态势感知

本章节主要整理网络态势感知（CSA，Cyberspace Situation Awareness）相关的知识。

什么是态势感知

首先于1995年，Endsley提出，主要指：在大规模网络环境中，对能够引起网络态势发生变化的安全要素进行获取、理解、显示，并预测未来的发展趋势。[1]

从定义中可以看出，主要包含三个方面：

感知层（Perception）—— 数据提取
- 感知和获取环境中的重要线索和元素
理解层（Comprehension）—— 理解分析
- 整合感知到的数据和信息，分析其相关性，进行建模和评估
预测层（Projection）—— 态势预测
- 基于对环境的感知和理解（前面两层），预测相关知识（Knowledge，注意其与Information的区别）的未来发展趋势。

总体来说，态势感知不是值单个的产品，而是一个完整的解决方案——一个企业安全领域的，包含产品、服务，最终达到感知威胁并辅助安全管理和决策的一整套方案。

Part1：威胁探针 + 威胁情报（情报系统对于提升网络安全态势感知能力很重要）

Part2：安全感知平台（大数据、机器学习、威胁建模、行为分析）

Part3：威胁大屏展示（全面发现各种疑似、潜藏威胁）

渗透和攻击过程非常复杂，并且很多时候都“出人意料”，现有的安全系统大多采用模式识别（特征库匹配）的方式，比较机械，且误报率高，难以检测和防护。

因此，攻击行为分析是一个重要的方面。对于企业来说，具有专家知识的分析人员，对于企业的威胁感知和排查是非常重要的，但专家的人力成本以及现实因素的限制较大，如何使用机器去辅助并完成一部分分析、保障工作，结合专家经验呢？这就诞生了态势展示模型。

关于网络安全产品的类型，IDC（国际数据，International Data Corporation，IDC）对其进行了最新的划分，主要是根据其应用领域来界定，产品形态策划成为了产品属性，并且更加多样化[1]：

其中，威胁感知产品就是属于AIRO，AIRO类产品主要包括：

[1] 也来聊聊态势感知（上），大兵说安全，https://mp.weixin.qq.com/s/dCGMfKsFzYaZiffjkBBYpg