安恒信息网络空间测绘解决方案：Sumap全球网络空间超级雷达

Sumap网络空间测绘

在互联网飞速发展的今天，传统的网络安全大多是面向局部安全而没有考虑全网环境下的网络安全，这也造成了攻击者近年来频繁攻击全网。上亿台物联网设备安全问题大范围暴露。

同时，攻击者对整个网络的攻击包括WEB攻击、缓冲区溢出攻击、数据库攻击等传统攻击。同时也涵盖了对物联网设备、工控设备的新型攻击，攻击越来越频繁。

备注：全网(整个互联网空间，包括ipv4、ipv6、域名信息等。)

全球网络空间超级雷达

SUMAP项目的全称是‘全球网络空间超级雷达’，项目的出发点是全球网络空间测绘方向。sumap整体项目主要包括sumap大数据搜索平台、SUMAP检测引擎、

基于机器学习模型的Sumap漏洞扫描引擎和智能资产标记管理。

SUMAP大数据搜索平台：主要功能包括关键词搜索、资产搜索、ipv4 ipv6搜索、域名搜索、ico搜索、漏洞搜索、漏洞号搜索、国家和地区搜索、风险监测报告等。

用户可以通过不同的维度展示整个网络环境中的测绘效果。搜索平台背后集成了大数据解决方案，可以灵活扩展和存储数据。检测引擎可以实时同步大数据平台，大数据平台可以实时向搜索平台提供数据，实现数据联动。

(图为sumap大数据搜索平台)

(图为sumap大数据搜索平台的地图测绘展示)

SUMAP检测引擎：主要功能是检测全球网络空间。引擎程序完全自主研发，在检测性能上突破了每秒60万并发服务器的检测扫描能力。ipv4网络环境中单个端口的检测和扫描可以在2小时内完成。

检测速度远超国内外同类项目或产品。同时，检测功能已经支持ipv4、ipv6、域名等。检测内容支持端口信息、指纹信息、版本信息等。在探针指纹上构造特殊的探针消息可以有效避免触发防火墙等设备。

SUMAP漏洞引擎：通过主动和被动相结合的方式覆盖全网扫描检测，专注于区域维度的中高风险漏洞检测，与传统漏检相比的区别在于可以快速覆盖全网对漏洞的检测。同时，可以实现对已知漏洞的持续监控。

未知漏洞通过关键风险资产和关键关注点映射整个网络。

智能资产标签：主要负责对资产进行标签计算、分析和识别。使用智能标签制作检测指纹、识别指纹和ip属性、端口属性、域名的综合智能标签。用于解决传统扫描仪检测指纹和识别指纹单一的问题。

同时，对于传统的网络扫描器，常常根据默认的端口号来识别资产。例如，开放端口80默认标识为http资产，开放端口3306默认标识为mysql数据库资产。未经核实的资产属性标签。虽然智能资产标签对检测指纹非常敏感，

必须验证返回包的指纹，比如在80端口发送http探针指纹，根据返回的包验证是否返回正确的http数据，从而对资产进行智能标记。在网络地图应用场景中通过模型迭代检测全网资产中的指纹，

识别指纹被反复更新，以确保资产能够被准确地打上智能资本的标签。

深度学习智能标签

深度学习智能标签主要包括：探测指纹标签，识别指纹标签，资产标签，资产属性标签等。在复杂的全网环境下传统单一的探测指纹，识别指纹均无法做到有效的全网资产识别。其主要原因包括：

1. 应用服务开放到其他特殊端口非标准默认端口；

2. 用户自建或封装的业务端口；

3. 端口业务基于TLS不同版本的加密协议传输；

4. 探测指纹单一无法根据端口业务构造探测报文；

5. 识别指纹单一无法根据不同的返回包进行识别鉴定。

智能探测指纹与识别指纹迭代技术：

传统探测指纹如http协议探测指纹，ftp探测指纹，ssh探测指纹等协议指纹通常通过抓包工具分析发情请求报文之后形成单一探测指纹，不会在具体深入到协议中的每个字段含义分析。

这样就造成了探测指纹可能无法覆盖这一类协议中的所有资产。基础标签，sumap探测引擎首先基于传统指纹探测时候对返回包进行基础的识别指纹识别，对资产进行基础标签在有了基础标签资产之后，

对同类型资产进行字段级别探测指纹测试。形成更为有效的探测指纹用来对同一种协议不同服务或者不用应用进行探测。形成更为有效的探测指纹后在重新对全网环境下探测识别，根据返回包字段内容信息重新梳理出识别指纹。

基于上述模型在通过利用大数据架构，AI深度学习使之更快速的分解出智能探测指纹，与智能识别指纹。聚类分类算法用于对探测指纹识别指纹进行更有效的运算，

具体实现方式为先对30%的样本数据进行了层次聚类(cluster.hierarchy)，得出聚簇中心之后，根据出现关键字频率进行类别自动化定义，对于无法判别类别的聚簇，

人工进行识别再对剩下的70%数据进行k均值聚类(K-means)运算，其中k为聚簇中心聚类个数，及聚簇中心的分类。从而判定出的智能探测指纹，智能识别指纹。

资产模型标签技术：

通过构建智能标签模块可对全网环境下的资产进行标签化处理包括：基础网络服务http,ftp,ssh,telnet等，以及终端设备，路由器，防火墙，安全代理、Web服务器集群，数据中心，

云服务等资产的识别，识别设备类型包括厂商、品牌、型号、软件及版本、域名资产等已知的设备进行标签，也可对未知指纹进行迭代模型学习分析之后在进行标签。

在智能识别指纹下，对同类资产非同类资产，同类资产不同结构，同结构不同的资产，都会进行资产识别之后对资产进行属性标签。达到贴合用户业务的属性标签。其中关键技术点包括可对资产属性进行人工干预，

如通过智能探测指纹探测出去之后返回包内容无法进行智能识别指纹识别无法对资产归类时，人工干预之后对无法识别资产可以重新归类。

高效迭代的ipv6创新探测

不同于传统ipv4探测，在ipv6广泛的地址范围下通过针对ipv6的特点目前已迭代了四代探测算法模型。现已累计全球ipv6数据超42亿+条，并保持日均千万级别数据更新量持续迭代更新。

（图ipv6探测演示）

第一代模型通过ipv6公开地址段信息使用活跃度算法针对大网段化整为零计算网段活跃程度后在细化扫描，以此模型调度探测引擎重点探测活跃度相对较高网段地址。

（图 ipv6地址段）第二代模型通过使用针对互联网全量域名信息采集，通过解析域名AAAA记录得到域名ipv6地址信息，在通过对ipv6地址信息扩散后持续探测。

并结合第一代模型计算活跃度扩大探测地址段。

第三代模型通过数据挖掘针对目前群集大数据中的信息检索分析报文内容中存储的ipv6地址信息，提取后同样结合第一代模型进行扩散探测。

第四代模型通过深度学习结合前面三代累计获取的ipv6地址网段数据，演算ipv6地址中新的有效地址探测。

总结

基于sumap网络空间测绘方向的探测引擎的快速资产探测能力，以及资产监测能力，资产漏洞管理能力形成了一套基于全球网络空间资产安全整体安全解决方案。

项目自身以及项目中繁衍的各项技术点已经被广泛引用到。。，金融，运营商，媒体，教育，高校，。。等单位或者企业内网，外网，专网等复杂的网络环境下。为用户提供全局的资产发现，资产监测，

漏洞管理等一体化不间断的安全保障，为信息系统安全决策提供有效的数据支撑。也同时将传统的被动安全发展成为主动安全，在事前事中事后各个阶段提供有效的资产变化情况，资产检测情况，漏洞变化情况。

联系方式：sumap@dbappsecurity.com.cn