網絡安全管理中心系統(tǒng)平臺建設方案建議

系統(tǒng)平臺建設方案建議網絡安全管理中心系統(tǒng)平臺建設方案 網絡安全管理中心系統(tǒng)平臺建設方案 網絡安全管理中心系統(tǒng)平臺建設方案 網絡安全管理中心系統(tǒng)平臺建設方案1概述隨著的網絡規(guī)模龐大、系統(tǒng)復雜，其中的各種網絡設備、服務器、工作站、OperationCenter簡稱SOC)正是滿足這種需求，為企業(yè)安全整合提供解決方分散的管理增加管理成本和管理難度PKI等等，每個領域內均有最好的廠商和解決方案供應商，企業(yè)往往安全信息和知識的共享水平較差海量事件網絡安全管理中心系統(tǒng)平臺建設方案缺乏智能S必須改變以事件為中心的視角安全知識的不足。安全響應能力不足?發(fā)現問題后必須能快速找到解決方法并最快速度進行響應，響應的事件響應的整個過程必須有記錄和考核；?建立一支有經驗的響應隊伍，這個隊伍包括內部人員和外部專家支網絡安全管理中心系統(tǒng)平臺建設方案行中心(SecurityOperationCenter)解決方案，提供一個整體性、智能性的安網絡安全管理中心系統(tǒng)平臺建設方案2體系架構2.1安全運行中心的建設目標安全運行中心(SOC)解決方案提供的整體解決方案是建立在現有的安全以資產為核心的全面安全管理BS7799標準的基礎上，對資產進行了簡化，將資產定義為可管理的帶IP的設事件為中心的安全管理有本質性的區(qū)別。面向部門和用戶的安全管理強大完善的資產管理網絡安全管理中心系統(tǒng)平臺建設方案資產價值(可用性需求、完整性需求、保密性需求)的評估。完整記錄資產及其以資產為核心的漏洞管理供比傳統(tǒng)的漏洞掃描器更加詳盡的信息、更快的響應以及更強的信息交互和關以資產為核心的威脅管理的視圖，用戶可以方便地根據資產的價值和關鍵性來進行事件的分級。強大的智能處理?底層智能處理：通過數據過濾、標準化、數據合并、實時數據關聯(lián)的關聯(lián)，發(fā)現實時數據之間的潛在聯(lián)系，可以改變和調整級別。以及漏洞相關數據被匯聚在一起，在這個新的數據集的基礎上，進行新一輪的關聯(lián)分析，由于集中了異種事件的關聯(lián)分析，這種分析可以有效減少誤報，提供更多參考。有異常的行為，發(fā)現未知攻擊。網絡安全管理中心系統(tǒng)平臺建設方案深入的配置管理能力豐富完善的主動響應管理C全面的知識支持公司作為專業(yè)的安全公司，在安全領域有多年的豐富經驗，建立了ST－Force實驗室，保證對最新安全技術、新安全動態(tài)、最新安全漏洞的跟蹤，在大規(guī)模實時多級分布式系統(tǒng)2.2安全運行中心建設的體系架構f網絡安全管理中心系統(tǒng)平臺建設方案解決方案主要綜合考慮了現倒薩有管理體制和網絡流量情況，實現最大程度的全國二級SOC架構江蘇中心省中心省中心2.2.2基于層次模型的體系結構f網絡安全管理中心系統(tǒng)平臺建設方案安全運行中心(SOC)SOC作為為中國的統(tǒng)一的可管理的安全平臺的產品，內部可劃分為三層：多個功能模塊或子系統(tǒng)：接口層：主要提供對外部系統(tǒng)的接口，這個接口經過標準化定義后，可數據處理和分析層：對各種數據進行關聯(lián)處理和基于資產的映射。 應用層：實現各種交互和響應的模塊，該模塊同時提供了用戶接口f安全運行中心(SOC)統(tǒng)一用戶Web界面應用層角色管理角色管理管理風險管理系統(tǒng)維護安全設備管理任務調度查詢分析層漏洞分析漏洞分析風險分析威脅分析息庫接口層企業(yè)數據接口層企業(yè)數據收集配置據收集應工具及API塊。SOC的數據處理分析層對各類統(tǒng)一格式的內部數據進行存儲、管理和基于規(guī)則的關聯(lián)分析(Rules-basedCorrelation)，同時對各類任務進行統(tǒng)一協(xié)調管令進行統(tǒng)一調度管理并傳送給下層的執(zhí)行模塊以實現用戶的管理功能。該層是網絡安全管理中心系統(tǒng)平臺建設方案管f網絡安全管理中心系統(tǒng)平臺建設方案3功能模塊3.1SOC核心系統(tǒng)3.1.1接口層企業(yè)數據收集安全數據收集配置中心應的模塊(各類實現級的安全設備配置工具或API)實現配置功能，目f網絡安全管理中心系統(tǒng)平臺建設方案際上翻譯SOC響應中心行有效防護。該模塊根據SOC內部統(tǒng)一的響應指令產生標準響應(如email、3.1.2數據分析層資產管理漏洞分析威脅分析聯(lián)f網絡安全管理中心系統(tǒng)平臺建設方案數據過濾數據合并分級基于規(guī)則的智能實時關聯(lián)風險分析根據計算規(guī)則定量地計算資產的風險值，達到過濾事件、簡化數據的目的，為SOC用戶提供更有意義的資產風險信息，這也是SOC產品最具價值的核心功。on安全信息庫該存儲中心不只是有一個數據庫實現的，是由多個分類存儲數據的數據庫構成計功能，為進一步數據分析提供更有效的數據，提高分析統(tǒng)計的效率。f網絡安全管理中心系統(tǒng)平臺建設方案任務調度提供統(tǒng)一的用戶命令調用接口，用戶定時和即時的管理指令(如掃描命令、3.1.3應用層角色和用戶管理SOC法性，是門所帶來的客觀需要，在角色管理的整個概念中，包括了員工、SOC用戶、角一個邏輯帳號，該帳號一定對應一個企業(yè)員工，該帳號只有對應一個或完成了一個角色的定義，也可以制定一個角色由若干基礎角色組成，例管理員角色包含以上二個角色的功能，這種靈活的角色定義能力保證用戶可以根據需求靈活定義和修改訪問對象：訪問對象主要包括資產、安全設備，可以為角色劃定一個范f網絡安全管理中心系統(tǒng)平臺建設方案的，也不會顯示出來操作權限：可以對角色指定一系列操作的權限，操作權限分成兩種，一種是和對象相關的，指定該種權限時，必須制定訪問對象范圍，然后制定針對性地可以做什么操作，另外一種是和對象無關的，例如一些系統(tǒng)維護功能，可以直接為角色指定C全控制該系統(tǒng)范圍內的資產和安全設備，同時，由創(chuàng)建角色和用戶。風險管理.1資產管理主流的系統(tǒng)，可采用在系統(tǒng)內內置預先定義的方法。f網絡安全管理中心系統(tǒng)平臺建設方案定義企業(yè)內部業(yè)務系統(tǒng)(如計費系統(tǒng)等)，以便提供資產的業(yè)務邏輯視圖。通過界面添加資產，填寫(指定)或修改資產的屬性(包括名稱、資產類別、定義系統(tǒng)自動監(jiān)控系統(tǒng)資產的時間點(如每晚24點)或間隔多長時間進行f網絡安全管理中心系統(tǒng)平臺建設方案.2漏洞管理器的漏洞資料，管理、完善和修改漏洞庫.3威脅管理最近事件趨勢(最近一段時間內的事件數量和事件分布情況)，事件趨勢的范例。f網絡安全管理中心系統(tǒng)平臺建設方案.4風險管理在下層風險分析模塊的基礎上，基于資產圖以dashboard方式展現風險情基于地圖的多層實時監(jiān)控圖，所有拓撲圖為預先定義，不能自動生成f網絡安全管理中心系統(tǒng)平臺建設方案。分析查詢能屬某類口，利于系統(tǒng)的擴充。系統(tǒng)維護f網絡安全管理中心系統(tǒng)平臺建設方案SOC備份、數據庫備安全設備管理設備(防火墻、IDS等)進行統(tǒng)一的查看和管理。這里有二個層面的意思，一是查看所有和選定安全設備相關的審計事件(用戶操作、重新啟動等)。針對不同種類的安全設備可以進一步按不同分類查看(如防火墻中的配置信息和事件查看查看所有有選定安全設備產生的安全數據(如IDS的報警等)。針對不同種置。目前先支持LinkTrust系列集、備份和查看本期支持以下設備：1.SunSolaris2.IBMAIX3.MicrosoftWindows4.HP-UXf網絡安全管理中心系統(tǒng)平臺建設方案5.Linux6.IRIX3.2SOC外部功能模塊3.2.1人員組織管理很多企業(yè)系統(tǒng)，例如目錄服務器中存在現成的企業(yè)員工信息，通過標準的建3.2.2企業(yè)資產管理f網絡安全管理中心系統(tǒng)平臺建設方案取現成的資產信息，并翻譯成企業(yè)數據收集接口定義的標準資產數據。提供3.2.3脆弱性管理nnertScanner3.2.4事件和日志管理過eWizard源發(fā)送的安全事件：取事件源的日志文件，來獲取其中與安全有關的pODBC可以通過ODBC數據庫接口獲取事件源存放在各種數據庫中的f網絡安全管理中心系統(tǒng)平臺建設方案t3.2.5配置收集3.2.6安全產品接口LinktrustCyberwallLinktrustIDS3.2.7安全知識系統(tǒng)f網絡安全管理中心系統(tǒng)平臺建設方案3.2.8工單系統(tǒng)工單備工單可以合并成一個預備工單。主要是重復告警或者針對同一個管理員的問題，這種合并是手工可選的。工單內容唯一標識工單的編號。編制規(guī)則為：發(fā)出日期(格。上報處理結果。如果超過時間沒有處理完，系統(tǒng)通過工單編號f網絡安全管理中心系統(tǒng)平臺建設方案處理結果滿意是否重新處理/另行分派設定受理、處理工單的時限，在時限到達時通過E-mail或手機短信向責任人催辦，并通知相關人員。工單狀態(tài)改變時也能通過E-mail或手f網絡安全管理中心系統(tǒng)平臺建設方案案對關鍵字的搜索：關鍵字是通過手工辦法，輸入當某個關鍵字出現的時識；對文檔和通告的綜合檢索：對知識庫中所有文檔進行檢索，提供解決方安全事件的發(fā)生時間現象和故障描述原因分析處理措施和結果派單人和責任人f網絡安全管理中心系統(tǒng)平臺建設方案響應工具及API預定義了一些響應工具，如email、SNMPTRAP、防火墻互動等，也允許f網絡安全管理中心系統(tǒng)平臺建設方案4實施方案4.1WEB界面定制方案工作區(qū)：工作區(qū)指用戶定義的工作環(huán)境，通常用戶可以將集中的功能組組件：公司在開發(fā)和定制過程中預定義的組件模板，用戶可以定義如何將這些組件放置在一個工作區(qū)內，組成一個用戶工作環(huán)境，組件可以調首頁：有各種功能的摘要組成，用戶可自定義控制臺：主要是各種儀表板分析臺：支持進行各種分析知識庫：包括知識庫的各種信息、各種最新討論、最新文檔、告警等系統(tǒng)：工作計劃和調度、系統(tǒng)設置、維護功能等4.1.1儀表板組件該部分組件的主要目標是完成對管理員管理系統(tǒng)的目前安全狀況的概要性評價和標識，這個部分給出的指示都是綜合性的：f網絡安全管理中心系統(tǒng)平臺建設方案可視化監(jiān)控組件：以地圖和拓撲方式直觀顯示各個節(jié)點的狀態(tài)，對于有問題的節(jié)點，可以深入到下一級的可視化組件中去，這些組件之間通過風險變化曲線圖組件：用戶可以指定監(jiān)控一定范圍內資產的風險變化，工具條：可以快速彈出或跳轉到某個組件，可快速顯示簡單工單提示以及工單相關的告警級別4.1.2資產信息管理組件資產樹：提供了樹狀資產結構資產信息：可以在一個組件內顯示一個資產的詳細信息或者一組資產的某一資產的漏洞、事件、對資產發(fā)動掃描等。資產查詢模塊：可以對資產進行查詢和定位4.1.3異常流量監(jiān)控組件柱狀圖，用戶可以指定刷新的時間f網絡安全管理中心系統(tǒng)平臺建設方案4.1.4安全事件監(jiān)控管理組件實時事件監(jiān)控組件：實時事件不斷向上滾屏，可以設定過濾條件和監(jiān)控分析組件：提供查詢、事后關聯(lián)分析功能報表組件：集中提供各種報表(此處不限于事件)4.1.5脆弱性管理組件弱點瀏覽和查詢組件：基于資產進行弱點的瀏覽和查詢4.1.6安全策略管理組件新聞組件：顯示最近一段時間更新的安全策略，是新聞組件的一種安全策略瀏覽：可以瀏覽所有的安全策略和相應的基線審計腳本安全策略基線審計腳本定義：通過該組件界面自定義基線腳本審計策略定義：將可以收集策略的資產與相關的策略關聯(lián)起來，指定審個組件連接到外部模塊。4.1.7安全預警組件人工預警管理組件：可以發(fā)布人工預警新聞組件：可以顯示最新的安全通告，作為預警的一種f網絡安全管理中心系統(tǒng)平臺建設方案4.1.8安全響應管理組件綜合評價模塊：實現中國要求的綜合評價工單管理組件：在一個組件內，實現工單的發(fā)布、接收、跟蹤、關閉等響應方式配置組件：設置響應方式和對象4.1.9網絡安全信息4.2二級結構實施方案省級安全運行中心向國家安全中心上傳的數據全國中心向省中心下發(fā)數據省級人員在全國中心擁有的權限全國中心人員在省中心擁有的權限中心上傳的數據送到全國中心進行同步心下發(fā)各類知識和策略：主要下發(fā)一些配置審計的腳本供各省執(zhí)行或者參考f網絡安全管理中心系統(tǒng)平臺建設方案另中心擁有的權限4.3部署方案4.3.1全國中心部署方案部部件數量SOC11臺PC服務器，提供為用戶提供B/S服務，實現各個WWW知識庫服務1器erver一套Oracle，一套Pc服務器負責SOC其他部部分外部模塊服1能采集服務器1服務調動scanner并兼收集各種配置4.3.2江蘇省中心部署方案f網絡安全管理中心系統(tǒng)平臺建設方案網絡安全管理中心系統(tǒng)平臺建設方案SOCSOC11臺PC服務器，提供為用戶提供B/S服務，實現各個WWW一套Oracle，一套Pc服務器負責SOC其他部部分外部模塊服1能采集服務器6服務主機日志采集2臺、安全產品采4.3.3安全數據采集方案SOC中心和外部收集服務器或者agent的通信都采用加密通道，部分數據象，也可以采用一些靈活的方法，例如在本地設置syslog主f網絡安全管理中心系統(tǒng)平臺建設方案4.4其他4.4.1安全評價定資產系統(tǒng)進行系統(tǒng)的分析得到(往往需要和用戶進行交流后確定)，資產的脆弱性則量的安全事件中分析得到(這一點和事件的數量并沒有直接關系)，威脅的可能和用戶進行交流商定各個基本因素的影響系數和綜合計算公式(如算術平均、指f網絡安全管理中心系統(tǒng)平臺建設方案4.4.2配置收集和審計方案主機信息：包括硬件信息(HOSTID等)、操作系統(tǒng)版本補丁狀況操作系統(tǒng)進程信息hadowetcinetdconfetcpasswd最后登陸、修改密碼的時間信任主機配置情況訪問控制er系統(tǒng)信息：主機名、操作系統(tǒng)版本補丁情況f網絡安全管理中心系統(tǒng)平臺建設方案當前進程設置為自動開啟的服務注冊表信息，特表是其中和安全相關的表項關鍵目錄和文件的訪問權限安裝的軟件包情況本地安全設置和審計設置文件和目錄共享情況MP4.4.3掃描器解決方案本次推薦LinktrustTenableScanner作為全網掃描器，該掃描器實現了和支持網絡發(fā)現，用于資產自動發(fā)現和核查支持高速掃描靈活可定制策略快速更新，每周更新保證最快最及時為用戶提供更新借助SOC的響應功能實現被動掃描：可以資產被攻擊時立即發(fā)動對其響OCf網絡安全管理中心系統(tǒng)平臺建設方案借助SOC的關聯(lián)能力，將作業(yè)計劃內對資產掃描產生的告警事件標志OCf網絡安全管理中心系統(tǒng)平臺建設方案5優(yōu)勢概述f網絡安全管理中心系統(tǒng)平臺建設方案附錄一：事件管理支持產品一覽NewSupportedAgentsProductIntegrationAgentReleaseMethodVersionDateCheckPointFirewall-1v4.1NGOPSEC0109/08/2003xtNewSupportedAgents(Linux0109/08/20030109/08/20030109/08/20030109/08/20030109/08/20030109/08/20030109/08/20030109/08/20030109/08/20030109/08/20030109/08/20030109/08/20030109/08/20030109/08/2003f網絡安全管理中心系統(tǒng)平臺建設方案AgentCheckpointFirewall-10/23/2003CiscoPixAgent-10/23/2003RSMANH-10/23/2003LinuxTRNDIMSS-10/23/2003AgentsctCheckPointFireWall-1v4.1CheckPointFireWall-1v4.1Methodgentsionf網絡安全管理中心系統(tǒng)平臺建設方案v1.0LinktrustCyberwallLinktrustNetworkDefenderNFRv5.0Snort1.8.xSnort1.9.xSunSolarisv7SyslogSunSolarisv8SyslogTripWirev2.2onWindowsNTTripWirev2.4onWindowsNTTripWirev2.4onSunSolarisTripWireManagerv3.0WindowsNTv4.0SecurityLogFileFileFileFileFileFileFileFileFileile003002003002001DocumentedAgentsProductIntegrationAgentReleaseMethodVersionDateApacheWebServerv1.3.14LogFile1203.01.2002CiscoPIXFirewallv5.0SNMPorLog0103.01.2002CiscoPIXFirewallv5.x03.01.200211.13.200203.01.2002IPChainsBatchModeLogFile03.01.2002f網絡安全管理中心系統(tǒng)平臺建設方案gFileRecoursegFileRecourseManTrapv3.0LogFileFileFileFileFileFileFileSnortv1.7SyslogSnortv1.7NativeLogFormatSymantecAntiVirusv7TrendMicroAntiVirusTrendMicroVirusWallTripwireServerv3.0ctctMethodAxentEnterpriseSecurityanagerAxentITAv3.5AxentITAv3.01AxentITAQueryBSDSyslogCiscoAccessPoint35iscoAccessServerAccountingv3.0CiscoAccessServerAuditv3.0rverPassedvLogFileLogFileLogFileLogFileLogFileLogFilegentsion002002002002002002002002002f網絡安全管理中心系統(tǒng)平臺建設方案CiscoDirectorCiscoNetrangerCiscoRoutersCiscoRouters/SwitchesCiscoSecureVPN3030v3.0thwallragonvragonvTLogswallviewviewslogvSSirewallgFilegFilegFileLogFileFileFileFileFileFileFileFileFile002002002002f網絡安全管理中心系統(tǒng)平臺建設方案McAfeeCentralLoggingle07.16.2002McAfeeVirusScannerle07.16.2002MicrosoftIIS4.0le08.01.2002MicrosoftPerformancele07.16.2002MicrosoftProxyle07.16.2002MotorolaE