近年来网络安全事件频频发生，传统的防御手段难以有效应对如今日益平台化、组织化的网络安全攻击。在数据价值与网络安全愈发重要的当下，科来全协议解析+回溯能力协助防守方实现高效响应、快速研判、溯源与扩线分析，在攻防中实现主动式防御，持续守护网络与业务安全。

威胁行为建模是针对网络攻击的系统性、结构化的防御手段，基于网络全流量分析检测技术建立威胁建模可以帮助企业更进一步，以主动、全面、系统地评估和防御组织面临的各种威胁。

基于全流量的威胁行为建模优势凸显    让众多行业企业安全能力更出众

基于全流量分析监控的威胁行为建模，通过对安全威胁进行系统的、结构化的响应，具有以下一系列突出优势，已经被众多行业用户针对性地进行工作部署和成功实践。

优势一：提前识别未知威胁类型

新的漏洞与漏洞利用不断出现，基于全流量技术的威胁建模可以帮助企业更好的确认相关各类攻击特征，提前识别未知威胁，并有针对性地优化对应防御措施。

优势二：评估威胁优先级

通过流量视角对数据进行全量全包全协议检测与攻击研判，可以更快速确认威胁优先级，进行针对性响应与处置。

优势三：化被动为主动响应

基于“全协议解析”+回溯技术的威胁行为建模能实现对于攻击的高效分析与判别，可以有效增强企业防护体系对于攻击威胁的感知能力，增强对威胁的主动响应效率。

优势四：持续改进安全态势

基于全流量技术对于业务资产与未知业务访问关系的数量，可以帮助企业化有效收敛业务暴露面，提升防御强度。

优势五：更有效地利用资源

科来全流量可对全包数据进行保存，在威胁行为检测模型中全量重现所有的攻击特征和攻击特点，帮助企业对威胁的快速验证，实现对防御资源的精细分配。

应对高级网络攻击    科来威胁行为检测模型助力增强防御能力

为防范0Day漏洞以及APT攻击等绕过技术的网络安全攻击，安全运营团队可以采用识别攻击流量中的威胁行为检测模型方法来增强防御能力。

1. 部署掌控全局的监控“摄像头”

部署全流量分析系统是进行行为模型匹配，可根据流量中多个IP地址的异常访问行为特征，建立威胁模型，做出分析判断后，将触发告警的潜伏者绳之以法。由于全流量分析系统记录了全部原始数据，相当于在网络中部署了一台“摄像头”，产生的任何网络流量都能够有效记录和回溯，为后续发现攻击方入侵行为，提供数据挖掘、分析、取证的有利保障。

2. 安装侦听威胁感知的“雷达”

通过基于行为模型对网络与业务系统进行防护，可基于靶标系统的访问习惯和业务交互习惯，检测靶标系统是否存在违规外联，及时阻断并协助公司对违规外联行为进行整改。具体流程如下：

n预先通过全流量分析系统监控所有内网资产的访问行为，构建一个所有内网资产可能出现异常访问行为的模型，通过行为模型匹配出可疑的IP地址；

n通过全流量分析系统对可疑IP地址进行回溯分析；

n对可疑IP的流量信息进行分析研判，并还原攻击链路。

原文链接：https://mp.weixin.qq.com/s/56rokd-0Z0QnL2aHVrPuiQ