RSA 2018大会：360首次集中展示全网威胁情报服务能力

4月16日至19日，RSA 2018安全大会在美国旧金山Moscone中心举行，大会以“Now Matters（现在很重要）”为主题，面向世界安全行业发出号召，共同应对网络安全威胁。国内 互联网 安全领军企业360公司参加本次大会，并向世界首次集中展示了由DDoSMon、ScanMon和DNSMon三项系统构成的全网威胁实时监控系统，让整个安全行业看到了我国先进的威胁情报服务能力。

DDoSMon——监测全球范围内DDoS攻击日均2万次

DDoS攻击即分布式拒绝服务攻击，将多个计算机串联作为攻击平台，利用大量合法请求占用网络资源以达到网络瘫痪的目的，从传统单一的网络攻击，到最近的Mirai IoT botnet攻击和Memcache reflection amplification攻击，伴随着T时代的来临，DDoS攻击的规模越来越大，给网络安全造成了难以估量的损失。

基于360长期积累的网络分析数据和能力，DDoSMon监测系统可实时感知DDoS攻击行为、受害者，该系统最早于2016年RSAC大会公布，其核心技术是流量统计模型和用户监控对象体系，可进行原始攻击监测以及用户和监控对象体系，即在用户预定条件下过滤筛选感兴趣的攻击事件并还原。

目前针对骨干网络流量的分析，360公司将DDoSMon系统升级，能够实时监测全球平均每天两万次左右的DDoS攻击，为免费用户提供全球DDoS攻击统计概述，包括攻击事件数量，攻击类型，攻击目标分布等内容。同时，为合作伙伴及付费用户提供包括揭示相关DDoS攻击命令和DDoS攻击预警订阅服务，帮助用户及时应对并减少损失伤害。

ScanMon——第一时间感知网络扫描和识别相应的攻击者

作为网络空间中普遍存在的安全威胁，本是用来探查主机和服务的网络扫描，常被攻击者用来定位潜在受害用户，而ScanMon系统可为用户提供全球网络扫描行为和实时数据、历史情况的追溯服务。

在2016年ISC和2017 RSAC大会上，360公司两次公布ScanMon系统，该系统通过分析大量网络数据，可在第一时间感知网络扫描行为，并方便有效识别对应的攻击者，直观地显示网络扫描攻击行为的关键信息。

由于网络扫描一般发生在网络攻击行为的早期阶段，及时监测扫描行为有助于打击恶意网络攻击，例如Mirai 和Satori Botnet的持续跟踪过程中，ScanMon系统为快速监测攻击行为起到了至关重要的作用。

DNSMon——日均处理240亿请求覆盖超国内10%的DNS流量

DNS（域名系统）是互联网的核心基础设施，作为域名与IP地址相互映射的分布式数据库，大多数的网络应用程序通过DNS系统通信，因此及时监测并阻止异常域名有利于阻止源代码的恶意攻击。

早在2014年，360公司就开始运行了PassiveDNS系统以监测DNS请求，该系统日均处理240亿的DNS请求，覆盖了中国超过10%的DNS流量。在原有的PassiveDNS系统基础上融合大数据技术，360公司新近研发出 DNSMon系统实时监测恶意域名，并于2018年全新推出。

DNSMon系统能够从DNS请求量、来源、类型和异常的域间相关性等不同方面进行监测，包括但不限于。此外，还能够结合其他数据视图对异常域名进行风险综合评估，提前发现潜在的威胁。

DDoSMon、ScanMon和DNSMon三项系统分别提供拒绝服务、网络扫描、域名异常的监控能力，构成了360公司全网威胁实时监控系统，成为本次RSA大会最大的亮点之一。大会“Now Matters”主题暗含及时行动之意，而360公司所展示的先进威胁情报服务能力，正是把握安全对抗时机、快速高效的体现，这一点与大会主旨不谋而合。代表国家安全实力走向RSA大会的360公司，未来又将带给国人、带给世界怎样的“安全感”，让我们拭目以待。