soc方案標準版-文庫吧在線文庫

　　

【正文】 LIKE “ ％ ssh login％ ” ； S2 定義為 SIP=、 Msg LIKE “ ％ reboot％ ” ； S3 定義為 SIP=、 Msg LIKE “％ syslogd stop％”； S4 定義為 SIP=、 Msg LIKE “％ root pwd changed％”。當雙機熱備的數據庫都出現癱瘓，而且應用服務器確實無法連接數據庫時，則表示產生了該應用系統無法正常使用的安全事件。 規則是由一系列狀態組成的類似于有向圖的數據結構，規則中的每一個單元都是一個狀態。 規則的激活點 匹配規則的過程中，系統維護一個容器，該容器存儲的是激活的狀態，當頂層的狀態匹配成功時，下層的狀態全部被激活，將頂層的對象在容器中刪除，再將激活的狀態加入到容器中，事件來時只匹配激活點，如圖所示 靜態容器（ RuleContainer） 規則關聯引擎分中，存放規則實例的有兩個容器，靜態容器和動態容器。 脆弱性關聯分析進一步將來自聚合引擎或者規則關聯引擎的安全事件與系統中已掌握的脆弱性信息進行關聯分析，以 CVE、 Bugtraq、受影響操作系統、監控對象開放端口以及漏洞的發現及發布時間為依據進行匹配分析，根據不同的匹配結果定義出不同的匹配結果等級，以便 NetEye 安全管理平臺系統更加準確地判斷 安全事件 的等級及危害情況。 4) 1 Port not vulnerable：端口非易受攻擊。 8) 5Likely vulnerable：很可能是脆弱性。 ? 按照統計數據展示，包括：最新安全事件、事件最多的資產、最新脆弱性事件等。 NetEye 安全管理平臺系統結合資產的當前風險情況和以往風險情況，展示資產的風險告警變化趨勢。安管平臺應能支持通過自定義掃描任務計劃的方式驅動漏洞掃描軟件，按計劃執行脆弱性收集工作，將掃描結果自動導入保存到運維平臺的關系型數據庫中，可以直接在安管平臺提供對掃描結果的查詢，并展現到平臺界面上。 掃描策略 該平臺支持制定多種掃描策略，策略內容包括：掃描周期、掃描范圍、掃描詳細策略等，亦可通過其它安全事件的監控信息自動生成掃描策略，來隨時觸發掃描動作。 事件響應與報警模塊 當 NetEye 安全管理平臺系統在經過智能關聯分析后，對發現的安全事件、性能事件、故障事件和脆弱性事件進行及時的響應和處理。工單處理完成后，要由監管人員決定是否將工單關閉；對于未能完成的工單，也要由監管人員決定是否將工單掛起或取消工單。 對于已關閉的工單，監督人員可以根據工單處理過程和結果生成公告或案例，也可以直接刪除已關閉工單。同時，運行用戶對報表的樣式進行 靈活的定制 ，報表的樣式 和內容的定制均 可以 通過界面方便、直觀地 操作 ； 內置了多種報表模板； 大數據量的報表可以根據需要在指定的時間自動生成； 報表輸出的文件格式支持 Excel、 Doc、 PDF、 HTML 等多種標準格式。 2) 自動發現輪詢間隔靈活設定 ； 用戶可以根據管理需要自行設定網絡設備自動發現輪詢時間間隔 （ 最小時間間隔 1分鐘 ） 。 網絡拓撲 管理 拓撲管理作為網絡管理的基本功能，是網管中最基本的也是最重要的組成部分。平臺系統支持監督人員增加對工單處理情況的 記錄 ，從而實現對相關人員進行績效考核。對于新生成的處理中工單，處理人可以對其進行處理、申請延時或申請關閉操作，然后工單進入待審批狀態；監督人可以修改其處理時限，或者直接關閉處理中工單，然后工單將進入已關閉狀態。通過對工單產生策略的定義，所有可能對信息系統的正常運行造成影響的事件都可以觸發工單的產生。 ? 脆弱性信息的統計展示，可通過以下方式實現： ? 以坐標方式展示：橫軸為脆弱性名稱，縱軸為脆弱性發現的次數，不同的脆弱性用不同的顏色表示。 通過上述兩種方式 及時掌握網絡中重要主機系統 、業務系統 和網絡設備的最新的脆弱性。 NetEye 安全管理平臺系統 支持根據資 產價值、脆弱性、安全等級等條件生成相應的風險評估報告，并將報告保存為 word、 Excel、 pdf、 html 等文件格式，并支持打印， 為 報告提交和存檔 提供基礎 。 風險評估與預警 NetEye 安全管理平臺 系統 的風險 評估與預警 模塊以 國家風險評估指南規范 為指導， 將 JDL（ Joint Director of Laboratories）模型 作為參考， 經過多年考驗的東軟安全服務的風險計算方法作為風險計算方法。 (五 ) 與工單系統關聯 安全 事件是產生告警信息和觸發工單系統的來源之一。 6) 3 Destination port open：目標端口開放。 H a v e I D S C V E ?NP o r t o c o l = I C M P ?Y0 N o t e n o u g h i n f o r m a t i o nY3 D e s t i n a t i o n p o r t o p e n2 O p e r a t i n g s y s t e m n o t v u l n e r a b l eO S M a t c h ?NYI D S M a x D a t e S c a n M i n D a t e ?4 M a y b e v u l n e r a b l e5 L i k e l y v u l n e r a b l eYNYN 進行脆弱性信息匹配過程中，可能存在如下幾種狀態： 1) NotIDS：表示進入 VC 的事件并不是 IDS 設備所產生的事件。動態容器是一個鏈表。狀態實例是在系統運行中，實際參與匹配過程的狀態的副本。 規則 /規則實例（ Rule/RuleInstance） 規則是對一組相關安全事件描述，用于在進行規則匹配操作時捕獲一系列相關聯的事件。 這種規則是描述了，當某種類型編號為 10 的設備產生告警等級為 2的安全事件后，根據該事件的應用告警等級的不同，分別可能會產生不同的情況： 當應用告警等級大于或等于 3時，該設備后續可能產生導致系統癱瘓的安全事件； 當應用告警等級小于 3時，該設備后續可能產生導致系統重啟的安全事件。 簡單規則 S 1S I P = “ 1 0 . 1 . 1 . 3 ”S p o r t = “ 8 0 8 0 ”M s g L I K E “ % a p p l i c a t i o n s t o p % ”S 1 該規則只有一個狀態節點： S1 定義為 SIP=、 SPort=8080、 Msg LIKE “ ％ application stop％ ” 。 (二 ) 基于規則的關聯 分析 所謂規則關聯分析（ Rulebased Correlation， RC），是通過規則關聯引擎（ Rulebased Correlation Engine， RCE）來實現的，規則關聯引擎接收來自收集代 理的原始安全信息（即格式化以后的安全日志，也稱為原始安全事件），根據預定義的安全信息分析策略（也稱為規則關聯策略，即攻擊場景） 中定義的 規則 順序先后匹配多種設備的多個 原始安全 事件，將多個 原始安全 事件 通過規則匹配，生成一條關聯分析后 事件。關鍵詞序列存儲在數據庫中。 AE AE Central Manager DB Agent Agent Agent Desktop RC Engine fail over RPC Socket JDBC Mixed VC Engine WebServer Agent Rulebased Correlation(RCE)：規則關聯，使用一系列自定義規則將一系列事件關聯起來形成意義更完 整的新事件。 數據分析 數據分析模塊，實現對原始數據的核心處理。 數據獲取組件 收到日志 后， 需要經過一些 必要的 處理，包括去掉與設備無關的日志，去掉在短時間內出現 的 大量相同日志。 資產歸類工作包括： ? 按照資產的安全域進行歸類，并且可以為每個安全域指定一個管理員，將所在安全域授權給相應的管理員； ? 按照資產的業務屬性進行歸類； ? 按照資產的設備類型進行歸類； ? 按照資產的所屬網段進行歸類； 資產信息的屬性包括： ? 資產基本信息：資產編號、資產名稱、資產類型、所屬安全域、資產價值； ? 資產配置信息：資產的操作系統、接口數量 、 CPU、內存、硬盤、 IP 地址、MAC 地址、資產開放的端口； ? 資產備注信息： 生產廠家 、 資產負責人 、購置時間等 。 四 . SOC安全管理平臺功能模塊 資產管理 保護信息資產是安全管理體系建設的核心目標，所有信息的存放，例如事件、漏洞都是以資產的視角來查看的，因此資產管理是安全管理平臺的核心，是開展安全管理工作的基礎。 安全管理平臺組成 NetEye 安全管理平臺 包括顯示平臺、數據采集引擎、應用服務器、數據庫服務器，結合原始數據來源設備，構成完整的安全 管理 解決方案。 將從網絡設備、安全設備、主機系統等數據來源采集到的原始安全信息結合數據庫中的資產信息進行關聯分析，確認原始安全信息的真實性，并對確認后的安全信息進行格式標準化處理，按照指定的信息收集策略歸并安全信息，再經過特定的數據壓縮后，存儲到數據庫中。 ? 數據處理層：將采集到的原始安全信息進行關聯分析處理，并將所有安全信息進行格式標準化處理，根據策略進行數據歸并和壓縮后，存儲到數據庫中。工單的派發面向整個受理部門，可以避免因為工作人員的離崗而造成工作的延誤； ? 當告警發生時，系統會采用自動和手動兩種方式從相關系統獲取 告警等方面的信息，按照一定的過濾原則，提取出需要派發工單的信息，并從信息中提取出有用的信息生成相關的工單，同時提示監控人員有工單生成，監控人員審查工單，如需要派發工單，則將工單派發至相關部門。 安全工單管理具備如下能力特征： ? 當發現有安全事件發生時，自動生成安全事件處理工單，并立即調用服務程序通過聲音、圖形、短信、郵件、代理程序響應或彈出窗口等方式對相關人員 發進行提醒。并且流程中針對每個動作會進行跟蹤檢驗，針對每個動作的可能失敗情況給出相應的處理步驟。 2. 可自定義的定制收集范圍，包括：監控對象、事件類型、緊急 程度（事件級別）、發生時間、攻擊事件的發生源地址、攻擊事件的發生源端口、攻擊事件的目標地址、攻擊事件的發生目標端口、通信協議類型、應用層協議類型、事件刷新的時間間隔（事件發生的時間）、設備的唯一識別號或者名稱、事件級別、廠家、用戶自定義等。 SOC 安全管理平臺不能代替人工作，但確在很大程度上幫助人更好地來完成網絡安全運維管理工作。 ? 兼容性 安管平臺的軟件開發必須支持行業通用的技術標準和接口標準，通過 Syslog、SNMP、 ODBC、 XML 等方式，可以支持國內外主流的主機服務器 /網絡設備 /安全設備，主流的操作系統 /數據庫 /應用系統，能夠實現與各系統間良好的互聯互通和互操作。 ? 安全性 在安管平臺建設過程中，應采用成熟可靠的技術和產品，同時再配合以完善的項目控制規范和質量保證體系，從而保證安管平臺開發和運行的安全性。安全管理中心中的安全決策管理系統，負責對整個網絡中所有的安全子系統的信息進行綜合搜集分析，從而使網絡安全管理人員對整個網絡的風險情況了如指掌。 現狀及需求分析 目前國家藥品不良反應監測體系 SOC 系統的管理范圍包括：國家中心所有的網絡設備、安全設備、應用服務器，以及省中心的主要網絡設備和安全設備。 針對上述七個功能，我們推薦采用東軟公司的 NetEye 安全管理平臺（以下簡稱為 NetEye SOC）為本次項目的基礎工作平臺，同時依據項目實際需求進行必要的二次功能開發。 NetEye 安全管理平臺成為安全人員 在 安全運維過程中的一把利器 ，能夠更有效 地 回應不斷 變化的安全風險。 ? 安全服務安全審計功能，實現對安全日志的綜合分析。 并 能夠自動地對網絡安全信息進行深入分析，為用戶提供智能的網絡安全態勢分析和預警和多種網絡安全信息分析工具，及時地為用戶定位當前網絡中的安全問題提供支持，幫助用戶根據當前的網絡安全狀況、網絡環境及網絡安全策略等信息做出正確的安全事件響應決策。系統提供中文圖形化管理界面，直觀、易于理解和操作。 同時系統的數據庫具有強大的自維護功能 . 東軟安全管理平臺的體系結構請參考“東軟安全管理平臺體系結構” 部分。 安全策略管理分為資產信息管理策略、安全信息收集策略、安全信息分析策略、脆弱性管理策略、安全事件處理策略、安全知識管理策略和安全狀況評估策略。 安全事件處理策略 包括安全事件處理策略和安全事件處理結果的策略。針對安全信息監控管理模塊和脆弱性管理模塊分析出的安全事件按照預先制定好的流程進行處理。 ? 對處理的安全事件的結果進行完整記錄和備案，以便后期考核審查。同時，運行用戶對報表的樣式進行 靈活的定制 ，報表的樣式 和內容的定制均 可以 通過界面方便、直觀地 操作 ； 內置了多種報表模板； 大數據量的報表可以根據需要在指定的時間自動生成； 報表輸出的文件格式支持 Excel、 Doc、 PDF、 HTML 等多