融合大数据的开放式平台架构

盛华安全系产品都基于赛博坦（Cybertron）套件开发平台打造。赛博坦套件开发平台基于Cybertron框架开发，采用融合大数据的开放式平台架构设计，具有多要素采集融合、多维度安全分析、多方位态势感知、多层次开放连接的技术特色。
整个平台架构分为四层，自底向上依次是：数据摄取层、安全数据中心层、智能分析层和安全管理层。

• 数据摄取层通过系统自带的多种探针根据实际需要采集多种安全要素数据，包括资产数据、性能数据、配置数据、情报数据、日志数据、流量数据、业务数据等。所有这些海量异构的数据在预处理后统一送给安全数据中心层的分布式消息系统。
• 安全数据中心层通过分布式消息系统获取分散的安全要素数据，统一进行数据梳理和扩充、全文索引，提炼成安全信息，并实施数据治理。同时，安全数据中心层能够将安全信息送入不同的数据池中供智能分析层按需调用，还能提供对外的数据服务接口。特别地，作为开放性和适应性的一个特色，平台的安全数据中心既可以运行在大数据和New SQL之上，也可以运行在RDBMS之上，并对平台其它各层保持透明。
• 智能分析层能够按需消费安全数据中心层的各类安全信息，并能够回注新生成的安全信息。智能分析层的核心是各种分析引擎和分析算法，以及在此之上的各种分析功能。这些分析能力从时间维分为准实时分析和历史分析；从分析模式维分为流式分析、批式分析、交互式分析；从信息维则包括资产分析、弱点分析、威胁分析、日志分析、性能分析、风险分析、态势分析等。
• 安全管理层则是面向安全态势感知与管理的业务层，实现各种安全管理相关的功能，并面向使用者提供交互UI和可视化呈现。

日志元数据动态建模技术

在所有安全数据中，日志数据（包括各类设备和系统发出的日志及告警，以及流量日志）最为关键，是整个安全分析的核心对象，而日志数据模型也最为复杂，具有典型的高速、海量和多变的特点。当前业界大部分产品都采用预置元数据模型加固定扩展属性的方式来进行日志元数据建模，难以有效应对日志的多样性和多变性，从而抑制了后续的一系列安全分析能力的发挥。为此，盛华安采用了日志元数据动态建模的创新性技术，通过预置一个可以扩展的无模式元数据模型，使得安全分析师能够在系统运行过程中任意实时改变日志数据模型，并即时生效，当即运用于所有后续安全分析过程中。同时，所有建模过程都通过可视化编辑器进行，直观便捷。

分布式关联分析引擎技术

为了解决传统关联分析引擎的性能瓶颈问题，盛华安从一开始就实现了分布式关联分析引擎技术。通过分散运行在管理中心和多个分布式计算及存储节点上的多个分布式关联分析引擎，系统将待分析的海量实时或历史数据分布在不同的节点上进行并行处理，并依靠主关联分析引擎与各个关联分析引擎之间的调度机制进行分析状态的实时共享，从而确保满足同一规则的数据即便在不同的节点上也能够被关联出来。借助分布式关联分析引擎，系统可以实现关联分析性能的近似线性提升。

基于分布式行为分析引擎的UEBA技术

系统的用户与实体行为分析（UEBA）能力基于分布式行为分析引擎打造。通过在管理中心节点和分布式计算及存储节点上部署分布式行为建模引擎，可以对分散在各个节点中的海量行为数据进行行为建模，并将建模结果统一汇总到管理中心的主行为建模引擎中，形成行为基线库，然后再基于多种机器学习算法的行为异常判定算法判定行为异常，产生行为异常事件，并将结果输出给UEBA模块作为用户及实体画像和综合评分的依据。管理员可以借助系统内置的模型编辑器进行可视化行为建模。系统支持个体行为模式、群组对照模式等行为轮廓建模方式；可以针对历史数据建模，也可以针对实时数据持续建模；支持多种轮廓点计算方式。

安全编排、自动化与响应技术

盛华安的安全编排、自动化与响应（SOAR）核心能力包括安全告警、案件管理、工单管理和安全编排自动化四个部分。

• 告警管理包括告警分诊、告警调查、告警响应和告警库四个功能。其中最核心的是告警分诊和告警调查，这也是区别于传统SIEM/SOC平台的告警管理功能的关键之处。告警分诊一方面能够自动化地聚合告警信息，减少管理员需要查看的告警数量，同时还能自动地计算告警的可信度和处置优先级，帮助管理员聚焦关键的告警。告警调查是指针对告警信息的补充调查分析，剔除虚警，并将模糊的、低质量的告警变成高质量、有价值的告警的过程。在进行告警调查的时候，运维管理员可以调用安全编排与自动化的剧本或者动作，对告警进行增强，并最终通过告警透视获得对告警信息全面的可见性，尽可能清晰、精准地将这个告警的相关信息呈现出来，方便管理员进行研判。
• 案件管理帮助用户对一组相关的告警进行流程化、持续化的调查分析与响应处置。通过案件的流程处理功能，可以为不同性质的案件指派不同的案件处理流程，并监督执行；借助案件的工件（Artifacts）管理功能，可以不断积累该案件相关的痕迹物证（IOC）和攻击者的战技过程指标信息（TTP）；而通过编排调查与响应功能，可以对案件中的任何工件执行剧本或者动作，拓线追踪，深挖疑点、丰富案件信息。
• 工单管理系统具备标准的工单管理功能，支持用于突发性告警响应的一次性工单和日常（重复性）工单。工单流转和处理过程全程记录。
• 安全编排与自动化是SOAR的核心功能，实现了剧本的编辑维护，以及应用和动作的管理。安全编排与自动化的核心是剧本库和应用库（动作库）。这些库可以被安全分析、告警管理和案件管理等功能随时调用。通过该功能，真正实现了SOAR将不同的系统协同联动起来的目标，就像一个交响乐队的指挥。

多源威胁情报利用技术

系统能够通过主被动方式采集来自外部的商业、开源或社区威胁情报信息，并对这些情报进行数据融合，形成系统自身的情报库和热情报库。系统能够将这些外部情报与系统采集到的用户网络内部的安全数据进行碰撞比对，利用威胁情报进一步增强安全分析的效果。系统支持多种威胁情报利用方式，包括威胁情报预警、基于威胁情报的日志增强、情报与日志的实时比对、基于情报的历史日志追溯、交互式情报调查等。进一步地，用户既可以在事件分析的时候进行情报调查，也可以在告警调查或者案件调查的时候进行情报调查。