soc方案標準版-免費閱讀

　　

【正文】 拓撲管理實現如下具體功能： 1) 自動發現網絡設備及其連接，獲取最初的網絡 信息； 網絡設備的初始發現。該平臺多個功能模塊都能產生 相應 的報表 ，以方便管理人員查詢和統計當前的系統的工作狀態，或者以前某個時期系統的工作狀態 。對于關閉操作，工單進 入已關閉狀態。在工單策略中，可以對不同事件能夠產生工單的級別和類別進行定義，同時定義工單的執行人和監督人，以及聯系的方式；同時應對不同級別和類別工單的處理時限提出要求，并定義超時情況下的處理策略（如：重發工單、轉發第二執行人等）。 ? 按風險級別展示：按照脆弱性的風險級別，分別顯示：很高、高、中、低、很低，或者所有級別全部顯示。 支持的掃描軟件 該平臺支持通過自定義掃描任務計劃 的方式 驅動漏洞掃描軟件 ， 按計劃執行脆弱性收集工作，將掃描結果保 存到關系型數據庫，提供對掃描結果的查詢，并展現到平臺界面上。主要通過定期導入漏洞掃描軟件的評估結果，或者通過安管平臺系統自身集成的漏洞掃描功能、調度掃描任務，對網絡中主機系統和網絡設備的安全脆弱性信息進行收集和管理，及時掌握網絡中重要主機系統、業務系統和網絡設備的最新的脆弱性。 統一的風險告警展示 集中統 一的預警和展示平臺界面，可以將 安全事件趨勢圖、風險趨勢圖、 TOP N安全事件、 TOP N 脆弱性事件、 TOP N 故障事件、 TOP N 工單 、安全預警、安全公告等信息 通過集中統一的平臺界面進行實時預警和展示。 事件展示 針對經過數據采集、數據處理后所得到的安全事件，展示模塊利用分析報表、圖表等多維展示技術，提供各種便捷的方式展示 國家藥品不良反應監測系統 的整體信息安全狀況。 7) 4 Maybe vulnerable：疑似脆弱性。 3) 0 Not enough information：沒有足夠的信息來完成脆弱性關聯分析。為解決誤報 ，就需要對通過規則關聯分析以后的安全事件進一步做脆弱性關聯分析。二者在結構上是相同。在設計上，規則實例中包含一些規則在匹配過程的動態信息以及匹配過程需要使用的方法，而規則則是一種純靜態信息描述。 激活 S3 的條件： 當 S1 與 S2都被擊穿后， S3 才被激活。 順序結構規則 S 1S 2S I P = “ 1 0 . 1 . 1 . 3 ”S p o r t = “ 8 0 8 0 ”M s g L I K E “ % a p p l i c a t i o n s t o p % ”S 1S I P = “ 1 0 . 1 . 1 . 3 ”S p o r t = “ 8 0 8 0 ”M s g L I K E “ % a p p l i c a t i o n s t a r t % ”S 2 該規則包含兩個狀態節點： S1 定義為 SIP=、 SPort=8080、 Msg LIKE “ ％ application stop％ ” ； S2 定義為 SIP=、 SPort=8080、 Msg LIKE “ ％ application start％ ” 。達到更準確 地 檢測攻擊 、 減少誤報的目的。一批等同事件，如果首尾發生的時間間隔小于該類事件的最大聚合間隔，則認為這批等同事件屬于聚合事件。 (一 ) 基于統計的關聯分析 基于統計的關聯分析，主要的依賴對象是關聯分析框架模型中的聚合引擎。同時，該平臺設計提供自定義關聯規則的界面，以便給用戶提供更大的監控選擇空間。 數據采集模塊的功能包括：數據采集、數據格式標準化。 事件 管理 關聯分析 模塊 事件管理模塊主要 負責從網絡設備、安全設備、主機系統、數據庫系統、應用程序、網管系統和日志服務器系統等采集數據。 NetEye 安全管理平臺系統可幫助組織視覺化的直觀掌控自己的資產，快速確定資產分布、資產的商業價值以及資產 的重要性 。 CM 作為控制中心，提供了對整個模塊中各進程的實時監控和配置管理接口。 應用服務層 應用 服務層是展示平臺、數據庫和數據處理層之間銜接的接口。 ? 展示平臺：實現 NetEye 安全管理平臺 的統一 界面展示。 不同運維人員需求 報表 實現 報表是日常工作 必不可少的統 計工具 。 ? 可針對安全事件的危害程度定義事件處理的優先級別，保證優先級高的安全事件比優先級低的安全事件更快的處理；針對同一個處理流程或同一個處理人，高優先級的事件可以搶斷低優先級的事件，首先得到處理；根據事件處理中發生的不同情況（等待時間過長，事件被搶占，需要的資源無法獲得等），可以自動改變事件的優先級和流程以及相應的干系人。 安全狀況評估策略 控制評估的周期，范圍，內容。 4. 定制收集后的傳輸目的地，包括本地、單個遠程地址（同步和異步）、多個遠程地址（同步和異步）。 2. SOC 安全管理平臺是為網管人員提供檢測和 管理組織網絡安全的技術手段，其通過風險管理展示了組織當前的網絡安全風險狀況，同時給出降低安全風險的方法，驅動 IT維護人員進行降低安全風險、解決安全問題的工作，使得管理員能夠將降低安全風險在安全事件發生之前，在日常工作中有效的完成，并且可以降低組織的管理成本。 （ 4）安全信息集中 東軟安全管理平臺主要通過數據采集層進行信息采集 ,采集引擎服務器 根據 策略 采集 各種安全信息 ,由管理平臺統一收集 ,根據策略數據處理層 負責對采集到的原始安全信息進行分析處理 ,最終做到對大量數據的準確高效處理分析 . （ 5）安全策略支撐 東軟安全管理平臺的安全策略支撐 通過強大策略管理 , 對采集設備的通訊進行接口加密處理 .采集權限處理 ,做到對采集數據的保密性和完整性 。 ? 成熟性 成熟性原則包含兩層意思。 NetEye SOC 安全管理平臺可幫助組織視覺化地直觀掌控資產狀況，快速確定資產分布、資產價值和風險。 ? 與網管系統管理建立接口，采集相關安全信息。 1. NetEye 安全管理平臺解決了海量數據和信息 孤島的困擾，整體上簡化了 安全管理的數據模型 。來自網絡各類設備的安全信息都會存儲到一個通用數據庫中，然后根據定制的安全策略對這些數據進行分析。 ? 安全服務入侵檢測系統控制臺功能。資產管理參照國際相關標準（如： ISO 17799）中關于資產管理的要求，實現資產登記、資產的所有權、資產的分類、標識和處理，并結合組織的特殊情況進行調整，也可按照國內相關標準（如：信息系統安全等 級保護規范）來劃分和標識資產。一是選用的 安全產品必須需要具備投入市場時間長、擁有大量應用于不同行業、不同規模的成功案例等這些成熟的特征；二是安管平臺的軟件開發要能集成國內目前各種主流、成熟的安全產品。安全管理平臺系統自身管理功能 ,對 每個用戶登錄 做 嚴格 的身份認證，用戶名和密碼信息以加密的方式安全存儲 。 3. SOC 安全管理平臺與人有很強的互動關系，能夠規定好對相關人員的管理，通過驗證和審核安全維護的行為（包括 IT 維護人員，信息資產的相關責任人的行為），防止人員在安全方面的疏忽，強調每個人都要遵守的安全規則，確保組織的安全策略得到落實。 安全信息分析策略 負責從傳輸的安全信息中選取滿足條件的信息進行分析，可定制的內容包含：安全信息的過濾條件以及運用的分析方法。可定制的內容包括：安全狀況評估的觸發條件（支持周期和事件）、安全狀況評估的范圍、安全狀況評估的內容、 安全狀況評估的投遞列表。 ? 支持 多種靈活的事件處理結果查詢方式，包括：安全事件名稱和類型、事件的優先級別、事件的危害程度和范圍、事件的蔓延速度、事件的內容、事件所涉及的設備和網絡、事件處理的開始和完成時間、事件處理的相關人員等。該平臺多個功能模塊都能產生 相應 的報表 ，以方便管理人員查詢和統計當前的 系統的工作狀態，或者以前某 個時期系統的工作狀態 。通過統一的 圖形化管理界面， NetEye 安全管理平臺 實現 了安全監控、維護、管理、展示的全部功能 。 展示平臺通過應用服務層最終完成了資產管理、脆弱性管理、風險管理、工單管理、安全知識管理、安全策略管理、安全預警等模塊的配置信息的錄入和修改功能。 CM 作為服務中心，提供了兩大類服務：數據服務、告警服務。信息中心 可以根據資產價值及其重要性進行 地域或者 安全域的劃分，或者根據信息資產的 業務屬性、設備類型、網段進行 劃分 。 針對 多數據源的特點， 該模塊將 通過 SYSLOG、 SNMP、 ODBC、 XML、 SOAP 標準協議實時接收 ； 針對不同的主機系統、不同的數據庫系統、不同的應用程序系統等應能通過 tel、 ssh、 ftp 等方式來主動獲取。 數據采集 數據獲取組件負責將相關數據 統一收集起來， 根據不同的設備類別，所采集數據的方式也有所不同。 該平臺系統實現了五種關聯分析機制： (一 ) 基于統計的關聯分析； (二 ) 基于規則的關聯分析； (三 ) 基于資產、脆弱性的關聯分析； (四 ) 事件溯源 關聯分析 (五 ) 與工單系統關聯 無論是哪一種關聯分析方法，都需要具備一個基礎的模型框架作為工作基礎，本平臺所設計的關聯分析過程的數據流向以及各個模塊間的交互關系如下圖所示： 各個節點模塊的概念及功能說明如下： Cental Manager(CM)：關聯分 析模塊的中央管理，既是控制中心，又是服務中心。 聚合引擎（ Aggregation Engine， AE）是處于收集代理之上第一層事件處理引擎。發生聚合時，首一事件的聚合次數被設置為聚合事件的個數，并代替其余事件向后續關聯引擎傳播。 在系統中，規則關聯分析引擎（ Rulebased Correlation Engine， RCE）處于聚合引擎和漏洞關聯引 擎（ Vulnerability Correlation Engine， VCE）之后，其目的是接收來自于 AE和 VCE 的安全事件，并將事件以攻擊場景匹配的方式生成新的安全事件。 這種規則是為了描述 主機的應用服務器在 8080 端口上的應用服務重啟。 這種規則描述了一套應用服務中， 與 為雙機熱備的數據庫， 為使用數據庫的應用服務器。二者在結構上是相同。 S t a t e I n s t a n c eC o n d i t i o nC r i t e r i aS u c c e s s A c t i o nT r a n s i t T r a n s i t T r a n s i tS c r i p tT i m e o u t A c t i o nI D T i m e o u t T h r e s h o l d Action（ SuccessAction/TimeoutAction） A c t i o nI D n a m e e x i t a l a r m i d s e r v e r i t y m e s s a g e Action 是規則狀態匹配的結果，當狀態進行匹配時，狀態的某些結果是制定規則時比較關心的內容，比如規則中的一個狀態 如果被匹配成功或者超時，這可能意味著形成了某種關聯事件，此時需要產生一種行為來表示這種結果，這種表示結果的行為就是產生一個 Action。根據 IDS 產生安全日志的時間以及日志中包含的脆弱性信息，和實際掃描的脆弱性信息進行關聯對比，根據不同的對比結果，對安全事件定義不同的危險等級。表示系統中沒有該監控對象的歷史脆弱性信息，或者存在的脆 弱性信息與事件所描述的脆弱性信息完全不相似。表示系統中的歷史脆弱性 信息與事件中描述的脆弱性信息基本匹配，但是歷史脆弱性信息的日期晚于事件中的脆弱性信息，這說明可能是由于資產已經安裝了相應的補丁。 ? 按照事件類別進行展示，包括：安全事件、性能事件、故障事件、脆弱性事件等。 多種風險告警展示方式 該平臺提供了多種類型實時風險告警展示功能 ，可以隨著系統的脆弱性和安全事件的更新動態顯示相關安全風險告警： 實時顯示全局的風險告警 分 安全域 實時顯示風險告警 分類別實時顯示風險告警 分資產實時顯示風險告警 該平臺以圖標閃爍方式顯示風險告警 一定時間內的風險變化趨勢 待處理安全 事件的變化趨勢 引起風險變化的資產信息 安全統計告警圖示 安全事件等級圖 脆弱性等級圖 安全事件類型圖 脆弱性名稱圖 安全事件統計圖 脆弱性統計圖等。脆弱性信息經過標準化后存放 在數據庫中，同時與資產信息直接關聯，使得管理員能對每個資產的脆弱性一目了然。 掃描軟件支持：榕基 RJiTOP 漏洞掃描器、啟明漏洞掃描器、 綠盟公司極光漏洞掃描系統、 Nessus 等。 脆弱性統計結果的輸出，可以輸出為： xls、 pdf、 txt、 html 等格式，或者直接通過輸出為打印。 所有工單的操作都必須具有閉環特性。對于延時審批或者重新處理操作，工單再次進入處理中狀態。 NetEye 安全管理平臺系統提供了 強大的 報表功能： 預定義 了 14 種不同安全層面的圖形 化 統計功能； 預定義了 4 種針對業務設計的報表功能； 預定義了 2 種針對安全事件分析的綜合統計功能； 用戶 可根據自己 不同 的 需求 ，靈活 定制不同的統計報表；