soc方案標準版(存儲版)

　　

【正文】 報表的數據，可以根據特定的時間段或者時間周期生成 日、周、月、季和年報 ； 可根據時間、源 IP、目的 IP、源端口、目的端口等各種條件及條件組合生成TOP N 的統計報表； 為 不同人員（技術人員、業務主管、領導）的需要， 在系統中預定義了多種報表樣式。系統能夠自動發現網絡節點 （包括路由器，交換機和第二層的交換設備等），檢測網絡設備連接，生成和保持 TCP/IP 網絡圖 ， 在網絡拓撲發現過程中 ， 不需要人工 進行 干預 。一般情況下，網絡管理系統首先都要進行必要的拓撲發現、拓撲監控、拓撲操作，從而充分了解網絡系統的運行情況。 綜合顯示與報表模塊 報表是日常工作 必不可少 的統計工具 。 對于待審批狀態的工單，監督人員可以進行關閉或延時審批操作，或者要求進行重新處理。 工單 的操作 對工單的操作過程需要根據對工單策略的定義來進行。 ? 以列表方式展示：顯示 TOP N 脆弱性列表，以及每個脆弱性的詳細信息。脆弱性信息經過標準化后存放在數據庫中，同時與資產信息直接關聯，使得管理員對于每個資產的脆弱性一目了然。 脆弱性管理模塊 脆弱性管理主要是針對服務器、網絡和終端主機設備等資產存在的安全脆弱性和可利用的脆弱性進行管理。風險的計算是以資產為基礎，結合資產的價值及信息資產的安全屬性、脆弱性進行計算而得，是安全人員進行風險 管理 的有力依據。該平臺可根據事件的不同性質和類別，及時產生告警信息，并可自動觸發工單系統督促相關責任人進行快速查處。表示事件中所描述的端口確實存在脆弱性。 2) NoAsset：表示系統配置要求在進行脆弱性關聯分析時必須有與之對應的監控對象存在，但實際卻沒有該監控對象。 在 超 時的 時 間內 完 成了 匹配 ， 并且 數 量滿 足克隆靜 態 樹 容 器 動 態 樹 容 器 (三 ) （三）基于資產、脆弱性的關聯分析 對于 IDS（入侵檢測系統）等所報的大量安全日志，很有可能存在誤報。在設計上，狀態實例中包含一些狀態在匹配過程的動態信息以及匹配過程需要使用的方法，而狀態則是一種純靜態信息描述。規則實例是在系統運行中，實際參與匹配過程的規則的副本。 合并結構規則 S 1 S 2S 3S I P = 1 0 . 1 . 1 . 3A P P L I C A T I O N _ N A M E = o r a c l eM s g L I K E “ % a p p l i c a t i o n d o w n % ”S 1S I P = 1 0 . 1 . 1 . 5A P P L I C A T I O N _ N A M E = o r a c l eM s g L I K E “ % a p p l i c a t i o n d o w n % ”S 2S I P = 1 0 . 1 . 1 . 7A P P L I C A T I O N _ N A M E = t o m c a tM s g L I K E “ % c o n n e c t d b e r r o r % ”S 3A N D 該規則包含三個狀態節點： S1 定義為 SIP=、 Msg LIKE “％ application down％”； S2 定義為 SIP=、 Msg LIKE “％ application down％”； S2 定義為 SIP=、 Msg LIKE “％ connect db error％”。 這種規則是為了描述 主機的應用服務器在 8080 端口上的應用服務停止。 通過規則關聯分析 能夠匹配一個攻擊事件發生的一系列步驟或幾個關鍵步驟，而且能夠組合一個攻擊發生在不同主機上的多個事件。兩個以上事件如果關鍵詞一致，認為是等同事件。 Agent：原始日志采集代理，根據不同的采集方式，使用不同的采集代理進程。為了提高 NetEye 安全管理平臺系統數據分析的準確性，該平臺能夠自動對收集上來的安全告警日志數據進行一定的關聯分析處理，幫助用戶發現有效的安全事 件。 然后 處理這些日志并轉換成安全信息，安全信息 將作為后續 模塊 的輸入。 可管理的資產類型 NetEye 安全管理平臺系統目前支持的資產類型包括： ? 主 機 系 統 ， 包 括 ： Windows2020/2020/2020 服 務 器 系 統 、Windows2020/XP/VISTA 終端系統、 AIX 服務器系統、 Linux 系統、 Solaris服務器系統等 ； ? 安全設備，包括國內外主流的安全設備，包括：防火墻、入侵檢測系統、防病毒系統、審計系統、反垃圾郵件系統、漏洞掃描系統、身份認證系統等； ? 中間件系統 ，包括國際主流的大型企業級應用中間件等； ? 數據庫系統，包括國際主流的大型數據庫 等 ； ? 網絡設備，包括國內外主流的路由器、交換機 等 ； ? 支持 tel 和 ssh 方式對設備進行控制，并提供協議擴展，內置了對防火墻、路由器、交換機、 Linux 操作系統、 Windows 操作系統及 UNIX 操作系統等設備的支持，并可以根據用戶實際需要進行擴展。 NetEye 安全管理平臺 系統所 管理的資產包括 ： ? 主機設備 ； ? 網絡設備 ； ? 業務系統 ； ? 數據庫系統 ； ? 其他與信息系統相關的 資產。 Cental Manager(CM)：關聯分析模 塊的中央管理，既是控制中心，又是服務中心。 數據處理層必須將采集到的原始安全信息與通過應用服務層存儲的資產信息進行關聯分析，以從海量的原始安全信息中提取出有價值的安全信息，為有效降低風險提供準確依據。 ? 應用服務層：從數據庫中提取信息，并按照策略完成數據的過濾、條件分析，為展示平臺提供數據支持；同時還是展示平臺進行資源配置的接口。 工單管理包括生成工單、啟動工單、審核工單、撤銷工單、接收工單、解決工單、結束工單、抄送工單、送審駁回工單、處理駁回工單等功能，另外輔以工單統計查詢、歷史記錄和經驗庫功能，完全能為用戶建立起靈活的電子工作處理流程，使得安全管理平臺不僅管理安全設備，還管理組織和個人。 ? 提供工單處理經驗庫功能，即：運維部門在處理安全事件工單時，可根據處理內容的關鍵字信息查詢工單處理經驗庫中符合該事件類型的事件原因分析、事件處理步驟等信息，獲得相應的處理經驗。 2) 安全事件處理結果的策略控制對安全事件處理結果的處理，該策略可定制的內容包括： a. 記錄安全處理結果的格式 b. 安全處理結果的存儲目的地（可以是系統中或者通知相關人員） c. 安全處理結果形成報表的格式以及觸發條件（事件、時間等） 安全知識管理策略 控制對安全知識的訪問控制，可定制的內容包括：安全知識的訪問控制策略（針對用戶、地址等）、安全知識的發送列表。 3. 可自定義的定制收集內容，包括： Cisco 的路由和交換設備、 綠盟的分布式硬件漏洞掃描（極光）、 華為的路由和交換設備、 Windows 系列、 Sun Solaris 系列、IBM AIX 系列、東軟防火墻、天融信防火墻、 Cisco PIX、啟明星辰的 IDS 和漏洞掃描設備、 Rising殺毒產品、 Symantec 防病毒產品、 HP OpenView、 Cisco CiscoWorks、ACS 服務器、 Syslog 服務器、 SNMP 協議、文本格式、 ODBC 協議等，以及對其他內容的可擴展性支持。 安全管理平臺解決的安全管理問題 1. SOC 安全管理平臺是一個以資產為核心的管理體系，首先需要完成組織的資產調查，建立資產數據庫，進行資產管理，通過對信息資產進行風險評估，可以清楚的展示出組織當前的安全狀況，安全風險有多大。 安全管理 平臺 體系的劃分 需求提出的安全管理平臺 邏輯體系結構要求 的 5 層： （ 1）安全策略決策 （ 2）安全策略協調層（ 3）安全策略執行層 東軟安全管理平臺的安全策略管理與決策主要通過安全策略管理模塊完成 .安全策略管理分為資產信息管理策略、安全信息收集策略、安全 信息分析策略、脆弱性管理策略、安全事件處理策略、安全知識管理策略和安全狀況評估策略。 ? 擴展性 安管平臺應采用模塊化設計，系統配置的升級不會引起應用級軟件的修改和開發；系統軟件升級不會影響原有策略；平臺的應用軟件結構應能保證功能的易于擴展和升級。 二 . SOC 安全管理平臺 解決 方案 NetEye 安全管理平臺通過 SNMP Trap、 SYSLOG、 ODBC/JDBC、 HTTP/XML、文件以及其他擴充協議等方式從網絡設備、安全設備、主機系統等多種數據源收集安全信息，經過過濾、匯總和關聯分析后，標識其緊急程度，一方面以規定的格式存儲到數據庫內，另一方面以多種方式實時響應。 系統實現對各安全子系統的統一安全管理。 NetEye SOC 以信息資產為核心，以風險管理為主要途徑，通過技術手段提升網絡安全管理成熟度，建立主動安全防御體系、有效降低安全風險。所有的信息與資產關聯，完成風險分析、風險監視與風險處理。 ? 安 全服務漏洞掃描系統，對全網進行漏洞分析、威脅分析、風險分析等。 SOC 安全管理平臺， 主要收 集整合來自各種網絡安全部件、系統或應用產生的大量告警報告和日志信息，并結合目標網絡環境從海量信息中提取用戶關心的信息，并以用戶易于理解的形成呈現給用戶。 ? 易操作性 安管平臺的用戶界面采用 B/S 架構，從主界面的布置、菜單結構設計、登錄程度設計、語言描述、策略結構設計、報警方式和報表結構等方面完全符合中國人的使用習慣。對所有的登陸信息和操作信息進行日志記錄，包括用戶的 IP地址、時間等內容。 安全策略管理實現 安 全策略管理旨在控制整個網絡安全監控平臺和安全分析系統的策略，指導網絡安全監控平臺和安全分析系統如何運作，并且根據運行的情況不斷地調整相應的策略。 脆弱性管理策略 負責在定制的事件對系統的部門或整體進行脆弱性分析的策略，可定制的內容包含： 分析的事件范圍（起始，終止時間，時間間隔等）、分析的系統范圍、分析采用的方法等。 安全事件處理 工單 的實現 安全事件處理功能是日志審計平臺的核心功能。 ? 安全事件處理的結果報表支持多種條件的報表定制（這些條件包括所有可以用于查詢的條件和查詢的表現形式），支持手動和自動報表產生，報表的格式支持文本、數據庫等多種格式。 NetEye 安全管理平臺 系統提供了 強大的 報表功能： 預定義 了 14 種不同安全層面的圖形 化 統計功能； 預定義了 4 種針對業務設計的報表功能； 預定義了 2 種針對安全事件分析的綜合統計功能； 用戶 可根據自己 不同 的 需求 ，靈活 定制不同的統計報表； 報表的數據，可以根據特定的時間段或者時間周期生成 日、周、月、季和年報 ； 可根據時間、源 IP、目的 IP、源端口、目的端口等各種條件及條件組合生成TOP N 的統計報表； 為 不同人員（技術人員、業務主管、領導）的需要， 在系統中預定義了多種報表樣式。 數據采集層 數據采集層負責 根據 策略 采集 各種安全信息。 展示平臺通過應用服務層從數據庫中提取信息，按照定制策略進行數據過濾、條件分析，以完成資產信息統計、脆弱性統計、工單統計、報表輸出等。 Aggregation Engine(AE)：聚合引擎，根據事件的關鍵詞檢查并標明一系列事件的等同性。 NetEye 安全管理平臺系統支持資產保密性、完整性、可用性的分級評估，從而實施不同的安全防護 等級。 事件管理模塊 將采用異構數據集成技術， 將這些孤立的數據源集成起來，提供一個統一的視圖，從這些資源數據中獲取所需要的信息。該平臺支持多種數據采集協 議和接口，包括： SYSLOG 、 SNMP Trap、 SNMP 輪詢、 Tel/SSH、 HTTP、 JMX、 ODBC、 SOAP/XML、專用 Agent 等。 CM 作為控制中心，提供了對整個模塊中各進程的實時監控和配置管理接口。同時，聚合引擎的輸出將作為其它高級關聯引擎（例如規則關聯引擎、脆弱性關聯引擎）的輸入。 此外，聚合引擎還負責將事件新增到數據庫中，并在聚合發生時，更新事件的聚合次數以及蔓延時間等聚合信息。 RCE 的主要用例有：事件監聽、事件分配、事件匹配規則、入庫和發送給其它引擎。 分支結構規則 S 1S 2 S 3 S 4S I P = “ 1 0 . 1 . 1 . 3 ”M s g L I K E “ % s s h l o g i n % ”S 1S I P = “ 1 0 . 1 . 1 . 3 ”M s g L I K E “ % s y s l o g d s t o p % ”S 3S I P = “ 1 0 . 1 . 1 . 3 ”M s g L I K E “ % r e b o o t % ”S 2S I P = “ 1 0 . 1 . 1 . 3 ”M s g L I K E “ % r o o t p w d c h a n g e d % ”S 4 該規則包含四個狀態節 點： S1 定義為 SIP=、 Msg