綠盟可管理的威脅檢測與響應服務（NSfocus Managed Detection and Response Service，以下簡稱綠盟MDR服務）是一種集安全威脅檢測設備、安全威脅分析平臺、安全專家服務于一體的一站式安全運營支撐服務，通過入侵檢測防御系統(tǒng)、全流量分析系統(tǒng)、態(tài)勢感知系統(tǒng)等安全設備與平臺及云端遠程安全分析專家共同為企業(yè)客戶提供各類安全的威脅檢測與響應服務。

相對于傳統(tǒng)的安全產品與安全服務，綠盟MDR服務具備以下優(yōu)勢：

1、避免企業(yè)信息安全建設面臨的管理風險

當前企業(yè)機構的信息安全建設往往采用先采購安全設備和安全平臺類產品，后采購運維外包服務方式解決安全問題。這種建設方式，往往在工期上、人員配備上、技術集成上存在較大風險。實現(xiàn)不同廠商安全設備的統(tǒng)一運維與管理、不同安全設備與平臺同步開發(fā)、聯(lián)調對接、安全運維外包服務或安全運維人員招聘和培養(yǎng)等問題給企業(yè)增加了供應商管理及外包管理成本和風險，難以確保采購的安全設備、平臺及服務能夠形成完整的、有效的運營體系應對日益復雜的安全威脅。

綠盟MDR服務是一體化的、端到端的安全運營支撐服務，通過一體化的設計有效整合了安全威脅分析平臺、安全檢測設備及安全運維專家資源，并在技術上、流程上和人員配備上形成有效的安全運營支撐體系，從而避免了企業(yè)在安全建設上的風險。

2、配置靈活，成本可控，降低總體成本

綠盟MDR服務可采用靈活方式采購。一方面，客戶可以根據(jù)自身業(yè)務系統(tǒng)的類型、規(guī)模及規(guī)劃靈活地選配威脅檢測與分析所需要的設備。另外一方面，在安全設備及安全平臺建設上，企業(yè)可以根據(jù)自身的安全預算情況選擇租賃或采購的方式。對于已購買綠盟安全設備的客戶，還可以選擇在原有安全設備基礎上擴建的方式完成MDR服務的采購。通過以上方式，企業(yè)可以大幅降低信息安全建設的一次性投入，并且在確認安全運營支撐服務效果后逐步追加投資。

3、降低運營負擔，適配企業(yè)原有的管理流程

與傳統(tǒng)安全設備采購不同，綠盟MDR服務采用一體化建設方式，在原有安全運體系基礎上增加企業(yè)威脅檢測與防護的能力，能夠完整地實現(xiàn)企業(yè)原有的安全運維體系無縫對接，避免給企業(yè)安全運維帶來額外負擔，降低整體安全運營效率。
 
綠盟MDR服務的價值與功能

綠盟MDR服務專注于安全事件發(fā)生中和發(fā)生后兩個階段的監(jiān)測與響應，可以為企業(yè)客戶提供以下兩點核心價值：

1、安全止損：綠盟MDR服務通過事件監(jiān)測或審計的方式幫助企業(yè)及時發(fā)現(xiàn)安全災害事件，并盡快提供消除災害影響的操作建議，大幅降低安全災害事故帶來的損失和影響。另外一方面，在安全事件發(fā)生后，綠盟MDR服務通過本地化應急響應確認進行攻擊溯源，確認引發(fā)安全事件根源并采取積極措施消除安全隱患，避免安全災害事故重復發(fā)生。

2、降低安全風險：綠盟MDR服務通過威脅監(jiān)測或審計方式協(xié)助企業(yè)發(fā)現(xiàn)具有持續(xù)性攻擊或針對性攻擊的高危訪問源，并提供封殺操作建議，通過攻防對抗方式有效提升攻擊者攻擊成本，迫使攻擊者放棄攻擊，最終達到降低企業(yè)安全風險的目的。

綠盟MDR服務功能主要包括熱點事件預警與防護、攻陷主機與事件的防護和高危訪問源的監(jiān)測與封禁，具體功能如下表所示：

階段       服務項       服務方式 SLA

事中 熱點事件預警 互聯(lián)網(wǎng)熱點事件監(jiān)測、通告與預警

1）時效：在熱點事件發(fā)布后24小時之內，進行安全預警和通告

2）范圍：針對可能造成主機被控制且會廣泛影響金融、運營商、政府、交通、能源、教育、醫(yī)療的新型漏洞或威脅，事件范圍參見《附件一》
熱點事件預防 防護設備升級并配置防護策略 在熱點事件發(fā)布后24小時之內完成防護策略的建議或部署
持續(xù)性攻擊高危訪問源發(fā)現(xiàn) 互聯(lián)網(wǎng)邊界訪問行為審計 識別互聯(lián)網(wǎng)惡意訪問源、有掃描探測行為的高危訪問源及有明顯攻陷意圖的訪問源，并提供封殺建議和策略，每日一次
針對性攻擊高危訪問源發(fā)現(xiàn) 互聯(lián)網(wǎng)邊界訪問行為審計 識別針對已知漏洞進行攻擊的高危訪問源，并提供封殺建議和策略，每日一次
事后 可疑攻陷事件發(fā)現(xiàn) 互聯(lián)網(wǎng)邊界訪問行為審計 每日一次
范圍：參見《附件二》
可疑攻陷事件排查 流量深度分析（Payload級） 發(fā)現(xiàn)攻陷事件后30分鐘內完成
攻陷事件告警 電話／郵件通知 發(fā)現(xiàn)攻陷事件后5分鐘內完成
攻陷事件抑制 郵件發(fā)送 發(fā)現(xiàn)攻陷事件后5分鐘內完成
安全事件應急響應 本地人工 直轄市、省會城市8小時抵達現(xiàn)場   
綠盟MDR服務采用的設備類型及部署方式

為了確保能及時發(fā)現(xiàn)威脅、應對威脅，綠盟MDR服務采用5種不同類型安全設備或平臺，包括綠盟Web應用防火墻、綠盟入侵檢測與防護系統(tǒng)、綠盟全流量檢測系統(tǒng)、綠盟統(tǒng)一威脅分析系統(tǒng)、綠盟態(tài)勢感知系統(tǒng)。這五類設備和裝置在服務中發(fā)揮著不同的功能和作用，幫助企業(yè)完成威脅的檢測和響應。設備與平臺列表如下表：

設備名稱       英文簡稱       作用       選項
綠盟Web應用防火墻 NSfocus WAF 互聯(lián)網(wǎng)側Web威脅檢測與攔截設備 （可選）
綠盟入侵檢測與防護系統(tǒng) NSfocus IDP 互聯(lián)網(wǎng)側系統(tǒng)與應用威脅的檢測與攔截設備 （必選）
綠盟全流量檢測系統(tǒng) NSfocus UTS 流量回話采集設備 （必選）
綠盟統(tǒng)一威脅分析系統(tǒng) NSfocus TAM 可疑事件的分析平臺 （必選）
綠盟態(tài)勢感知系統(tǒng) NSfocus TAS 可疑事件檢測平臺 （必選）
在部署上（如上圖），綠盟MDR服務需要在企業(yè)本地側部署安全運營支撐平臺（包含綠盟統(tǒng)一威脅分析系統(tǒng)及綠盟態(tài)勢感知系統(tǒng)），并將威脅檢測類設備（包括綠盟Web應用防火墻、綠盟入侵檢測與防護系統(tǒng)、綠盟全流量檢測系統(tǒng)）接入至安全運營支撐平臺，完成本地部署后，通過在線或離線方式將需要分析的日志信息傳送至云端交由云端安全專家完成各類日志分析及策略制定。 
 
MDR服務的主要服務項介紹
 
熱點事件預警與防護

熱點事件是指大范圍影響單個或多個行業(yè)或地域的群體性安全事件，例如Struts2漏洞曝光、永恒之藍攻擊代碼曝光等，這類事件往往伴隨大量災害和損失發(fā)生。根據(jù)綠盟網(wǎng)站安全監(jiān)測與防護服務的統(tǒng)計，每一次熱點事件的曝光的24小時以內，互聯(lián)網(wǎng)都會出現(xiàn)大量與公布漏洞或代碼相關的新型攻擊。對企業(yè)來說，每一次熱點事件曝光后的排查與加固實質上都是與攻擊者面對面的較量，攻擊者抓緊時間完成根據(jù)新曝光的漏洞信息或攻擊代碼完成攻擊工具，而企業(yè)需要完成漏洞的排查與加固。而對于大部分企業(yè)來說，確保在24小時之內完成排查和加固是個大的挑戰(zhàn)，所以熱點事件往往會給企業(yè)帶來大安全風險。

綠盟MDR服務可以幫助企業(yè)客戶在完成加固之前，搶先在互聯(lián)網(wǎng)出口完成預防工作，將來自于互聯(lián)網(wǎng)的新型攻擊有效攔截，大幅降低熱點事件導致的安全風險。

綠盟MDR服務對熱點事件的預警與防護分為通告預警和安全防護2個階段。在通告預警階段，當前出現(xiàn)熱點事件時，綠盟MDR服務會通過電話、短信、郵件等方式向企業(yè)客戶發(fā)起安全事件的預警，將安全事件相關背景信息、漏洞與攻擊相關特征及通用處置建議發(fā)送給企業(yè)。在安全防護階段，綠盟MDR服務云端安全專家可在客戶授權下，對安全檢測和防護類設備的規(guī)則庫進行升級并配置安全防護策略，通過這種方式預防來自互聯(lián)網(wǎng)的新型威脅。

此外，在企業(yè)提供資產系統(tǒng)／組件／應用類型的前提下，綠盟MDR服務不僅可以對企業(yè)客戶通告新事件，還可以進一步幫助企業(yè)客戶及時確認事件影響的資產范圍，幫助企業(yè)排查隱患和加固。

綠盟MDR服務對熱點事件預警與防護

高危訪問源的監(jiān)測與封殺

高危訪問源的監(jiān)測與封殺的主要作用有兩個，一方面可以在攻擊者找到攻陷方法或路徑之前，針對訪問源進行攔截，破壞自動化攻擊行為，達到比設備自動攔截和防護威脅行為更好的效果。另外一方面，針對高危訪問源的封殺可以有效提升攻擊者的時間成本、技術成本迫使對方放棄攻擊；高危訪問源的監(jiān)測與封殺技術原理如下圖所示。

高危訪問源可以被分為兩類，一類是具有持續(xù)性攻擊特征的高危訪問源，另外一類是具有針對性攻擊特征的高危訪問源。

綠盟MDR服務針對以下三類具備持續(xù)性攻擊的特點或意圖的訪問源進行檢測：

1、有“案底”的高危訪問源，即在攻擊發(fā)生之前曾經(jīng)對其他主機或系統(tǒng)采取攻擊行為的高危訪問源；綠盟MDR服務采用綠盟威脅情報（NTI）可識別全球新的威脅源，根據(jù)IP信譽識別并捕獲高危訪問源。

2、掃描探測類的高危訪問源，綠盟MDR服務通過威脅分析平臺對訪問流量和日志分析，可識別各類有掃描行為和探測行為的訪問源。這類訪問行為往往是攻擊的前兆。

3、具有攻陷意圖的高危訪問源，綠盟MDR服務采用大數(shù)據(jù)分析和機器學習技術，自主開發(fā)了訪問行為理解引擎，可以識別攻擊者攻陷行為的七個步驟和環(huán)節(jié)，從而識別具有攻陷意圖的高危訪問源。

對于針對性攻擊的高危訪問源，綠盟MDR通過威脅分析平臺根據(jù)威脅告警和資產漏洞信息進行關聯(lián)分析，確認每一個威脅行為是否具備針對資產漏洞進行攻擊的特征，如果發(fā)現(xiàn)是針對漏洞進行攻擊的威脅行為，則需要將其訪問源進行特殊處理。

可疑安全事件的發(fā)現(xiàn)與確認

由于移動終端的普及，攻擊者往往采用攻陷個人移動終端的方式來滲透企業(yè)內網(wǎng)，企業(yè)內網(wǎng)安全已經(jīng)無法單純依賴于互聯(lián)網(wǎng)邊界的威脅檢測與防護。綠盟MDR服務提供采用互聯(lián)網(wǎng)邊界訪問行為檢測與流量深度分析相結合的方式，幫助企業(yè)客戶發(fā)現(xiàn)并確認可疑的安全事件。

綠盟MDR服務可以通過系統(tǒng)攻擊檢測、web攻擊檢測、網(wǎng)站安全監(jiān)測（或通告）和威脅情報四種有效方式發(fā)現(xiàn)可疑安全事件，前兩者屬于本地檢測方式發(fā)現(xiàn)自內網(wǎng)外聯(lián)的可疑行為，后兩者都是通過外部能力或情報發(fā)現(xiàn)企業(yè)內網(wǎng)對外攻擊行為或已被的攻陷痕跡。

當前綠盟MDR服務發(fā)現(xiàn)可疑安全事件以后，將可疑事件相關信息，尤其是異常終端訪問信息傳遞給云端安全專家進行排查和確認，在專家排查確認后盡快向企業(yè)發(fā)起安全事件通告，并開始啟動應急響應。

總結：

綠盟MDR服務是無論是在服務模式上還是在技術上都是業(yè)界先進的，該服務不僅為客戶提供了安全一體化建設方案，避免安全建設項目的風險，還進一步融合業(yè)界先進的大數(shù)據(jù)分析技術、機器學習技術、智能決策技術為客戶有效地識別安全威脅和事件，從而協(xié)助企業(yè)持續(xù)有效地降低安全風險和安全事故帶來的損失。