开源众包
362人浏览/19人投稿
1265天前
已托管赏金
一、需求：构建一个安全运营平台，帮助政企客户持续监测网络安全态势，实现从“被动防御 ”向 “主动防御” 的进阶，为安全管理者提供风险评估和应急响应的决策支撑，为安全运营人员提供威胁发现、调查分析及响应处置的安全运营工具二、整个系统要做的就是：1.数据收集：生产中很多服务器的日志和状态数据，我们都可以拿来分析。如果是nginx服务器，我们可以通过访问日志发现访问中的威胁，如果部署有HIDS，我们可以分析单机服务器的状态，并与长期聚合的白名单进行比对，发现威胁。2.数据清洗：实际我们收集了大量的各种日志数据，这些数据，我们不能直接拿来用，初级阶段的日志分析和简单查找可以做到，之后，我们需要对数据的格式进行整形，如果进行威胁分析，就要把大量不关键的信息清洗掉。3.威胁分析：我们的数据在先期经过了整型和规范化后，可以把数据与我们的威胁特征库进行比较分析，用我们积累的威胁特征库来威胁判断，发现数据中是否存在异常的威胁行为存在。4.威胁展示：经过数据的清洗与威胁初步判断，我们找出了，存在于日常中日志中的威胁行为，我们需要对这些数据，按优先级，威胁高低程度显现，给安装安全运维人员使用。5. 威胁报警：在实际的工作中，会有各种威胁报警产生，但是真正危害到系统的关键性威胁，是有一个优先层级的，我们往往把优先级高，危害大的威胁行为，第一时间通知管理人员，比如：生产服务器发生与危险主机的外连通信，服务器产生了，根本不该产生的SQL注入行为。
