了解于闯·邓强:大数据有助于安全运营和维护

本篇文章3988字，读完约10分钟

了解于闯·邓强:大数据有助于安全运营和维护 运营和维护的核心目的是确保服务、应用程序和企业能够正常、高效地向外部世界提供服务。 中国国际数据中心圈12月28日报道，第11届中国国际数据中心行业年会(IDCC2016)于12月20日至22日在北京国家会议中心隆重举行。在中国信息与通信研究院、发展与政策论坛和联盟的指导下，本次会议由中国国际数据中心行业年会组委会主办，中国国际数据中心圈主办，得到了众多媒体的大力支持。

作为中国云计算和数据中心领域最大、最具影响力的标志性事件，IDC中国行业年会已经成功举办了10次。本次会议的规格和规模都是“上一层楼”，吸引了全部现场人员，其影响力涵盖了数据中心、互联网、云计算等所有领域。

会上，于闯政企司副总经理邓强出席了IDC服务大会，并在当天的安全运维分论坛上发表了主题为“大数据有助于安全运维”的主旨演讲。

认识于闯工商管理部副总经理邓强吗

以下是这次演讲的文字记录:

运营和维护的核心目的是确保服务、应用程序和企业能够正常、高效地向外部世界提供服务。

从黑客的实力和动机、攻击手段和目标等方面分析了网络攻击的发展趋势。首先，我们来看看网络攻击的动机。现在我们基本上看不到我们过去看到的黑客的纯粹动机，我们现在看到的攻击，或者我们现在看到的几乎所有攻击，所有这些都混合着复杂的因素，包括经济利益和政治需求。此外，还有攻击方法和目标。现在基本购物中心有两个极端。一个越来越复杂。正如我们所提到的许多APT攻击作为代表，它们非常隐蔽，非常持久，目标准确，包括许多攻击方法和手段。另一个极端的攻击是现在每个人都感到困惑的世界问题，简单和粗糙的攻击，直接流量攻击和复合DDOS攻击，包括DYN事件，我们自己已经分析过了。

对于黑客来说，利益背后的驱动力越强，产业链的净化就为网络攻击和网络犯罪提供了很好的温床。现在所有的产业链都非常成熟。每个环节紧密相连，分工明确。与以往的传统攻击相比，当前的攻击在黑客之间具有更强的协同性。与以前不同，我需要独自战斗，做任何事情。现在每个环节都是成熟产业链中的一个固定环节。他只需要做好他的工作。在这种工业模式下，攻击能力和破坏力得到了最大限度的发挥，这对被攻击方来说无疑是一场灾难。

从政策层面来看，过去两年提到的许多国家越来越重视信息安全和网络安全，包括将于明年6月1日颁布实施的《网络安全法》。这也是立法层面的更高要求。对于每一个信息系统和网络系统的参与者来说，你是系统的提供者和操作者，在出现问题后也要负责，所以你对我们提出了更高的要求。

安全操作和维护、主动监控所面临的挑战，以及我们缺乏主动监控的能力和手段，当我们的内部风险不断积聚时，如内部控制、导致内部其他敏感业务数据泄露、或被指控稍后发起攻击、导致国际数据中心受到监控、或外部世界封锁我的知识产权，所有这些都是内部监控不足所导致的风险。第二部分是业务连续性问题。当我们面临攻击时，即使网络接入的突然增加，我们也没有一个好的支持渠道。在资源层面，我们知道，作为一个个体或企业，无论从人员、资金和支持技能(包括数据)的积累来看，相对于攻击者而言，它都处于被动和劣势状态。

作为外部安全解决方案和提供者，我们还将重点从主动监控、高效利用和安全资源等方面提出自己的想法和解决方案，希望能对运营维护有所帮助，减少管理上的麻烦。

首先，让我们看看主动监控。我们知道网络的规模越来越大，网络中的网络资产也越来越多。随着越来越多的资产和越来越多的资源，直接的结果是攻击区域的增加和越来越多的风险。IPV4版本基本上被全世界的互联网所使用。IPV4 空的数量超过42亿，IPv4 = 4.2亿的数量超过0+。我们现在能理解的只是很小的一部分。大量的互联网对我们来说是一个黑洞。此外，风险对我们来说往往是未知的。基于此，我们在2011年开始做ZoomEye。这很简单，也就是说，看看在我关注的领域或整个互联网上有什么资源可用。具体来说，每个IP地址后面都是它关注的服务器、网络设备或安全设备、手持设备和移动设备。因此，我们知道我们所关心的目标领域，它包含什么，它由什么资源和资产组成，以便我们能够进一步有针对性地认识风险和处理风险。现在ZoomEYE有了一个相对强大的能力。我们将在七天内分析地址空并进行准确识别。有了全球数据，我们可以进行一些响应性的数据分析，这可以帮助我们进行一些风险感知和快速响应。

除了Zoomeye，流量也是一个很好的分析来源。我们知道流量中隐藏着大量的攻击和威胁。我们常说，作为攻击者，他们或多或少会在流量中留下痕迹，这也是为什么我们看到市场上所有的检测设备都是从流量开始的，我们也对流量做了长期的研究和分析。云映像用于从双向流量中检测高级威胁和受感染设备。受感染的设备会极大地攻击内部网，导致数据泄漏和IP阻塞。我们将进行一系列测试，并通过进出互联网的流量进行进一步的测试。测试结果将与云中的威胁信息相互印证，以确保我们的测试结果能够更加准确。我们现在已经在大量客户中验证了云地图的能力，包括一些安全任务，包括G20。我们通过云地图发现了大量的攻击，包括大量的病毒木马。

当云层上升后，异常现象很快就会被发现。什么异常？它是某个固定IP将在每天清晨开始活动。它会经常发出大量的合同和请求。我看到了它要求的内容。我们看到它基本上请求恶意域名。现在远程控制只不过是通过远程主机控制里面被感染的设备。从这个现象的角度来看，我们基本上可以确定这些知识产权是有缺陷的。让我们看看来自云的威胁信息能告诉我们什么。我们可以看到，由来自云的威胁信息给出的连接图、该IP地址在云中捕获的IP和互连关系基本上都是恶意IP。根据云的估计和推断，这两者是紧密联系在一起的，这个知识产权肯定有问题。

第二是业务连续性。我们知道网络攻击已经成为业务连续性的最大杀手，而DDOS的供应在这里尤其麻烦。当我们现在处理这种DDOS攻击时，我们攻击和防御的双方是不平等的。作为一个单独的个体，我们很难有足够的资源来应对每一轮都有数百个G或T的攻击。此外，我们自己的带宽和国际数据中心的带宽都是有价值的服务带宽。目前，最常见和最有效的方法是通过一些外部云保护方法。与传统相比，云保护模式具有最大的优势。这是一种保护，它可以协同工作。我的个人资源有限，我的带宽、经验和知识结构也有限。通过云保护，大量个人可以集成到一个整体中。然而，在这个整体中，任何一个个体在受到攻击时都会首先被传染给其他个体，其他个体会很快获得保护能力，包括更多的保护个体被连接到保护系统中。在保护方面，我们暴露于这些最新攻击并捕获最新攻击的可能性越大，我们就可以进行保护。

在云保护领域，我们也将拥有自己的品牌名称。我们称之为于闯。我们在于闯的云安全领域有三个分支机构，分别是攻击保护、流量保护和加速。我们将做三件更有针对性的事情。这里我们看到了于闯盾，它可以抵御面向应用的高级威胁和攻击。通过创建一个空间屏障，它相当于在我们的系统外放置一个保护罩，以促进我们安全系统的升级。我们的后台会有一个专业的主动防御团队来分析所有的攻击数据。我们内部叫黑客学习，你打我一拳，我知道怎么打这一拳，下次我就知道怎么躲了。在实际对抗中，它不断地净化自己和成长，这也是云方法的最大优势。

对于第二种反D保险，主要是为业务系统的连续性提供保障。简单的说法是抵御DDOS攻击。目前，反D保险也拥有中国最大的反D集群。现在，所有反D资源都与滕循云无缝集成，这可以确保我们能够快速扩展资源。每个反D保险节点都有腾讯的反D系统，宙斯盾在前面，我们有一个相对强大的反CCD引擎。

加速码分多址、服务接入和服务优化与传统码分多址没有区别。在功能上，传统的CDN具有加速音乐的功能。我们最大的优势是将创造空间的所有优势集成到CDN中，这可以提供安全的CDN保护。使用CDN可以优化您的业务并为您提供安全性。

整个于闯云安全平台是一个机会域名系统。它可以在几分钟内连接到个人电脑进行保护，主要是通过域名系统的排水和设计。背后是一个专业的专家团队，帮助您分析报告、分析攻击并改进保护。让我们的管理人员和销售人员在他们的业务中投入更多的精力。

有了大量数据，我们每天都有上亿个请求和数万次攻击。我们将提取新的攻击方法和技术、黑客指纹、攻击习惯和特征，形成我们自己的黑客指纹数据库。

我们已将金融系统的信用系统模型引入整个云保护系统。我们将评估所有访问请求的可信度。我会记录你的访问是正常的还是恶意的扫描和攻击你的信用系统。我们将分析当前绘画的相关度、历史数据和相关数据，形成安全等级云。在此基础上，我们将进一步做黑客的肖像和黑客的分类。我们将看看黑客的所有历史攻击。可以分析攻击方法、特征和攻击级别。根据您在我们数据库中的级别，我们可以通过级别来区分黑客的攻击能力和攻击级别。这些可以通过大数据来实现。

目前，全国所有节点都有覆盖，可以通过所有节点进入，从而快速获得安全能力。

第三种资源。主要从数据分析、威胁情报和安全服务方面考虑资源。比如，这里开头提到的天空地图，我们做以数据为中心的安全态势管理、监控和防御，这在上升后会有很好的效果。然而，随着时间的推移，越来越多的数据会干扰我们，我们将分析数据表达式。现在我们知道了安全，每个人都在谈论一个安全态势感知平台，我们也建立了自己的安全态势感知平台。

此外，安全信息是从漏洞中获取的。现在有越来越多的安全事件。个人很难从互联网上快速获得有趣的威胁信息。我们还推出了安全信息快递服务。我们将推进安全问题信息、漏洞信息、相关加固方案和验证程序。

还有渗透，大家都很清楚，我就不多说了。与传统渗透制造商的解决方案相比，我们更注重实际效果。我们擅长测试AP5P、微信和这里提到的业务逻辑。