全面實(shí)現(xiàn)數(shù)字化轉(zhuǎn)型成為傳統(tǒng)金融業(yè)發(fā)展的必然趨勢(shì)，金融業(yè)多年積累起來(lái)的海量金融業(yè)務(wù)數(shù)據(jù)將被重新整合利用?？梢暬?、直觀化的數(shù)據(jù)為決策者及安全管理者提供具有指導(dǎo)作用的智慧，尋求到新的價(jià)值增長(zhǎng)點(diǎn)，增強(qiáng)業(yè)務(wù)創(chuàng)新能力的支撐點(diǎn)。當(dāng)技術(shù)變革沖擊原金融行業(yè)運(yùn)營(yíng)模式和生態(tài)，其轉(zhuǎn)型變革也面臨著嚴(yán)峻的挑戰(zhàn)。

　　01

　　不可避免走向復(fù)雜化的金融行業(yè)網(wǎng)絡(luò)安全

　　陳玉奇指出，正如大家所知道的是現(xiàn)在我們一直在談跟安全相關(guān)的技術(shù)的能力、數(shù)據(jù)的能力、產(chǎn)品的能力，最終都需要為運(yùn)營(yíng)所服務(wù)。但是當(dāng)討論運(yùn)營(yíng)之前，通常會(huì)關(guān)注現(xiàn)在金融行業(yè)的運(yùn)營(yíng)到底屬于什么樣的狀態(tài)？對(duì)金融行業(yè)來(lái)說(shuō)由于業(yè)務(wù)特性導(dǎo)致其安全意識(shí)特別高，希望通過(guò)安全的方式，提高安全體系。在這個(gè)過(guò)程中，目前整個(gè)金融行業(yè)的安全方法和模型相對(duì)完善，無(wú)論是安全成熟度的模型還是等保的模型，這些模型在不同的情況下都有相應(yīng)的落地。同時(shí)也發(fā)現(xiàn)它整體的投入和人員是比較完整。在整個(gè)安全的領(lǐng)域里面，我們會(huì)發(fā)現(xiàn)很多客戶有安全的意識(shí)、有安全的想法，但是在資金的投入、人員的投入上相對(duì)是捉襟見(jiàn)肘，金融機(jī)構(gòu)在這塊恰恰是有非常好的制度支撐和投入。

　　當(dāng)擁有了人力、模型、數(shù)據(jù)之后，金融行業(yè)單位在邊界的安全、數(shù)據(jù)的安全、網(wǎng)絡(luò)的安全和信息的安全等各個(gè)層面上，大量的設(shè)備和能力都開(kāi)始部署。有意識(shí)、產(chǎn)品、投入、人員，我們反而會(huì)發(fā)現(xiàn)整個(gè)金融行業(yè)的安全不可避免地走向復(fù)雜化，模型太多了，數(shù)據(jù)太多了，產(chǎn)品太多了必然會(huì)越來(lái)越復(fù)雜。

　　我們會(huì)發(fā)現(xiàn)雖然金融行業(yè)有很多的投入，但是大量的能力依靠第三方，過(guò)于依賴第三方之后，涉及建設(shè)安全體和業(yè)務(wù)之間該如何平衡？伴隨著系統(tǒng)越來(lái)越安全的時(shí)候，它的可用性一定是降低的。當(dāng)金融機(jī)構(gòu)需要快速去實(shí)現(xiàn)數(shù)字化轉(zhuǎn)型的時(shí)候，安全怎么平衡這是值得考慮的問(wèn)題？

　　由于所處的行業(yè)對(duì)業(yè)務(wù)的連續(xù)性、業(yè)務(wù)的安全性以及對(duì)客戶資金的責(zé)任，所以必然要求金融機(jī)構(gòu)一定要滿足合規(guī)的要求。合規(guī)和創(chuàng)新的安全在一定范圍內(nèi)沖突的時(shí)候，我相信絕大部分的金融企業(yè)會(huì)選擇合規(guī)。而且雖然有人力的投入、資金的投入，但是這些單位在自動(dòng)化的程度上還是有很多需要進(jìn)展或者發(fā)展。

　　正如我們前面所提到的金融機(jī)構(gòu)投入了很多的產(chǎn)品之后，事實(shí)上會(huì)發(fā)現(xiàn)一個(gè)問(wèn)題，不同的技術(shù)、不同的產(chǎn)品之間有很多縫隙，什么是縫隙？很簡(jiǎn)單，我們隨便找出一個(gè)金融企業(yè)、金融機(jī)構(gòu)會(huì)發(fā)現(xiàn)它的信息安全發(fā)展到今天為止，已經(jīng)有了幾年、幾十年，在多年的發(fā)展歷程中投了大量的安全、大量的安全設(shè)備，前人的安全解決方案和今人的安全解決方案我們能說(shuō)百分之百覆蓋嗎？難說(shuō)。防火墻的安全策略，前人寫(xiě)的策略和今人寫(xiě)的策略是百分之百匹配嗎？

　　從調(diào)查上來(lái)看不是的，我們會(huì)發(fā)現(xiàn)中間有很多空隙。前人寫(xiě)的方案、前人寫(xiě)的策略，基本上后人是不敢動(dòng)的，為什么不敢動(dòng)呢？因?yàn)樯婕暗角懊嫠岬降臉I(yè)務(wù)和安全之間的平衡一定是業(yè)務(wù)為先，所以這時(shí)候一定會(huì)有很多縫隙。但是這些縫隙必然會(huì)帶來(lái)一些安全的風(fēng)險(xiǎn)。

　　隨著金融行業(yè)的安全重視程度之后，我們會(huì)發(fā)現(xiàn)不同的部門之間由于所處的位置不一樣，會(huì)有很多的溝通成本，這也會(huì)導(dǎo)致從金融企業(yè)本身看到安全運(yùn)營(yíng)的運(yùn)行也有一定的難度。

　　02

　　重新定義的新一代高級(jí)網(wǎng)絡(luò)攻擊技術(shù)及威脅

　　針對(duì)金融行業(yè)的領(lǐng)域，正如大家所知道金融行業(yè)成為關(guān)鍵基礎(chǔ)設(shè)施的一部分，在這個(gè)定義之下我們會(huì)發(fā)現(xiàn)對(duì)它的攻擊、對(duì)它的威脅往往是多種方法的綜合利用，可能會(huì)通過(guò)釣魚(yú)郵件、隱蔽隧道、不同安全設(shè)備之間的縫隙去進(jìn)行入侵，攻擊越來(lái)越隱秘。

　　我們經(jīng)常會(huì)發(fā)現(xiàn)某個(gè)APT組織，對(duì)某一個(gè)金融機(jī)構(gòu)的入侵甚至達(dá)到了幾個(gè)月甚至幾年，尤其是現(xiàn)在的國(guó)際大背景之下，很多類似這樣的入侵行為是非常隱蔽而且長(zhǎng)期的。在分析這些入侵事件的時(shí)候，你會(huì)發(fā)現(xiàn)很多行為是無(wú)特征的，什么叫無(wú)特征？這些行為不一定是已知攻擊工具發(fā)起的，實(shí)際行為可能是正常的行為，比如說(shuō)在內(nèi)網(wǎng)做一個(gè)登錄，它登錄到某一個(gè)系統(tǒng)中做某一個(gè)操作，我們會(huì)發(fā)現(xiàn)這個(gè)好像是很正常的，對(duì)單點(diǎn)的行為是正常的，但是把它拉開(kāi)到一個(gè)長(zhǎng)期的過(guò)程中你會(huì)發(fā)現(xiàn)這臺(tái)服務(wù)器為什么每30分鐘或者每30秒鐘都要登錄一次呢？很有可能不正常。所以我們會(huì)發(fā)現(xiàn)這些正常的行為往往會(huì)導(dǎo)致異常的結(jié)果出現(xiàn)。

　　今天對(duì)于攻擊者來(lái)說(shuō)，攻擊對(duì)象發(fā)生了變化，不再是以互聯(lián)網(wǎng)側(cè)為主，可能是轉(zhuǎn)戰(zhàn)專線側(cè)，金融城域網(wǎng)、其他內(nèi)部專線、第三方專線、很多攻擊來(lái)自于可信任的第三方，也有可能來(lái)自于某些開(kāi)放的API。開(kāi)放銀行也好、金融機(jī)構(gòu)的數(shù)字化轉(zhuǎn)型也好，必然會(huì)要求我們的金融業(yè)務(wù)更加開(kāi)放，但在開(kāi)放的過(guò)程中不可避免地會(huì)開(kāi)放大量的API，而這些API也成為了新的攻擊的目標(biāo)、會(huì)面臨更多的攻擊的行為。

　　同樣，針對(duì)供應(yīng)鏈的攻擊的案例也在逐年增多，我們會(huì)發(fā)現(xiàn)類似于Google、微軟均被攻擊過(guò)，同時(shí)也造成了一定程度的損害。

　　03

　　新形勢(shì)之下，以數(shù)據(jù)驅(qū)動(dòng)金融行業(yè)安全運(yùn)營(yíng)發(fā)展

　　當(dāng)攻擊的危險(xiǎn)快速變化，新形勢(shì)之下對(duì)安全運(yùn)營(yíng)也提出了更高的要求。數(shù)據(jù)驅(qū)動(dòng)目前已經(jīng)成為金融行業(yè)很多企業(yè)的首選。但是我們應(yīng)該如何利用這些數(shù)據(jù)在安全運(yùn)營(yíng)上做得更好？

　　第一點(diǎn)，數(shù)據(jù)采集一定是要全面的，我們會(huì)發(fā)現(xiàn)說(shuō)某一個(gè)點(diǎn)的數(shù)據(jù)似乎做得很好，互聯(lián)網(wǎng)側(cè)的數(shù)據(jù)做了很多，但是不是互聯(lián)網(wǎng)側(cè)的數(shù)據(jù)就足以支撐我的安全運(yùn)營(yíng)和安全分析做得更加優(yōu)秀呢？不見(jiàn)得。所以我們會(huì)建議你除了互聯(lián)網(wǎng)側(cè)，同時(shí)還需要結(jié)合生產(chǎn)網(wǎng)甚至測(cè)試網(wǎng)等的數(shù)據(jù)，綜合以上各類數(shù)據(jù)從多維度進(jìn)行分析。

　　除了本身的數(shù)據(jù)之外，我們應(yīng)該引入第三方的數(shù)據(jù)的能力，例如，漏洞情報(bào)以及其他一些安全設(shè)備的不同的數(shù)據(jù)。

　　當(dāng)我們把數(shù)據(jù)全部采集完了之后，進(jìn)行全流量的分析之后，利用AI進(jìn)行綜合建模的分析。我們要看到的是那些未知威脅的行為，包括隱蔽隧道、C2回連，還有一些非常隱秘的正常行為導(dǎo)致的異常結(jié)果。

　　基于人工智能的未知威脅的分析平臺(tái)是需要我們做的，但是不是有這個(gè)AI就足夠了？不是的。數(shù)據(jù)分析是基于AI模型，但是它必然要關(guān)聯(lián)到場(chǎng)景，沒(méi)有場(chǎng)景的數(shù)據(jù)分析、AI分析沒(méi)有意義。

　　我們舉個(gè)例子，比如斗象做安全運(yùn)營(yíng)的時(shí)候討論做基礎(chǔ)安全應(yīng)該是什么樣？場(chǎng)景化是什么樣的模型，在場(chǎng)景的分析中會(huì)涉及到跟時(shí)間相關(guān)、跟時(shí)序相關(guān)的模型，我們會(huì)考慮到安全事件有多少問(wèn)題，協(xié)議事件有多少問(wèn)題，這些問(wèn)題都是我們數(shù)據(jù)的輸入，而數(shù)據(jù)的輸入必然會(huì)通過(guò)AI的模型，最后形成對(duì)場(chǎng)景的設(shè)定。

　　舉幾個(gè)實(shí)際的例子，一個(gè)是特定場(chǎng)景是業(yè)務(wù)訪問(wèn)的異常，大家的第一反應(yīng)是業(yè)務(wù)訪問(wèn)不了是異常，除了此情況外，在這段時(shí)間所有的數(shù)據(jù)包的回包，從原來(lái)的200 OK變成404、503，而且404、503數(shù)據(jù)變得非常多的時(shí)候，我們認(rèn)為這個(gè)數(shù)據(jù)訪問(wèn)是異常的，來(lái)自于我們對(duì)于數(shù)據(jù)的全面收集以及基于人工智能分析的模型，最后形成了對(duì)訪問(wèn)異常場(chǎng)景的定義。

　　主機(jī)通信異常，正常網(wǎng)絡(luò)里面的主機(jī)和主機(jī)之間不一定有關(guān)系，當(dāng)我們基于數(shù)據(jù)的內(nèi)容、基于AI的分析，主機(jī)和主機(jī)之間訪問(wèn)的頻率變得越來(lái)越高，帶寬越來(lái)越大，這代表什么呢？代表有可能網(wǎng)絡(luò)內(nèi)部出現(xiàn)了非常多的自動(dòng)化的橫向移動(dòng)，這些橫向移動(dòng)大概率事件可能是勒索病毒、挖礦程序在你的網(wǎng)絡(luò)里運(yùn)行，這才是場(chǎng)景的應(yīng)用。

　　例如ACL攻擊面收斂，在不同部門之間，金融行業(yè)有非常多的安全的投入、安全的建設(shè)，有非常多的安全設(shè)備，最后導(dǎo)致設(shè)備之間有互相重疊，后來(lái)者不會(huì)動(dòng)前面的安全策略。在這個(gè)過(guò)程中就會(huì)導(dǎo)致前面提到的安全縫隙。這個(gè)時(shí)候需要通過(guò)大量的數(shù)據(jù)分析，判斷這個(gè)攻擊面，互相訪問(wèn)控制的策略是不是允許你調(diào)整？需不需要調(diào)整？怎么調(diào)整，這才是我們把數(shù)據(jù)分析應(yīng)用到場(chǎng)景化的最有效使用，我們才能去幫助更好的實(shí)現(xiàn)安全運(yùn)營(yíng)。

　　當(dāng)我們注意到一些專線的入侵行為，需要判斷有沒(méi)有一些API暴露在外，這些API有沒(méi)有被攻擊，我們有沒(méi)有可信任的第三方專線比如金融程序網(wǎng)、金融專線，是否存在異常行為。我們會(huì)發(fā)現(xiàn)有沒(méi)有一些異常的隧道，比如說(shuō)DNS隧道。DNS域名解析，即為所有網(wǎng)絡(luò)訪問(wèn)最基礎(chǔ)的行為，在這個(gè)過(guò)程中尤其是金融企業(yè)作為一個(gè)封閉的網(wǎng)絡(luò)來(lái)說(shuō)有非常多的攻擊者會(huì)利用這些隧道的方式來(lái)進(jìn)行數(shù)據(jù)的傳輸。能不能看到企業(yè)現(xiàn)在網(wǎng)絡(luò)里面?zhèn)鬏敂?shù)據(jù)是否為真實(shí)的DNS數(shù)據(jù)請(qǐng)求，是否有人利用這些DNS請(qǐng)求做一些其他數(shù)據(jù)傳輸？這才是大量數(shù)據(jù)分析以及利用各種算法分析所關(guān)聯(lián)到的模型的價(jià)值，這才是我們需要干的事情。

　　既然我們有了數(shù)據(jù)、有了模型，有了跟數(shù)據(jù)相關(guān)的模型所涉及到的場(chǎng)景的時(shí)候，那就會(huì)討論我搭建數(shù)據(jù)分析的閉環(huán)，其意義就在于基線和時(shí)序是有關(guān)系的。大量的數(shù)據(jù)存儲(chǔ)下來(lái)，這個(gè)數(shù)據(jù)前一秒鐘的行為和后一秒鐘的行為，前一分鐘的行為和后一分鐘的行為之間是不是有關(guān)聯(lián)，需要通過(guò)數(shù)據(jù)進(jìn)行基線的建模，并深度分析。

　　04

　　全流量安全計(jì)算分析平臺(tái)構(gòu)建起全面防御

　　除了需要判斷分析是否存在已知威脅之外，對(duì)于金融行業(yè)來(lái)說(shuō)，更加應(yīng)該對(duì)未知的威脅，通過(guò)安全數(shù)據(jù)計(jì)算，構(gòu)建起持久的自動(dòng)監(jiān)控響應(yīng)機(jī)制。

　　持久的自主監(jiān)控響應(yīng)機(jī)制應(yīng)該具備如下特點(diǎn)：當(dāng)發(fā)現(xiàn)異常行為時(shí)，能夠及時(shí)啟動(dòng)告警、處置、阻斷等行為。我們前面談到的，利用全流量數(shù)據(jù)進(jìn)行安全計(jì)算，并使用這些模型和算法，應(yīng)該能夠持久地運(yùn)行在平臺(tái)上，做持久地響應(yīng)，供客戶自定義去使用，形成客戶自主的能力框架。

　　安全運(yùn)營(yíng)需要集成大量的情報(bào)和溯源分析，這些數(shù)據(jù)并不是只有個(gè)人的數(shù)據(jù)及企業(yè)內(nèi)部的數(shù)據(jù)，同時(shí)需要結(jié)合大量第三方的互聯(lián)網(wǎng)數(shù)據(jù)來(lái)進(jìn)行判斷，能精細(xì)化的調(diào)查、取證、做更加完善的全面的防御。

　　企業(yè)如果想要構(gòu)建起全面防御的閉環(huán)時(shí)，非常重要的一點(diǎn)就是跟時(shí)序有關(guān)，跟模型輸出有關(guān)，跟數(shù)據(jù)分析有關(guān)，最終要自動(dòng)化地去做響應(yīng)，這是我們核心要做的事情。

　　05

　　場(chǎng)景化的案例賦能金融行業(yè)網(wǎng)絡(luò)安全運(yùn)營(yíng)落地

　　在金融行業(yè)到底怎么樣將這套閉環(huán)體系進(jìn)行落地呢？我們有一個(gè)非常好的案例，這個(gè)客戶是中國(guó)的銀行卡業(yè)務(wù)的核心和樞紐，它的體系非常龐大。我們跟他們研討了很多年，最終發(fā)現(xiàn)客戶自主能力+廠商能力結(jié)合的方式是比較合適的。他們首先要把整個(gè)基礎(chǔ)架構(gòu)集中化，基礎(chǔ)設(shè)施云化，要實(shí)現(xiàn)海量的數(shù)據(jù)的存儲(chǔ)，因?yàn)槊恳粋€(gè)數(shù)據(jù)的存儲(chǔ)會(huì)涉及到每一個(gè)用卡人的每一分錢的安全。

　　在這個(gè)過(guò)程中，我們斗象與客戶探討的是，幫助他建立一套全新的、面向未來(lái)的、具備客戶自主能力的安全運(yùn)營(yíng)體系。

　　作為中國(guó)最為領(lǐng)先金融機(jī)構(gòu)之一，客戶的預(yù)期和目標(biāo)并不止步于：可以應(yīng)對(duì)攻防實(shí)戰(zhàn)、可以進(jìn)行特征威脅檢測(cè)、可以實(shí)時(shí)監(jiān)測(cè)預(yù)警……傳統(tǒng)的安全思路不能滿足頂級(jí)用戶的要求?？蛻舾酉Ｍ軌蛲ㄟ^(guò)大數(shù)據(jù)、人工智能技術(shù)，通過(guò)數(shù)據(jù)計(jì)算、智能模型、分析框架，包括有能力連接全國(guó)所有的分支機(jī)構(gòu)，形成穩(wěn)定的網(wǎng)絡(luò)數(shù)據(jù)的接入，再通過(guò)以數(shù)據(jù)計(jì)算分析為驅(qū)動(dòng)的方式，去形成常態(tài)化的安全運(yùn)營(yíng)體系，從而構(gòu)建縱深防護(hù)能力。從2018年-2020年一直到現(xiàn)在，包括到未來(lái)，我們幫助他們做面向未來(lái)一體化的安全數(shù)據(jù)計(jì)算平臺(tái)和安全運(yùn)營(yíng)平臺(tái)。

　　目前斗象全流量安全數(shù)據(jù)計(jì)算分析平臺(tái)幫助用戶每日進(jìn)行60-80G穩(wěn)定的數(shù)據(jù)采集，每日近百億條網(wǎng)絡(luò)協(xié)議日志的計(jì)算，每天通過(guò)多維的模型運(yùn)算和基線訓(xùn)練，幫助用戶實(shí)現(xiàn)了IOC攻擊信標(biāo)的可視化，以及針對(duì)未知威脅的防御監(jiān)控基線。

　　除此之外，既然有穩(wěn)定的收集的這么多數(shù)據(jù)，這么強(qiáng)大的算力，能不能為這個(gè)客戶帶來(lái)除了安全之外有更多的其他數(shù)據(jù)分析價(jià)值？可以。我們開(kāi)發(fā)API的接口，滿足它對(duì)業(yè)務(wù)挖掘的需求，包括有沒(méi)有人在互聯(lián)網(wǎng)薅羊毛，有沒(méi)有人用假卡，有沒(méi)有人用POS機(jī)薅羊毛等等，這些是通過(guò)開(kāi)放的API的接口去進(jìn)行的更進(jìn)一步在數(shù)據(jù)分析、安全分析在金融業(yè)務(wù)安全領(lǐng)域的運(yùn)用。

　　經(jīng)過(guò)長(zhǎng)時(shí)間的運(yùn)行，平臺(tái)整個(gè)數(shù)據(jù)量達(dá)到PB級(jí)了，我們依然可以實(shí)現(xiàn)秒級(jí)的查詢，支撐到3千多億條的數(shù)據(jù)量，并且整個(gè)體系經(jīng)歷和保障了多次實(shí)戰(zhàn)攻防演練的錘煉。這是我們?cè)诮鹑陬I(lǐng)域已經(jīng)幫助客戶做的事情。

　　斗象科技是國(guó)內(nèi)領(lǐng)先的安全數(shù)據(jù)智能與安全運(yùn)營(yíng)的提供商。

　　斗象旗下包括三大塊業(yè)務(wù)，第一塊是FreeBuf，所有在信息安全領(lǐng)域的無(wú)論是從業(yè)者、愛(ài)好者、專家都知道的，中國(guó)最具影響力的網(wǎng)絡(luò)安全垂直門戶，集中了所有跟網(wǎng)絡(luò)信息安全的技術(shù)、案例、場(chǎng)景。

　　第二我們做漏洞盒子，中國(guó)最大的安全眾測(cè)與第三方漏洞平臺(tái)，我們甲方的安全需求跟我們大量的白帽子之間進(jìn)行關(guān)聯(lián)，在這個(gè)平臺(tái)上將這些白帽子聚力于企業(yè)級(jí)的漏洞挖掘和安全服務(wù)，這是中國(guó)最大的白帽子的集合。

　　第三是斗象的智能安全，數(shù)據(jù)智能安全體系主要側(cè)重于兩件大事情，第一件大事情就是漏洞管理、漏洞情報(bào)的解決方案，有數(shù)據(jù)、有業(yè)務(wù)、有系統(tǒng)就一定有漏洞，有漏洞一定產(chǎn)生情報(bào)，這些漏洞和情報(bào)怎么去管，能不能形成閉環(huán)的運(yùn)營(yíng)體系。第二件事情是全流量的安全計(jì)算分析，我們希望金融企業(yè)在現(xiàn)在運(yùn)營(yíng)的體系里面去做更多的數(shù)據(jù)收集，這個(gè)數(shù)據(jù)包括自己的數(shù)據(jù)、第三方的數(shù)據(jù)、漏洞的情報(bào)、威脅的情報(bào)，這些數(shù)據(jù)都收集起來(lái)以后通過(guò)數(shù)據(jù)科學(xué)、算法模型，最終應(yīng)用到不同的場(chǎng)景里面。

更多信息可以來(lái)這里獲取==>>電子技術(shù)應(yīng)用-AET<<