【文章內(nèi)容簡介】 事件源安全事件過濾、規(guī)整與分析真正的安全事件中國軟件第一品牌 世界知名軟件企業(yè) Infosec Innovation LaboratoryChinasoft Corporation Limited 26安全事件關(guān)聯(lián)分析（核心）? 減少事件數(shù)量減少事件數(shù)量? 確定事件根源確定事件根源? 基于時間的時間關(guān)聯(lián)分析基于時間的時間關(guān)聯(lián)分析 （時序事件規(guī)約）（時序事件規(guī)約）?基于部署結(jié)構(gòu)（地域）的事件關(guān)聯(lián)（地址轉(zhuǎn)換事件規(guī)約）基于部署結(jié)構(gòu)（地域）的事件關(guān)聯(lián)（地址轉(zhuǎn)換事件規(guī)約）?基于知識的事件關(guān)聯(lián)基于知識的事件關(guān)聯(lián) 分析（協(xié)議深度關(guān)聯(lián)事件分析）分析（協(xié)議深度關(guān)聯(lián)事件分析）? ……中國軟件第一品牌 世界知名軟件企業(yè) Infosec Innovation LaboratoryChinasoft Corporation Limited 27安全事件報告與預(yù)警預(yù)警信息預(yù)警信息取證信息取證信息? 安全事件綜合分析報告系統(tǒng)；安全事件綜合分析報告系統(tǒng)；? 基于基于 Web界面；界面；? 報告設(shè)計器，客戶化的、可定制的報告形式支持；報告設(shè)計器，客戶化的、可定制的報告形式支持；? 按嚴(yán)重程度報告按嚴(yán)重程度報告? 按時間段報告按時間段報告? 按系統(tǒng)功能報告按系統(tǒng)功能報告? 按對象報告按對象報告? 按地區(qū)報告按地區(qū)報告? 綜合分析報告綜合分析報告? 安全現(xiàn)狀報告安全現(xiàn)狀報告? 安全趨勢報告安全趨勢報告中國軟件第一品牌 世界知名軟件企業(yè) Infosec Innovation LaboratoryChinasoft Corporation Limited 28安全事件報告（事件可視化） 中國軟件第一品牌 世界知名軟件企業(yè) Infosec Innovation LaboratoryChinasoft Corporation Limited 29安全事件審計平臺的結(jié)構(gòu)switchUNIX/NTServer+ agentRoutersFirewallIDS console防病毒服務(wù)器Syslogd/trapdEVENTS事件審計平臺事件事件數(shù)據(jù)庫數(shù)據(jù)庫 審計報告Web client響應(yīng)Center網(wǎng)絡(luò)備份服務(wù)器應(yīng)急響應(yīng)中心事件源安全運(yùn)行中心安全事故應(yīng)急響應(yīng)中心 ?事故接收與處理流程開始事故接收與處理流程開始?事故處理工單分發(fā)事故處理工單分發(fā)?事故處理過程學(xué)習(xí)事故處理過程學(xué)習(xí)?事故處理過程跟蹤事故處理過程跟蹤?事故處理方法登錄事故處理方法登錄?知識庫知識庫?資產(chǎn)信息庫資產(chǎn)信息庫AGSAResponsor?Global Security Accident Responser, GSAResponsor?分項(xiàng)系統(tǒng)設(shè)計 4中國軟件第一品牌 世界知名軟件企業(yè) Infosec Innovation LaboratoryChinasoft Corporation Limited 31?事故處理流程管理；事故處理流程管理；?事故分發(fā)管理；（確定響應(yīng)工程師）事故分發(fā)管理；（確定響應(yīng)工程師）?事故處理過程交互管理；（過程交互）事故處理過程交互管理；（過程交互）?事故處理狀態(tài)控制與管理（狀態(tài)監(jiān)控）；事故處理狀態(tài)控制與管理（狀態(tài)監(jiān)控）；?資產(chǎn)信息庫查詢（事故定位）；資產(chǎn)信息庫查詢（事故定位）；?知識庫查詢（處理技術(shù)方法信息）；知識庫查詢（處理技術(shù)方法信息）；?事故處理報告管理；（回登處理過程、方法等信息）事故處理報告管理；（回登處理過程、方法等信息）?自我服務(wù)（基于自我服務(wù)（基于 Web的幫助系統(tǒng)）的幫助系統(tǒng)）主要功能?以安全事件開始的事故處理 ?按照事件的嚴(yán)重程度和影響的業(yè)務(wù)定義安全事故?安全事件類型確定安全事故類型中國軟件第一品牌 世界知名軟件企業(yè) Infosec Innovation LaboratoryChinasoft Corporation Limited 32GSARCenter?工作流支持平臺：工作流支持平臺： AR system?事故處理系統(tǒng)：事故處理系統(tǒng)： Help Desk?通過通過 Web使用使用 help desk ：： GSARCenter Web?事故處理的服務(wù)質(zhì)量：事故處理的服務(wù)質(zhì)量： GSARCenter SLA?資產(chǎn)管理系統(tǒng)集（快速定位故障）：資產(chǎn)管理系統(tǒng)集（快速定位故障）： ASMan?知識管理系統(tǒng)：知識管理系統(tǒng)： KMis系統(tǒng)組成中國軟件第一品牌 世界知名軟件企業(yè) Infosec Innovation LaboratoryChinasoft Corporation Limited 33安全事故中心結(jié)構(gòu)Web安全事件審計平臺安全事件審計平臺IE工作流事件通知單事件通知單事故應(yīng)急響應(yīng)平臺（基于工作流的管理）（基于工作流的管理）支持工程師支持工程師事項(xiàng)請求事項(xiàng)請求 安全主管安全主管廠商支持 SMS gateway支持工程師支持工程師多種告知方式多種告知方式事件處理備案事件處理備案數(shù)據(jù)庫數(shù)據(jù)庫應(yīng)急響應(yīng)中心G知識庫知識庫 信息資產(chǎn)信息庫信息資產(chǎn)信息庫系統(tǒng)本身安全設(shè)計 安全設(shè)計中國軟件第一品牌 世界知名軟件企業(yè) Infosec Innovation LaboratoryChinasoft Corporation Limited 35v集中安全管理平臺必須建立自身的用戶身份認(rèn)證機(jī)制，確保集中安全集中安全管理平臺必須建立自身的用戶身份認(rèn)證機(jī)制，確保集中安全管理平臺操作安全。管理平臺操作安全。v對系統(tǒng)的使用者進(jìn)行管理：分權(quán)、分級管理，用戶被分為超級用戶，對系統(tǒng)的使用者進(jìn)行管理：分權(quán)、分級管理，用戶被分為超級用戶，安全管理員，操作員三個級別，不同級別的用戶，賦予不同的權(quán)限。安全管理員，操作員三個級別，不同級別的用戶，賦予不同的權(quán)限。v集中安全管理平臺啟動和關(guān)閉都需要經(jīng)過身份認(rèn)證，只有合法用戶，集中安全管理平臺啟動和關(guān)閉都需要經(jīng)過身份認(rèn)證，只有合法用戶，適當(dāng)?shù)氖褂脵?quán)限的用戶，才能啟動或操作系統(tǒng)不同的功能。適當(dāng)?shù)氖褂脵?quán)限的用戶，才能啟動或操作系統(tǒng)不同的功能。v系統(tǒng)必須對用戶身份認(rèn)證失敗進(jìn)行處理，三次失敗后，系統(tǒng)退出，并系統(tǒng)必須對用戶身份認(rèn)證失敗進(jìn)行處理，三次失敗后，系統(tǒng)退出，并記錄日志。記錄日志。v系統(tǒng)的工作過程，必須記錄在日志數(shù)據(jù)庫中。系統(tǒng)的工作過程，必須記錄在日志數(shù)據(jù)庫中。 v基于基于 PKI技術(shù)的技術(shù)的 CA中心的對接；中心的對接；v證書介質(zhì)：證書介質(zhì)： IC卡?？?。強(qiáng)身份認(rèn)證機(jī)制中國軟件第一品牌 世界知名軟件企業(yè) Infosec Innovation LaboratoryChinasoft Corporation Limited 36v集中安全管理平臺應(yīng)設(shè)計加密機(jī)制，保護(hù)相關(guān)文件集中安全管理平臺應(yīng)設(shè)計加密機(jī)制，保護(hù)相關(guān)文件v集中安全管理平臺的設(shè)計與開發(fā)過程中，必須涉及系列加密技術(shù)，保集中安全管理平臺的設(shè)計與開發(fā)過程中，必須涉及系列加密技術(shù)，保護(hù)相關(guān)文件。護(hù)相關(guān)文件。v集中安全管理平臺必須采用數(shù)字簽名的加密技術(shù)保護(hù)系統(tǒng)的主要執(zhí)行集中安全管理平臺必須采用數(shù)字簽名的加密技術(shù)保護(hù)系統(tǒng)的主要執(zhí)行文件；文件；v集中安全管理平臺必須采用數(shù)字簽名的加密技術(shù)保護(hù)系統(tǒng)的主要數(shù)據(jù)集中安全管理平臺必須采用數(shù)字簽名的加密技術(shù)保護(hù)系統(tǒng)的主要數(shù)據(jù)文件、配置文件、日志文件。文件、配置文件、日志文件。 v基于基于 PKI技術(shù)的技術(shù)的 CA中心的對接；中心的對接；v證書介質(zhì)：證書介質(zhì)： IC卡?？?。事件數(shù)據(jù)庫加密保護(hù)機(jī)制中國軟件第一品牌 世界知名軟件企業(yè) Infosec Innovation LaboratoryChinasoft Corporation Limited 37v集中安全管理平臺的設(shè)計