SkyEye天眼系统

奇安信SkyEye天眼系统是一款面向企业级用户的高级威胁检测与响应（TDR）平台，融合终端检测与响应（EDR）、网络检测与响应（NDR）、威胁情报关联分析、AI驱动异常检测等核心能力，旨在帮助企业实现全链路的安全威胁感知、深度分析、自动化响应与闭环处置，有效应对APT攻击、勒索软件、未知恶意代码等高级威胁，支撑安全运营中心（SOC）的高效运作。

一、核心定位与整体架构

SkyEye天眼系统的核心理念是“全链路、智能化、自动化”，通过覆盖终端、网络、云环境等全场景的数据源采集，结合多维度的威胁检测引擎与自动化响应机制，构建从威胁发现到处置的完整闭环。与传统单点安全产品不同，它强调跨域数据的关联分析与攻击链的完整还原，帮助企业突破“数据孤岛”与“检测盲区”，提升整体安全防护能力。

平台的逻辑架构分为以下五层：

• 数据源接入层：对接终端、网络、日志、云环境等多源异构数据，实现全场景数据的采集与归一化；
• 数据处理与存储层：对采集的数据进行清洗、转换、富集，存储于分布式数据库中，为后续分析提供基础；
• 威胁检测分析层：整合签名规则、行为分析、AI模型、威胁情报等多维度检测引擎，实现已知与未知威胁的精准识别；
• 响应处置层：提供自动化响应剧本与手动处置工具，实现威胁的快速阻断、隔离与清除；
• 可视化管理与运营层：通过仪表盘、攻击链视图、事件工单等功能，支撑安全运营团队的日常管理与决策。

二、核心功能模块详解

1. 全源数据采集与归一化

数据是威胁检测的基础，SkyEye天眼系统支持覆盖终端、网络、日志、云环境、威胁情报等全场景的数据源采集，并通过归一化处理实现数据的统一格式与字段，为后续多维度分析提供保障。

• 终端数据采集：通过轻量级EDR Agent部署于Windows、Linux、macOS等终端设备，采集进程、文件、网络、注册表、用户行为、内存活动等多维度数据。例如：进程信息包括进程ID、名称、路径、命令行参数、父进程关系；文件操作记录创建、修改、删除、移动的时间与路径，同时计算文件哈希值；网络连接记录源IP/端口、目的IP/端口、协议类型、流量大小与方向；注册表操作记录键的创建、修改、删除行为；内存活动检测代码注入、进程 hollowing 等恶意行为。
• 网络数据采集：支持流量镜像、NetFlow、sFlow、IDS/IPS日志等网络数据源接入。通过深度包解析（DPI）技术提取HTTP、HTTPS、FTP、SMTP、SSH等协议的内容，包括请求URL、头部信息、 payload 特征；NetFlow数据用于分析大流量会话、异常流量趋势；IDS/IPS告警日志用于关联已知攻击特征。
• 日志数据采集：兼容syslog、CEF、JSON等多种日志格式，采集系统日志（Windows事件日志、Linux syslog）、应用日志（Apache/Nginx、MySQL/Oracle、OA系统）、安全设备日志（防火墙、WAF、VPN）等。通过日志归一化引擎，将不同来源的日志映射为统一字段（如时间戳、事件类型、源IP、目标IP、行为描述），消除数据格式差异。
• 云环境数据采集：适配AWS、Azure、阿里云、腾讯云等主流云平台，采集EC2实例日志、S3存储访问日志、容器日志（Docker、Kubernetes）、云安全产品（云防火墙、云WAF、云原生安全平台）的告警日志。同时支持容器环境的进程、网络、文件活动采集，覆盖云原生场景的安全盲区。
• 威胁情报数据接入：内置奇安信全球威胁情报中心（QTIC）的实时情报，包括恶意IP、域名、URL、文件哈希、攻击团伙TTPs（战术、技术、流程）等。同时支持第三方威胁情报（如MITRE ATT&CK、Virustotal）的导入与关联，丰富威胁检测的数据源。

2. 多维度威胁检测引擎

SkyEye天眼系统整合多种检测引擎，实现已知威胁的快速识别与未知威胁的精准发现，覆盖攻击链的全生命周期。

• 签名规则检测引擎：基于奇安信多年的恶意样本积累，内置海量已知威胁签名库（如病毒、木马、恶意软件的哈希值、特征码），快速识别已知恶意代码。支持用户自定义规则（如正则表达式、布尔逻辑），适配企业特定场景的威胁检测需求。
• 行为分析检测引擎：基于MITRE ATT&CK框架，识别攻击行为模式。例如：横向移动行为（如SMB/SSH暴力破解、Pass-the-Hash攻击）、权限提升行为（如利用漏洞获取管理员权限、修改注册表启动项）、数据外溢行为（如大量文件拷贝至U盘、数据发送至陌生IP）。通过对行为序列的分析，还原攻击的关键步骤。
• AI驱动异常检测引擎：采用无监督学习与有监督学习相结合的方式，识别未知威胁。例如：
  • 无监督学习（孤立森林、K-means）：检测异常登录（如用户从陌生地理区域登录、非工作时间高频登录）、异常进程创建（如正常终端突然运行powershell执行编码脚本）；
  • 有监督学习（CNN+LSTM、Transformer）：分析文件的静态特征（PE头、节信息、导入表）与动态行为（运行时的进程、网络、文件操作），识别未知恶意软件；
  • 图神经网络（GNN）：分析终端间的网络连接关系，识别横向移动的异常路径。
• 威胁情报关联引擎：将采集的数据与全球威胁情报库实时关联，标记恶意IP/域名/URL/文件哈希。例如：终端进程连接的IP被标记为APT组织使用的C2服务器，系统立即触发告警；文件哈希与已知勒索软件样本匹配，快速识别勒索攻击。
• 攻击链完整还原引擎：基于多源数据的关联分析，映射MITRE ATT&CK框架的攻击阶段（初始访问、持久化、权限提升、横向移动、数据窃取等），生成可视化的攻击链视图。例如：从钓鱼邮件（初始访问）→恶意宏执行（执行代码）→持久化（注册表启动项）→权限提升（漏洞利用）→横向移动（SMB）→数据窃取（FTP外发），每个阶段都有对应的证据链支持。

3. 终端威胁防护与响应（EDR能力）

SkyEye天眼系统的EDR模块提供终端层面的实时防护与响应能力，实现威胁的早发现、早阻断。

• 实时监控与阻断：对终端的进程、文件、网络活动进行实时监控，一旦发现恶意行为立即阻断。例如：阻断恶意进程的创建、隔离恶意文件、禁止终端连接恶意IP/域名。
• 终端资产清点：自动采集终端的硬件信息（CPU、内存、磁盘）、软件信息（操作系统版本、安装的应用程序、补丁状态），生成终端资产清单，帮助企业掌握终端的安全状态。
• 漏洞管理：定期扫描终端的系统漏洞与应用漏洞，提供漏洞评分（CVSS）与补丁推送建议。支持漏洞的优先级排序，优先修复高危漏洞。
• 终端响应动作：提供丰富的远程响应工具，包括：
  • 远程取证：获取终端的进程快照、文件列表、网络连接记录、注册表信息、内存镜像；
  • 一键隔离：将终端从网络中隔离，防止威胁扩散；
  • 病毒查杀：对终端进行全盘扫描，清除恶意文件；
  • 系统恢复：将终端恢复到之前的健康状态（基于系统快照或备份）。
• 容器安全防护：针对容器环境，采集容器的进程、网络、文件活动，检测容器逃逸、恶意镜像、容器间横向移动等威胁。支持Kubernetes集群的安全监控，覆盖Pod、Deployment、Service等资源的安全状态。

4. 网络威胁检测与分析（NDR能力）

SkyEye天眼系统的NDR模块通过网络流量分析，识别网络层面的高级威胁。

• 深度流量解析（DPI）：解析HTTP、HTTPS、FTP、SMTP、SSH等协议的内容，提取请求URL、头部信息、 payload 特征。例如：识别HTTPS流量中的恶意证书、异常User-Agent；检测FTP流量中的敏感数据外发；分析SMTP流量中的钓鱼邮件附件。
• 异常流量检测：基于NetFlow/sFlow数据，识别大流量会话（如DDoS攻击）、异常流量趋势（如突然增加的 outbound 流量）、异常端口使用（如非工作时间使用高危端口）。
• 加密流量检测：通过证书分析、流量特征识别（如TLS握手异常、流量大小分布异常），检测加密流量中的恶意行为，无需解密流量即可发现威胁。
• 网络资产测绘：自动发现网络中的资产（服务器、终端、IoT设备），识别资产的IP地址、端口、服务类型、操作系统版本，生成网络资产拓扑图，帮助企业掌握网络边界的安全状态。

5. 自动化响应与编排（SOAR能力）

SkyEye天眼系统提供自动化响应与编排能力，减少人工干预，提升威胁处置效率。

• 响应剧本自定义：用户可基于可视化界面配置响应剧本，定义触发条件与执行步骤。例如：“勒索软件响应剧本”的触发条件为“检测到文件加密行为”，执行步骤包括：阻断终端网络连接→隔离加密进程→删除恶意文件→通知安全团队→生成攻击报告。
• 自动化响应动作：支持终端、网络、云环境的自动化响应，例如：
  • 终端动作：进程阻断、文件隔离、病毒查杀、终端隔离；
  • 网络动作：防火墙规则推送（阻断恶意IP）、流量镜像调整；
  • 云环境动作：云主机隔离、容器删除、云防火墙规则更新。
• 跨产品联动响应：与奇安信生态的其他安全产品无缝联动，例如：与天擎终端安全管理系统联动，推送补丁至漏洞终端；与天眼云安全平台联动，检测云环境的威胁；与威胁情报中心联动，获取最新的威胁情报。同时支持对接第三方安全设备（如防火墙、WAF、IDS），实现跨域的响应闭环。
• 手动响应工具：安全分析师可通过平台执行手动响应动作，例如：远程取证、文件提取、终端重启，满足复杂场景下的处置需求。

6. 可视化管理与安全运营

SkyEye天眼系统提供丰富的可视化功能，支撑安全运营团队的日常管理与决策。

• 安全态势仪表盘：展示企业的安全状态总览，包括威胁事件数量、类型分布、趋势变化、资产风险等级、攻击链统计等。通过直观的图表（折线图、饼图、热力图），帮助运营团队快速掌握安全态势。
• 攻击链可视化视图：基于MITRE ATT&CK框架，生成可视化的攻击链视图，展示攻击的每个阶段与对应的证据链。例如：初始访问（钓鱼邮件）→执行（恶意宏）→持久化（注册表启动项）→权限提升（漏洞利用）→横向移动（SMB）→数据窃取（FTP外发），每个阶段都有详细的日志与截图支持。
• 事件工单管理：对威胁事件进行分级（高、中、低），生成工单并分配给相应的团队成员。支持工单的状态跟踪（待处理、处理中、已解决）、备注与附件上传，实现事件处置的闭环管理。
• 合规报表生成：内置等保2.0、GDPR、PCI-DSS等合规模板，自动生成合规报表。例如：等保2.0的日志审计报表、漏洞管理报表、访问控制报表，帮助企业满足合规要求。
• 多租户管理：支持多租户架构，适合大型企业或MSP（ Managed Security Service Provider）。不同租户的数据隔离，权限独立配置，运营团队可分别管理每个租户的安全状态。
• 操作日志审计：记录所有用户的操作行为（如告警查看、响应动作执行、规则修改），支持日志的查询与导出，满足审计与追溯需求。

三、技术特点与优势

• 全链路威胁覆盖：融合终端、网络、云环境的检测能力，覆盖攻击的全生命周期（从初始访问到数据窃取），突破单点产品的检测盲区；
• AI驱动的未知威胁检测：基于奇安信海量的安全数据训练AI模型，精准识别0day漏洞攻击、APT攻击等未知威胁；
• 攻击链完整还原：基于MITRE ATT&CK框架，实现攻击链的可视化还原，帮助运营团队快速理解攻击路径与影响范围；
• 自动化响应与编排：通过响应剧本与跨产品联动，实现威胁的快速处置，降低人工成本与响应时间；
• 深度集成奇安信生态：与奇安信的终端安全、网络安全、云安全、威胁情报产品无缝联动，构建一体化的安全防护体系；
• 高扩展性与兼容性：支持对接第三方安全设备与云平台，适应不同IT环境的部署需求；
• 合规适配：内置等保2.0、GDPR等合规模板，帮助企业快速满足行业合规要求。

四、典型应用场景

• APT攻击检测与响应：某金融企业遭遇APT攻击，SkyEye通过终端Agent采集到恶意进程，关联威胁情报发现该进程的哈希值与已知APT组织样本匹配，同时检测到横向移动行为。系统生成攻击链视图，自动执行响应剧本：隔离感染终端、阻断C2连接、清除恶意文件，最终成功处置攻击，避免数据泄露。
• 勒索软件防护：某制造企业的终端检测到文件加密行为，SkyEye立即触发勒索软件响应剧本：阻断终端网络连接、隔离加密进程、删除恶意文件，并通知安全团队。同时扫描所有关联终端，发现未感染的终端并推送补丁，防止攻击扩散。
• 内部威胁检测：某企业员工违规拷贝大量敏感数据至U盘，SkyEye通过行为分析检测到异常文件拷贝行为，触发告警并生成工单。安全团队通过平台查看详细日志，确认员工的违规行为，并采取相应的处罚措施。
• 云环境安全防护：某互联网企业的云主机检测到异常进程，SkyEye关联云环境数据发现该进程连接了恶意C2服务器。系统自动执行云环境响应动作：隔离云主机、删除恶意进程，并通知云运维团队。同时扫描其他云主机，确保无威胁扩散。
• 安全运营中心（SOC）赋能：某企业的SOC团队使用SkyEye作为核心分析平台，整合终端、网络、云环境的安全数据，通过仪表盘实时监控安全态势，利用攻击链视图快速分析威胁事件，通过自动化响应剧本提升处置效率，显著降低SOC的运营成本。

总结

奇安信SkyEye天眼系统作为企业级高级威胁检测与响应平台，通过全源数据采集、多维度威胁检测、自动化响应与编排、可视化运营管理等核心能力，帮助企业有效应对高级威胁的挑战。它不仅能精准识别已知与未知威胁，还能实现威胁的快速处置与闭环管理，支撑安全运营中心的高效运作，是企业构建一体化安全防护体系的关键组件。

点击链接，了解更多产品详情：

登录后查看