soc方案標(biāo)準(zhǔn)版-wenkub

　

【正文】 現(xiàn) 安全事件處理功能是日志審計(jì)平臺(tái)的核心功能。并且流程中針對(duì)每個(gè)動(dòng)作會(huì)進(jìn)行跟蹤檢驗(yàn)，針對(duì)每個(gè)動(dòng)作的可能失敗情況給出相應(yīng)的處理步驟。 脆弱性管理策略 負(fù)責(zé)在定制的事件對(duì)系統(tǒng)的部門(mén)或整體進(jìn)行脆弱性分析的策略，可定制的內(nèi)容包含： 分析的事件范圍（起始，終止時(shí)間，時(shí)間間隔等）、分析的系統(tǒng)范圍、分析采用的方法等。 2. 可自定義的定制收集范圍，包括：監(jiān)控對(duì)象、事件類型、緊急 程度（事件級(jí)別）、發(fā)生時(shí)間、攻擊事件的發(fā)生源地址、攻擊事件的發(fā)生源端口、攻擊事件的目標(biāo)地址、攻擊事件的發(fā)生目標(biāo)端口、通信協(xié)議類型、應(yīng)用層協(xié)議類型、事件刷新的時(shí)間間隔（事件發(fā)生的時(shí)間）、設(shè)備的唯一識(shí)別號(hào)或者名稱、事件級(jí)別、廠家、用戶自定義等。 安全策略管理實(shí)現(xiàn) 安 全策略管理旨在控制整個(gè)網(wǎng)絡(luò)安全監(jiān)控平臺(tái)和安全分析系統(tǒng)的策略，指導(dǎo)網(wǎng)絡(luò)安全監(jiān)控平臺(tái)和安全分析系統(tǒng)如何運(yùn)作，并且根據(jù)運(yùn)行的情況不斷地調(diào)整相應(yīng)的策略。 SOC 安全管理平臺(tái)不能代替人工作，但確在很大程度上幫助人更好地來(lái)完成網(wǎng)絡(luò)安全運(yùn)維管理工作。對(duì)所有的登陸信息和操作信息進(jìn)行日志記錄，包括用戶的 IP地址、時(shí)間等內(nèi)容。 ? 兼容性 安管平臺(tái)的軟件開(kāi)發(fā)必須支持行業(yè)通用的技術(shù)標(biāo)準(zhǔn)和接口標(biāo)準(zhǔn)，通過(guò) Syslog、SNMP、 ODBC、 XML 等方式，可以支持國(guó)內(nèi)外主流的主機(jī)服務(wù)器 /網(wǎng)絡(luò)設(shè)備 /安全設(shè)備，主流的操作系統(tǒng) /數(shù)據(jù)庫(kù) /應(yīng)用系統(tǒng)，能夠?qū)崿F(xiàn)與各系統(tǒng)間良好的互聯(lián)互通和互操作。 ? 易操作性 安管平臺(tái)的用戶界面采用 B/S 架構(gòu)，從主界面的布置、菜單結(jié)構(gòu)設(shè)計(jì)、登錄程度設(shè)計(jì)、語(yǔ)言描述、策略結(jié)構(gòu)設(shè)計(jì)、報(bào)警方式和報(bào)表結(jié)構(gòu)等方面完全符合中國(guó)人的使用習(xí)慣。 ? 安全性 在安管平臺(tái)建設(shè)過(guò)程中，應(yīng)采用成熟可靠的技術(shù)和產(chǎn)品，同時(shí)再配合以完善的項(xiàng)目控制規(guī)范和質(zhì)量保證體系，從而保證安管平臺(tái)開(kāi)發(fā)和運(yùn)行的安全性。 SOC 安全管理平臺(tái)， 主要收 集整合來(lái)自各種網(wǎng)絡(luò)安全部件、系統(tǒng)或應(yīng)用產(chǎn)生的大量告警報(bào)告和日志信息，并結(jié)合目標(biāo)網(wǎng)絡(luò)環(huán)境從海量信息中提取用戶關(guān)心的信息，并以用戶易于理解的形成呈現(xiàn)給用戶。安全管理中心中的安全決策管理系統(tǒng)，負(fù)責(zé)對(duì)整個(gè)網(wǎng)絡(luò)中所有的安全子系統(tǒng)的信息進(jìn)行綜合搜集分析，從而使網(wǎng)絡(luò)安全管理人員對(duì)整個(gè)網(wǎng)絡(luò)的風(fēng)險(xiǎn)情況了如指掌。 ? 安 全服務(wù)漏洞掃描系統(tǒng)，對(duì)全網(wǎng)進(jìn)行漏洞分析、威脅分析、風(fēng)險(xiǎn)分析等。 現(xiàn)狀及需求分析 目前國(guó)家藥品不良反應(yīng)監(jiān)測(cè)體系 SOC 系統(tǒng)的管理范圍包括：國(guó)家中心所有的網(wǎng)絡(luò)設(shè)備、安全設(shè)備、應(yīng)用服務(wù)器，以及省中心的主要網(wǎng)絡(luò)設(shè)備和安全設(shè)備。所有的信息與資產(chǎn)關(guān)聯(lián)，完成風(fēng)險(xiǎn)分析、風(fēng)險(xiǎn)監(jiān)視與風(fēng)險(xiǎn)處理。 針對(duì)上述七個(gè)功能，我們推薦采用東軟公司的 NetEye 安全管理平臺(tái)（以下簡(jiǎn)稱為 NetEye SOC）為本次項(xiàng)目的基礎(chǔ)工作平臺(tái)，同時(shí)依據(jù)項(xiàng)目實(shí)際需求進(jìn)行必要的二次功能開(kāi)發(fā)。 NetEye SOC 以信息資產(chǎn)為核心，以風(fēng)險(xiǎn)管理為主要途徑，通過(guò)技術(shù)手段提升網(wǎng)絡(luò)安全管理成熟度，建立主動(dòng)安全防御體系、有效降低安全風(fēng)險(xiǎn)。 NetEye 安全管理平臺(tái)成為安全人員 在 安全運(yùn)維過(guò)程中的一把利器 ，能夠更有效 地 回應(yīng)不斷 變化的安全風(fēng)險(xiǎn)。 系統(tǒng)實(shí)現(xiàn)對(duì)各安全子系統(tǒng)的統(tǒng)一安全管理。 ? 安全服務(wù)安全審計(jì)功能，實(shí)現(xiàn)對(duì)安全日志的綜合分析。 二 . SOC 安全管理平臺(tái) 解決 方案 NetEye 安全管理平臺(tái)通過(guò) SNMP Trap、 SYSLOG、 ODBC/JDBC、 HTTP/XML、文件以及其他擴(kuò)充協(xié)議等方式從網(wǎng)絡(luò)設(shè)備、安全設(shè)備、主機(jī)系統(tǒng)等多種數(shù)據(jù)源收集安全信息，經(jīng)過(guò)過(guò)濾、匯總和關(guān)聯(lián)分析后，標(biāo)識(shí)其緊急程度，一方面以規(guī)定的格式存儲(chǔ)到數(shù)據(jù)庫(kù)內(nèi)，另一方面以多種方式實(shí)時(shí)響應(yīng)。 并 能夠自動(dòng)地對(duì)網(wǎng)絡(luò)安全信息進(jìn)行深入分析，為用戶提供智能的網(wǎng)絡(luò)安全態(tài)勢(shì)分析和預(yù)警和多種網(wǎng)絡(luò)安全信息分析工具，及時(shí)地為用戶定位當(dāng)前網(wǎng)絡(luò)中的安全問(wèn)題提供支持，幫助用戶根據(jù)當(dāng)前的網(wǎng)絡(luò)安全狀況、網(wǎng)絡(luò)環(huán)境及網(wǎng)絡(luò)安全策略等信息做出正確的安全事件響應(yīng)決策。 ? 擴(kuò)展性 安管平臺(tái)應(yīng)采用模塊化設(shè)計(jì)，系統(tǒng)配置的升級(jí)不會(huì)引起應(yīng)用級(jí)軟件的修改和開(kāi)發(fā)；系統(tǒng)軟件升級(jí)不會(huì)影響原有策略；平臺(tái)的應(yīng)用軟件結(jié)構(gòu)應(yīng)能保證功能的易于擴(kuò)展和升級(jí)。系統(tǒng)提供中文圖形化管理界面，直觀、易于理解和操作。 安全管理 平臺(tái) 體系的劃分 需求提出的安全管理平臺(tái) 邏輯體系結(jié)構(gòu)要求 的 5 層： （ 1）安全策略決策 （ 2）安全策略協(xié)調(diào)層（ 3）安全策略執(zhí)行層 東軟安全管理平臺(tái)的安全策略管理與決策主要通過(guò)安全策略管理模塊完成 .安全策略管理分為資產(chǎn)信息管理策略、安全信息收集策略、安全 信息分析策略、脆弱性管理策略、安全事件處理策略、安全知識(shí)管理策略和安全狀況評(píng)估策略。 同時(shí)系統(tǒng)的數(shù)據(jù)庫(kù)具有強(qiáng)大的自維護(hù)功能 . 東軟安全管理平臺(tái)的體系結(jié)構(gòu)請(qǐng)參考“東軟安全管理平臺(tái)體系結(jié)構(gòu)” 部分。 安全管理平臺(tái)解決的安全管理問(wèn)題 1. SOC 安全管理平臺(tái)是一個(gè)以資產(chǎn)為核心的管理體系，首先需要完成組織的資產(chǎn)調(diào)查，建立資產(chǎn)數(shù)據(jù)庫(kù)，進(jìn)行資產(chǎn)管理，通過(guò)對(duì)信息資產(chǎn)進(jìn)行風(fēng)險(xiǎn)評(píng)估，可以清楚的展示出組織當(dāng)前的安全狀況，安全風(fēng)險(xiǎn)有多大。 安全策略管理分為資產(chǎn)信息管理策略、安全信息收集策略、安全信息分析策略、脆弱性管理策略、安全事件處理策略、安全知識(shí)管理策略和安全狀況評(píng)估策略。 3. 可自定義的定制收集內(nèi)容，包括： Cisco 的路由和交換設(shè)備、 綠盟的分布式硬件漏洞掃描（極光）、 華為的路由和交換設(shè)備、 Windows 系列、 Sun Solaris 系列、IBM AIX 系列、東軟防火墻、天融信防火墻、 Cisco PIX、啟明星辰的 IDS 和漏洞掃描設(shè)備、 Rising殺毒產(chǎn)品、 Symantec 防病毒產(chǎn)品、 HP OpenView、 Cisco CiscoWorks、ACS 服務(wù)器、 Syslog 服務(wù)器、 SNMP 協(xié)議、文本格式、 ODBC 協(xié)議等，以及對(duì)其他內(nèi)容的可擴(kuò)展性支持。 安全事件處理策略 包括安全事件處理策略和安全事件處理結(jié)果的策略。 2) 安全事件處理結(jié)果的策略控制對(duì)安全事件處理結(jié)果的處理，該策略可定制的內(nèi)容包括： a. 記錄安全處理結(jié)果的格式 b. 安全處理結(jié)果的存儲(chǔ)目的地（可以是系統(tǒng)中或者通知相關(guān)人員） c. 安全處理結(jié)果形成報(bào)表的格式以及觸發(fā)條件（事件、時(shí)間等） 安全知識(shí)管理策略 控制對(duì)安全知識(shí)的訪問(wèn)控制，可定制的內(nèi)容包括：安全知識(shí)的訪問(wèn)控制策略（針對(duì)用戶、地址等）、安全知識(shí)的發(fā)送列表。針對(duì)安全信息監(jiān)控管理模塊和脆弱性管理模塊分析出的安全事件按照預(yù)先制定好的流程進(jìn)行處理。 ? 提供工單處理經(jīng)驗(yàn)庫(kù)功能，即：運(yùn)維部門(mén)在處理安全事件工單時(shí)，可根據(jù)處理內(nèi)容的關(guān)鍵字信息查詢工單處理經(jīng)驗(yàn)庫(kù)中符合該事件類型的事件原因分析、事件處理步驟等信息，獲得相應(yīng)的處理經(jīng)驗(yàn)。 ? 對(duì)處理的安全事件的結(jié)果進(jìn)行完整記錄和備案，以便后期考核審查。 工單管理包括生成工單、啟動(dòng)工單、審核工單、撤銷(xiāo)工單、接收工單、解決工單、結(jié)束工單、抄送工單、送審駁回工單、處理駁回工單等功能，另外輔以工單統(tǒng)計(jì)查詢、歷史記錄和經(jīng)驗(yàn)庫(kù)功能，完全能為用戶建立起靈活的電子工作處理流程，使得安全管理平臺(tái)不僅管理安全設(shè)備，還管理組織和個(gè)人。同時(shí)，運(yùn)行用戶對(duì)報(bào)表的樣式進(jìn)行 靈活的定制 ，報(bào)表的樣式 和內(nèi)容的定制均 可以 通過(guò)界面方便、直觀地 操作 ； 內(nèi)置了多種報(bào)表模板； 大數(shù)據(jù)量的報(bào)表可以根據(jù)需要在指定的時(shí)間自動(dòng)生成； 報(bào)表輸出的文件格式支持 Excel、 Doc、 PDF、 HTML 等多種標(biāo)準(zhǔn)格式。 ? 應(yīng)用服務(wù)層：從數(shù)據(jù)庫(kù)中提取信息，并按照策略完成數(shù)據(jù)的過(guò)濾、條件分析，為展示平臺(tái)提供數(shù)據(jù)支持；同時(shí)還是展示平臺(tái)進(jìn)行資源配置的接口。 采集的方式包括： SNMP Trap、 SYSLOG、 ODBC/JDBC、 HTTP/XML、文件、與用戶協(xié)商的擴(kuò)充協(xié)議。 數(shù)據(jù)處理層必須將采集到的原始安全信息與通過(guò)應(yīng)用服務(wù)層存儲(chǔ)的資產(chǎn)信息進(jìn)行關(guān)聯(lián)分析，以從海量的原始安全信息中提取出有價(jià)值的安全信息，為有效降低風(fēng)險(xiǎn)提供準(zhǔn)確依據(jù)。 展示平臺(tái)通過(guò)應(yīng)用服務(wù)層從數(shù)據(jù)庫(kù)中提取安全信息，按照定制策略進(jìn)行抽樣分析、模式匹配、異常檢測(cè)完成安全信息的統(tǒng)計(jì)。 Cental Manager(CM)：關(guān)聯(lián)分析模 塊的中央管理，既是控制中心，又是服務(wù)中心。 Vulnerability Correlation(VCE)：脆弱性關(guān)聯(lián)，檢查并標(biāo)明事件所隱含的脆弱性信息。 NetEye 安全管理平臺(tái) 系統(tǒng)所 管理的資產(chǎn)包括 ： ? 主機(jī)設(shè)備 ； ? 網(wǎng)絡(luò)設(shè)備 ； ? 業(yè)務(wù)系統(tǒng) ； ? 數(shù)據(jù)庫(kù)系統(tǒng) ； ? 其他與信息系統(tǒng)相關(guān)的 資產(chǎn)。資產(chǎn)管理 實(shí)現(xiàn)了 對(duì)信息資產(chǎn)的描述和定義，并結(jié)合組織的基本情況進(jìn)行資產(chǎn)的分類和登記，不僅可以協(xié)助安全人員有效管理信息資產(chǎn)的各類屬性，同時(shí)也便于貫徹 行業(yè)內(nèi)相關(guān)的分級(jí)保護(hù)規(guī)范。 可管理的資產(chǎn)類型 NetEye 安全管理平臺(tái)系統(tǒng)目前支持的資產(chǎn)類型包括： ? 主 機(jī) 系 統(tǒng) ， 包 括 ： Windows2020/2020/2020 服 務(wù) 器 系 統(tǒng) 、Windows2020/XP/VISTA 終端系統(tǒng)、 AIX 服務(wù)器系統(tǒng)、 Linux 系統(tǒng)、 Solaris服務(wù)器系統(tǒng)等 ； ? 安全設(shè)備，包括國(guó)內(nèi)外主流的安全設(shè)備，包括：防火墻、入侵檢測(cè)系統(tǒng)、防病毒系統(tǒng)、審計(jì)系統(tǒng)、反垃圾郵件系統(tǒng)、漏洞掃描系統(tǒng)、身份認(rèn)證系統(tǒng)等； ? 中間件系統(tǒng) ，包括國(guó)際主流的大型企業(yè)級(jí)應(yīng)用中間件等； ? 數(shù)據(jù)庫(kù)系統(tǒng)，包括國(guó)際主流的大型數(shù)據(jù)庫(kù) 等 ； ? 網(wǎng)絡(luò)設(shè)備，包括國(guó)內(nèi)外主流的路由器、交換機(jī) 等 ； ? 支持 tel 和 ssh 方式對(duì)設(shè)備進(jìn)行控制，并提供協(xié)議擴(kuò)展，內(nèi)置了對(duì)防火墻、路由器、交換機(jī)、 Linux 操作系統(tǒng)、 Windows 操作系統(tǒng)及 UNIX 操作系統(tǒng)等設(shè)備的支持，并可以根據(jù)用戶實(shí)際需要進(jìn)行擴(kuò)展。 數(shù)據(jù)采集 事件管理中的 數(shù)據(jù) 采集 模塊主要負(fù)責(zé) 從網(wǎng)絡(luò)設(shè)備、安全設(shè)備、操作系統(tǒng)、數(shù)據(jù)庫(kù)、應(yīng)用中間件等數(shù)據(jù)來(lái)源設(shè)備 /系統(tǒng)收集日志，并對(duì)收集到 的日志通過(guò)進(jìn)行過(guò)濾、格式化等過(guò)程，解析出有用的信息，轉(zhuǎn)換成便于處理 與分析 的格式 ， 在 平 臺(tái) 與 數(shù)據(jù)來(lái)源設(shè)備 之間提供接口 。 然后 處理這些日志并轉(zhuǎn)換成安全信息，安全信息 將作為后續(xù) 模塊 的輸入。 每種采集方式所采集的內(nèi)容如下所示： 序號(hào) 采集方式 采集內(nèi)容 1 SYSLOG 收集安全告警日志，主要是從入侵監(jiān)測(cè)系統(tǒng)、網(wǎng)絡(luò)行為監(jiān)測(cè)系統(tǒng)、病毒監(jiān)測(cè)系統(tǒng)、郵件安全監(jiān)測(cè)系統(tǒng)、 Web 應(yīng)用安全監(jiān)測(cè)系統(tǒng)、僵尸網(wǎng)絡(luò)監(jiān)測(cè)系統(tǒng)、防火墻等安全設(shè)備和安全系統(tǒng)上收集報(bào)警日志； 2 SNMP Trap 收集安全告警日志，當(dāng)安全設(shè)備不支持 SYSLOG 輸出，而支持SNMP Trap輸出時(shí)，該平臺(tái)支持通過(guò) SNMP TRAP 方式收集安全告警日志； 3 SNMP 輪巡 支持 SNMP 服務(wù)的設(shè)備進(jìn)行拓?fù)渥詣?dòng)發(fā)現(xiàn)； 針對(duì)網(wǎng)絡(luò)設(shè)備，從設(shè)備的 MIB 庫(kù)中獲取設(shè)備配置信息、運(yùn)行信息、等數(shù)據(jù)； 針對(duì)操作系統(tǒng)，從操作系統(tǒng)的 MIB 中獲取系統(tǒng)的靜態(tài)配置信息； 4 Tel/SSH 負(fù)責(zé)從 Unix、 Linux 服務(wù)器上采集與操作系統(tǒng)有關(guān)的運(yùn)行信息，包括： CPU 動(dòng)態(tài)信息、內(nèi)存動(dòng)態(tài)信息、系統(tǒng)進(jìn)程動(dòng)態(tài)信息、硬盤(pán)動(dòng)態(tài)信息、用戶訪問(wèn)信息等； 5 專用 Agent 負(fù)責(zé)從 Windows 服務(wù)器 上采集與操作系統(tǒng)有關(guān)的運(yùn)行 信息，包括： CPU 動(dòng)態(tài)信息、內(nèi)存動(dòng)態(tài)信息、系統(tǒng)進(jìn)程動(dòng)態(tài)信息、硬盤(pán)動(dòng)態(tài)信息、用戶訪問(wèn)信息等； 6 HTTP 用于對(duì)業(yè)務(wù)系統(tǒng)的可用性進(jìn)行監(jiān)控； 負(fù)責(zé)從中間件采集 會(huì)話動(dòng)態(tài)信息、進(jìn)程池動(dòng)態(tài)信息、 JDBC連接池動(dòng)態(tài)信息等； 7 JMX 從中間件采集 會(huì)話動(dòng)態(tài)信息、進(jìn)程池動(dòng)態(tài)信息、 JDBC 連接池動(dòng)態(tài)信息等； 9 ODBC 從數(shù)據(jù)庫(kù)中直接采集數(shù)據(jù)庫(kù)相關(guān)信息，包括：數(shù)據(jù)庫(kù)版本、字符集、配置的臨時(shí)表大小、臨時(shí)表目錄、數(shù)據(jù)表信息、緩存信息、線程信息、鎖信息、頁(yè)和行鎖信息等； 10 SOAP/XML 負(fù)責(zé)與第三方產(chǎn)品使用相 關(guān)協(xié)議交互數(shù)據(jù)使用； 數(shù)據(jù)格式標(biāo)準(zhǔn)化 NetEye 安全管理平臺(tái) 系統(tǒng) 解決了各個(gè) IT 系統(tǒng)造成的海量數(shù)據(jù)和信息孤島的困擾，整體上簡(jiǎn)化了安全管理的數(shù)據(jù)模型。為了提高 NetEye 安全管理平臺(tái)系統(tǒng)數(shù)據(jù)分析的準(zhǔn)確性，該平臺(tái)能夠自動(dòng)對(duì)收集上來(lái)的安全告警日志數(shù)據(jù)進(jìn)行一定的關(guān)聯(lián)分析處理，幫助用戶發(fā)現(xiàn)有效的安全事 件。 CM 作為服務(wù)中心，提供了兩大類服務(wù)：一、數(shù)據(jù)服務(wù)；二、告警服務(wù)。 Agent：原始日志采集代理，根據(jù)不同的采集方式，使用不同的采集代理進(jìn)程。 聚合引擎負(fù)責(zé)初級(jí)的分析和聚合工作。兩個(gè)以上事件如果關(guān)鍵詞一致，認(rèn)為是等同事件。 s t a r t日志收集格式化發(fā)送事件 獲取關(guān)鍵詞檢索前一事件設(shè)置聚合信息發(fā)送聚合事件保存事件無(wú)或者超時(shí)更新事件 發(fā)送事件檢索關(guān)鍵詞e n d[ 隔一定時(shí)間 ]c o r r e l a t i o n : E n g i n ek e r n e l : P Ka g g r e g a t e : A Ea g e n t : A G 事件被接收后，進(jìn)行聚 合處理，未聚合成功的事件保持 Normal 狀態(tài)，發(fā)生聚合的事件設(shè)置聚合標(biāo)志后，每隔一定時(shí)間后，由定時(shí)線程繼續(xù)發(fā)送到后續(xù)關(guān)聯(lián)引擎。 通過(guò)規(guī)則關(guān)聯(lián)分析 能夠匹配一個(gè)攻擊事件發(fā)生的