智能基座， 开启安全分析新时代SecXOps安全智能分析技术白皮书 2023 CONTENTSSecXOps 安全智能分析技术白皮书2关于绿盟科技 绿盟科技集团股份有限公司（以下简称绿盟科技），成立于 2000年 4 月，总部位于北京。公司于 2014 年 1 月 29 日在深圳证券交易所创业板上市， 证券代码 ： 300369。 绿盟科技在国内设有 50 余个分支机构，为政府、金融、运营商、能源、交通、科教文卫等行业用户与各类型企业用户，提供全线网络安全产品、全方位安全解决方案和体系化安全运营服务。公司在美国硅谷、日本东京、英国伦敦、新加坡及巴西圣保罗设立海外子公司和办事处，深入开展全球业务，打造全球网络安全行业的中国品牌。 版权声明 为避免合作伙伴及客户数据泄露 , 所有数据在进行分析前都已经 过匿名化处理 , 不会在中间环节出现泄露 , 任何与客户有关的具体信息，均不会出现在本报告中。 CONTENTS执行摘要 001 1ﾠ安全分析的发展背景和趋势 003 2ﾠ安全智能分析的挑战 0062.1 数据治理 0072.2 模型开发 0082.3 模型交付 0092.4 模型运营 0102.5 AI 工程化 010 3ﾠSecXOps 技术体系 0123.1 概念内涵 0133.2 技术优势 0133.3 核心能力 014 4ﾠSecXOps 关键技术 0184.1 安全数据资产统一管理 0194.2 安全分析模型自动化调优 0264.3 安全分析模型核心服务部署 0334.4 安全分析工作流定制 0384.5 安全分析开发环境一键部署 0414.6 模型资源动态调度管理 0475ﾠSecXOps 典型应用场景 0515.1 加密流量检测的数据闭环 0525.2 Web 安全分析模型的持续优化 0565.3 工控协议识别算法自动化调参 0605.4 Webshell 安全检测的增量开发 0665.5 安全告警日志的工作流服务 068 6ﾠSecXOps 技术发展趋势 072 7ﾠ总结075 参考文献 077001 执行摘要执行摘要 随着网络空间的攻击面的延伸和拓展，网络空间攻防双方信息不对称的现象愈发明显。 伴随着攻防对抗态势的升级，自动化技术、智能化技术与安全分析技术融合的安全智能分析 技术已成为网络安全技术发展的必然趋势之一。 SecXOps即XOps for Security，以XOps与安全场景的融合为基础，由安全数据资产高 质可信、安全模型全生命周期管理、安全模型高精度定制、安全模型自动化运营、 AI工程化 持续保障五大核心技术能力组成，在保证安全性的同时，减少技术和流程的重复，实现网络 安全分析自动化、智能化进阶，是未来应对网络空间高级、持续、复杂威胁与风险不可或缺 的关键技术之一。 绿盟科技推出SecXOps安全智能分析技术白皮书《智能基座，开启安全分析新时代》， 旨在对SecXOps概念内涵、技术优势、核心能力、关键技术和应用实践进行全面地总结与介 绍，期望为读者带来全新的技术思考，助力网络安全智能分析实现自动化、智能化进阶。本 技术白皮书的主要观点如下： 智能分析是网络安全分析的必然趋势：随着网络空间攻防对抗态势不断升级演化，数字化时代的特征倒逼网络安全分析突破依赖安全专家的传统“人工”阶段，安全智能分析已成为网络安全风险治理与防控的必备条件之一。 网络安全实战场景是安全分析应用的“试金石”：安全分析模型从实验室研究走进网络安全实战化的场景，走进常态化的日常安全监测中，面临着诸多挑战，只有以实战检测的方式来验证安全分析模型的价值，才能有效地促进安全分析能力的提升。SecXOps 安全智能分析技术白皮书002 SecXOps成为提升安全分析自动化和智能化水平的关键：SecXOps将XOps实践应用到网络安全分析中， 以支撑安全数据治理， 安全模型训练、管理和监控，为网络安全的数据分析人员、ML工程团队、应用开发团队以及安全运营团队的协作搭建安全、兼容和经济高效的平台，从而实现基于 AI安全模型的持续交付，完成网络安全分析技术与大数据和人工智能技术的深度协同融合，全面提升安全分析的自动化和智能化水平。 促进SecXOps生态建设，共同推动网络安全分析智能化：SecXOps技术的研究和攻防场景应用实践仍然具备较大的上升空间，在理论方法、标准制定和模型运营等方面需要进一步的研究与探索，需要技术生态的构建，营造网络安全分析智能化大时代技术氛围。 01 安全分析的 发展背景和趋势SecXOps 安全智能分析技术白皮书004近年来，互联网、大数据和人工智能等技术都得到了飞速的发展，网络攻击的方法也越 来越复杂，过去广泛、漫无目的的攻击威胁，在数年内迅速地转化为有目标、有组织、长期 潜伏的多阶段组合式高级可持续威胁（Advanced Persistent Threat，APT）攻击。APT攻击 有着复杂度高、对抗性强、特征隐蔽等特点，通常由有国家背景的相关攻击组织发起，实施 窃取国家机密、重要企业的有价值商业信息、破坏网络基础设施等活动，具有强烈的政治和 经济目的，严重影响网络空间稳定运行，造成国民经济损失，威胁国家安全。随着 APT攻击 等高隐蔽未知威胁的出现和演进，传统安全分析技术难以满足 APT攻击检测的要求，亟需融 合多手段的检测技术来应对种类日益多样化的安全威胁攻击。在安全威胁具有更强的杀伤力 与隐蔽性的形势下，结合大数据和人工智能技术的安全智能分析成为新一代安全能力的关键， 是网络空间安全的重要发展方向之一。 基础级领先级卓越级 基于专家经验与知识构建的知识库 和预置的自动化匹配机制、流程， 实现典型 安全分析 。基于机器学习和深度学习等技术， 针对不同数据构建安全模型，从 大规模数据中完成识别、检测和 分类等任务。借助大数据和人工智能技术完成 分析能力自适应的调整，智能地 洞悉信息与网络安全的 态势。 图 1　网络安全分析发展阶段 由于APT攻击等网络威胁利用大数据分析、自动化工具等先进技术来提升恶意攻击的效 率和隐蔽性，倒逼网络安全分析突破依赖安全专家的传统“人工”阶段，进入安全智能分析 阶段。安全智能分析运用人工智能技术从安全大数据中进行威胁检测分析，直接或间接地提 高安全分析效率，在实际攻防实战中充当智能化助手的角色，帮安全分析员更加快速地定位 威胁攻击，提升安全分析的自动化、智能化水平。回顾网络安全分析发展历程，可以将安全 分析技术发展大致划分为三个阶段，包括基础级、领先级、卓越级，如图 1所示，以下分别 进行简要介绍。决策智能 005 安全分析的发展背景和趋势近年来，互联网、大数据和人工智能等技术都得到了飞速的发展，网络攻击的方法也越 来越复杂，过去广泛、漫无目的的攻击威胁，在数年内迅速地转化为有目标、有组织、长期 潜伏的多阶段组合式高级可持续威胁（Advanced Persistent Threat，APT）攻击。APT攻击 有着复杂度高、对抗性强、特征隐蔽等特点，通常由有国家背景的相关攻击组织发起，实施 窃取国家机密、重要企业的有价值商业信息、破坏网络基础设施等活动，具有强烈的政治和 经济目的，严重影响网络空间稳定运行，造成国民经济损失，威胁国家安全。随着 APT攻击 等高隐蔽未知威胁的出现和演进，传统安全分析技术难以满足 APT攻击检测的要求，亟需融 合多手段的检测技术来应对种类日益多样化的安全威胁攻击。在安全威胁具有更强的杀伤力 与隐蔽性的形势下，结合大数据和人工智能技术的安全智能分析成为新一代安全能力的关键， 是网络空间安全的重要发展方向之一。 基础级领先级卓越级 基于专家经验与知识构建的知识库 和预置的自动化匹配机制、流程， 实现典型 安全分析 。基于机器学习和深度学习等技术， 针对不同数据构建安全模型，从 大规模数据中完成识别、检测和 分类等任务。借助大数据和人工智能技术完成 分析能力自适应的调整，智能地 洞悉信息与网络安全的 态势。 图 1　网络安全分析发展阶段 由于APT攻击等网络威胁利用大数据分析、自动化工具等先进技术来提升恶意攻击的效 率和隐蔽性，倒逼网络安全分析突破依赖安全专家的传统“人工”阶段，进入安全智能分析 阶段。安全智能分析运用人工智能技术从安全大数据中进行威胁检测分析，直接或间接地提 高安全分析效率，在实际攻防实战中充当智能化助手的角色，帮安全分析员更加快速地定位 威胁攻击，提升安全分析的自动化、智能化水平。回顾网络安全分析发展历程，可以将安全 分析技术发展大致划分为三个阶段，包括基础级、领先级、卓越级，如图 1所示，以下分别 进行简要介绍。决策智能●●基础级 基础级的安全分析技术基于专家经验与知识构建的知识库和预置的自动化匹配机制 与流程， 实现典型安全分析， 利用安全专家的知识和解决问题的方法来分析安全数据。 该阶段面向不同的应用场景，需要专家编写指定的检测规则，以列表结构、树结构、 图结构简单组织的规则逻辑结构，分析场景下的攻击行为。然而，随着攻防技术的快 速迭代和升级，攻防场景与流程的细化，此类分析方法逻辑的完备性在大数据场景下 迎来关键挑战，针对攻击的误报率、漏报率和整体准确性性能衰减很快，难以有效自 适应演化，过度依赖专家资源，可维护性低，能够支撑分析的场景愈发受限。 ●●领先级 领先级的安全分析技术面向不同的网络安全数据，包括安全环境数据（资产、资产脆 弱性、文件信息、用户信息），行为数据（网络侧检测告警、终端侧检测告警、文件 分析日志、应用日志、蜜罐日志、沙箱日志），情报数据（各类外部威胁情报）以及 安全知识数据（ATT&CK）等，基于机器学习和深度学习等技术，针对