态势感知

启明星辰泰合新一代网络安全态势感知平台是面向政企客户的全域安全运营核心工具，以“数据驱动、智能分析、实战响应”为核心理念，整合全域安全数据采集、多维度威胁检测、智能态势评估、自动化响应处置、可视化运营等全链路能力，帮助用户实现从被动防御到主动防御的转变，提升安全运营效率与威胁应对能力。平台并非单一工具，而是融合威胁情报、UEBA、SOAR等技术的综合性安全运营中枢，覆盖从数据接入到决策输出的全生命周期。

一、核心定位与整体架构

泰合态势感知平台的核心定位是“企业级全域安全运营中枢”，聚焦解决政企客户在复杂网络环境下的安全可见性不足、威胁检测滞后、响应效率低下等痛点。平台以“全域覆盖、智能驱动、实战落地”为目标，为用户提供从威胁发现到处置的闭环能力。

• 全域覆盖：支持物理网络、虚拟网络、云环境、IoT、工控系统等多场景数据接入，实现全资产、全流量、全日志的统一采集与分析。
• 智能驱动：基于机器学习、深度学习等AI技术，构建异常检测、行为分析、态势预测模型，提升威胁识别的准确性与前瞻性。
• 实战落地：整合SOAR能力，实现威胁响应的自动化与编排化，缩短从检测到处置的时间窗口，降低人工干预成本。

平台的逻辑架构分为以下六层：

1. 全域数据源层：覆盖网络设备、安全设备、终端、服务器、云平台、IoT/工控设备等各类数据源，包括日志、流量、资产、漏洞、威胁情报等数据类型。
2. 数据采集与归一化层：通过Agent、探针、API等方式采集数据，进行日志标准化、字段映射、格式转换等归一化处理，消除数据异构性。
3. 数据存储与处理层：采用分布式存储引擎（时序数据库、关系数据库、对象存储）存储结构化与非结构化数据，通过流处理、批处理引擎实现数据清洗、 enrichment与关联分析。
4. 智能态势感知引擎层：包含威胁检测引擎、UEBA引擎、态势评估引擎、SOAR引擎等核心组件，实现威胁识别、行为分析、态势评分、自动化响应等功能。
5. 应用服务层：提供威胁管理、资产风险管理、合规审计、安全运营等应用模块，支撑用户日常安全运营需求。
6. 可视化展示层：通过定制化仪表盘、威胁地图、攻击链视图等可视化组件，直观呈现安全态势，支持多角色（管理员、分析师、高管）的个性化视图。

二、核心功能模块详解

1. 全域数据采集与归一化

作为平台的基础能力，全域数据采集与归一化模块解决了安全数据“散、杂、乱”的问题，为后续分析提供统一的数据基础。

• 多源数据接入能力：支持以下数据源类型：
  • 网络设备：交换机、路由器、防火墙、负载均衡等设备的日志与流量数据；
  • 安全设备：IDS/IPS、WAF、EDR、漏洞扫描器、防病毒系统等设备的告警与日志数据；
  • 终端与服务器：Windows、Linux、Unix等系统的日志、进程、文件变更数据；
  • 云平台：阿里云、华为云、AWS、Azure等云环境的云日志、云安全中心数据；
  • IoT/工控设备：PLC、SCADA、传感器等设备的运行日志与控制指令数据；
  • 业务系统：CRM、ERP、OA等应用系统的访问日志、交易日志数据；
  • 威胁情报：内部威胁情报、外部商业情报（启明星辰威胁情报中心）、开源情报（OSINT）数据；
  • 资产与漏洞：资产清单、漏洞扫描结果、配置基线数据。
• 数据采集方式：
  • Agent采集：轻量级Agent部署于终端、服务器，采集系统日志、进程数据、文件变更等；
  • 探针采集：网络探针部署于核心链路，采集全流量数据（NetFlow、Packet Capture）；
  • API对接：通过RESTful API与云平台、安全设备、业务系统对接，获取结构化数据；
  • 日志转发：支持Syslog、SNMP、FTP等协议接收设备主动转发的日志数据。
• 数据归一化处理：
  • 日志标准化：将不同格式的日志（Syslog、JSON、CSV、自定义格式）转换为统一的标准格式（如CEF、LEEF），实现字段对齐；
  • 字段映射：对相同含义的字段（如“源IP”“src_ip”“source_address”）进行统一映射，消除语义差异；
  • 数据清洗：过滤无效日志、重复日志，补全缺失字段，纠正错误数据；
  • 数据 enrichment：补充威胁情报标签、资产属性标签、漏洞信息标签，提升数据价值。

2. 多维度威胁检测与分析

该模块是平台的核心分析能力，通过融合特征检测、异常检测、行为分析等技术，实现对已知与未知威胁的全面覆盖。

• 特征检测：
  • 内置丰富的威胁特征库：涵盖病毒、恶意代码、攻击签名（SQL注入、XSS、命令注入等）、漏洞利用特征等；
  • 特征库自动更新：对接启明星辰威胁情报中心，实时同步最新威胁特征，确保检测能力的时效性；
  • 自定义特征规则：支持用户通过正则表达式、关键字匹配等方式创建自定义特征规则，适配特定业务场景。
• 异常检测：
  • 基于统计的异常检测：通过均值、方差、标准差等统计方法，检测流量异常（如DDoS攻击的流量突增）、登录异常（如多次失败登录）、数据传输异常（如大量数据导出）；
  • 基于机器学习的异常检测：采用孤立森林、AutoEncoder、LSTM等算法，建立正常行为基线，识别偏离基线的异常行为；
  • 异常场景覆盖：包括网络流量异常、终端行为异常、用户访问异常、业务交易异常等场景。
• 用户实体行为分析（UEBA）：
  • 实体行为建模：对用户、终端、应用等实体的行为进行建模，包括登录时间、地点、设备、访问资源、操作频率等维度；
  • 基线动态更新：基于历史数据自动更新行为基线，适应业务变化；
  • 异常行为识别：检测用户的异常登录（异地登录、非工作时间登录）、异常访问（敏感数据访问、未授权资源访问）、异常操作（批量删除文件、修改系统配置）等行为。
• 威胁情报关联：
  • 内部数据与外部情报匹配：将内部检测到的IP、域名、文件哈希、URL等指标与外部威胁情报（恶意IP库、恶意域名库、病毒库）进行关联，识别已知威胁；
  • 情报优先级排序：根据情报的可信度、威胁等级、影响范围对关联结果进行排序，优先展示高风险威胁；
  • 情报溯源：支持对威胁情报的来源、更新时间、关联事件进行溯源分析。
• 攻击链还原：
  • MITRE ATT&CK框架映射：将检测到的威胁事件映射到MITRE ATT&CK框架的攻击阶段（初始访问、执行、权限提升、横向移动、数据渗出等）；
  • 多事件关联分析：通过时间、资产、IP等维度关联多个告警事件，还原完整攻击链；
  • 攻击路径可视化：以图形化方式展示攻击的起点、中间步骤、目标资产，帮助分析师快速理解攻击意图。

3. 智能态势评估与预测

该模块通过量化模型评估当前安全态势，并预测未来威胁趋势，为决策提供数据支撑。

• 态势评分模型：
  • 指标体系构建：基于资产重要性、威胁等级、影响范围、时间紧迫性等维度构建指标体系；
  • 加权评分算法：采用层次分析法（AHP）确定各指标权重，通过加权求和计算态势指数；
  • 态势等级划分：将态势指数划分为“安全”“低风险”“中风险”“高风险”“极高风险”五个等级，直观反映当前安全状态。
• 态势预测：
  • 趋势分析：采用时间序列模型（ARIMA、Prophet）预测未来一段时间内的威胁数量、告警等级分布；
  • 威胁类型预测：基于分类模型（随机森林、XGBoost）预测未来可能出现的威胁类型（如 ransomware、钓鱼攻击）；
  • 风险预警：对即将发生的高风险事件（如漏洞利用高峰期）进行提前预警，帮助用户做好防御准备。
• 资产风险评估：
  • 资产重要性评级：根据资产的业务价值、数据敏感性、系统角色等维度对资产进行评级（核心、重要、一般）；
  • 资产风险计算：结合资产的漏洞情况、威胁暴露情况、防护措施等因素，计算资产的风险值；
  • 风险处置建议：针对高风险资产提供个性化处置建议（如修复漏洞、加强访问控制、部署防护设备）。

4. 自动化响应与处置

该模块整合SOAR能力，实现威胁响应的自动化与编排化，缩短响应时间，降低人工成本。

• 响应剧本编排：
  • 可视化剧本编辑器：采用拖拽式界面，支持用户创建响应剧本，无需编写复杂代码；
  • 剧本元素丰富：包含触发器（告警事件、时间触发、手动触发）、动作（API调用、脚本执行、设备联动）、条件（if-else分支）、循环（for循环）、变量（存储临时数据）等元素；
  • 预设剧本库：内置常见威胁的响应剧本（如 ransomware 处置、phishing 邮件处置、 brute force 攻击处置），用户可直接复用或修改。
• 自动化响应执行：
  • 响应触发条件：根据告警等级、威胁类型、资产重要性等条件触发响应剧本；
  • 多方式响应：支持API调用（与防火墙、EDR、WAF等设备联动）、脚本执行（本地脚本、远程脚本）、人工介入（发送告警通知给安全团队）等响应方式；
  • 响应优先级：根据威胁等级设置响应优先级，高危威胁优先执行响应动作。
• 响应效果评估：
  • 响应结果反馈：记录响应动作的执行状态（成功/失败）、执行时间、影响范围；
  • 效果分析：评估响应动作对威胁的消除效果（如攻击是否停止、资产是否恢复正常）；
  • 剧本优化：根据响应效果对剧本进行迭代优化，提升响应效率。

5. 可视化运营中心

该模块通过直观的可视化组件，帮助用户快速掌握安全态势，提升运营效率。

• 多角色个性化视图：
  • 高管视图：展示安全态势总览、风险趋势、资产风险分布等核心指标，支持决策；
  • 分析师视图：展示威胁详情、攻击链视图、告警统计、日志查询等功能，支持深度分析；
  • 管理员视图：展示集群状态、数据采集状态、设备联动状态等运维指标，支持平台管理。
• 核心可视化组件：
  • 安全态势总览仪表盘：包含态势指数、活跃威胁数量、高风险资产数量、最近24小时告警统计、威胁趋势图等；
  • 威胁地图：展示全球或国内的威胁分布，攻击来源、攻击目标的地理位置；
  • 攻击链视图：以图形化方式展示攻击的各个步骤，每个步骤的时间、涉及的资产、告警信息；
  • 资产风险分布：展示不同资产类型（服务器、终端、网络设备）的风险等级分布；
  • 告警统计报表：展示告警的类型分布、等级分布、时间分布，支持导出PDF/Excel格式。
• 交互功能：
  • 钻取分析：支持从总览仪表盘钻取到具体告警事件、资产详情；
  • 过滤筛选：支持按时间范围、威胁类型、资产类型等条件筛选数据；
  • 自定义仪表盘：用户可根据需求添加、删除、调整仪表盘组件，创建个性化视图。

6. 合规与审计管理

该模块帮助用户满足合规要求，实现安全审计的自动化与标准化。

• 合规标准支持：
  • 国内标准：网络安全等级保护2.0、数据安全法、个人信息保护法等；
  • 国际标准：GDPR、PCI-DSS、HIPAA、ISO27001等；
  • 行业标准：金融行业安全规范、电力行业工控安全规范等。
• 合规检查自动化：
  • 定期合规扫描：根据合规标准自动扫描系统配置、访问控制、日志留存等情况；
  • 合规缺陷识别：指出不符合合规要求的项（如密码策略不符合等保要求、日志留存时间不足）；
  • 整改建议：针对缺陷提供具体的整改建议，帮助用户快速达标。
• 审计日志管理：
  • 全链路审计：记录用户操作日志、系统操作日志、告警日志、响应日志等全链路数据；
  • 日志留存：支持自定义留存时间，默认不少于6个月，满足合规要求；
  • 日志查询与分析：支持按时间、用户、操作类型等条件查询日志，生成审计报表。

7. 开放接口与生态集成

该模块支持平台与第三方系统的集成，扩展平台的能力边界，构建安全生态。

• 开放API接口：
  • RESTful API：提供数据查询、告警管理、响应执行、配置管理等API接口；
  • SDK支持：提供Java、Python、Go等语言的SDK，简化集成开发；
  • 文档支持：提供详细的API文档与示例代码，帮助用户快速集成。
• 第三方系统集成：
  • 安全设备：与防火墙、IDS/IPS、EDR、WAF等设备联动，执行响应动作；
  • SIEM系统：与Splunk、ELK、ArcSight等SIEM系统集成，同步数据与告警；
  • 威胁情报平台：与MISP、ThreatConnect等平台集成，同步威胁情报；
  • IT运维系统：与CMDB、ITSM等系统集成，同步资产信息与运维数据。
• 生态合作：
  • 启明星辰产品联动：与天阗IDS、天珣EDR、天镜漏洞扫描等产品深度联动，实现数据共享与协同响应；
  • 合作伙伴生态：与云厂商、安全厂商、行业解决方案提供商合作，共同构建安全生态。

三、技术特点与优势

• 智能驱动的威胁检测能力：融合机器学习、深度学习等AI技术，实现对未知威胁的有效检测，误报率低于行业平均水平；
• 全域覆盖的数据源接入：支持物理、虚拟、云、IoT、工控等多场景数据接入，覆盖90%以上的安全数据源类型；
• 实战化的自动化响应：通过SOAR能力实现威胁响应的自动化，响应时间从小时级缩短到分钟级；
• 可扩展的分布式架构：采用微服务架构与分布式存储，支持弹性扩展，可处理PB级安全数据；
• 国产化适配能力：支持银河麒麟、统信UOS等国产化操作系统，达梦、人大金仓等国产化数据库，鲲鹏、飞腾等国产化芯片，符合信创要求；
• 易用性的可视化操作：全图形化界面，低代码剧本编排，降低用户使用门槛；
• 完善的合规支持：覆盖国内国际主流合规标准，提供自动化合规检查与审计能力。

四、典型应用场景

• 政企全域安全运营：整合政务云、物理网络、终端等全域安全数据，实时监测威胁，快速响应，满足等保2.0要求；
• 金融交易安全防护：监测交易系统的异常行为，识别欺诈交易、数据泄露等威胁，保障支付安全；
• 工控系统安全监测：采集SCADA、PLC等工控设备数据，检测异常控制指令、流量异常，防止工控系统被攻击；
• 云环境安全运营：整合云平台的日志与安全数据，监测云资源的威胁与漏洞，实现云安全的统一管理；
• 大型集团跨区域安全管理：分布式部署态势感知节点，总部统一管理全域安全态势，跨区域威胁关联分析。

五、总结

启明星辰泰合新一代网络安全态势感知平台通过全域数据采集、智能威胁检测、自动化响应、可视化运营等能力，帮助政企客户构建主动防御体系，提升安全运营效率与威胁应对能力。平台以实战化、智能化、国产化为核心优势，覆盖多场景安全需求，是政企客户安全运营的核心工具。

了解更多产品详情，请访问启明星辰官网：

登录后查看