集中安全管理平台讲座

集中安全管理平台GlobalSecurityManagementCenter(GSMCenter)PCEA中国计算机软件与技术服务总公司信息安全博士后科研工作站信息安全实验室2004-06-11内容安排第一部分：需求分析第二部分：技术方案第三部分：中软安全实验室结束语第一部分：需求分析信息化呼唤信息安全（OA，E-gov，E-biz)安全意识增强（媒体、商家、威胁的驱动下）病毒入侵提高了人们对安全的重视程度安全技术与产品的广泛应用(防火墙、入侵检测、身份认证、防病毒)对安全系统进行配置和管理对安全事件进行应急响应定期检查日志（操作系统、应用系统、安全系统）安全问题越来越得到重视安全组件的复杂性困扰着管理者安全组件种类、数量越来越多，布控的规模越来越大；（数量）不能有效的保证企业统一安全策略的一致性；（策略）分散地对安全系统的策略配置管理越来越麻烦；（配置）人工地对多个安全系统的大量日志进行审计、分析流于形式；（日志）大量的模糊安全事件存在，不能有效的确定一个真正的安全事件；（事故）对于真正的安全事件（事故）如何做到规范、快速的处理;（应急响应）……如何对企业安全策略进行统一管理？如何将企业统一安全策略规则化到每一个安全组件中去？如何对全部安全组件进行集中的统一配置和管理？如何对安全组件的互动关系进行管理和配置；如何对全部安全组件的安全事件进行集中的审计、分析和报告？如何对安全事件进行统一的应急响应管理？……解决方案—集中安全管理平台有效的解决办法就是建立集中安全管理平台，实现安全策略、系统配置、安全事件、应急响应的集中管理。第二部分：技术方案技术方案整体结构设计功能结构部署安全策略管理平台设计PD功能设计结构设计系统配置管理平台设计CM功能设计结构设计安全事件审计平台EA功能设计结构设计安全事故应急响应中心AR功能设计结构设计系统安全设计关键技术研究集中安全管理平台GlobalSecurityManagementCenter,GSMCenter安全策略管理系统配置管理事件审计管理应急响应管理PCEA整体结构设计GSMCenter™概述企业信息与网络系统安全策略统一管理（安全策略）；安全设备与安全系统配置的集中管理（系统配置）；安全设备与系统的日志的集中审计、分析与报告（安全事件）；以及实现企业安全事件应急响应管理（应急响应）的综合平台。集中安全管理平台是主要功能集中管理企业业统一的安全全策略（Policy））。即通过统一的的平台，对系系统内的安全全设备与系统统的安全策略略进行管理，，实现全系统统的安全策略略的统一配置置、分发与管管理。集中管理全部部的安全设备备与系统配置置（ConfiguresandOptions）。。即管理企业网网络系统所有有的安全设备备与系统，实实现安全设备备与系统的集集中管理，起起到安全网管管的作用。在在统一的管理理平台上，配配置、管理全全网安全设备备与系统的配配置和参数。。集中管理安全全事件和日志志（Events）。通过统一的技技术方法，将将全系统中的的安全日志，，安全事件集集中收集管理理，实现日志志的集中、审审计、分析与与报告。同时时，通过集中中的分析审计计，发现潜在在的攻击征兆兆和安全发展展趋势。集中管理安全全事件的应急急响应流程（（Accidents））。安全事件/事事故处理流程程管理，处理理过程的监督督管理。确保保任何安全事事件/事故得得到及时的响响应和处理。。安全系统的四四个核心安全全要素PCEAPD-PolicyDirector-安安全策略管理理平台CM-ConfigureManager-安全配置置管理平台AR-AccidentResponsor-安全事事故响应中心心EA-EventsAuditor-安全全事件审计平平台集中安全管理理平台系统(GSMCenter，，SOC)M系统构成安全知识库KMis日志/事件/事故数据库Events/Accidents集中安全管理理平台GSMCenter™™系统配置管理理平台GSCManager安全事件应急急响应中心GSAResponsor安全策略管理理平台GSPDirector安全事件审计计平台GSEAuditor安全组件信息资产信息库ASMan基于PKI技技术CA认证中心心GlobalSecurityPolicyDirector安全策略起草草策略修改策略维护策略培训生命周期保障障安全策略管理理平台PGSPDirector™分项系统设计计1安全策略文档档安全策略发布布安全策略修正正安全策略版本本控制安全策略模板板基于Web发发布安全策略的规规则化主要功能GSPDirector安全策略创建建安全策略编辑辑安全策略发布布安全策略培训训安全策略模板板基于Web访访问安全策略规则则化安全策略管理理流程安全策略管理理平台PD安全策略管理平台广域网IEIEIE管理员策略培训、修改安全运行中心安全策略数据库系统配置管理平台安全策略管理平台Policy区域信息中心安全配置管理理平台GlobalSecurityConfigureManager,GSCManager安全策略管理理系统配置管理理事件审计管理理应急响应管理理CGSCManager™分项系统设计计2配置提出（制制定）配置讨论配置修改配置修改审核核配置发布教育培训查询统计跟踪部署打印控制主要功能系统配置管理平台广域网IEIEIE管理员培训、修改安全运行中心心配置和选项数据库系统配置管理理平台Configures区域信息中心心Options系统配置管理理中心CM安全事件审计计平台事件收集冗余处理事件关联分析析事件可视化处处理综合审计报告告趋势分析EGSEAuditor™GlobalSecurityEventAuditor，GSEAuditor™分项系统设计计3集中安全管理理平台的最重重要组成部分分集中的收集安安全事件集中收集安全全事件；不同时间、不不同区域、不不同安全组件件；网络设备、系系统、应用系系统；集中的综合分分析安全事件件过滤、规整、、综合分析安安全事件信息息；减少冗余事件件信息，分析析出真正的安安全事件;集中的安全事事件报告综合分析报告告；安全现状报报告；安全趋势报报告；集中的安全全事件预警警集中预警分分析；区域间预警警信息发布布；时间域预警警信息发布布。主要功能安全设备/软件防火墙，病病毒，入侵侵检测，完完整性检查查，认证系系统,etc网络设备路由器，交交换机，拨拨号服务器器操作系统NT/2000,UNIX专用设备Cache,Mail,RMONProbe,UPS应用程序DNS,WEBserver,Arcserver,服服务监控控系统，etc.网管系统HPOV,ciscoworks,CATNG,BMCpatrol,etc.安全事件源源标准支持syslogtrapd（SNMPv3）OSAgent运行在OS（NT,UNIX）监视运行进进程监视指定的的日志文件件内容发出告警（（syslog,trapd）特殊agent各种网管系系统各种应用系系统各种安全组组件安全事件收收集方式Syslog/trapd数据分析规则文件处处理综合分析（（核心算法）原始事件安全事件源安全事件过过滤、规整整与分析真正的安全全事件安全事件关关联分析（（核心）减少事件数数量确定事件根根源基于时间的的时间关联联分析（（时序事件件规约）基于部署结结构（地域域）的事件件关联（地地址转换事事件规约））基于知识的的事件关联联分析（（协议深度度关联事件件分析）……安全事件报报告与预警警预警信息取证信息安全事件综综合分析报报告系统；；基于Web界面；报告设计器器，客户化化的、可定定制的报告告形式支持持；按严重程度度报告按时间段报报告按系统功能能报告按对象报告告按地区报告告综合分析报报告安全现状报报告安全趋势报报告安全事件报报告（事件件可视化））安全事件审审计平台的的结构switchUNIX/NTServer+agentRoutersFirewallIDSconsole防病毒服务器Syslogd/trapdEVENTS事件审计平台事件数据库审计报告Webclient响应Center网络备份服务器应急响应中心事件源安全全运运行行中中心心安全全事事故故应应急急响响应应中中心心事故故接接收收与与处处理理流流程程开开始始事故故处处理理工工单单分分发发事故故处处理理过过程程学学习习事故故处处理理过过程程跟跟踪踪事故故处处理理方方法法登登录录知识识库库资产产信信息息库库AGSAResponsor™GlobalSecurityAccidentResponser,GSAResponsor™™分项项系系统统设设计计4事故故处处理理流流程程管管理理；；事故故分分发发管管理理；；（（确确定定响响应应工工程程师师））事故故处处理理过过程程交交互互管管理理；；（（过过程程交交互互））事故故处处理理状状态态控控制制与与管管理理（（状状态态监监控控））；；资产产信信息息库库查查询询（（事事故故定定位位））；；知识识库库查查询询（（处处理理技技术术方方法法信信息息））；；事故故处处理理报报告告管管理理；；（（回回登登处处理理过过程程、、方方法法等等信信息息））自我我服服务务（（基基于于Web的的帮帮助助系系统统））主要要功功能能以安安全全事事件件开开始始的的事事故故处处理理按照照事事件件的的严严重重程程度度和和影影响响的的业业务务定定义义安安全全事事故故安全全事事件件类类型型确确定定安安全全事事故故类类型型GSARCenter工作流流支持持平台台：ARsystem事故处处理系系统：：HelpDesk通过Web使用用helpdesk：：GSARCenterWeb事故处处理的的服务务质量量：GSARCenterSLA资产管管理系系统集集（快快速定定位故故障））：ASMan知识管管理系系统：：KMis系统组组成安全事事故中中心结结构Web安全事件审计平台IE工作流事件通通知单单事故应应急响响应平平台（基于于工作作流的的管理理）支持工工程师师事项请请求安全主主管厂商支持SMSgateway支持工工程师师多种告告知方方式事件处理备案数据库应急响响应中中心G知识库信息资产信息库系统本本身安安全设设计安全设设计集中安安全管管理平平台必必须建建立自自身的的用户户身份份认证证机制制，确确保集集中安安全管管理平平台操操作安安全。。对系统统的使使用者者进行行管理理：分分权、、分级级管理理，用用户被被分为为超级级用户户，安安全管管理员员，操操作员员三个个级别别，不不同级级别的的用户户，赋赋予不不同的的权限限。集中安安全管管理平平台启启动和和关闭闭都需需要经经过身身份认认证，，只有有合法法用户户，适适当的的使用用权限限的用用户，，才能能启动动或操操作系系统不不同的的功能能。系统必必须对对用户户身份份认证证失败败进行行处理理，三三次失失败后后，系系统退退出，，并记记录日日志。。系统的的工作作过程程，必必须记记录在在日志志数据据库中中。基于PKI技术术的CA中中心的的对接接；证书介介质：：IC卡。。强身份份认证证机制制集中安安全管管理平平台应应设计计加密密机制制，保保护相相关文文件集中安安全管管理平平台的的设计计与开开发过过程中中，必必须涉涉及系系列加加密技技术，，保护护相关关文件件。集中安安全管管理平平台必必须采采用数数字签签名的的加密密技术术保护护系统统的主主要执执行文文件；；集中安安全管管理平平台必必须采采用数数字签签名的的加密密技术术保护护系统统的主主要数数据文文件、、配置置文件件、日日志文文件。。基于PKI技术术的CA中中心的的对接接；证书介介质：：IC卡。。事件数数据库库加密密保护护机制制集中安安全管管理平平台的的设计计开发发必须须保证证系统统通讯讯过程程的安安全，，无论论是B/S模式，，还是是C/S模式，，必须须采取取下列列方法法保证证通讯讯安全全：通信双双方通通信会会话的的建立立，必必须经经过认认证，，如采采取证证书方方式认认证；；必须采采取安安全的的通信信协议议，如如：SSL,SSH,SHTTP等协议议，建建立通通信关关系；；通信过过程中中，通通信数数据必必须是是加密密的，，禁止止以明明文方方式在在网上上传输输。系统组组件间间通信信安全全机制制集中安安全管管理平平台必必须建建立严严格的的日志志记录录机制制，记记录系系统启启动与与关闭闭情况况和系系统工工作情情况。。集中安安全管管理平平台必必须采采取对对系统统的配配置文文件、、临时时文件件、工工作数数据文文件、、日志志文件件进行行了加加密处处理，，增强强系统统的安安全性性。系统工工作文文件安安全机机制关键技技术研研究关键技技术研研究安全管管理，，协议议是关关键集中安安全管管理协协议,SecurityManagementProtocol,SMP实现安安全组组件的的集中中管理理与监监控的的前提提条件件就是是通信信协议议，我我们将将它称称为““安全全组件件交互互通信信协议议”，，这一一协议议和基基于这这一安安全协协议的的管理理代理理程序序的研研究与与开发发是本本系统统实现现的关关键技技术。。SNMPSyslog自定义义协议议SSL/SSHAPI集中安安全管管理协协议研研究安全策策略作作为文文档，，如何何在系系统中中进行行表述述？SecurityPolicyRules,SPR安全策策略的的规范范描述述定义义和表表示是是系统统进行行集中中策略略管理理的核核心本项研究究将详细细研究并并且予以以实现。。安全策略略规范定定义研究究如何从大大量的事事件中，，综合分分析出真真正的安安全事件件E—事事故A集中安全全事件审审计、分分析、报报告技术术；(Auditor)集中的日日志收集集和审计计、分析析与报告告是日志志管理的的关键。。传统的日日志分析析方法是是对单一一日志进进行简单单统计与与汇总分分析，本本平台系系统的日日志来源源广泛，，他们来来源于不不同的主主机与设设备、不不同的网网段。对对这些日日志的相相关性分分析是准准确把握握安全事事件的关关键，也也是准确确分析安安全事件件的基础础。趋势分析析。安全事件件关联性性分析技技术研究究Events事件关联联分析Accidents安全运行行中心SOC最最终界面面PDCMEAARSOC第三部分分：中软软安全实实验室中软安全全实验室室简介信息安全全博士后后科研工工作站多年来积积累了丰丰富的技技术和经经验承担了大大量的国国家攻关关项目为党、政政、军和和企事业业单位提提供了大大量的技技术服务务和优秀秀产品集研究、、开发、、生产于于一体大批经验验丰富的的工程技技术人员员由博士、、博士后后、硕士士组成的的强大的的科研开开发能力力。目前专业业技术人人员40名，正正在不断断扩充。。先后研制制了11个自主主知识产产权的产产品拥有先进进的开发发、测试试设备标准化的的开发管管理物理安全应用安全网络安全系统安全层次性动态性可管理性性生命周期期性全面性相对性中软信息息安全理理念INSIDE拨号接入入服务器器企业内部部网络WANINTERNET企业广域网网络WebServerMailServerDNSServerAAAServer企业合作伙伙伴网络Internet出出口PSTNINTERNET企业部门数据中心数据库服务器数据库服务器木桶原理安全理念----全全面性层次化风险险缓释论灾难恢复

防火墙/VPN/动态安全管理安全操作系统/操作系统安全密码技术SSL/SET/SHTTP身份认证/授权验证安全策略/技术标准/管理规范环境和硬件

网络层操作系统数据/数据库层应用层操作层管理层

物理安全

应用安全网络安全系统安全安全理念----层层次性安全策略螺旋式上升升论安全理念----生生命周期性性（过程性性）保护(Protection)检测(Detection)响应(Response)备份(Recovery)策略(Policy)时间Time安全理念----动动态性P2DR2模型安全理念----相相对性身份认证访问授权日志审计分析完整性可靠性机密性…安全策略管理高性能高可用性可管理性可扩展性方便性易用性…AccessSecurity集中安全管管理安全理念----可可管理性安全理念----安安全产品国国家队中国自己的的信息安全全的主力军军自主知识产产权的系列列安全产品品国家行政机机关、国有有企事业单单位可以信信赖的合作作伙伴中软的安全全技术多年年的的技技术术积积累累完整整的的安安全全解解决决方方案案提提供供者者覆盖盖主主要要要要素素的的信信息息与与网网络络安安全全技技术术行为为监监测测内容容管管理理身份份认认证证漏洞洞扫扫描描信息息保保密密集中中安安全全管管理理平平台台第一一个个提提出出并并解解决决信信息息泄泄露露的的整整体体方方案案中软软安安全全产产品品安全全系系列列产产品品：：防水水墙墙(WaterBox)入侵侵检检测测(IntrusionDetectionSystem)集中中安安全全管管理理平平台台(GlobalSecurityManager)网络监测(Netmonitor)网络巡警(ISRanger)统一身份认证证（SingleSign-on）中软高性能防防火墙中软VPN安安全网关结束语中软安全实验验室与国际、、国内的知名名学者、专家家、教授、科科研机构、大大专院校有着着广泛的联系系和交流。逐步建设成为为“国内一流流、国际知名名”的安全产产品研发机构构，民族安全全软件产品的的旗舰。谢谢！9、静夜四四无邻，，荒居旧旧业贫。。。12月-2212月-22Thursday,December29,202210、雨中黄叶叶树，灯下下白头人。。。22:04:2522:04:2522:0412/29/202210:04:25PM11、以以我我独独沈沈久久，，愧愧君君相相见见频频。。。。12月月-2222:04:2522:04Dec-2229-Dec-2212、故人江海别别，几度隔山山川。。22:04:2522:04:2522:04Thursday,December29,202213、乍乍见见翻翻疑疑梦梦，，相相悲悲各各问问年年。。。。12月月-2212月月-2222:04:2522:04:25December29,202214、他乡乡生白白发，，旧国国见青青山。。。29十十二二月202210:04:25下下午午22:04:2512月月-2215、比不了得就就不比，得不不到的就不要要。。。十二月2210:04下下午12月-2222:04December29,202216、行行动动出出成成果果，，工工作作出出财财富富。。。。2022/12/2922:04:2522:04:2529December202217、做做前前，，能能够够环环视视四四周周；；做做时时，，你你只只能能或或者者最最好好沿沿着着以以脚脚为为起起点点的的射射线线向向前前。。。。10:04:25下下午午10:04下下午午22:04:2512月月-229、没有有失败败，只只有暂暂时停停止成成功！！。12月月-2212月月-22Thursday,December29,202210、很多多事情情努力力了未未必有有结果果，但但是不不努力力却什什么改改变也也没有有。。。22:04:2522:04:2522:0412/29/202210:04:25PM11、成功功就是是日复复一日日那一一点点点小小小努力力的积积累。。。12月月-2222:04:2522:04Dec-2229-Dec-2212、世间成成事，不不求其绝绝对圆满满，留一一份不足足，可得得无限完完美。。。22:04:2522:04:2522:04Thursday,December29,202213、不知香积寺寺，数里入云云峰。。12月-2212月-2222:04:2522:04:25December29,202214、意志坚强强的人能把把世界放在在手中像泥泥块一样