云环境下流量监测威胁与信息安全防护技术

单位名称

中电长城网际系统应用有限公司

机构代码

91110114599653533L

需求信息

技术需求情况说明

技术需

求类别

技术研发（关键、核心技术）□

产品研发（产品升级、新产品研发）R

技术改造（设备、研发生产条件）□

技术配套（技术、产品等配套合作）□

技术需

求领域

人工智能与大数据R，新能源与动力装置□、无人系统□、网络安全与通信R、（不属上述领域请自行填写             ）□

需求

名称

云环境下流量监测威胁与信息安全防护技术

技术

需求

简述

    随着云计算技术的普及，“上云”已成为时代的趋势与标志。然而，业务上云将面临着更多的安全风险与挑战。考虑到云环境的复杂性，用户面临的云环境可能是一个多态和异构的云环境，云环境的运行状况到底如何，服务是否可用，云平台是否可信、可靠、安全、合规，用户并不清楚。

    新一代网络安全威胁最明显的一个特点就是能够绕过传统的安全检测和防御体系，这些威胁行动水平低而缓慢，采用几个阶段和渠道，躲避传统的防御手段，寻找有漏洞的系统和敏感数据。

    首先，我们需要一个平台提供对流量的深度检测，它以网络流量为基础，对流量数据进行多层次分析、多协议还原、通过各种监测手段挖掘流量中隐藏的各种威胁，解决传统防火墙无法监测的应用层威胁。

    其次，我们还需要该平台来支持对多态、异构云环境的监控、告警和审计，面向多种角色的用户需求（如云系统管理员、云安全管理员、云审计管理员、租户系统管理员、租户安全管理员、租户审计管理员、云运维人员、云用户等），服务于不同角色的用户，将用户关注的数据清晰量化地呈现给用户，帮助用户理解和决策。

    第三，需要解决高标量大并发采集数据的存储问题，考虑到解决关键基础设施受制于人的问题。该平台需要考虑基于ARM CPU架构的国产化，实现ARM CPU架构下的MPP数据库，解决ARM平台的基础数据平台问题，满足在交通、医疗等大数据应用产业领域的主要应用。

第四，在数据基础上通过大数据和人工智能对安全要素进行分析，实现脆弱性分性、用户行为分析、异常发现、攻击觉察、威胁分析、威胁态势预测等功能。

技术

需求

详述

功能要求：

1、流量监测包括流量采集与存储、流量协议还原与处理、流量实时监测、多维度分析统计、域名分析、邮件还原、HTTP应用行为分析、告警展示等。2、流量监测通过对网络层数据包分析、TCP/UDP会话分析，以及HTTP、FTP、SMTP、POP3、DNS等多协议分析与数据还原，同时结合各种威胁情报挖掘流量中隐藏的各种威胁信息，使用LSTM算法实现DGA动态检测。

3、整个系统使用分布式采集与处理，数据集中管理的方式进行架构，通过B/S架构的方式，统一的Dashboard，满足不同用户权限的功能需求。实现多点数据采集与处理，通过浏览器实现多用户便捷访问。

4、多流数据处理、实时复杂分析引擎、计算资源隔离也调度、实时检索、统一管理界面、数据资产管理、日志审计、标准接口、SQL 2013支持、人工智能接口、数据安全（分级分域管理容器化部署。

5、具备PB级数据分析处理能力；

6、支持ARM CPU架构，系统采用MPP架构；

7、支持对异构、多态云平台的指标采集、存储、分析、统计。包括云平台基础设施、支撑组件、虚拟资源等。

8、支持用户自定义的监控指标，自定义过程流程化、标准化，易于实现。自定义告警策略、告警方式，支持实时告警和追溯。

9、日志的统一监控、管理、分析、统计、展示。

10、使用多种技术手段结合威胁情报对安全数据和要素进行进一步的研判，包括关联分析、数学建模、统计分析、知识图谱、机器学习和人工智能等等，实现脆弱性分性、用户行为分析、异常发现、攻击觉察、高级持续攻击侦测、威胁态势分析、威胁趋势预测等功能。

11、兼容主流浏览器，自适应屏幕分辨率。

系统架构：

1、模块化，松耦合。

2、可伸缩、扩展能力强。

3、方便定制开发、容易开发和实现。

4、运行可靠性强、健壮。

5、高可用。

6、前后端分离。

使用要求：

1、支持多种操作系统上的部署运行。

2、自动化部署，安装部署简单。

3、考虑到用户已经建设了云平台，可能是公有云、私有云或者是混合云，尽量不借助云供应商提供API即可实现数据采集，尽可能少地通过agent方式采集数据指标。

4、适配过程快速、配置简单。

5、支持定制开发。

6、支持数据的长期存储。

7、易维护。

8、数据的高可用。

主要指标

1、原始数据存储量：4   TB。

2、分析结果存储能力：1   TB。

3、分析结果存储时间：不小于30天。

4、支持协议识别种类：SMTP/POP3/HTTP/SMB/FTP/DNS等100余种。

5、支持规则添加数量：300000。

6、报警日志种类：30余种内置，具可扩展性。

7、黑名单数量大于15000条，白名单数据量大于100000条。

8、千兆带宽下单机部署，满足每天1亿条DNS报文的安全检测。

9、运行稳定，支持7×24小时的业务访问。超时出错率小于1%。

10、响应时间秒级。

11、高可用，可用率99．99%。

12、数据近实时。

其他要求

1、             提供数据接口，支持REST，并支持REST接口的灵活扩展。

2、             提供SDK，支持多种编程语言。

3、             支持前后端二次开发。

4、             兼容firefox，chrome，ie等浏览器。

5、             自适应屏幕分辨率，支持大屏展示。

6、             技术支持。

实测要求

有实测要求，具体时间地点等暂时无法确定，待定。

产学研合作需求

现有基础情况

关于流量深度分析部分，研发已基本成型，进入试运行阶段。对多态、异构云环境的监控、告警和审计，已进行云厂商关于云监控产品的调研，基于openstack juno版本完成了监测对象、监测指标的梳理，完成了部分页面的简单设计。以内部云平台为对象，基于agent的方式实现了部分监测指标的采集方法及验证，目前仍处于研究、设计阶段，缺少技术积累以及人力支撑。距离提出的目标差距很大。基于ARM CPU架构的国产化MPP数据库，目前只是需求阶段，没有解决方案。

需求

描述

希望与安全领域专业研发公司、本地高校开展相关的技术合作。

合作

方式

技术转让□     技术入股□     联合开发R    委托研发R

委托团队、专家长期技术服务□     共建新研发、生产实体□

其他需求

技术转移□   研发费用加计扣除□   知识产权□   科技金融□

检验检测□   质量体系□   行业政策□   科技政策□   招标采购R

产品/服务市场占有率分析□   市场前景分析□   单位发展战略咨询□

其他□                                  

管理信息

对优秀解决方案悬赏奖励

R是，金额       2         万元。（奖金仅用作奖励现场参赛者，不作为技术转让、技术许可或其他独占性合作的前提条件）

□  否

备 注

1.专题赛详细信息可登陆专题赛官网（http://www.zgccmichallenges.cn）或搜索微信公众号“中关村新兴领域专题赛”查询。

2.需求可登陆专题赛官网（http://www.zgccmichallenges.cn）或搜索微信公众号“中关村新兴领域专题赛”下载。

3.需求细节沟通咨询和专家辅导点评请关注微信公众号“中关村新兴领域专题赛”，分别在“需求发布”和“提交方案”栏按提示操作。