AF如何实现安全可视化
  

Sangfor_闪电回_朱丽 3515

{{ttag.title}}
AF如何实现安全可视化

吕晓滨


近年来,业界开始宣传推广“安全可视化”概念,而一些厂商以越来越炫酷的UI及各类安全“噱头”为口号,并不断的“包装”其所谓的“深度安全可视化”,试图引领业界潮流,使得众说纷纭,为“安全可视化”蒙上厚厚的迷雾,让人理不清到底什么才是真正的“安全可视化”。

某公司下一代防火墙在2014年就开始探索“安全可视化”,并在2014年底至今不断以此为目标推出一系列可视化改进版本,颇得客户、一线和客服等的认可。在我们的理解,安全可视化不仅仅是将海量日志中的攻击事件日志等原始信息进行简单的分类和归集后以各式各样的图形化UI或报表形式呈现出来,它更需要深度挖掘这些原始信息的内在关联,以客户的角度,展示客户想看的、关心的、需要的安全信息,看清攻击全貌,明白攻击者意图。

传言佛家修炼有三个层次:看山是山,看水是水;看山不是山,看水不是水;看山还是山,看水还是水。我们认为,安全可视化亦有三个层次:看的清,看的全,看的透。

第一层:看的清。

在探索过程中,我们发现大部分IT人员在使用传统安全设备时,面对海量的单调、难懂的日志信息和报表,均很难将其与安全风险挂钩,以至于每天需要花费大量时间去分析。 故,我们认为,安全可视化第一层次,是要让用户看的清楚当前的安全风险(已知的、潜在的)。借用某公司NGFW控制台首页的改进前后对比来简单说明下:

改动前,如下几图为首页展示的内容。对用户来讲,可能存在以下几个问题:

*所列事件对用户来说,并非全是关键事件

*过多展示无关紧要或空白的信息

*攻击以纯数字 + 跳转到日志的形式,让客户跳海(海量日志)


界面优化后,展现给用户的信息更符合用户需求:

* 去掉无关信息,展示关键数据。

* 多维度展示核心攻击视角,如入侵风险、僵尸主机、实时漏洞等。

*  优先展示需要关注的信息。各模块自动调整展示顺序。


第二层:看的全。

传统安全的展示角度一般是以所有攻击类型或威胁作为维度,并提供简易的日志按TOP、日期查询等手段给用户分析。但如今的应用层攻击趋势,是以单一攻击手段向复合式攻击的方向演变,以攻击类型作为维度来展示会显得单一,无助于用户分析,难以深入理解其中潜在的风险。

故,我们认为,安全可视化第二层次,应能从多维度的、全面的展示能让客户看懂已知和潜在的风险。

如上图所示,我们在探索过程中分析了众多IT用户的运维习惯、分析角度和关注点,并结合某公司NGFW自身核心特色的安全功能后,以“入侵风险、僵尸主机、漏洞分析、数据风险、黑链风险、DoS攻击”等维度展示。每个维度均细分二级汇总分析信息展示、三层详细信息展示。

如下图,我们还提供省心的“待处理问题”列表,每天定期关联所有维度,列出用户需要关注和解决的核心问题,自动过滤掉无需处理的项(如已拒绝的),简化操作并节省用户每日的运维时间。


第三层:看的透。

我们认为,NGFW作为传统墙的下一代升级产品,需要具备深度的智能分析能力,关联分析多种攻击或可疑行为背后的潜在风险,并将其展示出来。

如下图,以某公司NGFW的僵尸主机识别为例,我们将攻击划分为五个阶段。在分析某个IP是否感染僵尸病毒时,我们会关联多种攻击类型,寻找和查证在每个阶段发生的各种关联攻击及可疑行为,以此举证该IP已经中毒,沦为僵尸主机。


另外,某公司NGFW在安全可视化展示中推出基于威胁情报的预警与处置功能,第一时间将最新发生的重大威胁情报或0day漏洞展示给客户,引导客户进行一键防护或打补丁,提前应对最新和未知威胁。

结束语:

安全可视化是一个持续改进的过程,并非一蹴而就,过程期间常常会暴露多多少少的不足。但安全可视化仍然是业界当今的趋势,需要我们不断改进,不断探索新的思路。从最初的AF6.1到现在的AF6.9,我们一直在努力。

对于AF的这些改进,您怎么看,欢迎跟帖~

打赏鼓励作者,期待更多好文!

打赏
暂无人打赏

大蒜头 发表于 2016-5-31 09:55
  
涨姿势,观摩观摩
Burt 发表于 2016-6-4 01:42
  
板凳
best_ws 发表于 2016-6-4 09:54
  
不错不错
woshishui 发表于 2016-6-12 15:39
  
看的清  全  透
新手494742 发表于 2019-5-9 10:21
  
期待。。。。。。。
念友真爱 发表于 2019-12-24 16:09
  
界面是好看了,视觉化也直观了,绚丽多彩,但还是感觉简单实用为主,主要安全提醒最好能在一页一屏内显示,也不能一页内要下拉好多屏才能看全,这样感觉还是有点点费劲哦。
新手486484 发表于 2021-3-19 11:23
  
每天一学,水滴石穿,感谢分享
发表新帖
热门标签
全部标签>
每日一问
2024年技术争霸赛
安装部署配置
技术盲盒
技术笔记
干货满满
产品连连看
2023技术争霸赛专题
每周精选
信服课堂视频
功能体验
秒懂零信任
新版本体验
GIF动图学习
运维工具
技术晨报
自助服务平台操作指引
功能咨询
通用技术
问题分析处理
标准化排查
纪元平台
技术咨询
排障笔记本
华北区交付直播
畅聊IT
专家问答
技术圆桌
测试报告
每日一记
用户认证
原创分享
解决方案
VPN 对接
项目案例
地址转换
存储
技术争霸赛
深信服技术支持平台
卧龙计划
北京区每日一练
答题自测
在线直播
MVP
网络基础知识
升级
安全攻防
上网策略
日志审计
流量管理
云计算知识
sangfor周刊
SANGFOR资讯
专家分享
技术顾问
信服故事
SDP百科
终端接入
授权
设备维护
资源访问
虚拟机
迁移
加速技术
产品预警公告
玩转零信任
信服圈儿
S豆商城资讯
「智能机器人」
追光者计划
社区帮助指南
答题榜单公布
华北区拉练
天逸直播
以战代练
山东区技术晨报
文档捉虫活动
齐鲁TV

本版版主

396
137
63

发帖

粉丝

关注

本版达人

新手61940...

本周建议达人

BGP网络

本周分享达人

BGP网络

本周提问达人