为用户提供集”资产管理”，”威胁管理”，”响应处置"，“监测预警”，“四维一体的运营态势平台。

入网终端第一时间被发现，优于主动扫描。

无侵入式被动发现，基于日志、脆弱性等数据。

新入网终端，30秒内即可被识别加入未纳管资产管理。

识别多种资产类型和指纹信息，如Web服务器、邮件服务器、数据库、终端等。

1、资产信息录入
通过在线新增填写和批量导入的方式实现资产台账补全。
2、主被动资产发现
支持主动探测方式发现资产支持被动发现，基于流量、日志、脆弱性等数据进行资产发现及纳管。

3、定义资产价值
通过CIA三元素进行资产价值的定义，明确资产在网络中的定位

4、多类型资产视角
提供设备，应用等不同类型的资产的视角

5、资产量化评分    基于CVSS评分模型，对异常资产进行量化评分。

通过漏洞扫描器联动或导入第三方漏扫报告，发现各类资产的脆弱性，帮助用户了解资产目前的弱点，实现资产的脆弱性管理。

漏洞接入：丰富的漏洞接入，支持绿盟漏扫设备、Excel模板导入报告。
资产管理：细粒度资产管理，灵活精准地做到资产漏洞关联，漏洞知识库关联
闭环管理：可实现资产与漏洞信息的下发、修复、验证等功能的资产全生命周期管理。
风险分析：结合资产、责任人、系统、部门，给出全面的资产风险评估、漏洞跟踪分析。

· 在功能应用方面，支持随时调用线上接口进行查询，实时更新缓存，并使用 clickhouse进行持久化存储和管理分析。同时，支持认证鉴权，向第三方提供情报服务，并对调用次数、频率等进行记录和监控。
· 在数据存储方面，引入Redis缓存机制，用户可根据自身业务需求选择优先查询本地缓存或优先查询线上接口。
· 在分析处理方面，观安自建情报标准体系和融合计算逻辑，对多源情报进行评分评级以及标准化融合，从而判断情报内容可靠性，实现多源情报融合。
· 在数据接入方面，支持插件化配置式接入外部情报，快速适配多个厂商情报服务。

结合AT&CK技术框架对单独攻击行为对应的攻击技术和节点进行分析，确定本次攻击路径涉及的具体攻击阶段名称和该阶段的具体单独攻击行为，并以结合整体框架分析攻击事件，进行攻击阶段梳理及攻击行为时序关系分析，逐步还原重现攻击路径。

关联规则  - AT&CK能力矩阵展示与策略规则相关的矩阵信息，支持对策略信息的下钻以及信息查询，管理现有平台检出能力
关联告警  - ATT&CK能力矩阵展示了与生成告警相关的矩阵信息，支持对告警信息的下钻以及信息查询，查看现网中的。

威胁狩猎是一个主动分析驱动的过程，目的是在环境中搜索绕过已有检测手段的攻击者。基于资产，日志，漏洞，情报，告警各种数据出发，然后通过自动和手动的结合，通过不断的线索添加把相关的路径和关系绘制出来。

综上，通过收集安全告警、安全事件，利用威胁狩猎工作台分析攻击思路，追溯攻击手段，同时追溯内网资产及其脆弱性，关联威胁情报，直观展示攻击链的同时，快速掌握攻击手法、攻击目的、脆弱性等攻击要素。

UEBA具备形成用户、设备、数据等画像的能力，并可通过关联多类画像分析特定场景，如：分析用户通过什么设备访问那些数据。同时系统能够通过评分算法对各类画像进行风险评分，从而量化风险。

数据源接入：支持SIEM类/SOC系统的安全事件接入

操作原子化：通过应用、实例、服务将能力原子化，并梳理能力台账

剧本编排：通过拖拽式、可视化编排，调用原子能力，设计场景化剧本

案件处置：根据事件触发，绑定剧本，生成案件，自动化执行剧本

联动处置：支持自动化处置，包括通知、封堵、黑名单、通报等。

安全运营核心围绕 (技术、流程、人员)，通过系统与服务将上述三点结合起来如下：

在海量的日志中，通过数据分析关联不断降噪、逐步筛选&过滤，最终聚焦在关键事件。

根据既存的威胁建模 (场景) 检测出告警内容，并根据威胁行为与目标源的业务状态，进行综合关联分析，评估影响程度，向用户输出完整的报告 (包含威胁各攻杀阶段)。

SOAR技术应用至事件检测-分析-调度-处置各流程来缩短处置时长，提高效率。

观安观鉴态势感知平台，包括采集组件，流量采集器和态势感知管理台。数据采集代理通过syslog、kafka等方式采集各类业务系统日志和安全设备日志；流量采集器一般旁路部署与核心交换机或者网络出口，通过镜像流量的方式采集流量信息并进行解析和初步的规则分析；针对大型用户，态势感知平台采用集群模式部署，包括计算集群，存储集群，对日志和流量信息进行大数据关联分析。

观安观鉴态势感知平台，包括采集组件，流量采集器和态势感知管理台。数据采集代理通过syslog、kafka等方式采集各类业务系统日志和安全设备日志；流量采集器一般旁路部署与核心交换机或者网络出口，通过镜像流量的方式采集流量信息并进行解析和初步的规则分析；针对中小型用户，态势。

项目背景
依据中国移动“力量大厦”的网络强国、数字中国智慧社会主力军的总体目标，适应与业务系统IT架构同步演进的需要，不断提升全网安全防护与运营管理能力。以《IT领域安全能力发展规划2021-2025》为指导，进一步推进“两中台+七能力”新代发展模式通过七大关键能力的建设，增强新IT架构下全网安全监测向智能化、高效化、弹性化、实战化路线进行发展。

解决方案
· 建立统一数据采集标准，减少不同厂商、设备之间的数据转换工作

· 建设大数据分析系统，通过安全日志规则分析、聚类分析和关联分析，洞察全网安全隐患并快速定位，对态势发展情况进行趋势预测

· 建设统一安全威胁联动处置系统，可根据运维要求实现日常监控和重大活动保障，一键切换功能，日常告警保证同类型告警的归并降频，提高监控运维效率

· 建立全网数据可视化系统，可基于不同角度进行全网数据展示。

客户需求

· 数据接入标准建立；
· 安全大数据收集分析、态势分析呈现；
· 集团全局监控安全态势；
· 安全事件通报流程与快速应急处置流程监管；

· 降低安全运维难度，提高安全人员工作效率。

项目成效

总览全局，实现集团内部的安全态势全面感知，帮助运维人员更好地进行网络安全管理工作，充分发挥集团总部的枢纽作用，针对重大的安全事件迅速做出决策，智慧管理简化安全工作，提高安全人员效率。

项目背景
证券公司作为金融市场的核心，处理大量敏感金融数据和交易信息，因此成为网络攻击的主要目标。建设网络安全态势感知项目对证券公司来说具有极其重要的背景和必要性。态势感知项目提供全面的网络安全监控解决方案、系统日志、用户行为等数据，帮助公司及时发现潜在的安全威胁和异常行为。

客户需求

· 网络资产庞大，安全类、主机类、流量以及运维类的告警数据均由各自系统独立存储，无统一接收存储系统
· 海量安全告警、安全事件日志，各系统独自为战无法形成有效的关联
· 公司网络安全风险不可控、整体安全趋势不可知

· 安全事件通报流程与快速应急处置流程监管缺少对敏感操作人员的监控。

解决方案

· 通过搭建基于大数据技术的统一日志搜集和分析平台，利用日志收集和分析技术，对接VPN日志、堡垒机日志、客户端日志、数据库操作日志、NDLP日志、网络异常行为监控日志等，运用规则分析、机器学习以及威胁情报碰撞等分析手段。
· 感知公司内外部的安全威胁，并为网络安全事件的处理提供研判、追溯数据支撑，满足公司合规要求，支撑和保障公司信息系统和业务安全稳定运行。

项目成效
· 统一日志数据采集，并通过大数据关联分析技术发现黑客攻击链轨迹
· 为运维工作提供数据支撑、为领导层安全决策提供数据支持
· 关联威胁情报，对攻击者进行溯源
· 可对敏感人员操作行为进行有效监控，及时阻止非法操作

· 满足监管单位的监管要求

项目背景
根据上层安全平台用户需求，安全数据中心负责统一采集供安全领域分析使用的相关数据，提供安全平台业务场景的基础数据分析组件和数据开发环境，支持相关业务建模分析，以安全数据集中运营、内部共享为目标，实现全网态势、敏感日志和4A审计平台的数据统一采集、集中存储和内部共享。

客户需求
xx大数据中心承担了市级-区两级的电子政务系统的安全运营保障职责，需要实现市级大数据局范畴的一体化安全运营、区级安全运营的分析、上报和监管。

解决方案
· 数据湖底座：通过入湖安全设备、虚拟化设备、数据库、中间件等资源的运行和管理数据，建设各类安全运营指标；

· 集中监测：集中云、网、数、用多条块安全及监测，场地统一预警及处置

· 应急指挥：汇聚多角度的分析、研判数据，为应急统一指挥协调提供支撑；

· 事件快报：及时进行信息发布和共享同步，避免漏报和瞒报，并更新事件进展；

· 专项保障：按需为中心重保活动提供资源保障，其中包括场地支撑、工具支撑、流程支撑和人员支撑。

项目成效
通过建设大数据局一体化运营机制，优化中心“网、云、数、用”服务管理门户，收集业务运行、服务监测和安全分析数据，统一"大、中、小屏”运营数据展示，实现中心范畴的一体化6个统一。