淺析政務(wù)云信息安全監(jiān)管

◎常凱 張雅菲 齊俊鵬 鮑春鳴 禹東山

（1.齊齊哈爾市信息中心主任；2.中國航天系統(tǒng)科學(xué)與工程研究院；3.北京啟明星辰信息安全技術(shù)有限公司）

隨著云計算技術(shù)的快速發(fā)展，中國信息時代也隨之進入新的階段。隨著政務(wù)云業(yè)務(wù)量的不斷增大，特別是在云計算環(huán)境中，數(shù)據(jù)管理權(quán)與所有權(quán)分離，從而使應(yīng)用和數(shù)據(jù)高度集中，導(dǎo)致其面臨的網(wǎng)絡(luò)惡意攻擊、數(shù)據(jù)泄露等安全問題不斷顯露。并且，政務(wù)信息系統(tǒng)的業(yè)務(wù)范圍與民眾息息相關(guān)，發(fā)生安全事故的影響面是巨大的，損失不可估量。所以，使政務(wù)云的安全性能得到有效的提高是推動政務(wù)云進一步發(fā)展的重要手段，也是政務(wù)信息系統(tǒng)高效使用的基本保障。

基于上述問題，本文對政務(wù)云的安全風(fēng)險特征進行詳細分析，并對政務(wù)云的信息安全監(jiān)管進行有針對性的設(shè)計。

一、政務(wù)云信息安全監(jiān)管需求分析

（一）風(fēng)險與威脅分析

針對云平臺自身，其存儲空間中存放了大量云租戶的數(shù)據(jù)，假設(shè)存儲空間回收后剩余信息不能夠得到完全清除，攻擊者獲取了遠程管理云平臺資源的賬戶登錄信息，就很容易對業(yè)務(wù)運行數(shù)據(jù)進行竊取與破壞。同時，攻擊者還可以利用政務(wù)云平臺的資源優(yōu)勢對其它業(yè)務(wù)系統(tǒng)發(fā)起攻擊。同時，政務(wù)云平臺的云服務(wù)和應(yīng)用程序均提供API接口，不安全的API就可能存在越權(quán)訪問、注入攻擊和跨站請求偽造攻擊等問題。目前，不同的云平臺使用不同的標準和接口，云租戶的數(shù)據(jù)及應(yīng)用系統(tǒng)很難相互遷移，從而導(dǎo)致了云租戶對特定云服務(wù)商的過度依賴，數(shù)據(jù)遷移將付出過高的代價。

針對云平臺的用戶，內(nèi)部人員、應(yīng)用廠商、網(wǎng)絡(luò)設(shè)備廠商等各類人群均可能通過貌似合理的方式，通過一定的手段接入云平臺，這類威脅破壞面廣、力度大，可輻射其整個云環(huán)境；而電子政務(wù)云預(yù)期承載大量的業(yè)務(wù)應(yīng)用，業(yè)務(wù)及數(shù)據(jù)高度集中，單個云租戶自身的安全問題很容易擴散至整個云平臺，容易導(dǎo)致平臺云資源濫用。

針對網(wǎng)絡(luò)安全攻擊行為，高級持續(xù)性威脅（APT）通常隱蔽性很強，一旦APT滲透進政務(wù)云平臺內(nèi)部，建立起橋頭堡，即可源源不斷地偷走大量數(shù)據(jù)。另外，很多用戶需要有7×24小時的不間斷服務(wù)，這就使得互聯(lián)網(wǎng)中的一大威脅——分布式拒絕服務(wù)（DDoS）顯得尤為突出。政務(wù)云平臺由于需要對互聯(lián)網(wǎng)公眾用戶提供各類政務(wù)服務(wù)，必然要面臨上述互聯(lián)網(wǎng)側(cè)的拒絕服務(wù)攻擊威脅。

（二）信息安全監(jiān)管需求分析

基于電子政務(wù)云平臺所面臨的風(fēng)險與威脅分析，可將電子政務(wù)云信息安全監(jiān)管服務(wù)的建設(shè)需求分為6類。

1、集中安全監(jiān)測服務(wù)能力的需求：通過集中安全監(jiān)測，對云計算平臺及各類安全事件進行實時監(jiān)控，并進行有效處理。

2、綜合安全分析服務(wù)能力的需求：利用基于大數(shù)據(jù)技術(shù)的安全監(jiān)管分析工具實現(xiàn)對海量安全要素的快速高效批量處理，準確識別并挖掘各類攻擊行為或違規(guī)通信及操作行為，定位薄弱風(fēng)險點，以支撐安全加固操作。

3、安全監(jiān)管資源池化定制供應(yīng)服務(wù)能力的需求：通過信息安全監(jiān)管資源池化后定制化供應(yīng)服務(wù)的能力建設(shè)，提供可選的適應(yīng)不同安全需求的安全技術(shù)手段，實現(xiàn)對云計算環(huán)境深度集成覆蓋。

4、威脅情報綜合利用服務(wù)的需求：通過威脅情報綜合利用服務(wù)的能力建設(shè)，實現(xiàn)以安全威脅識別分析與情報利用為核心的快速響應(yīng)能力建設(shè)，與現(xiàn)有安全能力形成有機安全聯(lián)動機制，達到對各類安全威脅與風(fēng)險的快速響應(yīng)與處置。

5、全面安全態(tài)勢感知服務(wù)能力的需求：通過對全局安全態(tài)勢要素的采集與處理，實現(xiàn)全方位覆蓋的安全態(tài)勢感知水平。

6、獨立安全運營支撐服務(wù)能力的需求：通過專業(yè)技能和安全工具，覆蓋云平臺自身并全面覆蓋各政務(wù)云租戶的定制化安全運營支撐能力需求。

二、信息安全監(jiān)管服務(wù)能力總體設(shè)計

通過信息安全監(jiān)管服務(wù)能力的整體建設(shè)，應(yīng)能覆蓋電子政務(wù)云集中信息安全監(jiān)管能力的訴求，同時應(yīng)充分利用云平臺原有安全能力建設(shè)的良好基礎(chǔ)，實現(xiàn)有機整合，滿足集中監(jiān)管、獨立運營、全面覆蓋的信息安全監(jiān)管能力建設(shè)要求，為電子政務(wù)云及承載應(yīng)用的穩(wěn)定運行提供高效能、高可靠、靈敏快速的信息安全服務(wù)支撐保障能力。

（一）總體框架

信息安全監(jiān)管服務(wù)由安全態(tài)勢感知服務(wù)、威脅情報綜合利用服務(wù)、安全監(jiān)管資源池化服務(wù)、獨立安全運營支撐服務(wù)、集中安全監(jiān)測服務(wù)、綜合安全分析服務(wù)六大核心組成部分。其主要提供以分析為核心的安全態(tài)勢能力、以情報為核心的威脅管控能力、池化的安全監(jiān)管資源分配能力、定制化的安全運營支撐能力、供應(yīng)核心安全能力、集中安全監(jiān)測及支撐的綜合安全分析服務(wù)，與現(xiàn)有的各類安全能力及計算資源充分整合，采集所需的安全分析數(shù)據(jù)，并將態(tài)勢監(jiān)管數(shù)據(jù)應(yīng)用于安全技術(shù)能力實現(xiàn)及安全策略調(diào)整，實現(xiàn)閉環(huán)的安全監(jiān)管機制。信息安全監(jiān)管中心同時著重于業(yè)務(wù)與數(shù)據(jù)安全的監(jiān)管，從而實現(xiàn)數(shù)據(jù)全生命周期安全監(jiān)管、業(yè)務(wù)服務(wù)可持續(xù)性供應(yīng)、安全風(fēng)險可控制、安全事件可追溯的電子政務(wù)云安全監(jiān)管服務(wù)目標。

（二）信息安全監(jiān)管職能目標

政務(wù)云信息安全監(jiān)管服務(wù)能力的實現(xiàn)應(yīng)通過建設(shè)信息安全監(jiān)管中心組織，引入新型信息技術(shù)和人員服務(wù)投入，實現(xiàn)以信息數(shù)據(jù)為主體依據(jù)的網(wǎng)絡(luò)安全體系化運營，用以對抗新型安全威脅、提升網(wǎng)絡(luò)安全監(jiān)測預(yù)警發(fā)現(xiàn)能力和應(yīng)急響應(yīng)能力，解決當前政務(wù)云環(huán)境中開放、復(fù)雜的網(wǎng)絡(luò)安全問題，實現(xiàn)集中化的信息安全監(jiān)測能力、綜合性的安全分析能力、定制安全資源池化供應(yīng)、威脅情報綜合利用能力、全面安全態(tài)勢感知能力、獨立安全運營能力等安全目標。

（三）集成配合

電子政務(wù)云信息安全監(jiān)管服務(wù)供應(yīng)既實現(xiàn)獨立的安全監(jiān)管能力，又與現(xiàn)有的政務(wù)云平臺、承載業(yè)務(wù)、平臺運營團隊等有機集成配合，形成閉環(huán)的安全監(jiān)管處置運維支撐體系。

信息安全監(jiān)管組織通過按需供應(yīng)的信息安全監(jiān)管服務(wù)，履行信息安全監(jiān)管職能，不受政務(wù)云平臺、云平臺運營方管理，實現(xiàn)獨立的安全監(jiān)管，避免資源與權(quán)限的過度集中。

同時信息安全監(jiān)管服務(wù)能力與外部配合關(guān)系如下。

1、電子政務(wù)云：信息安全監(jiān)管組織通過供應(yīng)信息安全監(jiān)管服務(wù)，采集政務(wù)云平臺基礎(chǔ)計算環(huán)境及承載各委辦局業(yè)務(wù)應(yīng)用的安全要素數(shù)據(jù)，包括日志、配置、告警、性能等數(shù)據(jù)，信息安全監(jiān)管中心利用采集的各類安全要素數(shù)據(jù)，進行綜合處理、關(guān)聯(lián)分析、態(tài)勢展現(xiàn)等，并指導(dǎo)監(jiān)督政務(wù)云平臺進行安全建設(shè)、整改、策略調(diào)整等。

2、電子政務(wù)云運營方：信息安全監(jiān)管組織通過供應(yīng)信息安全監(jiān)管服務(wù)，綜合分析各類安全事件、脆弱性信息等，通過威脅情報生成及利用、綜合安全場景建立及告警輸出、安全風(fēng)險評估等手段生成安全處置任務(wù)，通過政府授權(quán)或認定的方式提供給云平臺運營方，供其進行安全處置；云平臺運營方處置后將處理結(jié)果反饋給信息安全監(jiān)管中心和政府，實現(xiàn)雙向閉環(huán)的任務(wù)下發(fā)-處理反饋機制，通過信息安全監(jiān)管中心提供的實時監(jiān)控分析、快速風(fēng)險識別、綜合態(tài)勢感知等能力，實現(xiàn)快速的安全問題響應(yīng)及處置。

信息安全監(jiān)管中心職能示意圖

安全監(jiān)管處置運維支撐體系

3、電子政務(wù)云配套的安全技術(shù)手段：信息安全監(jiān)管組織通過供應(yīng)信息安全監(jiān)管服務(wù)，采集現(xiàn)有防火墻、IPS等各類安全能力的安全數(shù)據(jù)包括安全漏洞、病毒信息、入侵事件等，并結(jié)合云平臺自身的各類安全要素數(shù)據(jù)進行綜合關(guān)聯(lián)分析，輸出威脅風(fēng)險信息數(shù)據(jù)，并用于指導(dǎo)各類安全產(chǎn)品的安全策略調(diào)整，作用的發(fā)揮等。

4、外部安全支撐團隊：信息安全監(jiān)管組織通過供應(yīng)信息安全監(jiān)管服務(wù)，承擔(dān)起日常的信息安全監(jiān)管職能并協(xié)助平臺運營團隊實現(xiàn)應(yīng)急響應(yīng)及安全處置工作，同時配合電子政務(wù)云建立多層次的安全應(yīng)急支撐體系，包括現(xiàn)場級的日常安全運營及外部專家級安全支撐團隊。外部安全支撐團隊將針對重大安全事件、綜合性強的復(fù)雜安全問題進行專業(yè)級技術(shù)支撐。

（四）核心服務(wù)支撐技術(shù)

信息安全監(jiān)管服務(wù)能力由如下核心服務(wù)技術(shù)能力予以具體支撐實現(xiàn)。

1、信息安全監(jiān)管服務(wù)體系中安全監(jiān)管服務(wù)能力的彈性、池化的安全服務(wù)能力實現(xiàn)。這種彈性表現(xiàn)在功能、規(guī)模和時間三個維度，自動、請求和確認三種形式，從而使云安全監(jiān)管服務(wù)能力具有全方位的自治特征，可以滿足針對云平臺及各租戶、承載業(yè)務(wù)的個性化安全服務(wù)能力輸出需求按需分配。

2、云計算模式下的安全態(tài)勢感知服務(wù)技術(shù)。采用具備主動、被動安全要素采集能力，可有效適應(yīng)云計算平臺的特性，實現(xiàn)指定安全要素數(shù)據(jù)的有效采集，同時通過適配云平臺環(huán)境的安全態(tài)勢分析工具的集成，針對云平臺環(huán)境安全要素數(shù)據(jù)的有效關(guān)聯(lián)分析，針對云計算平臺的安全場景梳理及威脅識別，以及符合云計算平臺監(jiān)管展現(xiàn)要求的覆蓋宏觀及微觀層面的安全態(tài)勢感知服務(wù)技術(shù)。

3、傳統(tǒng)安全監(jiān)管資源的虛擬化實現(xiàn)服務(wù)技術(shù)。通過安全技術(shù)能力的虛擬化實現(xiàn)，特別是訪問隔離技術(shù)的虛擬化，使得傳統(tǒng)的安全技術(shù)能力不僅可以覆蓋云平臺的外部環(huán)境，還可以兼顧云計算平臺、云租戶、承載業(yè)務(wù)與數(shù)據(jù)的安全需求，實現(xiàn)對云計算環(huán)境下設(shè)備和用戶的安全保障。

4、針對云平臺中虛擬化層的脆弱性評估服務(wù)技術(shù)。虛擬化是實現(xiàn)云計算的一項關(guān)鍵技術(shù)，由于虛擬化作為一種技術(shù)，其本身也可能存在安全缺陷。通過實現(xiàn)針對虛擬化環(huán)境的脆弱性評估服務(wù)，可從不同的功能粒度對虛擬技術(shù)進行劃分，開發(fā)針對不同的虛擬技術(shù)的脆弱性評估服務(wù)，從而滿足云計算環(huán)境下的安全評估、審計、監(jiān)管需求。

三、信息安全監(jiān)管服務(wù)能力詳細設(shè)計

（一）安全態(tài)勢感知

電子政務(wù)云的建設(shè)涉及資產(chǎn)、組網(wǎng)、元素等內(nèi)容，十分復(fù)雜，涉及到的安全問題也層出不窮，因此應(yīng)建設(shè)全面的安全態(tài)勢感知能力，通過直觀可視化方式展現(xiàn)云計算平臺所面臨的安全問題。

安全態(tài)勢感知服務(wù)應(yīng)能覆蓋電子政務(wù)云平臺網(wǎng)絡(luò)中的安全設(shè)備或安全子系統(tǒng)，實現(xiàn)各類型、多廠商安全監(jiān)測防護資源的整合，安全態(tài)勢感知服務(wù)能力可覆蓋全網(wǎng)攻擊行為信息、資產(chǎn)及業(yè)務(wù)脆弱性信息、異常流量信息、威脅情報及未知威脅等信息，并在此基礎(chǔ)上綜合分析呈現(xiàn)，形成包括被攻擊對象和攻擊源識別、脆弱性識別、攻擊過程及影響分析、安全風(fēng)險態(tài)勢等在內(nèi)的多視角、全方位、全天候的安全態(tài)勢感知能力。

1、安全態(tài)勢要素集成

通過安全態(tài)勢要素集成可以采集電子政務(wù)云及承載環(huán)境、應(yīng)用系統(tǒng)中海量與安全相關(guān)的異構(gòu)數(shù)據(jù)。

此外，在電子政務(wù)云項目中，將通過威脅情報綜合利用服務(wù)提供外部威脅情報數(shù)據(jù)及部分內(nèi)部安全數(shù)據(jù)，同時利用平臺自身的安全態(tài)勢采集能力可以實現(xiàn)內(nèi)部安全數(shù)據(jù)的采集。

通過在電子政務(wù)云網(wǎng)絡(luò)關(guān)鍵位置進行安全態(tài)勢要素采集，充分利用現(xiàn)有各類安全能力可對安全漏洞、攻擊行為等安全威脅進行監(jiān)測。

2、安全態(tài)勢可視化展現(xiàn)

安全態(tài)勢可視化展現(xiàn)服務(wù)提供網(wǎng)絡(luò)安全總體態(tài)勢的展示和呈現(xiàn)。系統(tǒng)具備全方位態(tài)勢感知的功能，感知流程至少包括4個步驟，分別是各類安全要素信息的獲取、面向態(tài)勢感知的集中數(shù)據(jù)分析、多維度態(tài)勢感知的呈現(xiàn)、預(yù)警通告及處置。

安全態(tài)勢可視化展現(xiàn)服務(wù)是一個全面信息收集、融合處理感知安全狀態(tài)及風(fēng)險并進行態(tài)勢可視化呈現(xiàn)的過程，通過連續(xù)的信息采集分析不斷更新對目標網(wǎng)絡(luò)安全態(tài)勢的認知理解，掌握安全狀態(tài)、識別發(fā)展規(guī)律、認識威脅預(yù)警。因此態(tài)勢感知至少應(yīng)形成由多個維度組合構(gòu)成的態(tài)勢感知體系，這些維度分別是資產(chǎn)感知、攻擊感知、脆弱性感知、資產(chǎn)漏洞感知、惡意IP、運行感知、威脅感知和風(fēng)險感知、總體態(tài)勢感知，綜合這8個感知形成全方位的安全態(tài)勢總覽。

（二）綜合安全分析

1、事件深層鉆取

綜合安全分析服務(wù)將海量風(fēng)險情報數(shù)據(jù)按照完整的邏輯順序進行歸類整理。數(shù)據(jù)按照整體區(qū)域狀態(tài)顯示、區(qū)分地區(qū)顯示，具體問題顯示。多層級方式展現(xiàn)問題，可以用全局的視角查看深層潛藏事件，實現(xiàn)事件分析數(shù)據(jù)鉆取的整體流程：“整體-區(qū)域-細節(jié)-源數(shù)據(jù)”。

2、惡意代碼分析

針對發(fā)現(xiàn)的安全威脅，綜合安全分析服務(wù)追溯原始的數(shù)據(jù)包，對原始數(shù)據(jù)完成取證。通過對原始數(shù)據(jù)的還原和解析，數(shù)據(jù)回放引擎可完成對惡意代碼的分析。對于可疑流量進行惡意流量分析和歷史關(guān)聯(lián)分析，發(fā)現(xiàn)攻擊行為和步驟。

3、攻擊路徑分析

安全服務(wù)人員通過綜合安全分析服務(wù)對現(xiàn)有攻擊場景進行總結(jié)，建立全面的場景知識庫，然后基于匯總的實時報警信息檢測潛在的攻擊行為。綜合安全分析服務(wù)采用啟發(fā)式場景重建技術(shù)，主要原理包括：

對于匯總到的報警事件，首先基于已有的攻擊場景知識庫進行報警事件間的關(guān)聯(lián)。

對于匹配中的攻擊序列，如果新接收到的報警可以與現(xiàn)有攻擊序列匹配，則直接進行關(guān)聯(lián)；如果不能與現(xiàn)有攻擊序列匹配，但能夠與某個攻擊序列的后續(xù)事件匹配，則將新接收到的報警與該序列匹配，并產(chǎn)生一個“虛報警”標志缺失的事件類型。

根據(jù)攻擊路徑圖的描述確定虛報警的事件類型，并根據(jù)該虛報警前后相關(guān)報警的時間確定該虛報警時間范圍的描述，再利用原始數(shù)據(jù)進行回溯分析，查找是否存在漏報的報警事件，如果找到則將其重新加入到攻擊序列中，直至匹配完整個攻擊路徑圖。

通過綜合安全分析服務(wù)進行事件的深度挖掘、攻擊路徑及惡意代碼分析，構(gòu)建綜合安全分析場景，并進行針對性的安全分析策略設(shè)置與調(diào)整，可發(fā)現(xiàn)電子政務(wù)云潛藏的深層安全問題。

（三）集中安全監(jiān)測

集中安全監(jiān)測服務(wù)是針對云平臺及承載的委辦局租戶業(yè)務(wù)，利用現(xiàn)有的安全技術(shù)手段，提供不間斷安全實時監(jiān)控。主要包括事件監(jiān)控、綜合分析、分級處理等。針對安全事件隱藏的問題與云平臺運維團隊一起進行具體處置工作。

通過安全產(chǎn)品并結(jié)合信息安全監(jiān)管工具，實時對云平臺計算環(huán)境及承載業(yè)務(wù)所產(chǎn)生的各類安全事件進行監(jiān)測，對各類安全事件進行評估，并依托成熟的事件分級分類標準，對安全事件按照不同的級別進行相應(yīng)的流程處理，包括對低等級安全事件的歸并、過濾，對高等級安全事件的告警輸出，協(xié)同云平臺運營方進行運維處理，并按計劃對安全監(jiān)測效果進行總結(jié)報告等。

集中安全監(jiān)測服務(wù)通過采集資產(chǎn)信息，使網(wǎng)絡(luò)內(nèi)具備IP的所有可檢測資產(chǎn)進行聯(lián)動管理，使之與相關(guān)設(shè)備發(fā)現(xiàn)的漏洞、配置問題、入侵事件等安全威脅進行關(guān)聯(lián)，實現(xiàn)安全數(shù)據(jù)的結(jié)構(gòu)化統(tǒng)一管理。

對于各類安全事件進行準確高效的檢測，并進行綜合威脅分析，實現(xiàn)對于威脅事件線索挖掘，為系統(tǒng)運營提供數(shù)據(jù)支撐，從而對威脅進行有效處理。

（四）威脅情報綜合利用

為了更有效地應(yīng)對不斷更新變化的新型攻擊行為、0DAY漏洞、迅速變化的惡意代碼，建立基于威脅情報的獲取和應(yīng)用的安全流程體系，實現(xiàn)主動的、前瞻性的安全監(jiān)管及響應(yīng)處置能力，電子政務(wù)云需充分引入并利用威脅情報綜合利用服務(wù)，打破攻擊者的先手優(yōu)勢、縮小攻防之間的不對等，從被動應(yīng)對突發(fā)事件、應(yīng)急解決問題轉(zhuǎn)變?yōu)轭A(yù)見問題、提前進行防范。威脅情報服務(wù)能力適用于電子政務(wù)云的安全監(jiān)管能力建設(shè)工作，建立獨立運行又可被關(guān)聯(lián)應(yīng)用于整體安全監(jiān)管能力體系的、覆蓋云平臺及業(yè)務(wù)的威脅情報綜合利用服務(wù)是一個非常重要的關(guān)鍵環(huán)節(jié)。

威脅情報服務(wù)采用了全新的大數(shù)據(jù)技術(shù)，從攻擊者、被攻擊者、樣本、事件等多維視角進行鉆取分析，追蹤溯源，讓潛藏的威脅無所遁形。系統(tǒng)通過與云端或離線的威脅情報配合，碰撞實時或歷史的威脅線索與行為日志，提供政務(wù)云全面的威脅感知能力。該系統(tǒng)生成的用戶側(cè)威脅情報信息可分發(fā)于電子政務(wù)云現(xiàn)有的IPS、安全網(wǎng)關(guān)等安全設(shè)備上，形成完整、閉環(huán)的整體安全聯(lián)動能力。

威脅情報綜合利用

威脅情報管理服務(wù)將覆蓋威脅情報采集、分析優(yōu)化、關(guān)聯(lián)利用、綜合展現(xiàn)等針對威脅情報供應(yīng)的核心需求。

1、威脅情報采集生成

威脅情報的采集生成服務(wù)是整個威脅情報服務(wù)供應(yīng)能力正常運轉(zhuǎn)的基礎(chǔ)，通過威脅情報的采集為后續(xù)的情報生產(chǎn)和輸出提供基礎(chǔ)的元數(shù)據(jù)。威脅情報的采集主要包括外部數(shù)據(jù)采集、內(nèi)部威脅情報生成、專業(yè)人員分析數(shù)據(jù)三個部分。威脅情報的基礎(chǔ)數(shù)據(jù)包括IP地址、域名和樣本三個主要的數(shù)據(jù)類型，通過對這些數(shù)據(jù)的分析和關(guān)聯(lián)，形成完整的威脅情報信息鏈。

威脅情報的數(shù)據(jù)采集方式以自動化外部數(shù)據(jù)采集為主，同時結(jié)合安全態(tài)勢感知服務(wù)過程中所生成的內(nèi)部威脅情報，輔以威脅情報專家的人工分析。威脅情報的主要外部來源可以包括自有云端情報采集系統(tǒng)的循環(huán)挖掘、第三方商業(yè)情報交換、開源情報（開源沙箱、技術(shù)論壇、開源樣本網(wǎng)站、安全從業(yè)人員社交媒體、開源情報網(wǎng)站等）、用戶和產(chǎn)品上報等。威脅情報的外部情報數(shù)據(jù)主要通過云端情報接口接入專業(yè)的定期更新的威脅情報數(shù)據(jù)，通過機器學(xué)習(xí)和NLP算法分析出所需要的專屬威脅情報信息，達到威脅信息提取加工的目的。同時也可以定制化接入電子政務(wù)云其它可供給的情報數(shù)據(jù)，如國家監(jiān)管單位、政府機構(gòu)內(nèi)部下發(fā)的行業(yè)情報信息、安全預(yù)警信息、安全通告數(shù)據(jù)等。

2、威脅情報分析優(yōu)化

來自于不同來源的威脅情報要經(jīng)過清洗、分析、關(guān)聯(lián)、鑒定、入庫等一系列過程之后才會發(fā)布使用，這一過程將通過威脅情報分析優(yōu)化服務(wù)完成。威脅情報分析優(yōu)化服務(wù)在對采集的海量惡意代碼樣本進行行為分析的基礎(chǔ)上，綜合各類分析數(shù)據(jù)，結(jié)合惡意代碼的執(zhí)行過程、行為特征、生成關(guān)系、事件關(guān)聯(lián)和二進制漏洞利用情況等關(guān)鍵數(shù)據(jù)，挖掘海量樣本之間在代碼行為上的同源關(guān)系，以及與已知攻擊組織的關(guān)聯(lián)關(guān)系，為及時發(fā)現(xiàn)攻擊組織新動向，提供攻擊組織攻擊分析報告以及新情報的IOC標定提供有力支撐。

威脅情報分析優(yōu)化服務(wù)對各種高危或關(guān)注的情報源進行二次挖掘，并將二次挖掘的情報再次進行綜合分析，主要包括已知黑客組織情報監(jiān)測、重點/流行樣本分析監(jiān)測、重點客戶來源樣本監(jiān)測、白名單數(shù)據(jù)監(jiān)測。

威脅情報分析優(yōu)化服務(wù)可以從事件驅(qū)使型感知，向情報引導(dǎo)及風(fēng)險驅(qū)使型感知轉(zhuǎn)變。利用威脅情報的發(fā)現(xiàn)與更新，以威脅線索、異常行為、失陷主機為出發(fā)點，以空間和時間廣度為分析的數(shù)據(jù)基礎(chǔ)，從攻擊面與被攻擊面、攻擊者與被攻擊者的方向關(guān)系，協(xié)助信息安全監(jiān)管人員實現(xiàn)對各類事件的快速追溯和深度分析判定的能力。

3、威脅情報關(guān)聯(lián)利用

威脅情報關(guān)聯(lián)利用服務(wù)中，通過對全球網(wǎng)絡(luò)威脅態(tài)勢的監(jiān)測、攻擊組織的跟蹤、各種威脅信息的分析處理積累了大量的威脅情報數(shù)據(jù)。威脅情報關(guān)聯(lián)將外部導(dǎo)入的專業(yè)威脅情報信息、監(jiān)管機構(gòu)及行業(yè)發(fā)布的專屬安全通告數(shù)據(jù)、經(jīng)過安全監(jiān)管分析人員人工分析的威脅信息，以及安全態(tài)勢感知服務(wù)所監(jiān)測的內(nèi)部產(chǎn)生的違規(guī)操作行為規(guī)則、告警等形成相關(guān)的預(yù)警進行匹配、關(guān)聯(lián)，實現(xiàn)智能威脅信息的充分利用。威脅情報關(guān)聯(lián)利用服務(wù)可提供的威脅情報信息包括黑白名單庫、攻擊特征庫、安全配置基線庫、病毒特征庫、關(guān)聯(lián)規(guī)則庫、安全漏洞庫、惡意URL/IP地址庫、惡意DNS庫和用戶身份信息等，均可以在不同程度上為現(xiàn)有的各類安全技術(shù)手段所利用，提升其主動性的安全處置能力。

4、威脅情報集成展現(xiàn)

通過威脅情報集成展現(xiàn)服務(wù)可提供對威脅情報的可視化查詢展現(xiàn)能力，可綜合展現(xiàn)對APT攻擊、勒索軟件、蠕蟲木馬對應(yīng)IP地址、URL的判斷；能夠識別通過DGA算法生成的惡意域名；能提供攻擊者信息標注，如惡意地址來源、惡意家族信息、黑客團伙情報、情報置信度評估、風(fēng)險等級、定向攻擊判定等；可提供對威脅情報上下文信息的豐富性展現(xiàn)能力，包括是否APT、針對行業(yè)、關(guān)聯(lián)樣本、注冊人信息、解析IP、關(guān)聯(lián)組織等?？商峁ν{情報檢測的命中威脅分析能力，并對分析結(jié)果進行可視化展現(xiàn)，展現(xiàn)分析內(nèi)容包括命中次數(shù)、命中趨勢、主要命中的威脅類型等。

通過威脅情報集成展現(xiàn)服務(wù)可提供對威脅情報信息的批量檢索及可視化展示能力，同時可以根據(jù)報表報告統(tǒng)計的實際需求定制化的以xml、pdf、excel等標準文檔格式提供威脅情報數(shù)據(jù)供歸檔、分析等使用。

四、結(jié)論

本文通過對政務(wù)云的安全風(fēng)險特征進行詳細分析，明確了政務(wù)云信息安全監(jiān)管的必要性，并對政務(wù)云信息安全監(jiān)管進行了詳細設(shè)計。通過對政務(wù)云進行合理、全面的信息安全監(jiān)管，能夠最大程度保障政務(wù)云的信息安全，避免因安全問題造成的損失。