soc安全運(yùn)營中心產(chǎn)品介紹(編輯修改稿)
2025-03-27 22:14 本頁面
【文章內(nèi)容簡介】 S e r v e rC o n s o l ew e b 瀏 覽 器數(shù) 據(jù) 庫 系 統(tǒng)TSM的邏輯架構(gòu) TopAnalyzer基于J2EE架構(gòu)開發(fā)，具有極強(qiáng)的開放性、跨平臺與可移植性； 數(shù)據(jù)庫采用Oracle9i/10g企業(yè)版、 sqlserver202DB2等。 支持 Window、Linux、 AIX等系統(tǒng)的部署 代理層 服務(wù)器 展示層 23 事 件 收 集 代 理企 業(yè) 事 件 信 息 總 線事 件 收 集事 件 歸 一 化事 件 預(yù) 處 理事 件 實 時 關(guān) 聯(lián) 分 析 事 件 響 應(yīng)事 件 存 儲事 件 信 息 可 視 化事 件 整 合事 件 歸 并事 件 過 濾. . .面向消息中間件技術(shù) 所有的事件在采集后對于所有模塊都是透明的，即可以實現(xiàn)事件分析的同時入庫。把原來審計系統(tǒng)的事后審計轉(zhuǎn)變?yōu)閷崟r的分析。 24 綜合監(jiān)控 ? 監(jiān)視儀表盤能做什么？ —— 全局動態(tài)展現(xiàn)網(wǎng)絡(luò)中安全事件； ? 監(jiān)視儀表盤的特點？ —— 安全運(yùn)維的窗口； 25 資產(chǎn)管理 ? 分析和評估資產(chǎn)的風(fēng)險和價值，并通過對關(guān)鍵資產(chǎn)的實時監(jiān)控，以及對資產(chǎn)所產(chǎn)生的事件進(jìn)行風(fēng)險分析和處理 ,從而維護(hù)企業(yè)中各種資產(chǎn)的安全性 ； ? 資產(chǎn)分類包括 : ? 資產(chǎn)類型 ? 資產(chǎn)物理位置 ? 資產(chǎn)用戶管理 ? 資產(chǎn)分組管理 26 風(fēng)險管理 27 安全事件處理流程 Event Database Agent VPN Virus HIDS NIDS Firewall Database Router Switch Server Knowledge Database Raw Data Information Key Information Action Expert Manager 1 Manager 2 Advisor Knowledge Console 呼叫中心 安全管理員 ① 歸一化 ② 過濾 ③ 歸并 100萬 Events 1 萬 Events 1百 Events 28 事件整合流程 Denial of Service Worm antivirus Normal/Benign Threat Events sources 表示一個事件 ? 過濾 ? 冗余處理 ? 歸納分類 ? 綁定環(huán)境 ? 雜亂的事件 ? 長短一致 ? 顏色分類 ? 攻擊場景匹配 29 9/10/01 5： 05： 29 PM， %PIX6106015： Deny TCP（ no connection） from 20230820 16:12:56|doldrgn1|dragonserver||11711||1031|AP|6| Tcp,sp=11711,dp=1031,flags=AP| Product Name ET SIP SP DIP DP Location Dept services OS PIX_FW Beijing Finance HTTP WIN2000 IDS Shanghai Market SMTP SOLARIS PIX Firewall – standard syslog format IDS – Data Items separated by pipes EVENTS Table Normalization Business Relevance 9/10/01 5： 05： 29 PM 20230820 16:12:56 2182 63228 11711 1031 安全事件管理 —— 事件標(biāo)準(zhǔn)化 30 ? 系統(tǒng)支持 二級過濾功能，大量的噪音數(shù)據(jù)可以在 Agent端直接丟棄，在管理服務(wù)器端還可以進(jìn)行進(jìn)一步的過濾以減少數(shù)據(jù)庫的壓力。 ? 所有 事件過濾 功能都 使用 SQL 92標(biāo)準(zhǔn)組合任意過濾條件，可以使用戶靈活的控制事件過濾條件。 安全事件管理 —— 事件過濾 31 基于狀態(tài)機(jī)的關(guān)聯(lián)分析 S0 S1 S2 E0入侵檢測事件 E1FW事件 E2DB事件 E3web事件 E5超時 E4FW2事件 關(guān)聯(lián)分析引擎實現(xiàn)對來自不同應(yīng)用、設(shè)備、系統(tǒng)等產(chǎn)生的不同類型的事件的實時關(guān)聯(lián) 通過使用狀態(tài)機(jī)來抽象和描述攻擊的過程與場景，狀態(tài)機(jī)間的狀態(tài)轉(zhuǎn)換的條件由不同安全事件觸發(fā) 實時關(guān)聯(lián)來自不同設(shè)備的安全事件，可以大大的降低 IDS的誤報率，發(fā)現(xiàn)引發(fā)安全事件的真正原因和隱藏的威脅。 系統(tǒng)不可用 Firewall? HOST? DB? Web Server ? TSM 關(guān)聯(lián)分析 主機(jī)應(yīng)用異常導(dǎo)致服務(wù)問題 1. S0:正常 2. E0:應(yīng)用系統(tǒng)異常事件（ From Application Host） 3. E1:防火墻異常事件 4. E2:數(shù)據(jù)庫系統(tǒng)異常事件 5. S1:系統(tǒng)部分異常 6. E3:WEB服務(wù)異常事件 7. S2:WEB SERVER出現(xiàn)異常 8. E4:狀態(tài)超時 9. 由于 XX（ E0,E1,E2,E3）原因?qū)е碌姆?wù)異常 32 關(guān)聯(lián)分析可加速問題定位、提高系統(tǒng)可用性 33 ? 基于規(guī)則的關(guān)聯(lián)分析： ? 將可疑的安全活動場景（暗示某潛在安全攻擊行為的一系列安全事件序列）加以預(yù)先定義。系統(tǒng)能夠使用定義好的關(guān)聯(lián)性規(guī)則表達(dá)式，對收集到的安全事件進(jìn)行檢查，確定該事件是否和特定的規(guī)則匹配。 ? 基于統(tǒng)計的關(guān)聯(lián)分析： ? 定義一些大的安全事件類別，對每個類別的事件設(shè)定一個合理的閥值，將出現(xiàn)的事件先歸類，然后進(jìn)行緩存和計數(shù)，當(dāng)在某一段時間內(nèi)，計數(shù)達(dá)到該閥值，可以產(chǎn)生一個級別更高的安全事件。 ? 基于資產(chǎn)的關(guān)聯(lián)分析： ? 安全事件能與相關(guān)資產(chǎn)的敏感性以及相關(guān)資產(chǎn)上
環(huán)評公示相關(guān)推薦
鄂ICP備17016276號-1