天眼各部分名称功能及检索方法

天眼由四部分组成：传感器（对流量解析还原，发现网络攻击和web攻击能力）   沙箱（发现恶意样本投递能力）       分析平台（存储历史流量，分析威胁和溯源能力）  文件威胁鉴定器（静态检测，动态检测）

四大部分主要功能

传感器（硬件）：流量信息采集与还原；应用协议信息还原，文件传输行为及记录，邮件的行为记录，数据库行为记录，入侵检测，web攻击检测

文件威胁鉴定器（硬件）：文件静态检测，分析文件行为，虚拟环境动态检测

分析平台（硬件）：

威胁感知系统（软件）：基于云端的木马发现机制，本地已经遭受入侵的ip展示

回溯搜索（软件）：对历史被攻击情况的回溯

威胁情报（服务）：APT/定向攻击情报免杀/新型木马情报流行性木马情报

一.天眼流量传感器介绍：

第一步流量采集，将收集到的DNS,FTP,HTTP,SSL,SMB等等进行检测引擎：

1.基于双向会话分析的web入侵检测

2.基于沙箱的webshell上传检测

3.基于规则的网络入侵检测

   威胁情报检测

   基于人工智能机器自学习的入侵检测nbt引擎

得出来两种检测结果：

产生准确的入侵告警

告警信息存入分析平台，作为攻击取证及快速溯源的数据支撑

二.天眼文件威胁鉴定器

静态检测：