技战法-全局日志分析，有效促进溯源和防护.docxVIP

全局日志分析，有效促进溯源和防护

战法一：态势感知攻击检测

战法目标

在各类安全设备的告警中，误报比例普遍较高，这无疑加大了系统辨别真实攻击并及时响应的难度。通过统一日志平台，可以对关键信息进行快速查询检索，极大提高攻击检测效率。

实现思路

通过日志系统快速统计分析各类设备的告警事件，实现告警事件合并，例如出现频率分析，重要分组字段的快速统计分析，直接高效输出可疑源IP地址表单等。根据源地址、目的地址对安全事件进行分析，结合用户名称，看用户的活动痕迹，结合安全事件的发生区域，最终要达成的一个目的，就是鉴定此次攻击的攻击结果。

使用方法

在演习中利用日志易平台的SPL（SearchProcessingLanguage）和高性能分析引擎Beaver，用户可实现单一设备日志的聚合、跨设备日志的关联以及不同时间段数据集的对比，进而实现对普通安全设备告警日志的降噪处理，还可以关联威胁情报(IP地址、文件HASH等维度)，最终提高告警精准度。

单一维度安全场景统计分析,针对FW，IDS，IPS，WAF，流量检测等安全网络设备日志以及系统日志进行归并分析，快速识别恶意程度更高的攻击IP，减少误报；

多维度安全场景关联分析,针对FW，IDS，IPS，WAF，流量检测等安全网络设备日志以及系统日志进行分析，对不同数据源进行关联，如发现同时在不同数据源中出现的异常IP或账户；

重点工作内容

场景