奇虎360高級(jí)副總裁兼首席安全官譚曉生：攻破網(wǎng)絡(luò)安全需要數(shù)據(jù)驅(qū)動(dòng)、智能提升、產(chǎn)業(yè)聯(lián)合齊力協(xié)同

大數(shù)據(jù) 數(shù)據(jù)驅(qū)動(dòng) 網(wǎng)絡(luò)安全產(chǎn)業(yè)聯(lián)合

譚曉生 | 2016-11-18 15:16

【數(shù)據(jù)猿導(dǎo)讀】最近兩年大家對(duì)終端安全更加的重視起來(lái)，網(wǎng)絡(luò)中經(jīng)過(guò)加密的流量越來(lái)越多，超過(guò)50%。在奇虎360高級(jí)副總裁兼首席安全官譚曉生看來(lái)，要攻破網(wǎng)絡(luò)安全需要寫協(xié)同數(shù)據(jù)驅(qū)動(dòng)、智能提升、產(chǎn)業(yè)聯(lián)合共同發(fā)力

奇虎360高級(jí)副總裁兼首席安全官譚曉生：攻破網(wǎng)絡(luò)安全需要數(shù)據(jù)驅(qū)動(dòng)、智能提升、產(chǎn)業(yè)聯(lián)合齊力協(xié)同

2016年11月17日下午，第三屆世界互聯(lián)網(wǎng)大會(huì)“大數(shù)據(jù)論壇”舉行，本次論壇由中國(guó)國(guó)家互聯(lián)網(wǎng)信息辦公室和浙江省人民政府指導(dǎo)支持，中國(guó)科學(xué)院主辦，中科學(xué)院信息工程研究所承辦，數(shù)據(jù)中心聯(lián)盟協(xié)辦。

在該論壇上，奇虎360公司高級(jí)副總裁兼首席安全官譚曉生先生發(fā)表了“數(shù)據(jù)驅(qū)安全協(xié)同，保護(hù)重要信息系統(tǒng)及大數(shù)據(jù)安全”的主題演講。他提出一個(gè)叫做Data Driven Industry Collaboration的理念，表示在數(shù)據(jù)驅(qū)動(dòng)之下，產(chǎn)業(yè)基于能力協(xié)同的戰(zhàn)略合作可能是會(huì)解決網(wǎng)絡(luò)安全的一個(gè)出路。

以下是演講全文：

360是一個(gè)安全公司，而且是從2009年開始采用大數(shù)據(jù)方法，用于信息安全的一些防范。去年烏鎮(zhèn)互聯(lián)網(wǎng)大會(huì)上面，可以看到展示給習(xí)主席全球DDos攻擊的全景，那個(gè)是隨時(shí)可以知道全球正在發(fā)生的DDos攻擊是什么，他們的控制端是什么，打什么端口，DDos打了多長(zhǎng)時(shí)間?

無(wú)時(shí)無(wú)刻都在收集網(wǎng)上的信息進(jìn)行展示，這是我們把它叫做看見的力量?？淳W(wǎng)絡(luò)的攻擊了解攻擊的全貌，講出來(lái)攻擊的故事，這是非常典型的網(wǎng)絡(luò)攻擊的故事的模型。

在這里的我們現(xiàn)在用的方法是什么呢?

第一個(gè)是數(shù)據(jù)驅(qū)動(dòng)，在今天如果是僅僅采集到了一部分信息，今天是遠(yuǎn)遠(yuǎn)不夠的，可能需要原始流量，比如說(shuō)網(wǎng)絡(luò)流的信息，可能還需要用戶在終端里面人的行為，程序的行為等等這一系列的東西，我們今天的工作方面已經(jīng)轉(zhuǎn)向由數(shù)據(jù)驅(qū)動(dòng)的工作方法。

這個(gè)從2009年年底的時(shí)候，360對(duì)惡意樣本的分析，對(duì)人工找特征變成經(jīng)濟(jì)學(xué)預(yù)算法進(jìn)行自動(dòng)的分類。到三年多之前，我們對(duì)于網(wǎng)絡(luò)流量，全部采集下來(lái)之后，對(duì)流量進(jìn)行還原，試圖用統(tǒng)計(jì)概率和經(jīng)濟(jì)學(xué)預(yù)算法找出異常。

第二個(gè)是智能的提升，這些年的算法及我們從簡(jiǎn)單的用SVM這樣的分類，演變到后來(lái)機(jī)器學(xué)習(xí)更高深的算法。到現(xiàn)在也有用于協(xié)議識(shí)別和網(wǎng)絡(luò)外部攻擊的判定，這是一個(gè)智能的提升，這是主要在算法上的改進(jìn)。

第三個(gè)產(chǎn)業(yè)聯(lián)合，產(chǎn)業(yè)聯(lián)合更多的是基于情報(bào)的交換，我們自己為全球的其他的安全研究人員提供服務(wù)，同樣其他的安全研究人員他們的數(shù)據(jù)也會(huì)公開給我們，大家會(huì)在這方面有情報(bào)的交換。在這三個(gè)基礎(chǔ)智商有一個(gè)更高的層面是叫協(xié)同，這個(gè)協(xié)同不僅僅是數(shù)據(jù)交換是協(xié)同比較低的層面，再往上是能力的協(xié)同，很多數(shù)據(jù)量大到根本沒有辦法交換，交換的時(shí)候拿到數(shù)據(jù)也不知道怎么用。所以對(duì)數(shù)據(jù)的分析，最后出來(lái)的結(jié)果或者事情的處置會(huì)變成更高層面的協(xié)同。

終端安全經(jīng)過(guò)了3、4年前一段時(shí)間的低谷，最近兩年大家對(duì)終端安全更加的重視起來(lái)，網(wǎng)絡(luò)中經(jīng)過(guò)加密的流量越來(lái)越多，超過(guò)50%。這時(shí)候攻擊者必然要拿下來(lái)某一個(gè)終端，這時(shí)候的終端是非常好的信息手機(jī)裝置以及最終產(chǎn)生動(dòng)作的裝置。

在這里講到EDR對(duì)所有行為，對(duì)文件操作，對(duì)進(jìn)程信息，對(duì)網(wǎng)絡(luò)訪問(wèn)，對(duì)文件傳輸和文件內(nèi)容都可以進(jìn)行采集。同樣的話終端是可以接受控制指令，對(duì)某個(gè)程序進(jìn)行阻斷，殺死某個(gè)進(jìn)程，組織某個(gè)網(wǎng)絡(luò)操作等等一系列的行為，這是在EDR。NDR網(wǎng)絡(luò)中間加密的流量越來(lái)越多，即使在這樣的情況下，在這方面也可以做更多的檢測(cè)和相應(yīng)的。

在這里講到EDR對(duì)所有行為，對(duì)文件操作、進(jìn)程信息、網(wǎng)絡(luò)訪問(wèn)、文件傳輸和文件內(nèi)容都可以進(jìn)行采集。同樣的話終端是可以接受控制指令，對(duì)某個(gè)程序進(jìn)行阻斷，殺死某個(gè)進(jìn)程，組織某個(gè)網(wǎng)絡(luò)操作等等一系列的行為，這是在EDR。NDR網(wǎng)絡(luò)中間加密的流量越來(lái)越多，即使在這樣的情況下，在這方面也可以做更多的檢測(cè)和相應(yīng)的。

因?yàn)橛薪K端沒有覆蓋到，或者終端已經(jīng)被感染之后，已經(jīng)不能正常的行使信息的探測(cè)和阻斷的行為，可以第二個(gè)知道系統(tǒng)中發(fā)生什么事情的機(jī)會(huì)。這里面包括了我們對(duì)資產(chǎn)的發(fā)現(xiàn)，對(duì)于一些終端行為的補(bǔ)充的發(fā)現(xiàn)，對(duì)于網(wǎng)絡(luò)行為，對(duì)于可以在日志等等這樣的事情，EDR加NDR現(xiàn)在變成有兩個(gè)大的數(shù)據(jù)來(lái)源和產(chǎn)生處置的地方。

最終在應(yīng)用上面我們分成兩個(gè)場(chǎng)景，一個(gè)是在集團(tuán)的內(nèi)部，它需要知道它有什么樣的資產(chǎn)，正在發(fā)生什么事件，有四張屏，四屏聯(lián)動(dòng)，在任何一張屏幕進(jìn)行操作，其他的屏幕內(nèi)容感知會(huì)推出來(lái)你想要的東西，做四屏聯(lián)動(dòng)這是一個(gè)外部的感知場(chǎng)景。

舉的例子是一個(gè)城市，一個(gè)城市中間的網(wǎng)絡(luò)的安全的狀況是什么樣子的，我有沒有什么網(wǎng)站?有沒有什么樣的威脅?我的基礎(chǔ)設(shè)施，比如說(shuō)物聯(lián)網(wǎng)的設(shè)備，工業(yè)控制系統(tǒng)等等有沒有什么問(wèn)題?在這里有外部的感知。外部的感知一方面會(huì)要有全網(wǎng)的主動(dòng)的信息探測(cè)的能力，還有從某個(gè)區(qū)域之內(nèi)，從終端設(shè)備到網(wǎng)絡(luò)設(shè)備采集信息上傳之后綜合的匯總。

最終我們提出一個(gè)理念叫做Data Driven Industry Collaboration，我們有數(shù)據(jù)驅(qū)動(dòng)之下的，有產(chǎn)業(yè)基于能力協(xié)同的戰(zhàn)略合作可能是會(huì)解決我們網(wǎng)絡(luò)安全的一個(gè)出路。謝謝大家。

來(lái)源：數(shù)據(jù)觀

收藏分享

聲明：數(shù)據(jù)猿尊重媒體行業(yè)規(guī)范，相關(guān)內(nèi)容都會(huì)注明來(lái)源與作者；轉(zhuǎn)載我們?cè)瓌?chuàng)內(nèi)容時(shí)，也請(qǐng)務(wù)必注明“來(lái)源：數(shù)據(jù)猿”與作者名稱，否則將會(huì)受到數(shù)據(jù)猿追責(zé)。