×

分布式XDR的检测分析框架
  

91135_水 1331

{{ttag.title}}
分布式XDR的检测分析框架
一、分布式XDR简介
        分布式XDR是一款运行在客户本地的针对安全防护的检测响应设备,主模块主要包括安全监控、检测响应、风险管理、资产中心、配置管理、APP中心等。
         通过安全监控可以对现网的网络安全状况以及接入设备的安全防护状态进行整体展示
         检测响应是针对不同设备采集过来的日志信息进行数据解析、标准化处理、缝合编制等方法、三层聚合形成少量精准的安全事件以及还原攻击故事线方便运维人员研判处置。
          风险管理是针对终端以及服务器层面所受到的不同层次、不同等级的风险状况进行展示,以及对不同风险的处置方法。
         资产中心是针对终端资产进行管理展示,对终端资产的指纹信息进行采集,如服务器的端口暴漏面、威胁进程等信息进行采集展示。
         配置管理主要是针对接入XDR的网络设备,XDR支持丰富的第三方设备接入以及联动处置安全告警和事件。
        APP中心主要是针对物联网场景、自定义APP开发,以及流程化工单处置闭环等内容。
        安全GPT: 云端智能AI,可以对事件以及攻击进行研判,新手也能完成复杂运维。
二、分布式XDR的检测分析框架
         XDR的检测框架分析主要分为三个层面。
         原始遥测数据--->安全日志--->安全告警--->安全事件;
      2.1、原始的遥测数据(Telemetry)
           亿级为单位,包括HTTP审计日志、端侧的原始行为日志以及三方安全设备的原始告警和日志。
           来源: STA/EDR/三方设备原始日志

    2.2、安全日志(Logs)
             对遥测数据进行初步处理结果,或组件上报的检测结果未经聚合处理。
            来源: EDR病毒日志库、IOA原始日志、SIP上报告警、SIME匹配输出。

     2.3、安全告警(Alerts)
             千级,XDR对Logs进行初步聚合,降低误报或其它进一步处理后的易研判的告警,告警之间是孤立的,存在一定程序误报。

     2.4、安全事件(Incidents)
              告警的1/30甚至更低,生成精准少量的事件,具备多源的多关联的设备来源,包括对事件的前因后果,事件的生命周期。
               来源:对告警进行聚合、去重、屏蔽、过滤、冷却、关联、场景化定性输出。

         XDR的三级引擎检测框架:
           (1)、一级引擎:通过对遥测数据的数据治理 , XDR对日志进行理解、对日志进行富化,生成标准的日志,通过NDR引擎、EDR引擎、自定义规则的一级检测机制最终生成安全日志。
            关键词:基于高质量数据治理的多场景威胁复测
           (2)、二级检测引擎:XDR设计了告警融合、告警聚合、攻击结果识别的三个降噪环节,对相同的告警名称、IP、时间等,进行细粒度的不同层次的告警进行聚合,通过多种场景模型对同一攻击事件在不同时间、不同阶段、不同手法下的告警进行聚合,通过攻击成功检测在众多攻击尝试和误报虚报中提取真实有效的攻击,最终提供少量精准的安全事件。
            关键词:基于告警融合聚合、攻击结果识别的海量告警精准降噪

           (3)、三级检测引擎:XDR攻击情境还原基于知识图谱、主机共性行为挖掘、攻击线索关联分析等技术,将同一事件的多种手法聚合在一起,在网侧和端侧关联、单终端和多终端还原等场景来还原攻击过程,建立威胁图谱,精确到主机上的攻击行为和判定结果。
            关键词:基于端网关联和智能溯源的攻击情境还原




打赏鼓励作者,期待更多好文!

打赏
2人已打赏

嘀嘀柠柠 发表于 2023-11-9 23:19
  
每天坚持打卡学习!!
winneraaa 发表于 2023-11-10 09:45
  
杰哥6666666666666
策马奔腾 发表于 2023-11-12 23:25
  
坚持学习,杰哥多整点
ie5000 发表于 2023-12-6 08:42
  

每天坚持打卡学习!!
发表新帖
热门标签
全部标签>
西北区每日一问
每日一问
技术盲盒
技术笔记
干货满满
产品连连看
GIF动图学习
标准化排查
技术咨询
通用技术
新版本体验
功能体验
SDP百科
自助服务平台操作指引
安装部署配置
信服课堂视频
技术圆桌
2023技术争霸赛专题
秒懂零信任
社区新周刊
每周精选
畅聊IT
在线直播
设备维护
技术晨报
高手请过招
升级&主动服务
升级
sangfor周刊
VPN 对接
专家问答
答题自测
MVP
网络基础知识
安全攻防
上网策略
测试报告
日志审计
问题分析处理
流量管理
每日一记
运维工具
云计算知识
用户认证
原创分享
解决方案
项目案例
SANGFOR资讯
专家分享
技术顾问
信服故事
功能咨询
终端接入
授权
资源访问
地址转换
虚拟机
存储
迁移
加速技术
排障笔记本
产品预警公告
玩转零信任
信服圈儿
S豆商城资讯
技术争霸赛
「智能机器人」
追光者计划
深信服技术支持平台
社区帮助指南
答题榜单公布
纪元平台
卧龙计划
华北区拉练
天逸直播
以战代练
山东区技术晨报
文档捉虫活动
齐鲁TV
华北区交付直播
2024年技术争霸赛
北京区每日一练
场景专题
故障笔记
排障那些事
高频问题集锦

本版版主

10
17
2

发帖

粉丝

关注

124
74
30

发帖

粉丝

关注

26
8
0

发帖

粉丝

关注

70
37
1

发帖

粉丝

关注

6
14
0

发帖

粉丝

关注

18
10
5

发帖

粉丝

关注

本版达人