soc方案標準版(專業版)

　　

【正文】 網絡拓撲自動發現 NetEye 安全管理平臺 系統在實現 網絡拓撲自動發現 時， 能夠自動識別各種主機、路由器、交換機等設備類型，以及它們之間的關系。 NetEye 安全管理平臺系統的事件處理流程，能夠滿足企業用戶對事件處理流程管理的要求。 脆弱性展示 該平臺根據漏洞名稱、漏洞等級、 IP 地址、資產名稱等關鍵字對掃描結果進行統計分析 , 從而在驗證檢測結果正確性的同時，將資產屬性與其掃描結果結合起來，進行脆弱性展示。管理員可以隨時查看所有資產的風險狀況；隨時根據資產的風險狀況進行排序，集中關注高風險的資產清單。 9) 6 Vulnerable：表示系統中的歷史脆弱性信息與事件中描述的脆弱性信息匹配。 N o t I D SI s I D S ?NYD o C o r r e l a t i o n F o r A s s e t s ?E x i s t A s s e t ? N o A s s e tS c a n E x i t s ?0 N o t e n o u g h i n f o r m a t i o nE x i s t s S c a n C V E ?E x i s t s I D S C V E ?NNNYYYY6 V u l n e r a b l eM a t c h ?YNNNP r o t o c o l = I C M P | | P o r t M a t c h ?1 P o r t n o t v u l n e r a b l eYNH a v e S c a n C V E amp。當然，這種上下層之間的關系是相對的，狀態之間的關系更類似于前驅后續的關系，前驅與后續之間的關系會隨著規則的匹配進行發生改變。 分 支選擇結構規則 S 1S 2 S 3D e v t y p e = 1 0S E V E R I T Y _ I D = 2S 1A P P _ S E V E R I T Y = 3T 2A P P _ S E V E R I T Y 3T 3D e v t y p e = 1 0S I P = p r e E v e n t . S I PM s g L I K E “ % f a i l d o w n % ”S 2D e v t y p e = 1 0S I P = p r e E v e n t . S I PM s g L I K E “ % r e b o o t % ”S 3 該規則包含三個狀態節點： S1 定義為 Devtype= SEVERITY_ID=2； S2 定義為 Deytype= SIP=、 Msg LIKE “％ fail down％”； S2 定義為 Deytype= SIP=、 Msg LIKE “％ reboot％”。 從事件的流量上看，聚合引擎起到了一定的流量衰減作用。 Aggregation Engine(AE)：聚合引擎，根據事件的關鍵詞檢查并標明一系列事件的等同性。此接口主要是通過數據獲取組件來實現。 Rulebased Correlation(RCE)：規則關聯，使用一系列自定義規則將一系列事件關聯起來形成意義更完整的新事 件。采集的對象包括： ? 路由器、交換機、幀中繼等網絡設備上相關的安全信息； ? 漏洞掃描子系統、入侵檢測子系統、防火墻子系統和防病毒子系統的安全信息，通過其各自的控制臺輸出，由數據采集層來接收采集； ? 主機系統的安全信息，由數據采集層直接從主機系統進行收集； ? 從日志服務器、網管服務器收集相關的安全信息； 數據采集層將所采集到的數據進行簡單歸并處 理，作為數據處理層的原始數據。 工單 設計 安全事件處理模塊的設計思想就是要實現工單的電子化處理功能，通過計算機系統代替以 前的手動工單處理流程，通過電子流程再現、規范和優化網絡維護部門的運維工作流程，實現 “ 把工作嵌入流程中，把人嵌入工作中 ” 的高效運維工作模式，從而更好地提高用戶的工作效率。 1) 安全事件處理策略針對每一種安全事件都可以定制的處理策略，該策略用流程來表示，可定制的內容包括： a. 安全事件匹配規則，該規則可以根據安全事件的內容的各個部分進行定制。 安全管理平臺的目的 網絡中大量信息安全產品的部署 面臨的網絡安全 事件 日志審計的 管理問題，主要是不知道通過何種機制將安全管理和安全技術銜接在一起，以至于缺少一個 “ 能清晰描述、展示 網絡 的安全風險有多大，并且提供降低風險的方法，以驅動 IT 維護人員降低安全風險，解決安全問題 ” 的安全管理體系 。 安全管理平臺設計原則 ? 標準性 安管平臺的軟件開發、安全產品的 工業設計要符合國家有關技術標準。 2. NetEye 安全管理平臺 是一個以資產為核心的管理體系， 首先需要完成組織的資產調查，建立資產數據庫，進行資產管理，清晰展示資產的“價值”和分布。 3. NetEye 安全管理平臺是為網管人員提供檢測和管理組織網絡安全的技術手段，其通過風險管理展示了組織當前的網絡安全風險狀況，同時給出降低安全風險的方法，驅動 IT 維護人員進行降低安全風險、解決安全問題的工作，使得管理員能夠將降低安全風險在安全事件發生之前，在日常工作中有效的完成，并且可以降低組織的管理成本。在標準性原則選擇時應重點考慮國家安全等級保護，國家局發布的行業信息安全標準，在 IT 運維流程管理應重點參考國際權威 ITIL 運維標準流程。 SOC 安全管理平臺正是在這種背景下，為銜接安全管理和安全技術、通過管理指揮技術、有效提升用戶的網絡安全管理水平、降低網絡安全風險而推出的計算機輔助工具。 b. 安全事件處理的流程，該流程的定制包括：一系列的步驟，每一個步驟都包括相關人員（可以有多個），通知相關人員的方式（可以有多種），以及動作。 ? 工單流轉過程主要為網狀結構，即任何一個部門任何一種類型的工單可依據生產的需要流轉至其他部門； ? 一單多派，出于派發任務和處理工作的簡潔性，一個工單可以同時發送到不同的部門，各個部門可以在自己的受理意見欄中填寫意見。 數據處理層 數據處理層負責對采集到的原始安全信息進行分析處理。 Agent：原始日志采集代理，根據不同的采集方式，使用不同的采集代理進程。數據來源設備 能夠向 數據獲取組件 發送日志 信息，發送的格式 可以是網絡協議也可以是通過自定義的格式。 Vulnerability Correlation(VCE)：脆弱性關聯，檢查并標明事件所隱含的脆弱性信息。具體表現為， m 個事件發生聚合時，設入口流量為 m，出口流量為 n，則 mn??2 。 該規則還包含兩個有條件的分支： T1 定義為 APP_SEVERITY=3； T2 定義為 APP_SEVERITY3。 R u l e I n s t a n c eS t a t e I n s t a n c eT r a n s i tC o n d i t i o nS c r i p tC r i t e r i aS u c c e s s A c t i o nT r a n s i tS t a t e I n s t a n c eT r a n s i tC o n d i t i o nS c r i p tC r i t e r i aS t a t e I n s t a n c eT r a n s i tC o n d i t i o nS c r i p tC r i t e r i aS t a t e I n s t a n c eT r a n s i tC o n d i t i o nS c r i p tC r i t e r i aS t a t e I n s t a n c eT r a n s i tC o n d i t i o nS c r i p tC r i t e r i aS t a t e I n s t a n c eC o n d i t i o nS c r i p tC r i t e r i aS t a t e I n s t a n c eC o n d i t i o nS c r i p tC r i t e r i aT i m o u t A c t i o n S u c c e s s A c t i o n T i m o u t A c t i o nS u c c e s s A c t i o n T i m o u t A c t i o n S u c c e s s A c t i o n T i m o u t A c t i o n S u c c e s s A c t i o n T i m o u t A c t i o nS u c c e s s A c t i o n T i m o u t A c t i o n S u c c e s s A c t i o n T i m o u t A c t i o nM a x I n s t a n c e N o T i m e o u t N a m eI D 狀態 /狀態實例（ State/StateInstance） 狀態是對一組相關安全事件中一個或一類事件的描述，用于在進行規則匹配操作時捕獲一系列相關聯事件中的一個或一類事件，規則的一系列狀態會對一系列事件進行匹配，捕獲這一系列事件 完成規則的匹配操作。 amp。 (四 ) 事件溯源實現機制 通過綜合關聯分析事件的相關屬性，幫助維護人員定位事件發生的根源，并清晰展示事件的威脅范圍。降低風險和轉移風險，都屬于安全事件處理過程，由風險管理模塊輸出到安全事件處理模塊。 脆弱性信息包括： ? 資產基本屬性：資產名稱、所屬安全域、操作系統、 IP地址、資產負責人； ? 脆弱性信息：漏洞編號、漏洞名稱、風險級別、受影響的操作系統、 CVE編號、 BugTraq 編號、發現時間、漏洞描述、針對此漏洞的解決方案。 NetEye 安全管理平臺系統的標準的工單遷移示例： 安 全 事 件 、故 障 、 性 能事 件 、 補丁 、 脆 弱 性處 理 中 工 單工 單 策 略已 關 閉 工 單待 審 批 工 單知 識 庫監 督 人處 理 人關 閉 工 單申 請 關 閉延 時 工 單生 成 公 告關 閉 工 單生 成 案 例刪 除 工 單延 時 審 批重 新 處 理申 請 延 時處 理 工 單工 單 策 略工 單 策 略 工單生成以后，即進入處理中狀態。 NetEye 安全管理平臺系統通過 ICMP、 SNMP、 CDP 來實現網絡拓撲自動發現，通過自動發現和輪詢，可自動生成網絡拓撲圖，完整展現其網絡的拓撲結構。 網絡管理模塊 網絡管理模塊實現 : 自動發現網絡拓撲結構、管理網絡拓撲結構、監控網絡鏈路情況，監控網絡設備運行狀態等功能。 工單記錄自動與知識庫關聯，監管人員在關閉工單時，需要決定是否將工單記錄的處理結果轉存到知識 庫中。 與工單系統關聯 通過制定策略，當 在評估結果中 發現有高風險漏洞時，可及時產生告警信息，并可自動觸發工單系統督促相關責任人進行快速處理。 每個安全事件的風險均與某個特定的資產進行關聯。表示系統中的歷史脆弱性信息與事件中描述的脆弱性信息基本匹配，但是歷史脆弱性信息的日期早于事件中的脆弱性信息。 如下的狀態圖，描述了在進行脆弱性關聯分析時，可以匹配結果的狀態。狀態間存在驅動關系，即當某上層狀態被匹配成功后，下層狀態才有可能與后續安全事件進行匹配。 這種規則是為了描述 主機被遠程使用 ssh 登錄之后，可能出現的三種敏感安全事件，分別是系統重啟、系統日志進程停止以及 root 用戶密碼被修改。 s t a r t日志收集格式化發送事件 獲取關鍵詞檢索前一事件設置聚合信息發送聚合事件保存事件無或者超時更新事件 發送事件檢索關鍵詞e n d[ 隔一定時間 ]c o r r e l a t i o n : E n g i n ek e r n e l : P Ka g g r e g a t e : A Ea g e n t : A G 事件被接收后，進行聚 合處理，未聚合成功的事件保持 Normal 狀態，發生聚合的事件設置聚合標志后，每隔一定時間后，由定時線程繼續發送到后續關聯引擎。 CM 作為服務中心，提供了兩大類服務：一、數據服務；二、告警服務。 數據采集 事件管理中的 數據 采集 模塊主要負責 從網絡設備、安全設備、操作系統、數據庫、應用中間件等數據來源設備 /系統收集日志，并對收集到 的日志通過進行過濾、格式化等過程，解析出有用的信息，轉換成便于處理 與分析 的格式 ， 在 平 臺 與 數據來源設備 之間提供接口 。 Vulnerability Correlation(VCE)：脆弱性關聯，檢查并標明事件所隱含的脆弱性信息。 采集的方式包括： SNMP Trap、 S