据智能安全平台可以通过搜索、聚合、关联等调查取证手段，提供攻击事件数据包、攻击者设备指纹等举证信息。平台支持基于源、目的、事件名、攻击意图等多种聚合调查方式，从不同维度聚合统计安全事件。可以关联资产信息、威胁情报、弱点详情、安全事件、处置方式等多维数据进行调查取证。