某信息安全运营中心系统项目解决方案建议书

1、泰合信息息安全运运营中心心系统（TTSOCC）XXXXX项目解决决方案建建议书模模板北京启明明星辰信信息技术术股份有限限公司Beijjingg Veenuss Innforrmattionn Teech. Innc.二零一二二年五月北京启明星辰信息技术股份有限公司第 PAGE 69页Tel: 86-10-82779088Fax: 86-10-82779151目 录录TOC o 1-3 h z u HYPERLINK l _Toc324939633 泰合信息息安全运运营中心心系统（TSOOC） PAGEREF _Toc324939633 h 1 HYPERLINK l _Toc324993966

2、34 XXXXX项目目解决方方案建议议书模板板 PAGEREF _Toc324939634 h 1 HYPERLINK l _Toc324939635 1安全全管理中中心总体体方案 PAGEREF _Toc324939635 h 3 HYPERLINK l _Toc324939636 1.1遵循的的标准 PAGEREF _Toc324939636 h 3 HYPERLINK l _Toc324939637 1.1.1遵循的的国际国国内标准准和规范范 PAGEREF _Toc324939637 h 3 HYPERLINK l _Toc324939638 1.1.2参考的的企业标标准、规规范和指指

3、南 PAGEREF _Toc324939638 h 4 HYPERLINK l _Toc324939639 1.2平台总总体方案案体系架架构 PAGEREF _Toc324939639 h 5 HYPERLINK l _Toc324939640 1.2.1功能体体系架构构 PAGEREF _Toc324939640 h 5 HYPERLINK l _Toc324939641 1.2.2平台软软件架构构 PAGEREF _Toc324939641 h 5 HYPERLINK l _Toc324939642 2平台台的功能能特点 PAGEREF _Toc324939642 h 7 HYPERLIN

4、K l _Toc324939643 2.1系统平平台WEEB门户户入口界界面 PAGEREF _Toc324939643 h 7 HYPERLINK l _Toc324939644 2.2资产与与业务域域管理 PAGEREF _Toc324939644 h 8 HYPERLINK l _Toc324939645 2.2.1资产管管理 PAGEREF _Toc324939645 h 9 HYPERLINK l _Toc324939646 2.2.2业务域域管理 PAGEREF _Toc324939646 h 11 HYPERLINK l _Toc324939647 2.3漏洞信信息采集集与脆弱弱

5、性管理理 PAGEREF _Toc324939647 h 12 HYPERLINK l _Toc324939648 2.3.1漏洞信信息采集集 PAGEREF _Toc324939648 h 12 HYPERLINK l _Toc324939649 2.3.2脆弱性性管理 PAGEREF _Toc324939649 h 13 HYPERLINK l _Tooc322493396550 2.44事件/业务安安全监控控管理 PAGEREF _Toc324939650 h 15 HYPERLINK l _Toc324939651 2.4.1事件采采集与整整合 PAGEREF _Toc32493965

6、1 h 15 HYPERLINK l _Toc324939652 2.4.2事件/业务安安全可视视化监控控 PAGEREF _Toc324939652 h 18 HYPERLINK l _Toc32493396553 2.55宏观趋趋势分析析 PAGEREF _Toc324939653 h 21 HYPERLINK l _Toc324939654 2.6综合关关联分析析 PAGEREF _Toc324939654 h 22 HYPERLINK l _Toc324939655 2.6.1规则关关联分析析 PAGEREF _Toc324939655 h 23 HYPERLINK l _Toc324

7、939656 2.6.2统计关关联分析析 PAGEREF _Toc324939656 h 24 HYPERLINK l _Toc324939657 2.6.3漏洞关关联分析析 PAGEREF _Toc324939657 h 24 HYPERLINK l _Toc324939658 2.7流量分分析模型型 PAGEREF _Toc324939658 h 25 HYPERLINK l _Toc324939659 2.8基线管管理 PAGEREF _Toc324939659 h 26 HYPERLINK l _Toc324939660 2.9安全策策略管理理 PAGEREF _Toc32493966

8、0 h 27 HYPERLINK l _Toc324939661 2.100网元管管理功能能 PAGEREF _Toc324939661 h 27 HYPERLINK l _Toc324939662 2.100.1拓扑监监控 PAGEREF _Toc324939662 h 27 HYPERLINK l _Toc324939663 2.100.2网元状状态监控控 PAGEREF _Toc324939663 h 28 HYPERLINK l _Toc324939664 2.100.3TCPP端口监监控 PAGEREF _Toc324939664 h 28 HYPERLINK l _Toc32493

9、9665 2.100.4数据库库监控 PAGEREF _Toc324939665 h 28 HYPERLINK l _Tocc324493996666 2.111工作流流管理 PAGEREF _Toc324939666 h 28 HYPERLINK l _Toc324939667 2.122设备控控制管理理 PAGEREF _Toc324939667 h 29 HYPERLINK l _Toc324939668 2.133多级管管理 PAGEREF _Toc324939668 h 30 HYPERLINK l _Toc324939669 2.144风险监监控与管管理 PAGEREF _Toc3

10、24939669 h 32 HYPERLINK l _Toc324939670 2.144.1事件风风险监控控 PAGEREF _Toc324939670 h 32 HYPERLINK l _Toc324939671 2.144.2资产风风险监控控 PAGEREF _Toc324939671 h 33 HYPERLINK l _Toc324939672 2.144.3安全域域风险监监控 PAGEREF _Toc324939672 h 34 HYPERLINK l _Toc324939673 2.144.4实时风风险监控控 PAGEREF _Toc324939673 h 35 HYPERLINK

11、 l _Toc324939674 2.155安全预预警管理理 PAGEREF _Toc324939674 h 37 HYPERLINK l _Toc324939675 2.166安全策策略文档档管理 PAGEREF _Toc324939675 h 39 HYPERLINK l _Toc324939676 2.177安全信信息知识识库管理理 PAGEREF _Toc324939676 h 40 HYPERLINK l _Toc324939677 2.188综合显显示与报报表报告告 PAGEREF _Toc324939677 h 42 HYPERLINK l _Toc324939678 2.199

12、安全响响应管理理 PAGEREF _Toc324939678 h 43 HYPERLINK l _Toc324939679 2.200用户管管理 PAGEREF _Toc324939679 h 44 HYPERLINK l _Toc324939680 2.211系统健健康管理理 PAGEREF _Toc324939680 h 45 HYPERLINK l _Toc324939681 3典型型应用 PAGEREF _Toc324939681 h 47 HYPERLINK l _Toc3249396882 3.11系统部部署 PAGEREF _Toc324939682 h 47 HYPERLINK

13、 l _Toc324939683 3.2多级部部署 PAGEREF _Toc324939683 h 48 HYPERLINK l _Toc324939684 3.3日常管管理 PAGEREF _Toc324939684 h 49 HYPERLINK l _Toc324939685 4方案案特点与与效果展展示 PAGEREF _Toc324939685 h 50 HYPERLINK l _Toc324939686 4.1面向业业务的资资产与风风险管理理 PAGEREF _Toc324939686 h 50 HYPERLINK l _Toc324939687 4.2安全事事件和漏漏洞监控控 PAG

14、EREF _Toc324939687 h 51 HYPERLINK l _Toc324939688 4.3多种响响应方式式 PAGEREF _Toc324939688 h 53 HYPERLINK l _Toc324939689 4.4多种关关联分析析方法 PAGEREF _Toc324939689 h 54 HYPERLINK l _Toc324939690 4.5网元状状态监控控 PAGEREF _Toc324939690 h 54 HYPERLINK l _Toc324939691 4.6拓扑与与GISS展示 PAGEREF _Toc324939691 h 55 HYPERLINK l

15、_Toc324939692 4.7丰富的的知识库库 PAGEREF _Toc324939692 h 57 安全管理理中心总总体方案案北京启明明星辰信信息技术术股份有限限公司泰泰合信息息安全运运营中心心系统解解决方案案（以下下简称“安全管管理中心心”）以实用用性和可可扩展性性为设计计指导思思想，将将安全管管理员从从复杂的的设备配配置和海海量日志志信息中中解脱出出来，把把精力专专注于发发现和处处理各种种重要安安全事件件；同时时又将各各自独立立的安全全设备组组成为一一个有机机的整体体，通过过基于资资产管理理的事件件关联分分析和管管理，及及时发现现安全风风险、安安全事件件和业务务安全隐隐患，并并结合安

16、安全策略略和安全全知识的的管理，提供多多种安全全响应机机制，从从而使得得客户能够够实时掌掌控网络络的安全全态势。安全管理理中心与与客户可可以已经经部署的的各类安安全设备备形成一一个完整整的安全全保障体体系，从从而实现现了高效效、全面面的网络络安全防防护、检检测和响响应。它它完全具具备监控控、预警警、响应应、追踪踪等功能能，并具具备可审审计功能能，即对对内部安安全管理理人员的的相关操操作进行行日志记记录。遵循的标标准安全管理理中心总总体设计计及实施施遵循以以下标准准和规范范：遵循的国国际国内内标准和和规范安全管理理中心建建设服务务服从信信息安全全风险评评估方法法按照国国信办颁颁发的关于印印发的通

17、通知（国信办办【20006】9号）ISO-177799/BS 77999/IISO2270001信息息安全管管理体系系国际标标准，公安部颁颁布的信息安安全等级级保护管管理办法法（试行行）及及相关规规定CCIISO1154008 和和GB/T1883366 信息息技术安安全性评评估准则则ISO-133335 IT 安全管管理指南南工作流管管理联盟盟WFMMC 定定义的工工作流标标准软件开发发服从CCMM要要求参考的企企业标准准、规范范和指南南信息安全全保障框框架(VVISAAF)系系列模型型VISAAF模型型VISAAF的保保障功能能要素模模型（FFEM Fuuncttionn Ellemeen

18、t Moddel），或者者用缩写写表达式式表示为为AST(PPTT*AIDDARCC)。这这个模型型提出安安全的最最根本问问题是被被保护的的资产、对于资资产的威威胁和防防护措施施。防护护措施又又分为人人（组织织）、过过程（策策略、运运营）和和技术三三个大方方面。技术则形形成一个个AIDDARCC模型。鉴别和认认证 IIdenntifficaatioon & Auutheentiicattionn逻辑访问问控制 Acccesss Coontrrol检测、监监控和预预警Deetecctioon, Monnitoorinng&EEarlly wwarnningg审计和跟跟踪 AAudiit TTra

19、iil恢复和冗冗余 RReduundaancyy & Reccoveery内容安全全 Coonteent Seccuriity平台总体体方案体体系架构构功能体系系架构安全管理理中心主主要由以以下部分分组成：资产信信息管理理模块、安全事事件/业业务监控控管理模模块、脆脆弱性管管理模块块、漏洞洞关联分分析、统统计关联联分析和和基于规规则的关关联分析析模块、宏观趋趋势分析析模块、流量分分析模块块、基线线管理模模块、风风险评估估管理模模块、安安全策略略管理模模块、网网元管理理模块、统一安安全预警警模块、综合显显示和报报表报告告系统、响应管管理系统统、安全全信息管管理、系系统健康康管理和和用户管管理模块

20、块组成。其功能能体系架架构如下下图所示示：功能体系系结构平台软件件架构安全管理理中心软软件总体体体系架架构如下下图所示示：安全管理中心 SMC安全信息管理系统 SIMS数据分析中心（DAC）软件总体体结构整个系统统分为SSMC、DACC和V-SIMMS三部部分。SMC：安全管管理中心心，安全全管理中中心以BB/S/D三层层架构实实现监控控、管理理、响应应、报表表等功能能；DAC：数据分分析中心心，其以以后台服服务方式式实现综综合分析析、关联联分析、资产发发现、脆脆弱性信信息采集集分析等等数据分分析处理理功能；V-SIIMS：安全信信息管理理系统，它完成成了安全全信息的的采集、过滤、聚并、入库等

21、等功能。便于实实现分布布分级部部署事件件采集引引擎。安全管理理中心按按照三层层软件架架构体系系设计，如下图图所示：泰合信息息安全运运营中心心三层体体系结构构平台的功功能特点点安全管理理中心的的系统平平台包括括下列核核心模块块/功能能：统一入口口模块资产管理理模块脆弱性管管理模块块事件安全全管理模模块关联分析析模块宏观趋势势分析模模块流量分析析模块基线管理理模块安全策略略管理模模块网元管理理模块工作流管管理模块块设备控制制管理模模块多级管理理模块风险管理理模块安全预警警模块安全策略略文档管管理模块块安全知识识管理模模块综合信息息显示与与报表模模块响应管理理模块用户管理理模块系统自身身健康管管理模

22、块块下面将对对这些模模块的功功能及技技术实现现作逐一描描述。系统平台台WEBB门户入入口界面面统一WEEB门户户入口界界面所提提供的基基本功能能如下：针对整个个管理信信息平台台，提供供用户集集中管理理的功能能，对用用户可以以访问的的资源进进行细致致的划分分；用统一的的系统管管理接口口，各子子信息系系统的界界面统一一；发布最新新的漏洞洞说明、攻击特特征说明明；具备安全全可靠的的分级及及分类管管理功能能，具体体要求支支持用户户的身份份认证、授权等等功能；支持用用户口令令修改；支持不不同的操操作员具具有不同同的数据据访问权权限和功功能操作作权限，系统管管理员应应能对各各操作员员的权限限进行配配置和管

23、管理；系统设计计采用模模块化，具有良良好的可可扩展和和自开发发能力，能针对对用户录录入、删删除、修修改密码码等功能能分不同同模块，以便针针对以后后不同的的需求进进行分模模块修改改；系统有完完整的安安全控制制手段,对用户户和系统统管理员员的权限限进行分分级管理理, 相应应的账号号和口令令都是加加密后存存放在数数据库中中的。充充分保证证了用户户信息的的安全性性。对系系统操作作员的密密码有安安全保障障机制；用户数据据管理严严格，每每天增量量备份，保证其其完整性性和一致致性,所以在在系统出出错的情情况下,用户数数据是安安全的。模块之间间的敏感感数据传传输是加加密的，因此TTSOCC组件之之间的通通信安

24、全全是可靠靠、安全全的。资产与业业务域管管理在信息安安全的资资产管理理系统中中一个重重要的概概念是业业务单元元（BUU）或称称资产的的逻辑网网络区域域，BUU是企业业业务的的重要组组成部分分，它是各各个资产产的组合合。在资资产管理理中，BBU的视视图也是是我们展展示的一一个重点点。资产产的BUU可以是是在安全全管理中中心建设设时依据据事前风风险评估估划分出出来的不不同的安安全域进进行管理理。安全管理理中心系系统产品品的资产产管理属属性集包包含了客客户所要要求管辖辖的资产产信息属属性要求求。资产信息息管理模模块的域域管理具具备以下下功能：支持具有有相同资资产属性性的域管管理方式式。支持自动动同步

25、在在不同域域下的资资产属性性管理。支持资产产的域继继承功能能。允许用户户根据业业务系统统、网段段等不同同的属性性对信息息系统进进行安全全域划分分。支持同一一资产隶隶属不同同的安全全域，支支持多层层次安全全域管理理。用户可以以对安全全域进行行重要性性赋值。用户可以以对安全全域进行行事件监监控、风风险监控控和脆弱弱性评估估，了解解其安全全状况。在某种程程度上可可以作为为下级单单位的信信息安全全建设考考核指标标参考。域风险历历史查询询：提供供多种条条件的安安全域风风险查询询工具，可以更更好地关关注重要要安全域域的风险险状况。域配置：提供各各级安全全域的添添加、删删除、修修改维护护功能，以及资资产移入

26、入、移出出安全域域的功能能。资产管理理资产是企企业、机机构直接接赋予了了价值因因而需要要保护的的东西。它可能能是以多多种形式式存在，有无形形的、有有有形的的，有硬硬件、有有软件，有文档档、代码码，也有有服务、企业形形象等。它们分分别具有有不同的的价值属属性和存存在特点点，存在在的弱点点、面临临的威胁胁、需要要进行的的保护和和安全控控制都各各不相同同。为此此，有必必要对企企业、机机构中的的信息资资产进行行科学分分类，以以便于进进行后期期的信息息资产抽抽样、制制定风险险评估策策略、分分析安全全功能需需求等活活动。所要管理理资产（含安全全设备、网络设设备及主主机及应应用系统统）包括括：【本处需需要修

27、改改，调整整为客户户被管设设备列表表。下表表仅为示示例。】序号编号类型型号数量日志采集集方式支持情况况支持条件件备注1Routter11城域网核核心路由由器Quiddwayy NeetEnnginne800E1Sysllog支持2Viruus防病毒软软件瑞星900点点SNMPP支持概括来讲讲，资产产管理过过程包括括：资产产信息获获取、配配置，风风险计算算，结果果呈献三三个主要要过程。资产管理理工作过过程资产管理理工作过过程在平平台中的的实现如如下：遵循BSS 77799 / IISO 177799 / IISO2270001和IISO1133335的资资产管理理规范，允许对对信息资资产的价价值

28、进行行有效评评估，从从而确定定信息资资产的安安全需求求（完整整性需求求、保密密性需求求和可用用性需求求），可可以协助助用户有有效管理理信息资资产的各各类属性性。资产可通通过手工工录入、exccel模模板下载载批量导导入和资资产自动动发现的的方式录录入。录入的资资产具有有详细的的信息描描述以及及CIAA特性（保密性性、完整整性、可可用性）。资产的CCIA特特性参与与风险计计算，用用于计算算资产风风险和整整体风险险趋势。通过用户户界面对对资产信信息进行行详细、直观的的图表化化展示。平台支持持资产状状况信息息批量导导出，形形成文档档备份，便于日日后查询询。显示界面面示例如如下图：域与资产产管理业务域

29、管管理业务域由由若干资资产所组组成，可可以继承承资产的的属性，如资产产CIAA、资产产权重等等，同时时参与风风险计算算。业务域管管理包括括：业务务域配置置、风险险计算、结果呈呈献三个个主要过过程。业务域管管理工作作过程业务域管管理工作作过程在在平台中中的实现现如下：对业务域域进行配配置，业业务域中中应该包包括所包包含资产产信息、资产权权重，同同时对业业务域进进行必要要的描述述和标识识。对指定业业务域可可进行手手工增加加、录入入资产信信息，也也可从已已有资产产信息库库中批量量选择导导入资产产信息。业务域的的CIAA特性由所所包含资资产的CCIA特特性决定定，参与与风险计计算，用用于计算算业务域域

30、风险和和整体风风险趋势势。用户界面面对业务务域资产产分布、业务域域风险进进行图形形化、直直观的展展示。业务域实实例：漏洞信息息采集与与脆弱性性管理漏洞信息息采集漏洞信息息采集包包括：多多种方式式漏洞信信息采集集、结果果输入脆脆弱性管管理模块块两个主主要过程程。漏洞信息息采集在在平台中中的实现现过程如如下：接收漏洞洞扫描器器的扫描描结果。对于平台台不支持持的扫描描器类型型，可将将扫描结结果按照照模板规规范化后后通过人人工方式式导入。将人工审审计信息息通过模模板规范范化后人人工导入入。通过漏洞洞信息采采集模块块将上面面几种信信息输入入方式进进行收集集和处理理后送给给脆弱性性管理模模块，进行脆脆弱性

31、关关联（漏漏洞关联联）分析析，参与与风险计计算后将将结果呈呈现。脆弱性管管理脆弱性管管理能够够通过人人工审计计（风险险评估）和漏洞洞扫描工工具两种种方式，收集整整个网络络的弱点点情况并并进行统统一管理理，对收收集的信信息进行行统一的的范式化化处理后后，对脆脆弱性信信息提供供查询和和展现功功能，使使得管理理人员可可以清楚楚的掌握握全网的的安全健健康状况况。平台目前前提供与与主流远远程评估估产品的的接口，完成远远程脆弱弱性信息息的搜集集。支持持远程评评估产品品为： 天镜、极光、Nesssuss等主流流漏洞扫扫描产品品。脆弱性管管理模块块主要功功能如下下：配置天镜镜漏洞扫扫描系统统；能够将漏漏洞扫描

32、描软件的的扫描结结果导入入系统；能够将多多次扫描描的结果果进行归归并分析析，得出出更为精精确的扫扫描结果果；能够将扫扫描结果果与资产产的原有有属性进进行比较较，并给给出冲突突项提交交用户确确认；支持资产产的脆弱弱性管理理，允许许查看资资产和安安全域的的脆弱性性指标；提供基于于漏洞的的关联，自动判判断当前前发生的的信息安安全事件件是否真真的对目目标资产产构成威威胁，对对于并不不存在相相关漏洞洞的事件件，系统统会自动动降低其其优先级级，对于于存在相相关漏洞洞的事件件则提升升其优先先级，使使得用户户可以更更专注于于真正会会造成危危害的事事件。脆弱性管管理包括括：漏洞洞扫描和和人工审审计信息息采集、资

33、产/业务域域关联分分析、结结果呈献献三个主主要过程程。脆弱性管管理过程程脆弱性管管理在平平台中的的实现如如下：通过天镜镜脆弱性性扫描系系统对资资产进行行定期自自动扫描描或手工工扫描。资产的扫扫描和人人工审计计所发现现的脆弱弱性信息息输入脆脆弱性管管理模块块。脆弱性信信息与资资产信息息进行关关联并参参与风险险计算。通过整体体脆弱性性展示，脆弱性性排名等等进行直直观的脆脆弱性展展示。支持脆弱弱性数据据查询和和整体数数据导出出。脆弱性管管理事件/业业务安全全监控管管理事件/业业务安全全监控模块块负责实实时监控控网络的的安全事事件。通通过事件件/业务务安全监监控模块块监控网网络各个个网络设设备、主主机

34、应用用系统等等日志信信息，以以及安全全产品的的安全事事件日志志信息等等，及时时发现正正在和已已经发生生的安全全事件，协助进进行安全全决策，确保网网络和业业务系统统的安全全、可靠靠运行。事件采集集与整合合通过部署署在事件件采集服服务器上上的安全全管理中中心的事事件集中中采集系系统V-SSIMSS系统，在泰合合信息安安全运营营中心所所管辖网网络和系系统上的的不同安安全信息息采集点点(网络络设备、主机系系统，而而且还涵涵盖已经经部署的的安全系系统，包包括入侵侵防御系系统、VVPN系系统、防防火墙系系统、IIDS系系统、审审计系统统、防病病毒系统统等等)，集中中收集安安全事件件到泰合合信息安安全运营营

35、中心中中的安全全管理服服务器进进行处理理，即：根据可可预先定定义的配配置进行行聚并、过滤处处理、并并把各种种类型的的安全数数据格式式化成统统一的格格式，从从而实现现了安全全事件的的集中收收集和处处理，具具备了实实时事件件/业务务安全监监控能力力，又可可利用安安全事件件查询的的功能和和强大的的数据挖挖掘统计计分析功功能，具具备了事事后调查查取证的的能力。信息安全全事件管管理中心心的事件件集中采采集系统统（V-SIMMS）是是完全具有有自主知知识产权权的软件件产品，属于泰泰合信息息安全运运营中心心系统的的一部分分，包括括管理服服务（MMS）、事件收收集器（EC）、专用用/通用用代理管管理（UUAM

36、）、专用用/通用用代理引引擎（UUAE）、专用用/通用用日志策策略编辑辑器（UUAPEE）几个个部分，负责在在事件收收集器和和安全设设备之间间通信，用于采采集、范范化并上上报安全全设备的的报警日日志，同同时采集集并上报报安全设设备的状状态，并并提供对对多种安安全设备备的管理理能力。V-SIIMS系系统拥有有专用代代理/通通用代理理（Unniveersaal AAgennt）用用以支持持不同的的设备及及系统，V-SSIMSS引入的的集中监监管、分分布式部部署的多多级管理理体系，全面符符合多级级、分布布式、跨跨地域的的各类业业务的管管理模式式，真正正实现分分布式产产品的结结构统一一协调管管理，建建

37、立安全全信息的的全局管管理机制制。只有有能够进进行整个个网络范范围内的的部署，才能管管理整个个网络中中的安全全设备，也也才能够够进行全全网的事事件管理理。全网网范围内内V-SSIMSS的分布布式部署署可能是是不同城城市、不不同地区区、甚至至不同省省份、不不同国家家的分布布，这与与网络规规模和网网络拓扑扑是相关关的。通通过分布布式分级级部署，可以实实现将各各个独立立的子系系统连成成一个分分布式的的整体安安全事件件采集体体系。安全事件件采集包包括：分分布代理理收集信信息、安安全事件件采集过过滤、事事件关联联分析、结果输输出展示示几个主主要过程程。事件集中中采集系系统V-SSIMSS系统部部分操作作

38、界面视视图如下下图所示示：事件集中中采集系系统过过滤条件件事件集中中采集系系统添添加新元元件目前，安安全管理理中心的的事件集集中采集集系统V-SIMMS系统统通过各各种专用用代理已已经能够够支持国国内外主主流的安安全设备备：入侵侵防御系系统、邮邮件过滤滤网关、抗拒绝绝服务攻攻击系统统、VPPN系统统、防火火墙系统统、入侵侵检测系系统、防防病毒系系统、漏漏洞扫描描系统、安全审审计系统统等；主主流操作作系统：Winndowws操作作系统(NT/20000/XXP/220033)、支支持主流流Linnux系系统，支支持主流流Uniix系统统等；主主流应用用程序：Webb、Maail、DNSS等。安全

39、管理理中心的的事件集集中采集集系统V-SIMMS系统统拥有通通用代理理工具包包通过配配置就完完全支持持SNMMP、SSYSLLOG、ODBBC、WWMI等等方式采采集事件件日志。针对特特定系统统的日志志格式，利用通通用代理理工具包包配置实实现。事件/业业务安全全可视化化监控事件/业业务监控控模块及及综合显显示报表表报告模模块其功功能完全全满足以以下要求求：1事件件显示和和查询功功能提供丰富富的事件件显示和和查找的的功能，以便管管理员对对非法入入侵事件件和行为为有很好好的追踪踪和分析析处理。支持提供供多种查查询处理理的方式式，可以以根据事事件的各各个字段段来设定定的过滤滤条件，查询到到相关的的事

40、件记记录；支持传统统的网格格、线形形图、圆圆饼图、条状图图、区域域图和重重叠区域域图等多多种方式式来显示示特定事事件；支持用于于关联业业务情况况的自定定义事件件图，并并能满足足业务网网络和逻逻辑网络络的多级级显示；支持在选选定事件件的范围围内，根根据事件件的不同同查询条条件进行行图形化化显示。2支持持安全态态势的实实时监视视支持按照照资产类类别、事事件关联联关系、地理事事件图形形、时间间、最后后状态、系统特特征、特特点前几几位等类类型进行行实时监监视；支持过滤滤事件的的各个字字段进行行自定义义实时监监视。3支持持在线和和离线的的事件可可视化安全管理理中心事事件/业业务监控控模块部部分显示示界面

41、示示例视图图如下：根据需要要，可通通过配置置监控条条件及过过滤条件件的客户户化实时时事件监监控界面面高危事件件监控界界面：事件监控控高危危事件域风险拓拓扑显示示和GIIS显示示界面：全局域拓拓扑展示示SOC安安全域拓拓扑展示示事件报表表报告界界面示例例高报警设设备宏观趋势势分析宏观趋势势分析功功能提供供了对安安全事件件监测上上报的事事件和流流量信息息，进行行综合的的模型分分析，并并提供宏宏观的展展示和丰丰富报表表功能。同时，系统自自身对提提供从宏宏观到微微观的详详细展示示功能。熵模型：通过安安全事件件检测功功能上报报上来的的事件，网络态态势感知知监控系系统对所所有的事事件按照照上报的的引擎分分

42、类进行行计算源源地址熵熵和目的的地址熵熵，同时时也计算算出源、目的地地址熵的的每个时时间点的的基线值值。利用用EWMMA的算算法，判判断当前前时刻的的熵值与与学习期期间的熵熵值相比比判断各各个线路路的地址址熵数据据是否异异常。三元组模模型：通通过安全全事件检检测功能能上报上上来的事事件，网网络态势势感知监监控系统统对所有有的事件件按照上上报的引引擎分类类进行，然后对对事件按按照三个个维度进进行全组组合分析析，找出出各个线线路各种种组合排排名靠前前的ToopN 的数据据，并罗罗列出汇汇总的信信息。单一方式式攻击：源地址址、目的的地址、事件类类型均相相同的事事件集合合，说明明：攻击击者采用用同一方

43、方法，对对同一目目标进行行反复攻攻击的态态势。多种攻击击方式：源地址址、目的的地址相相同，事事件类型型任意的的事件集集合，说说明：攻攻击者尝尝试多种种方法，对同一一目标进进行反复复攻击的的态势。查找攻击击目标：源地址址、事件件类型相相同，目目的地址址任意的的事件集集合，说说明：攻攻击者采采用同一一方法，查找可可利用的的目标的的态势。遭受同种种攻击：目的地地址、事事件类型型相同，源地址址任意的的事件集集合，说说明：同同一目标标被多个个攻击者者采用同同种方法法反复攻攻击的态态势。主要攻击击来源：源地址址相同，目的地地址、事事件类型型任意的的事件集集合，说说明：发发出最多多攻击事事件主机机的态势势。

44、濒危受害害目标：目的地地址相同同，源地地址、事事件类型型任意的的事件集集合，说说明：被被攻击次次数最多多的主机机的态势势。频发事件件排名：事件类类型相同同，源地地址、目目的地址址任意的的事件集集合，说说明：被被利用最最多的攻攻击事件件的态势势。热点事件件模型：通过安安全事件件检测功功能上报报上来的的事件，网络态态势感知知监控系系统对各各个引擎擎关注的的热点事事件进行行汇总，并分析析每个引引擎的每每类事件件的发展展趋势，同时根根据发展展趋势和和热点事事件的历历史基线线指标进进行对比比，来判判断各个个线路的的事件的的发展趋趋势是否否异常。事件数量量模型本模型根根据监控控当前日日志事件件的在一一段检

45、测测期中，各种类类型事件件的数量量数目，来分析析当前被被监控网网络中安安全的态态势指标标是否有有异常，并对总总体的安安全态势势起到数数据支撑撑的作用用。事件扩散散模型本模型根根据监控控当前日日志事件件的在一一段检测测期中，各种类类型事件件的数量量变化，来分析析当前被被监控网网络中安安全的态态势指标标是否有有异常，并对总总体的安安全态势势起到数数据支撑撑的作用用。综合关联联分析综合关联联分析完完成各种种安全关关联分析析功能，关联分分析能够够将原始始的设备备报警进进一步规规范化并并归纳为为典型安安全事件件类别，从而协协助使用用者更快快速地识识别当前前威胁的的性质。系统提供供三种关关联分析析类型：基

46、于规规则的事事件关联联分析、统计关关联分析析和漏洞洞关联分分析。根根据此关关联分析析模块的的功能，结合客客户业务务应用系系统的事事件特征征、分析析与制定定安全域域与业务务安全控控制策略略和基于于业务应应用的流流程异常常监控，制定相相关的特特定关联联分析规规则。关联分析析包括：对安全全事件的的规则关关联、统统计关联联，对安安全事件件和安全全漏洞的的漏洞关关联，结结果输入入风险管管理模块块几个主主要过程程。综合关联联分析规则关联联分析基于规则则的事件件关联分分析是把把各种安安全事件件按照时时间的先先后序列列与时间间间隔进进行检测测，判断断事件之之间的相相互关系系是否符符合预定定义的规规则，从从而触

47、发发分析总总结出来来的关联联分析后后事件。配置关联联分析规规则显示示界面示示例：基于规则则的关联联分析统计关联联分析统计关联联分析是是用户通通过定义义一定时时间内发发生的符符合条件件的事件件量达到到规定量量，从而而触发关关联事件件。统计关联联分析漏洞关联联分析漏洞关联联分析是是系统收收集到的的事件对对应的漏漏洞编号号或端口口与系统统中存在在的资产产的漏洞洞编号或或端口号号符合，从而触触发关联联事件。目的是是为了进进一步降降低系统统的误报报率。漏洞关联联分析流量分析析模型关于流量量分析，我们从从流量的的角度来来审视当当前被监监控网络络内的安安全态势势情况，并为流流量数据据建立了了各种模模型，模模

48、型从整整体，到到局部，然后到到细节分分成总体体流量、协议流流量、端端口流量量和应用用流量四四个模型型进行对对流量数数据进行行分析。平台也也从总体体到局部部最后到到细节全全方位的的来分析析我们的的安全态态势。总流量模模型根据流量量基线算算法，我我们需要要计算出出被监控控网络内内总体流量量基线，本本模型对对监控网网络内的的总体流流量进行行实时计计算分析析，根据据学习到到的总体体流量的的基线数数据分析析出当前前流量是是否异常常。同时时，总体体流量指指标也是是流量总总体安全全分析的的基础数数据之一一。协议流量量模型根据流量量基线算算法，我我们需要要计算出出被监控控网络内内协议流流量（TTCP，UDPP

49、，ICCMP，其他协协议）基基线，本本模型对对监控网网络内的的上述协协议流量量进行实实时计算算分析，根据学学习到的的上述协协议流量量的基线线数据分分析出当当前各种种协议流流量是否否异常。同时，协议流流量指标标也是流流量总体体安全分分析的基基础数据据之一。端口流量量模型根据流量量基线算算法，我我们需要要计算出出被监控控网络内内端口流流量（注注：端口口是用户户可以进进行自定定义，用用户可以以根据需需要配置置相应端端口数据据，例如如80，21等等端口）基线，本模型型对监控控网络内内的上述述端口流流量进行行实时计计算分析析，根据据学习到到的上述述端口流流量的基基线数据据分析出出当前各各种端口口流量是是

50、否异常常。同时时，端口口流量指指标也是是流量总总体安全全分析的的基础数数据之一一。应用流量量模型根据流量量基线算算法，我我们需要要计算出出被监控控网络内内应用流流量（注注：应用用流量是是用户可可以进行行自定义义，用户户可以根根据需要要配置相相应端口口和IPP地址）基线，本模型型对监控控网络内内的上述述应用流流量进行行实时计计算分析析，根据据学习到到的上述述应用流流量的基基线数据据分析出出当前各各种应用用流量是是否异常常。同时时，应用用流量指指标也是是流量总总体安全全分析的的基础数数据之一一。基线管理理本系统从从原来的的单一的的日志数数据，扩扩展到日日志和流流量两种种数据来来分析网网络内的的安全

51、态态势问题题，同时时增加了了更多的的模型来来帮助用用户解决决安全问问题。针对这些些模型，我们为为每个模模型都建建立了相相应的基基线。TTSOCC的基线线是动态态基线，系统会会通过自自学习的的过程为为每个模模型动态态的建立立起相应应的基线线，为每每个模型型分析安安全态势势提供了了理论依依据。基基线的学学习周期期用户可可以根据据自己的的需要来来配置，这个版版本中，我们引引入了如如下的基基线：地址熵基基线热点验证证基线高级事件件数量基基线高级事件件扩散基基线流量基线线：流量量基线中中包含了了总体流流量、协协议流量量、端口口流量和和应用流流量基线线安全策略略管理安全策略略管理模模块可充充分利用用风险评

52、评估的结结果进一一步完善善网络的的安全策策略管理理体系建建设，为为全网安安全运行行管理人人员提供供统一的的安全策策略，为为各项安安全工作作的开展展提供指指导，有有效解决决因缺乏乏口令、认证、访问控控制等方方面策略略而带来来的安全全风险问问题。安全策略略管理网元管理理功能拓扑监监控1）能发发现网络络的拓扑扑结构，并提供供图形方方式的拓拓扑结构构展现2）通过过接收TTrapp信息和和主动轮轮询两种种方式及及时地发发现网络络节点发发生的各各种故障障，及时时告警，通知管管理员进进行相关关检查和和管理3）能在在拓扑图图上通过过扩展能能够显示示cpuu、内存存、硬盘盘等信息息4）提供供关于链链路的连连通性

53、等等信息网元状状态监控控1）能够够监控网网络设备备、安全全设备、主机等等的状态态信息2）能够够采集ccpu、内存、延时等等状态信信息并且且图形化化展示3）可以以监控端端口流量量信息TCPP端口监监控可以监控控指定iip地址址的端口口状态信信息数据库库监控1）支支持对数数据库状状态信息息的采集集。装填填信息包包含但不不限于：数据库库类型、数据库库服务器器主机名名、数据据库服务务器ipp地址、数据库库版本、数据库库缓冲区区大小、表空间间利用率率、数据据库会话话连接数数、loock信信息等2）能够够支持ooraccle、sqllserrverr等主流流数据库库的状态态信息采采集3）提供供数据库库监控

54、功功能，能能够实时时监控数数据库的的各种状状态，提提供图像像化进行行呈现。并且可可以针对对状态信信息设定定告警阈阈值，自自动进行行告警。工作流管管理TSOCC提供一一个统一一而灵活活的工作作流程管管理平台台。可以以为用户户以及其其它模块块提供流流程支持持。工作流管管理模块块主要包包括两部部分功能能：后台工作作流管理理：后台台工作流流管理负负责同时时定义、实现和和维护多多个流程程。前台用户户界面：前台用用户界面面负责提提供各种种流程的的用户实实际操作作界面。用户使用用工作流流时，首首先在工工作流管管理界面面中，利利用可视视化、图图形化的的工作流流编辑工工具来定定义各种种业务流流程。每每个流程程都

55、可以以由若干干步骤和和转移来来实现，用户可可以实现现流程的的前进、后退、分支、汇总等等状态。流程描述述元素可可能包括括：步骤：表表示流程程图中的的某个结结点转移：表表示流程程图中某某两个结结点之间间的连线线，具有有方向性性动作：包包含自动动动作和和手动动动作工作流管管理流程程图定义好一一个工作作流后，就会自自动生成成与该工工作流相相关的工工单界面面。用户户可以查查看和处处理与自自己相关关的来自自各类工工作流的的工单。另外，工工作流模模块还对对外提供供流程相相关的接接口，供供外部系系统或内内部系统统的其它它模块调调用。比比如：用用户在针针对某个个事件做做工作流流响应时时，可以以配置选选择按照照哪

56、个工工作流来来进行处处理。设备控制制管理设备控制制管理模模块提供供了一个个通用的的、可扩扩展的设设备控制制框架，在TSSOC中中内置了了两种控控制协议议：Teelneet和SSSH。如果某某个设备备支持通通过这两两种协议议进行控控制操作作，那么么用户就就可以利利用该模模板提供供的功能能来对相相关设备备进行手手动或自自动的控控制。设备控制制管理模模块将设设备控制制抽象成成以下三三个层次次：设备控制制功能：面向业业务、面面向操作作，说明明是“想要做做什么”设备控制制脚本：面向设设备类型型，说明明“如何操操作该类类型的设设备”设备控制制策略：面向具具体设备备，说明明“如何操操作具体体某个设设备”设备

57、控制制脚本配配置设备控制制管理模模块提供供了友好好的人工工界面供供用户来来对以上上层次进进行配置置，通过过以上三三层的配配置，用用户就可可以在多多个场合合进行手手动或自自动设备备控制。举例来说说：用户户首先定定义一个个“关闭端端口”的设备备控制功功能，然然后再根根据不同同的设备备类型来来定义各各个“关闭端端口”的设备备控制脚脚本，比比如：“Linnux的的关闭端端口”、“天清防防火墙的的关闭端端口”等，接接下来再再为具体体的设备备定义设设备控制制策略，比如“关闭LLinuux主机机(1992.1168.1.11)的端端口”。当完完成这些些配置之之后，用用户就可可以在设设备管理理中直接接针对某某

58、个设备备运行相相关的设设备控制制策略，从而实实现相关关控制。设备控制制脚本是是提供了了一套简简明的通通用控制制语法，用户在在稍加学学习之后后，就可可以按自自己的意意图写出出相应的的控制脚脚本。设备控制制管理模模块还提提供接口口调用功功能，相相关模块块通过该该接口可以以调用设设备控制制功能。比如：如果设设置TSSOC中中的响应应方式，就可以以实现“检测、响应、控制”的自动动操作。多级管理理多级管理理模块上上下级之之间数据据传输的的内容能能够通过过策略进进行配置置，包括括：上级级能够向下下级下发发全局策策略；下下级能够够定期上上报安全全报表（日报、周报、月报、季报、年报）；下级级能够按照照上级要要

59、求自动动上报高高风险事事件；下下级能够够通过上上级向全全网发出出安全预预警等。该页面展展示了66个图表表，分别别是：总总体运行行天数，连续运运行天数数，全局局域风险险值，资资产总数数，事件件数，漏漏洞数；每个图图表有该该平台自自身的和和下级平平台上报报的这些些数据，上级平平台的数数据不会会在该页页面展示示。在多级管管理模块块中：在下级平平台上注注册，页页面上完完善自身身的平台台信息(即属性信信息)后后，人工工指定上上级IPP，并向向上级提提交注册册。注册册申请由由上级指指定权限限的人员员进行审审核，审审核通过过后生效效。平台台自身可可查看自自己的上上、下级级列表、级联通通道的状状态。下级可对对

60、上级上上报全局局域风险险、运行行天数、资产总总数、事事件数、漏洞数数信息，下级能能够按照照上级要要求自动动上报高高风险事事件，下下级能够够通过上上级向全全网发出出安全预预警，上上报周期期可配置置。上级级可以通通过监控控界面查查看下级级上报数数据，上上级能够够向下级级下发全全局策略略。配置自定定义报表表任务时时，可选选择是否否上报给给上级，如选择择是，报报表生成成后将自自动上报报。对已已生成的的报表可可通过界界面操作作手动上上报。下下级能够够定期上上报安全全报表（日报、周报、月报、季报、年报）。风险监控控与管理理风险管理理模块具具备事件件、资产产和域的的风险管管理功能能。包括括：风险险计算、安全