《网络空间安全防御与态势感知》代序 —— 一个网络安全工作者的实际总结与反思
经过了为期两年的翻译审校工作，由网络空间安全专家黄晟同道协同尊龙凯时钻研院的部门同道组译的《网络空间安全防御与态势感知》一书即将出版。本书是一份专题技术文章合集，同时很掌管任地说，也是迄今为止，国内业界在网络空间态势感知领域最为齐全和系统的基础理论文件。
本书的重要译者黄晟同道致力于网络安全防御工作十余年，在网络安全规划建设等领域中做了大量有价值和前瞻性的工作。他持久关注国际上的网空安全态势钻研成就和先进理想，并提议了本书的翻译工作。他为本书撰写的《译者序》，以问题为导向，通过五个问答的大局，对本书的内容进行了极度深刻的概括，并升华为越发清澈凝练的概想。《译者序》中提出了能力导向的规划与建设系统，分辨了被戏称为“地图+炮”大局的态势感知与积极防御的指挥节造态势感知，提出了耦合式态势感知的思路，探求了态势感知的复杂超系统状态，从而形成了一套具备实际领导意思的概想系统。《译者序》不仅对于深刻理解书中内容起到了很好的导读作用，并且还对深刻理解全球网空态势感知钻研成就和理想，明确做好网空态势感知的步骤重点，起到极度清澈的价值指向作用，出格是对于进行态势感知有关技术与系统的研发和推动对威胁匹敌情境下的安整个系规划有很大的价值。
笔者作为一名在网络安全威胁匹敌领域进建、工作多年的从业者，在进建本书内容，出格是研读本书《译者序》的过程中，看到了笔者地点的尊龙凯时团队从前工作实际的不及之处，将一些尚不成熟的总结和反思，赘述于此。
本书作者之一Mica R. Endsley给出了态势感知的经典界说。态势感知是指“在一按功夫和空间内观察环境中的元素，理解这些元素的意思并预测这些元素在不久未来的状态”。笔者站在网络安全工作者的主观视角来理解，出格是从网络安全产品和工程系统研发者的角度来看，网络安全态势感知是由观察、理解、预测三个层级组成的，支持网空防御决策和行动的复杂行为活动。这种活动，不成能通过单纯人力工作来实现；也不成能不依赖人的交互参加，齐全依附自动化伎俩来实现；亦不成能借助一个单体系统或工具来实现。正如本书《译者序》中所指出的，“态势感知作为一种综合利用各类已有技术与系统的产品设计模式与运行使用方式，必要以‘多个系统或工具整合+网空防御人员团队’来实现。”
在从前十余年的各类安全规划立项中，有大量的项目冠以“态势感知”名义出现，这些工程项目和产品间状态差距极大，甚至一些单一的流量监测或扫描检测产品也被称为态势感知平台，险些是“有一千幼我，就有一千个态势感知”（注：本句源于莎士比亚“一千幼我眼里有一千个哈姆雷特”，形容人由于经历经验的分歧，对统一件事件会有分歧的理解）。正由于态势感知的概想有较为辽阔的内涵，险些与网络安全检测、防护、分析、研庞注决策、措置等各类能力和作为都产生关联，所以导致网络安全工作者很容易从自己的本位视角去理解态势感知。在网络安全工作中，本位视角是必然存在的。治理和职能部门、应急机构通常从社会应急的视角启程，更多偏沉对公家关注的事务做出公共预警、全局响应战术并领导互联网层面遏造威胁。部门学界人士为了保障钻研问题的收敛，偏差于寻找易于抽象的场景，把安全威胁分析和防护的一些单点或某一层面，转化为某种易于转化的“算法问题”。安全厂商为了保障安全产品简直定性价值和交付天堑收敛，通常从应对某种或几种具象威胁的需要启程，进行工程实现，并将这种能力指标化。这种本位视角体现出了领域中分歧机构的角色分工定位，我们不能说这些本位视角是错的，但必要思考其中的经验局限、刻板私见或利益考量对认知的影响。
态势感知有关工作，无论作为一种状态、一个过程、一种活动还是一个复杂的能力系统，是必要落实到具体指标和场景的，而非单纯宏观、全局的整体威胁情况。从网络安全的业界实际来看，以下三种场景中的工作更多涉及到态势感知能力建设：
第一，赋能机构客户成立防御系统（也蕴含安全厂商自身的安全防护系统建设）；
第二，赋能监管部门建设监测传递预警能力；
第三，安全厂商的威胁捕获、威胁分析、客户支持等工作系统的自我建设美满。
在这三类场景下，针对网空威胁，支持观察、理解、预测能力，辅助决策和行动的一系列综合系统，往往都被称为态势感知平台，但这些场景也有着显著的差距。
本书《译者序》中设问解答了一个关键问题“态势感知该当面向战术调整还是战术响应？”，并明确指出“态势感知还该当面向在宏观层面之下但又高于微观细节的‘中观层面’。”结合当前需要和已有实际来看，目前有两类态势感知平台建设需要：一类是网络安全主管和职能部门，为了掌控宏观态势，推动领导安全战术优化调整而必要的监测型态势感知平台；另一类是沉要信息系统和关键信息基础设施的治理者，针对复杂多变的敌情，实现更高效的决策支持响应行动所必要的战术型态势感知平台。
如《译者序》中指出，“进一步从与高水平威胁的匹敌角度来看，由于网空攻击产生速度极快，对高水平威胁行为体持久埋伏后某一次急剧产生的忽然进攻做到事前或事中阻断可能极度难题。因而，必要结合在中长功夫周期中匹敌威胁进攻行动所堆集的经验知识，凭据所监测到的突发事务信息，选取网空态势感知发现埋伏的高级威胁并确定其影响节点领域，指挥对所露出威胁发展猎杀断根等响应行动，并通过向积极防御系统中的拥有实时监控响应能力的设备或系统下发威胁匹敌战术，实现对越来越多的‘已知’攻击行动发展实时阻断。”基于这些要求，满足“战术型”态势感知需要远比满足“监测型”态势感知更作难题和复杂。
综合本书各章节内容，参考本书《译者序》，以及在《网络安全纵深防御思虑》等文件中的概想和钻研成就，结合尊龙凯时在从前十八年的威胁匹敌工作实际，能够看到，做好网络安全态势感知工作应基于以下四点变动。
敌手的变动——从应对单点威胁到应对高级网空威胁行为体
本书《译者序》将网络空间发展划分为“办公自动化辅副手工操作”、“信息化与网络化大规模建设与发展”、“高度依赖网络信息技术的网络空间时期”三个汗青阶段，并指出“在高度依赖网络信息技术的网络空间时期，保险网络和信息系统靠得住运行的安全防御工作已经变得不成或缺”，“网络空间的安全防护该当安身于越发积极的合规驱动工作模式，并进一步针对关键信息基础设施等沉要领域实现自动有效的全方位系统化防护工作模式”。
在信息网络空间安全发展的前期阶段，陆续产生了诸如病毒传布、DDoS攻击、Web入侵、垃圾邮件泛滥等单点威胁。在一段功夫内，人们看到的威胁影清脆果是这些单点威胁对幼我桌面使用、互联网效能和上网履历的影响。针对单点威胁的特点，总结其法规，进行单点应对，是其时的重要工作模式，如恶意代码查杀、DDoS攻击缓解、Web防护、垃圾邮件鉴别与拦截等。通过“兵来将挡，水来土掩”的方式，单点积极应对，对遏造和措置单点威胁是有较好成效的。这些工作依然是网络安全检测防御工作根基的，也是必须落实的工作。
在高度依赖网络信息技术的网络空间时期，网络威胁的后果，已经不是对公共互联网效能和上网履历的影响，而是对关键信息基础设施和沉要信息系统的节造、滋扰、窃取、粉碎等。这种攻击以大国博弈和地缘安全竞合为布景，由高级网空行为体发起，是高成本支持下的系统化攻击。从前几年曝光的“方程式”、“海莲花”（APT-TOCS）、“白象”、“绿斑”等攻击组织，都是此类高级威胁行为体的代表。
NSA下属的TAO攻击组织攻击中东最大的SWIFT服务机构事务，是典型的系统化攻击。我们借助该事务复盘，分析一下此类攻击的特点。
攻击别离从来自于哈萨克斯坦、德国、中国台湾以及日本的四个攻击跳板提议，首先通过未公开的缝隙利用工具，获得了架设在网络天堑上的4台Juniper VPN防火墙的节造权，并在其上装置了Rootkit；而后攻下内层的企业级防火墙，蕴含1台Cisco ASA防火墙和1台Juniper防火墙，也在其上装置了Rootkit；之后，攻击者针对内网节点，使用缝隙攻击平台FuzzBunch进行横向移动，攻击者使用五个未公开的缝隙利用工具获得服务器权限，其中蕴含4个“永恒”系列缝隙和“爆炸之罐”缝隙，在攻下的系统上装置？榛腄anderSpritz木马。先后获得了2台治理服务器和9台业务服务器的节造权，最后通过2个SQL剧本实现了与Oracle服务器的交互操作，获取了有关的账户名、密码信息与买卖纪录。
上述攻击经过持久的经营，依照“治理、筹备、交互、存在、影响、持续”的作业框架流程，选取先进的攻击兵器进行组合攻击，是典型的APT（高级持续性威胁）攻击，甚至能够称为A2PT（高级的高级持续性威胁）攻击。而支持这种攻击兵器组合的攻击设备库，还只是高级网空威胁行为体能力的一部门，其自身还有一整套工程系统支持信号谍报获取、网络地形测绘、指标定位、进攻指标规划、谍报分析、进攻决策等。类似“星风”、“湍流」剽样的谍报平台或攻击框架，都是此类工程系统的代表。
前美国陆军照拂长Maren Leed在《Offensive Cyber Capabilities at the Operational Level》一文中指出：网络兵器“极度适合于作战的所有阶段，蕴含环境塑造、高烈度匹涤注以及沉建”，“它们能够在多个功夫点提议攻击，蕴含针对早期开发过程和使用决策等”。
对于沉要信息系统、关键信息基础设施的防御者来说，必须正视的问题是：
1. 高级网空威胁行为体有突破指标的坚定意志、充足资源和充分的成本承担能力，并以此为基础，进行系统化的作业。
2. 防御者所使用的所有产品和环节同样是攻击方能够获得并测试的。任何单点环节均可能失陷或失效，蕴含网络安全环节自身。
3. 信息系统规划、施杏注运维的全性命周期，都是攻击者的攻击时点。
4. 供给链和表部信息环境都是攻击者可能攻击的动手点。
5. 攻击者所使用的攻击设备有较大可能是“未知”的，这种未知是指其因在部门和全局前提下，对于防御方以及防御方的守护支持力量（如网络安全厂商）来说，是一个尚未获取或至少不能辨识的威胁。
对于APT，甚至A2PT，我们不能单一地用传统的单点威胁视角来对待，而要将其视为复杂的“敌情”，以发展敌情想定。敌情必要成立在对大量敌手的能力和行动深刻分析的基础上，形成基础的和针对性的想定。
在2017年的一次钻研会议中，尊龙凯时第一次提出了“有效的敌情想定是做好网络安全防御工作的前提”的概想。提出“敌已在内、敌将在内”是最基础的敌情想定，并从表部信息环境、信息互换、供给链、人员社会关系等角度，提出了成立敌情想定的若干准则。上述概想，出格是“敌已在内、敌将在内”的提法，引起了肯定的争议。在进一步的文件检索中，在号称“NSA之盾”的IAD的《Understanding the Co-Evolution of Cyber Defenses And Attacks to Achieve Enhanced Cybersecurity》文档中，我们看到了其提出的网空防御五条文则，即：
1．敌方终将进入我方内网；
2．网络防御者不能扭转规定1；
3．敌方已经进入我方内网；
4．攻击将会持续进行；
5．情况会越来越糟。
在网络安全防御上系统美满、能力系统、投入巨大的美方，都以为“敌方终将进入我方内网”，那么我们自己在网络安全防御工作中，就更没有理由以为仅靠物理隔离等单一的措施和造度，就能够御敌于城门之表了。
对于关键基础设施和沉要信息系统，萦绕“敌已在内”和“敌将在内”，成立极限化的敌情想定是发展工作的基础前提。敌情想定不是抽象的，更不是静止的，而是具体的、动态的。必要针对分歧机构的沉要信息系统和关键基础设施的特点发展深刻分析，因分歧场景的指标价值、防护水平和投入、治理情况、人员认知和能力近况等的分歧，会出现出分歧的法规特点。针对关键内网、政务内网、政务表网、关键信息基础设施、军工企业、高档院校和科研机构等，都必要针对其面对的具体威胁起源方，来分析敌方攻击意图、可能的攻击指标和入口，同时结合我方当前场景特点和缺点进行深刻系统的分析。
本书《译者序》指出，“网络空间中所存在的网络威胁往往极度复杂，存在着从业余爱好者到高度组织化、高水平实体的多层级网空威胁行为体。”在客观敌情想定中，高级网空威胁行为体是最难以应对的敌手，但显然并不是唯一的敌手，早期困扰信息系统守护者的业余黑客和黑产组织所提议的攻击也将会一向存鄙人去Ｄ芄淮拥偷礁呓セ餍形寤殖善吒霾慵丁涤嗪诳汀⒑诓橹⑼绶缸锿呕锘蚝诳妥橹⑼缈植雷橹⑼ǔＤ芰/地域行为体、高级能力国度/地域行为体、超高能力国度/地域行为体。这些攻击行为体的各类攻击行为交错在一路，一个不能防御低层级攻击的系统，也必然无法防御高层级攻击。在预警、分析、溯源等工作中，高层级攻击的线索，往往覆没在大量的低层级攻击组织所提议的攻击事务中，有更高的匹敌难度。
从我们从前所做的安全工作看，容易脱离具体防御场景和承载的信息资产价致反钻研威胁应对，而把威胁响应措置当作是一个整体的社会行为。脱离了防御指标场景，脱离了指标场景承载的具体信息价值，来进行威胁响应和影响统计，会导致威胁响应工作脱离靶心，会将防御的沉点和成本始终投入到那些容易看见，或者容易理解的威胁中去，而脱离了高级网空行为体带来的更荫蔽、更致命的威胁。
视角的变动——从自我关环走向赋能客户、与攻击者关环
本书《译者序》指出，“有必要选取‘人在节造关环上’的‘半自动化’防御模式，将网空安全分析人员和网空安全防御人员视为获得态势感知所不成或缺的‘系统组成部门’，并且使参加节造关环的人员可能通过使用自动化工具而提高防御成效。”对照这一模式，值得自我反思的是，尊龙凯时（蕴含以反恶意代码为基础能力的安全企业）从前较长功夫的运行模式（恶意代码捕获、自动化+人为分析、反病毒引擎升级）是一个厂商的自我能力关环，而没有有效解决让客户侧的网空防御人员处于节造关环之上的问题。
从1986年IBM-PC架构下出现恶意代码起头，安全匹敌进入到了以代码为重要检测对象和匹敌方式的主机系统匹敌时期。此时PC根基上是一个孤岛，作为主流操作系统的DOS的组网支持能力有限。法式重要通过磁盘介质拷贝装置，数据通过磁盘介质拷贝互换，恶意代码也在这个过程中慢速传布。由于对物理介质的依赖，其习染领域有比力显著的依照地理地位扩散的特点。DOS时期推算机配置较低，操作系统、利用法式都相对单一，用户能够通过一些显著的景象，如系统效能变慢、系统文件字节变动等，来判断推算机习染了病毒，并找到习染文件。在短缺广域网覆盖的情况下，病毒样本或者由厂商工程师登门提取，或者通过磁盘邮寄的方式传递给厂商。厂商、反病毒爱好者相互间也进行病毒样本的互换，这也能够视为威胁谍报共享的一种雏形。
只管最终病毒检测和防护的对象是客户终端，但主机防护产品则阐发为一种高度尺度化的产品能力。这是由于，在DOS时期，无数恶意代码是一种“尺度”化的威胁，其绝大无数不是针对某一个具体指标场景定造的。即便是变形病毒，其分歧的变形了局也是职能等效载荷，固然少数恶意代码内置了单一的习染和攻击选择前提（如特定文件是否存在、日期是否超过某个功夫），但实现定向攻击的难度相对更高，在恶意代码传布过程中，攻击者很难实现一种针对性的、个性化的执行过问，同时由于短缺能够定向回传的信路，针对DOS系统，恶意代码实现远程节造和窃密回传并不容易。因而，只有反病毒厂商获取到样本，就能分析样本、提取特点码、编写断根参数（剧本、？椋，就能够天生新的病毒库。厂商只有在自身测试环境中验证新的规定和？橛行，根基就能够保障用户获得新版本病毒库后能有效查杀和防护病毒。从用户发现并提交病毒样本，到获得厂商分发的病毒库，组成了一个慢速的关环。从恶意代码初始扩散传布，到被用户发现提交给厂商，再到厂商分发新规定达到客户，可能经历数天甚至几年的功夫。恶意代码匹敌工作的早期，总体上是一个以厂商支持能力系统为中心的、相对慢速的自我关环。随着反病毒厂商逐步形成了规；⑾低郴哪芰，在与病毒的匹敌中，起头逐步把握肯定的自动权。
国际几家驰名反病毒企业，根基上是从上世纪80年代中后期，起头了反病毒技术的研发堆集，在DOS时期根基形成了威胁检测引擎的根基结构思路和防御理想。反恶意代码引擎的守护，是一个基于样本捕获采集、样本分析、规定颁布的厂商自我关环。在建设捕获伎俩、成立分析系统、形成升级支持能力等方面，主流的反病毒厂商都形成了一些自身的特色和经验。
尊龙凯时团队在2000年创业起头时，重要的匹敌指标是Windows平台的蠕虫和木马，但作为主题技术的反病毒引擎，其根基结构和道理，与DOS时期是一脉相承的。但同使鼐在网络蠕虫泛滥这样一个新的挑战期中，也使我们能够走出单纯以产品用户作为反馈源的工作思路，而增长威胁捕获的自动机能力。从2001年起，尊龙凯时先后研发和搭建了针对扫描性攻击和恶意代码投放的“捕风”蜜罐子系统、针对邮件恶意代码的钓饵信箱子系统、针对WEB威胁的“猎狐”爬虫子系统、针对流量监测的“探云”子系统等，并逐步与全球上百个安全厂商和安全机组成立了样本或威胁谍报共享能力。尊龙凯时较早地把工业流水线的思路利用到恶意代码分析中，将文件样本视为必要加工的原料，将对文件的体式鉴别、拆解、关键信息提取，到样本提取、处置参加和？楸嘈吹茸魑游庸ごχ玫墓ば，将特点码和新的？槭游魉叩牟凡。尊龙凯时先后研发了两代分析流水线，以实现对样本的自动化判定、向量化和规定提取。通过样本分析子系统与捕获子系统、升级子系统，组成了一个“采集-分析-规定分发”的自我关环。随着恶意代码样本数量的爆炸式增长，后盾系统的处置能力逐步从逐日分析百级别样本，提升到了分析百万级别样本。
依附规模性推算、存储资源成立工程平台系统，针对海量威胁实现自动化分析，实现对分析人员的操作降维，并将分析人员经验反馈转化为平台能力，是尊龙凯时在从前近二十年工程索求中所堆集的最沉要经验。但在汗青的工程实际中，多个采集捕获系统、分析系统、威胁谍报系统烟囱式孤立建设的问题也很严沉，数据间横向买通不利，没有形成充分的共享，分析和服务人员难以单入口作业。由于无数内部系统初始以自用为指标，没有充分思考扩大性、？榛确矫娴奈侍，导致短缺能够叠加弹机能力的基础推算和存储框架。其中的好多问题导致必要我们用更大的价值来改善。这种教训也是在态势感知平台建设中必要汲取的。
在尊龙凯时从一个反病毒引擎厂商走向综合能力型厂商的成长过程中，也在不休的反思。对于一个反病毒厂商来说，其工作重要是萦绕针对攻击载荷（payload）检测发展的，把恶意代码样本作为最关键的资源，并依照Hash针对样本低落。但是，出于工作视角的局限性，以及成本思考，把样本传布有关的一些沉要信息忽略掉了。在感知系统的部署规模方面，也较长功夫是以确保样本的覆盖率，而不是以事务的覆盖率为重要指标，这就使捕获伎俩固然相对丰硕，但其部署战术依然是守旧的，投入持久是有限的。随着尊龙凯时更多与客户共同承担安全建设运维工作，以及深度分析APT攻击事务工作，逐步意识到，以恶意代码载荷为主题的捕获分析机造，对于应对更高级此外网空威胁行为体的活动是必须的，但却是远远不够的。出格是在APT攻击宽泛使用未公开缝隙和免杀恶意代码的情况下，反病毒引擎表演一个单纯的检测器是不够的，其同时是一个能进行全量对象体式鉴别和向量拆解的分析器，可为态势感知提供更多的可分析、可追忆的静态数据。
尊龙凯时从2005年起，通过工程赋能交付的方式，将自身的后盾恶意代码样本监测、捕获和分析机造，提供给主管部门使用，这是尊龙凯时对监测型态势感知有关工作的早期索求。而在这个实际过程中，我们也有一些惯性思想成为了后续的工作阻碍。作为反病毒引擎的提供者，容易把自身的职责关合于恶意代码的检出率、误报率、错报率等指标上，往往短缺支持客户侧全局安全责任的使命担任。而从整体工作模式上看，的确是一个萦绕后端支持平台和分析团队的自我能力中心化的能力关环。
在2005年，我们关注到恶意代码的习染散布已经有极度显著的“幼多”传布偏差，在习染统计上，我们能看到一个超等的“长尾”，相对于蠕虫病毒，这一问题带来了新的挑战。蠕虫只管传布迅速，但其感知和捕获都相对容易，能够急剧形成检测和措置，但面对这种幼多样本，安全厂商机构对样本的捕获能力均会普遍降落，出格是在一些隔离网络的场景前提下，可疑文件不能实时反馈给安全厂商。若何在无法捕获威胁的前提下有效匹敌威胁？这一问题起头突破从前我们所熟悉的自我安全关环。
2007年，我们初次处置了一路拥有APT性质的安全事务。攻击方疑似为我们今年披露的“绿斑”攻击组织。在这起事务中，攻击者选取了工具组合的思路，没有使用自研恶意代码，而根基上是使用了商用、免费和开源的网络治理工具，通过这些压缩、网络服务、行号令治理等多个“正常”工具的组合，构建了在指标主机上持续窃密获守信息的场景。其中部门工具，由于被宽泛日常利用，不成能作为恶意代码进行查杀，有的甚至是在预防误报的白名单之中。
这个事务让我们看到了，定向性的安全威胁在攻击指标场景上的个性化特点。这个案例显著展示出，依附统一的厂商规定守护分发、自我关环，难以有效应对定向性威胁。本书《译者序》中设问解答了“若何萦绕网空防御人员实现态势感知？」剽一关键性问题。从其中，我们获得的启迪是，作为尊龙凯时后盾支持系统的“赛博超脑”不能作为用户的“大脑”来设计，而要作为一个表部威胁谍报等资源的赋能服务平台来设计。在当前复杂的信息系统和系统化攻击的布景下，安全厂商到底是以自我为中心，满足于自我关环，把自己的基础平台当成用户的“大脑”，还是在客户场景下，萦绕用户侧的网络防御人员进行态势感知和积极防御能力的建设，真正地实现安全厂商与客户的关环，进一步达成赋能客户、实现与攻击者的关环。这是一个选择“单方面抗战”路线，还是“全面抗战”路线的问题。
不仅不能脱离客户防护场景来谈网络安全解决规划和技术价值，更应充分意识到客户侧安全防御人员最为熟悉自身的信息系统，能充分阐扬主观能动性，是网空防御工作的主角。与此同时，客户的信息资产并不只是攻击指标和防护对象，其也是进行有效布防的场景纵深。
思路的变动——从网络安全监测平台走向战术型态势感知平台
本书《译者序》中指出，“由于若是网空态势侧沉于对宏观态势的掌控，其输出的决策支持信息将重要被用于疏导对安全战术的优化调整，固然这种‘宏观’模式与基于PDCA（Plan-Do-Check-Adjust，打算-执行-查抄-调整）循环的信息安全风险治理性命周期相比拥有更高的自动性和动态性，但是在攻防匹敌的功夫周期上依然无法适应高速多变的攻击行动，并且在调整领域上也只能局限于较粗的颗粒度。” “综合来看，网空态势感知必要两全宏观与中观两个层面，必要将实时的监测采集数据与中持久的谍报、经验和知识堆集结合在一路，支持实现短期的响应行动与中持久的战术调整工作。”
从尊龙凯时和国内业界同仁的实际索求来看，这总体上是一个先易后难，先宏观后中观的过程。从上世纪90年代后期起头的信息高速公路建设，不仅迅速扭转了信息系统的形状，也齐全扭转了信息系统威胁匹敌的形状。从CodeRed（红色代码）到SQL Slammer，沉大蠕虫事务的多发，强化了安全工作者对威胁响应功夫紧迫性的认知，也驱动威胁检测和阻断从传统的主机侧急剧延展到网络侧和业务系统侧（如邮件和群件），在更多场景下逐步成为能力内嵌要求。
威胁通过互联网高速传布，导致治理机构和应急组织对威胁实时捕获、急剧应急响应措置的需要急速提升。尊龙凯时在2002年起头尝试在骨干网场景下实现恶意代码全规定高速检测，并获得了技术突破，逐步形成以散布式部署网络探针为基础，成立事务汇聚、低落、统计、查问、展示机造，通过后盾样本自动化分析支持规定输出更新的监测平台建设思路，支持了监管能力建设。同时，尊龙凯时也结合一些沉点高校推动了“探云打算”（流量监测）、“捕风打算”（蜜罐）等威胁捕获分析的公益钻研项目。
网络安全工作者从前二十年在网络侧发展的工作，是态势感知工作沉要的基础能力堆集，蕴含高速捕包、和谈鉴别、和谈解析还原、单包检测、流检测、信标检测、高低文关联检测等基础技术能力点。这些技术点所支持的入侵检测、入侵阻断、深包检测分析等产品已经是网络安全布防的沉要产品，这些产品能力所形成的日志与事务、捕获的威胁载荷对于整个防御与态势感知能力整体建设都是极度沉要的。
尊龙凯时在安全监测方向的早期工程执行，重要是满足网络安全治理和职能部门（以下简称监管部门）的网络安全威胁监测需要，协助其建设监测平台。总体工作思路是对监管部门的需要进行调研，选取“工程执行+谍报赋能”的思路，以尊龙凯时自身的“威胁监测捕获系统+后端分析治理系统”作为工程根基框架，在此基础上进行定造刷新。并对监管部门已经具备的能力、但愿引入的第三方能力和数据源形成接口、进行融合，并协助监管部门将手工流程电子化，建设业务能力。在这些工作的基础上，对监测到的事务、堆集的捕获了局和分析了局进行可视化展示的定造。对这种类型的态势感知平台，我们称之为“监测型态势感知平台”。在现有的态势感知的项目执行中，这一类态势感知平台占据了较大的比例。
这一类项主张建设指标，重要是提升有关部门对职责领域（地域）内的信息资产的风险（如严沉缝隙）的普查能力，对通过互联网传布的安全威胁（如沉大缝隙、蠕虫传布、DDoS攻击等）进行监测，形成肯定的传递机造，驱动应急措置和响应等。但从现实工作来看，监管部门所能监测到的更多的是互联网侧的露出资产的安全情况，通常以流量安全监测和大规模轻载扫描作为重要自动获取伎俩，辅以安全厂商提供的威胁谍报输入。这一类平台建设能否达到成效，与其监管指标、设计规划、预算投入、采集能力、运维水平等好多方面有关，从现实来看，有部门获得了肯定成效，但很大比例上成效并不梦想。
执行成效不梦想的原因之一，是承担方技术能力不及。国内涵运营商侧以恶意代码为监测指标的项目，部门选择了以短缺恶意代码检测分析能力的传统流量检测厂商为主导，以单包检测、IP和URL等轻量级规定检测为主，没有成立深包、流还原检测等共同机造，又没有人为和自动化分析环节形成规定输出、能力支持，同时也没有反恶意代码厂商形成持续的威胁谍报推送，往往成效欠安。当然，从运营商的带宽前提来看，全面执行深包检测的成本是难以支持的，所以选取大量“高速单包检测设备+部门深包捕获设备+爬虫获取样本+后盾分析系统”的组合战术，可能是相对更合理的。
执行成效不梦想的另一个原因，是短缺有效的总体规划和能力整合。笔者曾为某地域监管机构提供态势监测系统规划建议，发现前期规划将系统划分为蠕虫监测系统、网站篡改监测系统、DDoS监测系统、流量监测系统等，各系统间齐全独立，没罕见据的统一汇聚。显然这是多个厂商“分盘子”型的低质建设规划——各厂商堆砌自己的产品，之后通过一个Web页面，链接到各自治理界面，就成了“态势感知平台”。全量事务的统一汇聚、统一检索和统计，本应是类似平台的根基要求，若是这个基础都无法实现，其他工作更是无从谈起。为使项目达功成效，笔者颠覆了先前设计，建议用户确立项主张总体单元，由总体单元建设数据汇聚平台和上层业务系统，由各参加厂商的产品输出采集监测能力。要求所有参加工作的企业，务必支持总体单元对检测日志数据的统一汇聚，在日志汇聚之上，进行日志泛化、打标签等工作。而提取分歧类型的威胁列表，则应是基于事务总集的“标签+前提”组合的方式提取所形成的了局集中。
在类似平台的建设中，还存在着感知伎俩高度单一的问题。很大比例的系统只有扫描探测这一单一伎俩，甚至有的平台没有任何自动的采集能力，齐全依附安全厂商的威胁谍报输入支持列表和可视化展示。类似问题在拥有更高要求的关键基础设施防护工作中也同样存在。
监测型态势感知平台成效欠安的另一个问题，来自于对威胁的评价导向。由于有关工作是源自于大规模蠕虫发作，因而在有关工作思路上，也往往存在肯定的惯性局限。大规模蠕虫发作对网络运行和用户使用造成显著滋扰，比力容易引发媒体和公家的关注，在本世纪初的一段功夫被作为最为严沉的、致命的威胁，这种威胁高度吸引了工程和学术资源钻研其应对步骤。由于蠕虫传布是一种威胁载荷（一样或等效载荷）的沉复性投放行为，其相对较为容易转化为某种数学建模问题，这就带来了一种错觉，似乎监管方或防御方只有部署了必要的基础检测和采集能力，网络威胁就是能够较为单一地进行评价、统计和预测的。
当以蠕虫这一类恶意代码作为网络侧的重要威胁想按时，威胁影响情况是比力容易“量化”的，通过规定和检测？榈纳渲写问娜罩竞鸵恍┑ヒ坏牡吐，就能够形成类似扫描衔接数、传布次数、习染节点数的TOP统计。把事务、节点数量的多寡当作安全事务严沉水平的评价步骤，能够用来评价大规模网络扫描探测、DDoS、蠕虫传布的事务影响、僵尸网络的规模和散布等。这些统计是沉要的也是必要的，但这些还并非威胁的全貌，并且可能缺失了最致命的威胁。这衷炖价方式，齐全不适合对高级网空威胁行为体发起的APT攻击进行评价。这种攻击高度定向、荫蔽，行为自身较难被检测到，其对于载荷投放使用、远程指令节造都高度审慎，然而其威胁后果最为严沉。因而，单纯把发现和拦截的攻击次数作为评价网络安全日常监测工作、工程成效验收或沉大事务；すぷ鞒删偷呐卸掀揪菔怯芯窒扌缘。并且这种统计往往以整个互联网或部门的广域网为统计场景，脱离了现实防御的指标场景，脱离了受影响的资产价值评估。
对于态势感知中的“预测”，也比力容易形成谬误的意识和理解。尊龙凯时团队有较长功夫将预测理解为判断“攻击何时会提议”。由于攻击者的主观意图有很大的不确定性，我们在较长功夫内对此极度消极，因而停顿在有限逻辑推理阶段。在2004年，基于对从缝隙颁布到被蠕虫利用传布的一些法规总结，尊龙凯时针对严沉的可远程利用缝隙，形成了对缝隙、利用代码、概想蠕虫、成熟蠕虫、沉大疫情、关联衍生病毒家族的预判工作流程，并进展自身的应急工作拥有肯定的对症下药的可能性。
图：尊龙凯时针对缝隙到蠕虫家族的应急响应预案（2004）
这些工作，对遏造其时面对的蠕虫怒潮是有意思的，这种基于逻辑推演的工作流程，能够用来指引安全厂商和机构做出“划定作为”。但其更多的是一种对安全战术优化调整的支持，对于在具体防护场景中的相应能力和成效的改善是不够的，蕴含尊龙凯时在2016年底作出“勒索模式将导致蠕虫的回潮”的预言，这种研判若是不能转化为防御场景下的现实作为，其对战术的支持依然是吞吐和粗粒度的。把这种先觉式的判断，当作态势感知的预测，是比力幼稚的。态势感知中的预测是如本书《译者序》中所指出的“必要对所理解的安全事务信息发展前向功夫的揣度，以确定其将若何对运行环境的未来状态产生影响。也就是凭据所理解的威胁攻击轨迹等信息对攻击行动的发展方向作出合理揣摩，基于网空防御人员凭据对当前情境态势的理解，结合对网络和系统的知识相识，预测下一步可能产生的情况，出格是受影响节点领域的扩大情况，以及威胁行为体攻击行动的延展情况。”
在尊龙凯时进行监测型态势感知项主张执行中，另一件值得反思的态势感知大局是“地图+炮”。本书《译者序》中分析了“‘地图+炮’大局的态势感知为啥成效不显著”的原因。对此我们自己深有体味，为更好地展示恶意代码威胁散布、流动、扩散等情况，尊龙凯时在2004年恶意代码监测的治理软件（CS模式）中引入了恶意代码散布图，进行了威胁可视化的早期尝试。并从2008年起头，基于FLASH和HTML5，先后开发了两版可视化的插件，形成了通过基础图表、地理信息、拓扑结构等展示威胁、进行告警等通用能力。迄今为止，国内有较高比例的网络测绘、威胁监测，蕴含网络靶场等项目使用了尊龙凯时的安全可视化插件。应该说，这些较为低级的可视化工作，对于社会各界对安全威胁形成相对直观的意识是有价值的。但这种以“监测事务汇聚+大屏展示”形成的建设导向，也带来了本书《译者序》中所指出的“有态无势”、“感而不知”、“感而不为”等问题，使尊龙凯时一度在态势感知研发上存在钻营美观、不放在眼里实效的偏差。亦由于我们提供的插件降低了可视化展示的门槛，肯定水平上也助长了国内不扎实地索求态势感知的内涵法规和实效价值，而钻营成效“酷炫”的风尚。对此我们有深刻反思。
监测型平台的一个难点是监管部门和被监管机构间的关系定位与协调。监管部门作为主管或职能机构，在组织、调度整合各能力方的安全资源方面有自身的优势，但其采集监测能力难以有效达到被监管机构。监测型态势感知平台往往重要依附大规模轻载扫描作为基础的采集能力，因而其只能看到互联网露出资产，而监管部门但愿相识的沉点，则是关键信息基础设施和其他沉要的规；畔⑾低嘲踩，而这些系统的互联网露出面相对是较少的。最终导致监管方对真正承载沉要信息的内网、私有云、工业网络等关键信息基础设施内部安全情况往往一问三不知。而监管部门的安全查抄评估等伎俩，也往往未能纳入到监管平台的统一工作流程中；褂胁棵偶嗖馄教，甚至没有自动化的探测采集伎俩，也没有多源的数据和威胁谍报整合能力，根基上全数事务来自某一两纪獠全厂商的“推送+可视化展示”，这样的平台也难以达功成效。
因而，我们在推动省级态势监测平台的试点工作中，尝试共同监管部门将威胁监测能力抵近到沉要基础设施内部。当然，监管机构基于安全的宏观态势和抵近部署，形成的战术调整要求，对于所监管的机构来说是有积极作用的，但同时也是粗粒度的。监管机构能够将一部门采集传感能力下沉，但不成能以此包办被监管方自身的防御能力建设与运维。做好关键基础设施和沉要信息系统的安全防御工作，还是要依附有关信息资产的治理运营方的能力建设的自我驱动与投入。
在监测型态势感知平台根基研发成熟的情况下，尊龙凯时将保险“三高”网络的安全作为态势感知和防御工作的重要保险场景。这里所提的“三高”网络，是本书《译者序》章节作者与尊龙凯时在技术探求中界说的一种网络场景。特指一个网络系统中承载着高信息价值资产，该网络被划定为高安全防护等级，同时该网络受到常态化高强度的网络威胁攻击，拥有这三种特点的网络统称为“三高”网络。尊龙凯时在研发的战术型态势感知平台系统是萦绕“三高”网络场景进行研发的，战术型态势感知与监测型态势感知的沉要差距在于，监管部门固然进行资产风险探测和威胁监测，但其并非信息资产的所有方，其不具备监测能力全面覆盖全数资产的部署前提，同时也不能直接进行威胁措置。其会传递监测了局、措置定见和要求给资产运维方，但其并不能指挥联动资产运维方安全环节进行实时响应和作为。关键信息基础设施和规；墓丶畔⑾低呈峭胀胁匹敌的重要场景，作为这些信息资产的治理者，必要建设更系统美满的能力，来匹敌网络安全威胁。
成效的变动：从单点防护能力到动态综合防御能力
技术汇报《塔防在私有云安全中的实际》（2015）中指出，“目前能够观测到网络空间的攻击行为出现‘系统化’趋向，攻击阶段越来越多也越来越复杂，而面对这样复杂的进攻，传统的安全天堑或网络隔离战术难以见效。”并明确提出了“以系统化的防御对决系统化的攻击”。
在应对单点威胁的过程中，一些单点防护技术逐步成型，形成炼底的网络安全产品类别和名录。像各人耳熟能详的有安全网关（如防火墙、IPS、UTM、下一代防火墙等）、端点防护（如反病毒、主机管控）、入侵检测、扫描器、VPN等等。这些产品为了应对分歧的威胁而产生，从而逐步形成了相对明确的部署地位和安全价值。这些产品是网络安全防护工作的根基能力支点。从从前来看，安全解决规划往往是从这些产品类别上抽取产品，进行组合搭配后形成的，但这种堆砌产品的解决规划仅仅是部门化决了防御系统的“能力分工”问题，而无法做到本书《译者序》中提出的 “深度结合、全面覆盖”， “把握敌情、协同响应”的工作要求。
从攻击侧来看，在高级网空威胁行为体的攻击系统中，固然也蕴含了大量单点攻击设备，但这些设备并不是单点使用的，而是在攻击框架中被组合使用的，属于攻击链的一个组成部门。由于攻击者在攻击入口的选择、兵器组合的搭配、攻击链路的设计方面掌控自动权，因而仅仅进行单点或单一的多点防护，并不及以阻断攻击链，显然，靠堆砌产品不能形成有效的防御系统。
从尊龙凯时在反病毒引擎、流量监测、沙箱分析、端点防护等多方面的实际经验来看，我们此前的思想模式往往是试图把单点技术能力不休做强。例如，若是攻击者对恶意代码进行免杀处置，我们就不休增长脱壳、虚构执行等预处置环节的深度，增长更多的检测分支和加权点，下调启发式扫描的阈致反提升检测敏感度等。我们从前等待这些强单点能力能应对更多的威胁，并但愿这些强的单点能力组合能躲避更复杂的风险。但对于高级网空威胁行为体所具备的资源和攻击承载成正本说，安全产品便成为了一种易于获得的安全资产。攻击者能够持久测试各类安全产品，寻找其脆弱性。这种情况下每个单点都很难预防被找到绕过步骤。因而，脱离了用户信息系统环境这个“纵深阵地”来设计单点能力，不会获得较好的使用成效。
在一个有效的防御系统中，既必要有效融合靠得住的单点产品与能力，同时也必要突破这种持久堆砌单点能力应对单点威胁所带来的认知局限。将单点匹敌转化为系统匹敌，将产品机械堆砌转化为能力有机融合，将先建设后安全的补课模式转化为网络安全机造与规划、建设、运维的三同步融合，这就必要新的步骤论系统。在大量的规范、模型、尺度中，SANS的“网络安全滑动标尺模型”是一个较为梦想的规划建设视角模型。本书翻译团队将有关文件翻译引入国内，尊龙凯时和国内其他能力型厂商约定以此作为公共步骤论，并进一步进行延长拓展，提出了叠加演进的网络安全能力模型；瓿呋殖晌甯隼啾，即“基础结构安全”、“纵深防御”、“态势感知和积极防御”、“威胁谍报”、“反造”；瓿叩闹魈馑枷胧遣巳晃宕罄啾鹬涞穆叫怨叵，并且标尺左侧类别为其右侧类别提供基础支持、降低执行难度、提升防御成效、削减资源投入。
本书《译者序》中提出了“为了做好网络空间时期的安全防御工作，不仅必要通过美满并强化已有静态的防御机造实现两全结合面与覆盖面的综合防御能力系统，还必须加快建设动态防御能力系统，其中关键正是针对网络空间时期的高水平复杂威胁行为体发展协同响应匹敌的积极防御能力”。以此可见，“结合面”和“覆盖面”是确保全面落实网络安全能力的两个重点。其钟装结合面”指的是网络安全防御能力与物理、网络、系统、利用数据与用户等各个层级的深度结合。“覆盖面”指的是要将网络安全防御能力部署到企业信息化基础设施和信息系统的“每一个角落”。而从“关口前移”的工作要求来看，不能将“关口”单方面窄化为“安全网关”或“网络入口”，而该当理解为“落实安全能力的沉要节造点”。在网络安全实际中，实现安全防护“关口前移”的关键，正是在于有效解决安全能力的“结合面”和“覆盖面”问题。因而，在借鉴“网络安全滑动标尺模型”进行规划能力建设的过程中，必要思考到每个类此外有关支持环节与“结合面”与“覆盖面”的映射，依附“基础结构安全”、“纵深防御”、“态势感知与积极防御”、“威胁谍报”的叠加演进能力建设，形成动态综合防御系统。
本书《译者序》进一步指出“从叠加演进的视角来对待网络安全防御能力系统，基础结构安全与纵深防御能力拥有与网络信息基础设施‘深度结合、全面覆盖’的综合防御特点，而积极防御与威胁谍报能力则拥有强调‘把握敌情、协同响应’的动态防御特点，并且这些能力之间存在着辩证的相互依赖关系与推进作用。」剽些概想对于在对威胁匹敌情境下做好安整个系规划有极度沉要的领导价值。
同时，在发展网络安全规划，提升态势感知和防御能力工作过程中，也有好多必要把稳的问题。
要辨识网络安全领域的各类观点，预防偏颇的认知导向带来误导和影响。好比在网络安全防护工作中，有两种偏差，一种是单方面夸大单点防护的作用。如部门防火墙厂商传递的导向是，所有威胁都来自于网络，只有在网络侧形成更细粒度的和谈解析鉴别、更严格的威胁阻断，就可能保障内网安全。而主机防护厂商传递的导向是，所有威胁都是为了攻击主机指标，沉点是做好最终指标的防御。若是用户以这些导向去规划建设，会因以偏概全，而顾此失彼。另一种偏差是单方面否定寂仔成熟单点环节的价值，将防火墙、入侵检测、反病毒、补丁升级等单点环节，都视为过期和无效环节。这种偏差忽视了寂仔成熟单点环节已经形成简直定性的、难以代替的基础能力——如防火墙产品的安全天堑和接见节造作用、入侵检测形成的网络和谈鉴别和攻击定性作用、反病毒形成的对文件载荷的鉴别和标定作用等。由于防御场景的复杂性，攻击能力的系统化，单点能力失效是拥有必然性的。但某个单点能力会失效和这个单点能力没有作用是两个齐全分歧的概想。盗贼能挖地路进入金库，并不料味着金库不应该上锁。现实上，两衷飓颇偏差间往往有一些关联，否定原有的单点防护能力价值，往往又是为了造作新的单点能力神话。
要意识到叠加演进的安全能力建设，不能能力点有了即可，必要扎实靠得住的单点基础安全能力为支持。例如在配置加固方面，一些有关产品的“安全基线”，只蕴含几十个操作系统的配置点。现实上这是远远不够的，无法满足叠加演进对配置加固的安全要求。而STIGs（Security Technical Implementation Guides，安全技术执行指南）的加固尺度中，操作系统加固项共15685个，覆盖8大类系统，168个版本操作系统，均匀每个操作系统的配置点多达600个以上；利用和服务加固项有4245个，重要覆盖5大类利用和服务（统计数据截止至2018年9月4日）。加固更绝非依照统一设置下发了事。作为整体动态安全战术的沉要组成部门，配置加固必要支持业务系统安全运行，而不能滋扰业务系统的陆续性和不变性。但在安全战术中蕴含端口是否盛开、服务是否启动等设置都对业务的运行和可用性带来影响。以Windows的DEP（数据执行；ぃ┘庸涛，若是将DEP；じ哺堑剿械睦，显然能够提升系统匹敌缓冲区溢出攻击的能力，但在现实中也有肯定比例的利用软件和工具会因DEP机造而崩溃。好比在内网治理运维场景下，就必要凭据业务场景测试加固战术，对矛盾软件设定单点例表或群组例表，并通知软件研发方进行改进。同时捕获有关的崩溃事务进行研判，判定崩溃是因攻击还是软件设计实现导致的与DEP矛盾，之后必要凭据情况进行到攻击响应或例表设定的流程。因而，每个配置点的身分中都涉及到其获得的安全增益和价值影响，不仅要针对主机现实运行的业务情况对配置进行调整，还必要设定群组模板。
要看到站在防御系统的角度，无数单点环节形成有效能力同样是系统化的工作。补丁是基础结构安全层面的沉要安全环节，但在规；幕雇缰，做好补丁工作并不是一件单一的工作。存在一些能够衔接互联网的机构内网用户，把打补丁当作一个自己通过操作系统的幼我设置和互联网安全客户端自行通过表部补丁源进行建补的过程，是否打补丁齐全看幼我习惯，不仅没有统一的节造和治理难以保障安全，同时在补丁日升级流量大量占用出口带宽等情况也会影响日常工作。补丁升级工作中必须思考到：补丁源的靠得住性问题、补丁自身的安全性问题、打补丁对业务陆续性的影响问题、打补丁带来的兼容性不变性问题、不能衔接内部补丁源的孤岛节点的补丁查抄和补丁装置问题、因保障业务陆续性不能打补丁或者不能打部门补丁的节点的防护战术问题，等等。为应对这些问题，则必要成立其内部集中补丁源、补丁获取及摆渡机造、补丁留存和分析机造、用于验证补丁兼容性和靠得住性的影子系统、依照灰度机造分批补丁并凭据反馈情况决定是否持续补丁或回滚操作的机造等、用于提升离线环节补丁升级效能的工具、通过P2P机造等等。而在此过程中所形成的纪录、轨迹和监测情况，都要汇聚到支持态势感知的有关日志服务器。同时，还必要成立补丁机造和其他关联的安全和业务流程的关联接口，如发现补丁源遭逢攻击或传染情况的措置、打补丁导致无法自动回滚的瘫痪变乱的措置，等等。
在动态综合防御系统中，安全产品的设计不仅必要其价值内涵，也必要回覆其与网络安全态势感知观察、理解、预测三个层面的关系，以及在从决策到行动的响应周期中所阐扬的作用。不然，产品就很难融入能力系统。例如，尊龙凯时的检测措置工具产品的设计，从前更多关注的是若何更多发现主机的脆弱性，蕴含更有效的发现和措置Rootkit型木马，在查抄点、内核驱动、钩子等方面思考较多，但对于检测措置工具转化态势感知平台的能力环节思考较少。但此类基于便携介质的检测措置工具的检测过程是态势感知的信息采集环节，能够有效增长孤岛环节的可见度，其在遇到安全威胁的时辰，也能够实现比实时防护环节有更好的采集深度和证据固化能力，因而必要在有关检测评估的业务流程中去治理，并汇聚检测了局和提取的信息。其措置工作下达、工具领用、措置了局上报等也应与应急业务流程相融合。
建设动态综合防御系统要充分依附SIEM和SOC的能力基础，并在此基础上提升要求。可能将有关安全环节所产生的日志及系统有关的日志实现汇聚分析，形成对安全环节的统一治理能力，无疑对于实现战术型态势感知来说，是一个必备的基础能力。从传统的安全防御产品的状态来说，SIEM和SOC系统能够别离实现这种基础能力。但战术型态势感知平台并不是单一的SIEM+SOC，更不是SIEM和SOC加强部门可视化能力的整容版本。一个没有基础SIEM和SOC职能的态势感知系统是不能思议的，但同时也必要对这些环节进行有效的改进。
从传统SIEM和SOC来看，有两个问题同时存在，其一为数据过载问题，其二为数据失真问题。SOC是为相识决离散的安全环节没有形成整体治理能力的问题，对安全环节进行统一治理，使之成为可能协调联动的整体；SIEM是为相识决基于安全日志和系统运行日志的产生源头分散、难以统一分析的问题，所以把设备、利用系统和产品日志，以及在端点侧、流量侧分歧的安全产品的日志汇聚在一路，形成上层的查问、分析、关联能力。它们是在防火墙、IDS、反病毒、终端管控等安全产品成熟后，产生的上层平台型产品。这就带来了一个问题，仅仅可能对更多的日志进行汇聚，对更多的产品进行治理是不是就足够了——是否还必要思考接入到平台的产品自身的采集能力、基础检测能力，是否可能支持以匹敌高级网空威胁为主张的态势感知和积极防护的要求。一旦攻击行为不能在基础的采集环节实现留痕，那么根基上很难通过上层分析发现。
因而，一方面阐扬和强化SIEM的日志整合、分析、检索能力和SOC形成的统一治理能力，但也必要进一步推动基础能力的改进和沉构，这是态势感知中必要实现的工作。在SIEM和SOC的基础上，我们在强化态势感知平台的运维、安全一体化，但愿达成资产、配置、缝隙和补丁治理的统一能力的成效。使客户通过态势感知平台运维，提升网络客观理性，进而支持防御能力。
本书《译者序》中提出“即便在支持工作工作的网络系统遭逢网空攻击并被攻击受控的情况下，依然可能维持工作工作持续进行，并实时复原到可接受的工作工作保险水平。在这一系列类型的网络安全防御能力的支持下，通过实战化的网络安全防御运行，可能达到本书《形成感知》章节中对全面美满的网空安全防御过程所提出的要求。”网络安全防御有关平台和产品的规划设计和职能实现，必要对峙实战化的导向，让网空防御有关人员角色都能有效操作和使用。由于动态综合防御系统的复杂性，出格是态势感知平台系统结构复杂性，往往导致所谓的能力型产品到态势感知平台的业务职能系统都难以使用，在这一点上我们也有正背面的经验教训。
在2009年，我们开发了AVML搜索职能。AVML是尊龙凯时内部界说的一种XML象征说话，用来存放病毒样本的分析了局。AVML搜索不仅能够搜索IP、域名、URL、Hash等，也能够搜索动静态分析系统所天生的各类向量了局，如字符串、互斥量、函数名等。在我们向客户交付监测平台时，这个职能往往作为一个子系统交付。在有追踪溯源、网络攻击案件侦办需要的客户群体中，这个职能评价较为正面；但其他用户险些很少使用这个职能，普遍反映固然演示起来高级洋气，但其实不知路怎么用，也不理解有什么用。
有肯定基础能力的安全厂商开发者往往有一种炫技心态，但愿用能力的专业度感动客户。我们曾在监测型感知平台和探海等产品上，为客户扩大了支持基于了局、向量、标签等前提组合增长决策树的能力，但在现实实际中客户根基无法把握，其成效反而不如支持IP、Hash等单一规定扩大显著。最终我们取缔了这一职能。
相比之下，在威胁谍报的增值服务中，我们获得评价最好的是APT攻击追忆包的服务，客户只必要订阅攻击追忆包并进行部署操作，就能够看到追忆了局。免去了将机读谍报手工转化为规定的操作，也无需对C2、Hash、YARA蹬仔更深的理解。在射中威胁的情况下，才会向客户展示匹配到的规定细节，疏导后续措置流程。这就成为用户能够驾驭的职能。
通过持久的威胁匹敌实际，以及对业内成就的调研总结，出格是基于“滑动标尺”叠加演进能力模型和《关于网络纵深防御的思虑》（2014）等汇报文章中提出的主题理想，尊龙凯时逐步找到了自身所要践行的安全理想，也纪录在此，也作为这份代序的概想总结。
以基础结构安全和纵深防御为主体的综合防御系统为基础，叠加动态的积极防御以应对高级复杂威胁，同时结合威胁谍报缩短防御响应周期并提高针对性，构建动态综合网络安全防御系统。在防御系统规划建设中，要做到：
“综合发展”：基础结构安全、纵深防御、态势感知与积极防御、威胁谍报早年到后逐步加强、逐步演化，且前面的档次要为后面的档次提供基础支持前提。
“深度结合”：将安全能力落实到信息系统的各个实现层组件，逐层发展防御，为实时发现和响应赢得功夫。
“全面覆盖”：将安全能力最大化覆盖信息系统的各个组成实体，预防因部门能力短板导致整体防御失效。
“动态协同”：依附持续监测和自动响应能力，结合大数据分析、威胁谍报、专家研判，实现积极防御。
实现语
网络强国战术发展对网络安全工作成效的要求在不休提升。2016年习近平总书记在“4·19”讲话中要求“全天候全方位感知网络安全态势”，对态势感知提出了加强陆续性、抗滋扰性和无死角的要求。在尔后2017年“2·17”讲话中，总书记将工作要求提升为“实现全天候全方位感知和有效防护”，要求我们扭转无效防护的局面，从感知风险的存在，提升至通过有效防护匹敌威胁、节造风险，并强调了感知与防护能力必须做到全方位覆盖。在2018年的“4·20”讲话中指出要“关口前移”，对落实网络安全防护的步骤提出了沉要要求，而“防患于未然”则形成了鲜明的以防护成效为导向的指引要求。距离这些工作要求，我们还有很大的差距。本书的翻译、校对过程也是我们为更好落实有关工作要求，而进行的自我进建过程。是我们从懵懂实际态势感知到沉新理解何谓态势感知、沉新规划战术型态势感知平台的过程，是一个不休自我反思和批评的过程。笔者从1994年起头进建反恶意代码技术，在尊龙凯时所从事的大部门技术工作，是萦绕着以反恶意代码为主的威胁匹敌发展的，在这个过程中形成了经验堆集，也带来了自身的一些认知惯性和局限。在进建本书的过程中，笔者对态势感知的意识，经历了一个从自身的反恶意代码本位视角启程，逐步跳出本位视角的过程。将本书作为一个态势感知的基础知识和步骤框架，回头对接梳理我们自己的工作，就能发现我们存在的好多的缺点和盲点，蕴含有大量我们尚未突破的科学问题，有的问题整个业内都在寻找答案。在代序中，笔者将部门自我实际经验赘述于此，并不是为了展示这些工作，而是为了通过尊龙凯时弯路和教崖反注明，即便对于有持久威胁检测、匹涤注分析能力，并有肯定的工程经验的规；踩哦永此，研发态势感知平台系统依然是高度艰巨和复杂的工作。不仅如此，我们所形成的一些积习和惯性思想，往往还会滋扰我们对态势感知形成更系统全面的意识，并进一步影响到尊龙凯时实际。
复杂性科学的沉要奠基人之一布莱尔?阿瑟（Brina Arthur）已经询问驰名航空工程专家沃尔特?文森蒂（Walter Vincenti），为什么绝少工程师试图奠定他们领域的理论技术，得到的回覆是，“工程师只喜欢那些他们能解决的问题。”必须认可，在从前极度长的一段功夫里，我们在态势感知和网空防御有关的工作实际中短缺真正意思上的理论层面的思虑。而本书的正文和译者序，很大水平上添补了尊龙凯时理论层面思虑的匮乏。这体现出“工程师所表演的内部思虑者”是异乎寻常的。为此，我必须向本书的各位作者和重要译者黄晟同道暗示敬意。
我们坚信，我们进一步的研发与工程实际能延展和深入书中那些指向未来的路标。在协助网信主管部门执行监测型态势感知平台的经验基础上，我们在全力加快战术型态势感知平台研发，以网络安全能力叠加演进为导向，协助用户发展深度结合与全面覆盖的系统化网络安全规划与建设，支持起协同联动的实战化运行，赋能用户筑起可匹敌高级威胁的网络安全防线。这些工作仅靠一个厂商无法实现，而必要由多个能力型厂商组成的良性生态系统。
任沉路远。愿与网络安全同仁们携手致力。?
尊龙凯时 肖新光