深信服EDR产品技术白皮书V8-0418 1.docVIP

PAGE PAGE 深信服EDR产品技术白皮书 深信服科技股份有限公司 2019年4月18日 版权声明 深信服科技股份有限公司版权所有，并保留对本文档及本声明的最终解释权和修改权。 本文档中出现的任何文字叙述、文档格式、插图、照片、方法、过程等内容，除另有特别注明外，其著作权或其它相关权利均属于深信服科技股份有限公司。未经深信服科技股份有限公司书面同意，任何人不得以任何方式或形式对本文档内的任何部分进行复制、摘录、备份、修改、传播、翻译成其他语言、将其全部或部分用于商业用途。 免责条款 本文档仅用于为最终用户提供信息，其内容如有更改，恕不另行通知。 深信服科技股份有限公司在编写本文档的时候已尽最大努力保证其内容准确可靠，但深信服科技股份有限公司不对本文档中的遗漏、不准确、或错误导致的损失和损害承担责任。 信息反馈 如果您有任何宝贵意见，请反馈至： 信箱：深圳市南山区学苑大道1001号南山智园A1栋 邮编：518055 电 话：0755 传 真：0755您也可以访问深信服科技网站： 获得最新技术和产品和方案信息。 修订记录 修订版本号 作者 日期 备注 V8.0 田皓野 2019-4-18 目录 TOC \o 1-3 \h \z 1.背景介绍 1 1.1.安全背景与挑战 1 2.总体架构 5 2.1.架构设计 5 3.核心技术 7 3.1.基于多维度的智能检测技术 7 3.1.1 文件信誉检测引擎 7 3.1.2 基因特征检测引擎 7 3.1.3 AI技术SAVE引擎 8 3.1.4 行为引擎 12 3.1.5 云查引擎 13 3.2.基于Web后门的综合检测技术 13 3.3.基于主机防火墙的创新微隔离技术 13 3.3.1 微隔离的技术原理 13 3.3.2 访问关系控制 14 3.3.3 访问关系可视化 14 3.4.基于网“端”云的设备联动响应技术 15 3.5.基于规则匹配的补丁检测更新技术 15 4.价值效果 17 4.1.终端资产的全面管理 17 4.2.终端安全的合规检查 17 4.3.勒索病毒的实时防御 17 4.4.入侵攻击的主动检测 17 4.5.热点事件的快速响应 17 4.6.访问关系的策略控制 17 5.未来展望 18 PAGE 2 1 1.背景介绍 1.1.安全背景与挑战 近年来，传统的病毒木马攻击方式还未落幕，层出不穷的高级攻击事件不断上演，勒索病毒、挖矿木马等安全事件频发，如WannaCry爆发造成全球有150多个国家，涉及30多万用户受到影响，经济损失达80亿美元，而Globelmpster传播，国内医疗，金融与教育等行业深受其害等，严峻的安全形势给企业造成了严重的经济损坏和社会影响。 新时代下企业级终端安全面临严峻挑战，相较于个人终端而言，企业终端、数据等资产价值更高，由终端、服务器等不同软硬件所组成办公局域网，带来更为复杂的病毒来源、感染、传播途径，正因此企业用户面临更为严峻的终端安全挑战，对防护、管理、应用等多方面提出更高要求，所面临的问题呈现出如下几点： 首先，人工运维加剧威胁防御成本。传统终端安全产品以策略、特征为基础，辅以组织规定以及人员操作制度驱动威胁防御，高级威胁一旦产生，将会不可控的传播，势必带来人工成本的几何增长，且对企业运维人员专业性要求极高，有效应对威胁难度大。 其次，基于特征匹配杀毒无法有效抵御新型病毒。基于病毒特征库方式进行杀毒，在高级威胁持续产生的大环境下，呈现被动、后知后觉等检测特点，无法及时有效防御新型病毒，如WannaCry勒索病毒。另外，本地特征库数量受限，现有特征库文件规模无法满足已知病毒的查杀需求。 第三，病毒特征库数量增长加重主机运算资源。本地病毒特征库数量日益增多，加重终端存储、运算资源成本，防御威胁过程已严重影响用户日常办公，无法适应如云化等新的特定场景。 第四，杀毒处置方式落后无法适应病毒新的传播方式与环境。采取基于文件隔离的处置方式相对落后，如文件隔离失败情况产生，单点威胁将快速辐射到面，因此传统防毒产品已经无法适应新的病毒传播方式及环境。 在当前的安全形势下，传统杀毒解决方案无法做到百分百有效拦截病毒和恶意入侵，特别是在APT攻击下，用户甚至长期感知不到安全威胁的存在，EDR产品正是为解决这种问题而生。特别是国外的EDR厂商，并不具备传统杀