[發(fā)明專利]一種能夠進(jìn)行協(xié)同分析的安全管理中心

在審

• 申請(qǐng)?zhí)枺?/td>: 201410606673.1
• 申請(qǐng)日: 2014-10-30
• 公開（公告）號(hào): CN104378365A
• 公開（公告）日: 2015-02-25
• 發(fā)明（設(shè)計(jì)）人: 王偉;岳強(qiáng)
• 申請(qǐng)（專利權(quán)）人: 廣東電子工業(yè)研究院有限公司
• 主分類號(hào): H04L29/06
• 分類號(hào): H04L29/06
• 代理公司: 廣東莞信律師事務(wù)所 44332
• 代理人: 余倫

1.一種能夠進(jìn)行協(xié)同分析的安全管理中心，其特征在于：所述的安全管理中心包括安全事件管理模塊、安全業(yè)務(wù)模塊、控制中心、安全策略庫(kù)、日志數(shù)據(jù)庫(kù)、網(wǎng)間協(xié)作模塊；

所述的安全事件管理模塊包括安全事件收集子模塊、安全事件預(yù)處理子模塊和安全事件分析子模塊；安全事件收集子模塊能夠通過多種方式收集各類信息安全設(shè)備發(fā)送的安全事件信息，收集方式包含以下幾種：(1)基于SNMP?Trap和Syslog方式收集事件；(2)通過ODBC數(shù)據(jù)庫(kù)接口獲取設(shè)備在各種數(shù)據(jù)庫(kù)中的安全相關(guān)信息；(4)通過OPSec接口接收事件；收集安全事件信息，發(fā)送到安全事件預(yù)處理模塊進(jìn)行處理；所述的安全事件預(yù)處理模塊對(duì)信息進(jìn)行標(biāo)準(zhǔn)化、過濾、歸并處理；所述的安全事件分析子模塊對(duì)安全事件預(yù)處理模塊發(fā)送過來的信息進(jìn)行關(guān)聯(lián)分析、事件告警處理；

所述的安全策略庫(kù)，主要功能是傳遞各類安全管理信息，同時(shí)將處理過的安全事件方法和方案收集起來，形成安全共享知識(shí)庫(kù)，為培養(yǎng)高素質(zhì)網(wǎng)絡(luò)安全技術(shù)人員提供培訓(xùn)資源；信息內(nèi)容包括安全管理信息、風(fēng)險(xiǎn)評(píng)估信息、網(wǎng)絡(luò)安全預(yù)警信息、網(wǎng)絡(luò)安全策略以及安全案例庫(kù)等安全信息；

所述的安全日志庫(kù)主要功能是存儲(chǔ)事件管理模塊中收集的安全日志。可采用Oracle、DB2、SQLServer等主流的關(guān)系性數(shù)據(jù)庫(kù)實(shí)現(xiàn)；

所述的安全業(yè)務(wù)模塊包括拓?fù)涔芾碜幽K、安全風(fēng)險(xiǎn)評(píng)估子模塊，所述的拓?fù)涔芾碜幽K可以：1)通過網(wǎng)絡(luò)嗅探自動(dòng)發(fā)現(xiàn)加入網(wǎng)絡(luò)中的設(shè)備及其連接，獲取最初的資產(chǎn)信息；(2)對(duì)網(wǎng)絡(luò)拓?fù)溥M(jìn)行監(jiān)控，監(jiān)控節(jié)點(diǎn)運(yùn)行狀態(tài)；(3)識(shí)別新加入和退出節(jié)點(diǎn)；(4)改變網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)；所述的安全風(fēng)險(xiǎn)評(píng)估子模塊將信息系統(tǒng)安全風(fēng)險(xiǎn)分為五個(gè)等級(jí)，從低到高分別為：微風(fēng)險(xiǎn)、一般風(fēng)險(xiǎn)、中等風(fēng)險(xiǎn)、高風(fēng)險(xiǎn)和極高風(fēng)險(xiǎn)；

所述的控制中心模塊負(fù)責(zé)管理全網(wǎng)的安全策略，進(jìn)行配置管理，對(duì)全網(wǎng)資產(chǎn)進(jìn)行統(tǒng)一配置和策略統(tǒng)一下發(fā)，并不斷進(jìn)行優(yōu)化調(diào)整；提供全網(wǎng)安全威脅和事故的集中處理服務(wù)，事件的響應(yīng)可通過各系統(tǒng)的聯(lián)動(dòng)、向第三方提供事件信息傳遞接口、輸出任務(wù)工單等方式實(shí)現(xiàn)；對(duì)于確認(rèn)的安全事件可以通過自動(dòng)響應(yīng)機(jī)制，一方面給出如控制臺(tái)顯示、郵件、短信等多種告警方式，另一方面通過安全聯(lián)動(dòng)機(jī)制如路由器遠(yuǎn)程控制、交換機(jī)遠(yuǎn)程控制等阻止攻擊；各系統(tǒng)之間聯(lián)動(dòng)通過集合防火墻、入侵監(jiān)測(cè)、防病毒系統(tǒng)、掃描器的綜合信息，通過自動(dòng)調(diào)整安全管理中心內(nèi)各安全產(chǎn)品的安全策略，以減弱或者消除安全事件的影響；

所述的網(wǎng)間協(xié)作模塊主要功能是：根據(jù)結(jié)合自身的工作任務(wù)，判定是否需要其它安全管理中心的協(xié)同；若需要進(jìn)行協(xié)同，則與其它安全管理中心之間進(jìn)行通信，傳輸相關(guān)數(shù)據(jù)，請(qǐng)求它們協(xié)助自己完成安全威脅確認(rèn)等任務(wù)；

安全管理中心利用安全事件管理模塊的分析結(jié)果，完成資產(chǎn)的信息安全風(fēng)險(xiǎn)計(jì)算工作，進(jìn)行定損分析，并自動(dòng)觸發(fā)任務(wù)單和響應(yīng)來降低資產(chǎn)風(fēng)險(xiǎn)，達(dá)到管理和控制風(fēng)險(xiǎn)的效果。

2.根據(jù)權(quán)利要求1所述的的安全管理中心，其特征在于：所述的的安全事件預(yù)處理模塊對(duì)信息進(jìn)行標(biāo)準(zhǔn)化是將外部設(shè)備的日志統(tǒng)一格式；過濾是在標(biāo)準(zhǔn)化步驟后，自定義事件名稱、內(nèi)容、產(chǎn)生事件設(shè)備IP/MAC等具有特別屬性的不關(guān)心的安全事件進(jìn)行丟棄或特別關(guān)注的安全事件進(jìn)行特別標(biāo)記；歸并是針對(duì)大量相同屬性事件進(jìn)行合并整理。

3.根據(jù)權(quán)利要求1或2所述的的安全管理中心，其特征在于：所述的安全事件分析子模塊的關(guān)聯(lián)分析是通過內(nèi)置的安全規(guī)則庫(kù)，將原本孤立的實(shí)時(shí)事件進(jìn)行縱向時(shí)間軸與歷史事件比對(duì)和橫向?qū)傩暂S與其他安全事件比對(duì)，識(shí)別威脅事件；包括相關(guān)性分析、結(jié)構(gòu)化分析、入侵路徑分析、行為分析；事件告警是通過上述過程產(chǎn)生的告警信息通過XML格式進(jìn)行安全信息標(biāo)準(zhǔn)化、規(guī)范化，告警信息集中存儲(chǔ)于日志數(shù)據(jù)庫(kù)，能夠滿足容納長(zhǎng)時(shí)間信息存儲(chǔ)的需求。