soc方案標(biāo)準(zhǔn)版-wenkub.com

　 　

【正文】 2) 自動(dòng)發(fā)現(xiàn)輪詢間隔靈活設(shè)定 ； 用戶可以根據(jù)管理需要自行設(shè)定網(wǎng)絡(luò)設(shè)備自動(dòng)發(fā)現(xiàn)輪詢時(shí)間間隔 （ 最小時(shí)間間隔 1分鐘 ） 。 網(wǎng)絡(luò)拓?fù)?管理 拓?fù)涔芾碜鳛榫W(wǎng)絡(luò)管理的基本功能，是網(wǎng)管中最基本的也是最重要的組成部分。同時(shí)，運(yùn)行用戶對(duì)報(bào)表的樣式進(jìn)行 靈活的定制 ，報(bào)表的樣式 和內(nèi)容的定制均 可以 通過界面方便、直觀地 操作 ； 內(nèi)置了多種報(bào)表模板； 大數(shù)據(jù)量的報(bào)表可以根據(jù)需要在指定的時(shí)間自動(dòng)生成； 報(bào)表輸出的文件格式支持 Excel、 Doc、 PDF、 HTML 等多種標(biāo)準(zhǔn)格式。平臺(tái)系統(tǒng)支持監(jiān)督人員增加對(duì)工單處理情況的 記錄 ，從而實(shí)現(xiàn)對(duì)相關(guān)人員進(jìn)行績(jī)效考核。 對(duì)于已關(guān)閉的工單，監(jiān)督人員可以根據(jù)工單處理過程和結(jié)果生成公告或案例，也可以直接刪除已關(guān)閉工單。對(duì)于新生成的處理中工單，處理人可以對(duì)其進(jìn)行處理、申請(qǐng)延時(shí)或申請(qǐng)關(guān)閉操作，然后工單進(jìn)入待審批狀態(tài)；監(jiān)督人可以修改其處理時(shí)限，或者直接關(guān)閉處理中工單，然后工單將進(jìn)入已關(guān)閉狀態(tài)。工單處理完成后，要由監(jiān)管人員決定是否將工單關(guān)閉；對(duì)于未能完成的工單，也要由監(jiān)管人員決定是否將工單掛起或取消工單。通過對(duì)工單產(chǎn)生策略的定義，所有可能對(duì)信息系統(tǒng)的正常運(yùn)行造成影響的事件都可以觸發(fā)工單的產(chǎn)生。 事件響應(yīng)與報(bào)警模塊 當(dāng) NetEye 安全管理平臺(tái)系統(tǒng)在經(jīng)過智能關(guān)聯(lián)分析后，對(duì)發(fā)現(xiàn)的安全事件、性能事件、故障事件和脆弱性事件進(jìn)行及時(shí)的響應(yīng)和處理。 ? 脆弱性信息的統(tǒng)計(jì)展示，可通過以下方式實(shí)現(xiàn)： ? 以坐標(biāo)方式展示：橫軸為脆弱性名稱，縱軸為脆弱性發(fā)現(xiàn)的次數(shù)，不同的脆弱性用不同的顏色表示。 掃描策略 該平臺(tái)支持制定多種掃描策略，策略內(nèi)容包括：掃描周期、掃描范圍、掃描詳細(xì)策略等，亦可通過其它安全事件的監(jiān)控信息自動(dòng)生成掃描策略，來隨時(shí)觸發(fā)掃描動(dòng)作。 通過上述兩種方式 及時(shí)掌握網(wǎng)絡(luò)中重要主機(jī)系統(tǒng) 、業(yè)務(wù)系統(tǒng) 和網(wǎng)絡(luò)設(shè)備的最新的脆弱性。安管平臺(tái)應(yīng)能支持通過自定義掃描任務(wù)計(jì)劃的方式驅(qū)動(dòng)漏洞掃描軟件，按計(jì)劃執(zhí)行脆弱性收集工作，將掃描結(jié)果自動(dòng)導(dǎo)入保存到運(yùn)維平臺(tái)的關(guān)系型數(shù)據(jù)庫中，可以直接在安管平臺(tái)提供對(duì)掃描結(jié)果的查詢，并展現(xiàn)到平臺(tái)界面上。 NetEye 安全管理平臺(tái)系統(tǒng) 支持根據(jù)資 產(chǎn)價(jià)值、脆弱性、安全等級(jí)等條件生成相應(yīng)的風(fēng)險(xiǎn)評(píng)估報(bào)告，并將報(bào)告保存為 word、 Excel、 pdf、 html 等文件格式，并支持打印， 為 報(bào)告提交和存檔 提供基礎(chǔ) 。 NetEye 安全管理平臺(tái)系統(tǒng)結(jié)合資產(chǎn)的當(dāng)前風(fēng)險(xiǎn)情況和以往風(fēng)險(xiǎn)情況，展示資產(chǎn)的風(fēng)險(xiǎn)告警變化趨勢(shì)。 風(fēng)險(xiǎn)評(píng)估與預(yù)警 NetEye 安全管理平臺(tái) 系統(tǒng) 的風(fēng)險(xiǎn) 評(píng)估與預(yù)警 模塊以 國(guó)家風(fēng)險(xiǎn)評(píng)估指南規(guī)范 為指導(dǎo)， 將 JDL（ Joint Director of Laboratories）模型 作為參考， 經(jīng)過多年考驗(yàn)的東軟安全服務(wù)的風(fēng)險(xiǎn)計(jì)算方法作為風(fēng)險(xiǎn)計(jì)算方法。 ? 按照統(tǒng)計(jì)數(shù)據(jù)展示，包括：最新安全事件、事件最多的資產(chǎn)、最新脆弱性事件等。 (五 ) 與工單系統(tǒng)關(guān)聯(lián) 安全 事件是產(chǎn)生告警信息和觸發(fā)工單系統(tǒng)的來源之一。 8) 5Likely vulnerable：很可能是脆弱性。 6) 3 Destination port open：目標(biāo)端口開放。 4) 1 Port not vulnerable：端口非易受攻擊。 H a v e I D S C V E ?NP o r t o c o l = I C M P ?Y0 N o t e n o u g h i n f o r m a t i o nY3 D e s t i n a t i o n p o r t o p e n2 O p e r a t i n g s y s t e m n o t v u l n e r a b l eO S M a t c h ?NYI D S M a x D a t e S c a n M i n D a t e ?4 M a y b e v u l n e r a b l e5 L i k e l y v u l n e r a b l eYNYN 進(jìn)行脆弱性信息匹配過程中，可能存在如下幾種狀態(tài)： 1) NotIDS：表示進(jìn)入 VC 的事件并不是 IDS 設(shè)備所產(chǎn)生的事件。 脆弱性關(guān)聯(lián)分析進(jìn)一步將來自聚合引擎或者規(guī)則關(guān)聯(lián)引擎的安全事件與系統(tǒng)中已掌握的脆弱性信息進(jìn)行關(guān)聯(lián)分析，以 CVE、 Bugtraq、受影響操作系統(tǒng)、監(jiān)控對(duì)象開放端口以及漏洞的發(fā)現(xiàn)及發(fā)布時(shí)間為依據(jù)進(jìn)行匹配分析，根據(jù)不同的匹配結(jié)果定義出不同的匹配結(jié)果等級(jí)，以便 NetEye 安全管理平臺(tái)系統(tǒng)更加準(zhǔn)確地判斷 安全事件 的等級(jí)及危害情況。動(dòng)態(tài)容器是一個(gè)鏈表。 規(guī)則的激活點(diǎn) 匹配規(guī)則的過程中，系統(tǒng)維護(hù)一個(gè)容器，該容器存儲(chǔ)的是激活的狀態(tài)，當(dāng)頂層的狀態(tài)匹配成功時(shí)，下層的狀態(tài)全部被激活，將頂層的對(duì)象在容器中刪除，再將激活的狀態(tài)加入到容器中，事件來時(shí)只匹配激活點(diǎn)，如圖所示 靜態(tài)容器（ RuleContainer） 規(guī)則關(guān)聯(lián)引擎分中，存放規(guī)則實(shí)例的有兩個(gè)容器，靜態(tài)容器和動(dòng)態(tài)容器。狀態(tài)實(shí)例是在系統(tǒng)運(yùn)行中，實(shí)際參與匹配過程的狀態(tài)的副本。 規(guī)則是由一系列狀態(tài)組成的類似于有向圖的數(shù)據(jù)結(jié)構(gòu)，規(guī)則中的每一個(gè)單元都是一個(gè)狀態(tài)。 規(guī)則 /規(guī)則實(shí)例（ Rule/RuleInstance） 規(guī)則是對(duì)一組相關(guān)安全事件描述，用于在進(jìn)行規(guī)則匹配操作時(shí)捕獲一系列相關(guān)聯(lián)的事件。當(dāng)雙機(jī)熱備的數(shù)據(jù)庫都出現(xiàn)癱瘓，而且應(yīng)用服務(wù)器確實(shí)無法連接數(shù)據(jù)庫時(shí)，則表示產(chǎn)生了該應(yīng)用系統(tǒng)無法正常使用的安全事件。 這種規(guī)則是描述了，當(dāng)某種類型編號(hào)為 10 的設(shè)備產(chǎn)生告警等級(jí)為 2的安全事件后，根據(jù)該事件的應(yīng)用告警等級(jí)的不同，分別可能會(huì)產(chǎn)生不同的情況： 當(dāng)應(yīng)用告警等級(jí)大于或等于 3時(shí)，該設(shè)備后續(xù)可能產(chǎn)生導(dǎo)致系統(tǒng)癱瘓的安全事件； 當(dāng)應(yīng)用告警等級(jí)小于 3時(shí)，該設(shè)備后續(xù)可能產(chǎn)生導(dǎo)致系統(tǒng)重啟的安全事件。 分支結(jié)構(gòu)規(guī)則 S 1S 2 S 3 S 4S I P = “ 1 0 . 1 . 1 . 3 ”M s g L I K E “ % s s h l o g i n % ”S 1S I P = “ 1 0 . 1 . 1 . 3 ”M s g L I K E “ % s y s l o g d s t o p % ”S 3S I P = “ 1 0 . 1 . 1 . 3 ”M s g L I K E “ % r e b o o t % ”S 2S I P = “ 1 0 . 1 . 1 . 3 ”M s g L I K E “ % r o o t p w d c h a n g e d % ”S 4 該規(guī)則包含四個(gè)狀態(tài)節(jié) 點(diǎn)： S1 定義為 SIP=、 Msg LIKE “ ％ ssh login％ ” ； S2 定義為 SIP=、 Msg LIKE “ ％ reboot％ ” ； S3 定義為 SIP=、 Msg LIKE “％ syslogd stop％”； S4 定義為 SIP=、 Msg LIKE “％ root pwd changed％”。 簡(jiǎn)單規(guī)則 S 1S I P = “ 1 0 . 1 . 1 . 3 ”S p o r t = “ 8 0 8 0 ”M s g L I K E “ % a p p l i c a t i o n s t o p % ”S 1 該規(guī)則只有一個(gè)狀態(tài)節(jié)點(diǎn)： S1 定義為 SIP=、 SPort=8080、 Msg LIKE “ ％ application stop％ ” 。 RCE 的主要用例有：事件監(jiān)聽、事件分配、事件匹配規(guī)則、入庫和發(fā)送給其它引擎。 (二 ) 基于規(guī)則的關(guān)聯(lián) 分析 所謂規(guī)則關(guān)聯(lián)分析（ Rulebased Correlation， RC），是通過規(guī)則關(guān)聯(lián)引擎（ Rulebased Correlation Engine， RCE）來實(shí)現(xiàn)的，規(guī)則關(guān)聯(lián)引擎接收來自收集代 理的原始安全信息（即格式化以后的安全日志，也稱為原始安全事件），根據(jù)預(yù)定義的安全信息分析策略（也稱為規(guī)則關(guān)聯(lián)策略，即攻擊場(chǎng)景） 中定義的 規(guī)則 順序先后匹配多種設(shè)備的多個(gè) 原始安全 事件，將多個(gè) 原始安全 事件 通過規(guī)則匹配，生成一條關(guān)聯(lián)分析后 事件。 此外，聚合引擎還負(fù)責(zé)將事件新增到數(shù)據(jù)庫中，并在聚合發(fā)生時(shí)，更新事件的聚合次數(shù)以及蔓延時(shí)間等聚合信息。關(guān)鍵詞序列存儲(chǔ)在數(shù)據(jù)庫中。同時(shí)，聚合引擎的輸出將作為其它高級(jí)關(guān)聯(lián)引擎（例如規(guī)則關(guān)聯(lián)引擎、脆弱性關(guān)聯(lián)引擎）的輸入。 AE AE Central Manager DB Agent Agent Agent Desktop RC Engine fail over RPC Socket JDBC Mixed VC Engine WebServer Agent Rulebased Correlation(RCE)：規(guī)則關(guān)聯(lián)，使用一系列自定義規(guī)則將一系列事件關(guān)聯(lián)起來形成意義更完 整的新事件。 CM 作為控制中心，提供了對(duì)整個(gè)模塊中各進(jìn)程的實(shí)時(shí)監(jiān)控和配置管理接口。 數(shù)據(jù)分析 數(shù)據(jù)分析模塊，實(shí)現(xiàn)對(duì)原始數(shù)據(jù)的核心處理。該平臺(tái)支持多種數(shù)據(jù)采集協(xié) 議和接口，包括： SYSLOG 、 SNMP Trap、 SNMP 輪詢、 Tel/SSH、 HTTP、 JMX、 ODBC、 SOAP/XML、專用 Agent 等。 數(shù)據(jù)獲取組件 收到日志 后， 需要經(jīng)過一些 必要的 處理，包括去掉與設(shè)備無關(guān)的日志，去掉在短時(shí)間內(nèi)出現(xiàn) 的 大量相同日志。 事件管理模塊 將采用異構(gòu)數(shù)據(jù)集成技術(shù)， 將這些孤立的數(shù)據(jù)源集成起來，提供一個(gè)統(tǒng)一的視圖，從這些資源數(shù)據(jù)中獲取所需要的信息。 資產(chǎn)歸類工作包括： ? 按照資產(chǎn)的安全域進(jìn)行歸類，并且可以為每個(gè)安全域指定一個(gè)管理員，將所在安全域授權(quán)給相應(yīng)的管理員； ? 按照資產(chǎn)的業(yè)務(wù)屬性進(jìn)行歸類； ? 按照資產(chǎn)的設(shè)備類型進(jìn)行歸類； ? 按照資產(chǎn)的所屬網(wǎng)段進(jìn)行歸類； 資產(chǎn)信息的屬性包括： ? 資產(chǎn)基本信息：資產(chǎn)編號(hào)、資產(chǎn)名稱、資產(chǎn)類型、所屬安全域、資產(chǎn)價(jià)值； ? 資產(chǎn)配置信息：資產(chǎn)的操作系統(tǒng)、接口數(shù)量 、 CPU、內(nèi)存、硬盤、 IP 地址、MAC 地址、資產(chǎn)開放的端口； ? 資產(chǎn)備注信息： 生產(chǎn)廠家 、 資產(chǎn)負(fù)責(zé)人 、購置時(shí)間等 。 NetEye 安全管理平臺(tái)系統(tǒng)支持資產(chǎn)保密性、完整性、可用性的分級(jí)評(píng)估，從而實(shí)施不同的安全防護(hù) 等級(jí)。 四 . SOC安全管理平臺(tái)功能模塊 資產(chǎn)管理 保護(hù)信息資產(chǎn)是安全管理體系建設(shè)的核心目標(biāo)，所有信息的存放，例如事件、漏洞都是以資產(chǎn)的視角來查看的，因此資產(chǎn)管理是安全管理平臺(tái)的核心，是開展安全管理工作的基礎(chǔ)。 Aggregation Engine(AE)：聚合引擎，根據(jù)事件的關(guān)鍵詞檢查并標(biāo)明一系列事件的等同性。 安全管理平臺(tái)組成 NetEye 安全管理平臺(tái) 包括顯示平臺(tái)、數(shù)據(jù)采集引擎、應(yīng)用服務(wù)器、數(shù)據(jù)庫服務(wù)器，結(jié)合原始數(shù)據(jù)來源設(shè)備，構(gòu)成完整的安全 管理 解決方案。 展示平臺(tái)通過應(yīng)用服務(wù)層從數(shù)據(jù)庫中提取信息，按照定制策略進(jìn)行數(shù)據(jù)過濾、條件分析，以完成資產(chǎn)信息統(tǒng)計(jì)、脆弱性統(tǒng)計(jì)、工單統(tǒng)計(jì)、報(bào)表輸出等。 將從網(wǎng)絡(luò)設(shè)備、安全設(shè)備、主機(jī)系統(tǒng)等數(shù)據(jù)來源采集到的原始安全信息結(jié)合數(shù)據(jù)庫中的資產(chǎn)信息進(jìn)行關(guān)聯(lián)分析，確認(rèn)原始安全信息的真實(shí)性，并對(duì)確認(rèn)后的安全信息進(jìn)行格式標(biāo)準(zhǔn)化處理，按照指定的信息收集策略歸并安全信息，再經(jīng)過特定的數(shù)據(jù)壓縮后，存儲(chǔ)到數(shù)據(jù)庫中。 數(shù)據(jù)采集層 數(shù)據(jù)采集層負(fù)責(zé) 根據(jù) 策略 采集 各種安全信息。 ? 數(shù)據(jù)處理層：將采集到的原始安全信息進(jìn)行關(guān)聯(lián)分析處理，并將所有安全信息進(jìn)行格式標(biāo)準(zhǔn)化處理，根據(jù)策略進(jìn)行數(shù)據(jù)歸并和壓縮后，存儲(chǔ)到數(shù)據(jù)庫中。 NetEye 安全管理平臺(tái) 系統(tǒng)提供了 強(qiáng)大的 報(bào)表功能： 預(yù)定義 了 14 種不同安全層面的圖形 化 統(tǒng)計(jì)功能； 預(yù)定義了 4 種針對(duì)業(yè)務(wù)設(shè)計(jì)的報(bào)表功能； 預(yù)定義了 2 種針對(duì)安全事件分析的綜合統(tǒng)計(jì)功能； 用戶 可根據(jù)自己 不同 的 需求 ，靈活 定制不同的統(tǒng)計(jì)報(bào)表； 報(bào)表的數(shù)據(jù)，可以根據(jù)特定的時(shí)間段或者時(shí)間周期生成 日、周、月、季和年報(bào) ； 可根據(jù)時(shí)間、源 IP、目的 IP、源端口、目的端口等各種條件及條件組合生成TOP N 的統(tǒng)計(jì)報(bào)表； 為 不同人員（技術(shù)人員、業(yè)務(wù)主管、領(lǐng)導(dǎo)）的需要， 在系統(tǒng)中預(yù)定義了多種報(bào)表樣式。工單的派發(fā)面向整個(gè)受理部門，可以避免因?yàn)楣ぷ魅藛T的離崗而造成工作的延誤； ? 當(dāng)告警發(fā)生時(shí)，系統(tǒng)會(huì)采用自動(dòng)和手動(dòng)兩種方式從相關(guān)系統(tǒng)獲取 告警等方面的信息，按照一定的過濾原則，提取出需要派發(fā)工單的信息，并從信息中提取出有用的信息生成相關(guān)的工單，同時(shí)提示監(jiān)控人員有工單生成，監(jiān)控人員審查工單，如需要派發(fā)工單，則將工單派發(fā)至相關(guān)部門。 ? 安全事件處理的結(jié)果報(bào)表支持多種條件的報(bào)表定制（這些條件包括所有可以用于查詢的條件和查詢的表現(xiàn)形式），支持手動(dòng)和自動(dòng)報(bào)表產(chǎn)生，報(bào)表的格式支持文本、數(shù)據(jù)庫等多種格式。 安全工單管理具備如下能力特征： ? 當(dāng)發(fā)現(xiàn)有安全事件發(fā)生時(shí)，自動(dòng)生成安全事件處理工單，并立即調(diào)用服務(wù)程序通過聲音、圖形、短信、郵件、代理程序響應(yīng)或彈出窗口等方式對(duì)相關(guān)人員 發(fā)進(jìn)行提醒。 安全事件處理 工單 的實(shí)