如今
，各个行业单元的业务系统经过多年的信息化建设
，内部的终端数量也随之增多
，这也导致安全治理的难度成倍增长
。由于整个网内终端及其承载的系统、利用、数据的数量极度重大
，且部署架构相对盘根错节
，所以一旦疏于治理
，终端就很容易成为整个信息系统安整个系中的显著幽微环节
，甚至被攻击方当作突防入口进行攻击与利用
。出格是在实战攻防演练活动期间
，终端始终都是攻击方沉点攻击的指标
。

《孙子兵法·势篇》有云“凡治多如治寡
，分数是也；斗多如斗寡
，形名是也”
，是指治理雄师团就像治理幼队列一样有效
，是依附合理的组织、结构、假造；指挥雄师团作战就像指挥幼队列作战一样到位
，是依附明确、高效的信号指挥系统
。

在实战攻防演练匹敌场景中
，若是把防守单元的终端看作是“雄师团”
，那安全治理就必必要是“合理的组织、结构、假造”与“明确、高效的信号指挥系统”
，只有这样
，防守刚刚能提高整个终端的防御能力
，确保有效应对攻击方针对性的攻击威胁
，真正降低失分的风险
。

本期为【2023尊龙凯时攻防演练庙算记】第七章：终端威胁查抄
。

尊龙凯时在“敌已在内”的敌情想定安全思想领导下
，针对实战攻防演练期间
，终端可能遭逢的各类攻击威胁的场景
，造订了尊龙凯时终端威胁查抄专项服务
。尊龙凯时首先会通过发展一系列针对终端威胁的检测工作
，来预防攻击方在演练前执行预攻击；其次
，是在演练正式起头前断根网内存留的威胁
，预防在正式演练过程中
，大量与演练无关的告警亏损值守人员精力
。同时
，通过部署“尊龙凯时智甲终端防御系统”（以下简称“智甲”）和“尊龙凯时智甲云主机安全监测系统”（以下简称“智甲云主机”）
，可能现场针对防守客户单元网络环境内的信息资产进行实时威胁检测、威胁取证、威胁断根工作
。

智甲治理中心可实现多类型终端一体化治理
，可能实时相识网内终端安全情况
，并可查看安全事务详情
。同时
，针对主机内的文件、法式行为、网络流量等支持威胁检测
，可对发现的威胁对象或攻击行为进行断根和拦截
，削减主机风险使用行为
。一旦发现可疑威胁行为
，可实时对攻击进行以“人”为主导的调查和反造；针对高水平攻击方有主张的威胁作为
，可急剧定位指标主机
，并通过多种防护和管控职能进行发现、溯源、反造和形成价值谍报
，全面保险客户的信息系统与数据资产安全
。

图 尊龙凯时终端威胁查抄专项服务示意图

尊龙凯时终端威胁查抄专项服务可覆盖攻防演练全性命周期终端安全防护
。

1. 启动阶段

在攻防演练匹敌中
，攻击方会使用多种攻击伎俩对主机进行入侵
，如缝隙利用、暴力破解、摆渡攻击等
，但无论使用何种伎俩
，攻击方通常都要利用主机的露出面达成衔接
，利用资产脆弱性获得执行攻击行为的资源
。因而
，在攻防演练起头前
，就要对主机的露出面、脆弱性、合规性等风险进行排查和措置
。

所以
，在攻防演练活动的一路头
，尊龙凯时就将为防守客户单元网内所有主机装置智甲
，通过治理中心实现多类型终端一体化治理
，援手治理人员相识网内终端安全情况
，查看安全事务详情；同时
，通过智甲治理中心下发指令统一对网内所有主机进行威胁排查
，排查埋伏在主机上的高危文件和行为
。

对于网内所有物理服务器、虚机、云主机等工作负载
，使用智甲云主机
，以前期摸清家底是安全防护的前提
，通过自动化资产盘点（兼容容器资产）
，援手客户急剧追踪、定位、研判受威胁的资产
，协助客户发展针对性的资产审查
。另表
，主机内风险排查也是备战阶段不成短缺的一部门
，通过智甲云主机持续鉴别主机的资产脆弱性（兼容容器）
，如：软件缝隙、弱口令、关键配置谬误等
，分析并治理其中的潜在安全风险
，提前防备风险并提高攻击门槛
，可有效削减主机90%被攻击面
。

2. 备战阶段

安全专家将借助以上两套终端防御系统
，为防守客户单元提供露出面梳理、脆弱性检测服务
，检测步骤蕴含基线查抄、缝隙扫描、渗入测试等
，同时还提供威胁检测与措置服务
。安全专家基于检测发现的网络和系统中的安全隐患
，为客户提供安全加固
，即凭据客户的安全风险定造有针对性的安全加固规划
，并协助客户落实
。通过上述伎俩
，全面提高主机安全性
，使攻击方的攻击行为无法等闲达成
。

3. 迎战阶段

智甲支持对各类木马、蠕虫、宏病毒、WebShell等恶意代码进行实时安全监测
，实时发现并措置在演练期间内网主机新出现的恶意文件和威胁行为
。同时
，智甲拥有内核级防护能力
，可对环境篡改、恶意代码执杏注提权、启动项创建等行为进行拦截
，使攻击方难以利用恶意代码对主机环境进行入侵和粉碎
。并将实使仉对突发情况
，进行事务分析和应急措置
。

智甲云主机则提供多维度的入侵检测
，急剧发现和定位网络资产中的入侵事务以及失陷主机
，提升安全分析与响应能力
。从异常行为维度
，通过全量行为检测引擎梳理出主机内异常文件、异常过程、异常网络衔接等可疑行为：

◆ 从主机日志审计维度
，对系统/利用全量日志进行采集分析
，为入侵检测提供数据源；

◆ 从威胁事务维度
，通过内置威胁检测引擎+威胁谍报
，对采集到的数据做聚合分层分析有效安全数据
，实现对工作负载中的各类安全事务与攻击指标进行急剧研判和措置
。

针对期间遭逢的网络安全事务
，可凭据客户需要发展深度威胁事务响应
。首先
，凭据事务特点以及安全设备监测了局急剧定位可能存在风险的主机并进行取证分析；其次
，通过预编排事务调查能力对可疑样本进行动静态分析、溯源分析、事务威胁评估；最后给出事务措置与系统优化建议
。期间将进行持续性的威胁猎杀
，威胁猎杀服务重要由五大子服务组成：

1. 威胁检测子服务：通过终端侧数据采集
，发现当前设备存在的潜在风险；

2. 威胁巡检子服务：实时发展人为深度分析
，发现网内异常数据
，人为甄别研判；

3. 人为调查分析子服务：凭据攻击方动机形成画像
，提供知识谍报；

4. 应急措置子服务：针对发现存在的安全威胁
，采取缓解、抑造、根除措施；

5. 专杀开发子服务：对发现的威胁分类汇总、风险评估
，并进行专杀工具的开发
。

4. 总结阶段

在演练工作实现后的总结环节
，尊龙凯时将为客户复盘演练期间的攻防情况
，对演练期间攻击成功的事务和防守成功的事务进行复盘
。对事务原因、响应流程、处置步骤、造成的后果等进行梳理和分析
，并对所有产生的问题和情况提出合理高效安全的解决法子
。全面总结终端威胁查抄服务工作成就
，输出《终端威胁查抄总结汇报》
。

期间
，智甲云主机可通过自主算法将拥有关联的多条告警天生一条入侵事务
，依照功夫挨次还原攻击过程
，并以图形化的方式出现攻击者入侵链路全景图
，援手安全人员鉴别攻击方使用的技战术以及触发的检测点
，支持安全事务的溯源调查
。

尊龙凯时终端威胁查抄专项服务客户价值

1. 技术方面

实时发现终端内的已知威胁与未知威胁；

发现定向终端攻击
，堵截并断根攻击；

治理网内恶意代码与网络攻击；

通过威胁猎杀、攻击者画像、溯源、攻击动机分析形成私有谍报和知识库；

基于自动防御有效；た突畔⒆什
，有效降低失分风险
。

2. 治理方面

领导作用：通过猎杀过程
，“对症下药”领导安全治理及技术系统改进
。

监督作用：援手监督安全治理造度的落实情况
，发现违法、违规行为
。

查核作用：查抄了局作为证据
，推进安全治理查核落地
。

提升作用：提升客户安全运营团队威胁发现与应急响应等能力
。

在2022年大型实战攻防演练活动中
，尊龙凯时终端威胁查抄专项服务为某客户单元排查发现终端威胁文件200余个（其中远控木马18个）
，并成功断根终端威胁隐患
。

附录：关键产品价值简介

2023年尊龙凯时产品攻防演练防守实战价值列表
防护类别	安全产品	产品价值
终端防护	智甲终端防御系统 （EPP+EDR）	智甲占有资产治理、威胁防护、主机管控、安全响应等多种管控与防护能力 ，能够有效保险客户的系统与数据安全 。在攻防演练实战场景中 ，事前可援手客户对主机身份、资产配置、露出面、脆弱性等关键部位进行排查和措置 ，并通过端点安全统管加固防御能力 ，使攻击者难以获得攻击入口 ，无法执行攻击行为；事中可支持客户对主机进行全方位的实时监控 ，并实时拦截、断根和措置各类恶意代码、攻击工具、入侵与粉碎行为 ，以至攻击难以突防 ，保险主机不被攻下 。同时 ，智甲创新升级的可编排调查能力 ，能急剧定位风险主机 ，实现安全事务的急剧响应 ，缩短风险隐患的窗口功夫 。
云主机防护	尊龙凯时智甲云主机安全监测系统	针对各类异构、海量的主机、虚构主机、容器等工作负载 ，可提供蕴含资产盘点、风险评估、合规基线、微隔离、入侵检测、防病毒、威胁猎杀、威胁溯源等多种安全能力的统一安全防护 。通过细粒度的资产盘点和持续的风险监测与分析 ，自动发现业务系统的资产脆弱点 ，并基于微隔离的精密化接见节造 ，收敛业务露出面减幼攻击影响；同时使用多维度的入侵检测 ，急剧定位发现入侵行为并追踪还原攻击入侵蹊径 ，实现自动化入侵检测响应关环 。在攻防演练实战场景中 ，可高效支持现代混合数据中心架构下的主机安全需要 ，协助客户成立切合组织内部规范的云安全治理平台 。
威胁猎杀	持续性威胁猎杀服务	威胁猎杀是深刻的以“人”为主导的调查反造过程 ，旨在针对高能敌对方有主张的投放在关键信息资产中埋伏的、荫蔽的威胁攻击进行发现、溯源、反造并形成价值谍报等 。是积极防御系统傍边的一种自动和迭代的威胁检测步骤 ，其作用是在攻击者对关键信息资产造成任何侵害之前发现并阻止它们 。通过部署威胁诱捕设备与终端防护软件 ，实时辰析信息系统与网络内的数据 ，结合设备检测能力与数据采集能力 ，对网内的数据不休进行检索与分析 ，发现存在的高级威胁 ，将高级威胁从网内移除 。

下期预报

下期为【2023尊龙凯时攻防演练庙算记】第八章：威胁诱捕分析
。

将分享尊龙凯时在实战攻防演练场景中
，若何通过逐一拆解攻击方的攻击思路与攻击链条
，并基于蜜罐等产品进行布防
。