安全运营中心发展现状与应用探讨

平安运营中心〔SOC〕开展现状与应用探讨随着电信企业信息化建设步伐的加快，如何有效化解平安风险，有效应对各种突发性平安事件已成为不容无视的问题。与普通企业相比，电信运营商的信息平安系统不仅部署地域分散，规模庞大，而且与业务系统耦合性较高；如何将现有平安系统纳入统一的治理平台，实现平安形势全局分析和动态监控已成为各级信息系统保护部门面临的主要问题。SOC(SecurityOperationCenter)平安运营中心应运而生，是目前流行的电信级平安解决方案。SOC的出现对应数据的集中治理趋势，通过集中收集、过滤、关联分析平安事件，提供平安趋势报告，及时作出反响，实现对风险的有效控制。目前主要平安厂商陆续推出了SOC解决方案，中国移动、中国电信也相继拿出假设干省市开展SOC建设试点工作。由于国内没有成熟的运维体会，SOC开展过程遇到一些问题，导致人们对SOC产生不少认识误区，直接影响了SOC的大规模推广。本文全面分析了SOC的定位、主要功能、技术难点以及开展趋势，并探讨了SOC存在的主要问题，希望帮助人们全面理解SOC，更好地推动这一新生事务的开展。SOC概述信息系统开展的一个显著特点是：资源平台化、数据集中化。信息平安保障系统作为信息系统的重要组成局部，其开展也必须符合信息系统开展趋势。平安运行中心是描述“对平安事件(SecurityIncident)提供检测和响应效劳的所有平台〞通用术语。SOC的核心是检测和响应功能，通俗一点讲，就是基于获取的海量平安事件，分析整个系统的平安状态和平安趋势，对危害严重的平安事件及时做出反响。SOC的平安子系统组成依据信息系统生命周期理论，与信息的产生、传输、存储、分析、处理五个环节相对应，SOC系统包括以下功能模块：※事件发生器〔E〕模块事件发生器负责生成平安事件，可分为基于数据的事件发生器和基于状态的事件发生器。前者指传感器，如网络入侵检测系统、主机检测系统、防火墙等，主要产生由操作系统、应用、网络操作引发的事件；后者指轮询器〔Poller〕，产生响应外部鼓励〔如Ping、SNMP命令〕的事件，外部鼓励主要用来检查效劳状态、数据完整性。这类事件的典型例子是网管系统中轮询工作站向治理工作站发送的告警信息。※收集模块〔C〕收集模块负责从不同传感器收集信息并转换为标准格式，从而形成统一信息方便后续处理。※存储模块〔D〕和其他模块相比，存储模块标准化程度很高，可以简单理解为数据库，惟一特殊的是需要进行相关性处理，识别来自同一源或不同源的重复事件。※分析模块〔A+K〕该模块负责分析存储在数据库中的事件，为响应模块提供响应的充分依据〔告警信息〕。分析过程又离不开知识库〔K模块〕的支持，知识库存储入侵路径、系统平安模型、平安策略等知识。分析模块是SOC系统最复杂的局部，包括相关性分析、结构化分析、入侵路径分析、行为分析。※响应模块〔R〕响应模块功能负责对平安事件做出及时有效响应，涵盖还击正在发生平安事件的所有响应〔Reaction〕和报告工具。由于牵扯到人的因素，响应行为具有相当的主观性，很多时候需要根据长期积存的基于体会的最正确实践或建议。但其重要性不能低估。响应模块不仅需要对外提供自动化的控制台接口、事件快速响应接口、实时监控接口、统计分析接口；还需向用户提供永久性风险评估报告、中长期平安行为报告、系统状态报告。SOCvsNOC目前电信运营商都已建立网管中心〔NOC〕。根据ITU提出的FCAPS模型，网管系统的主要功能是故障治理(Fault)、配置治理(Configuration)、计费治理(Accounting)、性能治理(Performance)、平安治理(Security)。外表上NOC有平安治理功能，似乎SOC与NOC功能重叠；实际上由于二者定位不同，功能、作用差异很大。概括起来，网管中心与平安运营中心主要区别如下：※NOC的平安治理功能侧重访问控制，强调控制对计算机网络中信息的访问，保护系统、效劳、数据免受非法入侵、破坏；SOC注重对平安攻击的检测和响应。※NOC的平安功能着眼于“事前预防〞，即先摘取措施预防非法攻击；而SOC的平安功能属于“事后处理〞，换句话说，出现平安事件怎样阻断攻击，怎么还击。※网管中心强调对网络的全面治理，在五大功能中平安治理只占很少一局部；而SOC完全面向平安治理，平安功能更专业、全面。※SOC在收集平安事件时，有时摘用轮询方式，利用某些网管系统的监控功能。长期以来，人们在NOC的建设、治理、保护方面积存了丰富的体会，SOC的建设和运行可以合理借鉴这些体会。例如，在组织架构和治理模式方面SOC可以参照NOC的做法；但在工作流程设计上SOC最好摘用与NOC平行的模式。出于简化治理考虑，国外也有将SOC和NOC放在一起的成功案例。SOC涉及的关键技术在平安事件的一体化处理流程中，SOC摘用一系列新技术，在有效提高应用系统平安性的同时，尽量减轻平安事件相关操作对业务系统性能的影响。SOC建设中涉及的关键技术有负载均衡技术、模式分析技术、结构化分析技术、快速响应技术。负载均衡在SOC的设计和建设过程，必须优先考虑性能因素。虽然原始信息越多、越详细，越有助于SOC分析和检测正在发生的攻击企图，但摘集、处理过多的信息对SOC处理能力提出挑战，严重影响性能。一方面，每个传感器每秒钟可能产生成百上千条消息，全部类型各异的传感器实时上报消息对SOC收集模块的处理能力提出很高要求。另一方面，收集模块也轮询获取系统状态，过于频繁的轮询会占用被治理系统珍贵的CPU资源，直接影响其业务的运行。与保证效劳器端效劳类似，提高SOC的伸缩性、可用性可以摘用：※负载均衡技术，如高可用性〔HA〕、集群〔Cluster〕、双机热备。※源过滤技术，传感器预先过滤掉不重要的信息，减轻SOC的处理压力。模式分析〔相关性〕平安事件分析处理的好坏直接关系着SOC系统的后续处理，分析模块综合分析来自不同设备、数量庞大的事件序列，通过模式匹配找出平安事件之间的内在联系〔相关性〕，最终产生高度合成的准确分析结果。模式分析的根本内容包括：1)识别重复信息，对于收到的多条重复信息进行筛选或过滤，以减轻存储负担。2)序列模式匹配，判别一系列消息是否由同一入侵企图触发。3)事件模式匹配，通过基于时间的上下文分析，识别缓慢分布式入侵过程。4)平安策略匹配，基于行为匹配识别符合平安策略规那么的某些事件，如治理员登陆、认证。5)系统威逼分析，判断目标系统是否受已检测到攻击企图的威逼，并分析此类攻击对系统平安的整体影响。脆弱性分析脆弱性〔Vulnerability〕是指系统存在的平安漏洞或不平安的行为，这些信息可能损害整体平安级别，也可能被“黑客〞加以利用发动入侵攻击。作为知识库的一个组件，弱点数据库存储三类脆弱性：※结构化脆弱性这种脆弱性通常指软件的内部缺陷，例如缓冲区溢出Bug、字符串格式化缺陷等。※功能化脆弱性通常指与配置、操作行为、用户等运行环境有关的弱点，这种脆弱性的一个显著特点是只要一个所需条件不具备，它就在系统中以“非激活〞状态存在。显然定义、格式化、整理这类脆弱性，需要操作系统、网络、应用各方面专家的参与。※拓扑相关脆弱性这类脆弱性主要基于网络〔如监听、IP欺骗〕，还包含可能的入侵路径的脆弱性。拓扑相关脆弱性导入弱点数据库一般需要拓扑建模的支持。4.快速响应快速响应是SOC根本目标，所有模块均效劳于该功能。紧急响应的内容根据环境不同而有所差异，从监控事件的进一步开展到攻击的追踪。当大规模攻击爆发时，及时隔离攻击源是防止攻击影响扩大化的有效措施。当SOC检测到WWW效劳器被入侵、页面遭到非法篡改，快速响应那么意味着尽快恢复效劳器的正常运行，把事件的负面影响降到最小。在攻击发生之前，必须确定响应流程；该流程需要经过提前演练并备案。为了保证快速、有效的响应，应急响应流程至少应包括特定级别的事件升级制度〔Escalation〕。在事件升级制度中，根据攻击的严重程度，摘取不同的响应流程，由不同级别人员处理。以三级处理模式为例，现场值守人员处理类型攻击，第二级平安专业小组处理不明类型攻击，第三级实验室研究小组〔如CERT〕对复杂攻击进行重放、原理分析并找出适当的解决方法。SOC的开展趋势1.认识误区由于SOC出现时间不长，无论是用户还是平安厂商都缺乏足够的建设、保护体会，目前对SOC存在以下认识误区：1)对SOC的作用认识缺乏，片面夸大或贬低SOC。计算机网络技术的迅猛开展给电信运营商带来了繁重的平安压力，SOC的诞生为信息平安问题解决提供一缕曙光，于是人们认为SOC可以解决一切平安问题。另一方面，目前已经运行的SOC由于缺乏必要的支撑，治理体制没有理顺；效果不尽如人意，对SOC的疑心声又不断。对SOC作用的片面认识很大程度上由于平安厂商宣传误导，导致人们对SOC期望过高；因为SOC是一种蓬勃开展的新生事物，出现问题也在所难免，需要在开展中不断完善。2)将SOC仅仅理解为软件系统，忽略其平台特性。与以往单一的平安系统相比，SOC最大的优势是为统一平安治理提供了完整平台，提高了对于平安威逼的精确检测能力和一体化响应能力。要使SOC真正发挥作用，后期的保护、二次开发工作必不可少，其重要性甚至不亚于前期建设工作。后期保护工作一方面是整合资源，将所有平安子系统尽可能纳入SOC治理范围；另一方面要加强子系统建设，根据业务需要开发相应接口。3)技术层面考虑多，治理层面考虑少。根据信息风险治理最正确实践－BS7799/ISO7799，信息平安工作是“七分技术，三分治理〞。SOC也不例外，它的建设不仅仅是技术问题，与治理制度也密切相关。SOC一般适用于信息系统规模庞大、应用复杂的情况，在这种环境下，治理工作显得特别重要。如果无法与现有平安治理制度、流程有机衔接，SOC建设很可能流于形式，无法发挥预期效果。电信运营商在建设平安运营中心的同时，必须理顺平安治理体系，制定详细、可操作的规章流程，挠好组织体系、人员培训等方面建设。急需解决的问题不可否认，新兴的SOC技术有待完善。总结起来，SOC的开展需要重点解决以下问题：1)标准化问题标准是制约SOC开展的最大障碍，虽然主要平安厂商都推出了SOC解决方案，但大都摘用私有技术、基于特定操作系统〔平台〕或特定型号平安产品〔防火墙、入侵检测系统、路由器〕，SOC之间无法互通。SOC标准化涉及摘集数据的格式、传输协议、平安知识库信息存储、输出告警的格式〔响应〕等。目前一些国际组织已开始这方面标准的制定工作，例如IETF入侵检测工作组开始制定消息格式与传输协议标准。2)自动化响应目前对于发现的入侵企图，通常做法是人工干预、手工去除；这样虽然能够保证效果，但效率无法保证，特别是面临拒绝效劳攻击〔DOS/DDOS〕。对入侵或攻击行为进行自动化响应引起人们浓厚爱好，一些企业也在开发一些自开工具；例如某些入侵检测系统检测到攻击后自动阻塞来自攻击源的所有数据，有些工具将黑客攻击重定向到一个可观测的受控环境，记录攻击行为，甚至尝试还击。鉴于平安问题的复杂性，一般情况下慎用自开工具，这类工具更适宜处理大量并发攻击，同时应加强使用审计。3)与业务系统的无缝集成SOC需要提供外部接口，更好地与特定行业用户现有业务系统衔接起来。对于电信业而言，目前广泛使用了工单〔EMOS〕、业务运营支撑系统〔BOSS〕、资源治理系统等。只有与用户业务/支撑系统有机结合在一起，才能充分发挥SOC作为中央监控中心的价值所在，帮助企业构建可控、一体化平安治理体系，保障业务持续、稳定开展。如何建设一个平安监控中心〔SOC〕？虽然信息平安治理问题主要是个从上而下的问题，不能指望通过某一种工具来解决，但良好的平安技术根底架构能有效的推动和保障信息平安治理。随着国内行业IT应用度和信息平安治理水平的不断提高，企业对于平安治理的配套设施如平安监控中心〔SOC〕的要求也将有大幅度需求，这将会是一个较明显的开展趋势。推行SOC的另外一个明显的好处是考虑到在国内企业目前的信息化程度下直接实施信息治理变革的困难性，如果尝试先从技术角度入手建立SOC相对来说阻力更小，然后通过SOC再推动相应的治理流程制定和实施，这也未尝不是值得推举的并且符合国情的建设方式，而且目前已经有些IT应用成熟度较高的大型企业开始进行这方面工作的试点和探索了，因为这些组织已经认识到仅依赖于某些平安产品，不可能有效地保护自己的整体网络平安，信息平安作为一个整体，需要把平安过程中的有关各方如各层次的平安产品、分支机构、运营网络、客户等纳入一个紧密的统一平安治理平台中，才能有效地保障企业的网络平安和保护原有投资，信息平安治理水平的上下不是单一的平安产品的比拟，也不是应用平安产品的多少和时间的比拟，而是组织的整体的平安治理平台效率间的比拟。下面我们就来谈谈建立一个SOC应该从那些方面考虑。首先，一个较完善的SOC应该具有以下功能模块：平安设备的集中治理统一日志治理〔集中监控〕：包括各平安设备的平安日志的统一监控；平安日志的统一存储、查询、分析、过滤和报表生成等功能、平安日志的统一告警平台和统一的自动通知等；模块分析：大型网络中的不同节点处往往都部署了许多平安产品，起到不同的作用。首先要到达的目标是全面获取网络平安实时状态信息，解决网络平安治理中的透明性问题。解决网络平安的可治理控制性问题。从平安治理员的角度来说，最直接的需求就是在一个统一的界面中可以监视到网络中每个平安产品的运行情况，并对他们产生的日志和报警信息进行统一分析和汇总。统一配置治理〔集中治理〕：包括各平安设备的平安配置文件的集中治理，提高各治理工具的保护治理水平，提高平安治理工作效率；有条件的情况下实现各平安产品的配置文件〔平安策略〕的统一分发，修正和更新；配置文件的统一在〔离〕线治理，定期进行摘集和审核，对平安产品的各种属性和平安策略进行集中的存储、查询。模块分析：目前企业中主要的平安产品如防火墙、入侵检测和病毒防护等往往是各自为政，有自己独立的体系和控制端。通常治理员需要同时运行多个控制端，这就直接导致了对平安设备统一治理的要求。不过从目前国内的情况来说，各不同厂商的平安产品统一治理的难度较大，统一监控更容易实现，在目前现状中也更为重要。目前国内现状是各个平安公司都从开发治理自己设备的治理软件入手，先做到以自己设备为中心，把自己设备先治理起来，同时提出自己的协议接口，使产品能够有开放性和兼容性。这些平安设备治理软件和网络治理软件类似，对平安设备的发现和信息读取主要建立在SNMP协议根底上，对特定的信息辅助其他网络协议。获取得内容大局部也和网络设备治理相同，如CPU使用情况，内存使用情况，系统状态，网络流量等。各平安产品和系统的统一协调和处理〔协同处理〕：协调处理是平安技术的目标，同时也符合我国对信息平安保障的要求即实现多层次的防备体系。整体平安技术体系也应该有多层次的控制体系。不仅仅包含各种平安产品，而且涉及到各主机操作系统、应用软件、路由交换设备等等。模块分析：目前国内有局部提法是IDS和防火墙的联动就是基于这种思路的，但是实际的使用情况中根本上没有客户认同这点，原因当然有很多，但实际上要实现这点还需要较长的技术积存。设备的自动发现：网络拓扑变化后能自动发现设备的调整并进行根本的探测和给出信息。模块分析：大局部企业内部的网络的拓扑都是在变化的，如果不支持设备的自动发现，就需要人工方式解决，给治理员造成较大的工作压力，也不能掌握网络的实际拓扑，这样不便于排错和发现平安故障。可以摘用自动搜觅拓扑的机制。如IBMTivoliNetview可以自动发现大多数网络设备的类型，或通过更改MIB库，来随时添加系统能识别的新的设备。平安效劳的集中治理实现平安相关软件/补丁安装情况的治理功能，建立平安相关软件/补丁信息库，提供查询、统计、分析功能，提供初步的分发功能。模块分析：微软在对自己的操作系统的全网补丁分发上走的比拟前，成功的产品有SUS和SNS等，国际上也有局部的单一产品是作这个工作的，但目前还没有看到那个SOC集成了这个模块。平安培训治理：建立平安情报中心和知识库〔侧重平安预警平台〕，包括：最新平安知识的收集和共享；最新的漏洞信息和平安技术,；实现平安技术的交流和培训。持续更新开展的知识和信息是保持高水平平安运行的保证。模块分析：虽然这个模块的技术含量较低，但要为平安治理体系提供有效的支持，这个模块是非常重要的，有效的平安培训和知识共享是提示企业的整体平安治理执行能力的根底工作，也有助于形成组织内部统一有效的平安信息传输通道，建立平安问题上报、平安公告下发、处理和解决反响的沟通平台。风险分析自动化：自动的搜集系统漏洞信息、对信息系统进行入侵检测和预警，分析平安风险，并通过系统平安软件统一完成信息系统的补丁加载，病毒代码更新等工作，有效的提高平安工作效率，减小网络平安的"时间窗口"，大大提高系统的防护能力。模块分析：平安治理软件实施的前提是已经部署了较完善的平安产品，如防火墙，防病毒，入侵检测等。有了平安产品才能够治理和监视，平安治理平台的作用在于在现有各种产品的根底上进行一定的数据分析和局部事件关联工作，例如设置扫描器定期对网络进行扫描，配合该时间段的入侵检测系统监控日志和补丁更新日志，就可以对整网的技术脆弱性有个初步的了解。业务流程的平安治理初步的资产治理〔资产、人员〕：统一治理信息资产，汇总平安评估结果，建立风险治理模型。提供重要资产所面临的风险值、相应的威逼、脆弱性的查询、统计、分析功能。模块分析：国内外平安厂商中资产治理功能都很简单，和现有的财务、运营软件相差非常大，根本上是照般了BS7799中的对资产的分析和治理模块。平安治理系统与网管系统的联动〔协调处理〕：平安治理系统和网络治理平台已经组织常用的运营支持系统结合起来，更有效的利用系统和人力资源，提高整体的运营和治理水平。模块分析：如果可能的话，由于各产品的作用表达在网络中的不同方面，统一的平安治理平台必然要求对网络中部署的平安设备和局部运营设备的平安模块进行协同治理，这也是平安治理平台追求的最高目标。但这并非是一个单纯的技术问题，还涉及到行业内的标准和联盟。目前在这方面作的一些工作如CheckPoint公司提出的opsec开放平台标准，即入侵检测产品发现攻击和checkpoint防火墙之间的协调，现在流行的IPS概念，自动封锁攻击来源等，都在这方面作了较好的尝试，在和整体的网络治理平台的结合方面，目前国内外作的工作都较少，相对来说一些大型的IT厂商如IBM/CISCO/CA由于本身就具备多条产品线〔网络、平安、应用产品〕，其自身产品的融合工作可能已经作了一些，但总体来说成熟度不高。与其它信息系统的高度融合：实现与OA、ERP等其他信息系统的有机融合，有效的利用保护、治理、财务等各方面信息提高平安治理水平。平安治理的决策分析和知识体会将成为公司治理的重要组成局部。组织的平安治理组织构成：