搜索

[12960] 2018-07-18_如何建设一个安全监控中心（SOC）？

文档创建者：s7ckTeam
浏览次数：0
最后更新：2025-01-18
2018-07-18_如何建设一个安全监控中心（SOC）？ 如 何 建 设 一 个 安 全 监 控 中 心 （ S O C ） ？ C a e s a r 0   F r e e B u f   2 0 1 8 - 0 7 - 1 8 虽 然 信 息 安 全 管 理 问 题 主 要 是 个 从 上 而 下 的 问 题 ， 不 能 指 望 通 过 某 一 种 工 具 来 解 决 ， 但 良 好 的 安 全 技 术 基 础 架 构 能 有 效 的 推 动 和 保 障 信 息 安 全 管 理 。 随 着 国 内 行 业 I T 应 用 度 和 信 息 安 全 管 理 水 平 的 不 断 提 高 ， 企 业 对 于 安 全 管 理 的 配 套 设 施 如 安 全 监 控 中 心 （ S O C ） 的 要 求 也 将 有 大 幅 度 需 求 ， 这 将 会 是 一 个 较 明 显 的 发 展 趋 势 。 推 行 S O C 的 另 外 一 个 明 显 的 好 处 是 考 虑 到 在 国 内 企 业 目 前 的 信 息 化 程 度 下 直 接 实 施 信 息 管 理 变 革 的 困 难 在 国 内 企 业 目 前 的 信 息 化 程 度 下 直 接 实 施 信 息 管 理 变 革 的 困 难 性 ， 如 果 尝 试 先 从 技 术 角 度 入 手 建 立 性 ， 如 果 尝 试 先 从 技 术 角 度 入 手 建 立 S O C 相 对 来 说 阻 力 更 小 ， 然 后 通 过 相 对 来 说 阻 力 更 小 ， 然 后 通 过 S O C 再 推 动 相 应 的 管 理 流 程 制 再 推 动 相 应 的 管 理 流 程 制 定 和 实 施 ， 这 也 未 尝 不 是 值 得 推 荐 的 并 且 符 合 国 情 的 建 设 方 式 定 和 实 施 ， 这 也 未 尝 不 是 值 得 推 荐 的 并 且 符 合 国 情 的 建 设 方 式 . 而 且 目 前 已 经 有 些 I T 应 用 成 熟 度 较 高 的 大 型 企 业 开 始 进 行 这 方 面 工 作 的 试 点 和 探 索 了 ， 因 为 这 些 组 织 已 经 认 识 到 仅 依 赖 于 某 些 安 全 产 品 ， 不 可 能 有 效 地 保 护 自 己 的 整 体 网 络 安 全 ， 信 息 安 全 作 为 一 个 整 体 ， 需 要 仅 依 赖 于 某 些 安 全 产 品 ， 不 可 能 有 效 地 保 护 自 己 的 整 体 网 络 安 全 ， 信 息 安 全 作 为 一 个 整 体 ， 需 要 把 安 全 过 程 中 的 有 关 各 方 如 各 层 次 的 安 全 产 品 、 分 支 机 构 、 运 营 网 络 、 客 户 等 纳 入 一 个 紧 密 的 统 一 安 把 安 全 过 程 中 的 有 关 各 方 如 各 层 次 的 安 全 产 品 、 分 支 机 构 、 运 营 网 络 、 客 户 等 纳 入 一 个 紧 密 的 统 一 安 全 管 理 平 台 中 ， 才 能 有 效 地 保 障 企 业 的 网 络 安 全 和 保 护 原 有 投 资 。 全 管 理 平 台 中 ， 才 能 有 效 地 保 障 企 业 的 网 络 安 全 和 保 护 原 有 投 资 。 信 息 安 全 管 理 水 平 的 高 低 不 是 单 一 的 安 全 产 品 的 比 较 ， 也 不 是 应 用 安 全 产 品 的 多 少 和 时 间 的 比 较 ， 而 是 组 织 的 信 息 安 全 管 理 水 平 的 高 低 不 是 单 一 的 安 全 产 品 的 比 较 ， 也 不 是 应 用 安 全 产 品 的 多 少 和 时 间 的 比 较 ， 而 是 组 织 的 整 体 的 安 全 管 理 平 台 效 率 间 的 比 较 。 下 面 我 们 就 来 谈 谈 建 立 一 个 整 体 的 安 全 管 理 平 台 效 率 间 的 比 较 。 下 面 我 们 就 来 谈 谈 建 立 一 个 S O C 应 该 从 那 些 方 面 考 虑 。 应 该 从 那 些 方 面 考 虑 。 最 近 F r e e B u f 好 像 要 在 深 圳 办 一 场 与 S o C 有 关 的 会 议 ， 近 期 自 己 恰 好 整 理 了 一 些 关 于 S O C 建 设 、 发 展 现 状 的 内 容 ， 借 此 机 会 分 享 出 来 ， 以 飨 读 者 。 好 了 ， 下 面 开 始 正 文 。 首 先 ， 一 个 较 完 善 的 S O C 应 该 具 有 以 下 功 能 模 块 ： 安 全 设 备 的 集 中 管 理 安 全 设 备 的 集 中 管 理 统 一 日 志 管 理 （ 集 中 监 控 ） 统 一 日 志 管 理 （ 集 中 监 控 ） 包 括 各 安 全 设 备 的 安 全 日 志 的 统 一 监 控 ； 安 全 日 志 的 统 一 存 储 、 查 询 、 分 析 、 过 滤 和 报 表 生 成 等 功 能 、 安 全 日 志 的 统 一 告 警 平 台 和 统 一 的 自 动 通 知 等 ；
模 块 分 析 ： 大 型 网 络 中 的 不 同 节 点 处 往 往 都 部 署 了 许 多 安 全 产 品 ， 起 到 不 同 的 作 用 。 首 先 要 达 到 的 目 标 是 全 面 获 取 网 络 安 全 实 时 状 态 信 息 ， 解 决 网 络 安 全 管 理 中 的 透 明 性 问 题 。 解 决 网 络 安 全 的 可 管 理 控 制 性 问 题 。 从 安 全 管 理 员 的 角 度 来 说 ， 最 直 接 的 需 求 就 是 在 一 个 统 一 的 界 面 中 可 以 监 视 到 网 络 中 每 个 安 全 产 品 的 运 行 情 况 ， 并 对 他 们 产 生 的 日 志 和 报 警 信 息 进 行 统 一 分 析 和 汇 总 。 统 一 配 置 管 理 （ 集 中 管 理 ） 统 一 配 置 管 理 （ 集 中 管 理 ） 包 括 各 安 全 设 备 的 安 全 配 置 文 件 的 集 中 管 理 ， 提 高 各 管 理 工 具 的 维 护 管 理 水 平 ， 提 高 安 全 管 理 工 作 效 率 ； 有 条 件 的 情 况 下 实 现 各 安 全 产 品 的 配 置 文 件 （ 安 全 策 略 ） 的 统 一 分 发 ， 修 正 和 更 新 ； 配 置 文 件 的 统 一 在 （ 离 ） 线 管 理 ， 定 期 进 行 采 集 和 审 核 ， 对 安 全 产 品 的 各 种 属 性 和 安 全 策 略 进 行 集 中 的 存 储 、 查 询 。 模 块 分 析 ： 目 前 企 业 中 主 要 的 安 全 产 品 如 防 火 墙 、 入 侵 检 测 和 病 毒 防 护 等 往 往 是 各 自 为 政 ， 有 自 己 独 立 的 体 系 和 控 制 端 。 通 常 管 理 员 需 要 同 时 运 行 多 个 控 制 端 ， 这 就 直 接 导 致 了 对 安 全 设 备 统 一 管 理 的 要 求 。 不 过 从 目 前 国 内 的 情 况 来 说 ， 各 不 同 厂 商 的 安 全 产 品 统 一 管 理 的 难 度 较 大 ， 统 一 监 控 更 容 易 实 现 ， 在 目 前 现 状 中 也 更 为 重 要 。 目 前 国 内 现 状 是 各 个 安 全 公 司 都 从 开 发 管 理 自 己 设 备 的 管 理 软 件 入 手 ， 先 做 到 以 自 己 设 备 为 中 心 ， 把 自 己 设 备 先 管 理 起 来 ， 同 时 提 出 自 己 的 协 议 接 口 ， 使 产 品 能 够 有 开 放 性 和 兼 容 性 。 这 些 安 全 设 备 管 理 软 件 和 网 络 管 理 软 件 类 似 ， 对 安 全 设 备 的 发 现 和 信 息 读 取 主 要 建 立 在 S N M P 协 议 基 础 上 ， 对 特 定 的 信 息 辅 助 其 他 网 络 协 议 。 获 取 得 内 容 大 部 分 也 和 网 络 设 备 管 理 相 同 ， 如 C P U 使 用 情 况 ， 内 存 使 用 情 况 ， 系 统 状 态 ， 网 络 流 量 等 。 各 安 全 产 品 和 系 统 的 统 一 协 调 和 处 理 （ 协 同 处 理 ） 各 安 全 产 品 和 系 统 的 统 一 协 调 和 处 理 （ 协 同 处 理 ） 协 调 处 理 是 安 全 技 术 的 目 标 ， 同 时 也 符 合 我 国 对 信 息 安 全 保 障 的 要 求 即 实 现 多 层 次 的 防 御 体 系 。 整 体 安 全 技 术 体 系 也 应 该 有 多 层 次 的 控 制 体 系 。 不 仅 仅 包 含 各 种 安 全 产 品 ， 而 且 涉 及 到 各 主 机 操 作 系 统 、 应 用 软 件 、 路 由 交 换 设 备 等 等 。 模 块 分 析 ： 目 前 国 内 有 部 分 提 法 是 I D S 和 防 火 墙 的 联 动 就 是 基 于 这 种 思 路 的 ， 但 是 实 际 的 使 用 情 况 中 基 本 上 没 有 客 户 认 同 这 点 ， 原 因 当 然 有 很 多 ， 但 实 际 上 要 实 现 这 点 还 需 要 较 长 的 技 术 积 累 。 设 备 的 自 动 发 现 设 备 的 自 动 发 现 网 络 拓 扑 变 化 后 能 自 动 发 现 设 备 的 调 整 并 进 行 基 本 的 探 测 和 给 出 信 息 。 模 块 分 析 ： 大 部 分 企 业 内 部 的 网 络 的 拓 扑 都 是 在 变 化 的 ， 如 果 不 支 持 设 备 的 自 动 发 现 ， 就 需 要 人 工 方 式 解 决 ， 给 管 理 员 造 成 较 大 的 工 作 压 力 ， 也 不 能 掌 握 网 络 的 实 际 拓 扑 ， 这 样 不 便 于 排 错 和 发 现 安 全 故 障 。 可 以 采 用 自 动 搜 寻 拓 扑 的 机 制 。 如 I B M   T i v o l i N e t v i e w 可 以 自 动 发 现 大 多 数 网 络 设 备 的 类 型 ， 或 通 过 更 改 M I B 库 ， 来 随 时 添 加 系 统 能 识 别 的 新 的 设 备 。 安 全 服 务 的 集 中 管 理 安 全 服 务 的 集 中 管 理 实 现 安 全 相 关 软 件 / 补 丁 安 装 情 况 的 管 理 功 能 ， 建 立 安 全 相 关 软 件 / 补 丁 信 息 库 ， 提 供 查 询 、 统 计 、 分 析 功 能 ， 提 供 初 步 的 分 发 功 能 。
模 块 分 析 ： 微 软 在 对 自 己 的 操 作 系 统 的 全 网 补 丁 分 发 上 走 的 比 较 前 ， 成 功 的 产 品 有 S U S 和 S N S 等 ， 国 际 上 也 有 部 分 的 单 一 产 品 是 作 这 个 工 作 的 ， 但 目 前 还 没 有 看 到 那 个 S O C 集 成 了 这 个 模 块 。 安 全 培 训 管 理 安 全 培 训 管 理 建 立 安 全 情 报 中 心 和 知 识 库 （ 侧 重 安 全 预 警 平 台 ） ， 包 括 ： 最 新 安 全 知 识 的 收 集 和 共 享 ； 最 新 的 漏 洞 信 息 和 安 全 技 术 , ； 实 现 安 全 技 术 的 交 流 和 培 训 。 持 续 更 新 发 展 的 知 识 和 信 息 是 维 持 高 水 平 安 全 运 行 的 保 证 。 模 块 分 析 ： 虽 然 这 个 模 块 的 技 术 含 量 较 低 ， 但 要 为 安 全 管 理 体 系 提 供 有 效 的 支 持 ， 这 个 模 块 是 非 常 重 要 的 ， 有 效 的 安 全 培 训 和 知 识 共 享 是 提 示 企 业 的 整 体 安 全 管 理 执 行 能 力 的 基 础 工 作 ， 也 有 助 于 形 成 组 织 内 部 统 一 有 效 的 安 全 信 息 传 输 通 道 ， 建 立 安 全 问 题 上 报 、 安 全 公 告 下 发 、 处 理 和 解 决 反 馈 的 沟 通 平 台 。 风 险 分 析 自 动 化 风 险 分 析 自 动 化 自 动 的 搜 集 系 统 漏 洞 信 息 、 对 信 息 系 统 进 行 入 侵 检 测 和 预 警 ， 分 析 安 全 风 险 ， 并 通 过 系 统 安 全 软 件 统 一 完 成 信 息 系 统 的 补 丁 加 载 ， 病 毒 代 码 更 新 等 工 作 ， 有 效 的 提 高 安 全 工 作 效 率 ， 减 小 网 络 安 全 的 ” 时 间 窗 口 ” ， 大 大 提 高 系 统 的 防 护 能 力 。 模 块 分 析 ： 安 全 管 理 软 件 实 施 的 前 提 是 已 经 部 署 了 较 完 善 的 安 全 产 品 ， 如 防 火 墙 ， 防 病 毒 ， 入 侵 检 测 等 。 有 了 安 全 产 品 才 能 够 管 理 和 监 视 ， 安 全 管 理 平 台 的 作 用 在 于 在 现 有 各 种 产 品 的 基 础 上 进 行 一 定 的 数 据 分 析 和 部 分 事 件 关 联 工 作 ， 例 如 设 置 扫 描 器 定 期 对 网 络 进 行 扫 描 ， 配 合 该 时 间 段 的 入 侵 检 测 系 统 监 控 日 志 和 补 丁 更 新 日 志 ， 就 可 以 对 整 网 的 技 术 脆 弱 性 有 个 初 步 的 了 解 。 业 务 流 程 的 安 全 管 理 业 务 流 程 的 安 全 管 理 初 步 的 资 产 管 理 （ 资 产 、 人 员 ） 初 步 的 资 产 管 理 （ 资 产 、 人 员 ） 统 一 管 理 信 息 资 产 ， 汇 总 安 全 评 估 结 果 ， 建 立 风 险 管 理 模 型 。 提 供 重 要 资 产 所 面 临 的 风 险 值 、 相 应 的 威 胁 、 脆 弱 性 的 查 询 、 统 计 、 分 析 功 能 。 模 块 分 析 ： 国 内 外 安 全 厂 商 中 资 产 管 理 功 能 都 很 简 单 ， 和 现 有 的 财 务 、 运 营 软 件 相 差 非 常 大 ， 基 本 上 是 照 般 了 B S 7 7 9 9 中 的 对 资 产 的 分 析 和 管 理 模 块 。 安 全 管 理 系 统 与 网 管 系 统 的 联 动 （ 协 调 处 理 ） 安 全 管 理 系 统 与 网 管 系 统 的 联 动 （ 协 调 处 理 ） 安 全 管 理 系 统 和 网 络 管 理 平 台 已 经 组 织 常 用 的 运 营 支 持 系 统 结 合 起 来 ， 更 有 效 的 利 用 系 统 和 人 力 资 源 ， 提 高 整 体 的 运 营 和 管 理 水 平 。
模 块 分 析 ： 如 果 可 能 的 话 ， 由 于 各 产 品 的 作 用 体 现 在 网 络 中 的 不 同 方 面 ， 统 一 的 安 全 管 理 平 台 必 然 要 求 对 网 络 中 部 署 的 安 全 设 备 和 部 分 运 营 设 备 的 安 全 模 块 进 行 协 同 管 理 ， 这 也 是 安 全 管 理 平 台 追 求 的 最 高 目 标 。 但 这 并 非 是 一 个 单 纯 的 技 术 问 题 ， 还 涉 及 到 行 业 内 的 标 准 和 联 盟 。 目 前 在 这 方 面 作 的 一 些 工 作 如   C h e c k   P o i n t 公 司 提 出 的 o p s e c 开 放 平 台 标 准 ， 即 入 侵 检 测 产 品 发 现 攻 击 和 c h e c k   p o i n t 防 火 墙 之 间 的 协 调 ， 现 在 流 行 的 I P S 概 念 ， 自 动 封 锁 攻 击 来 源 等 ， 都 在 这 方 面 作 了 较 好 的 尝 试 ， 在 和 整 体 的 网 络 管 理 平 台 的 结 合 方 面 ， 目 前 国 内 外 作 的 工 作 都 较 少 ， 相 对 来 说 一 些 大 型 的 I T 厂 商 如 I B M / C I S C O / C A 由 于 本 身 就 具 备 多 条 产 品 线 （ 网 络 、 安 全 、 应 用 产 品 ） ， 其 自 身 产 品 的 融 合 工 作 可 能 已 经 作 了 一 些 ， 但 总 体 来 说 成 熟 度 不 高 。 与 其 它 信 息 系 统 的 高 度 融 合 与 其 它 信 息 系 统 的 高 度 融 合 实 现 与 O A 、 E R P 等 其 他 信 息 系 统 的 有 机 融 合 ， 有 效 的 利 用 维 护 、 管 理 、 财 务 等 各 方 面 信 息 提 高 安 全 管 理 水 平 。 安 全 管 理 的 决 策 分 析 和 知 识 经 验 将 成 为 公 司 管 理 的 重 要 组 成 部 分 。 组 织 的 安 全 管 理 组 织 的 安 全 管 理 组 织 构 成 组 织 构 成 根 据 企 业 的 不 同 情 况 建 立 专 职 或 兼 职 的 安 全 队 伍 ， 从 事 具 体 的 安 全 工 作 。 由 于 信 息 安 全 工 作 往 往 需 要 多 个 业 务 部 门 的 共 同 参 与 ， 为 迅 速 解 决 业 务 中 出 现 的 问 题 ， 提 高 工 作 效 率 ， 公 司 必 须 建 立 跨 部 门 的 协 调 机 制 。 具 体 协 调 机 构 应 由 专 门 的 安 全 组 织 负 责 ， 并 明 确 牵 头 责 任 部 门 或 人 员 。 有 条 件 的 企 业 或 者 组 织 应 成 立 独 立 的 安 全 工 作 组 织 。 组 织 责 任 组 织 责 任 a ) 建 立 健 全 相 关 的 安 全 岗 位 及 职 责 ； b ) 制 定 并 发 布 相 关 安 全 管 理 体 系 ， 定 期 进 行 修 正 ； c ) 对 信 息 系 统 进 行 安 全 评 估 和 实 施 ， 处 理 信 息 安 全 事 故 ； f ) 部 门 间 的 协 调 和 分 派 并 落 实 信 息 安 全 工 作 中 各 部 门 的 职 责 。 以 上 是 S O C 必 须 具 备 的 一 些 模 块 ， 现 阶 段 国 内 外 也 有 一 些 厂 商 推 出 了 安 全 管 理 平 台 软 件 ， 从 推 动 整 个 行 业 发 展 来 看 当 然 是 好 现 象 ， 但 萝 卜 快 了 不 洗 泥 ， 其 中 也 存 在 一 些 发 展 中 的 问 题 ， 比 如 作 为 一 个 S O C 必 然 要 求 具 备 统 一 的 安 全 日 志 审 计 功 能 ， 但 单 一 安 全 设 备 审 计 软 件 不 能 等 同 于 安 全 管 理 平 台 ， 究 其 原 因 为 国 内 现 有 安 全 厂 商 中 安 全 设 备 厂 商 占 多 数 ，
优 势 项 目 是 在 已 有 安 全 设 备 上 添 加 统 一 日 志 管 理 和 分 析 功 能 ， 由 于 是 单 个 厂 商 的 行 为 缺 乏 整 体 的 行 业 标 准 ， 导 致 目 前 的 安 全 审 计 软 件 普 遍 缺 乏 联 动 性 ， 不 支 持 异 构 设 备 ， 就 算 是 对 j a v a 的 支 持 各 个 厂 商 的 实 现 力 度 也 不 同 ， 普 遍 只 具 备 信 息 统 计 功 能 和 分 析 报 告 的 功 能 。 在 目 前 的 安 全 管 理 平 台 提 供 商 中 ， 能 提 供 完 整 的 产 品 体 系 厂 商 非 常 少 。 而 号 称 专 业 的 安 全 产 品 厂 商 ， 因 为 安 全 产 业 起 步 很 晚 ， 这 些 厂 商 只 能 在 某 个 领 域 做 深 ， 还 无 法 提 供 整 套 的 安 全 产 品 线 ， 这 也 是 一 个 现 实 。 作 为 用 户 应 该 认 清 需 求 ， 把 各 种 安 全 产 品 在 自 己 网 络 中 结 合 起 来 ， 深 入 了 解 安 全 管 理 平 台 提 供 商 的 实 力 ， 才 能 够 达 到 安 全 目 的 ， 满 足 自 己 的 安 全 需 求 。 最 后 ， 从 投 入 产 出 比 的 角 度 来 说 ， 因 为 S O C 往 往 只 是 一 个 软 件 平 台 的 开 发 工 作 ， 大 多 数 情 况 下 不 需 要 或 者 较 少 需 要 新 的 硬 件 投 入 ， 总 投 入 往 往 不 是 很 大 ， 如 果 上 了 S O C 后 即 使 不 能 完 善 和 推 荐 安 全 管 理 体 系 ， 也 可 以 起 到 减 轻 管 理 员 的 工 作 负 担 ， 增 强 管 理 员 的 控 制 力 度 ， 并 对 整 个 网 络 内 的 安 全 状 况 进 行 统 一 监 控 和 管 理 的 作 用 ， 这 样 总 体 来 说 安 全 管 理 平 台 S O C 的 投 入 产 出 就 非 常 值 得 。 * 本 文 作 者 ： 本 文 作 者 ： C a e s a r 0 ， 转 载 请 注 明 来 自 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理