安全審計(jì)技術(shù)培訓(xùn)-文庫吧
2024-11-22 02:04 本頁面
【正文】 審計(jì)技術(shù)類型劃分,12,異構(gòu)設(shè)備和系統(tǒng)的日志信息采集 事件歸一化 事件關(guān)聯(lián)分析 海量事件存儲 全局安全態(tài)勢監(jiān)控 安全響應(yīng),日志審計(jì)的核心技術(shù),13,日志審計(jì)的核心技術(shù)之間的關(guān)系,14,事件采集和獲取,事件歸一化,事件關(guān)聯(lián)分析,安全態(tài)勢監(jiān)控,安全響應(yīng),,主機(jī)、應(yīng)用、FW，IDS，AV，其他網(wǎng)絡(luò)和安全設(shè)備獲取,將異構(gòu)的事件變成統(tǒng)一的事件格式,對全網(wǎng)的日志進(jìn)行綜合審計(jì),異構(gòu)事件采集,15,SNMP Syslog 各種協(xié)議類型 直接采集、代理采集、抓包,網(wǎng)絡(luò)設(shè)備 安全設(shè)備 主機(jī)、服務(wù)器 數(shù)據(jù)庫 應(yīng)用系統(tǒng) 等等,Nokia/Checkpoint,,日志文件,數(shù)據(jù)庫,Syslog/NetFlow,Snmp trap,開放API接口 Web Service,ODBC,事件轉(zhuǎn)發(fā)器,用于跨網(wǎng)段事件采集和分布式事件采集,應(yīng)用,文件讀取,事件源,FTP,第三方系統(tǒng)： 網(wǎng)管、終端管理等,全面的日志采集手段,16,OPSEC LEA,數(shù)據(jù)庫,主機(jī),硬件采集器，旁路抓包,最關(guān)鍵的是事件等級、類型等的歸一化,事件歸一化,17,ISS IDS日志,Dec 07 2005 22:18:55 10.110.4.130 : %PIX4106023: Deny tcp src outside: 211.137.43 .182 /3158 dst inside: 21.7 .255.217 / 445,04/25/2005 03:00:10 HTTP IIS Unicode Encoding ISS From 62.6 .180.195 SPORT 26712 To 194.117.103.125 DPORT 8 0 Protocol TCP Priority HIGH “Actions: DISPLAY=Default:0,EMAIL=Default:0“ Event Specific Information, ISS IP= 194.117.10. 8,PIX 防火墻日志,10.110.4.130,62.6 .180.195,194.117.103.125,8 0,445,21.7 .255.217,211.137.43 .182,Deny,HTTP IIS Unicode Encoding,194.117.10.8,歸一化事件,26712,3158,……,……,……,……,安全事件關(guān)聯(lián)分析——外部入侵示例,18,,安全事件關(guān)聯(lián)分析——內(nèi)部違規(guī)示例,19,,門禁日志,VPN日志,OA日志,用戶A進(jìn)入公司服務(wù)器機(jī)房，通過門禁的時(shí)候打卡了，打卡信息記錄到了管理中心； 用戶B在家里通過計(jì)算機(jī)使用用戶A的VPN帳號登錄公司網(wǎng)絡(luò)； 登錄后，防火墻產(chǎn)生了一條VPN登錄日志，送到了管理中心； 用戶B登錄OA服務(wù)器，服務(wù)器產(chǎn)生一條日志，送到管理中心 此時(shí)，SecFoxLAS的界面顯示告警事件，表明有一個用戶非法使用了A的帳號登錄了OA服務(wù)器。,安全態(tài)勢監(jiān)控：信息可視化,20,應(yīng)急響應(yīng),傳統(tǒng)的日志審計(jì) 注重的是日志的存儲、基于數(shù)據(jù)庫技術(shù)的日志查詢和統(tǒng)計(jì) 問題：缺少對不同設(shè)備產(chǎn)生的日志的關(guān)聯(lián)分析，因而難以發(fā)現(xiàn)隱藏的威脅和違規(guī)行為 新型的日志審計(jì) 更加注重日志實(shí)時(shí)關(guān)聯(lián)分析 在內(nèi)存中進(jìn)行 事件歸并 事件追蹤：一查到底、及時(shí)發(fā)現(xiàn)違規(guī)和入侵 更加強(qiáng)調(diào)審計(jì)的閉環(huán)：發(fā)現(xiàn)問
環(huán)評公示相關(guān)推薦
鄂ICP備17016276號-1