soc方案標準版(更新版)

　　

【正文】 n，則 mn??2 。 聚合引擎根據事件的關鍵詞序列將同一系列的事件進行聚合。 Vulnerability Correlation(VCE)：脆弱性關聯，檢查并標明事件所隱含的脆弱性信息。 該平臺對安全信息經過標準化后的內容包括： ? 事件編號：產生安全事件的序列號； ? 事件名稱：該事件的名稱； ? 資產名稱：發現事件的資產名稱； ? 事件類別：安全事件的所屬類別 ，如：拒絕服務、非授權訪問、緩沖區溢出、網絡協議等； ? 緊急程度：該事件的嚴重級別； ? 事件內容：該事件的具體內容； ? 事件發生時間：該事件發生的具體時間； ? 協議：該事件所使用的協議； ? 源 IP/源端口：發生該事件相關的源 IP/源端口； ? 目的 IP/目的端口：發生該事件相關的目的 IP/目的端口； ? 保留字段：可擴充的其他內容。數據來源設備 能夠向 數據獲取組件 發送日志 信息，發送的格式 可以是網絡協議也可以是通過自定義的格式。 資產管理的主要功能是對資產 進行 管理 ，包括：資產歸類， 資產信息的錄入 ，資產信息的批量 導入 和到處， 資產賦值 ， 資產屬性編輯等功能。 Agent：原始日志采集代理，根據不同的采集方式，使用不同的采集代理進程。通過展示平臺，我們能夠查看資產分布狀態、關注區域的安全狀況、安全事件的發生趨勢、各類資產的脆弱性狀況等；通過展示平臺，最終完成對資產管理、安全信息監控、脆弱性管理、安全事件處理、安全知識管理、安全策略管理、安全狀況評估、安全預警各功能模塊的配置；通過展示平臺，最終完成報表的生成、輸出（保存和打印）等。 數據處理層 數據處理層負責對采集到的原始安全信息進行分析處理。 審計系統漏洞掃描系統入侵檢測防火墻防病毒網絡設備主機設備應用系統日志服務器網管服務器其他……數據來源數據采集數據處理SNMPSYSLOGODBC/JDBC擴充協議展示平臺應用服務關 聯 分 析格 式 標 準 化數 據 歸 并數 據 壓 縮數據庫條 件 關 聯資 源 配 置 平 臺分 組 過 濾處 理 結 果文件HTTP/XML知 識 共 享 模 板 定 制 策 略 定 義 安 全 域 定 義安 全 制 度預 警 分 析 事 件 溯 源流 量 定 義上 級S O C下 級S O C應 用 分 析工 作 流驅 動安 全 響 應風 險 分 析抽 樣 分 析 模 式 匹 配 異 常 檢 測資 產 管 理 脆 弱 性 管 理風 險 管 理安 全 信 息 監 控安 全 預 警工 單 管 理策 略 管 理 安 全 知 識 管 理故 障 信 息 顯 示 報 表 管 理組 織 管 理用 戶 定 制防 火 墻短 信E M a i lS Y S L O G? ? ? 數據采集層： 根據要求 從網絡設備、安全設備、主機系統等數據來源 采集 各種安全信息。 ? 工單流轉過程主要為網狀結構，即任何一個部門任何一種類型的工單可依據生產的需要流轉至其他部門； ? 一單多派，出于派發任務和處理工作的簡潔性，一個工單可以同時發送到不同的部門，各個部門可以在自己的受理意見欄中填寫意見。對處理的安全事件的結果進行完整記錄和備案，以便后期考核審查。 b. 安全事件處理的流程，該流程的定制包括：一系列的步驟，每一個步驟都包括相關人員（可以有多個），通知相關人員的方式（可以有多種），以及動作。具體功能描述如下： 安全信息收集策略 負責制定安全信息的收集策略，可定制的內容包含如下： 1. 針對不同的收集引擎可以配置不同的策略。 SOC 安全管理平臺正是在這種背景下，為銜接安全管理和安全技術、通過管理指揮技術、有效提升用戶的網絡安全管理水平、降低網絡安全風險而推出的計算機輔助工具。對于查詢 /統計結果等，提供可選的打印功能，并提供電子文檔的存 儲功能。在標準性原則選擇時應重點考慮國家安全等級保護，國家局發布的行業信息安全標準，在 IT 運維流程管理應重點參考國際權威 ITIL 運維標準流程。 因此， SOC 系統實現對各種安全子系統的集中安全管理，是整個網絡系統安全的決策和控制管理中心。 3. NetEye 安全管理平臺是為網管人員提供檢測和管理組織網絡安全的技術手段，其通過風險管理展示了組織當前的網絡安全風險狀況，同時給出降低安全風險的方法，驅動 IT 維護人員進行降低安全風險、解決安全問題的工作，使得管理員能夠將降低安全風險在安全事件發生之前，在日常工作中有效的完成，并且可以降低組織的管理成本。SOC 安全管理平臺技術解決方案 一 . 概述 安全 管理 平臺設計方案的內容包括：安全監 控管理、資產管理、安全事件管理、安全預警管理、安全響應管理、 知識庫管理、報表管理 。 2. NetEye 安全管理平臺 是一個以資產為核心的管理體系， 首先需要完成組織的資產調查，建立資產數據庫，進行資產管理，清晰展示資產的“價值”和分布。 ? 安全服務病毒防護系統控制功能，實現對全網病毒狀態可知。 安全管理平臺設計原則 ? 標準性 安管平臺的軟件開發、安全產品的 工業設計要符合國家有關技術標準。提示信息通俗易懂，操作及選擇鍵（熱鍵、菜單選擇等）的功能定義在全系統保持一致。 安全管理平臺的目的 網絡中大量信息安全產品的部署 面臨的網絡安全 事件 日志審計的 管理問題，主要是不知道通過何種機制將安全管理和安全技術銜接在一起，以至于缺少一個 “ 能清晰描述、展示 網絡 的安全風險有多大，并且提供降低風險的方法，以驅動 IT 維護人員降低安全風險，解決安全問題 ” 的安全管理體系 。該策略模塊中的所有策略均支持多維度的查詢。 1) 安全事件處理策略針對每一種安全事件都可以定制的處理策略，該策略用流程來表示，可定制的內容包括： a. 安全事件匹配規則，該規則可以根據安全事件的內容的各個部分進行定制。每一步處理步驟包括通知相關人員，給相關人員發送指令、跟蹤相關人員的指令完成情況以及調動相關資源做出響應等。 工單 設計 安全事件處理模塊的設計思想就是要實現工單的電子化處理功能，通過計算機系統代替以 前的手動工單處理流程，通過電子流程再現、規范和優化網絡維護部門的運維工作流程，實現 “ 把工作嵌入流程中，把人嵌入工作中 ” 的高效運維工作模式，從而更好地提高用戶的工作效率。 三 . 東軟安全管理平臺的體系 結構 NetEye 安全管理平臺 的體系結構從總體上可分為數據采集、數據處理、應用服務、展示平臺四個邏輯層次。采集的對象包括： ? 路由器、交換機、幀中繼等網絡設備上相關的安全信息； ? 漏洞掃描子系統、入侵檢測子系統、防火墻子系統和防病毒子系統的安全信息，通過其各自的控制臺輸出，由數據采集層來接收采集； ? 主機系統的安全信息，由數據采集層直接從主機系統進行收集； ? 從日志服務器、網管服務器收集相關的安全信息； 數據采集層將所采集到的數據進行簡單歸并處 理，作為數據處理層的原始數據。 統一展示平臺 展示平臺實現了 NetEye 安全管理平臺 的統一 界面展示 。 Rulebased Correlation(RCE)：規則關聯，使用一系列自定義規則將一系列事件關聯起來形成意義更完整的新事 件。 資產 管理 方式 NetEye 安全管理平臺 系統 提供靈活、方便的 Web 方式，供管理員它將其所轄 IP設備資產信息按其重要程度進行分 類和登記入庫，為其他安全管理模塊提供信息 基礎 。此接口主要是通過數據獲取組件來實現。該平臺將從包括主機系統、網絡系統、業務系統、數據庫系統、安全系統在內的各 IT系統收到的安全事件按照統一格式進行標準化處理，存儲到一個通用數據庫中，為平臺后期根據定制的安全策略分析數據提供基礎。 Aggregation Engine(AE)：聚合引擎，根據事件的關鍵詞檢查并標明一系列事件的等同性。 AE 接受多個代理發送的規范化的安全事件，根據事件的聚合條件（ Criteria），檢驗并聚合事件，最后根據結果類型，將聚合 后的事件發送到后續的高級關聯引擎（ Correlation Engine）。 從事件的流量上看，聚合引擎起到了一定的流量衰減作用。模塊的內部是該引擎的線程，線程分別為事件監聽線程、事件分配線程、動態工作線程、靜態工作線程、垃圾回收線程、入庫線程、結果處理線程、動靜態線程平衡、發送線程、引擎主線 程和心跳線程。 分 支選擇結構規則 S 1S 2 S 3D e v t y p e = 1 0S E V E R I T Y _ I D = 2S 1A P P _ S E V E R I T Y = 3T 2A P P _ S E V E R I T Y 3T 3D e v t y p e = 1 0S I P = p r e E v e n t . S I PM s g L I K E “ % f a i l d o w n % ”S 2D e v t y p e = 1 0S I P = p r e E v e n t . S I PM s g L I K E “ % r e b o o t % ”S 3 該規則包含三個狀態節點： S1 定義為 Devtype= SEVERITY_ID=2； S2 定義為 Deytype= SIP=、 Msg LIKE “％ fail down％”； S2 定義為 Deytype= SIP=、 Msg LIKE “％ reboot％”。 該規則包含兩個條件的分支： T2 定義為 {}30； T3 定義為 {}=30。當然，這種上下層之間的關系是相對的，狀態之間的關系更類似于前驅后續的關系，前驅與后續之間的關系會隨著規則的匹配進行發生改變。靜態樹容器中的數量與規則的數量相同，與規則一一對應，當對規則進行增刪改操作時，通知系統將靜態樹容器做相應的調整，并立即生效。 N o t I D SI s I D S ?NYD o C o r r e l a t i o n F o r A s s e t s ?E x i s t A s s e t ? N o A s s e tS c a n E x i t s ?0 N o t e n o u g h i n f o r m a t i o nE x i s t s S c a n C V E ?E x i s t s I D S C V E ?NNNYYYY6 V u l n e r a b l eM a t c h ?YNNNP r o t o c o l = I C M P | | P o r t M a t c h ?1 P o r t n o t v u l n e r a b l eYNH a v e S c a n C V E amp。 5) 2 Operating system not vulnerable：操作系統非易受攻擊。 9) 6 Vulnerable：表示系統中的歷史脆弱性信息與事件中描述的脆弱性信息匹配。 ? 對事件進行溯源，追溯 生成事件的原始告警日志。管理員可以隨時查看所有資產的風險狀況；隨時根據資產的風險狀況進行排序，集中關注高風險的資產清單。 NetEye 安全管理平臺系統通過三種方式實現脆弱性信息的收集： 通過定期導入漏洞掃描軟件的評估結果 ； 通過 NetEye 安全管 理平臺系統集成漏洞掃描產品、調度掃描任務， 對網絡中主機系統和網絡設備 的 安全脆弱性信息 進行 收集 。 脆弱性展示 該平臺根據漏洞名稱、漏洞等級、 IP 地址、資產名稱等關鍵字對掃描結果進行統計分析 , 從而在驗證檢測結果正確性的同時，將資產屬性與其掃描結果結合起來，進行脆弱性展示。 事件響應機制 當 NetEye 安全管理平臺系統在經過智能 關聯分析后，對發現的安全事件、性能事件、故障事件和脆弱性事件進行及時的響應，響應機制包括： 屏幕顯示響應，以 TOP N 等進行顯示、以列表形式顯示等； 聲音報警響應； 郵件報警響應； 短信提醒； 以工單形式進入事件處理流程； 工單的產生 工單產生來自主機系統、數據庫系統、中間件系統、安全設備、網絡系統以及風險告警等多方面產生的告警和提示信息。 NetEye 安全管理平臺系統的事件處理流程，能夠滿足企業用戶對事件處理流程管理的要求。如： 系統目前有多少待處理的工單 、 多少 工單 正在處理 過程 中 、 多少 工單 已經處理完畢 等 。 網絡拓撲自動發現 NetEye 安全管理平臺 系統在實現 網絡拓撲自動發現 時， 能夠自動識別各種主機、路由器、交換機等設備類型，以及它們之間