運營商網(wǎng)絡(luò)流量監(jiān)測溯源分析解決方案 
隨著全業(yè)務(wù)競爭的展開，中國移動在增值應(yīng)用、信息服務(wù)領(lǐng)域以及Internet接入方面進行了穩(wěn)步擴展。而越來越多的網(wǎng)絡(luò)威脅已經(jīng)嚴(yán)重影響了移動客戶的安全。為保證客戶數(shù)據(jù)、公司資料的安全性，提高服務(wù)質(zhì)量，對CMNET安全系統(tǒng)檢測溯源能力提升是十分必要的。
在上述背景和需求下，某省移動需整合現(xiàn)有的CMNET安全防護手段，形成一套完善的CMNET防護體系，實現(xiàn)對CMNET網(wǎng)可監(jiān)、可控、可溯源的全方位的防護能力，進一步提高網(wǎng)絡(luò)安全水平，以減少網(wǎng)絡(luò)威脅造成的損失。
隨著網(wǎng)絡(luò)技術(shù)的飛速發(fā)展，越來越多的傳統(tǒng)運作方式正在被低耗、開放、高效的分布式網(wǎng)絡(luò)應(yīng)用所替代，網(wǎng)絡(luò)已經(jīng)成為人們?nèi)粘Ｉ钪胁豢扇鄙俚囊徊糠?。但是，隨之而來基于網(wǎng)絡(luò)的計算機攻擊也愈演愈烈，攻擊者利用網(wǎng)絡(luò)的快速和廣泛的互聯(lián)性，使傳統(tǒng)意義上的安全措施基本喪失作用，嚴(yán)重威脅著社會和國家的安全；而且網(wǎng)絡(luò)攻擊者大都使用偽造的IP地址，使被攻擊者很難確定攻擊的位置，從而不能實施有針對性地防護策略。
這些都使得逆向追蹤攻擊源的追蹤技術(shù)成為網(wǎng)絡(luò)主動防御體系中的重要一環(huán)，它對于最小化攻擊的當(dāng)前效果、威懾潛在的網(wǎng)絡(luò)攻擊都有著至關(guān)重要的作用。
中新網(wǎng)安采用基于大數(shù)據(jù)技術(shù)網(wǎng)絡(luò)安全事件分析的統(tǒng)一安全防護平臺架構(gòu)，采集各類子系統(tǒng)flow流量和日志，通過萬兆交換機將數(shù)據(jù)分析內(nèi)容傳輸至大數(shù)據(jù)分析及存儲系統(tǒng)。采集范圍包括：各類子系統(tǒng)關(guān)鍵網(wǎng)絡(luò)匯聚節(jié)點流量、攻擊檢測設(shè)備的日志、統(tǒng)一流量檢測平臺中的異常流量攻擊信息等關(guān)鍵數(shù)據(jù)傳送至大數(shù)據(jù)分析及存儲系統(tǒng)，通過針對攻擊事件類型、IP地址等特征進行關(guān)聯(lián)檢索分析，從不同緯度呈現(xiàn)當(dāng)前網(wǎng)絡(luò)各類安全事件狀態(tài)。
通過采集分析實現(xiàn)對網(wǎng)絡(luò)安全事件的分析檢測后，實現(xiàn)對檢測發(fā)現(xiàn)安全事件的處置——將流量清洗系統(tǒng)、入侵防御等具體安全事件處理模塊加入處置流程，對于發(fā)現(xiàn)的網(wǎng)絡(luò)安全事件，根據(jù)事件類型向流量清洗系統(tǒng)或入侵防御系統(tǒng)發(fā)送處置指令，并跟蹤處置過程及處理結(jié)果。
通過整體方案為用戶提供CMNET統(tǒng)一安全防護能力，包括CMNET整體安全事態(tài)感知、CMNET網(wǎng)絡(luò)安全攻擊數(shù)據(jù)溯源、CMNET攻擊源分析、策略執(zhí)行中心、安全漏洞管理、威脅預(yù)警、異常行為分析、通用報表功能、通用管理功能九大功能。
客戶價值
綜合展示統(tǒng)一安全防護平臺整體風(fēng)險狀態(tài)，有助于了解CMNET整體安全水平，形成風(fēng)險趨勢，并與后臺數(shù)據(jù)進行對接； 發(fā)布網(wǎng)內(nèi)資產(chǎn)視角的實施違規(guī)行為； 發(fā)布最新被控主機列表，并給出詳細連接信息； 查看風(fēng)險詳情詳細風(fēng)險統(tǒng)計及趨勢分析，進行異常事件管理、安全通告管理； 從流量分析系統(tǒng)接收DDOS攻擊的結(jié)果，并根據(jù)結(jié)果中的DDOS攻擊的目的地址和起始/結(jié)束時間，對接收的 netflow原始數(shù)據(jù)進行過濾和存儲，并對DDOS攻擊進行詳細的分析，根據(jù)攻擊的目的地址和起始時間結(jié)束 時間，在全部netflow原始數(shù)據(jù)中查詢符合條件的攻擊流量并進行分析，統(tǒng)計全部攻擊原始數(shù)據(jù)；
在攻擊過程中，從流量的占比視角來看，溯源的攻擊類型，如：DDoS攻擊，Web類、軟件漏洞攻擊、以及其他任何觸發(fā)規(guī)則的攻擊，針對每個攻擊，系統(tǒng)能夠根據(jù)省網(wǎng)/城域網(wǎng)路由器端口統(tǒng)計每個運營商/省網(wǎng)/城域網(wǎng)的攻擊流量，并計算每個IP地址/C類網(wǎng)段的發(fā)包數(shù)量、總字節(jié)數(shù)、起始時間、結(jié)束時間、bps和pps，并按運營商/省網(wǎng)/城域網(wǎng)進行分類；
根據(jù)大數(shù)據(jù)平臺的各類模型算法，從接收流量開始，即開始進行風(fēng)險的大規(guī)模分析和預(yù)警，采用以事件化分析的方法，把復(fù)雜的攻擊細節(jié)簡單化，智能判斷攻擊是否成功，可視化清晰還原出攻擊者的攻擊過程，以攻擊手法為依據(jù)，對攻擊者進行判斷；基于攻擊行為規(guī)則庫的深度檢測把攻擊者所有可能的攻擊方法進行總結(jié)，采用廣譜加智能匹配算法相結(jié)合，增加檢測率的同時降低了誤報率，采用流量雙向檢測技術(shù)，自動識別攻擊是否成功；
根據(jù)攻擊者的攻擊路線，分析出存在的安全問題，通過對攻擊行為的進行數(shù)學(xué)建模分析，總結(jié)了大量攻擊模型，攻擊者很難繞過檢測，比如異常流量模型，文件異常訪問模型等，而與此同時可根據(jù)算法再次進行弱點強化；
利用大數(shù)據(jù)分析技術(shù)，實時掌握互聯(lián)網(wǎng)安全威脅情報數(shù)據(jù)，支持CMNET安全事件的快速響應(yīng)和威脅預(yù)測。
| 
