DB34-T 4282-2022 电子政务外网安全监测平台技术规范

ICS35.02034Specificationforthesecuritymonitoringplatformtechnologyofe-governmentnetworkIDB34/T4282—2022本文件按照GB/T1.1—2020《标准化工作导则第1部分：标准化文件的结构和起草规则》的规定起草。请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别专利的责任。本文件由安徽省大数据中心提出。本文件由安徽省数据资源管理局归口。本文件起草单位：安徽省大数据中心、六安市大数据中心、滁州市数据资源管理局、六安市数据资源管理局、阜阳市数据资源管理局、马鞍山市大数据中心、中国联合网络通信有限公司安徽省分公司、深信服科技股份有限公司、天融信科技集团股份有限公司、奇安信科技集团股份有限公司、上海汉邦京泰数码技术有限公司、杭州安恒信息技术股份有限公司、北京神州绿盟科技有限公司。本文件主要起草人：朱典、张明阳、张静、陈先才、邹莉强、杨阳、陶峰、顾纺、李晓飞、龚政、戴国建、潘磊、宋康、江涛、姚远、张佳桐、王彦翔、龙飞、柏光华、陈向军、徐纪虎、吴松、王书生。DB34/T4282—20221电子政务外网安全监测平台技术规范本文件规定了电子政务外网安全监测平台的基本要求、平台架构和平台功能。本文件适用于电子政务外网安全监测平台的建设。2规范性引用文件下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件，仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。GB/T22239信息安全技术网络安全等级保护基本要求GB/T25069信息安全技术术语3术语和定义GB/T25069界定的以及下列术语和定义适用于本文件。3.1电子政务外网安全监测平台extranetsecuritymonitoringplatformfore-government以信息安全事件为核心，通过对网络流量、安全设备日志、威胁情报等数据信息进行实时采集、监测和分析，实现网络风险识别、威胁发现、安全事件实时告警及可视化展示的系统。3.2多元数据multivariatedata流量数据、日志数据、资产数据、威胁情报的总称。3.3威胁情报threatintelligence收集、评估和应用关于安全威胁、威胁分子、攻击利用、恶意软件、漏洞和漏洞指标的数据集合。4基本要求电子政务外网安全监测平台基本要求包括但不限于：a)可快速集成不同厂商的各类IT资产，实现各类设备日志信息的实时采集与统一监测；b)可实现安全日志的存储与检索；c)具有关联分析、趋势分析、风险评估及事件管理能力；d)可提供定制化展示工作界面、报表和数据展现视图；e)可实现日常监测、事件告警与预警、应急处理与响应；f)可提供决策辅助与态势分析；g)支持多级系统的级联管理和分级部署。2DB34/T4282—20225平台架构平台架构见图1。电子政务外网安全监测平台数据协同对接子系统威胁情报子系统网络安全监测管理子系统数据协同对接子系统威胁情报子系统安全大数据中心安全威胁异构检测子系统综合业务审计安全威胁异构检测子系统多元数据采集子系统图1电子政务外网安全监测平台架构图5.2平台部署图平台部署示例见图2。DB34/T4282—20223图2平台部署示意图6平台功能6.1监测范围和内容6.1.1检测范围电子政务外网安全监测平台监测范围涵盖广域网、城域网、局域网与政务云，并与政务部门负责安全管理职责的网络边界范围保持一致。当电子政务外网边界或结构发生变化时，应及时调整监测范围和监测平台设备的部署。电子政务外网安全监测平台如图3所示。图3电子政务外网安全监测平台监测范围DB34/T4282—202246.1.2广域网政务部门实现上下互联互通的网络，政务网络通过接入设备接入广域骨干网链路。监测内容如下：a)路由器：配置监测、设备状态监测、设备故障监测、运维操作审计监测、脆弱性监测；b)广域网链路：异常流量监测。6.1.3城域网同级政务部门实现互联互通的网络，各政务部门通过接入设备接入城域网链路。监测内容如下：a)城域网核心网络设备和安全设备、接入单位的接入设备：配置监测、设备状态监测、设备故障检测、运维操作审计监测、脆弱性监测；b)城域网链路：异常流量、病毒木马监测。6.1.4局域网承载政务部门自身业务和托管业务的网络。按照分区分域管理原则，局域网又可分为如下两个安全a)互联网区：政务部门通过逻辑隔离安全接入互联网的网络区域，承载政务部门利用互联网开展的公共服务、社会管理、经济调节和市场监管等业务应用；b)外网公用区：与互联网接入区逻辑隔离，承载政务部门（非互联网）公共服务，以及跨部门、跨地区的业务协同和数据共享等业务应用；c)监测内容：用户接入电子政务外网的局域网络和信息系统的安全防护与监测，由接入单位按照信息安全等级保护相关要求和国家标准进行自主建设和管理。6.1.5政务云包括互联网区和外网公用区。监测内容包含网络边界流量、云主机审计日志和虚拟网络设备日志。6.2多元数据采集6.2.1采集范围应符合GB/T22239的相关规定。涵盖政务部门网络互联网接入区和外网公用区的网络核心节点交换、移动接入点等关键节点。如果政务部门有对广域网或者城域网的管理职责，监测范围应相应扩展到广域网和城域网的相关节点。6.2.2采集内容应监测采集范围内各网络区域的网络流量、资产信息、威胁情报、脆弱性信息、知识数据、级联/第三方平台数据、各类安全基础资源/服务等产生的告警数据、与安全相关的审计日志，实现资产梳理。6.2.3采集方式应支持通过流量采集系统、标准协议、API接口、手动导入、扫描、第三方导入等不同的方式采集流量、日志、资产信息、威胁情报等信息。6.3安全威胁异构检测6.3.1已知威胁检测DB34/T4282—20225应支持针对已知威胁的检测，通过特征码匹配、关联分析、规则库匹配、威胁情报比对等技术对已知威胁进行分析检测。6.3.2未知威胁检测应支持针对未知威胁的检测，通过机器学习、沙箱安全分析、用户和实体行为分析等技术对未知威胁、高级持续性威胁进行分析检测。6.4综合业务审计6.4.1行为审计应具备行为审计功能，审计覆盖到每个用户，对重要的用户行为进行审计，以便于开展责任认定。6.4.2事件审计应具备事件审计功能，对监测范围内发生的关键事件进行审计，以便于开展事件溯源。6.4.3记录留存审计记录应采用密码技术保证重要数据在存储过程中的完整性，留存时间应不少于6个月。6.5安全数据治理应具备数据治理能力，支持通过配置相关解析规则、过滤规则来达到标准化、过滤、丰富日志信息的目的，相关规则应支持自定义。6.6安全数据主题库应支持建立相应的流量元数据、资产数据、日志数据、告警数据、规则数据、威胁情报数据等安全主题库，支持可伸缩的数据存储架构，满足数据量持续增长需求。业务相关的敏感数据加密存储，数据存储时间按照网络安全法及行业主管部门的规定来确定。6.7安全数据总线应具备数据总线，数据总线应包含内部数据交换接口、数据采集接口、平台级联接口和外部接口。6.8网络安全监测管理6.8.1网络安全监测态势展示应支持对综合态势、威胁态势、资产态势等多种态势进行展示，支持通过多种表现形式对各维度安全态势进行展示。6.8.2通报预警应支持通报预警功能，将接收到的预警信息分级，当发生预警事件时，支持依照设定的流程发布信息通报。6.8.3应急处置应支持应急处置功能，通过安全事件处置流程编排，联动相关安全产品，统一调度相关人员完成应急处置。DB34/T4282—202266.8.4平台管理应支持平台管理功能，对平台的用户、身份、权限、配置、运行状态等进行统一管理，平台支持分级管理功能。6.9威胁情报6.9.1生成应支持获取内部或外部原始样本或数据，并对其进行归类、分析、加工、处理后生成威胁情报，可对生成的情报进行日常更新与管理。并支持提供开放接口，以标准接口的方式来集成第三方威胁情报平台。6.9.2存储查询应支持在本地对威胁情报进行分类和信誉度评价分级，并根据分类分级进行存储和查询。6.9.3管理应支持对威胁情报生成、更新、使用、失效的全生命周期进行管理，支持自定义管理。6.9.4共享使用应支持提供统一的API接口，供威胁情报实时