泰合安全运营中心 解决方案.docx

泰合安全运营中心 解决方案.docx

《泰合安全运营中心 解决方案.docx》由会员分享，可在线阅读，更多相关《泰合安全运营中心 解决方案.docx（34页珍藏版）》请在冰豆网上搜索。

泰合安全运营中心解决方案

泰合信息安全运营中心系统（TSOC）

XXXX项目解决方案建议书模板

北京启明星辰信息技术股份有限公司

BeijingVenusInformationTech.Inc.

二零一二年五月

泰合信息安全运营中心系统（TSOC）1

XXXX项目解决方案建议书模板1

1安全管理中心总体方案3

1.1遵循的标准3

1.1.1遵循的国际国内标准和规范3

1.1.2参考的企业标准、规范和指南4

1.2平台总体方案体系架构5

1.2.1功能体系架构5

1.2.2平台软件架构5

2平台的功能特点7

2.1系统平台WEB门户入口界面7

2.2资产与业务域管理8

2.2.1资产管理9

2.2.2业务域管理11

2.3漏洞信息采集与脆弱性管理12

2.3.1漏洞信息采集12

2.3.2脆弱性管理13

2.4事件/业务安全监控管理15

2.4.1事件采集与整合15

2.4.2事件/业务安全可视化监控18

2.5宏观趋势分析21

2.6综合关联分析22

2.6.1规则关联分析23

2.6.2统计关联分析24

2.6.3漏洞关联分析24

2.7流量分析模型25

2.8基线管理26

2.9安全策略管理27

2.10网元管理功能27

2.10.1拓扑监控27

2.10.2网元状态监控28

2.10.3TCP端口监控28

2.10.4数据库监控28

2.11工作流管理28

2.12设备控制管理29

2.13多级管理30

2.14风险监控与管理32

2.14.1事件风险监控32

2.14.2资产风险监控33

2.14.3安全域风险监控34

2.14.4实时风险监控35

2.15安全预警管理37

2.16安全策略文档管理39

2.17安全信息知识库管理40

2.18综合显示与报表报告42

2.19安全响应管理43

2.20用户管理44

2.21系统健康管理45

3典型应用47

3.1系统部署47

3.2多级部署48

3.3日常管理49

4方案特点与效果展示50

4.1面向业务的资产与风险管理50

4.2安全事件和漏洞监控51

4.3多种响应方式53

4.4多种关联分析方法54

4.5网元状态监控54

4.6拓扑与GIS展示55

4.7丰富的知识库57

1安全管理中心总体方案

北京启明星辰信息技术股份有限公司泰合信息安全运营中心系统解决方案（以下简称“安全管理中心”）以实用性和可扩展性为设计指导思想，将安全管理员从复杂的设备配置和海量日志信息中解脱出来，把精力专注于发现和处理各种重要安全事件；同时又将各自独立的安全设备组成为一个有机的整体，通过基于资产管理的事件关联分析和管理，及时发现安全风险、安全事件和业务安全隐患，并结合安全策略和安全知识的管理，提供多种安全响应机制，从而使得客户能够实时掌控网络的安全态势。

安全管理中心与客户可以已经部署的各类安全设备形成一个完整的安全保障体系，从而实现了高效、全面的网络安全防护、检测和响应。

它完全具备监控、预警、响应、追踪等功能，并具备可审计功能，即对内部安全管理人员的相关操作进行日志记录。

遵循的标准

安全管理中心总体设计及实施遵循以下标准和规范：

遵循的国际国内标准和规范

Ø安全管理中心建设服务服从信息安全风险评估方法按照国信办颁发的《关于印发<信息安全风险评估指南>的通知》（国信办【2006】9号）

ØISO-17799/BS7799/ISO27001信息安全管理体系国际标准，

Ø公安部颁布的《信息安全等级保护管理办法（试行）》及相关规定

ØCC–ISO15408和GB/T18336信息技术安全性评估准则

ØISO-13335IT安全管理指南

Ø工作流管理联盟WFMC定义的工作流标准

Ø软件开发服从CMM要求

参考的企业标准、规范和指南

Ø信息安全保障框架（VISAF）系列模型

图1.VISAF模型

VISAF的保障功能要素模型（FEM---FunctionElementModel），或者用缩写表达式表示为AST（PPT*AIDARC）。

这个模型提出安全的最根本问题是被保护的资产、对于资产的威胁和防护措施。

防护措施又分为人（组织）、过程（策略、运营）和技术三个大方面。

技术则形成一个AIDARC模型。

⏹鉴别和认证Identification&Authentication

⏹逻辑访问控制AccessControl

⏹检测、监控和预警Detection,Monitoring&Earlywarning

⏹审计和跟踪AuditTrail

⏹恢复和冗余Redundancy&Recovery

⏹内容安全ContentSecurity

平台总体方案体系架构

功能体系架构

安全管理中心主要由以下部分组成：

资产信息管理模块、安全事件/业务监控管理模块、脆弱性管理模块、漏洞关联分析、统计关联分析和基于规则的关联分析模块、宏观趋势分析模块、流量分析模块、基线管理模块、风险评估管理模块、安全策略管理模块、网元管理模块、统一安全预警模块、综合显示和报表报告系统、响应管理系统、安全信息管理、系统健康管理和用户管理模块组成。

其功能体系架构如下图所示：

图2.功能体系结构

平台软件架构

安全管理中心软件总体体系架构如下图所示：

图3.软件总体结构

整个系统分为SMC、DAC和V-SIMS三部分。

SMC：

安全管理中心，安全管理中心以B/S/D三层架构实现监控、管理、响应、报表等功能；

DAC：

数据分析中心，其以后台服务方式实现综合分析、关联分析、资产发现、脆弱性信息采集分析等数据分析处理功能；

V-SIMS：

安全信息管理系统，它完成了安全信息的采集、过滤、聚并、入库等功能。

便于实现分布分级部署事件采集引擎。

安全管理中心按照三层软件架构体系设计，如下图所示：

图4.泰合信息安全运营中心三层体系结构

2平台的功能特点

安全管理中心的系统平台包括下列核心模块/功能：

Ø统一入口模块

Ø资产管理模块

Ø脆弱性管理模块

Ø事件安全管理模块

Ø关联分析模块

Ø宏观趋势分析模块

Ø流量分析模块

Ø基线管理模块

Ø安全策略管理模块

Ø网元管理模块

Ø工作流管理模块

Ø设备控制管理模块

Ø多级管理模块

Ø风险管理模块

Ø安全预警模块

Ø安全策略文档管理模块

Ø安全知识管理模块

Ø综合信息显示与报表模块

Ø响应管理模块

Ø用户管理模块

Ø系统自身健康管理模块

下面将对这些模块的功能及技术实现作逐一描述。

系统平台WEB门户入口界面

统一WEB门户入口界面所提供的基本功能如下：

Ø针对整个管理信息平台，提供用户集中管理的功能，对用户可以访问的资源进行细致的划分；

Ø用统一的系统管理接口，各子信息系统的界面统一；

Ø发布最新的漏洞说明、攻击特征说明；

Ø具备安全可靠的分级及分类管理功能，具体要求支持用户的身份认证、授权等功能；支持用户口令修改；支持不同的操作员具有不同的数据访问权限和功能操作权限，系统管理员应能对各操作员的权限进行配置和管理；

Ø系统设计采用模块化，具有良好的可扩展和自开发能力，能针对用户录入、删除、修改密码等功能分不同模块，以便针对以后不同的需求进行分模块修改；

Ø系统有完整的安全控制手段,对用户和系统管理员的权限进行分级管理,相应的账号和口令都是加密后存放在数据库中的。

充分保证了用户信息的安全性。

对系统操作员的密码有安全保障机制；

Ø用户数据管理严格，每天增量备份，保证其完整性和一致性,所以在系统出错的情况下,用户数据是安全的。

Ø模块之间的敏感数据传输是加密的，因此TSOC组件之间的通信安全是可靠、安全的。

资产与业务域管理

在信息安全的资产管理系统中一个重要的概念是业务单元（BU）或称资产的逻辑网络区域，BU是企业业务的重要组成部分，它是各个资产的组合。

在资产管理中，BU的视图也是我们展示的一个重点。

资产的BU可以是在安全管理中心建设时依据事前风险评估划分出来的不同的安全域进行管理。

安全管理中心系统产品的资产管理属性集包含了客户所要求管辖的资产信息属性要求。

资产信息管理模块的域管理具备以下功能：

Ø支持具有相同资产属性的域管理方式。

Ø支持自动同步在不同域下的资产属性管理。

Ø支持资产的域继承功能。

Ø允许用户根据业务系统、网段等不同的属性对信息系统进行安全域划分。

Ø支持同一资产隶属不同的安全域，支持多层次安全域管理。

Ø用户可以对安全域进行重要性赋值。

Ø用户可以对安全域进行事件监控、风险监控和脆弱性评估，了解其安全状况。

Ø在某种程度上可以作为下级单位的信息安全建设考核指标参考。

Ø域风险历史查询：

提供多种条件的安全域风险查询工具，可以更好地关注重要安全域的风险状况。

Ø域配置：

提供各级安全域的添加、删除、修改维护功能，以及资产移入、移出安全域的功能。

资产管理

资产是企业、机构直接赋予了价值因而需要保护的东西。

它可能是以多种形式存在，有无形的、有有形的，有硬件、有软件，有文档、代码，也有服务、企业形象等。

它们分别具有不同的价值属性和存在特点，存在的弱点、面临的威胁、需要进行的保护和安全控制都各不相同。

为此，有必要对企业、机构中的信息资产进行科学分类，以便于进行后期的信息资产抽样、制定风险评估策略、分析安全功能需求等活动。

所要管理资产（含安全设备、网络设备及主机及应用系统）包括：

【本处需要修改，调整为客户被管设备列表。

下表仅为示例。

】

序号

编号

类型

型号

数量

日志采集方式

支持情况

支持条件备注

1

Router1

城域网核心路由器

QuidwayNetEngine80E

1

Syslog

支持

2

Virus

防病毒软件

瑞星

900点

SNMP

支持

概括来讲，资产管理过程包括：

资产信息获取、配置，风险计算，结果呈献三个主要过程。

图5.资产管理工作过程

资产管理工作过程在平台中的实现如下：

Ø遵循BS7799/ISO17799/ISO27001和ISO13335的资产管理规范，允许对信息资产的价值进行有效评估，从而确定信息资产的安全需求（完整性需求、保密性需求和可用性需求），可以协助用户有效管理信息资产的各类属性。

Ø资产可通过手工录入、excel模板下载批量导入和资产自动发现的方式录入。

Ø录入的资产具有详细的信息描述以及CIA特性（保密性、完整性、可用性）。

Ø资产的CIA特性参与风险计算，用于计算资产风险和整体风险趋势。

Ø通过用户界面对资产信息进行详细、直观的图表化展示。

Ø平台支持资产状况信息批量导出，形成文档备份，便于日后查询。

显示界面示例如下图：

图6.域与资产管理

业务域管理

业务域由若干资产所组成，可以继承资产的属性，如资产CIA、资产权重等，同时参与风险计算。

业务域管理包括：

业务域配置、风险计算、结果呈献三个主要过程。

图7.业务域管理工作过程

业务域管理工作过程在平台中的实现如下：

Ø对业务域进行配置，业务域中应该包括所包含资产信息、资产权重，同时对业务域进行必要的描述和标识。

Ø对指定业务域可进行手工增加、录入资产信息，也可从已有资产信息库中批量选择导入资产信息。

Ø业务域的CIA特性由所包含资产的CIA特性决定，参与风险计算，用于计算业务域风险和整体风险趋势。

Ø用户界面对业务域资产分布、业务域风险进行图形化、直观的展示。

业务域实例：

漏洞信息采集与脆弱性管理

漏洞信息采集

漏洞信息采集包括：

多种方式漏洞信息采集、结果输入脆弱性管理模块两个主要过程。

漏洞信息采集在平台中的实现过程如下：

Ø接收漏洞扫描器的扫描结果。

Ø对于平台不支持的扫描器类型，可将扫描结果按照模板规范化后通过人工方式导入。

Ø将人工审计信息通过模板规范化后人工导入。

Ø通过漏洞信息采集模块将上面几种信息输入方式进行收集和处理后送给脆弱性管理模块，进行脆弱性关联（漏洞关联）分析，参与风险计算后将结果呈现。

脆弱性管理

脆弱性管理能够通过人工审计（风险评估）和漏洞扫描工具两种方式，收集整个网络的弱点情况并进行统一管理，对收集的信息进行统一的范式化处理后，对脆弱性信息提供查询和展现功能，使得管理人员可以清楚的掌握全网的安全健康状况。

平台目前提供与主流远程评估产品的接口，完成远程脆弱性信息的搜集。

支持远程评估产品为：

天镜、极光、Nessus等主流漏洞扫描产品。

脆弱性管理模块主要功能如下：

Ø配置天镜漏洞扫描系统；

Ø能够将漏洞扫描软件的扫描结果导入系统；

Ø能够将多次扫描的结果进行归并分析，得出更为精确的扫描结果；

Ø能够将扫描结果与资产的原有属性进行比较，并给出冲突项提交用户确认；

Ø支持资产的脆弱性管理，允许查看资产和安全域的脆弱性指标；

Ø提供基于漏洞的关联，自动判断当前发生的信息安全事件是否真的对目标资产构成威胁，对于并不存在相关漏洞的事件，系统会自动降低其优先级，对于存在相关漏洞的事件则提升其优先级，使得用户可以更专注于真正会造成危害的事件。

脆弱性管理包括：

漏洞扫描和人工审计信息采集、资产/业务域关联分析、结果呈献三个主要过程。

图8.脆弱性管理过程

脆弱性管理在平台中的实现如下：

Ø通过天镜脆弱性扫描系统对资产进行定期自动扫描或手工扫描。

Ø资产的扫描和人工审计所发现的脆弱性信息输入脆弱性管理模块。

Ø脆弱性信息与资产信息进行关联并参与风险计算。

Ø通过整体脆弱性展示，脆弱性排名等进行直观的脆弱性展示。

Ø支持脆弱性数据查询和整体数据导出。

图9.脆弱性管理

事件/业务安全监控管理

事件/业务安全监控模块负责实时监控网络的安全事件。

通过事件/业务安全监控模块监控网络各个网络设备、主机应用系统等日志信息，以及安全产品的安全事件日志信息等，及时发现正在和已经发生的安全事件，协助进行安全决策，确保网络和业务系统的安全、可靠运行。

事件采集与整合

通过部署在事件采集服务器上的安全管理中心的事件集中采集系统--V-SIMS系统，在泰合信息安全运营中心所管辖网络和系统上的不同安全信息采集点（网络设备、主机系统，而且还涵盖已经部署的安全系统，包括入侵防御系统、VPN系统、防火墙系统、IDS系统、审计系统、防病毒系统等等），集中收集安全事件到泰合信息安全运营中心中的安全管理服务器进行处理，即：

根据可预先定义的配置进行聚并、过滤处理、并把各种类型的安全数据格式化成统一的格式，从而实现了安全事件的集中收集和处理，具备了实时事件/业务安全监控能力，又可利用安全事件查询的功能和强大的数据挖掘统计分析功能，具备了事后调查取证的能力。

信息安全事件管理中心的事件集中采集系统（V-SIMS）是完全具有自主知识产权的软件产品，属于泰合信息安全运营中心系统的一部分，包括管理服务（MS）、事件收集器（EC）、专用/通用代理管理（UAM）、专用/通用代理引擎（UAE）、专用/通用日志策略编辑器（UAPE）几个部分，负责在事件收集器和安全设备之间通信，用于采集、范化并上报安全设备的报警日志，同时采集并上报安全设备的状态，并提供对多种安全设备的管理能力。

V-SIMS系统拥有专用代理/通用代理（UniversalAgent）用以支持不同的设备及系统，V-SIMS引入的集中监管、分布式部署的多级管理体系，全面符合多级、分布式、跨地域的各类业务的管理模式，真正实现分布式产品的结构统一协调管理，建立安全信息的全局管理机制。

只有能够进行整个网络范围内的部署，才能管理整个网络中的安全设备，也才能够进行全网的事件管理。

全网范围内V-SIMS的分布式部署可能是不同城市、不同地区、甚至不同省份、不同国家的分布，这与网络规模和网络拓扑是相关的。

通过分布式分级部署，可以实现将各个独立的子系统连成一个分布式的整体安全事件采集体系。

安全事件采集包括：

分布代理收集信息、安全事件采集过滤、事件关联分析、结果输出展示几个主要过程。

事件集中采集系统--V-SIMS系统部分操作界面视图如下图所示：

图10.事件集中采集系统－过滤条件

图11.事件集中采集系统－添加新元件

目前，安全管理中心的事件集中采集系统--V-SIMS系统通过各种专用代理已经能够支持国内外主流的安全设备：

入侵防御系统、邮件过滤网关、抗拒绝服务攻击系统、VPN系统、防火墙系统、入侵检测系统、防病毒系统、漏洞扫描系统、安全审计系统等；主流操作系统：

Windows操作系统（NT/2000/XP/2003）、支持主流Linux系统，支持主流Unix系统等；主流应用程序：

Web、Mail、DNS等。

安全管理中心的事件集中采集系统--V-SIMS系统拥有通用代理工具包通过配置就完全支持SNMP、SYSLOG、ODBC、WMI等方式采集事件日志。

针对特定系统的日志格式，利用通用代理工具包配置实现。

事件/业务安全可视化监控

事件/业务监控模块及综合显示报表报告模块其功能完全满足以下要求：

1．事件显示和查询功能

提供丰富的事件显示和查找的功能，以便管理员对非法入侵事件和行为有很好的追踪和分析处理。

Ø支持提供多种查询处理的方式，可以根据事件的各个字段来设定的过滤条件，查询到相关的事件记录；

Ø支持传统的网格、线形图、圆饼图、条状图、区域图和重叠区域图等多种方式来显示特定事件；

Ø支持用于关联业务情况的自定义事件图，并能满足业务网络和逻辑网络的多级显示；

Ø支持在选定事件的范围内，根据事件的不同查询条件进行图形化显示。

2．支持安全态势的实时监视

Ø支持按照资产类别、事件关联关系、地理事件图形、时间、最后状态、系统特征、特点前几位等类型进行实时监视；

Ø支持过滤事件的各个字段进行自定义实时监视。

3．支持在线和离线的事件可视化

安全管理中心事件/业务监控模块部分显示界面示例视图如下：

Ø根据需要，可通过配置监控条件及过滤条件的客户化实时事件监控界面

Ø高危事件监控界面：

图12.事件监控－高危事件

Ø域风险拓扑显示和GIS显示界面：

图13.全局域拓扑展示

图14.SOC安全域拓扑展示

Ø事件报表报告界面示例

图15.高报警设备

宏观趋势分析

宏观趋势分析功能提供了对安全事件监测上报的事件和流量信息，进行综合的模型分析，并提供宏观的展示和丰富报表功能。

同时，系统自身对提供从宏观到微观的详细展示功能。

熵模型：

通过安全事件检测功能上报上来的事件，网络态势感知监控系统对所有的事件按照上报的引擎分类进行计算源地址熵和目的地址熵，同时也计算出源、目的地址熵的每个时间点的基线值。

利用EWMA的算法，判断当前时刻的熵值与学习期间的熵值相比判断各个线路的地址熵数据是否异常。

三元组模型：

通过安全事件检测功能上报上来的事件，网络态势感知监控系统对所有的事件按照上报的引擎分类进行，然后对事件按照<源地址、目的地址和事件类型>三个维度进行全组合分析，找出各个线路各种组合排名靠前的TopN的数据，并罗列出汇总的信息。

单一方式攻击：

源地址、目的地址、事件类型均相同的事件集合，说明：

攻击者采用同一方法，对同一目标进行反复攻击的态势。

多种攻击方式：

源地址、目的地址相同，事件类型任意的事件集合，说明：

攻击者尝试多种方法，对同一目标进行反复攻击的态势。

查找攻击目标：

源地址、事件类型相同，目的地址任意的事件集合，说明：

攻击者采用同一方法，查找可利用的目标的态势。

遭受同种攻击：

目的地址、事件类型相同，源地址任意的事件集合，说明：

同一目标被多个攻击者采用同种方法反复攻击的态势。

主要攻击来源：

源地址相同，目的地址、事件类型任意的事件集合，说明：

发出最多攻击事件主机的态势。

濒危受害目标：

目的地址相同，源地址、事件类型任意的事件集合，说明：

被攻击次数最多的主机的态势。

频发事件排名：

事件类型相同，源地址、目的地址任意的事件集合，说明：

被利用最多的攻击事件的态势。

热点事件模型：

通过安全事件检测功能上报上来的事件，网络态势感知监控系统对各个引擎关注的热点事件进行汇总，并分析每个引擎的每类事件的发展趋势，同时根据发展趋势和热点事件的历史基线指标进行对比，来判断各个线路的事件的发展趋势是否异常。

事件数量模型

本模型根据监控当前日志事件的在一段检测期中，各种类型事件的数量数目，来分析当前被监控网络中安全的态势指标是否有异常，并对总体的安全态势起到数据支撑的作用。

事件扩散模型

本模型根据监控当前日志事件的在一段检测期中，各种类型事件的数量变化，来分析当前被监控网络中安全的态势指标是否有异常，并对总体的安全态势起到数据支撑的作用。

综合关联分析

综合关联分析完成各种安全关联分析功能，关联分析能够将原始的设备报警进一步规范化并归纳为典型安全事件类别，从而协助使用者更快速地识别当前威胁的性质。

系统提供三种关联分析类型：

基于规则的事件关联分析、统计关联分析和漏洞关联分析。

根据此关联分析模块的功能，结合客户业务应用系统的事件特征、分析与制定安全域与业务安全控制策略和基于业务应用的流程异常监控，制定相关的特定关联分析规则。

关联分析包括：

对安全事件的规则关联、统计关联，对安全事件和安全漏洞的漏洞关联，结果输入风险管理模块几个主要过程。

图16.综合关联分析

规则关联分析

基于规则的事件关联分析是把各种安全事件按照时间的先后序列与时间间隔进行检测，判断事件之间的相互关系是否符合预定义的规则，从而触发分析总结出来的关联分析后事件。

配置关联分析规则显示界面示例：

图17.基于规则的关联分析

统计关联分析

统计关联分析是用户通过定义一定时间内发生的符合条件的事件量达到规定量，从而触发关联事件。

图18.统计关联分析

漏洞关联分析

漏洞关联分析是系统收集到的事件对应的漏洞编号或端口与系统中存在的资产的漏洞编号或端口号符合，从而触发关联事件。

目的是为了进一步降低系统的误报率。

图19.漏洞关联分析

流量分析模型

关于流量分析，我们从流量的角度来审视当前被监控网络内的安全态势情况，并为流量数据建立了各种模型，模型从整体，到局部，然后到细节分成总体流量、协议流量、端口流量和应用流量四个模型进行对流量数据进行分析。

平台也从总体到局部最后到细节全方位的来分析我们的安全态势。

总流量模型

根据流量基线算法，我们需要计算出被监控网络内总体流量基线，本模型对监控网络内的总体流量进行实时计算分析，根据学习到的总体流量的基线数据分析出当前流量是否异常。

同时，总体流量指标也是流量总体安全分析的基础数据之一。

协议流量模型

根据流量基线算法，我们需要计算出被监控网络内协议流量（TCP，UDP，ICMP，其他协议）基线，本模型对监控网络内的上述协议流量进行实时计算分析，根据学习到的上述协议流量的基线数据分析出当前各种协议流量是否异常。

同时，协议流量指标也是流量总体安全分析的基础数据之一。

端口流量模型

根据流量基线算法，我们需要计算出被监控网络内端口流量（注：

端口是用户可以进行自定义，用户可以根据需要配置相应端口数据，例如80，21等端口）基线，本模型对监控网络内的上述端口流量进行实时计算分析，根据学习到的上述端口流量的