网御星云日志审计系统产品白皮书V完整版.docx
- 文档编号:1117693
- 上传时间:2022-10-17
- 格式:DOCX
- 页数:21
- 大小:35.13KB
网御星云日志审计系统产品白皮书V完整版.docx
《网御星云日志审计系统产品白皮书V完整版.docx》由会员分享,可在线阅读,更多相关《网御星云日志审计系统产品白皮书V完整版.docx(21页珍藏版)》请在冰豆网上搜索。
网御星云日志审计系统产品白皮书V完整版
网御星云日志审计系统
产品白皮书V
HENSyStemOffiCeroom【HEN16H-HENS2AHENS8Q8-HENH1688]
密级:
公开
产品白皮书
网御安全管理系统-日志审计系统
日志审计的需求与挑战
日志审计需求分析
日志,是对IT系统在运行过程中产生的事件的记录。
通过日志,IT管理人员可以了解系统的运行状况。
而通过对安全相关的日志的分析,IT管理者可以检验信息系统安全机制的有效性,这就是安全日志审计,简称日志审计。
而日志的产生、收集、审计分析和存储的全过程称作日志管理。
日志审计需求主要源自于两个方面的驱动力。
一方面,从企业和组织自身安全的需要出发,日志审计能够帮助用户获悉信息系统的安全运行状态,识别针对信息系统的攻击和入侵,以及来自内部的违规和信息泄露,能够为事后的问题分析和调查取证提供必要的信息。
有研究指出,69%的攻击行为实际上都有日志留存,而根据国际着名的安全研究与教育组织SAXS发布的《2011年度日志管理调查报告》显示,在受访的747个大中小规模的组织中,超过89%的组织都进行了日志管理。
而他们进行日志管理的首要原因是监测与跟踪可疑的行为,例如非授权访问、内部信息泄露,等等。
另一方面,从国家法律法规、行业标准和规范的角度出发,日志审讣已经成为了满足合规与内控需求的必备功能,例如:
GB/T22239-2008《信息安全技术信息系统安全等级保护基本要求》对于二级以上信息系统,在网络安全、主机安全和应用安全等基本要求中明确要求进行安全审计。
而日志审计是符合这些要求的基本手段。
《互联网安全保护技术措施规定》(公安部82号令)第八条要求具备
“记录、跟踪网络运行状态,监测、记录用户各种信息、网络安全事件等安全审计功能”。
《商业银行内部控制指引》第一百二十六条指岀“商业银行的网络设备、操作系统、数据库系统、应用程序等均当设置必要的日志。
日志应当能够满足各类内部和外部审计的需要”。
《银行业信息科技风险管理指引》第第二十七条要求银行业应制定相关策略和流程,管理所有生产系统的日志,以支持有效的审核、安全取证分析和预防欺诈。
《保险公司信息系统安全管理指引(试行)》第四十四条要求“对主机系统进行审计,妥善管理并及时分析处理审计记录。
对重要用户行为、异常操作和重要系统命令的使用等应进行重点审计”。
日志审计面临的挑战
当前客户在进行日志审计的过程中儿乎都面临着相似的挑战。
这其中最主要的三个挑战是:
日志分散、日志格式不统一、日志量巨大。
日志分散
客户网络中信息系统相关的各种软硬件设备、安全防护设施都会产生日志。
并且这些设备都分散在网络的不同位置。
他们各自产生日志,并有各自的控制台进行日志查看,这对审讣人员而言简直就是噩梦,根本没有精力去查看这么多控制台,更不要说分析其中的日志信息了。
日志格式不统一
每种设备类型的日志格式都不相同,各有各的表达,即时是表达同一件事情,也都有各自的表达方式。
例如同样的登录失败信息,防火墙中的描述和主机操作系统中的描述格式就可能根本不相同。
这迫使审计人员去了解每种设备类型的格式。
日志量巨大
很多设备,尤其是网络安全设备产生的日志量十分巨大,单个防火墙每秒就可能产生上千条的日志信息,而全网的设备每天产生的日志量就更加可观,可能数以口GB计。
审讣员去查看这么多的日志根本不可能,即便是将它们存起来都是个问题。
如何应对挑战
客户需要日志审计,更需要应对所面临的挑战。
客户需要从组织策略、处理流程和技术体系等多方面进行统筹考量,客户应该借助一个日志审计平台来为其审计工作提供技术支撑。
这个日志审计平台应该能够实现对客户分散的海量日志进行收集,对这些日志格式进行规范化统一描述,实现对日志的集中化存储、分析、审计和展示,并符合相关法规标准的符合性要求。
产品综述
产品简介
网御星云推出的网御安全管理系统日志审计系统(以下简称LEADSEC-RS)是立足于公司十年信息安全积累的基础之上,基于客户需求的日志审计平台及日志管理解决方案。
日志审计系统能够通过主被动结合的手段,实时不间断地采集用户网络中各种不同厂商的安全设备、网络设备、主机、操作系统、以及各种应用系统产生的海量日志信息,并将这些信息汇集到审计中心,进行集中化存储、备份、查询、审计、告警、响应,并出具丰富的报表报告,获悉全网的整体安全运行态势,实现全生命周期的日志管理。
LEADSEC-RS融合多种信息安全技术和管理理念,充分实现组织、管理、技术三个体系的合理调配,帮助用户进行基于日志的综合审计和日志全生命周期管理,从而最大化的保障网络、主机和应用系统安全机制的有效性。
LEADSEC-RS具有广泛的应用范围和客户群,在政府、电信、金融、电力、军工等行业均有成功的应用。
系统组成
LEADSEC-RS包括审汁中心、日志采集器和日志代理三个部件。
日志采集器和日志代理实现对审计数据源(主机/服务器类、网络类和安全类等)的日志信息统一收集,然后上传给审计中心进行集中化存储、分析和审计。
同时,审计中心自身也可以直接收集审计数据源的日志信息。
审计中心
审计中心,即LEADSEC-RS的管理中心,是LEADSEC-RS的核心部件,实现了对日志的集中化存储、备份、查询、审计、告警、响应,以及出具报表报告。
用户的审计员通过浏览器即可登陆审计中心,进行各种审计操作。
审计中心内置日志采集功能,可以直接收集审计数据源的日志信息。
审计中心也可以汇聚来自日志采集器和日志代理的日志信息。
日志采集器
日志采集器可以安装并独立运行在一台服务器上,实现对异构审计数据源的日志采集,功能同审计中心的日志采集模块,用以辅助审计中心解决特定日志采集的问题,并可以实现分布式日志采集能力。
日志采集器收集的日志可以转发给审计中心。
日志代理
日志代理用于安装并运行在审计对象上,实现对审计对象的数据源采集和转发。
目前,日志代理支持WindOWS操作系统,主要用于采集WindoWS操作系统及其服务与应用的日志。
日志代理收集的日志可以转发给日志采集器,或者直接转发给审计中心。
系统结构
LEADSEC-RS采用组件式平台架构,实现了分层的逻辑架构,包括:
审计数据源层、日志采集层、业务层和应用层。
如下图所示:
审计数据源层
审计对象层是指审计数据源对象,包括各类型的网络设备、安全设备、数据库、应用系统、主机等能产生相关日志的设备和信息系统。
日志采集层
该层利用SYSLOG.SNMP、ODBC、OPSEC、文件等多种协议方式,从审计对象获取日志,并对原始日志信息进行范式化、分类、过滤、归并,统一推送到业务层进行分析、存储。
业务层
利用关联分析引擎对采集的日志进行分析,触发规则,生成告警记录;通过高性能海量数据存储代理将日志进行快速存储;通过分布式查询引擎实现日志查询;通过日志聚合引擎实现日志抽取。
应用层
面向系统的使用者,提供一个图形化的显示界面,展现安全审计系统的各功能模块,提供综合展示、资产管理、日志审计、规则管理、告警管理、报表管理、权限管理、系统管理、知识维护等功能。
产品功能规格
日志采集
系统支持对包括网络设备、安全设备与系统、主机、中间件、数据库、存储、应用和服务在内的多种审计数据源的日志采集。
系统支持以SySlog>SNMPTrap、FTP、OPSEC
LEA、NETBlOSODBC、Wl/WinRPC、ShelI脚本、VIP、WebSerViCe等协议进行日志釆集。
日志范式化
系统自动对所有采集到的日志进行范式化处理,对不同日志格式进行统一描述,并进行日志分类,增加日志类型。
日志过滤
系统可以对采集到的日志进行基于规则的过滤处理,去掉无意义的日志,消除日志噪声。
日志归并
系统可以对采集到的日志进行基于规则的归并处理,将相同的日志内容进行合并,并记录事件条数,提升日志质量。
日志采集器
系统提供可另外部署的日志采集器,每个采集器都能对日志进行釆集.范式化、过滤和归并,实现分布式日志釆集。
日志采集器统一接入审计中心,实现集中化日志审计。
日志代理
系统提供可另外部署的日志代理,安装并运行在审计对象±,实现对审计对象的日志釆集和转发。
日志代理统一接入审计中心或者日志釆集器。
审计数据源管理
系统能够对审计数据源以资产的形式进行统一的维护,能够以列表或者拓扑的方式查看资产清单和详细信息,可以查看每个审计数据源的日志和告警信息。
日志实时监视
系统提供了实时审计视图,审计员可以根据内置或者自定义的实时监视策略,从日志的任意维度实时观测安全事件的走向,并可以进行事件调查、钻取,并进行事件行为分析和来源定位。
日志统计分析
系统提供了统讣视图,审计员可以根据内置或者自定义的统计策略,从日志的多个维度实时进行安全事件统讣分析,并以柱图、饼图、堆积图等形式进行可视化的展示。
日志査询
用户可自定义查询策略,基于日志时间、名称、地址、端口、类型等各种条件进行组合查询,并可导出查询结果。
日志关联分析
系统具备日志关联分析功能。
系统提供了可视化的规则编辑器,用户可以定义基于逻辑表达式的关联规则,所有日志字段都可参与关联。
规则支持统计计数功能,可以对达到一定统计数量的日志进行告警。
日志存储
系统将收集来的日志统一安全存储和备份。
系统支持数据的自动或手动备份,备份数据可手工恢复,用作日志回查。
综合展示
系统的综合展示功能为不用层级的用户提供了多视角、多层次的审计仪表板。
用户可以自定义仪表板。
告警管理
系统支持事件属性重定义、弹出提示框、发送邮件、发送SNMPTrap.发送短信、执行命令脚本、设备联动、发送飞鸽传书、发送HSN、发送SySIOg等告警方式。
告警信息可查询,可导入导出。
报表管理
系统内置了丰富的报表报告模板,包括统计报表、明细报表、综合审计报告,审计人员可以根据需要生成不同的报表。
报表可以调度生成。
系统内置报表编辑器,用户可以自定义报表。
用户管理
系统采用基于角色的权限管理机制,提供三权分立设计,内置系统管理员、用户管理员和审计管理员。
系统管理
系统具有丰富的自身配置管理功能,包括自身安全配置、系统运行参数配置、审计资源配置等。
系统具有系统自身运行监控与告警、系统日志记录等功能。
支持审计数据源
口前,LEADSEC-RS支持的部分厂商设备类型如下表所示:
Cisco、Extreme%JUniPer>博科、华为、H3C、神州数码、锐捷
路由器Cisco、Extreme%JUniPer>华为、H3C、神州数码、锐捷
防火墙/UTM/USG
网御星云、Cisco>JUniPerNetSCreen>飞塔、CheCkPOintNNOkiaXBIUeCOatN天融信、东软、方正科技、网御神州、亿阳信通、中科网威、中网、阿姆瑞特、卫士通、H3C、迪普、山石
VPN
网御星云、天融信、ArraysJUniPer
网闸
网御星云、国保金泰、鸿瑞、南瑞
IDS/IPS/IDP
网御星云、Cisco、McAfee、IBM、Snort、TiPPingPoint.绿盟、东软、H3C、天融信、安氏、三零盛安、网御神州、理工先河
防病毒
SymanteCSTrendMiCrO^McAfee、瑞星、金山、江民、冠群金辰
Anti-DDOS
网御星云、绿盟
WAF
启明星辰、InIPerV&、绿盟、中创InfOGUard
负载均衡设备
F5、信安世纪
安全审计系统
启明星辰、复旦光华、汉邦、格尔、中软、三零盛安
操作系
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 星云 日志 审计 系统 产品 白皮书 完整版
![提示](https://static.bdocx.com/images/bang_tan.gif)