海水如何斗量？知道创宇专用目标筛选机--海量流量“过滤器”

无论是正常的网络通信，亦或是黑客发起的网络攻击，都会有网络流量的产生。流量包含丰富信息，黑客的攻击行为同样会在流量中留下蛛丝马迹。

通过对攻击流量进行针对性的分析，往往可以获得攻击者身份信息、攻击路径、攻击方法等诸多信息，进而汇总生成黑客画像。然而要在国家级的海量流量中，准确的找到黑客攻击流量，或者针对关键信息基础设施的流量，是一项巨大挑战。

　　产品功能大盘点

专用目标筛选机系统是基于知道创宇安全大脑的高精准威胁情报而形成的一款能力型产品，意在帮助客户从海量的网络流量中筛选出黑客攻击流量或关键基础设施流量，后续对黑客攻击流量或关键基础设施流量进行分析，异常时进行预警响应。

　　黑客攻击流量筛选

从网络流量中筛选出黑客攻击流量，从可编程交换机的端口发送出去。

支持多种报文识别：2层VLAN识别、IPv4报文识别、4层MPLS标签识别等。

　　关键基础设施流量筛选

从网络流量中筛选出关键基础设施流量，从可编程交换机的端口发送出去。

支持多种报文识别：2层VLAN识别、IPv4报文识别、4层MPLS标签识别等。

　　目标情报更新

支持目标情报离线更新，将目标情报离线升级包上传至设备上，然后通过目标情报离线更新命令完成目标情报更新。

　　目标标签管理

支持目标标签，每一个目标有相应的标签。例如关基目标情报，其标签包含目标的所属国家、所属行业等。

筛选出的目标流量在源MAC地址中携带上目标标签信息。

　　输出端口组管理

管理员可设置输出端口组，组内的所有端口均作为筛选流量输出端口，通过负载均衡的方式选择输出端口组内的端口作为流量发送端口。

　　API

产品提供的API接口可完全控制整套系统核心能力的运作，完全不需要人工干预。在集成场景下可提供强大的数据支撑能力。

　　技术优势全呈现

依赖于创宇安全大脑的高精准威胁情报，与世界级网络空间资产测绘引擎ZoomEye相结合，以独家黑客攻击IP威胁情报与高质量关基目标作为筛选条件，这正是“专用目标筛选机”的研发创新角度。

　　优势一 国内领先的高密度大流量线速处理能力

专用目标筛选机基于可编程交换芯片（Programmable Switch Chip/Integrated Circuit）进行编程，可编程交换是近几年出现的新技术，该技术基于ASIC，实现全端口线速转发，低延时，低功耗。同时基于P4可编程模型实现，可以对硬件转发进行编程，可以根据用户的需求对硬件转发做多次修改，大大提高灵活性。

　　优势二 独家黑客攻击IP威胁情报能力

专用目标筛选机的黑客目标情报基于知道创宇安全大脑的全球威胁情报库生成，包括GAC网络攻击追踪平台、ZoomEye威胁库、暗网雷达、云蜜罐威胁情报库等多种数据源，囊括全网恶意IP，识别精度高、质量高。

　　优势三 高质量关基目标

专用目标筛选机依托于全球领先的ZoomEye网络空间测绘引擎，结合泛目标辨识分析技术，针对全球定向地区的指定行业所暴露在互联网上的目标网络资源进行深度梳理、标识，形成关基目标库。

专用目标筛选机拥有重点方向目标深度辨识能力，可针对重点方向基础设施、民生设施等网络资产深度辨识；也具备重点网络目标拓扑探测能力，通过自研拓扑探测组件，可以实现针对互联网拓扑的连通性探测、路由发现及互联网拓扑推测复现。

同时，还拥有泛目标扩展测绘能力和高精度IP定位能力，既能利用大数据、AI关联分析等方式针对泛目标开展网络空间信息测绘，又可以基于地标定位等技术实现针对国际部分区域IP的物理位置高精度定位标识能力。

　　专用目标筛选机应用

　　应用场景

当国家监管机构需要从海量网络流量中筛选出对我国关键基础设施的攻击流量时，可采用专用目标筛选机对流量进行筛选，后续对筛选出来的攻击流量进行分析，需要时进行预警响应，通知关键基础设施相关企业进行应对。

　　应用价值

快速筛选高价值流量信息：筛选出黑客攻击流量和关键基础设施流量。

全流量全视角信息抓取：2U设备即可线速抓取高达6.4Tbps流量，多台可抓取全流量。

待分析流量减少99%：黑客和关键基础设施流量占全流量的比重很小，可大幅减少待分析流量。

减少95%人工：客户无需人工分析黑客和关键基础设施威胁情报，可大量减少人工投入。

对于国家监管机构，面对国家级的网络攻击行为，在源源不断的海量流量中，如果能精准提取收集攻击流量、提前掌握攻击者的动向、关键基础设施的访问情况，就可以做到在出现针对关键基础设施发起的攻击行为时，及时进行预警响应。

而这，这也正是专用目标筛选机的研发初衷和实际意义。