親愛的用戶朋友們：

感謝大家在百忙之中來到深信服智安全2021年度技術匯報。

在準備今天的匯報過程中，我們采訪了幾位老朋友，先來聽他們講講這一年與深信服安全產品發生的故事……

聽了大家的故事，我們很感動也很開心。深信服安全產品幫助用戶解決了這么多問題，這也讓我們更有動力去持續迭代技術能力，持續完善更簡單有效的安全產品和服務，持續提供更省心可靠的解決方案。

這一年，不知道大家今年都關心哪些問題呢？都有哪些需求呢？你們應該也思考過，這些問題和需求，可以如何通過技術創新去解決？

是的，你們的問題和需求，我們也在設身處地研究、思考過，并且給出了答案。

今年，我們統計了全網Web攻擊來源，發現80%以上來自于自動化威脅。我們和用戶達成了一個共識：傳統邊界防護在自動化威脅面前“脆如薄紙”，依靠現有的規則、引擎防護能力，注定只能被動挨打，需要研發主動防御的技術去解決這個問題。

主動防御技術不基于任何特征、規則及閾值的方式進行防護，跳出了傳統機制的局限。

依照攻擊過程來看，事前階段，攻擊者依賴于自動化工具，快速收集信息，發現系統漏洞；事中階段，為了滲透業務系統，防止請求被安全設備攔截，攻擊者會頻繁更換IP；事后階段，攻擊者會大量掃描內網資產，快速橫向滲透。

對此，我們的主動防御體系采用了三層防護：人機主動防御、設備指紋封堵、主動誘捕技術（云蜜罐），針對攻擊者的事前、事中、事后進行全方位打擊，為用戶安全防護打造層層銅墻鐵壁。

我們的主動防御技術目前已應用在Web應用防火墻WAF、下一代防火墻AF產品中，覆蓋70%掃描器；其中下一代防火墻AF針對高級威脅行為攔截率提升47%，針對自動化攻擊的識別率高達80%，改變過去需要人工研判定位的方式，大幅度縮短威脅發現時間，幫助用戶提升運營效率。

2021年，0Day漏洞層出不窮，我們發現，僅第一季度，74%的惡意文件為首次發現的0Day文件。針對近期披露的“史詩級”漏洞ApacheLog4j2，深信服安全云腦數據顯示，截至目前利用該漏洞的攻擊已超千萬次，我們成功幫助6000多家用戶阻斷非法入侵，并捕獲Tellmeyoupass、mirai、z0miner、H2miner、BillGates等十幾個黑產組織。用戶對高級威脅檢測與舉證溯源的需求日益增加，對此我們不能視而不見。

針對傳統殺毒引擎無法檢測的高級威脅，我們研發了IoA（IndicatorofAttack）高級威脅檢測系統。與傳統方法檢測攻擊工具不同，IoA高級威脅檢測系統著重檢測攻擊的技術、戰術和過程，了解攻擊者意圖，在終端上進行攻擊階段的縱深檢測和防御。

攻擊者在終端上不同攻擊階段的全部行為都會被終端檢測響應平臺EDR采集記錄，再基于用戶真實環境上下文關聯，通過上下文聚合分析，檢測出攻擊事件或潛伏在內網的攻擊，并可基于進程鏈的形式還原攻擊路徑，幫助用戶可視化展現攻擊事件。

很開心地跟大家分享，深信服IoA高級威脅檢測系統從2021年11月開始試點，僅1個月已在8000+終端部署，檢測出1起利用Gitlab漏洞真實完整的惡意攻擊、200+黑灰產攻擊、20+紅隊攻擊（實現100%檢出率）。

今年，國家發改委重點提及虛擬貨幣挖礦的全鏈條治理工作。年底各級政府和相關行業紛紛響應，通報了多家單位。挖礦行為不僅僅會導致組織的電腦卡頓、CPU飚滿、運維成本暴漲，一些挖礦主機極有可能會被植入病毒，導致更嚴重的網絡安全攻擊事件等。加密挖礦逐漸成為主流，明文的檢測規則已經不再適用，我們急需解決用戶對加密挖礦的檢測需求。

于是，我們聚焦惡意加密流量的識別，前期通過跑沙箱樣本、執行黑客工具等方式收集大量惡意加密流量，從加密前后的通信特征推演，研發了一套專門針對惡意流量的精準識別模型。

深信服加密流量識別的核心算法目前已經申請了20+項發明專利，涉及異常檢測、機器學習、深度學習等。

值得注意的是，我們的加密挖礦檢測有效檢出設備超過1000+，礦池IP超過50+，涉及多個挖礦家族（紫狐、雙槍、獨狼、貪狼等），覆蓋多個常見幣種（門羅幣、以太坊、奇亞幣等）。

隨著攻防技術的升級，黑客的攻擊手法也越來越隱蔽，大量使用加密技術，將惡意流量隱藏在正常流量中，成功繞過防護設備。數據顯示，通過Internet與遠程系統通信的惡意軟件中有近一半（46%）使用了TLS加密通信。然而對于此類隱藏的高級威脅，用戶完全無感，極易造成數據泄露等重大安全事件。

對此，我們創新提出了“異常檢測+主動探測”的未知威脅檢測。在異常檢測階段，基于流量特征發現可疑行為，不放過任何一條蛛絲馬跡，實現低漏報、高檢出；而后在主動探測階段，進行二次驗證，做到零誤報，保證推送事件的準確性。

目前這種檢測技術已上線態勢感知SIP、NDR，以及托管式安全運營服務MSS，覆蓋60+用戶，報送高價值事件120+起，包括黑客攻擊、違規操作、攻防演練等多個場景。

隨著網絡安全的發展，用戶不斷增加在安全建設方面的投入、采購大量的安全設備，但依舊做不好安全運營，到底是為什么？我們發現，用戶的不同安全設備會產生大量告警，而且運營人員缺乏豐富處置經驗，人工處置往往不及時；同時，不同廠商的設備無法聯動，也給用戶帶來無法及時處置的工作負擔，導致運營成本不斷增加，用戶深受困擾。

由此，我們構建了深信服安全產品聯動能力體系，通過SOAR安全編排與自動化響應，使安全建設向“智能化、自動化、動態化”能力提升，實現“自動響應閉環，持續安全運營”。

到現在，我們的SOAR安全編排與自動化響應能力已在30+種子用戶得到驗證，其中已將一家金融客戶的安全運營響應處置標準化流程落地到SOAR的劇本中，測試通過9個場景化劇本。

安全問題變幻莫測、層出不窮，如何高效檢測、響應和處置？基于人工智能和機器學習的飛速發展，我們充分利用AI的泛化和學習能力去應對安全攻擊的變化，在AI賦能安全方面取得了明顯的突破，例如AISecOps多源日志分析系統、AI數字資產監控、加密WebShell通信等。

截止2021年底，深信服托管式安全運營服務MSS在各行各業在線用戶數超1000家。僅從數據我們就可以看到，所有用戶每天產生幾億條安全日志，平均每個用戶每天需要面對約35萬條安全日志。

對此，我們研發了一套先進的多源日志分析系統，從MSS云端上海量的安全日志中，高效、自動化地挖掘出高價值的安全事件，幫助用戶快速處置威脅，優化用戶的安全服務體驗。

除了多源日志分析系統，我們還融合數字風險防護（DRP）理念，推出AI數字資產監控。

通過廣泛采集互聯網空間數據并結合深信服自有的威脅情報數據，運用AI和大數據技術，采用多種智能化內容發現和分析算法，從海量多源異構數據中，快速準確地幫助用戶發現和處置數據泄露、品牌仿冒、資產失陷等外部風險，幫助用戶提升安全運營效率。

大家都意識到，隨著企業數字轉型、業務云化、移動辦公興起，應用程序、數據和用戶的位置分布都在悄然改變。用戶原來基于本地數據中心的業務訪問和防護方案，無法適配業務云化、SaaS化之后帶來的安全問題。

我們提出“在云端構建安全防護體系”的思路，并通過“云化交付安全”模式的云原生SASE服務（云安全訪問服務），幫助用戶在云上構建一個新的安全邊界。通過將現有最新的安全能力聚集在云上交付，如下一代防火墻、上網行為管理、終端檢測與響應、零信任安全接入等，SASE能夠實現安全能力的實時更新、彈性擴展，大大降低安全建設成本，讓用戶有更多的時間和精力投入到業務創新中。

目前，深信服在中國區域和全球主要國家部署了超過25個POP節點，覆蓋了國內大部分省份，用戶累計超4500家，在線保護終端超60萬個。

技術創新突破，是產品競爭力的根基，是產品質量的保障。

站在幫助解決用戶問題的角度，我們一次次突破技術，用硬核的實力在多個競技與峰會中披荊斬棘。

事實證明，這一年，我們的確付出了實際行動，用更加創新、更加硬核的技術實力，為你們的業務安全、乃至多個重要公共事務的安全保駕護航。

回歸用戶對安全建設最本質的訴求，就是簡單、有效。我們相信，技術創新的浪潮奔涌向前，將為推動用戶更簡單、更有效的數字化建設持續輸出強勁動力。

來日方長，未來可期，新的一年，我們繼續攜手共進！

關鍵詞： 深信服 安全