人工智能賦能安全 應(yīng)用案例集

AIin20212前 人工智能技術(shù)發(fā)展現(xiàn)狀與趨 全球人工智能技術(shù)與產(chǎn)業(yè)發(fā) 全球人工智能戰(zhàn)略法規(guī)布 人工智能相關(guān)標(biāo)準(zhǔn)規(guī) 人工智能賦能安全內(nèi)涵與意 人工智能時(shí)代網(wǎng)絡(luò)空間安全新特 人工智能時(shí)代網(wǎng)絡(luò)空間安全新挑 人工智能賦能安全的新需 人工智能賦能安全應(yīng)用案 通信網(wǎng)絡(luò)安全 身份認(rèn) 惡意代碼分 惡意域名檢 惡意流量識(shí) 智能安全運(yùn) 異常檢 威脅情 態(tài)勢(shì)感 內(nèi)容安全 騷擾詐騙電話檢 惡意網(wǎng)頁(yè)識(shí) 手機(jī)惡意軟件檢 視頻行為安 數(shù)據(jù)安全 數(shù)據(jù)分級(jí)分 數(shù)據(jù)風(fēng)險(xiǎn)評(píng) 數(shù)據(jù)防泄 業(yè)務(wù)安全 物聯(lián) 工業(yè)互聯(lián) 終端安全 總結(jié)與展 前生了顯著的溢出效應(yīng)。為探索解決行業(yè)安全應(yīng)用前沿問(wèn)題，打造AIinSecurity（人工智能賦能安全）最佳本案例集以“人工智能賦能安全，共筑智慧網(wǎng)絡(luò)新未來(lái)”為人工智能特別是隨著5G時(shí)代的全面到來(lái)，在數(shù)字化生活方面，“高速連接+感官智能”將催生人機(jī)交互新應(yīng)用，面，“可靠連接+專用智能”將催生智能制造新業(yè)態(tài)。憑借高可靠、低時(shí)延特征，5G將整合工業(yè)生產(chǎn)各領(lǐng)域20175202015人工智能也成為日韓謀劃新一輪產(chǎn)業(yè)升級(jí)的重要抓手。20165.0戰(zhàn)略，將人工智能作為實(shí)現(xiàn)超智能社會(huì)5.0的核心。同時(shí)，明確提出設(shè)立“人工智能戰(zhàn)略會(huì)議”，通過(guò)產(chǎn)學(xué)官相結(jié)137035020億美元用于人年同發(fā)展。2020727核心的“新基建”戰(zhàn)略。隨著5G網(wǎng)絡(luò)建設(shè)提速，與云、邊、端等基礎(chǔ)設(shè)施協(xié)同，大大降低了人工智能使用ISO/IEC、ITU-T、IEEE等國(guó)際標(biāo)準(zhǔn)組織以及各國(guó)家/區(qū)域標(biāo)準(zhǔn)組織均高度重視了人工智能相關(guān)標(biāo)準(zhǔn)規(guī)ISO/IEC201710月，ISO/IECJTC1SC42，專門負(fù)責(zé)人工智能標(biāo)準(zhǔn)化工作。SC42下詢組（AG2）等。其中主要標(biāo)準(zhǔn)項(xiàng)目包括：ISO/IECTR24027《信息技術(shù)人工智能人工智能系統(tǒng)中的偏差與人工智能輔助決策》、TR24028《信息技術(shù)人工智能人工智能可信度概述》、TR24029-1《人工智能神經(jīng)網(wǎng)絡(luò)魯棒性評(píng)估第1部分：概述》、AWI24029-22部分：形式化方ITU-T一直致力于解決智慧醫(yī)療、智能汽車、垃圾內(nèi)容治理、生物特征識(shí)別等人工智能應(yīng)用中的安全問(wèn)題。2017年和2018年，ITU-T均組織了AIforGoodGlobal峰會(huì)，重點(diǎn)關(guān)注確保人工智能技術(shù)可信、展了人工智能安全相關(guān)標(biāo)準(zhǔn)研制工作，特別是ITU-TSG17已經(jīng)計(jì)劃開展人工智能賦能安全相關(guān)標(biāo)準(zhǔn)化項(xiàng)IEEEIEEEP7000系列等多項(xiàng)人工智能倫理標(biāo)準(zhǔn)和研究2019年8月，NIST發(fā)布了《關(guān)于政府如何制定人工智能技術(shù)標(biāo)準(zhǔn)和相關(guān)工具的指導(dǎo)意見(jiàn)》，概述了多項(xiàng)201949日，歐盟委員會(huì)（EC）“可信任人工智能”應(yīng)當(dāng)滿足的7個(gè)原則：（1）人類的力量和監(jiān)督；（2）技術(shù)的可靠性和安全性；（3）2019627日，GSMA11家產(chǎn)業(yè)伙伴宣布成立AIinNetwork特別工作組，研究人工智能在移動(dòng)網(wǎng)絡(luò)的關(guān)鍵應(yīng)用，共同構(gòu)筑智能自治網(wǎng)絡(luò)時(shí)代。四個(gè)月后，特別工作組完成發(fā)布了《AIinNetwork智202072日，GSMA12AIinSecurity特別工作組，研究人工智能在TC260、中國(guó)國(guó)家標(biāo)準(zhǔn)化管理委員會(huì)于2018年1月正式成立國(guó)家人工智能標(biāo)準(zhǔn)化總體組，承擔(dān)人工智能標(biāo)準(zhǔn)GB/T20979-2019《信息安全技術(shù)虹膜識(shí)別系統(tǒng)技術(shù)要求》、GB/T36651-2018《信息安全技術(shù)基于可信環(huán)境的生物特征識(shí)別身份鑒別協(xié)議》、GB/T37076-2018GB/T38671-2020《智慧家居安全標(biāo)準(zhǔn)方面有《信息安全技術(shù)智能家居安全通用技術(shù)要求》、《信息安全技術(shù)智能門鎖安全技術(shù)要求和測(cè)試評(píng)價(jià)方法》等在研標(biāo)準(zhǔn)；數(shù)據(jù)安全和個(gè)人信息保護(hù)標(biāo)準(zhǔn)方面有GB/T35273-2020《信息安人工智能APTAPT攻擊的高級(jí)僵尸網(wǎng)絡(luò)攻擊者會(huì)配合采用基于社會(huì)工程學(xué)方法的APTDDoSInstagram20198月開始，這家社交媒體巨頭的用戶發(fā)現(xiàn)他們的賬戶信息已被黑客更改，從而無(wú)法登錄。201911月，Instagram代碼中的bug導(dǎo)致數(shù)據(jù)攻擊者采用基于人工智能的工具來(lái)掃描Instagram服務(wù)器漏洞?；谏蓪?duì)抗網(wǎng)絡(luò)（GAN）的新型黑客機(jī)器人——“Deepfake”震驚了整個(gè)互聯(lián)網(wǎng)世界。Deepfake是完全虛為了說(shuō)明Deepfake，我們可以和對(duì)抗樣本之間進(jìn)行比較，后者是旨在對(duì)機(jī)器感知系統(tǒng)本身施加影響的輸入，而Deepfake的目標(biāo)是欺騙人。遺憾的是對(duì)Deepfake監(jiān)測(cè)方法的研究還非常不足，很難進(jìn)行實(shí)用。目前也有些方法通過(guò)人工發(fā)現(xiàn)來(lái)檢測(cè)Deepfake，但技術(shù)進(jìn)步可能很快會(huì)增加人工監(jiān)測(cè)的難度，甚至讓Deepfake多媒體信息變得肉眼難辨。要求。諸如Google發(fā)起的聯(lián)合學(xué)習(xí)之類的分布式學(xué)習(xí)模式已經(jīng)出現(xiàn)，使許多智能終端能夠以協(xié)作方式學(xué)人工智能賦能安全應(yīng)用案基于零信任架構(gòu)的身份認(rèn)【場(chǎng)景描述VPN。不可否認(rèn)傳統(tǒng)的網(wǎng)絡(luò)安全架構(gòu)在過(guò)去發(fā)揮了，網(wǎng)絡(luò)面臨大量新增的IOT設(shè)備及其可穿戴設(shè)備，傳統(tǒng)的用戶管理機(jī)制在開戶，認(rèn)證等方面成本高昂，已5G5G支持多種接入技術(shù)(如4GWLAN接入以及5G接使用戶可以在不同接入網(wǎng)間實(shí)現(xiàn)無(wú)縫切換，5G網(wǎng)絡(luò)亟需采用一種統(tǒng)一的認(rèn)證框架，實(shí)現(xiàn)靈活并且高效地【技術(shù)方案

圖12持續(xù)風(fēng)險(xiǎn)及信任積分評(píng)估模型址、ip地址、用戶id、登錄時(shí)間等等采用了基于人工智能技術(shù)的主成分分析算法（PCA）。圖3圖4【應(yīng)用效果【下一步工作建議信任網(wǎng)絡(luò)的持續(xù)完善和演化，從而推動(dòng)企業(yè)安全重構(gòu)，適應(yīng)現(xiàn)代IT環(huán)境，助力企業(yè)數(shù)字化轉(zhuǎn)型?；诙鄼C(jī)器學(xué)習(xí)模型的惡意代碼智能分【場(chǎng)景描述（暴的WannaCryWindowsSMB【技術(shù)方案

圖 下面以PE圖 基于機(jī)器學(xué)習(xí)的PE二進(jìn)制惡意代碼分析檢測(cè)方首先，將待檢測(cè)的PE二進(jìn)制格式可執(zhí)行代碼在虛擬機(jī)或沙箱中運(yùn)行，監(jiān)控并記錄所產(chǎn)生的系統(tǒng)API調(diào)用序列；然后，對(duì)獲得的API序列進(jìn)行特征工程，也就是使用N元模型、Word2vec模型等方法將API同的模型，分別是基于提升樹的傳統(tǒng)機(jī)器學(xué)習(xí)分類器XGBoost和基于卷積神經(jīng)網(wǎng)絡(luò)的深度學(xué)習(xí)分類器【應(yīng)用效果二進(jìn)制【下一步工作建議一種層次化的機(jī)器學(xué)習(xí)引擎惡意代碼檢【場(chǎng)景描述【技術(shù)方案圖1圖2生成相應(yīng)的Pattern。二、方案優(yōu)點(diǎn)【應(yīng)用效果該方案作為亞信終端防護(hù)產(chǎn)品OSCE2017年勒索軟件WannacryWannacry勒索【下一步工作建議基于機(jī)器學(xué)習(xí)的未知惡意代碼檢【場(chǎng)景描述傳統(tǒng)的APT防護(hù)技術(shù)專注于從企業(yè)客戶自身流量和數(shù)據(jù)中通過(guò)沙箱或關(guān)聯(lián)分析等手段發(fā)現(xiàn)威脅。由于企業(yè)網(wǎng)絡(luò)防護(hù)系統(tǒng)缺少相關(guān)APT征，甚至利用0Day漏洞對(duì)應(yīng)的惡意代碼，直接繞過(guò)傳統(tǒng)文件檢測(cè)手段。意文件檢測(cè)模型，大幅提升對(duì)0Day漏洞惡意文件、免殺惡意文件的檢測(cè)能力。【技術(shù)方案正常樣 惡意樣數(shù)據(jù)挖樣本特加樣本特加特征選特征向加模型測(cè)否否是漏報(bào)樣誤報(bào)樣精度檢提交模通過(guò)對(duì)訓(xùn)練樣本的數(shù)據(jù)挖掘，例如導(dǎo)入API函數(shù)、PE頭部信息、代碼反匯編信息等等進(jìn)行海量數(shù)據(jù)挖掘，找到海量PE文件特征。應(yīng)用特征選取算法，選取最有效的特征，建立特征模型。例如未知未知樣客戶端樣本篩學(xué)習(xí)樣本樣本篩學(xué)習(xí)樣本存儲(chǔ)服務(wù)樣本云存儲(chǔ)中機(jī)器學(xué)習(xí)服務(wù)1秒云鑒

2小時(shí)一輪訓(xùn)云端QVM運(yùn)算服云端QVM運(yùn)算服務(wù)客戶端

鑒定結(jié)2是相當(dāng)重要的，采用SVM作為基本學(xué)習(xí)算法，并設(shè)計(jì)了快速的參數(shù)選擇，和快速訓(xùn)練方法。習(xí)，自我進(jìn)化。目前該引擎學(xué)習(xí)一輪的時(shí)間僅為2小時(shí)。【應(yīng)用效果無(wú)法有效應(yīng)對(duì)0Day漏洞惡意樣本、免殺惡意樣本。而黑客在生成攻擊樣本中采用了自動(dòng)化構(gòu)建免殺惡意【下一步工作建議具備人工智能特性的APT檢測(cè)技術(shù)是新一代安全威脅檢測(cè)的必備方案，能夠?qū)⑵髽I(yè)的防護(hù)水平從引入數(shù)據(jù)增強(qiáng)技術(shù)的智能DGA域名檢【場(chǎng)景描述C&CIP地址硬編碼到惡意程序中，僵尸主機(jī)通過(guò)相關(guān)信息定時(shí)訪問(wèn)C&CC&C服務(wù)器IPC&CC&CDGA算法產(chǎn)生大量備選域名，使得無(wú)法通過(guò)靜態(tài)規(guī)則來(lái)進(jìn)行檢測(cè)，因此基于機(jī)器學(xué)習(xí)的DGA域名檢測(cè)技術(shù)被提出。但是現(xiàn)有的基于機(jī)器學(xué)習(xí)的DGA域名檢測(cè)系統(tǒng)仍存在兩方面的不足：一是用于訓(xùn)練模型的數(shù)據(jù)集針對(duì)以上問(wèn)題，啟明星辰設(shè)計(jì)研發(fā)了一種新的智能DGA域名檢測(cè)系統(tǒng)，通過(guò)引入數(shù)據(jù)增強(qiáng)技術(shù)解決【技術(shù)方案1DGA由開源的DGA算法自動(dòng)生成。數(shù)據(jù)預(yù)處理，包括主域名提取、數(shù)據(jù)清洗等操作。其中數(shù)據(jù)清洗主要是將同屬于正常域名和DGA域出大量新的域名作為補(bǔ)充的正常域名樣本，使得訓(xùn)練數(shù)據(jù)集中正常域名與DGA域名的數(shù)量比例減小，從采用基于注意力機(jī)制的雙向GRU神經(jīng)網(wǎng)絡(luò)模型（結(jié)構(gòu)如下圖），相比于傳統(tǒng)的機(jī)器學(xué)習(xí)模型，這一模型在對(duì)一些DGA算法產(chǎn)生的低隨機(jī)性域名檢測(cè)上有更好的表現(xiàn)。同時(shí)，為了進(jìn)一步提高模型的泛化能力，在模型訓(xùn)練構(gòu)建中應(yīng)用多種技術(shù)，包括在訓(xùn)練前使用Word2vec得到每個(gè)字母對(duì)應(yīng)的詞向量作為嵌入層的輸入、加入Dropout防止過(guò)擬合等。2GRU通信方式（RESTfulAPI）將待檢測(cè)數(shù)據(jù)發(fā)送至后臺(tái)服務(wù)，模型對(duì)接收到的數(shù)據(jù)進(jìn)行預(yù)測(cè)并返回結(jié)果?！緫?yīng)用效果在實(shí)驗(yàn)測(cè)試環(huán)境下，使用約100DGA檢測(cè)系統(tǒng)，誤報(bào)率從4.2%降低到0.5%，漏報(bào)率從3.2%降低到0.3%，從而大大降低了誤報(bào)率和漏報(bào)率?！鞠乱徊焦ぷ鹘ㄗh兼容拼音域名的多層自適應(yīng)DGA域名檢測(cè)方【場(chǎng)景描述CCPdoan（doangeneanagoh）PCC針對(duì)以上問(wèn)題：本方案提供的檢測(cè)算法是針對(duì)DGA域名的多樣性、多語(yǔ)言性的一套靜態(tài)特征的組合N-gramDGA域名，LSTMDGA域名，拼音特征和【技術(shù)方案圖1其中，DGA域名檢測(cè)系統(tǒng)的技術(shù)模型如下圖所示：圖2DGA域名檢測(cè)系統(tǒng)的技術(shù)模型本方案針對(duì)不同的DGA家族生成機(jī)制，設(shè)計(jì)了不同的特征提取方法：包括長(zhǎng)度、信息熵，針對(duì)隨機(jī)DGAn-gramDGA域名提取的語(yǔ)言模型概率特征，還有針對(duì)中DGAN-gram模型針對(duì)隨機(jī)DGA域名，LSTMDGA域名，拼音特征和拼音加強(qiáng)數(shù)據(jù)集是針對(duì)中文語(yǔ)境下的加強(qiáng)，再綜合相應(yīng)的特征指標(biāo)和模型判定，得到最終分析結(jié)果。該方案對(duì)多語(yǔ)言，變化多樣的DGA域名有較強(qiáng)的覆蓋能力，相比于基礎(chǔ)模型，對(duì)單詞組合型DGA域名檢出的準(zhǔn)確率有較大提升，而誤報(bào)率，進(jìn)行替換。線上過(guò)濾判定流程則依據(jù)N-gram，LSTM模型等對(duì)可疑域名進(jìn)行綜合判定。【應(yīng)用效果Maldium引擎，性能可達(dá)到數(shù)千QPSDGA域名約占總域名數(shù)的3%?！鞠乱徊焦ぷ鹘ㄗh針對(duì)DGA隱蔽域名的人工智能發(fā)現(xiàn)機(jī)【場(chǎng)景描述過(guò)命令控制信道（C&CChannel）實(shí)現(xiàn)。在早期中心結(jié)構(gòu)的僵尸網(wǎng)絡(luò)中，僵尸主機(jī)通常采用輪詢的方法訪問(wèn)靜態(tài)硬編碼C&C域名或IP來(lái)訪問(wèn)命令控制服務(wù)器，獲取攻擊者命令，由于硬編碼的域名或IP固定且數(shù)量有限，安全防護(hù)人員通過(guò)逆向分析木馬文件的樣本即可掌握這部分域名和IP地址，利用威脅情報(bào)手IPC&CIP地址不可訪問(wèn)的，控制者就失去了對(duì)整個(gè)僵尸網(wǎng)絡(luò)的控制能力，因此C&C是僵尸網(wǎng)絡(luò)構(gòu)建的核心，也是攻防雙方博弈的關(guān)DomainFlux協(xié)議來(lái)對(duì)抗防御人員的域名屏蔽，僵尸主機(jī)訪問(wèn)的C&C域名不再是靜態(tài)硬編碼，而是根據(jù)一定算法動(dòng)態(tài)生成的、變化的域名，該域名生成算法稱數(shù)或字典。對(duì)安全防護(hù)人員來(lái)說(shuō)，DGA識(shí)別有著重要的安全應(yīng)用價(jià)值。【技術(shù)方案奇安信在APTDGA基于流量的方法，主要針對(duì)于DGA算法，通常表現(xiàn)為生成海量域名，但其中只有少部分可被正常訪問(wèn)的特點(diǎn)，進(jìn)行構(gòu)建。如通過(guò)分析反復(fù)出現(xiàn)的“動(dòng)態(tài)”的應(yīng)答為NXdomain的DNS請(qǐng)求，實(shí)現(xiàn)DGA域名ISP環(huán)境下的大規(guī)模流量進(jìn)行很好的方數(shù)據(jù)，來(lái)完成DGA域名的檢測(cè)任務(wù)。如基于分類、回歸等算法，均可高效準(zhǔn)確的判別一個(gè)域名是不是云云平更提輸輸告DGA流量/DGALSTM神經(jīng)網(wǎng)DGA3DGADGA檢測(cè)模型從云端下發(fā)至部署在各處的APT名前100萬(wàn)域名與奇安信積累的DGA域名。在算法特征處理階段主要模擬了網(wǎng)絡(luò)安全專家人工判斷DGA時(shí)的“直覺(jué)”進(jìn)行設(shè)計(jì)，如域名的隨機(jī)終實(shí)現(xiàn)DGA域名的高效準(zhǔn)確識(shí)別。1各種人工智能算法在DGA計(jì)算方檢測(cè)效隨機(jī)森經(jīng)典隨機(jī)森林分類結(jié)果按分類樹投票多少形成的分?jǐn)?shù)而定計(jì)后選擇最可能的分馬爾科在DGA檢測(cè)中，馬爾科夫鏈主要應(yīng)用于域名在n-gram切后的n-gram常見(jiàn)性計(jì)算上，尋找發(fā)現(xiàn)可疑域名深度學(xué)深度學(xué)習(xí)即深度神經(jīng)網(wǎng)絡(luò)，在此主要應(yīng)用的方法為RNN，以及廣泛應(yīng)用。其算法特點(diǎn)也與DGA判別任務(wù)極為契合。k近鄰分類(KNN)法基于KNN算法，通過(guò)調(diào)整各特征維度權(quán)重，在特征空間區(qū)將正常域名與DGA區(qū)分下，可實(shí)現(xiàn)對(duì)于新域名的有效劃分完成DGA識(shí)別【應(yīng)用效果傳輸，DGA域名由于具有無(wú)法提前獲取、與正常域名難與區(qū)分的特點(diǎn)，被黑客廣泛用于入侵后的遠(yuǎn)程控制DGADNS查詢【下一步工作建議具備人工智能特性的APT檢測(cè)技術(shù)是新一代安全威脅檢測(cè)的必備方案，能夠?qū)⑵髽I(yè)的防護(hù)水平從Webshell通信流量智能檢測(cè)與規(guī)則自動(dòng)【場(chǎng)景描述WebshellPHP、JSP、ASP等網(wǎng)頁(yè)文件形式存在的一種命令執(zhí)行環(huán)境，也被稱為網(wǎng)絡(luò)后門。通常瀏覽器訪問(wèn)的方式實(shí)現(xiàn)對(duì)網(wǎng)站服務(wù)器的控制及數(shù)據(jù)的竊取。傳統(tǒng)的基于網(wǎng)絡(luò)流量的WebShell檢測(cè)方法主繞過(guò)檢測(cè)。另一方面，Webshell的種類繁多且不斷出現(xiàn)新型Webshell，對(duì)其進(jìn)行人工分析以提取特征費(fèi)時(shí)策樹模型，實(shí)現(xiàn)精準(zhǔn)的Webshell檢測(cè)，并可通過(guò)模型自動(dòng)提取檢測(cè)規(guī)則，應(yīng)用于傳統(tǒng)檢測(cè)引擎中?！炯夹g(shù)方案Webshell圖Webshell的分類器，2【應(yīng)用效果100Webshell樣本（WebshellWebshell管理工具）100多萬(wàn)條網(wǎng)絡(luò)通信的HTTP報(bào)文，構(gòu)建的決策樹模型在十折交叉驗(yàn)99.9%的檢測(cè)準(zhǔn)確率。對(duì)從決策樹模型中自動(dòng)提取的檢測(cè)規(guī)則進(jìn)行歸并與篩選，得到在驗(yàn)證數(shù)據(jù)集上無(wú)誤報(bào)的檢測(cè)規(guī)則100余條，可選用于補(bǔ)充傳統(tǒng)檢測(cè)引擎的規(guī)則庫(kù)。【下一步工作建議持續(xù)收集新的Webshell樣本，采集更豐富的通信流量，以構(gòu)建更細(xì)粒度的檢測(cè)分類模型，實(shí)現(xiàn)對(duì)具體Webshell類型的準(zhǔn)確識(shí)別，為攻擊同源性分析提供情報(bào)信息。另外，可將本方案中的自動(dòng)分析惡意樣本、基于人工智能的自動(dòng)化響應(yīng)與處【場(chǎng)景傳統(tǒng)SIEM存在告警過(guò)多，客戶關(guān)注的、有效的告警被淹沒(méi)，無(wú)法對(duì)安全運(yùn)維及研判人員起到有效的【技術(shù)方案圖1研判：在SOAR系統(tǒng)中，支持網(wǎng)絡(luò)層面的取證，包括威脅情報(bào)取證、流量取證、主機(jī)取證；同時(shí)根據(jù)預(yù)判引擎推送的事件與案例關(guān)系信息，需要自動(dòng)化處置的事件推送至SOAR引擎，同時(shí)會(huì)記錄soar引擎處置的結(jié)果，在運(yùn)維事件中做集中展示。SOAR一些指標(biāo)進(jìn)行全局展示，將不同運(yùn)維指標(biāo)進(jìn)行量化。2【應(yīng)用效果該項(xiàng)系統(tǒng)在部分運(yùn)營(yíng)商已投入使用，助力運(yùn)營(yíng)商實(shí)現(xiàn)了基于SOAR的自動(dòng)化安全運(yùn)營(yíng)處置，從監(jiān)測(cè)-7*24MTTR分析、10208030203052050聯(lián)動(dòng)處置設(shè)備自動(dòng)IP40登錄設(shè)備進(jìn)行1540郵件通知相關(guān)203小時(shí)203【下一步工作建議1SOARSOAR處基于UEBA技術(shù)的用戶異常行為監(jiān)【場(chǎng)景描述包括傳統(tǒng)SIEMSIEM并不具備足夠的分析嚴(yán)謹(jǐn)性，會(huì)產(chǎn)生大SIEMSIEM系統(tǒng)有限的分析和查詢能力感到絕望。今天的調(diào)查要求工具擁有足夠的靈活性和功能性，需要能結(jié)合AI算法，對(duì)各式各樣的安恒AiThinkUEBA技術(shù)（UserandEntityBehavioursAnalytics），是已知威脅檢測(cè)（IDS、IPS、NGIDS、NGIPS、FW、NGFW等）的已知規(guī)則來(lái)做檢測(cè)，檢測(cè)引擎里內(nèi)UseCase①：賬號(hào)盜用用了，黑客通過(guò)VPN等通道接入內(nèi)網(wǎng)，并且將數(shù)據(jù)偷盜到公司外。UEBA通過(guò)接入的防火墻、IDSIPS等檢測(cè)設(shè)備日志，發(fā)現(xiàn)用戶使用從未使用過(guò)的外部地址，即源用戶A疑似被賬號(hào)盜用。圖1數(shù)據(jù)庫(kù)SQLUseCase②：APTAPT攻擊，即高級(jí)可持續(xù)威脅攻擊，指某組織對(duì)特定對(duì)象展開的持續(xù)有效的攻擊活動(dòng)。這種攻擊活動(dòng)務(wù)信息，攻擊者通過(guò)偽造useragent500多個(gè)的c段ip，實(shí)現(xiàn)多源低頻的爬取信從請(qǐng)求數(shù)、GET請(qǐng)求數(shù)占比、HTML請(qǐng)求占比標(biāo)準(zhǔn)差、平均請(qǐng)求發(fā)送字節(jié)數(shù)等角度，使用UEBA技析的時(shí)間軸，往往可以找到攻擊團(tuán)伙深層次的異常行為。采用潛伏型異常檢測(cè)算法，UEBA通過(guò)長(zhǎng)時(shí)間軸圖2【技術(shù)方案AiThink采用多種人工智能算法，通過(guò)與過(guò)去的行為基線或同行群體進(jìn)行對(duì)比，以查看用戶或資產(chǎn)行“風(fēng)險(xiǎn)分?jǐn)?shù)”而不是告警的方式，

3AiThinkAiThinkUEBA技術(shù)，把安全運(yùn)維從事件管理轉(zhuǎn)換到用戶、實(shí)體風(fēng)險(xiǎn)，極大的降低工作量、提迭代評(píng)估機(jī)制。風(fēng)險(xiǎn)評(píng)分的好壞，會(huì)直接影響到AiThink實(shí)施的成效，直接影響到安全運(yùn)營(yíng)的效率。

圖4AiThink學(xué)習(xí)技術(shù)（ActiveLearning）、自學(xué)習(xí)（SelfLearning），充分發(fā)掘標(biāo)記數(shù)據(jù)和無(wú)標(biāo)記數(shù)據(jù)的價(jià)值。這部分圖5

圖6知識(shí)圖譜已經(jīng)成為人工智能領(lǐng)域的熱門領(lǐng)域，在網(wǎng)絡(luò)安全中也有巨大的應(yīng)用潛力。安恒AiThink支持圖7【應(yīng)用效果AiThink可以用于行為分析覆蓋的多個(gè)應(yīng)用領(lǐng)域，可以幫助用戶應(yīng)對(duì)內(nèi)部威脅、賬號(hào)失陷、惡意內(nèi)部63PB，日增原始連、VPN賬號(hào)共享和離職員工賬號(hào)未清除等?！鞠乱徊焦ぷ鹘ㄗh（Modern系統(tǒng)，或嵌入U(xiǎn)EBA功能的其他工具。SIEM在分析方面變得更好，可以提供更復(fù)雜的用例，同時(shí)，數(shù)據(jù)庫(kù)安全訪【場(chǎng)景描述1括但不限于HTTP、POP/POP3、SMTP、TELNET、FTP等。審計(jì)產(chǎn)品通過(guò)DPI技術(shù)對(duì)各種數(shù)據(jù)庫(kù)通訊協(xié)議進(jìn)行分析，以還原通訊包中的通訊協(xié)議結(jié)構(gòu)，繼而準(zhǔn)確過(guò)http協(xié)議與數(shù)據(jù)庫(kù)協(xié)議進(jìn)行關(guān)聯(lián)，實(shí)現(xiàn)100%的應(yīng)用關(guān)聯(lián)審計(jì)。AI建模/用戶行為分析（UEBAUseCaseAiThinkAiThink可以基于動(dòng)態(tài)基線，結(jié)合每個(gè)人的操作歷史行為、登錄地等特征，再結(jié)合歷史操作的量來(lái)對(duì)今日?qǐng)D2UseCase②：SQLSQLSQL比較典型的應(yīng)用場(chǎng)景：SQLAiThink在行為模型中發(fā)現(xiàn)業(yè)務(wù)系統(tǒng)應(yīng)用請(qǐng)求中出現(xiàn)了新的語(yǔ)句，產(chǎn)生疑似非法操作的告警，從根本上解決SQL注入的風(fēng)險(xiǎn)。3UseCaseA通常傾向于登錄固OA系統(tǒng)的服務(wù)進(jìn)行數(shù)據(jù)訪問(wèn)，兩者使用ADBA管理員組群體行為不同，則可能用戶A存在異常。AiThink通過(guò)Kmeans聚類算法根據(jù)用戶行為數(shù)據(jù)的特征矩陣對(duì)用戶劃分對(duì)等組，行為模式類似的人PeerGroupAnalysis進(jìn)行異常行為識(shí)別。異常用戶一般占少數(shù)，可以通過(guò)對(duì)大部分用戶的行為進(jìn)圖4UseCase例如某表對(duì)象出現(xiàn)了新的訪問(wèn)類型（如經(jīng)常SELECT的表對(duì)象突然出現(xiàn)了UPDATE的操作行為），戶的資料，一旦通過(guò)便自動(dòng)將資金轉(zhuǎn)到客戶指定的銀行賬戶，并設(shè)置了轉(zhuǎn)款限額為3萬(wàn)元。AB某團(tuán)伙作案，A某負(fù)責(zé)操作電腦攻破公司網(wǎng)站安全防護(hù)并修改賬戶，然后將其網(wǎng)站內(nèi)的資金盜轉(zhuǎn)出來(lái)，B某負(fù)責(zé)提供黑卡并洗錢。人一共盜轉(zhuǎn)了320多萬(wàn)。AiThinkupdate操作（正常情況下新增購(gòu)物記錄積累積分，該客戶積分?jǐn)?shù)據(jù)表都是insert的方式插入數(shù)據(jù)行來(lái)增加積分），A某為了方便操作，直接對(duì)update積分值操作，即表對(duì)象出現(xiàn)了新的訪問(wèn)類型，AiThink對(duì)敏感表的監(jiān)控發(fā)【技術(shù)方案AiThink數(shù)據(jù)庫(kù)訪問(wèn)安全解決方案，能夠?qū)M(jìn)出核心數(shù)據(jù)庫(kù)的訪問(wèn)流量進(jìn)行數(shù)據(jù)報(bào)文字段級(jí)的解析操?gòu)目蛻舻臅r(shí)間維度來(lái)看，數(shù)據(jù)庫(kù)的訪問(wèn)是有規(guī)律的，客戶的業(yè)務(wù)時(shí)間也是有規(guī)律的。AiThink可以根

圖5AThik獲得企業(yè)范圍內(nèi)所有數(shù)據(jù)庫(kù)事務(wù)的可見(jiàn)性，包括本地特權(quán)用戶訪問(wèn)和服務(wù)賬戶活動(dòng)。AiThink數(shù)據(jù)庫(kù)6包含DB賬號(hào)和數(shù)據(jù)庫(kù)等近30種的數(shù)據(jù)源和風(fēng)險(xiǎn)類型視角，便于用戶全方位洞察系統(tǒng)安全情況，精借助AiThink，可以針對(duì)特權(quán)賬號(hào)添加關(guān)注，為審計(jì)和取證做好全面準(zhǔn)備。單的語(yǔ)言解釋緊急事件。您不必是數(shù)據(jù)庫(kù)專家就可以進(jìn)行成功的調(diào)查。AiThink提供的用戶與數(shù)據(jù)庫(kù)風(fēng)險(xiǎn)1330+UEBA7【應(yīng)用效果【下一步工作建議數(shù)據(jù)的安全不僅需要如上述提及的基于UEBA級(jí)分類、脫敏、加密、水印和DLP等多角度全方位進(jìn)行數(shù)據(jù)安全保障。5G網(wǎng)絡(luò)終端異常檢【場(chǎng)景化、大數(shù)據(jù)、IoT等業(yè)務(wù)的發(fā)展，被管對(duì)象成指數(shù)級(jí)增加，對(duì)于海量的監(jiān)控指標(biāo)，需要有更加智能化的異華為5G網(wǎng)絡(luò)終端異常檢測(cè)方案可支持以下場(chǎng)景的異常檢測(cè)功能：【技術(shù)方案準(zhǔn)判定異常UE和惡意UE，并且可以提供閉環(huán)處置的手段，整個(gè)流程如下圖所示：圖15GUEUEUEUEUE的UE行為向量模型，就可以發(fā)現(xiàn)異常UE的群體集，如下圖所示圖 UE行為基線學(xué)習(xí)和對(duì)比分析方式示意5G安全檢測(cè)引擎可收集大量實(shí)時(shí)數(shù)據(jù)或者離線數(shù)據(jù)，提取關(guān)鍵特征作為正常業(yè)務(wù)的行為模型，并作入5G安全檢測(cè)引擎。5G安全檢測(cè)引擎可以從實(shí)時(shí)數(shù)據(jù)源中提取當(dāng)前時(shí)刻的行為向量，通過(guò)與已知的正常向量和異常向量對(duì)比，判定是否有異常群體UE。圖3網(wǎng)元異常檢測(cè)流程示意圖僅僅憑借單維度信令面人工智能分析，在模型積累初期可能會(huì)遇到檢測(cè)率不準(zhǔn)的情況，5G安全檢測(cè)UE的IMSI，可供威脅閉環(huán)處理。圖4【應(yīng)用效果對(duì)于異常/惡意UE對(duì)于異常/惡意UE對(duì)于異常/惡意UE對(duì)于異常/惡意UE外聯(lián)通道在Gi5G智能安全檢測(cè)引擎，可以通過(guò)人工智能和機(jī)器學(xué)習(xí)等技術(shù)的幫助，發(fā)現(xiàn)人力無(wú)法感知的異常行為【下一步工作建議5G網(wǎng)絡(luò)的大規(guī)模部署，5G5G網(wǎng)絡(luò)安全基于實(shí)體命名識(shí)別技術(shù)構(gòu)建漏洞知識(shí)圖【場(chǎng)景描述國(guó)政府維護(hù)的NVD（NationalVulnerabilityDatabase）和中國(guó)的CNNVD（ChinaNationalVulnerabilityDatabaseofInformationSecurity）。但單個(gè)的漏洞報(bào)告信息是零碎的，片面的。對(duì)此我們可以利用人工智

圖1的邊。用戶可以從某一個(gè)實(shí)體出發(fā)，例如某一個(gè)APT組織，便可得知該組織慣用的攻擊模式和攻擊工在此基礎(chǔ)上，我們還可以利用缺陷/CAPEC和ATT&CK、勒索事件、挖礦事件、數(shù)據(jù)外泄和釣魚事件等，以及進(jìn)行新知識(shí)的推演，包括屬性推演和【技術(shù)方案NLP中的命名實(shí)體識(shí)別（NamedEntityRecognition，NER）任務(wù)完成實(shí)體的提取。整體系統(tǒng)架構(gòu)如下圖所示：2NVD-NER通過(guò)輸入半結(jié)構(gòu)化的NVD數(shù)據(jù)及其他相關(guān)威脅情報(bào)，利用實(shí)體識(shí)別算法和角色檢測(cè)提取其中的實(shí)體隱患/弱點(diǎn)：在漏洞場(chǎng)景中表現(xiàn)為系統(tǒng)的缺陷，漏洞的類型等，可參考CWE。其中，NER的技術(shù)模型如下圖所示：圖3NVD-NER首先基于BERTNERspacy工具的基礎(chǔ)自然語(yǔ)言箱、原始流量和外部數(shù)據(jù)直接得到的關(guān)系對(duì)，例如，文件訪問(wèn)域名，域名解析IP，文件訪問(wèn)IP等。包括概念、實(shí)體、屬性的定義以及知識(shí)關(guān)系的定義。研究中依據(jù)STIX2.0以及領(lǐng)域?qū)＜抑R(shí)，構(gòu)建三層安圖4【應(yīng)用效果通過(guò)威脅圖譜提升了對(duì)APT50%【下一步工作建議持續(xù)利用威脅圖譜進(jìn)行APT威脅樣本篩選、標(biāo)注與相似樣本自動(dòng)識(shí)【場(chǎng)景描述以自建或者使用肉雞構(gòu)建郵件服務(wù)器，只需要得知單位/的系統(tǒng)。該系統(tǒng)通過(guò)使用不同來(lái)源的數(shù)據(jù)和不同維度的算法，能夠篩選出APT組織投放的高價(jià)值樣本?！炯夹g(shù)方案概述12特征會(huì)在后續(xù)的黑白識(shí)別、特殊性識(shí)別與類APT識(shí)別中分別投入到不同的機(jī)器學(xué)習(xí)模型進(jìn)行分析判斷。出高價(jià)值樣本/類APT組織樣本以及標(biāo)定了組織、類別、家族的樣本?！緫?yīng)用效果本系統(tǒng)架設(shè)在公司內(nèi)部，每天處理近50萬(wàn)樣本，能從中快速識(shí)別并推薦已知APT攻擊組織的樣本并【下一步工作建議此外，機(jī)器學(xué)習(xí)在鑒別黑白與在黑樣本中尋找類APT基于威脅情報(bào)的多維惡意域名自學(xué)習(xí)檢【場(chǎng)景描述【技術(shù)方案最終決策檢測(cè)算法模主訓(xùn)數(shù)據(jù)持?jǐn)?shù)據(jù)持久化模數(shù)據(jù)持久化模數(shù)據(jù)持久化模數(shù)據(jù)分析服數(shù)據(jù)分析服務(wù)節(jié)點(diǎn)節(jié)點(diǎn)節(jié)點(diǎn)DNS數(shù)據(jù)采集解析模DNS數(shù)據(jù)采集解析模DNS數(shù)據(jù)采集解析模黑白名單過(guò)濾模黑白名單過(guò)濾模黑白名單過(guò)濾模Master高惡意域名識(shí)別的效率與準(zhǔn)確率。從域名名稱、域名對(duì)應(yīng)多個(gè)IP、IP對(duì)應(yīng)多個(gè)域名、TTL特征、MX/NX【應(yīng)用效果【下一步工作建議基于人工智能的惡意軟件攻擊態(tài)勢(shì)感知系【場(chǎng)景描述惡意軟件，利用0Day漏洞發(fā)起攻擊。傳統(tǒng)基于特征的檢測(cè)手段從有效性、時(shí)效性角度來(lái)看都不足以進(jìn)行程度和影響態(tài)勢(shì)預(yù)測(cè)，為安全設(shè)備進(jìn)行防護(hù)提供重要依據(jù)，保障IT、OT等各種信息化網(wǎng)絡(luò)安全。【技術(shù)方案

圖1TopN惡意軟件及爆發(fā)趨勢(shì)進(jìn)行預(yù)測(cè)與呈現(xiàn)，同時(shí)支持對(duì)具體惡圖2NLP0 0 9101112133感知。例如圖4中展示的樣例，為外部163郵箱攜帶并投放的命名為產(chǎn)品相關(guān)介紹word附件，檢出該附4【應(yīng)用效果2016年起，在金融、電信、政府機(jī)構(gòu)等選取試點(diǎn)啟動(dòng)上線應(yīng)用，應(yīng)用期間在不斷提升惡意軟應(yīng)。例如：2016年全球勒索軟件爆發(fā)年，第一時(shí)間發(fā)現(xiàn)全球最新勒索軟件事件及其變種，預(yù)測(cè)影響范圍，預(yù)警應(yīng)用單位保障了信息安全，避免了大規(guī)模攻擊后果；發(fā)現(xiàn)針對(duì)世界500強(qiáng)企業(yè)高管的定向攻擊事件；發(fā)現(xiàn)針對(duì)電信企業(yè)地域性定向攻擊事件；進(jìn)行內(nèi)外部追溯與態(tài)勢(shì)分析，協(xié)助WannaCry大范圍攻擊事件的應(yīng)急響應(yīng)，并持續(xù)發(fā)現(xiàn)WannaCry2019勒索病毒GandCrab5.2最新變種。本方案極大提升【下一步工作建議智能大數(shù)據(jù)分析及態(tài)勢(shì)感【場(chǎng)景描述【技術(shù)方案圖1SecSight基于匯聚多源數(shù)據(jù)的優(yōu)勢(shì)，通過(guò)數(shù)據(jù)融合手段，構(gòu)建IT基礎(chǔ)資產(chǎn)數(shù)據(jù)中心。

圖2站在企業(yè)整體安全視角綜合分析安全事件數(shù)據(jù)，實(shí)時(shí)輸出更精準(zhǔn)、更可信的安全告警，并基于基礎(chǔ)IT數(shù)圖3由于安全風(fēng)險(xiǎn)管控最重要的核心繞不開企業(yè)資產(chǎn)，所以基于資產(chǎn)視角的安全威脅分析態(tài)勢(shì)是SecSight圖4圖5一鍵應(yīng)急處置場(chǎng)景及流程【應(yīng)用效果【下一步工作建議多智能分析引擎的態(tài)勢(shì)感【場(chǎng)景描述【技術(shù)方案圖12、能力組件層，為業(yè)務(wù)功能提供能力特性支持，包含行為與威脅分析子系統(tǒng)、資產(chǎn)運(yùn)維子系統(tǒng)、脆3、最上層是業(yè)務(wù)功能層，主要包括全景態(tài)勢(shì)、運(yùn)維響應(yīng)、威脅管理、脆弱性管理、環(huán)境感知、威脅NetFlow機(jī)器學(xué)習(xí)引擎：經(jīng)由分析Netflow收集到的資訊，網(wǎng)絡(luò)管理人員可以知道封包的來(lái)源及目的地，網(wǎng)絡(luò)服務(wù)的種類，以及造成網(wǎng)絡(luò)壅塞的原因。綠盟安全分析研究人員將NetFlow數(shù)據(jù)用圖2【應(yīng)用效果全運(yùn)維的主要手段，并實(shí)現(xiàn)多次0重大安全事故?！鞠乱徊焦ぷ鹘ㄗh騷擾電話機(jī)器人自動(dòng)應(yīng)答技術(shù)應(yīng)用與實(shí)【案例簡(jiǎn)介【場(chǎng)景描述業(yè)營(yíng)銷騷擾電話等進(jìn)行實(shí)時(shí)攔截，保障用戶合法權(quán)益。201931488【技術(shù)方案1，通過(guò)在現(xiàn)有高頻騷擾電話防護(hù)平臺(tái)引入媒體處理模塊，實(shí)現(xiàn)機(jī)器人自動(dòng)應(yīng)答。對(duì)于未啟用人12機(jī)器人自動(dòng)應(yīng)答網(wǎng)絡(luò)架構(gòu)3語(yǔ)言理語(yǔ)言理狀態(tài)追4NLP3圖5【應(yīng)用效果201911月啟動(dòng)試點(diǎn)流程，20203月在現(xiàn)網(wǎng)升級(jí)上線，自動(dòng)應(yīng)答內(nèi)部試點(diǎn)攔截代接占比7.5%，個(gè)人黑名單攔截代接占比3.0%。經(jīng)數(shù)據(jù)分析和用戶回訪，試點(diǎn)情況整體良好。圖6。圖 【下一步工作建議人工智能反欺詐系【場(chǎng)景描述【技術(shù)方案中國(guó)聯(lián)通搭建了基于AcumosAI的人工智能反欺詐模型孵化實(shí)驗(yàn)平臺(tái)。該平臺(tái)可為開發(fā)人員提供方便1路線：對(duì)B域的語(yǔ)音、短信、上網(wǎng)記錄話單以及合作方的交換數(shù)據(jù)進(jìn)行分析建模，孵化各類欺詐識(shí)別對(duì)模型；將模型輸入現(xiàn)網(wǎng)數(shù)據(jù)中心，建立信息通信欺詐號(hào)碼庫(kù)；通過(guò)短信、電話、客戶端、USSD等多種圖2將模型輸入至人工智能微服務(wù)平臺(tái)（基于Acumos），形成人工智能微服務(wù)的一整套閉環(huán)能力，【應(yīng)用效果模型”與“基于實(shí)時(shí)數(shù)據(jù)的RNN模型”?？蓪?shí)時(shí)優(yōu)化、動(dòng)態(tài)調(diào)整模型并進(jìn)行對(duì)抗識(shí)別，可自學(xué)習(xí)參數(shù)，識(shí)別經(jīng)實(shí)驗(yàn)驗(yàn)證，從傳統(tǒng)機(jī)器學(xué)習(xí)方式的70%的預(yù)測(cè)率提升至88%左右，并根據(jù)多層算法不斷優(yōu)化準(zhǔn)確率至意養(yǎng)卡號(hào)碼4G用戶10萬(wàn)個(gè)、2/3G用戶13萬(wàn)個(gè)。4004005【下一步工作建議后續(xù)研制基于CNN卷積神經(jīng)網(wǎng)絡(luò)、GCN圖卷積神經(jīng)網(wǎng)絡(luò)的基因圖譜識(shí)別模型，可更有效把控定基于人工智能的詐騙網(wǎng)站識(shí)別方【場(chǎng)景描述3602019針對(duì)以上嚴(yán)峻形勢(shì)，中國(guó)移動(dòng)積極踐行企業(yè)社會(huì)責(zé)任，利用自身創(chuàng)新和研發(fā)能力，基于“主【技術(shù)方案圖11圖22圖3

圖4正常的域名信息會(huì)反哺給域名發(fā)現(xiàn)與拓展模塊和內(nèi)容分析取證模塊中的相關(guān)人工智能模塊進(jìn)行更新和矯正。圖5【應(yīng)用效果20197200【下一步工作建議金蹤移動(dòng)互聯(lián)網(wǎng)APP病毒檢測(cè)引【場(chǎng)景描述“曝光了50多款安卓手機(jī)軟件可能在用戶不知情的情況下，偷偷閱讀并上傳用戶短信內(nèi)容，包括網(wǎng)絡(luò)交易【技術(shù)方案APPAPP靜態(tài)分析引擎提取靜態(tài)特征，和動(dòng)態(tài)沙箱提取動(dòng)態(tài)55個(gè)行為特征、415384個(gè)權(quán)限特征45877APP運(yùn)行中的隱私行為、網(wǎng)絡(luò)行為、文件操作、短信操黑黑/SampleK-Sample文文件大so文件名敏感敏感權(quán)1的問(wèn)題。為了解決這一問(wèn)題，金蹤移動(dòng)互聯(lián)網(wǎng)APP病毒檢測(cè)引擎引入模型自更新功能，基于本引擎和第【應(yīng)用效果以2020年上半年為例，恒安嘉新智能創(chuàng)新安全研究院暗影實(shí)驗(yàn)室利用大數(shù)據(jù)輿情監(jiān)測(cè)、移動(dòng)互聯(lián)網(wǎng)惡意程序平臺(tái)、APP全景態(tài)勢(shì)與案件情報(bào)溯源挖掘系統(tǒng)等技術(shù)手段，對(duì)金蹤移動(dòng)互聯(lián)網(wǎng)APP病毒檢測(cè)引1,485,119個(gè)（MD5值去重）流氓行為1145382（占總數(shù)的誘騙欺詐167,708個(gè)（占總數(shù)的資費(fèi)消耗97,647個(gè)（占總數(shù)的系統(tǒng)破壞42,400個(gè)（占總數(shù)的惡意扣費(fèi)16,161個(gè)（占總數(shù)的信息竊取14,282個(gè)（占總數(shù)的遠(yuǎn)程控制1340個(gè)（占總數(shù)的惡意傳播255個(gè)（占總數(shù)的【下一步工作建議手機(jī)軟件對(duì)抗沙箱環(huán)境的應(yīng)對(duì)機(jī)制，增加對(duì)3D渲染等新技術(shù)的支持，并提高沙箱運(yùn)行的效率。算法優(yōu)化：嘗試使用LightGBM和深度學(xué)習(xí)領(lǐng)域最新的人工智能算法，提高單一模型的各項(xiàng)指標(biāo)。嘗基于人工智能與機(jī)器視覺(jué)的視頻行為分【場(chǎng)景描述23千多個(gè)。在機(jī)房的物理安防方【技術(shù)方案概述1系統(tǒng)的實(shí)施內(nèi)容包括了在機(jī)房出入口、主要通道部署高清攝像機(jī)；打通內(nèi)部HR系統(tǒng)，實(shí)現(xiàn)人臉數(shù)據(jù)2圖3運(yùn)用4基于SDD圖5基于MobileNet輕量輕分類網(wǎng)絡(luò)判斷是否戴口罩的測(cè)試效果圖6

圖77【應(yīng)用效果4個(gè)方面的需求。人工智能技術(shù)大幅提升了疫情時(shí)代的人員精確識(shí)別難【下一步工作建議數(shù)據(jù)分級(jí)分【場(chǎng)景描述據(jù)的敏感性，加之各行業(yè)數(shù)據(jù)分類分級(jí)標(biāo)準(zhǔn)的滯后和缺失，使數(shù)據(jù)開放和共享面臨諸多困難。通過(guò)AI算1UseCase1UseCase2AiGuard能夠充分掃描出數(shù)據(jù)庫(kù)系統(tǒng)的安全漏洞和威脅并提供智能的修復(fù)建議，通過(guò)對(duì)數(shù)據(jù)庫(kù)進(jìn)行全圖2AIUseCase4：權(quán)限最小化/種疾病感興趣，進(jìn)而查詢和閱讀非授權(quán)病歷，DBA會(huì)因?yàn)榈K于情面幫助朋友查詢他人隱私數(shù)據(jù)。mobileL2usernameL1，L2mobile字段。這樣在公司各個(gè)部門需要訪問(wèn)注冊(cè)用戶基username的需求。圖3UseCase5圖4UseCase6圖5UseCase7UseCase8UseCase9數(shù)據(jù)資源面向社會(huì)開放的屬性，包括“是”和“否”，對(duì)應(yīng)取值分別為1和0圖6【技術(shù)方案

圖7規(guī)則（規(guī)則ID），識(shí)別到特定字段，結(jié)合分級(jí)分類包詳情，給出推薦的分級(jí)分類列表。

圖88，根據(jù)規(guī)則與分級(jí)分類包可能給出數(shù)據(jù)類別有多個(gè)；此時(shí)，需要使用AprioriFP-growth關(guān)聯(lián)【應(yīng)用效果準(zhǔn)確率達(dá)84%，分類推薦準(zhǔn)確率達(dá)71%。【下一步工作建議敏感數(shù)據(jù)智能識(shí)別及分級(jí)分【場(chǎng)景描述過(guò)去20年間，經(jīng)濟(jì)形態(tài)發(fā)生了很大的變化，呈現(xiàn)為數(shù)據(jù)資產(chǎn)形態(tài)的無(wú)形資產(chǎn)逐漸超越了有型資產(chǎn)成為了資產(chǎn)的主體。2015年標(biāo)準(zhǔn)普爾500企業(yè)中無(wú)形資產(chǎn)占到總資產(chǎn)的84%。而15年前僅為32%，而IT有的還會(huì)損害企業(yè)甚至國(guó)家的信譽(yù)和利益。因此，對(duì)于數(shù)據(jù)的重視和保護(hù)成為IT領(lǐng)域新的關(guān)注焦點(diǎn)。Ultra-DSM【技術(shù)方案1【應(yīng)用效果【下一步工作建議5G時(shí)代，面向更多更新數(shù)據(jù)類型、數(shù)據(jù)內(nèi)容，不斷豐富、擴(kuò)展數(shù)據(jù)分類分級(jí)策略模型，適基于用戶行為的數(shù)據(jù)安全異常檢【場(chǎng)景描述【技術(shù)方案1基線行為告警按照5W1H分析模式，利用自學(xué)習(xí)的行為基線算法，訓(xùn)練生成動(dòng)態(tài)的數(shù)據(jù)行為基線模基線模型：以人、資產(chǎn)、數(shù)據(jù)之間的歷史行為操作數(shù)據(jù)為輸入，按照5W1H分析模式，利用自學(xué)習(xí)圖2時(shí)間序列模型：基于時(shí)間序列分解的異常行為分析發(fā)現(xiàn)和提取行為中序列突發(fā)成分;然后基于向;圖3圖4【應(yīng)用效果【下一步工作建議基于語(yǔ)義的敏感文【場(chǎng)景描述N個(gè)【技術(shù)方案練模型（2018800200），1這一技術(shù)方案的核心是在文檔相似度計(jì)算中采用了基于語(yǔ)料庫(kù)算法中的無(wú)監(jiān)督學(xué)習(xí)方法詞移距o2eGoe【應(yīng)用效果法，能發(fā)現(xiàn)的敏感文檔要多4%（約200份）?！鞠乱徊焦ぷ鹘ㄗh人工智能賦能物聯(lián)網(wǎng)安全防【場(chǎng)景描述工作，甚至癱瘓。網(wǎng)絡(luò)層主要面臨的威脅有：DDoS攻擊、信令風(fēng)暴、非法入侵、數(shù)據(jù)泄露等。RFID標(biāo)簽?zāi)鼙磺度肴魏挝锲分?，一旦被嵌入而物品的使用者未察覺(jué)，物品的使用者將會(huì)不受控制地被掃描、定位及追蹤。應(yīng)用層主要面臨的威脅有：DDoS攻擊、入侵攻擊、惡意代碼、數(shù)【技術(shù)方案物聯(lián)網(wǎng)安全檢測(cè)與態(tài)勢(shì)感知平臺(tái)：集成了物聯(lián)網(wǎng)卡人工智能安全模型技術(shù)，基于機(jī)器學(xué)習(xí)的實(shí)時(shí)流基于機(jī)器學(xué)習(xí)的實(shí)時(shí)流量識(shí)別技術(shù)：實(shí)現(xiàn)“5°空間畫像”，即：攻擊5等多種檢測(cè)手段，從CyberKillChain的多階段進(jìn)行“斷鏈?zhǔn)健睓z測(cè)APT攻擊。系統(tǒng)的沙箱引擎從用戶交200種以上的反逃逸技術(shù)，如替換操作系統(tǒng)所基于海量接入的安全威脅溯源技術(shù):物聯(lián)網(wǎng)萬(wàn)物互聯(lián)海量接入的設(shè)備，引入海量的數(shù)據(jù)和安全問(wèn)題。通過(guò)構(gòu)建安全模型，深度挖掘分析能力，借助人工智能和機(jī)器自學(xué)習(xí)能力，勾畫網(wǎng)絡(luò)攻擊的全景圖，并圖1美安全檢測(cè)和感知系統(tǒng)，及時(shí)發(fā)現(xiàn)系統(tǒng)的已知威脅和潛在威