soc方案標準版(文件)

　

【正文】 一系列步驟或幾個關鍵步驟，而且能夠組合一個攻擊發生在不同主機上的多個事件。 事件分配事件匹配規則入庫e x t e n d i n c l u d e AEV C E事件監聽i n c l u d e CM發送e x t e n d R C E RCE 的組織結構如下圖所示，橙色的方框是 RCE 部分，灰色的方框是 RCE 與其它模塊的接口部分。 這種規則是為了描述 主機的應用服務器在 8080 端口上的應用服務停止。 這種規則是為了描述 主機被遠程使用 ssh 登錄之后，可能出現的三種敏感安全事件，分別是系統重啟、系統日志進程停止以及 root 用戶密碼被修改。 合并結構規則 S 1 S 2S 3S I P = 1 0 . 1 . 1 . 3A P P L I C A T I O N _ N A M E = o r a c l eM s g L I K E “ % a p p l i c a t i o n d o w n % ”S 1S I P = 1 0 . 1 . 1 . 5A P P L I C A T I O N _ N A M E = o r a c l eM s g L I K E “ % a p p l i c a t i o n d o w n % ”S 2S I P = 1 0 . 1 . 1 . 7A P P L I C A T I O N _ N A M E = t o m c a tM s g L I K E “ % c o n n e c t d b e r r o r % ”S 3A N D 該規則包含三個狀態節點： S1 定義為 SIP=、 Msg LIKE “％ application down％”； S2 定義為 SIP=、 Msg LIKE “％ application down％”； S2 定義為 SIP=、 Msg LIKE “％ connect db error％”。 單狀態節點循環結構規則 S 2S 3D e v t y p e = “ I D S ”M s g L I K E “ ％ s c a n a t t a c k ％ ”S I P = p r e E v e n t . S I PS 2M s g L I K E “ % F a i l d o w n % ”S I P I N { I P L i s t }S 3{ I P L i s t . l e n g t h } 3 0T 2{ I P L i s t . l e n g t h } = 3 0T 3S 1D e v t y p e = “ I D S ”M s g L I K E “ ％ s c a n a t t a c k ％ ”S 1 該規則包含三個狀態節點： S1 定義為 Devtype=“ IDS”、 Msg LIKE “ ％ scan attack％ ” ； S2 定義為 Devtype=“ IDS”、 Msg LIKE “ ％ scan attack％ ” 、 SIP=； S3 定義為 Msg LIKE “％ Fail down％”、 SIP IN {DIPList}。規則實例是在系統運行中，實際參與匹配過程的規則的副本。狀態間存在驅動關系，即當某上層狀態被匹配成功后，下層狀態才有可能與后續安全事件進行匹配。在設計上，狀態實例中包含一些狀態在匹配過程的動態信息以及匹配過程需要使用的方法，而狀態則是一種純靜態信息描述。靜 態容器，又稱規則容器是系統在加載的時候，一次性讀入到內存中。 在 超 時的 時 間內 完 成了 匹配 ， 并且 數 量滿 足克隆靜 態 樹 容 器 動 態 樹 容 器 (三 ) （三）基于資產、脆弱性的關聯分析 對于 IDS（入侵檢測系統）等所報的大量安全日志，很有可能存在誤報。 如下的狀態圖，描述了在進行脆弱性關聯分析時，可以匹配結果的狀態。 2) NoAsset：表示系統配置要求在進行脆弱性關聯分析時必須有與之對應的監控對象存在，但實際卻沒有該監控對象。表示事件中所描述的端口 并不存在真實的脆弱性。表示事件中所描述的端口確實存在脆弱性。表示系統中的歷史脆弱性信息與事件中描述的脆弱性信息基本匹配，但是歷史脆弱性信息的日期早于事件中的脆弱性信息。該平臺可根據事件的不同性質和類別，及時產生告警信息，并可自動觸發工單系統督促相關責任人進行快速查處。 ? 按照時間進行事件查詢、過濾等。風險的計算是以資產為基礎，結合資產的價值及信息資產的安全屬性、脆弱性進行計算而得，是安全人員進行風險 管理 的有力依據。 每個安全事件的風險均與某個特定的資產進行關聯。 脆弱性管理模塊 脆弱性管理主要是針對服務器、網絡和終端主機設備等資產存在的安全脆弱性和可利用的脆弱性進行管理。 脆弱性管理 主要是針對 服務器 、網絡和終端 主機設備以及常見的業務系統 資產存在的安全脆弱性和可 利用的 脆弱性進行管理。脆弱性信息經過標準化后存放在數據庫中，同時與資產信息直接關聯，使得管理員對于每個資產的脆弱性一目了然。 與工單系統關聯 通過制定策略，當 在評估結果中 發現有高風險漏洞時，可及時產生告警信息，并可自動觸發工單系統督促相關責任人進行快速處理。 ? 以列表方式展示：顯示 TOP N 脆弱性列表，以及每個脆弱性的詳細信息。 事件響應提供了多種機制； 事件處理流程通過對工單的操作來實現。 工單 的操作 對工單的操作過程需要根據對工單策略的定義來進行。 工單記錄自動與知識庫關聯，監管人員在關閉工單時，需要決定是否將工單記錄的處理結果轉存到知識 庫中。 對于待審批狀態的工單，監督人員可以進行關閉或延時審批操作，或者要求進行重新處理。 工單的管理 監管人員可以隨時監督工單的生成情況和處理進程。 綜合顯示與報表模塊 報表是日常工作 必不可少 的統計工具 。 網絡管理模塊 網絡管理模塊實現 : 自動發現網絡拓撲結構、管理網絡拓撲結構、監控網絡鏈路情況，監控網絡設備運行狀態等功能。一般情況下，網絡管理系統首先都要進行必要的拓撲發現、拓撲監控、拓撲操作，從而充分了解網絡系統的運行情況。當網絡。系統能夠自動發現網絡節點 （包括路由器，交換機和第二層的交換設備等），檢測網絡設備連接，生成和保持 TCP/IP 網絡圖 ， 在網絡拓撲發現過程中 ， 不需要人工 進行 干預 。 NetEye 安全管理平臺系統通過 ICMP、 SNMP、 CDP 來實現網絡拓撲自動發現，通過自動發現和輪詢，可自動生成網絡拓撲圖，完整展現其網絡的拓撲結構。 NetEye 安全管理平臺系統提供了 強大的 報表功能： 預定義 了 14 種不同安全層面的圖形 化 統計功能； 預定義了 4 種針對業務設計的報表功能； 預定義了 2 種針對安全事件分析的綜合統計功能； 用戶 可根據自己 不同 的 需求 ，靈活 定制不同的統計報表； 報表的數據，可以根據特定的時間段或者時間周期生成 日、周、月、季和年報 ； 可根據時間、源 IP、目的 IP、源端口、目的端口等各種條件及條件組合生成TOP N 的統計報表； 為 不同人員（技術人員、業務主管、領導）的需要， 在系統中預定義了多種報表樣式。 系統自動記錄 了 每個工單從生成，到接受處理，到處理完畢，以及處理確認的全部過程 。對于延時審批或者重新處理操作，工單再次進入處理中狀態。 NetEye 安全管理平臺系統的標準的工單遷移示例： 安 全 事 件 、故 障 、 性 能事 件 、 補丁 、 脆 弱 性處 理 中 工 單工 單 策 略已 關 閉 工 單待 審 批 工 單知 識 庫監 督 人處 理 人關 閉 工 單申 請 關 閉延 時 工 單生 成 公 告關 閉 工 單生 成 案 例刪 除 工 單延 時 審 批重 新 處 理申 請 延 時處 理 工 單工 單 策 略工 單 策 略 工單生成以后，即進入處理中狀態。 所有工單的操作都必須具有閉環特性。其中既有安全事件告警、安全風險告警，也有故障事件告警和性能事件告警。 脆弱性統計結果的輸出，可以輸出為： xls、 pdf、 txt、 html 等格式，或者直接通過輸出為打印。 脆弱性信息包括： ? 資產基本屬性：資產名稱、所屬安全域、操作系統、 IP地址、資產負責人； ? 脆弱性信息：漏洞編號、漏洞名稱、風險級別、受影響的操作系統、 CVE編號、 BugTraq 編號、發現時間、漏洞描述、針對此漏洞的解決方案。 掃描軟件支持：榕基 RJiTOP 漏洞掃描器、啟明漏洞掃描器、 綠盟公司極光漏洞掃描系統、 Nessus 等。 NetEye 安全管理平臺系統驅動第三方專用漏洞掃描軟件，執行掃描任務，對 網絡中主機系統和網絡設備 的 安全脆弱性信息 進行 收集 。脆弱性信息經過標準化后存放 在數據庫中，同時與資產信息直接關聯，使得管理員能對每個資產的脆弱性一目了然。降低風險和轉移風險，都屬于安全事件處理過程，由風險管理模塊輸出到安全事件處理模塊。 多種風險告警展示方式 該平臺提供了多種類型實時風險告警展示功能 ，可以隨著系統的脆弱性和安全事件的更新動態顯示相關安全風險告警： 實時顯示全局的風險告警 分 安全域 實時顯示風險告警 分類別實時顯示風險告警 分資產實時顯示風險告警 該平臺以圖標閃爍方式顯示風險告警 一定時間內的風險變化趨勢 待處理安全 事件的變化趨勢 引起風險變化的資產信息 安全統計告警圖示 安全事件等級圖 脆弱性等級圖 安全事件類型圖 脆弱性名稱圖 安全事件統計圖 脆弱性統計圖等。 ? 展示每條事件的詳細內容，包括：事件名稱、事件優先級、發生時間、源IP、目的 IP、端口等。 ? 按照事件類別進行展示，包括：安全事件、性能事件、故障事件、脆弱性事件等。 (四 ) 事件溯源實現機制 通過綜合關聯分析事件的相關屬性，幫助維護人員定位事件發生的根源，并清晰展示事件的威脅范圍。表示系統中的歷史脆弱性 信息與事件中描述的脆弱性信息基本匹配，但是歷史脆弱性信息的日期晚于事件中的脆弱性信息，這說明可能是由于資產已經安裝了相應的補丁。表示歷史脆弱性信息中掃描器所確定的操作系統，并沒有在事件所描述可被攻擊的操作系統范圍內。表示系統中沒有該監控對象的歷史脆弱性信息，或者存在的脆 弱性信息與事件所描述的脆弱性信息完全不相似。 amp。根據 IDS 產生安全日志的時間以及日志中包含的脆弱性信息，和實際掃描的脆弱性信息進行關聯對比，根據不同的對比結果，對安全事件定義不同的危險等級。 動態容器（ DynamicContainer） 當靜態容器中的根節點匹配成功或者狀態超時時，將靜態容器中的對象移動到動態容器。 S t a t e I n s t a n c eC o n d i t i o nC r i t e r i aS u c c e s s A c t i o nT r a n s i t T r a n s i t T r a n s i tS c r i p tT i m e o u t A c t i o nI D T i m e o u t T h r e s h o l d Action（ SuccessAction/TimeoutAction） A c t i o nI D n a m e e x i t a l a r m i d s e r v e r i t y m e s s a g e Action 是規則狀態匹配的結果，當狀態進行匹配時，狀態的某些結果是制定規則時比較關心的內容，比如規則中的一個狀態 如果被匹配成功或者超時，這可能意味著形成了某種關聯事件，此時需要產生一種行為來表示這種結果，這種表示結果的行為就是產生一個 Action。 R u l e I n s t a n c eS t a t e I n s t a n c eT r a n s i tC o n d i t i o nS c r i p tC r i t e r i aS u c c e s s A c t i o nT r a n s i tS t a t e I n s t a n c eT r a n s i tC o n d i t i o nS c r i p tC r i t e r i aS t a t e I n s t a n c eT r a n s i tC o n d i t i o nS c r i p tC r i t e r i aS t a t e I n s t a n c eT r a n s i tC o n d i t i o nS c r i p tC r i t e r i aS t a t e I n s t a n c eT r a n s i tC o n d i t i o nS c r i p tC r i t e r