IP知识百科
>
SmartAD
导出PDF什么是SmartAD？
SmartAD聚焦内网哑终端安全防护，利用设备内置的AI能力在线学习哑终端正常流量行为，自动建立包含流量基线和访问关系基线在内的行为基线。随后，根据正常行为基线，通过本地推理判断后续流量是否异常，从而实现对哑终端异常威胁的检测。此外，借助与iMaster NCE-Campus的深度联动，可实现终端行为基线的可视可溯、异常事件自动上报及就近处置。
为什么需要SmartAD？
随着企业数字化的快速推进，园区网络中哑终端数量大幅增长，这类终端已成为内网攻击的主要入口。其脆弱性主要源于以下几点：
- 哑终端类型多样，暴露面广，且无法安装EDR等安全防护软件，安全风险高易被入侵攻击。
- 防火墙探针多部署在网络核心层，接入层威胁无法被有效识别。
- 常规检测手段局限无法有效应对多变的安全威胁，例如：基于预设规则的异常检测方式僵化且依赖专家经验；基于特性库的异常检测方式需要频繁更新特征库，响应速度滞后；全流镜像检测对业务性能影响大、成本高。
针对上述痛点，SmartAD利用AI实现对哑终端流行为的智能分析，有效解决传统异常检测在应对复杂多变安全威胁时的不足，全面提升网络的安全防护能力。
SmartAD有哪些优势？
SmartAD在内网安全防护上有以下优势：
- 广适用：支持任意基于IP的哑终端（例如常见哑终端，打印机、IP话机、摄像头等），不区分设备类型、厂商、操作系统，只要哑终端产生网络流量即可被检测。
- 易部署：AI能力内置在设备上，无需在哑终端上安装任何客户端，无需对全网络流量进行镜像，也无需部署专属的防火墙探针设备。管理员仅需在设备接口上开启SmartAD功能并配置检测参数（如终端地址段、训练时长等），部署简单快捷。
- 自演进：免特征库、免人工规则定义，通过在线学习自动建立和更新每个哑终端的行为基线。不仅能够检测新型攻击，只要终端流量行为偏离正常基线即可被发现；并且，随着数据积累和反馈优化，检测能力持续演进，无需专家持续介入。
- 近端处置、快速响应：设备具备本地快速处置异常的能力，实现秒级响应。
- 威胁全面检测：对于复杂场景，联动iMaster NCE-Campus协同处置，全面覆盖哑终端面临的四大主要威胁：
SmartAD是如何部署的？
SmartAD一般部署在接入或者汇聚设备上，主要由终端设备、交换机、iMaster NCE-Campus三部分组成，各部分的核心作用如下：
- 终端设备：指无法安装安全防护软件的哑终端设备，即被攻击的对象。
- 交换机：作为哑终端流量数据采集点，利用内置到设备的AI能力，在线训练哑终端行为基线（包括流量基线和访问关系基线），并根据基线本地推理后续流量行为是否异常。同时，可以配套iMaster NCE-Campus，对异常终端就近处置。
- iMaster NCE-Campus：展示交换机上报的哑终端基线数据和异常事件，支持对异常事件进行整合告警，并联动交换机对异常终端进行处置。同时，管理员可对交换机上报的异常事件进行审核，并把误报反馈给交换机，交换机基于此进行基线修正。
SmartAD架构
SmartAD是如何工作的？
SmartAD核心思想是通过AI实时学习什么是"正常"，判断什么是"异常"。它利用交换机原生AI能力，对哑终端的流量行为进行在线学习，建立行为基线，并基于基线实时检测异常行为。SmartAD的工作流程可以分为模型训练、模型推理、异常反馈和异常处理四部分。
SmartAD实现机制
- 数据采集和特征工程：
设备对接入的哑终端进行流量采集，基于SAC流表上送的统计数据自动提取终端流量的行为特征，即流量时序特征的均值和方差。
- 模型训练：
- 网络检测算法学习哑终端流量的行为特征，建立终端基线（包括流量基线和访问关系基线）。
- 设备通过Telemetry，每天将终端基线上报给iMaster NCE-Campus。
- iMaster NCE-Campus对设备上报的每日终端基线进行模型评估和反馈，如果反馈通过或未反馈，则正式合入终端基线；反馈失败则丢弃上报的基线数据。
- 为保障训练基线可靠，在训练周期的最后一天，设备会通过白样本进行模型评估。使用训练周期最后一天的流量数据作为正常数据白样本，检验前几天训练的基线数据。如果准确率超过95%，则正式采纳基线并进入模型推理阶段；如果连续三天准确率低于95%，则废弃之前的训练基线并重新训练，同时通知iMaster NCE-Campus设备已启动重新训练并且丢弃之前上报的基线数据。
- 模型推理：
- 异常处置与反馈：
