当前位置：首页 > news >正文

⸢ 拾-Ⅰ⸥⤳ 威胁感知与响应建设方案：感知覆盖威胁识别

news 2025/10/29 6:30:42

👍点「赞」📌收「藏」👀关「注」💬评「论」

在金融科技深度融合的背景下，信息安全已从单纯的技术攻防扩展至架构、合规、流程与创新的系统工程。作为一名从业十多年的老兵，将系统阐述数字银行安全体系的建设路径与方法论，旨在提出一套可落地、系统化、前瞻性的新一代安全架构。

序号	主题	内容简述
1	安全架构概述	全局安全架构设计，描述基础框架。
2	默认安全	标准化安全策略，针对已知风险的标准化防控（如基线配置、补丁管理）。
3	可信纵深防御	多层防御体系，应对未知威胁与高级攻击（如APT攻击、零日漏洞）。
👉4	威胁感知与响应	实时监测、分析威胁，快速处置安全事件，优化第二、三部分策略。
5	实战检验	通过红蓝对抗演练验证防御体系有效性，提升安全水位。
6	安全数智化	运用数据化、自动化、智能化（如AI）提升安全运营（各部分）效率。

10 威胁感知与响应建设方案

10.1 感知覆盖

10.1.1 感知数据品类

10.1.2 感知覆盖的数据流

1. 基于统一日志平台的感知数据流

2. 基于数据仓库的感知数据流

10.1.3 感知数据质量监控

10.2 威胁识别

10.2.1 威胁场景定义

10.2.2 威胁检测策略

1. 权限类：互联网侧攻击者画像

2. 数据类：办公网数据威胁对抗

3. 资金类：资金盗取对抗

10.2.3 策略有效性检验

1.检验脚本配置

2.检测策略有效性计算

👍点「赞」➛📌收「藏」➛👀关「注」➛💬评「论」

10 威胁感知与响应建设方案

本章旨在详细阐述构建威胁感知与响应体系的关键步骤，核心围绕：感知覆盖、威胁识别、威胁运营、威胁响应四大环节展开。本文先介绍感知覆盖、威胁识别。

10.1 感知覆盖

核心观点： 数据是威胁感知的“眼睛”。全面、高质量的感知数据覆盖，是识别安全事件、萃取威胁情报的基础。

建设思路： 参考企业威胁大图，从全域视角盘点资产，并优先在利用成本低、影响面广的威胁场景覆盖感知能力。

10.1.1 感知数据品类

感知数据可分为域内数据与域外情报，二者的关系与价值如下：

🔍 域内数据 + 🌐 域外情报 = 全面威胁视野

数据品类	描述	主要构成与价值
🔍 域内数据	银行内部产生的各类行为与审计数据，是被动防御的基础。	1. 资产主体行为数据：来自主机、网络、数据库等探针。 2. 应用发布评估数据：与发布变更联动，确保新增资产被覆盖。 3. 纵深防御产品审计数据：提供攻击上下文的丰富信息。
🌐 域外情报	来自外部的威胁信息，是实现 “积极防御” 的关键。	- 价值：在攻击者触碰资产前发现并追溯攻击，了解攻击者身份、意图、基础设施等。 - 必要性：避免“信息茧房”，满足强监管要求，关注行业态势（如黑灰产、供应链攻击）。

💡 关键洞察： 仅依靠域内数据如同“闭门造车”，无法形成全攻击生命周期的闭环。必须系统性地建设情报体系，才能做到知己知彼，百战不殆。

10.1.2 感知覆盖的数据流

数字银行本身依托大量的在线业务，所以每天的用户与应用、应用与应用、应用与中间件、应用与数据库之间都在发生海量的交互访问，而由这些交互产生的行为数据的存储将面临较大的技术挑战。数字银行内部采用数据平台能力为统一日志平台和数据仓库，用于支撑多源异构数据的接入、存储和分析。其中，

统一日志平台：主要用于实时数据的接入、短期数据存储和短时间跨度的索引查询；只存储7～30天不等的日志数据，用于威胁研判和事件排查的快速查询
数据仓库：主要用于数据的长期存储和海量数据的ETL开发。分析具有长时间跨度、复杂关联逻辑的数据和长期存储，以满足合规审计需求。

数据流转架构图：

1. 基于统一日志平台的感知数据流

通过阿里云SLS日志服务的私有化部署来高效承载日志数据服务，统一日志平台主要提供了数字银行各个层面的日志数据接入、存储、查询、投递等功能，适配了各类常见设备系统、协议的接入还提供了机器组管理、探针心跳、日志管理、日志索引、日志查询等常用功能。

📡 探针采集：通过统一的Agent主动采集各类主机（服务器、网络设备等）日志。通过心跳机制和自动化编排巡检保障采集的持续性与可靠性。
🔄 数据投递：在性能敏感场景（如流量接入层）或特殊对接场景（如域外情报），采用SDK直接投递或脚本对接，实现灵活、高效的数据接入。
💾 数据存储与索引：
- 存储：短期存储（7-30天）。
- 索引：开启索引后支持秒级查询十亿至千亿级日志，满足快速研判和排查需求。

2. 基于数据仓库的感知数据流

由于要满足金融行业的合规要求，安全类日志至少需要保存一年时间，所以安全类日志的存储量很容易就达到PB级别。除了满足合规需求，威胁感知与响应的策略建设和事件溯源也需要涉及长时间跨度数据的计算分析，因此数据仓库采用分布式计算模式提供了足够的资源和性能优化来支撑海量数据的ETL计算。

为满足PB级数据长期存储（>180天）和复杂分析的需求，数据仓库是必不可少的。

⚙️ 数据ETL（核心处理环节）
- 数据结构化：将非结构化数据（如业务日志）转换为统一格式。通过数据地图记录血缘关系，降低维护成本。
- 数据标准化：统一相同语义的行为字段，实现检测策略与数据源的解耦，提升策略兼容性。
- 数据富化：纳入先验知识（如SDL评估结果、重保等级评估），与已有的基础数据相融合，如：常驻进程、软件版本、系统基线等信息，围绕资产实体进行信息关联，为精细化策略打下基础。
💽 数据存储和查询
- 挑战：海量数据长期存储（>180天）与快速查询（如应对监管紧急排查）。
- 解决方案：数据仓库采用列式存储，通过提前清洗关键字段和建立索引来优化查询效率。

10.1.3 感知数据质量监控

数据的产生、流转、消费是一个持续的过程，数据链路的质量直接影响威胁感知能力的有效性。必须建立可靠的监控与修复机制。通过建设观察指标和巡检机制来保障数据链路的数据质量。

环节	核心指标/方法	描述
📊 数据质量指标监控	数据送达率	（模拟触发数据量 / 平台记录数据量）x 100%，衡量数据是否丢失。
	数据送达时效	平台记录时间 - 模拟触发时间，衡量数据传输是否及时。
🤖 数据质量巡检	自动化巡检系统	1.自动化能力承载：依托一套自动化调度编排系统作为核心执行引擎。 2.模拟数据产生：针对不同数据场景（如服务器）构建触发能力，通过下发脚本等方式周期性生成模拟数据。 3.送达数据比对：通过对接下游服务接口，查询并比对实际送达的数据。
🔧 数据质量修	常见修复方案	1. 探针失效 -> 重启与续传。 2. 数据投递任务失败 -> 任务自愈或人工介入。 3. 查询任务报错 -> 重启自愈或人工介入。

🚨 核心要点： 通过小时级的周期性巡检、可视化的数据面板和及时的告警通知，安全工程师可以持续感知数据水位，确保威胁感知的“眼睛”始终明亮。

10.2 威胁识别

核心目标： 区别于广泛的“风险”，威胁特指已发生或即将发生的安全事件，具有明确的对手（如黑客、内鬼）。数字银行的威胁主要围绕三大核心目标：🛡️ 权限、📊 数据 和 💰 资金。

针对以上威胁，首先会抽象威胁的共性，建设通用型的威胁感知基础手段，然后针对各类威胁的特性，给出独有的安全解决方案及实践，进行精细化的适配和安全运营，不断降低被对手攻击成功的可能性。

10.2.1 威胁场景定义

数字银行面临的威胁可系统性地分为三大类，其关系与定义如下表所示：

威胁类型	描述	主要攻击手法/示例
🛡️ 权限类威胁	攻击者以获取系统控制权为目的，是后续攻击的跳板。	业务层：逻辑漏洞（如水平/垂直越权）。应用层：应用漏洞（如反序列化、RCE）。主机/网络层：系统漏洞、无文件攻击（如内存马）。
📊 数据类威胁	由外部攻击或内部人员导致的数据误用、滥用和窃取。	内部：员工无意识误用、滥用权限爬取、恶意窃取。外部：通过漏洞获取权限后窃取，或使用代理等技术隐藏爬取行为。
💰 资金类威胁	直接针对资金的威胁，可能造成巨大的经济和法律后果。	黑客入侵：如孟加拉银行亿美元盗刷案。黑灰产：利用跑分平台等进行资金结算与转移。

💡 核心洞察： 获取权限是技术手段，而窃取数据和资金是最终目的。资金类威胁是数字银行的生命线，需最高优先级关注。

10.2.2 威胁检测策略

针对上述三类威胁，需采用精细化的检测策略。

1. 权限类：互联网侧攻击者画像

攻击发起的本体是人，为应对权限获取威胁，核心是化被动为主动，构建以“人”为核心的攻击者知识图谱。

图谱构成：包含攻击者身份、攻击源、攻击工具、攻击模式、攻击指示、漏洞、账号、设备、网络环境等10多个实体和30多种关系。
四大功能：
- 提供多维度画像数据：提炼特有的身份账号体系、黑客、用户等核心实体。
- 可视化关联分析：基于图计算、知识图谱和可视化技术构建复杂关系网络。
- 构建威胁情报库：基于多维度、覆盖金融行业的攻击数据收集，利用大数据技术自动化处理，配合安全团队的运营分析，生成各种用途的威胁情报。
- 安全事件智能分析：业务机器攻击检测、失陷外连检测、APT组织检测、越权排查、半自动化攻击者溯源排查等。
应用场景：
- 威胁检测：监控攻击者数字化资产，实现“上线即检测”。
- 告警研判：通过关系网络研判是否存在越权等行为。
- 快速溯源：通过IP、指纹定位攻击者身份，并推理攻击团伙。

攻击者身份定位与关系推理示意图：

2. 数据类：办公网数据威胁对抗

办公网是数据泄露的高风险区。为此，需要建设 “办公网数据盗取可信纵深检测体系” ，其核心架构如下：

🫂 办公网员工画像分析：全方位刻画员工行为，建立正常行为基线，用于检测异常。
💻 办公网终端失陷决策：以终端为核心，结合后门进程、异常网络连接、横向移动等行为，综合判断终端是否被控制。
🔍 办公网应用数据滥用与盗取：
- 步骤：敏感接口识别 → 保护（脱敏）→ 检测（基于基线）→ 响应（如触达员工确认）。
- 检测策略：基于业务特性、查询频率、高敏信息暴露、风险账号监控等。
📤 终端数据外发：
- 基础：终端文件自动识别与分级分类。
- 管控：覆盖所有外发渠道（邮件、IM、云盘等）。
- 运营：异常行为分析、事件溯源与处置。

3. 资金类：资金盗取对抗

资金安全是数字银行的生命线。为确保资金安全，从事前、事中构建了一套全链路、多维度的纵深防护体系。

核心防护框架：

🛡️ 事中感知：三维防护网

在事中感知阶段，针对公网、办公网、生产网三个不同区域，部署了精细化的威胁感知策略，具体如下表所示：

防护区域	核心策略	关键技术与方法
🌐 公网侧	接口行为监控	1. 资金接口打标：基于资产数据识别并标记所有对外资金接口。 2. 建立用户行为动线：监测用户操作序列，有效识别水平越权和业务逻辑漏洞。
💼 办公网侧	人员身份与访问控制	1. 非运营人员访问检测：标记后台资金应用与接口，建立合法运营人员名单，一旦非名单内人员访问，立即告警。 2. 运营人员身份冒用检测：综合网络与终端数据，交叉比对登录会话、IP、设备等信息，发现不一致即判定为身份冒用。
🔧 生产网侧	主机与数据库活动监控	1. 主机恶意命令检测：分析命令行为日志，发现异常指令。 2. 异常脚本与访问检测：监控对资金消息队列、核心资金接口和数据库的非授权访问，防止数据篡改与窃取。

10.2.3 策略有效性检验

为确保威胁检测策略持续可靠，我们建立了一套自动化的检验系统，其核心包括检验脚本的配置与有效性的量化计算。

1.检验脚本配置

成功进行策略有效性检验的关键在于检验脚本的配置。整个系统基于DAG（有向无环图） 存储和管理脚本，以实现复杂的任务依赖和调度。

脚本配置与执行流程如下：

终端类型	脚本类型	配置与执行特点
🖥️ PC端	1. RPA脚本 2. 命令执行型脚本	- 需要事先编写/录制 - 异步执行：通过消息队列分发，由RPA Agent在测试机执行。 - 自检：脚本内部需判断动作效果并返回结果。
🖥️ 服务器端	命令执行型脚本	- 通常直接运行，用于模拟服务器上的攻击行为。

脚本执行的核心流程可概括为以下几步：

2.检测策略有效性计算

通过脚本执行后，系统通过以下方式对检测策略的有效性进行量化计算与综合判定。

评估指标：每个检验脚本会产出1-2项的关键指标：
- ⏱️ 告警时效性：衡量从触发攻击到产生告警的延迟时间。
- 📊 能力覆盖率：衡量检测策略覆盖的攻击面范围。
有效性判定逻辑：
- 脚本级有效：为每个脚本的产出指标配置判断条件（如时效<5秒），满足条件则该脚本被判为有效。
- 策略级有效：当一项检测策略下的所有脚本均被判断为有效时，整个安全策略能力才被最终判定为有效。