基于全域态势感知的网络主动防御与取证系统及应用的制作方法

本发明涉及网络安全，具体为基于全域态势感知的网络主动防御与取证系统及应用。

背景技术：

1、随着数字化业务纵深发展，网络安全防护体系面临攻击面泛化、攻击手法升级与合规要求趋严的多重压力。现有网络安全架构以边界防护为核心，通过串行部署防火墙、入侵防御、web应用防火墙等单点安全设备构建静态防御边界，配套态势感知系统实现对网络层与系统层的风险监测与告警。

2、该架构在实际应用时仍存在以下缺点：1.现有态势感知系统的风险感知维度局限于网络流量、硬件资产、系统漏洞等传统攻击面，对加密隐蔽信道、内部人员异常行为、软件供应链引入的开源组件风险与源代码级安全隐患的检测覆盖能力明显不足，难以适应当前攻击手法向应用层、供应链侧及内部人维演进的趋势；2.现有主动防御机制多依赖静态规则库与特征签名实现威胁拦截，缺乏基于实时风险研判结果的动态策略编排能力，且在防御策略制定过程中未将开发流水线安全门禁、外购产品入网前准入校验、数据泄露防护联动纳入统一的防御体系，导致对开源组件投毒、供应链后门植入等新型攻击手段的处置入口缺失、响应滞后；3.现有电子数据取证技术多作为安全事件发生后的独立环节部署，与前端实时感知防御体系之间存在数据与流程割裂，取证触发缺乏精准定位能力，且缺乏对代码提交历史与软件物料清单（sbom）依赖传导链路的深度溯源能力，难以支撑供应链攻击的完整路径还原；同时取证分析结果无法自动化转化为可机读的威胁情报并反哺至感知与防御环节，制约了防护能力的持续进化；4.网络安全等级保护、关键信息基础设施安全保护等合规要求多依赖安全专家人工解读后转化为纸质制度或周期性巡检任务，存在合规要求与日常运营脱节、执行持续性不足、人工运维成本高的问题。

技术实现思路

1、本发明的目的在于提供基于全域态势感知的网络主动防御与取证系统及应用，以解决上述背景技术中提出的问题。

2、为实现上述目的，本发明提供如下技术方案：基于全域态势感知的网络主动防御与取证系统，包括全域风险感知与研判模块、动态主动防御与响应模块、电子数据勘验取证与情报转化模块和安全运营与供应链治理支撑模块，所述安全运营与供应链治理支撑模块分别与全域风险感知与研判模块、动态主动防御与响应模块和电子数据勘验取证与情报转化模块建立数据连接，全域风险感知与研判模块与动态主动防御与响应模块建立数据连接，动态主动防御与响应模块与电子数据勘验取证与情报转化模块建立数据连接。

3、所述全域风险感知与研判模块包括资产感知与拓扑测绘单元、全流量检测单元、开源组件风险感知单元、源代码审计感知单元、脆弱性扫描与合规核查单元、威胁情报预警单元、用户行为分析单元、攻击链研判单元和合规基线映射单元，资产感知与拓扑测绘单元用于自动识别硬件、虚机、容器、业务节点，建立动态资产拓扑图谱，识别公网暴露面与内部高危互联链路，全流量检测单元用于对南北向、东西向全网络流量进行解析与还原，识别加密隧道、隐蔽信道及恶意通信指纹，开源组件风险感知单元对接代码仓库、容器镜像仓库，自动递归解析组件依赖树，对接国家漏洞库与威胁情报进行风险比对，标记存在安全漏洞、恶意植入风险的开源组件，源代码审计感知单元对代码提交环节的源代码执行静态安全扫描，识别硬编码密钥、sql注入后门、逻辑炸弹，脆弱性扫描与合规核查单元定期对系统、中间件、数据库执行漏洞扫描、弱口令检测与安全基线配置核查，输出全量脆弱点清单，威胁情报预警单元对接内外部多类威胁情报源与行业安全通报，将失陷指标与本地资产、流量、代码数据进行自动化关联碰撞，以此实现实时预警，用户行为分析单元基于图神经网络构建运维人员、内部用户、第三方供应商的操作行为基线，识别异常行为，攻击链研判单元对多源告警进行时空关联聚合，还原完整攻击链路与攻击阶段，计算攻击成功概率与风险等级，合规基线映射单元将法律法规中的强制性要求，映射转化为机器可执行的安全巡检规则、防护策略模板与取证合规标准。

4、所述动态主动防御与响应模块包括边界智能防护单元、终端微隔离与查杀单元、开发管道安全门禁单元、攻击诱捕单元、外购产品准入检测单元、数据泄露防护联动单元、安全编排响应单元、攻击溯源与封堵单元和防御效能调优单元，边界智能防护单元根据风险研判输出的风险等级，动态更新防火墙、web应用防火墙、入侵防御系统的防护规则，终端微隔离与查杀单元在服务器与终端侧执行进程级微隔离，阻断攻击横向移动路径，对失陷终端执行恶意代码查杀与网络隔离，遏制攻击扩散，开发管道安全门禁单元在ci/cd持续集成流水线中设置安全门禁，当检测到高危开源依赖或恶意代码提交时，自动阻断构建与发布流程，攻击诱捕单元在网络边界与内网部署动态变形的高仿真蜜罐服务，将可疑扫描、探测流量主动牵引至蜜网环境，捕获攻击工具、攻击手法与攻击路径特征，外购产品准入检测单元对第三方外购软硬件产品执行入网前强制安全检测，将其置入沙箱环境运行观察全量行为，确认无后门、无恶意逻辑后方可允许上线，数据泄露防护联动单元监测敏感数据的异常外传行为，联动数据泄露防护网关执行实时拦截与水印溯源，管控数据泄露风险，安全编排响应单元内置供应链投毒、数据勒索、内部泄密的应急处置剧本，根据风险等级自动触发对应处置流程，攻击溯源与封堵单元回溯完整攻击路径，定位攻击源ip与跳板节点，在合规范围内向边界防护设备下发精准封堵策略，阻断攻击持续接入，防御效能调优单元采集每一次防御处置的命中率、误报率、漏报率数据，反向迭代优化检测规则与防护策略。

5、所述电子数据勘验取证与情报转化模块包括多源证据固定单元、流量回溯取证单元、源代码与依赖链取证单元、恶意代码深度分析单元、行为日志取证单元、证据链存证与校验单元和报告与情报双输出单元，多源证据固定单元支持物理机、云主机、容器、存储设备的远程与本地证据镜像固定，采用写时复制技术保障取证过程业务无感，流量回溯取证单元根据攻击事件时间戳与特征标识调取特定会话数据包，完整重构攻击指令下发与数据传输全过程，源代码与依赖链取证单元对代码仓库的提交记录、分支合并、文件变更进行取证固定，追溯恶意代码的首次注入时间与提交主体，同时基于sbom依赖树回溯恶意开源组件的引入路径、传导层级与版本变更节点，完整还原软件供应链攻击全链路，恶意代码深度分析单元将可疑恶意样本置入内核级沙箱运行，监控其进程、注册表、网络通信全量行为，提取系统调用序列与攻击行为特征，行为日志取证单元采集系统日志、操作日志、审计日志，按时间线重构攻击者的完整操作轨迹，形成完整行为证据链，证据链存证与校验单元对所有电子证据采用国密sm3算法生成数字指纹，支持区块链存证模式，保障证据的完整性、不可篡改性与司法可采性，报告与情报双输出单元同步输出面向司法与合规场景的司法鉴定报告和面向系统联动的结构化威胁情报包。

6、所述安全运营与供应链治理支撑模块包括安全数据中台单元、供应链工具集成单元、sbom统一管理单元、供应商量化评级单元、供应链情报运营单元和态势可视化单元，安全数据中台单元采集全模块运行日志与安全数据，完成数据清洗、富化与标准化存储，依托实时流计算引擎实现毫秒级数据关联查询与统计分析，供应链工具集成单元统一纳管sca组件扫描器、代码审计工具、镜像安全扫描器、漏洞评估工具，实现工具一键调度与检测结果归一化输出，sbom统一管理单元集中存储全业务系统的软件物料清单，供应商量化评级单元用于建立自动化量化评分模型，实现供应商安全风险的动态评级与管理，供应链情报运营单元主动订阅国家与行业供应链安全通报信息，结合内部资产与业务数据生成定向风险预警，推送至安全运营人员与对应厂商，态势可视化单元提供监管大屏、运营中屏、技术小屏三层可视化视图，分别呈现合规态势、攻击处置进度和原始技术数据。

7、基于全域态势感知的网络主动防御与取证系统的应用，包括步骤一，全域风险感知与攻击链研判；步骤二，多维动态防御与策略触发；步骤三，电子证据勘验取证；步骤四，鉴定报告输出与结构化威胁情报封装；步骤五，基于结构化威胁情报的规则更新；

8、其中上述步骤一中，通过全域风险感知与研判模块对进行多维度数据采集，结合合规基线规则完成多源告警的时空关联分析，还原完整攻击链路，计算攻击成功概率并输出带有风险等级与置信度的攻击链研判结果；

9、其中上述步骤二中，通过动态主动防御与响应模块接收攻击链研判结果，匹配应急处置剧本，从边界、终端、开发管道、外购产品接入和数据泄露防护维度执行差异化的攻击阻断与风险遏制，同时采集本次防御处置的效能数据，并在确认发生真实攻击事件后向电子数据勘验取证与情报转化模块下发取证触发指令；

10、其中上述步骤三中，通过电子数据勘验取证与情报转化模块根据动态主动防御与响应模块下发的取证触发指令，对涉事资产执行取证流程，形成完整证据链条；

11、其中上述步骤四中，电子数据勘验取证与情报转化模块根据得到的完整证据链条生成符合司法要求的鉴定报告，并将证据分析过程中提取的攻击特征封装为结构化威胁情报；

12、其中上述步骤五中，通过安全运营与供应链治理支撑模块的数据总线将结构化威胁情报同步回传至全域风险感知与研判模块和动态主动防御与响应模块，全域风险感知与研判模块根据回传的威胁情报更新威胁情报库与脆弱性关联规则，动态主动防御与响应模块根据回传的威胁情报及自身采集的防御效能数据，反向迭代优化边界防护策略与终端检测规则。

13、所述步骤一中，多维度数据包括网络资产、流量、开源组件、源代码、系统脆弱性、用户行为和威胁情报。

14、所述步骤二中，效能数据包括防御处置的命中率、误报率及漏报率。

15、所述步骤三中，取证流程具体为：对涉事资产执行多源电子证据的无损固定、全流量回溯、源代码与依赖链溯源、恶意代码深度分析及行为日志轨迹重构。

16、所述步骤四中，结构化威胁情报包含：yara规则、恶意域名、恶意ip地址、文件哈希值、漏洞利用手法及攻击团伙画像，结构化威胁情报采用stix/taxii格式封装。

17、与现有技术相比，本发明的有益效果是：本发明将开源组件依赖解析、源代码静态审计、用户与实体行为基线分析纳入统一感知体系，提升检测覆盖能力；将开发管道安全门禁、外购产品入网前沙箱检测、数据泄露防护联动纳入动态防御体系，基于风险研判结果自动触发差异化处置策略，提高了响应速度；通过代码提交与依赖链深度取证实现供应链攻击路径的深度还原，将取证分析结果转化为结构化威胁情报并反哺感知、防御模块；将合规基线策略模板内嵌于系统运行流程，实现法律法规要求的自动化映射与持续执行。