soc方案標準版(留存版)

　　

【正文】 YSLOG、 ODBC/JDBC、 HTTP/XML、文件、與用戶協商的擴充協議。 ? 對處理的安全事件的結果進行完整記錄和備案，以便后期考核審查。 安全事件處理策略 包括安全事件處理策略和安全事件處理結果的策略。 同時系統的數據庫具有強大的自維護功能 . 東軟安全管理平臺的體系結構請參考“東軟安全管理平臺體系結構” 部分。 并 能夠自動地對網絡安全信息進行深入分析，為用戶提供智能的網絡安全態勢分析和預警和多種網絡安全信息分析工具，及時地為用戶定位當前網絡中的安全問題提供支持，幫助用戶根據當前的網絡安全狀況、網絡環境及網絡安全策略等信息做出正確的安全事件響應決策。 NetEye 安全管理平臺成為安全人員 在 安全運維過程中的一把利器 ，能夠更有效 地 回應不斷 變化的安全風險。 現狀及需求分析 目前國家藥品不良反應監測體系 SOC 系統的管理范圍包括：國家中心所有的網絡設備、安全設備、應用服務器，以及省中心的主要網絡設備和安全設備。 ? 安全性 在安管平臺建設過程中，應采用成熟可靠的技術和產品，同時再配合以完善的項目控制規范和質量保證體系，從而保證安管平臺開發和運行的安全性。 SOC 安全管理平臺不能代替人工作，但確在很大程度上幫助人更好地來完成網絡安全運維管理工作。并且流程中針對每個動作會進行跟蹤檢驗，針對每個動作的可能失敗情況給出相應的處理步驟。工單的派發面向整個受理部門，可以避免因為工作人員的離崗而造成工作的延誤； ? 當告警發生時，系統會采用自動和手動兩種方式從相關系統獲取 告警等方面的信息，按照一定的過濾原則，提取出需要派發工單的信息，并從信息中提取出有用的信息生成相關的工單，同時提示監控人員有工單生成，監控人員審查工單，如需要派發工單，則將工單派發至相關部門。 將從網絡設備、安全設備、主機系統等數據來源采集到的原始安全信息結合數據庫中的資產信息進行關聯分析，確認原始安全信息的真實性，并對確認后的安全信息進行格式標準化處理，按照指定的信息收集策略歸并安全信息，再經過特定的數據壓縮后，存儲到數據庫中。 四 . SOC安全管理平臺功能模塊 資產管理 保護信息資產是安全管理體系建設的核心目標，所有信息的存放，例如事件、漏洞都是以資產的視角來查看的，因此資產管理是安全管理平臺的核心，是開展安全管理工作的基礎。 數據獲取組件 收到日志 后， 需要經過一些 必要的 處理，包括去掉與設備無關的日志，去掉在短時間內出現 的 大量相同日志。 AE AE Central Manager DB Agent Agent Agent Desktop RC Engine fail over RPC Socket JDBC Mixed VC Engine WebServer Agent Rulebased Correlation(RCE)：規則關聯，使用一系列自定義規則將一系列事件關聯起來形成意義更完 整的新事件。 (二 ) 基于規則的關聯 分析 所謂規則關聯分析（ Rulebased Correlation， RC），是通過規則關聯引擎（ Rulebased Correlation Engine， RCE）來實現的，規則關聯引擎接收來自收集代 理的原始安全信息（即格式化以后的安全日志，也稱為原始安全事件），根據預定義的安全信息分析策略（也稱為規則關聯策略，即攻擊場景） 中定義的 規則 順序先后匹配多種設備的多個 原始安全 事件，將多個 原始安全 事件 通過規則匹配，生成一條關聯分析后 事件。 這種規則是描述了，當某種類型編號為 10 的設備產生告警等級為 2的安全事件后，根據該事件的應用告警等級的不同，分別可能會產生不同的情況： 當應用告警等級大于或等于 3時，該設備后續可能產生導致系統癱瘓的安全事件； 當應用告警等級小于 3時，該設備后續可能產生導致系統重啟的安全事件。狀態實例是在系統運行中，實際參與匹配過程的狀態的副本。 H a v e I D S C V E ?NP o r t o c o l = I C M P ?Y0 N o t e n o u g h i n f o r m a t i o nY3 D e s t i n a t i o n p o r t o p e n2 O p e r a t i n g s y s t e m n o t v u l n e r a b l eO S M a t c h ?NYI D S M a x D a t e S c a n M i n D a t e ?4 M a y b e v u l n e r a b l e5 L i k e l y v u l n e r a b l eYNYN 進行脆弱性信息匹配過程中，可能存在如下幾種狀態： 1) NotIDS：表示進入 VC 的事件并不是 IDS 設備所產生的事件。 (五 ) 與工單系統關聯 安全 事件是產生告警信息和觸發工單系統的來源之一。 NetEye 安全管理平臺系統 支持根據資 產價值、脆弱性、安全等級等條件生成相應的風險評估報告，并將報告保存為 word、 Excel、 pdf、 html 等文件格式，并支持打印， 為 報告提交和存檔 提供基礎 。 ? 脆弱性信息的統計展示，可通過以下方式實現： ? 以坐標方式展示：橫軸為脆弱性名稱，縱軸為脆弱性發現的次數，不同的脆弱性用不同的顏色表示。對于新生成的處理中工單，處理人可以對其進行處理、申請延時或申請關閉操作，然后工單進入待審批狀態；監督人可以修改其處理時限，或者直接關閉處理中工單，然后工單將進入已關閉狀態。 網絡拓撲 管理 拓撲管理作為網絡管理的基本功能，是網管中最基本的也是最重要的組成部分。同時，運行用戶對報表的樣式進行 靈活的定制 ，報表的樣式 和內容的定制均 可以 通過界面方便、直觀地 操作 ； 內置了多種報表模板； 大數據量的報表可以根據需要在指定的時間自動生成； 報表輸出的文件格式支持 Excel、 Doc、 PDF、 HTML 等多種標準格式。工單處理完成后，要由監管人員決定是否將工單關閉；對于未能完成的工單，也要由監管人員決定是否將工單掛起或取消工單。 掃描策略 該平臺支持制定多種掃描策略，策略內容包括：掃描周期、掃描范圍、掃描詳細策略等，亦可通過其它安全事件的監控信息自動生成掃描策略，來隨時觸發掃描動作。 NetEye 安全管理平臺系統結合資產的當前風險情況和以往風險情況，展示資產的風險告警變化趨勢。 8) 5Likely vulnerable：很可能是脆弱性。 脆弱性關聯分析進一步將來自聚合引擎或者規則關聯引擎的安全事件與系統中已掌握的脆弱性信息進行關聯分析，以 CVE、 Bugtraq、受影響操作系統、監控對象開放端口以及漏洞的發現及發布時間為依據進行匹配分析，根據不同的匹配結果定義出不同的匹配結果等級，以便 NetEye 安全管理平臺系統更加準確地判斷 安全事件 的等級及危害情況。 規則是由一系列狀態組成的類似于有向圖的數據結構，規則中的每一個單元都是一個狀態。 分支結構規則 S 1S 2 S 3 S 4S I P = “ 1 0 . 1 . 1 . 3 ”M s g L I K E “ % s s h l o g i n % ”S 1S I P = “ 1 0 . 1 . 1 . 3 ”M s g L I K E “ % s y s l o g d s t o p % ”S 3S I P = “ 1 0 . 1 . 1 . 3 ”M s g L I K E “ % r e b o o t % ”S 2S I P = “ 1 0 . 1 . 1 . 3 ”M s g L I K E “ % r o o t p w d c h a n g e d % ”S 4 該規則包含四個狀態節 點： S1 定義為 SIP=、 Msg LIKE “ ％ ssh login％ ” ； S2 定義為 SIP=、 Msg LIKE “ ％ reboot％ ” ； S3 定義為 SIP=、 Msg LIKE “％ syslogd stop％”； S4 定義為 SIP=、 Msg LIKE “％ root pwd changed％”。 此外，聚合引擎還負責將事件新增到數據庫中，并在聚合發生時，更新事件的聚合次數以及蔓延時間等聚合信息。 CM 作為控制中心，提供了對整個模塊中各進程的實時監控和配置管理接口。 事件管理模塊 將采用異構數據集成技術， 將這些孤立的數據源集成起來，提供一個統一的視圖，從這些資源數據中獲取所需要的信息。 Aggregation Engine(AE)：聚合引擎，根據事件的關鍵詞檢查并標明一系列事件的等同性。 數據采集層 數據采集層負責 根據 策略 采集 各種安全信息。 ? 安全事件處理的結果報表支持多種條件的報表定制（這些條件包括所有可以用于查詢的條件和查詢的表現形式），支持手動和自動報表產生，報表的格式支持文本、數據庫等多種格式。 脆弱性管理策略 負責在定制的事件對系統的部門或整體進行脆弱性分析的策略，可定制的內容包含： 分析的事件范圍（起始，終止時間，時間間隔等）、分析的系統范圍、分析采用的方法等。對所有的登陸信息和操作信息進行日志記錄，包括用戶的 IP地址、時間等內容。 SOC 安全管理平臺， 主要收 集整合來自各種網絡安全部件、系統或應用產生的大量告警報告和日志信息，并結合目標網絡環境從海量信息中提取用戶關心的信息，并以用戶易于理解的形成呈現給用戶。所有的信息與資產關聯，完成風險分析、風險監視與風險處理。 系統實現對各安全子系統的統一安全管理。 ? 擴展性 安管平臺應采用模塊化設計，系統配置的升級不會引起應用級軟件的修改和開發；系統軟件升級不會影響原有策略；平臺的應用軟件結構應能保證功能的易于擴展和升級。 安全管理平臺解決的安全管理問題 1. SOC 安全管理平臺是一個以資產為核心的管理體系，首先需要完成組織的資產調查，建立資產數據庫，進行資產管理，通過對信息資產進行風險評估，可以清楚的展示出組織當前的安全狀況，安全風險有多大。 2) 安全事件處理結果的策略控制對安全事件處理結果的處理，該策略可定制的內容包括： a. 記錄安全處理結果的格式 b. 安全處理結果的存儲目的地（可以是系統中或者通知相關人員） c. 安全處理結果形成報表的格式以及觸發條件（事件、時間等） 安全知識管理策略 控制對安全知識的訪問控制，可定制的內容包括：安全知識的訪問控制策略（針對用戶、地址等）、安全知識的發送列表。 工單管理包括生成工單、啟動工單、審核工單、撤銷工單、接收工單、解決工單、結束工單、抄送工單、送審駁回工單、處理駁回工單等功能，另外輔以工單統計查詢、歷史記錄和經驗庫功能，完全能為用戶建立起靈活的電子工作處理流程，使得安全管理平臺不僅管理安全設備，還管理組織和個人。 數據處理層必須將采集到的原始安全信息與通過應用服務層存儲的資產信息進行關聯分析，以從海量的原始安全信息中提取出有價值的安全信息，為有效降低風險提供準確依據。 NetEye 安全管理平臺 系統所 管理的資產包括 ： ? 主機設備 ； ? 網絡設備 ； ? 業務系統 ； ? 數據庫系統 ； ? 其他與信息系統相關的 資產。 然后 處理這些日志并轉換成安全信息，安全信息 將作為后續 模塊 的輸入。 Agent：原始日志采集代理，根據不同的采集方式，使用不同的采集代理進程。 通過規則關聯分析 能夠匹配一個攻擊事件發生的一系列步驟或幾個關鍵步驟，而且能夠組合一個攻擊發生在不同主機上的多個事件。 合并結構規則 S 1 S 2S 3S I P = 1 0 . 1 . 1 . 3A P P L I C A T I O N _ N A M E = o r a c l eM s g L I K E “ % a p p l i c a t i o n d o w n % ”S 1S I P = 1 0 . 1 . 1 . 5A P P L I C A T I O N _ N A M E = o r a c l eM s g L I K E “ % a p p l i c a t i o n d o w n % ”S 2S I P = 1 0 . 1 . 1 . 7A P P L I C A T I O N _ N A M E = t o m c a tM s g L I K E “ % c o n n e c t d b e r r o r % ”S 3A N D 該規則包含三個狀態節點： S1 定義為 SIP=、 Msg LIKE “％ application down％”； S2 定義為 SIP=、 Msg LIKE “％ application down％”； S2 定義為 SIP=、 Msg LIKE “％ connect db error％”。在設計上，狀態實例中包含一些狀態在匹配過程的動態信息以及匹配過程需要使用的方法，而狀態則是一種純靜態信息描述。 2) NoAsset