在過(guò)去近40年的網(wǎng)絡(luò)發(fā)展過(guò)程中，網(wǎng)絡(luò)傳輸與交換速度從最初的3M到現(xiàn)在的10000M，速度提高了3000多倍，對(duì)與之相配套的網(wǎng)絡(luò)管理、網(wǎng)絡(luò)威脅監(jiān)控設(shè)備（例如IDS）也提出了新的要求。

威脅監(jiān)控的發(fā)展經(jīng)歷了三個(gè)階段：

Ø 第一階段：（單一數(shù)據(jù)來(lái)源）集中監(jiān)控；

Ø 第二階段：分布式監(jiān)控；

Ø 第三階段：（多數(shù)據(jù)來(lái)源）集中監(jiān)控。

萬(wàn)兆網(wǎng)絡(luò)帶來(lái)的數(shù)據(jù)大集中使得威脅監(jiān)控再次回歸到“集中監(jiān)控”模式上來(lái)。在這個(gè)螺旋式的發(fā)展過(guò)程中，威脅監(jiān)控從不完善到完善，再到進(jìn)一步完善，在不斷接受挑戰(zhàn)的過(guò)程中完善、前行。

萬(wàn)兆網(wǎng)絡(luò)環(huán)境對(duì)威脅監(jiān)控的新要求與挑戰(zhàn)

一、報(bào)警數(shù)量的挑戰(zhàn)

經(jīng)統(tǒng)計(jì)，以往的IDS系統(tǒng)在千兆環(huán)境下每天平均要產(chǎn)生300條左右的報(bào)警事件，事實(shí)證明，這些報(bào)警事件已經(jīng)讓安全管理員難以應(yīng)付。而在萬(wàn)兆數(shù)據(jù)大集中的環(huán)境下，流量的激增必然導(dǎo)致產(chǎn)生更多的、海量的報(bào)警事件，如何更有效地展示關(guān)鍵威脅，自動(dòng)屏蔽掉低質(zhì)量、非關(guān)鍵威脅，降低安全運(yùn)維人員的工作強(qiáng)度，提高安全運(yùn)維人員的工作效率從而降低安全運(yùn)維工作的整體成本，就變得尤為重要。

在設(shè)計(jì)上，啟明星辰的萬(wàn)兆設(shè)備天闐TDS 5510將安全運(yùn)維自動(dòng)化、智能化作為一個(gè)重要的設(shè)計(jì)目標(biāo)，采用了多種手段在威脅呈現(xiàn)層面向用戶展示關(guān)鍵、重要的威脅，屏蔽低質(zhì)量報(bào)警和非關(guān)鍵威脅，其技術(shù)手段主要包括：

1、威脅智能分析：通過(guò)多種維度和指標(biāo)，動(dòng)態(tài)智能分析具體威脅對(duì)于用戶的重要程度，從而決定是否需要向用戶呈現(xiàn)。這種智能技術(shù)的采用極大程度地降低了威脅報(bào)警的事件量，從而大幅降低了安全監(jiān)控的運(yùn)維工作量和難度，是威脅呈現(xiàn)層面的一個(gè)非常實(shí)用的創(chuàng)新。通過(guò)一年的用戶環(huán)境的實(shí)際使用反饋，在眾多廠家的IDS對(duì)比使用體驗(yàn)中，該技術(shù)確實(shí)帶給用戶一種全新的使用體驗(yàn)感受，其設(shè)計(jì)與價(jià)值得到用戶的普遍認(rèn)可

圖1 TDS在某知名網(wǎng)站一天的全部監(jiān)控報(bào)警

 2、威脅報(bào)警的折疊呈現(xiàn)：通過(guò)將威脅進(jìn)行兩級(jí)折疊展示，實(shí)現(xiàn)了對(duì)上報(bào)事件從“攻擊事件匯總信息”到“攻擊事件詳細(xì)信息”的二級(jí)分層展示，這樣將同一攻擊事件大量重復(fù)的冗余信息折疊到了第二級(jí)，使得威脅呈現(xiàn)更加突出重點(diǎn)，威脅呈現(xiàn)更加靈活、清晰、有效。通過(guò)對(duì)用戶實(shí)際使用的回訪調(diào)研發(fā)現(xiàn)，用戶每天只會(huì)對(duì)少數(shù)事件（一般是高級(jí)事件）才會(huì)展開(kāi)二級(jí)折疊獲取事件詳細(xì)信息，而對(duì)于其它事件只關(guān)注攻擊事件匯總信息，即不會(huì)追溯事件詳細(xì)信息。這充分說(shuō)明了對(duì)于威脅報(bào)警二級(jí)折疊呈現(xiàn)的設(shè)計(jì)符合大多數(shù)用戶的使用習(xí)慣，避免用戶每天需要在海量信息中搜尋所關(guān)注的特定事件的工作，極大地降低了安全監(jiān)控運(yùn)維工作量，降低了安全監(jiān)控運(yùn)維工作的成本。這個(gè)功能不是一個(gè)創(chuàng)新，但確實(shí)是一個(gè)性價(jià)比很高的改進(jìn)。

圖2 威脅報(bào)警的折疊呈現(xiàn)

二、突出重點(diǎn)威脅、熱點(diǎn)威脅的挑戰(zhàn)

在萬(wàn)兆的的網(wǎng)絡(luò)流量環(huán)境下，大量的威脅報(bào)警事件混在在一起，使得用戶很難區(qū)分出威脅重點(diǎn)。在海量的報(bào)警事件中查詢、統(tǒng)計(jì)威脅重點(diǎn)與熱點(diǎn)威脅是一件繁瑣的工作，如果在海量事件中過(guò)濾、統(tǒng)計(jì)重點(diǎn)事件、熱點(diǎn)威脅，對(duì)于提高安全監(jiān)控運(yùn)維人員的工作效率，減輕安全運(yùn)維人員的工作量來(lái)說(shuō)就變得非常重要。

天闐TDS充分考慮到了安全運(yùn)維人員在日常工作中對(duì)于重點(diǎn)威脅、熱點(diǎn)威脅的報(bào)警展示與統(tǒng)計(jì)分析方面的需要，在系統(tǒng)首頁(yè)最重要的位置上提供了兩個(gè)獨(dú)立的專欄區(qū)域?qū)χ攸c(diǎn)威脅與熱點(diǎn)威脅進(jìn)行展示與統(tǒng)計(jì)，使得安全運(yùn)維人員對(duì)所關(guān)注的重點(diǎn)與熱點(diǎn)一目了然。

1、關(guān)注重點(diǎn)威脅：對(duì)于大多數(shù)用戶來(lái)說(shuō)，由于每天花在安全監(jiān)控方面的時(shí)間和精力有限，因此在監(jiān)控的時(shí)候，往往希望對(duì)普遍性的重點(diǎn)威脅能夠在第一時(shí)間內(nèi)了解、掌握，如：今天是否發(fā)生了拒絕服務(wù)攻擊，發(fā)生了多少次？今天是否有木馬、蠕蟲(chóng)、病毒事件發(fā)生，發(fā)生了多少次？等等。這類對(duì)于大多數(shù)用戶來(lái)說(shuō)屬于需要普遍關(guān)注的威脅事件往往就是安全監(jiān)控運(yùn)維工作需要統(tǒng)計(jì)分析的重點(diǎn)。

天闐TDS在最重要的頁(yè)面（首頁(yè)）的最重要位置（左上角）專門(mén)提供了一個(gè)獨(dú)立的區(qū)域?qū)τ脩羝毡殛P(guān)注的威脅重點(diǎn)進(jìn)行統(tǒng)計(jì)，以此來(lái)幫助用戶在第一時(shí)間內(nèi)獲取重點(diǎn)威脅的發(fā)生情況與統(tǒng)計(jì)信息，免去了用戶每天多次重復(fù)性地在海量的報(bào)警事件中對(duì)此類威脅事件進(jìn)行手工統(tǒng)計(jì)的工作。除此之外，考慮到用戶在需要對(duì)重點(diǎn)威協(xié)進(jìn)行統(tǒng)計(jì)的同時(shí)，還需要參考以往重點(diǎn)威協(xié)發(fā)生情況進(jìn)行對(duì)比分析的需求，天闐TDS又對(duì)重點(diǎn)威協(xié)在以往發(fā)生情況的平均水平進(jìn)行了計(jì)算并將計(jì)算結(jié)果在該區(qū)域同時(shí)提供給用戶，這樣用戶不但對(duì)于重點(diǎn)威協(xié)的統(tǒng)計(jì)數(shù)據(jù)能夠一目了然，還能夠通過(guò)參考重點(diǎn)威協(xié)以往的平均發(fā)生水平數(shù)據(jù)對(duì)當(dāng)前的重點(diǎn)威協(xié)發(fā)生情況進(jìn)行有效的態(tài)勢(shì)判斷。“統(tǒng)計(jì)現(xiàn)在、分析歷史、把握未來(lái)”是天闐TDS在重點(diǎn)威協(xié)呈現(xiàn)上的一套新思路。

圖3 重點(diǎn)威脅統(tǒng)計(jì)展示

2、關(guān)注熱點(diǎn)威協(xié)：除了對(duì)于具有普遍意義的重點(diǎn)威協(xié)的展示、統(tǒng)計(jì)與對(duì)比之外，用戶對(duì)于近期發(fā)生的熱點(diǎn)威協(xié)也需要高度關(guān)注，因?yàn)闊狳c(diǎn)威脅（或稱流行威脅）一般都具有非常高的威脅等級(jí)（比如新蠕蟲(chóng)的爆發(fā)，類似熊貓燒香的病毒的大規(guī)模感染等），所以對(duì)于熱點(diǎn)威脅及時(shí)有效的監(jiān)控是威脅監(jiān)控類產(chǎn)品的重要能力與用戶的核心關(guān)注。

天闐TDS充分考慮了對(duì)于熱點(diǎn)威脅監(jiān)控展示對(duì)于用戶的重要性，將對(duì)熱點(diǎn)威脅的監(jiān)控列為體現(xiàn)天闐技術(shù)積累與及時(shí)跟進(jìn)威脅發(fā)展的重要能力體現(xiàn)。在產(chǎn)品化的過(guò)程中，天闐TDS在最重要頁(yè)面（首頁(yè)）開(kāi)辟了一個(gè)獨(dú)立的區(qū)域?qū)诘臒狳c(diǎn)威協(xié)的發(fā)生情況進(jìn)行動(dòng)態(tài)跟蹤與展示，讓用戶能在第一時(shí)間內(nèi)了解掌握熱點(diǎn)威脅的發(fā)生狀況與趨勢(shì)。

圖4 熱點(diǎn)威脅統(tǒng)計(jì)展示

結(jié)語(yǔ)

在萬(wàn)兆威脅監(jiān)控時(shí)代到來(lái)之后，對(duì)入侵檢測(cè)技術(shù)提出了更高的要求，對(duì)威脅的發(fā)現(xiàn)、呈現(xiàn)、管理都提出了更高的要求，在發(fā)現(xiàn)威脅之后，如何有效地展示威脅成了萬(wàn)兆網(wǎng)絡(luò)環(huán)境下威脅監(jiān)控的重要內(nèi)容，啟明星辰的萬(wàn)兆設(shè)備TDS 5510利用多種技術(shù)手段有效地解決了萬(wàn)兆網(wǎng)絡(luò)環(huán)境下的威脅呈現(xiàn)的問(wèn)題，是萬(wàn)兆威脅監(jiān)控的高效、理想平臺(tái)。