態勢感知2.0平臺，在技術要素層相較于1.0而言更為豐富和更具先進性，其融入了大數據技術、人工智能技術、云安全技術、自動化防御及響應技術、威脅情報等等，使整個態勢感知2.0平臺適用性更為廣泛，其提供的服務領域也逐漸增多，同時它也促進了安全行業的整體發展和進步。

具體融入的技術包括如下幾個部分：

01 獲取層融入新技術

在獲取層融入的新技術有 VxLAN 和東西向流量獲取技術。

在All in Cloud的大環境下，云計算平臺使用的網絡相較傳統IDC網絡結構已發生了根本性的變化。它廣泛采用了先進的SDN技術；一般而言傳統IDC環境下南北向訪問流量占 80%，而東西向訪問流量占20%，因此在核心交換機上采集即可滿足數據分析的需求；而在All in Cloud的環境下訪問流量走向則是東西向流量偏多，南北向流量相對偏少；因此僅在核心交換機采集流量數據是無法滿足態勢感知的需要的。故在充分分析南北向流量和路徑后，有針對性地選擇在關鍵位置部署流量采集探針，同時采集虛擬主機層東西向流量來滿足態勢感知要求。

另外針對物聯網（Internet of Things，IoT）技術的發展，支持多協議和兼容將是一大趨勢，大多數 IoT 設備采用無線通信技術，在這一環境下采集數據將是一個挑戰。

02 理解層融入大數據

理解層融入Hadoop、Storm、Spark、ES、Flume、Kafka、Hive、Hbase 等新興大數據技術，用來對日志進行處理、分析、存儲和挖掘等。

例如采用Storm對數據流進行實時處理，可以實現近乎實時的風險發現功能，相較于以前的離線數據分析技術，可有效縮短安全預警時效。

采用了大數據平臺后，有效地提升了數據分析效率，可在短時間內對大批量數據進行分析和比對，有效發現潛在安全風險和實現提前預測風險。

03 評估層融入新模型

評估層在統計、規則和特征型的規則上融入數據挖掘、關聯分析、智能分析模型；從數據倉庫中收集的安全設備日志、網絡日志、應用日志、終端日志以及第三方的威脅情報數據等。

收集到的信息和安全事件通過檢測分析引擎統計分析、關聯分析、模式分析、機器學習發現高優先級安全事件，將發現的高優先級事件反饋到運營系統中，同時發現的高優先級安全事件將存儲到數據樣本庫、知識庫（案例庫）中，便于后期的溯源和分析。

關聯模型通過實時關聯技術過濾事件，在大量安全事件（甚至是誤報事件）中提取有用的信息。例如登錄異常、漏洞利用、蠕蟲活動、網絡入侵、主機失陷等，關聯分析模型主要包括以下幾個不同類型：

• 基于端口的關聯：開放端口的數據與防火墻數據進行關聯分析，幫助檢測攻擊者何時嘗試訪問系統端口或不存在的服務，從而發現低慢攻擊；

• 基于安全事件的關聯：安全設備告警事件之間進行實時關聯分析，減少事件誤報，提高告警準確率；

• 基于統計的關聯：對每個類別的事件設定合理的閾值，當超過閾值可以產生一個更高級別的安全事件，同時與資產或其他安全事件進行關聯，判斷某個安全事件造成的影響和后果。

機器學習主要是使用算法和統計方法創建能夠學習的系統。系統可以從采集的數據中學習，形成一個具有相關特征的分析模型。通過模型訓練，完成IP非正常訪問、賬戶安全、XSS攻擊、SQL注入攻擊、JavaScript腳本注入等威脅的檢測任務。

通過對收集的數據和安全事件分析，從惡意程序感染、異常連接、C&C、傳播、數據泄露等維度檢測未知威脅。當攻擊和規則模型關聯后，自動從知識庫調用相關知識信息，包括影響主機、影響用戶、root事件、連接和所有行為的時間軸軌跡，作為輔助參考。同時取證結果收入數據樣本庫、知識庫（案例庫）。

以部門、個人、資產、資產群等為單位建立多維度行為基線，利用統計、特征、機器學習算法和預定義規則學習每個用戶和設備的正常行為基線，通過關聯分析和概率計算，計算用戶異常分值以便及時發現異常的用戶、惡意的內部用戶和攻擊者。

場景分析主要依據攻防、滲透經驗和大數據分析技術檢測網絡中的威脅，解決了規則判定時，無法確定具體閾值的問題，根據企業組織中的網絡特點和經驗判斷異常行為。

常用場景如下：

• 創建非管理員用戶后的權限升級，非管理員用戶一般不會將其權限提升到管理員級別，或其他高級用戶級別；

• 文件非授權訪問，在很接近的時間內多次嘗試訪問用戶沒有權限的共享文件/目錄；

• DNS 隱蔽隧道，通過數據包關鍵字段異常的編碼監測，支持如下的DNS隱秘隧道發現：通過超長域名信息傳遞數據、通過txt請求傳遞數據、通過AAAA 記錄傳遞數據等。數據泄漏，VPN用戶在工作時間外登錄并向外網傳輸數兆字節或更多（VPN 連接期間）數據；

• 蠕蟲/木馬/惡意軟件攻擊，網絡上一臺主機開始攻擊或探查網絡上其他主機；

• 高風險主機檢測分析，通過 DNS 解析行為分析服務器或終端的異常行為。可以確認已知、未知的惡意軟件、APT攻擊以及實時監測內部的威脅。

04 展現層融入新態勢

在展現方面融入熱力圖、地理信息、威脅指數等元素，通過與資產、事件、漏洞、威脅、風險及告警相關聯分析，產生可視化的預測視圖。

使用可視化技術，將原本碎片化、零散化的行為告警、安全態勢、資產管理等智能綜合分析展現，形成多維度的安全態勢感知展示，幫助安全運營人員及時理解、定位問題。

通過風險計算模型，綜合考慮資產的價值、脆弱性和威脅，按高危、中危、低危安全級別分類統計。同時通過中國地圖以熱力圖形式展現資產的地理位置、個數和威脅指數；通過世界地圖熱力圖查看攻擊源，計算整體業務安全風險值，獲取發起最多攻擊次數的源IP列表，以雷達圖顯示最近的攻擊類型，最近的攻擊源分析。

對管理對象劃分安全域，并進行資產化管理，可以自定義監控區域。提供基于拓撲的監控視力，可以按圖形化拓撲模式顯示資產，通過視圖可直接查看該資產的狀態、事件、漏洞、威脅、風險及告警信息。

利用時序圖實時展示安全攻擊事件數量，并按照攻擊類型、受影響的 IP，受攻擊的專業公司展示安全攻擊事件，同時實時滾動顯示最近攻擊事件。

內部安全態勢展示已發現的安全事件，能夠按照時間段以木馬蠕蟲、漏洞、流量、惡意軟件為視角，進行安全事件的展示。從告警、處置、資產、日志、系統維護、類型、分布多個維度實時進行安全事件統計分析，并以2D/3D、柱圖、餅圖、堆疊圖等形式進行可視化的展示。

數據安全態勢，對企業組織的數據進行全面監測，與用戶行為模型結合，依據相應業務場景，發現數據的不正當訪問與調用、數據的異常流動等行為，從類型、用戶、資產等維度在統一視圖中展示。

運營人員可以根據內置或者自定義的審計策略，從事件的任意維度實時觀測安全事件的走向，并可以進行事件調查、取證，并進行事件行為分析和來源定位。

在行動層融入流行的工作流引擎，如JBPM、Activiti、OSWorkflow工作流引擎使已知風險處理更高效和可追溯，同時融入告警和事件管理使整個安全風險處置形成一個閉環，從而提高在風險處置環節的效率。