高级威胁检测系统（APT）
产品概述
高级威胁检测系统【简称：BIGAPT】专注高级可持续性威胁（APT）检测，内置的多种检测技术可对 APT 攻击链进行交叉检测和交叉验证。
除了具备常规的入侵检测功能外，它还能对从网络流量中还原出的文件（HTTP、SMTP、POP3、IMAP、FTP、SMB 等协议）进行病毒检测、基因检测与沙箱检测；对抽取的网络流量元数据，进行情报检测、异常检测、流量基因检测；最后将所有安全威胁进行关联分析，输出检测结果。
人工智能在安全检测中的应用
APT采用了机器学习/深度学习技术，基于大数据平台，用海量安全数据进行训练，从而具备检测未知威胁的能力，并可有效提高安全分析工作的效率。
基于深度学习的恶意代码变种检测
通过结合机器学习/深度学习、图像分析技术，将恶意代码映射为灰度图像，通过恶意代码家族灰度图像集合训练卷积神经元网络（CNN）深度学习模型，建立检测模型，利用检测模型对恶意代码及其变种进行家族检测。基于灰度图像映射的方法可以有效的避免反追踪、反逆向逻辑以及其他常用的代码混淆策略。而且，该方法能够有效地检测使用特定封装工具打包（加壳）的恶意代码。
基于深度学习的未知协议恶意流量检测
基于同样的原理，恶意代码（包含：Windows 环境、Android 环境、Linux 环境和 Mac 环境下的恶意文件）产生的流量数据也能够映射为流量基因图谱，由于同家族的变种恶意代码通信模式往往保持不变，其流量基因图谱也具有相似性。通过深度学习、图像分析技术， 可根据流量基因识别恶意代码，该方法能够配合沙箱有效地检测恶意代码。
基于机器学习的加密流量检测
本技术涉及计算机安全技术领域、加密流量识别领域和机器学习领域。由于不同应用的网络行为不同，即使网络流量经过加密，恶意加密流量与合法加密流量也具有不同的特征。我们利用关联算法通过与加密会话关联的 DNS 协议、HTTPS 协议和 HTTP 协议，提取恶意加密流量与合法加密流量 SPL 数据（数据包长度与数据包到达间隔时间顺序）、DNS 元数据、TLS 元数据、HTTP 元数据等多种特征，构造恶意加密流量指纹，采用分类算法构建加密流量检测模型，检测恶意加密流量。
基于深度学习的 DGA 域名检测
该技术将僵尸网络家族用于 C&C 通信的 DGA 域名进行编码，然后利用 3 种不同的深度学习模型对 DGA 域名进行学习，交叉验证后进行家族判定。本技术对于僵尸网络 C&C 通信的 DGA 域名具有优异的检测能力，系统资源使用率低、快速、准确率高、误报率低， 同时也能够检测僵尸网络控制服务器和僵尸网络家族分类。
基于深度学习的暗网流量识别
由于不同应用程序功能、加密算法、通信模式的不同，指定时间窗口内其数据包传输模式差异比较明显。我们利用这些差异进行特征提取，构造应用程序的步态指纹，包括：会话中数据包到达的时间戳序列、会话中数据包发送的时间戳序列、会话中数据包的大小序列、会话中每秒包数、会话中每秒字节数、会话状态序列 active/idle 序列等。再利用深度学习算法（如：LSTM）训练分类器区分 Tor 流量和合法流量，可实现暗网流量的检测。
集成多种恶意加密通信检测技术
除了具备基于机器学习的恶意加密流量检测、基于深度学习的暗网流量识别能力外，系统也能通过客户端和服务器间 TLS 协商指纹识别恶意代码与 C2 服务器间的加密通信，还能通过 SSL 服务器证书检测 C2 服务器，具备多样的加密通信检测功能。
应用场景
高级威胁检测系统适用于通用网络安全检测，高级威胁检测（含 APT，恶意代码变种， 新型恶意代码，内网僵尸网络被控主机发现），威胁事件溯源取证等场景。可单独部署或与大数据安全分析系统一同部署，组成高级威胁检测、大数据安全态势感知、大数据安全分析解决方案。
APT 通常旁路部署在局域网或数据中心出口、运营商城域网出口、互联网流量交换中心等需检测网络流量出入口，单台设备能灵活应用于 1-10Gbps 网络流量环境。
产品中心
Product Center
