萬象（COSMOS）安全分析與管理平臺
基于多年安全實戰經驗，長亭科技發布萬象（COSMOS）安全分析與管理平臺【下文簡稱萬象（COSMOS）】，匯聚多源數據驅動安全建設，提升企業安全水平。
- 系統簡介
- 產品功能介紹
問題與挑戰
隨著網絡安全環境日益復雜，攻擊手段不斷演化，企業面臨的安全威脅正在發生巨大變化，切實維護網絡安全時面臨諸多問題與挑戰：
安全系統/設備獨立建設管理，安全人員需要學習多個系統，數據各自獨立，呈現碎片化和分散化特點，安全運營成本高。
然而，安全風險實時感知和安全運營集中管理實現難度大，如何從大量異構的安全數據流中獲取有用可信的風險告警，并實現高效的運營處置，對企業來說是個要求極高且需耗費巨大人力成本的過程。對此，長亭科技提出【數據驅動安全】和【人+平臺】的整體解決方案。
平臺概述
產品架構
? 通過各種數據處理手段和分析能力，分析出更精準的風險，降低告警量提升可信度
? 提供多種告警處理動作，構建風險研判流程和串聯風險處置閉環
? 輸出各類分析場景、大屏展示等可視化展示能力，讓風險更直觀
? 基于可視化入口串聯后續多種協同響應能力，支撐安全運營流程
另外，結合【人+平臺】整體解決方案，萬象（COSMOS）基于更專業的安全人員來啟動、調優和護航，建立更貼近于企業安全場景的風險分析業務能力，逐步建設信息安全大數據態勢感知。
下圖為產品功能架構圖：
萬象（COSMOS）共有5層功能架構，包括：探針采集層、數據中心層、風險分析層、6個應用中心以及威脅展示層，提供安全數據細分管理、安全風險場景分析、安全自動化編排、風險告警/可視化態勢展示以及威脅情報分析等能力。
定位和價值
萬象（COSMOS）的定位如下：
? 應對層出不窮的新型威脅，提供更專業的攻防經驗支撐、威脅情報數據支撐及安服人員團隊支撐的整體感知與運營方案
? 匯聚多源異構的安全類數據（安全設備日志、安全合規、操作日志、安全運行）、基礎IT類數據（用戶數據、資產數據）、威脅情報數據、流量數據等數據的安全數據中心
? 基于長亭安全攻防實戰及風險分析經驗，針對豐富融合的各類多層次安全數據，提供多種角度深度分析的安全風險數據分析平臺
? 貼合不同企業業務，提供靈活可配置的安全數據處理及可視化分析的安全策略分析工具
? 貫穿企業安全運營體系建設，逐步建立數據分析、風險發現、風險處置、處置反饋/復查的安全風險閉環流程，串聯實際安全工作，形成企業安全運營管理機制
? 企業綜合安全風險態勢可視，配備精美的大屏，分析典型安全場景的可視化展示平臺
? 良好的云化兼容性，支持主流云服務商提供的云主機部署，支持多種云架構，如公有云、私有云、混合云、超融合架構等。兼容主流云系統所提供的虛擬機和操作系統
核心能力
全面匯聚各類安全數據
覆蓋企業安全數據
基于數據驅動安全理念，萬象（COSMOS）能夠融合多源異構數據，建立更貼合業務需求的安全數據中心。平臺支持接入4大維度企業網絡安全數據，包括安全類數據、基礎IT類數據、全流量數據、系統配置和用戶管理數據，共8大類90小類包括WAF、IPS/IDS、漏掃、DDoS、APT、應用系統等。同時，萬象（COSMOS）數據中心支持多種存儲數據結構的維護管理、擴展編輯，可持續擴展接入數據的管理結構。
數據接入和范化
? 兼容主動、被動的主流數據獲取方式，包括：Syslog、文件FTP/SFTP、數據庫、全流量鏡像等，支持接入監控并管理設備，及時發現設備數據是否接入、是否成功范化
? 內置50+主流安全系統自動化解析能力，可直接接入標準化日志，同時支持零基礎數據范化，可快速接入json、xml、鍵值對，并提供正則模式
萬象（COSMOS）配套全系列探針，能夠發現多種自主數據，主要包括：全流量風險監測事件數據、資產發現及脆弱性監測事件數據、網站風險監測事件數據等。下面為全系列探針：
? 數據采集探針：默認搭載探針，靈活部署，支撐第三方數據采集
? 資產監測探針：可選探針，支持主動資產探測及資產脆弱性監測
? 全流量探針：可選探針，旁路鏡像部署，支持全鏡像流量，檢測及發現多層次流量威脅
? 網站監測探針：可選探針，支持網站監測及風險檢測
多源風險場景智能分析
萬象（COSMOS）內置實時流式分析、離線周期分析和離線手動分析三大分析引擎，幫助用戶在理解數據的基礎上快速獲取風險分析能力，高效應對不斷迭代的風險問題，輸出高可信告警。
多源關聯分析工具
在實際業務中，由于安全建設背景、運維思路以及網絡環境等都不盡相同，安全人員很難利用內置的安全規則直接輸出貼合業務需求的告警，需要根據不同風險需求、告警數據量、數據內容、業務情況等調整閾值，修正分析數據。
萬象（COSMOS）針對多源數據提供交互式功能，可以靈活配置統計、篩選、關聯、基線等分析策略，學習成本更低，并支持通過SQL補充多種復雜分析要求，同時，可循環引用分析結果數據，輸出態勢風險告警。
分析引擎和基線學習
萬象（COSMOS）能夠增加引擎快速響應應急場景，包括：
? 語義分析引擎：針對Web流量對目標字符串依次進行詞法分析、語法分析、語義分析，結合安全威脅模型打分，實現Web攻擊精準監測
? 基線分析引擎：基于數值建立基線區間，串聯關聯分析工具，快速應用到關聯分析規則配置中，發現異常數據從而實現異?；€分析
? 內置多個監測模型引擎，包括：DGA域名檢測引擎、DNS 隱匿信道引擎等，實現提取DGA發送載體行為特征進行惡意DGA域名定位，以及DNS隧道檢測
高效安全運營管控
萬象（COSMOS）提供多種自動化運營手段，結合實際安全運營需求，串聯多種安全分析及處置手段，構建涵蓋重大活動保障和日常安全管控工作場景，降低成本。
安全編排、自動化響應
風險研判&處置流程
平臺內置風險告警研判中心，面向多個安全運營角色，包括告警監控角色、研判分析角色及風險處置角色，能夠串聯安全運維及處置流程，并支持按需擴展和建設。
最佳實踐場景
自動封禁IP，高效應對攻擊
在日常運維、重大活動保障和攻防演練等場景中，企業要能快速“發現、研判、處置”風險，但在實際工作中往往面臨著問題：
? 投入大量人力才有可能做到高效、快速響應，成本高
? 人工流程無法保障實時性，到發現時攻擊者可能已深入內網
針對不同的告警，平臺能夠自動化攔截攻擊者IP，并截斷攻擊過程，解放人工處置成本同時更高效應對攻擊。平臺在各個邊界入口建立封禁點，快速發現風險IP，針對攻擊源IP實時聯動封禁，為后續精準溯源反制提供更多時間。
針對不同運營流程，平臺支持自動化和人工雙模式，配合風險研判、確認和處置流程，串聯實際業務。
聚合風險IP，降低人工成本
企業為了保障安全，往往會部署多種安全設備，即使同一個廠商的設備也會在多個節點部署，由此造成的問題：
? 用戶需要登錄多個安全設備，單獨監控
? 重復性處理同類問題，浪費大量成本
萬象（COSMOS）根據各類分析規則和風險場景分析告警可信度，進一步聚合2層維度的攻擊者IP、資產IP、攻擊類型、風險等級等屬性，幫助用戶匯聚數據，減少待處理風險量，從而提高安全運營效率。
舉例來說，若某資產IP出現大量相同類型告警，常規告警粒度列表需要逐個分析研判，而聚合視圖則不會出現重復告警，能夠統一匯聚處理，降低人工成本。
資產集中管理，摸清家底
企業資產數據是態勢風險分析的基礎和前提，所有安全風險、攻擊威脅都是圍繞在資產上。企業在管理資產時面臨的問題：
? 缺少主動的自動化發現手段，資產來源多但不完整
? 無自動化資產管理手段，日常運營成本較高
萬象利用匯聚企業數據的優勢，通過資產“主動+被動“無損傷發現手段，結合資產研判流程，站在安全視角支撐資產安全分析、脆弱性可視化，面向企業用戶建立安全資產數據中心。
? 資產日常運維階段：周期性創建掃描任務、記錄變更詳情、僵尸資產提醒等，保障資產數據的可用性從而支撐上層應用
多源威脅情報，提高風險可信度
隨著以APT為代表的新型威脅不斷增長，企業越發需要充分有效的安全威脅情報來有效防范外部攻擊。
基于阿里云海量威脅情報來源支持，萬象提供更豐富高效的威脅情報數據，有力支撐風險分析從而持續提升安全風險感知能力。
? 提高可信度：針對平臺接入的各類安全數據和基礎資產數據，聯動情報數據關聯分析，建立威脅情報命中分析場景
? 支持情報數據檢索，串聯告警研判上下文；并支持聯動處置快速阻斷風險，高效應對新型威脅
? 多源情報生產輸入：支持多源情報數據輸入和管理，快速豐富運營數據源
豐富安全態勢可視化
萬象（COSMOS）內置種類豐富的大屏展現風險分析場景，全面感知企業整體安全態勢并直觀呈現建設價值，用戶可根據需求自定義展現界面，靈活調整可視化場景。
優勢亮點
實力強勁安服團隊支撐，快速形成綜合分析能力
態勢感知平臺建設想快速產生效果，具備貼合企業的風險分析能力，需要人+平臺緊密配合。萬象（COSMOS）基于長亭科技實力強勁的安服團隊和豐富的攻防經驗，能夠幫助企業應對高級威脅，支撐風險分析和研判，串聯運營流程從而建立體系化風險感知能力。
全流程可配置，更貼近實際安全業務
從數據匯聚（數據接入、多源數據范化配置）、風險分析（交互式分析工具、分析過程可視化配置）、威脅可視（可視化儀表盤、拖拽式圖表配置），到安全運營（SOAR、流程可視化編排），萬象（COSMOS）全流程可配置，風險分析過程更貼近企業實際安全業務。
高可信風險告警，精準分析風險
平臺具備包含智能分析引擎在內的多種分析模式，融合多源風險數據，輸出高可信更精準的風險結果，并在通用性可視化的基礎上支持定制貼合業務的深度風險分析。
集群部署
集群部署支持多節點橫向擴展數據存儲和數據計算，具備熱拓展能力，能夠采集、存儲、處理及分析計算海量數據。任何一個節點發生故障均可正常提供服務。
產品形態
模塊化部署