CSO说安全 | 王利伟：基于大数据的联防联控机制

安全行业的攻防双方非对称博弈，导致了防守方在应对攻击者时面临诸多挑战。防守方需要在明面上做好全面的防护措施，而攻击方只需找到一个薄弱点便可突破整个防御体系。在安全行业多年的发展过程中，我们可以发现以下几个问题：

针对这些问题，我们提出了一个基于大数据的联防联控机制，通过情报挖掘、情报共享、协同防御等方式实现防御效果的提升。

要实现基于大数据的情报挖掘、情报共享、联防联控和协同防御，我们需要建立一个统一的平台，以实现基于邻域信任的防御（Protection Based on Neighborhood-Trust）以及向前防御（Defense Forward）。在流量接入边界之前，通过情报进行危险识别和提前设防。下面是该机制的具体实现方式。

云平台的多租户环境非常适合作为联防联控机制的基础设施。我们可以建立一个云安全平台，通过域名解析、API调用等方式供生态中的用户接入，并在云平台上实现集中防御。接入的用户越多，样本越大，规模效应就越明显。如果无法形成规模效应，协同防御的效果将大打折扣。

向攻击者学习是提升防御能力的关键。通过分析每天面临的各种扫描和攻击趋势，我们可以学习到攻击者的最新手段，从而找到更有效的防御方法。实时对抗，不断学习，形成一张庞大的蜜网，吸引攻击者上钩。

在数据收集与处理的基础上，我们需要利用大数据技术、机器学习算法等方法对数据进行分析和挖掘，目标是从海量数据中识别出网络攻击、异常行为、潜在威胁等信息。数据分析的关键在于发掘数据中的潜在价值，将原始数据转化为有用的情报。具体来说，我们可以通过以下几种方式实现数据分析：

在联防联控机制中，情报共享是核心。我们需要建立一个共享的情报库，其中包含各类攻击指标、黑数据、漏洞情报等。如此一来，当一个组织遭受攻击时，其他组织可以迅速获取有关信息，提前做好防御。情报库的建设需要各个参与方共同努力，形成一个共赢的生态。

我们可以通过以下几种方式实现情报共享和协同防御：

利用人工智能+SOAR技术，我们可以实现自适应防御以及响应和处置，让安全设备和软件能够自动调整策略，实时响应各种威胁。例如，通过机器学习算法分析历史数据，我们可以预测攻击者可能采用的手段，从而提前布置防御。自适应防御能够大大提高防御效率，减轻安全人员的工作负担。

在大数据联防联控体系中，智能响应与处置是非常关键的一环。当攻击发生时，系统需要快速评估风险，制定相应的应对措施，并进行实施。具体来说，智能响应与处置可以包括以下几个方面：

在联防联控机制下，各个参与方可以形成一个紧密的防御网络，共同应对各种安全威胁。当一个组织遭受攻击时，其他组织可以迅速提供支援，形成协同防御。这种方式既能提高整体防御能力，又能降低单个组织的风险。

平台每天学习到的黑IP可以建立IP评级云，对黑IP进行评级打分，并且动态更新黑IP库。所有接入方学到的黑IP进行共享和集中分析。如在HVV期间，某个防守单位学习到了疑似红队IP则全网扩散，其他防守单位都可以提前进行设防。接入方也可以根据自己防护级别的需要进行防御，比如在重保时期，可以把过往一个月内有过攻击扫描记录的、海外的、危险级别是五星的全部提前封禁。实现一人被攻击，全网都通缉。

云地联动是一种在本地设备与云端之间建立连接的策略，以便在无法上云的场景下，本地数据能够被云端分析并传回本地。这种联动方式使得本地设备可以实时调用云端数据进行匹配检查，并自动更新防御策略。与云端联动的不仅是安全设备，还包括主机、网络设备、终端以及应用，这些设备和软件都可以通过API进行数据调用，从而能够让所有的设备都是安全设备，所有的软件都是安全软件。

扩展情报涵盖了多种信息，如暗网情报、IOC、域名、IP、社交ID、邮件地址、恶意软件、爬虫、ID、电话以及彩虹表等。这些信息可被整合为共享社区，应用于不同的安全场景。

业内的一些实践表明，基于联防联控的安全防御机制取得了显著成效。一些国内外的知名企业，如CloudFlare、Akamai、360、阿里云、知道创宇、微步在线和青藤云，都在实践这种机制。这些公司在市场上都取得了认可，表明这种机制是未来安全防御的必备手段。

然而，现阶段这些安全云仍局限于各家厂商自身的建设，各家的擅长领域不同，导致下游用户仍然需要依赖单个厂商的能力。若要获得多个厂商的情报和数据能力，用户需要进行重复购买。尽管已有一些社区概念的实践，但规模和影响力都相对较小。

联防联控体系在提高网络安全防御能力方面具有显著优势，但同时也面临着一些挑战和问题。以下几点需要引起关注：

为了更有效地应对网络安全挑战，我们需要进一步推动跨厂商合作，实现多个厂商之间的情报和数据共享。通过联合各家的优势，我们可以为用户提供更全面、更高效的安全防护。在未来，跨厂商的联防联控机制或将成为网络安全领域的关键发展方向，为整个行业带来更大的价值。

通过实现上述几个方面，我们可以构建一个强大的、基于大数据的联防联控机制，为全球安全行业提供更高效、更智能的防御手段。这种机制将有力地推动安全行业的发展，提高整个社会的安全水平。

然而，实现这一目标并非易事，它需要政府、企业和个人之间的紧密合作，形成一个共同的利益体。只有当所有参与方都充分认识到网络安全的重要性，并愿意为此付出努力时，才能真正实现联防联控，共同抵御网络安全威胁。

为此，我们需要多面进行合作才可以，在网络安全领域，跨界合作至关重要。政府、企业、学术界和其他组织需要携手合作，共同应对网络安全挑战。通过打破行业壁垒，我们可以整合各方资源，形成协同效应，更有效地防范网络安全风险。

各地开始筹建数据交易所，积极推动数据作为新时代的生产要素的作用，各类安全情报数据如果条件允许建立起安全数据的联盟、安全情报数据交易所。一方面，用户可以从公开交易市场获得最真实、最鲜活的情报数据，用以提高自身防护水平，而且有多种选择，不必受制于某家供应商单独的能力。另外一方面，情报的生产者也可以创收，情报价值可以引入评价、评级体系。安全行业生态里上中下游每个环节的机构都可以成为情报生产者和使用者。

如果业内有一个大平台，像征信平台一样，集中各个维度的征信数据为一个大平台，同时引入去中心化的机制，形成行业情报中心，行业范围的联防联控，势必可以大大提升对攻击分子的抵御能力。