如上表所示,高级威胁检测系统产品针对传统安全产品检测规则少、更新时间长、难以定义和检测APT,给出了可行的解决方案:
1) 高级威胁检测系统产品支持千万级的高价值威胁情报库,可覆盖绝大多数已知威胁。
2) 高级威胁检测系统产品通过与安全公有云或本地安全情报中心(简称SIC)协同,可实时订阅威胁情报,并在威胁发生时第一时间动态升级检测能力。
3) 高级威胁检测系统产品所采用的威胁情报,符合国家标准,基于国内外主流的杀伤链模型,可以通过定义APT每个阶段的入侵威胁指标(IOC),可检测APT攻击链条的攻击片段,产生基础告警事件,并进一步通过对基础告警事件的上下文关联分析,还原APT攻击过程。
4) 高级威胁检测系统产品可将攻击源IP、URL、域名等提交安全公有云,实现威胁的深度溯源,包括定位攻击源和控制源,实现攻击组织画像。