谭晓生：数据驱动下，产业协同合作可能是解决网络安全的一个出路

数据观现场报道 2016年11月17日下午，第三届世界互联网大会“大数据论坛”举行，本次论坛由中国国家互联网信息办公室和浙江省人民政府指导支持，中国科学院主办，中科学院信息工程研究所承办，数据中心联盟协办。

在该论坛上，奇虎360公司高级副总裁兼首席安全官谭晓生先生发表了“数据驱安全协同，保护重要信息系统及大数据安全”的主题演讲。他提出一个叫做Data Driven Industry Collaboration的理念，表示在数据驱动之下，产业基于能力协同的战略合作可能是会解决网络安全的一个出路。

　 以下是演讲全文：

360是一个安全公司，而且是从2009年开始采用大数据方法，用于信息安全的一些防范。去年乌镇互联网大会上面，可以看到展示给习主席全球DDos攻击的全景，那个是随时可以知道全球正在发生的DDos攻击是什么，他们的控制端是什么，打什么端口，DDos打了多长时间？

无时无刻都在收集网上的信息进行展示，这是我们把它叫做看见的力量。看网络的攻击了解攻击的全貌，讲出来攻击的故事，这是非常典型的网络攻击的故事的模型。

在这里的我们现在用的方法是什么呢？一个是我们叫做数据驱动，在今天如果是仅仅采集到了一部分信息，今天是远远不够的，可能需要原始流量，比如说网络流的信息，可能还需要用户在终端里面人的行为，程序的行为等等这一系列的东西，我们今天的工作方面已经转向由数据驱动的工作方法。

这个从2009年年底的时候，360对恶意样本的分析，对人工找特征变成经济学预算法进行自动的分类。到三年多之前，我们对于网络流量，全部采集下来之后，对流量进行还原，试图用统计概率和经济学预算法找出异常。

第二个是智能的提升，这些年的算法及我们从简单的用SVM这样的分类，演变到后来机器学习更高深的算法。到现在也有用于协议识别和网络外部攻击的判定，这是一个智能的提升，这是主要在算法上的改进。

第三个产业联合，产业联合更多的是基于情报的交换，我们自己为全球的其他的安全研究人员提供服务，同样其他的安全研究人员他们的数据也会公开给我们，大家会在这方面有情报的交换。在这三个基础智商有一个更高的层面是叫协同，这个协同不仅仅是数据交换是协同比较低的层面，再往上是能力的协同，很多数据量大到根本没有办法交换，交换的时候拿到数据也不知道怎么用。所以对数据的分析，最后出来的结果或者事情的处置会变成更高层面的协同。

终端安全经过了3、4年前一段时间的低谷，最近两年大家对终端安全更加的重视起来，网络中经过加密的流量越来越多，超过50%。这时候攻击者必然要拿下来某一个终端，这时候的终端是非常好的信息手机装置以及最终产生动作的装置。

在这里讲到EDR对所有行为，对文件操作，对进程信息，对网络访问，对文件传输和文件内容都可以进行采集。同样的话终端是可以接受控制指令，对某个程序进行阻断，杀死某个进程，组织某个网络操作等等一系列的行为，这是在EDR。NDR网络中间加密的流量越来越多，即使在这样的情况下，在这方面也可以做更多的检测和相应的。

在这里讲到EDR对所有行为，对文件操作、进程信息、网络访问、文件传输和文件内容都可以进行采集。同样的话终端是可以接受控制指令，对某个程序进行阻断，杀死某个进程，组织某个网络操作等等一系列的行为，这是在EDR。NDR网络中间加密的流量越来越多，即使在这样的情况下，在这方面也可以做更多的检测和相应的。

因为有终端没有覆盖到，或者终端已经被感染之后，已经不能正常的行使信息的探测和阻断的行为，可以第二个知道系统中发生什么事情的机会。这里面包括了我们对资产的发现，对于一些终端行为的补充的发现，对于网络行为，对于可以在日志等等这样的事情，EDR加NDR现在变成有两个大的数据来源和产生处置的地方。

最终在应用上面我们分成两个场景，一个是在集团的内部，它需要知道它有什么样的资产，正在发生什么事件，有四张屏，四屏联动，在任何一张屏幕进行操作，其他的屏幕内容感知会推出来你想要的东西，做四屏联动这是一个外部的感知场景。

　　举的例子是一个城市，一个城市中间的网络的安全的状况是什么样子的，我有没有什么网站？有没有什么样的威胁？我的基础设施，比如说 物联网 的设备，工业控制系统等等有没有什么问题？在这里有外部的感知。外部的感知一方面会要有全网的主动的信息探测的能力，还有从某个区域之内，从终端设备到网络设备采集信息上传之后综合的汇总。

最终我们提出一个理念叫做Data Driven Industry Collaboration，我们有数据驱动之下的，有产业基于能力协同的战略合作可能是会解决我们网络安全的一个出路。谢谢大家。

责任编辑：陈近梅