NTM v24.3.07（核心代号“唐r5p8”）版本发布

cqh123 · 发表于 2024-3-7 11:02:19

一、新增功能
1、奇安信威胁情报
奇安信失陷检测情报，以简单迅捷的方式发现内部被黑客控制的失陷主机，以及时防止出现被攻陷的损失。拥有千万级的IOC情报库，覆盖蠕虫木马、后门软件、僵尸网络、勒索软件等各种类型，并囊括数百家开源情报以及奇安信多个安全研究团队的APT事件发现跟踪成果；结合机器学习和安全分析师多重力量，保障情报的准确性，包括利用云端多来源、多维度的数据资源，对IOC情报进行综合性的交叉验证；对于重要的IOC或者自动化难以判定的内容，由安全分析师进行人工判别等；通过数年的安全运营，在云端已经形成成熟的运营体系，对于不同来源的数据和情报可以进行自动化或人工的关联分析和研判，保障较新的威胁情报可以迅速（小时级）同步到情报数据库中被用户使用；丰富的上下文信息，可以帮助减轻发生报警后的事件分析工作，降低了对安全运营人员的要求，使其能及时采取直接有效的手段去缓解或者遏制实际损失的发生，数据精准度可达99.99%。
该能力适用于所有办公网、业务服务器区OUTBOND出站场景，针对该场景下的失陷受害主机定性研判拦截检测能力。适用于防火墙、NGFW、终端安全、服务器安全、UTM、云安全、态势感知、NGSOC、SD-WAN等产品。

1）实时统计

奇安信威胁情报规则命中实时统计结果与趋势变化

功能	简介
情报库	内容包含奇安信情报库更新时间，最新规则命中时间，情报库规则数
对象命中	会话中源IP，目标IP，目标域名命中情报库中规则的统计
风险命中	命中规则库的对象的风险等级
授权状态	奇安信威胁情报中心License导入
情报命中趋势	命中对象计数趋势图

2）情报概况

展示奇安信威胁情报规则类型与命中概况

功能	简介
风险级别分布	命中对象中风险级别分布图
情报类型命中分布	对象命中规则分布图
情报类型	情报规则库中规则分类与命中统计
TOP源	命中会话中源IP排名
TOP目标	命中会话中目标IP排名
TOP域名	命中会话中目标域名排名

3）命中会话

命中奇安信威胁情报规则的会话

功能	简介
会话时间	会话发起的时间
MAC/MAC厂商	会话源MAC信息
源IP/目标IP	会话中源IP/目标IP信息
域名	会话目标域名信息
源/目标地理位置	会话源/目标地理位置
传输协议	会话使用哪种传输协议
应用协议	会话属于哪个应用协议
恶意家族	会话命中奇安信情报库中哪个恶意家族，点击可查看具体信息
情报类型	会话命中奇安信情报库中哪种情报类型
危险等级	会话中被命中对象属于哪种危险等级
账号备注	会话源IP的内网账号信息
操作	查看会话数据包分析内容

4）区域命中

命中会话地理位置分布与流量走向

二、功能优化

1、MAC厂商信息与MAC地址分离为两列显示

从原来的提示框显示改为两列显示，MAC地址复制由原来的按钮形式改为鼠标右键复制

2、去掉提示弹窗复制形式，改为鼠标右键复制

所有的源目IP地址，MAC地址复制由原来的弹窗按钮复制，改为鼠标右键复制

3、IP画像页面增加会话日志

IP画像模块新增显示该IP关联的所有会话日志信息

4、会话流量页面增加“当前会话”

溯源分析--会话流量页面增加当前会话，内容为当前正在进行保持的连接

5、会话流量页面增加会话结束时间显示

溯源分析--会话流量页面增加会话结束时间

三、问题修复

序号	问题描述	解决进度
1	质量诊断，流量诊断模块会话增加账号备注	已解决
2	主机监控CSV格式文件导入异常	已解决
3	会话日志导出临时内存占用优化	已解决
4	IDS APP中会话起始时间与实际不符	已解决
5	报文交互中起始时间与数据包起始时间有误差	已解决
6	网络穿透模块账号备注无法显示嗅探或认证账号信息	已解决