技战法-全局日志分析，有效促进溯源和防护.pdfVIP

全局日志分析，有效促进溯源和防护

战法一：态势感知攻击检测

1.1.战法目标

在各类安全设备的告警中，误报比例普遍较高，这无疑加大了系统辨别

实攻击并及时响应的难度。通过统一日志平台，可以对关键信息进行快速查询

检索，极大提高攻击检测效率。

1.2.实现思路

通过日志系统快速统计分析各类设备的告警事件，实现告警事件合并，例

如出现频率分析，重要分组字段的快速统计分析，直接高效输出可疑源IP地址

表单等。根据源地址、目的地址对安全事件进行分析，结合用户名称，看用户

的活动痕迹，结合安全事件的发生区域，最终要达成的一个目的，就是鉴定此

次攻击的攻击结果。

1.3.使用方法

在演习中利用日志易平台的SPL（SearchProcessingLanguage）和高性能

分析引擎Beaver，用户可实现单一设备日志的聚合、跨设备日志的关联以及不

同时间段数据集的对比，进而实现对普通安全设备告警日志的降噪处理，还可

以关联威胁情报(IP地址、文件HASH等维度)，最终提高告警精准度。

单一维度安全场景统计分析,针对FW，IDS，IPS，WAF，流量检测等安

全网络设备日志以及系统日志进行归并分析，快速识别恶意程度更高的攻击

IP，减少误报；

多维度安全场