SOAR安全運營解決方案

天璇自動化研判與處置平臺是國舜自研的自動化研判與處置平臺，通過搜集所有網內資產的安全信息，對收集到的各種安全事件進行深層的過濾、分析、統計、關聯和存儲。提供資產自動化盤點、網絡攻擊面測繪、流量威脅感知、漏洞閉環管理、攻擊鏈還原、威脅情報管理、日志審計與檢索調查、安全編排與自動化響應及安全可視化等能力，及時發現反映被管理資產的安全情況，定位安全風險，并提供處理方法和建議。幫助用戶實現事前安全預防，事中事件監測與威脅檢測，事后快速響應處置的一站式、可視化、自動化的安全運營管理。 · 具備網絡空間安全持續監控能力，能夠及時發現各種攻擊威脅與異常； · 具備威脅調查分析及可視化能力，可以對威脅相關的影響范圍、攻擊路徑、目的、手段進行快速判別，從而支撐有效的安全決策和響應； · 構建基于SOAR的劇本引擎，支持“取證、過濾、分析研判、追蹤溯源、處置響應”五個階段的編寫全自動/半自動化劇本（SOAR）能力，使入侵檢測感知時間從小時級壓縮至分鐘級，入侵檢測處置效率提升數倍； · 建立安全預警機制，完善風險控制、應急響應和整體安全防護的水平； · 幫助不同類型用戶需求，提升用戶對態勢監控、威脅分析、運維處置等安全能力的建設水平； · 打造基于數據深度鉆取、可視化展現、態勢處置與預警、智能運營等動態賦能，助力用戶全流程、全周期態勢感知。

天璇自動化研判與處置平臺以資產管理為基礎，以風險管理為核心，以事件管理為主線，通過數據采集、數據存儲、關聯分析等技術，輔以有效的安全策略、安全監測、安全預警、分析研判、調查取證、處置響應、復盤分析等功能，并結合SOAR技術固化安全專家知識，實現自動化調查取證和處置響應提升企業網絡安全運營效率。結合ATT&CK知識庫不斷提升和完善企業的網絡安全防御體系。 天璇自動化研判與處置平臺的各功能層主要功能如下： · 數據采集層：提供開放式的信息采集接口，實現對用戶環境內各類IT資產的日志收集及范式化處理的能力，滿足各類安全設備、網絡設備、操作系統和中間件的日志收集及處理。平臺內置威脅情報中心，實現安全威脅情報的獲取，管理和使用。 · 數據存儲層：實現海量安全大數據的分布式存儲，提供結構化數據和非結構化數據的存儲能力，并為上層的數據分析應用提供高效的數據庫功能支撐； · 分析與處置層：平臺綜合數據分析能力，是支撐上層數據呈現和分析結果輸出的計算引擎層，提供豐富的大數據統計、關聯分析、數據挖掘以及態勢分析能力，是系統的分析處理的核心。同時平臺基于SOAR技術實現安全告警的自動/半自動取證、自動分析研判，針對安全事件的分析研判結果，可以聯動工單平臺，自動生成對應的告警工單，或者通過郵件等方式提醒通知運維人員進行處置?？梢詫崿F設備聯動，自動下發處理指令給防火墻、EDR等設備進行安全封禁。 · 安全視圖層：通過下層所提供的數據采集和處理能力向用戶輸出態勢感知能力，包括資產態勢、攻防態勢、脆弱性態勢、風險態勢等，服務于全網的安全態勢呈現，支撐用戶全局的安全防護工作。 天璇自動化研判與處置平臺輔助企業建設可持續迭代的安全運營體系，為網絡安全運營中的每個環節提供標準化框架，降低運營的門檻、提升運營效率、以事件反饋和促進企業網絡安全的正向建設，不斷提升企業網絡安全縱深防御體系的可感、可知、可控、可反擊網絡安全能力。

1.日常安全運維工作的有力工具 對于日常安全運維而言，核心的工作內容就是對IT資產中的網絡設備、安全設備及重要業務系統進行持續監測，確保網絡、主機、應用、業務、重要信息系統和人員資產的安全。更具體地說，就是要持續監測并識別針對各種IT資產的性能故障、非法訪問控制、非法或不當操作、惡意代碼、攻擊入侵、違規與信息泄露行為。借助網絡安全運營平臺，客戶能夠統一收集來自網絡中IT資產的運行信息和日志信息，通過分析這些數據，識別各種攻擊威脅、違規與信息泄露等行為，協助客戶安全運維人員進行安全監視、審計追蹤、調查取證、應急處置、生成各類報表報告，成為客戶日常安全運維的有力工具。 2.安全態勢分析能力 平臺能夠綜合收集到的安全信息要素，基于面向總體安全態勢的認知和監測進行數據的融合、關聯分析和挖掘分析。這其中包括對資產及業務系統受到的攻擊威脅和自身風險程度的分析、復雜攻擊的攻擊過程及攻擊目標分析、攻擊的危害及影響范圍分析、攻擊威脅溯源分析、外部威脅情報與內部安全信息比對分析等，以多種分析手段支撐平臺的安全態勢分析 3.縮短響應時間 通過自動化技術，盡可能多的自動完成一個安全事件處置流程中相關步驟，從而縮短響應時間即MTTR。 4.釋放人力 讓安全專家從繁重的重復勞動中釋放出來，將時間放在更有價值的安全分析，威脅獵捕，流程建立等工作上。 5.安全運營流程標準化 將公司的安全運營流程數字化管理起來，每一次安全事件的對應處置過程都在統一標準，統一步驟下執行，有跡可循。避免人員能力的差距導致的處置實際效果不可控。 6.避免能力斷層 將安全專家的經驗固化成處置預案Playbook，讓不同的人都可以遵循同樣的方法來完成特定安全事件的處置流程，避免因為個人的離職導致某個領域的安全能力缺失。 7.運營流程指標可度量 因為運營流程都通過Playbook數字化管理且每一次的執行過程都記錄在案，因此流程的KPI如MTTD、MTTR、TTQ、TTI等全部可評估，可度量，可追蹤。 8.安全運營決策支撐 通過對公司的所有運營流程數字化管理、數字化執行、數字化KPI評估后，管理者可以有效的評估什么流程基本無用，什么流程執行效率不高，什么流程發揮了最大的作用，甚至什么安全設備在所有流程中被使用的價值最大。從而為以后的安全投資決策，安全團隊建設決策提供有價值的數值化支撐。 9.滿足等級保護2.0以及網絡安全法的相關技術要求 天璇自動化研判與處置平臺在設計之初就充分考慮的國家制定的信息系統等級保護制度中對于平臺的安全設計技術要求。平臺能夠幫助客戶更好地遵從等級保護的基本安全要求和安全設計技術要求。 10.契合信息安全管理體系的監測與評審要求 平臺參照《GB/T 20984 2007信息安全風險評估規范》、《 ISO 27005:2008 信息安全風險管理》等規范，以及 OWASP 威脅建模項目中風險 計算模型的要求，系統提供實用化的風險計算模型，實現了量化的安全風險估算和評估 。

1.面向業務安全管理 系統內置業務建模工具，反映業務支撐系統的資產構成，并自動構建業務健康指標體系，從業務的性能與可用性、業務的脆弱性和業務的威脅三個維度分析業務的健康度，協助用戶從業務的角度去分析業務可用性、業務安全事件和業務告警。 2.集成多種安全產品統一進行安全理解，增強檢測和響應能力 通過在組件安全產品之間共享本地威脅情報來提高保護能力，從而在所有組件之間提供有效的威脅屏蔽；此外，通過自動關聯和確定報警來減少漏報；集成相關數據，進行更快、更準確的報警分類。 3.智能的安全能力網關 系統提供的安全能力網關支持通過系統配置的方式，快速提供安全產品、平臺的接入（例如：沙箱、CMDB系統等），將其外部的安全能力和系統能力通過配置的方式快速集成到SOAR引擎，豐富SOAR劇本安全能力，實現安全能力投資的對外賦能和復用，提升企業整體的安全基線。 4.從實戰出發的調查取證和自動化處置 平臺支持利用SOAR引擎提供的劇本能力實現自動化取證能力，并提供取證工具可線上或線下輔助安全運營人員完成取證工作，并通過系統系統的分析研判工作臺完成證據鏈梳理，線索拓線、溯源分析，提升安全運營人員分析研判效率，并借助SOAR劇本引擎實現自動處置實現快速止損。將應急響應中告警分析研判周期由天級壓縮至分鐘級，將告警的響應處置周期由小時級壓縮至秒級。全面提升安全運營的分析研判和處置響應效率。 5.降低安全運營的復雜度，提高安全運營人員的效率 客戶能夠統一收集來自網絡中IT資產的運行信息和日志信息，通過分析這些數據，識別各類性能故障、非法訪問控制、不當操作、惡意代碼、攻擊入侵，以及違規與信息泄露等行為，協助客戶安全運維人員進行安全監視、審計追蹤、調查取證、自動化應急響應和處置、生成各類報表報告，提高客戶日常安全運營效率。 6.豐富多維的安全態勢 通過對數據的綜合利用，包含安全事件、漏洞脆弱性、告警、資產信息、外部威脅情報等各類安全數據，使用戶把控宏觀安全及風險態勢，了解當前遭受的攻擊態勢，綜合掌握網絡中資產及業務的安全隱患，識別被防護對象受到的威脅態勢，掌握攻擊規律趨勢，定位攻擊源頭并預警潛在威脅。其目標是通過安全信息的集中整合分析，使用戶從資產態勢、漏洞態勢、風險態勢、攻擊態勢等多維度掌握風險威脅態勢，把握威脅的發生、發展、危害范圍，提升整體資產及業務的防護能力。