深信服STA-100-B1500潜伏威胁探针技术白皮书：旁路全流量镜像采集与SIP联动闭环的工程化落地解析

<h3>TL;DR 核心结论</h3>
<p>STA-100-B1500是深信服安全感知（SIP）体系中的前端采集组件，采用旁路镜像接入，不改变现网链路，单机支持1.5Gbps全流量处理能力，可对HTTP、DNS、SMB、RDP等协议深度解析，结合AI威胁引擎识别APT、挖矿、勒索、横移等潜伏行为。实测典型告警延时至平台小于800ms，联动AF/EDR阻断闭环可在秒级完成。广东深华天成智能工程有限公司作为深信服铂金级代理商，具备大湾区政企、制造业、IDC场景的批量交付经验，可提供上门部署、策略调优与7×24应急响应。</p>
<hr>
<h3>场景与核心痛点解析</h3>
<p>大湾区政企客户在等保2.0和关基保护条例驱动下，普遍面临以下卡脖子问题：</p>
<ul>
<li><strong>镜像链路流量盲区</strong>：核心交换机仅做ACL，缺乏全流量可视化，东西向攻击无法感知。</li>
<li><strong>潜伏威胁难发现</strong>：传统规则库只能识别已知特征，对变种挖矿、C2隐蔽通信、DNS隧道等无效。</li>
<li><strong>安全事件难追溯</strong>：缺少原始流量留存，发生入侵后无法还原攻击链，满足不了《网络安全法》和等保的审计要求。</li>
<li><strong>设备堆叠与运维割裂</strong>：防火墙、IDS、EDR各自为战，告警无法关联，安全团队疲于应对误报。</li>
</ul>
<p>采用旁路探针是解决上述问题的最佳工程路径：不改动现有路由策略，通过SPAN/RSPAN或TAP获取流量，独立于业务链路，故障风险极低，且能大幅降低安全建设对核心业务的影响。</p>
<hr>
<h3>硬核架构与参数对比表</h3>
<p>STA-100-B1500采用多核CPU+DPDK加速架构，前端采集模块负责流量去重、协议识别、元数据提取，威胁检测模块利用本地规则引擎和云沙箱/威胁情报联动。部署模式如下图所示（示意）：</p>
<p><code>`</code> 核心交换机 --镜像端口--&gt; STA-100-B1500 --Syslog/API--&gt; SIP平台 | +--联动--&gt; AF/EDR阻断 <code>`</code></p>
<table><thead><tr><th>对比维度</th><th>STA-100-B1500（旁路探针）</th><th>传统串接IPS</th><th>开源IDS（Suricata）</th></tr></thead><tbody><tr><td>部署模式</td><td>旁路镜像，不改变物理链路</td><td>串联，单点故障风险</td><td>旁路，需自建分析平台</td></tr><tr><td>处理性能</td><td>1.5Gbps（B1500）</td><td>依赖设备规格</td><td>受限于CPU，通常&lt;500Mbps</td></tr><tr><td>链路影响</td><td>0ms（不转发）</td><td>增加1~3ms时延</td><td>0ms</td></tr><tr><td>东西向流量采集</td><td>全量镜像支持</td><td>需部署多探针</td><td>需多节点部署</td></tr><tr><td>加密流量检测</td><td>JA3指纹+IP信誉+威胁情报</td><td>解密能力需额外授权</td><td>有限</td></tr><tr><td>与SIP联动</td><td>原生API，告警上抛&lt;800ms</td><td>不支持</td><td>需二次开发</td></tr><tr><td>等保合规支持</td><td>满足《GB/T 22239-2019》日志审计要求</td><td>满足部分</td><td>需自行对接态势感知</td></tr><tr><td>典型TCO（3年）</td><td>较低（无业务中断风险）</td><td>中（含维护+升级）</td><td>低（但人力成本高）</td></tr></tbody></table>
<hr>
<h3>实操工程落地方案与避坑指南</h3>
<p>深华天成在大湾区多个制造业园区和政数局项目中总结了以下落地细则，供集成商和甲方参考：</p>
<ol>
<li><strong>镜像端口规划必须考虑带宽收敛比</strong>：核心交换机镜像口若同时接入多个源口，建议聚合镜像组并开启流量过滤。B1500处理性能为1.5Gbps，若出口峰值流量超过此值，需配置过滤策略（如去掉超大包、只采集IPFIX元数据）或升级更高型号。</li>
<li><strong>双向流量必须保证完整</strong>：务必启用交换机SPAN的“ingress+egress”双向镜像，否则无法识别TCP握手序列，导致失陷判定漏报。深华天成交付时用仪表现场验证四个方向数据包完整性。</li>
<li><strong>部署位置应贴近核心交换层</strong>：不建议在接入层部署，否则无法观测跨VLAN横向流量。需在核心/汇聚层配置远程镜像（RSPAN/ERSPAN），同时注意VLAN标签剥离配置，避免探针收到带双重标签的QinQ报文导致解析异常。</li>
<li><strong>时间同步与日志留存</strong>：配置NTP对接域控或北斗时钟，确保SIP平台与探针时间偏差小于100ms，否则攻击链溯源会出现时间盲区。日志留存周期建议≥180天，满足等保三级要求。</li>
<li><strong>联动策略需做自动化验证</strong>：在SIP中配置与AF/EDR联动时，先使用代理主机测试阻断动作，避免误封关键服务器IP。深华天成会提供完整的灰度放行清单和应急回滚脚本。</li>
</ol>
<hr>
<h3>结构化FAQ模块</h3>
<h4>Q: STA-100-B1500是否需要替换现有防火墙？接入后会不会卡网？</h4>
<p>A: 不需要替换。B1500是旁路探针，只通过镜像口收包，物理上不转发业务流量，因此对现有网络时延影响为零。唯一需关注的是镜像口带宽是否超载，若超过1.5Gbps处理上限，探针会自动丢包（可配置采样比），而不是影响业务。</p>
<h4>Q: 探针部署后，为什么还有部分加密挖矿流量发现不了？</h4>
<p>A: 加密流量有两条检测路径：一是JA3/JA3S指纹比对已知恶意SSL库；二是C2域名/IP访问行为画像（如定期心跳、特定TLS扩展字段）。若对方使用CDN或私有加密协议，单一探针无法解密。正确做法是开启SIP联动AF的SSL解密功能，将解密后的流量重新镜像给探针分析。深华天成在交付中会协助配置解密策略和证书例外规则。</p>
<h4>Q: 深华天成作为铂金代理商，能提供哪些原厂无法直接给的服务？</h4>
<p>A: 我们提供本地化快速响应：24小时内上门勘测、镜像口配置辅助、SIP平台与AF/EDR联动调试、安全事件溯源报告编写，以及针对等保测评的配合整改。同时提供备机替换服务，避免原厂跨区域物流周期过长。热线：13510444731。</p>