随着全球数字化转型的加速推进，越来越多的政府、城市、企业成为各种高级威胁攻击的受害者，而在数据成为核心资产后，数据泄露、数据丢失、数据篡改的风险也与日俱增。此时，以系统集成思维、卖货思维为导向，忽视体系化安全运营与安全专家的传统安全防御方式已然失效，网络安全行业亟需升级理念。

近日，360基于“安全即服务”理念推出360安全云，通过云化、服务化平台、探针、数据、专家，依靠360数字安全托管运营服务，让各行各业的用户都能抓住重点、有的放矢，实现技术、体验和商业模式上的创新与颠覆。

其中，探针决定了企业能否拿到真正有价值的数据，是安全运营的重要一环。一直以来，从海量流量数据中发现高级威胁攻击线索都是难上加难，加之越来越多企业选择加密技术保护自身数据安全，越来越多的网络威胁也随之隐藏在加密流量中，大量APT组织已将加密技术应用到攻击及武器使用过程中，部分国家级APT组织已全面实现攻击加密化。

解密检测原理仍是基于明文进行检测，只是在检测之前需要上传SSL证书进行加密卸载。解密检测面临几个问题：

1.解密违背了“加密”的初衷——隐私及安全。

2.大量的加密流量因缺少证书而难以解密。

3.流量解密过程会严重消耗CPU计算性能，抢占流量检测资源。

主要是通过机器学习的方法，运用加密威胁模型进行训练，从而识别出加密流量中的威胁。机器学习算法需要有效的数据样本进行模型训练，数据质量不佳、数据维度及数据集样本量不足往往会影响模型的精度和泛化能力。

为有效应对加密流量攻击，快速发现和识别加密流量中的各种威胁，360推出了加密流量威胁检测法宝：360高级持续性威胁预警系统（NDR）。

360高级持续性威胁预警系统（NDR）在支持SSL解密检测方案的同时，更聚焦不解密方案。产品依托于360多年的数据和攻防实战积累，运用AI解释性模型加密流量分析技术，针对加密流量人工分析及溯源难的特点，从多个维度识别加密流量中的威胁。

目前，360 NDR已支持不少于300个加密流量攻击家族识别，支持10个以上APT伪装类加密网络武器识别，涵盖50个以上APT组织的通信识别。

经过近20年的发展，针对明文流量的检测技术已经相对完善，尽管不同产品、模型的功能各不相同，但是其检测原理比较统一。目前，针对明文的检测原理可分为三大类技术方法：载荷内容检测、行为分析模型、威胁情报匹配，见下图：

通过对大量加密攻击案例的分析和整理，360 NDR针对加密流量的检测主要依赖于加密协议检测、行为分析模型与威胁情报匹配三大类技术方法，见下图：

1、SSL/TLS流量攻击检测

伪装类加密检测：针对Lazarus为首的APT组织采用伪装类SSL流量进行攻击的情况，通过对SSL协议格式微标签、加密传输载荷、数字证书等内容深入分析，区分伪装类加密流量。下图为Lazarus伪装类加密流量案例：

2、加密WEBSHELL检测

当前实网攻防演练、重保以及实际网络攻防中，采用加密WEBSHELL进行控制已经是常见的手段之一，如：冰蝎4.0、哥斯拉4.0等，已经成为HW中的利器。

360 NDR收集了数千个加密webshell的通信流量样本，包括魔改版、原版等，一方面通过AI对其通信过程进行训练，发现潜在的加密webshell通信行为，目前检出率达到90%以上；另外一方面通过识别加二次研判模型的方式，通过对可疑线索全量抓捕，二次研判模型删除误报的方式，来识别发现潜在的已知和未知加密WEBSHELL通信行为。

3、异常行为检测

4、暴力破解行为监测与识别

5、WEB加密口令识别与破解检测

此外，除以上专有加密场景检测模型，360NDR内置了强大木马通信指纹和通信指令库及300万+本地威胁情报库，依托360全网安全大脑赋能，能有效识别HTTP、TCP、UDP、DNS等协议中APT攻击、高级木马/远控、挖矿勒索软件、僵尸网络、黑客攻击、僵木蠕等远程控制软件加密通信行为。

加密流量攻击来势汹汹，360高级持续性威胁预警系统（NDR）将帮助更多的用户消除“加密流量威胁看不见”的安全风险，成为加密流量检测的法宝，对加密流量进行精细化的控制策略，绕过不需要检测的流量，保护用户和机构的隐私和合规性，实现“一招制敌，出奇制胜”。