【正文】 管理對象影響性分析– 日志信息和性能信息的采集以遠程為主，基本不必安裝在管理對象上采集代理– 性能數(shù)據(jù)的數(shù)據(jù)采樣時間可調(diào)、粒度可配置 – 主要采取被動采集技術(shù)收集日志，不會對管理對象發(fā)起主動連接，不影響管理對象的現(xiàn)有安全機制網(wǎng)絡(luò)影響性分析– 采用旁路接入模式，系統(tǒng)部署無需修改網(wǎng)絡(luò)拓撲– 支持多端口日志采集和分布式日志采集器部署，可以就近分別采集多個網(wǎng)段的日志，減少日志流量的匯聚– 日志采集器在上傳日志的時候支持數(shù)據(jù)壓縮，降低網(wǎng)絡(luò)帶寬占用；支持定時上傳，可以避開網(wǎng)絡(luò)流量繁忙期– 支持分布式性能信息采集，并且與管理中心采取壓縮加密的通訊方式 完善的系統(tǒng)自身安全性保證系統(tǒng)具備完善的自身安全性設(shè)計，保證系統(tǒng)自身的安全等級符合用戶的整體安全策略。虛擬縣級平臺的建立，簡化了地市公安局的安全管理與運維過程，有利于地市公安局快速構(gòu)建起基本的分級管理架構(gòu)。 可運維的多級管理架構(gòu) 級聯(lián)內(nèi)容平臺的多級管理架構(gòu)是與公安的行政體系相適應(yīng)的。 公安業(yè)務(wù)考核支持TSOC－GA能夠基于平臺的各類監(jiān)控數(shù)據(jù)、管理數(shù)據(jù)生成考核報告，并且具備定期自動生成運行日通報、月通報的能力，并且支持將通報自動發(fā)布到公安信息安全相關(guān)的網(wǎng)站上。系統(tǒng)內(nèi)置報表生成調(diào)度器，可以定時自動生成日報、周報、月報、季報、年報，并支持以郵件等方式自動投遞，支持以PDF、Excel、Word等格式導(dǎo)出，支持打印。對于每個關(guān)鍵管理指標(biāo)都支持指標(biāo)項的下鉆，實現(xiàn)從宏觀到微觀的聚焦。系統(tǒng)將表征安全管理建設(shè)水平的這套層次化指標(biāo)稱作關(guān)鍵管理指標(biāo)，每個指標(biāo)項都建立了一個針對某類安全事件的度量標(biāo)準(zhǔn)。 關(guān)鍵安全管理指標(biāo)分析 該功能需要根據(jù)客戶實際進行定制，默認不提供。 威脅態(tài)勢分析威脅態(tài)勢分析，也稱作威脅KPI，系統(tǒng)通過對一組關(guān)鍵威脅指標(biāo)（KPI）的計算得到一個威脅指數(shù)，并以此隨時間描述出一條威脅指數(shù)曲線，從而表征一段時間內(nèi)、某個網(wǎng)絡(luò)區(qū)域的網(wǎng)絡(luò)安全威脅狀態(tài)及其發(fā)展趨勢。系統(tǒng)能夠持續(xù)地描繪地址熵態(tài)勢曲線，并可以顯示每個時段的地址態(tài)勢成因圖。一方面，系統(tǒng)從安全本身的發(fā)展變化入手，通過對事件和威脅的分析來評估當(dāng)前網(wǎng)絡(luò)的整體安全態(tài)勢，分為地址熵態(tài)勢分析和威脅態(tài)勢分析；另一方面，系統(tǒng)從客戶借助系統(tǒng)達成的安全管理水平入手，通過對一系列管理指標(biāo)的度量，來評估當(dāng)前某個網(wǎng)絡(luò)區(qū)域的安全管理水平，稱作關(guān)鍵安全管理指標(biāo)分析。 指標(biāo)化的宏觀態(tài)勢感知系統(tǒng)能夠從宏觀的角度對客戶的整體網(wǎng)絡(luò)安全進行評估，對整體安全管理建設(shè)的水平進行評估，為客戶提升安全防護能力提供決策支持，同時也為客戶提升信息安全管理體系建設(shè)成熟度提供決策支持。系統(tǒng)通過內(nèi)置的風(fēng)險計算模型，綜合考慮資產(chǎn)的價值、脆弱性和威脅，能夠定期自動地計算出資產(chǎn)的風(fēng)險可能性和影響性，并通過二者建立了一個風(fēng)險矩陣，進而計算出資產(chǎn)、安全域和業(yè)務(wù)系統(tǒng)的風(fēng)險值，并刻畫出資產(chǎn)、安全域和業(yè)務(wù)系統(tǒng)隨時間變化的風(fēng)險變化曲線。傳統(tǒng)的風(fēng)險計算都是通過資產(chǎn)、弱點和威脅三者簡單相乘獲得資產(chǎn)風(fēng)險值，雖然考慮到了風(fēng)險要素信息，但是卻沒有體現(xiàn)出各風(fēng)險要素是如何構(gòu)成資產(chǎn)風(fēng)險成因的。系統(tǒng)能夠通過多種方式展示資產(chǎn)/安全域/業(yè)務(wù)系統(tǒng)的弱點信息，支持時間趨勢分析和橫向?qū)Ρ确治?。系統(tǒng)能夠根據(jù)資產(chǎn)的安全屬性遭受破壞后對所屬業(yè)務(wù)系統(tǒng)的影響性程度計算出資產(chǎn)的價值，并進而計算出安全域和業(yè)務(wù)系統(tǒng)的價值。如下表所示，顯示了主要監(jiān)控對象典型的監(jiān)控指標(biāo)：設(shè)備對象監(jiān)控指標(biāo)網(wǎng)絡(luò)設(shè)備設(shè)備名稱、IP信息、描述、節(jié)點狀態(tài)、運行時間、接口信息、路由信息、網(wǎng)絡(luò)狀態(tài)信息、網(wǎng)絡(luò)性能信息安全設(shè)備設(shè)備名稱、IP信息、描述、節(jié)點狀態(tài)、運行時間、接口信息、路由信息、網(wǎng)絡(luò)狀態(tài)信息、網(wǎng)絡(luò)性能信息服務(wù)器 名稱、IP、描述、節(jié)點狀態(tài)、運行時間、網(wǎng)絡(luò)接口信息、CPU利用率、內(nèi)存利用率、磁盤利用率、磁盤IO、文件系統(tǒng)、安裝軟件、安裝服務(wù)、運行進程、 網(wǎng)絡(luò)連接，支持自定義指標(biāo)數(shù)據(jù)庫名稱、版本、端口、主機名、內(nèi)存信息、運行狀態(tài)、事務(wù)信息、緩存信息、連接信息、鎖信息、SQL統(tǒng)計、命中率信息、表空間信息、訪問方法明細、數(shù)據(jù)庫明細中間件名稱、版本、端口、連通性、運行狀態(tài)、CPU、內(nèi)存、事務(wù)、JVM Runtime、隊列、Servlet會話、線程池、EJB、JDBC連接其它 只要支持SNMP、JMX、ODBC/JDBC協(xié)議即可 基于風(fēng)險矩陣的量化安全風(fēng)險評估系統(tǒng)參照GB/T 209842007信息安全風(fēng)險評估規(guī)范、ISO 27005:2008信息安全風(fēng)險管理，以及OWASP威脅建模項目中風(fēng)險計算模型的要求，設(shè)計了一套實用化的風(fēng)險計算模型，實現(xiàn)了量化的安全風(fēng)險估算和評估。 支持多種監(jiān)控對象系統(tǒng)支持對大部分主流IT軟硬件資產(chǎn)的監(jiān)控，部分監(jiān)控對象如下表所示：設(shè)備類型 廠商或產(chǎn)品 交換機所有支持SNMP協(xié)議（包括V3）的交換機，例如Cisco、Extreme、Juniper、博科、華為、H3C、神州數(shù)碼、銳捷等路由器所有支持SNMP協(xié)議的路由器，例如Cisco、Extreme、Juniper、華為、H3C、神州數(shù)碼、銳捷等防火墻 /UTM/USG 啟明星辰、網(wǎng)御星云，以及支持SNMP協(xié)議的安全網(wǎng)關(guān)類設(shè)備，例如Cisco、Juniper Netscreen、飛塔、Checkpoint、Nokia、天融信、東軟、網(wǎng)御神州、H3C、迪普、山石等VPN 只要支持SNMP協(xié)議即可，例如啟明星辰、網(wǎng)御星云、天融信 網(wǎng)閘只要支持SNMP協(xié)議即可，例如網(wǎng)御星云 IDS/IPS/IDP 只要支持SNMP協(xié)議即可，例如啟明星辰、網(wǎng)御星云 AntiDDoS只要支持SNMP協(xié)議即可，例如啟明星辰、網(wǎng)御星云、綠盟 WAF 只要支持SNMP協(xié)議即可，例如啟明星辰、網(wǎng)御星云服務(wù)器 IBM AIX 、HPUX 、Microsoft Windows、SUN Solaris、Linux等 數(shù)據(jù)庫Oracle、SQL Server、DBMySQL、Informix、Sybase等中間件Weblogic、WebShpere、JBoss、Apache、Tomcat、Domino存儲系統(tǒng)HP、IBM、VERITA應(yīng)用服務(wù)SMTP、POPHTTP、FTP、TELNET、SSH、SSHDNS、DHCP、WINS、LDAP、URL其它 只要支持SNMP協(xié)議（包括V3）即可 全方位細粒度監(jiān)控系統(tǒng)對于各種監(jiān)控對象都能進行全方位細粒度的監(jiān)控，具有豐富的監(jiān)控指標(biāo)。管理員透過機架視圖可以清楚地知道每個資產(chǎn)的位置。拓撲圖具備動態(tài)更新能力，能夠?qū)崟r地顯示資產(chǎn)的運行狀態(tài)和安全狀態(tài)，能夠方便地鏈接到其他功能模塊。 全方位的IT系統(tǒng)性能與可用性監(jiān)控 網(wǎng)絡(luò)拓撲管理系統(tǒng)能夠描繪出網(wǎng)絡(luò)拓撲圖，展示IT資產(chǎn)之間的邏輯拓撲連接關(guān)系，并能夠自動進行多種拓撲布局。當(dāng)出現(xiàn)多個可執(zhí)行人時，系統(tǒng)也提供接替功能，可以設(shè)置判斷條件來決定流程的下一步流向。l 角色化工作流模塊與用戶管理、權(quán)限管理模塊有緊密聯(lián)系。本平臺內(nèi)嵌了一個強大的工作流引擎，能夠完美地支持這種客戶化修改。此外，某種具體的業(yè)務(wù)流程，也需要在實踐過程中進行不斷地優(yōu)化與完善。l 過程跟蹤工作流程化以后，在任何時候均能夠查看當(dāng)前任務(wù)的歸屬人、任務(wù)的處理時間、任務(wù)的處理過程歷史、工單狀態(tài)，等等。因此，這些常用的工作過程，全都可以在平臺內(nèi)進行流轉(zhuǎn)。 運行維度－進行工作排班、簽到、巡檢、工作日志等個人日常工作服務(wù)維度－面向全體公安干警提供信息發(fā)布與業(yè)務(wù)服務(wù)受理 靈活的流程定制能力TSOC－GA通過客戶化的工作流系統(tǒng)來滿足公安用戶的需要。 管理維度－進行流程調(diào)度、業(yè)務(wù)審核、安全員管理等管理性工作178。公安行業(yè)日常工作中的各項業(yè)務(wù)過程，在TSOC－GA中都能夠以集中的、高效的、規(guī)范的、流轉(zhuǎn)式的方式來運行。安全管理人員也可以對一段時間內(nèi)的安全事件進行行為分析，通過生成一幅行為分析圖形象化地展示海量安全事件之間的關(guān)聯(lián)關(guān)系，從宏觀的角度來協(xié)助定位安全問題。用戶點擊拓撲節(jié)點可以查詢事件和告警信息詳情。 可視化安全事件分析系統(tǒng)為用戶提供了豐富的可視化安全事件分析視圖，充分提升分析效率。l 單事件關(guān)聯(lián)通過單事件關(guān)聯(lián)，系統(tǒng)可以對符合單一規(guī)則的事件流進行規(guī)則匹配。規(guī)則的邏輯表達式支持等于、不等于、大于、小于、不大于、不小于、位于……之間、屬于、包含、FollowBy等運算符和關(guān)鍵字。 智能化安全事件關(guān)聯(lián)分析借助先進的智能事件關(guān)聯(lián)分析引擎，系統(tǒng)能夠?qū)崟r不間斷地對所有范式化后的日志流進行安全事件關(guān)聯(lián)分析。安全管理員員也可以直接對原始日志進行模糊查詢。更重要地，啟明星辰的安全技術(shù)人員還對每種日志進行了手工分類和分析工作，加入了日志類型字段，豐富了日志所蘊含的信息量，讓枯燥的日志信息變的更可理解。安全管理人員不必再去熟悉不同廠商不同的日志信息，從而大大提升工作效率。 支持分布式日志采集TSOC－GA管理中心自帶日志采集功能，同時也支持在用戶網(wǎng)絡(luò)中分布式部署多個日志采集器，就近采集管理對象的日志信息，并進行日志的范式化、過濾和歸并，然后匯聚到管理中心，從而實現(xiàn)對分散管理對象的日志采集，并有效降低網(wǎng)絡(luò)中日志流的帶寬占用。同時，TSOC－GA也支持其它主流的各類通用型安全設(shè)備，部分廠商設(shè)備類型如下表所示：設(shè)備類型 廠商或產(chǎn)品 交換機Cisco、Extreme、Juniper、博科、華為、H3C、神州數(shù)碼、銳捷、博達、Dell Force10路由器Cisco、Extreme、Juniper、華為、H3C、神州數(shù)碼、銳捷 防火墻 /UTM/USG 啟明星辰、網(wǎng)御星云、Cisco、Juniper Netscreen、飛塔、Checkpoint、Nokia、Bluecoat、天融信、東軟、方正科技、網(wǎng)神、億陽信通、中科網(wǎng)威、中網(wǎng)、阿姆瑞特、衛(wèi)士通、H3C、迪普、山石 VPN 啟明星辰、網(wǎng)御星云、天融信、Array、Juniper 網(wǎng)閘網(wǎng)御星云、國保金泰、鴻瑞、南瑞 IDS/IPS/IDP 啟明星辰、網(wǎng)御星云、Cisco、McAfee、IBM、Snort、Tipping Point、綠盟、東軟、H3C、迪普、天融信、安氏、三零盛安、網(wǎng)神、理工先河 漏洞掃描啟明星辰、綠盟、榕基防病毒Symantec、TrendMicro、McAfee、瑞星、金山、江民、冠群金辰、熊貓AntiDDoS網(wǎng)御星云、啟明星辰、綠盟 WAF 啟明星辰、Imperva、綠盟、中創(chuàng)InfoGuard 負載均衡設(shè)備F信安世紀(jì) 安全審計系統(tǒng) 啟明星辰、復(fù)旦光華、漢邦、三零盛安運維審計啟明星辰、奇智、諧潤身份認證格爾、吉大正元服務(wù)器 IBM AIX 、HPUX 、Microsoft Windows、SUN Solaris、Linux及其變種 數(shù)據(jù)庫Oracle、SQL Server、DBMySQL、Informix、Sybase、國產(chǎn)數(shù)據(jù)庫 中間件WebLogic、WebShpere、JBoss、Apache、Tomcat、Domino網(wǎng)管系統(tǒng)HP OpenView NNM、IBM NetCool、CiscoWorks存儲系統(tǒng)HP、IBM、EMC、VERITA業(yè)務(wù)系統(tǒng)各種用戶自有的業(yè)務(wù)系統(tǒng)（需要定制）其它 任意Syslog日志源、SNMP Trap日志源 對于目前暫不支持的管理對象，TSOC－GA還提供了方便靈活的擴展機制。TSOC－GA支持的數(shù)據(jù)庫環(huán)境為：類型版本OracleOracle 10g /11g8 啟明星辰公安安全管理平臺特性優(yōu)勢 多層次的安全事件管理 安全專項系統(tǒng)的信息采集TSOC－GA全面支持公安系統(tǒng)的各類安全專項系統(tǒng)信息采集，包括：PKIPMI系統(tǒng)，一機兩用系統(tǒng)，邊界接入平臺系統(tǒng)、違規(guī)行為系統(tǒng)、防病毒系統(tǒng)、漏洞掃描系統(tǒng)、異常流量監(jiān)控系統(tǒng)、防入侵攻擊系統(tǒng)、防火墻系統(tǒng)等。系統(tǒng)使用無需安裝客戶端軟件，用戶通過瀏覽器即可訪問管理中心。在雙Intel至強4核CPU，8GB內(nèi)存，64位操作系統(tǒng)下，TSOCGA的事件處理性能可達到平均15000EPS。 運行環(huán)境要求TSOC－GA是一套軟件包，建議安裝在獨立的服務(wù)器上運行。 級聯(lián)部署對于公安系統(tǒng)常見的省市縣三級網(wǎng)絡(luò)，系統(tǒng)支持級聯(lián)部署，以適應(yīng)用戶多級管理的體制。在這個單級部署場景中，管理中心可以直接采集管理對象的日志和性能信息，也可以通過外掛的日志采集器和性能采集器采集管理對象的信息。 安管平臺接口示意圖如下：在數(shù)據(jù)采集層面，接口方式示意圖如下： 部署方式 單級部署產(chǎn)品部署對于客戶網(wǎng)絡(luò)的要求比較簡單，只要系統(tǒng)的管理中心與管理對象之間網(wǎng)絡(luò)可達即可。根據(jù)安管系統(tǒng)各功能模塊實現(xiàn)的需求，本平臺定義了5類相關(guān)數(shù)據(jù)和6類相關(guān)接口。l 接入注冊認證管理：包括安全專項系統(tǒng)注冊認證申請、審核等。通過接口，安管平臺能從安全專項系統(tǒng)獲取數(shù)據(jù)進行規(guī)范化處理，并將之轉(zhuǎn)換為安管平臺所定義的規(guī)范化狀態(tài)監(jiān)控、安全事件、預(yù)警等數(shù)據(jù)，同時提供安全專項系統(tǒng)應(yīng)急響應(yīng)和聯(lián)動的規(guī)范流程和信息通道，具體界面如下圖所示：安全專項系統(tǒng)接口管理包括：l 安全專項系統(tǒng)基本參數(shù)配置：包括安全專項系統(tǒng)名稱、編碼、活動偵測時間配置等。當(dāng)然，由于無法象真實平臺一樣進行本地的信息采集與處理，虛擬平臺仍然不能替代真實平臺的所有工作。TSOCGA支持在地市平臺中建立多個虛擬縣級平臺，使用縣級管理帳號登錄地市平臺后仍然能夠完成基本的安全管理工作，例如在所屬縣的范圍內(nèi)進行工單處理、查閱通知通報、進行技術(shù)交流等。 虛擬平臺管理當(dāng)平臺部署到地市一級時，同樣有接入?yún)^(qū)、縣公安局信息系統(tǒng)的需要。工單支持雙向流轉(zhuǎn)，支持各種簽收、通知、審核等流程節(jié)點，支持事件工單、管理工單、其它承載工單的多級流轉(zhuǎn)。 工單級聯(lián)管理平臺中的工單處理，除了能夠在同一平臺內(nèi)用戶間流轉(zhuǎn)外，也支持多級平臺之間的工單流轉(zhuǎn)。下級向上級傳遞安全事件，采用