华为 Agile Controller 安全协防技术白皮书

Agile Controller安全协防

技术白皮书

XXX Technical White Paper

(仅供内部使用）

For internal use only

(Title must be in both Chinese and English to facilitate English speaking users' search为方便英语用户检索，此处必须提供中英文版)

拟制:

Prepared by

日期：

Date

审核:

Reviewed by

日期：

Date

审核:

Reviewed by

日期：

Date

批准:

Granted by

日期：

Date

华为技术有限公司

Huawei Technologies Co., Ltd.

版权所有侵权必究

All rights reserved

修订记录Revision record

目录

1技术背景 (5)

2概念及原理 (5)

2.1概念介绍 (5)

2.1.1全网安全态势 (5)

2.1.2事件关联分析 (5)

2.1.3日志专用数据库 (6)

2.2工作原理 (6)

2.2.1系统体系结构 (6)

2.2.2数据采集原理 (6)

2.2.3关联分析原理 (6)

2.2.4威胁评估原理 (6)

3业务功能 (7)

3.1数据采集 (7)

3.1.1采集方式 (7)

3.1.2采集设备类型 (7)

3.2关联分析 (7)

3.2.1基本统计关联 (7)

3.2.2多规则嵌套关联 (7)

3.2.3关联规则模板 (8)

3.2.4关联规则结构 (8)

3.2.5关联规则构建器 (8)

3.3安全态势展示 (8)

3.3.1区域管理 (8)

3.3.2资产组管理 (8)

3.3.3资产管理 (8)

3.3.4资产威胁 (8)

3.3.5安全事件 (9)

3.3.6全网安全态势 (9)

3.4安全事件联动 (9)

4应用实施 (9)

4.1集中式组网模式 (10)

4.2分布式组网模式 (10)

5参考文档 (11)

Agile Controller 安全协防技术白皮书Agile Controller Security Cooperation Technical White Paper

Key words 关键词：日志，关联分析，安全态势，策略联动

Abstract 摘要：本文介绍了Agile Controller安全协防的应用背景，描述了安全协防技术的实现与运行机制，并简单介绍了安全协防技术在实际环境中的应用

缩略语清单List of abbreviations：

安全协防技术白皮书

1 技术背景

随着网络技术的迅速发展和信息化进程的逐步推进，IT系统越来越多地应用于企业园区的业务中，网络的安全性已经成为企业信息化建设关注的重点问题。为了保障企业网络和数据的安全，企业和组织一般都在自己的信息网络中部署了防火墙、防病毒、入侵检测、行为审计等安全系统，但是随着各项安全管理工作的深入开展，也暴露出了一些问题，体现在如下几个方面：

●信息安全孤岛

因为信息安全的需求，企业一般都在网络中部署了各种安全防护系统，如防火墙、防病毒、入侵检测、行为审计等专业的安全产品，这些专业的安全系统在各自关注领域对企业的信息系统进行了一定程度的安全防护，使企业的网络安全得到了一定程度的加强。但是，这些安全系统相对独立的部署方式使各个系统单独管理，在信息层面缺少沟通和共享，各自为政，导致各安全系统之间形成了信息安全孤岛，降低了系统的整体运维效率，延长了安全事件的发现和响应时间。

●海量事件困扰

企业IT系统在运行的过程中，各种安全系统每天可能产生数以百万计的事件，淹没了真实的安全信息，实际在这些海量事件中，真正需要用户关注和处理的严重威胁可能只有几条。而且，海量的事件数据给安全管理带来严重的困扰，并存在一定的误报和漏报，导致企业安全管理人员不能及时发现和处理真正的安全问题。

●全网威胁难以监控

对于一些企业和组织，信息网络中有大量的资产，每天对不同的资产都可能产生一些事件，这些安全事件对于不同的资产可能造成不同的威胁，但是由于安全系统缺少量化的指标动态反映全网、区域和资产的威胁情况，安全管理员不能直观清晰地了解威胁对资产和全网的影响情况，不能有效聚焦和迅速定位存在严重问题的区域及受严重安全威胁影响的关键资产。同时，安全管理员对于安全事件的处理和解决情况无法衡量，对于解决问题后全网和资产的威胁情况动态变化也不能有效监控。

上述各项聚焦的问题无法用传统的安全管理系统有效解决，企业IT系统迫切需要能让安全孤岛产生协同效应、能有效从海量事件发现问题并提供全网安全态势的安全管理平台，于是安全协防系统在这种场景下应运而生。

2 概念及原理

2.1 概念介绍

2.1.1 全网安全态势

全网安全态势是指整个网络的安全现状和威胁情况，安全态势包括攻击链路、威胁事件总数、高危资产排行和实时事件列表等信息。安全协防系统通过威胁地图直观地展示了攻击链路，并通过量化的威胁度指标和不同颜色清晰明确地呈现了区域和资产组的威胁影响程度。

2.1.2 事件关联分析

事件关联分析是指如果两个或多个事件之间存在一定的关联，那么其中一个事件就能通过其他事件进行预测，它的目的是为了挖掘隐藏在事件间的相互关系，分析异常操作行为，以便发现仅从分析单个事件难以发现的安全问题，常用的有顺序关联、事件关联、基本逻辑关联、组合关联等分析方法。

2.1.3 日志专用数据库

日志的特点就是它的内容是文本，每条日志比较小，平均在300个字节左右，每秒条数比较多，根据网络规模有所不同，少的几百，大的上万。对日志的应用，主要是存储、分析、查询和审计。要获得较好的性价比，采用传统的关系数据库难以满足需求。

因此，日志专用数据库诞生了，它既能存储非关系的日志数据，又能满足关联分析用的结构化需要，还能进行日志的全文检索。日志全文检索是日志中的所有文本与检索项匹配的文字资料检索方法。它是按照全文检索理论建立起来的用于提供全文检索服务的软件系统。

2.2 工作原理

2.2.1 系统体系结构

2.2.2 数据采集原理

数据采集的日志源可以分为主动日志源和被动日志源，所谓主动日志源就是那些主动向安管平台发送日志的设备或系统；被动事件源指那些生成日志后存储在本地，需要安管平台自己去取的设备或系统。

数据采集将收集的日志分成两个流程进行处理，第一个流程是已原始文本的形式直接放到消息总线上，存储管理将原始日志进行Hash运算，然后存为log文件，以便满足法规对原始日志审计的要求；另一个流程就是对原始日志进行格式化处理，然后放到总线上，以便进行关联分析和安全态势展示。

2.2.3 关联分析原理

关联分析的数据源是数据采集格式化后的日志，关联分析组件直接从消息总线上获取格式化后的日志装入内存，并根据定义的关联规则进行实时分析，然后将满足关联规则条件的日志保存在专用的日志数据库中，同时通过告警的方式在安全事件列表页面呈现。对于配置响应方式的关联规则，关联分析产生日志后可以与设备联动进行IP阻断和引流。

2.2.4 威胁评估原理

根据资产重要性、事件级别、事件次数和事件处理状态等要素进行加权计算，得到资产/资产组/区域/全网的威胁度和威胁等级，并动态更新态势感知地图中区域/资产组的威胁度和威胁等级。管理员可以通过量化的威胁度指标，清晰直观地了解当前网络中的安全状况。

3 业务功能

3.1 数据采集

安全协防组件通过独特的架构设计，能够高效的收集和保护数据，在组成形式上数据采集层可以由多种形式的采集功能组件组合构成，支持分布式的采集处理架构；支持代理、无代理等多种采集方式。

3.1.1 采集方式

支持对各类安全对象的标准接口协议的适配，实现对包括安全对象的状态、安全事件、系统日志等数据的采集。数据采集层支持主流采集协议或接口方式，包括：

●Syslog：采集Unix，支持Syslog协议的防火墙、路由器、交换机、防病毒和IDS等系统或

设备；

●SNMP：采集支持SNMP协议的防火墙、路由器、交换机、防病毒、终端补丁、IDS和应

用系统等系统或设备；

●FTP/SFTP：采集开放FTP下载服务的应用系统的日志文件，例如Apache的日志文件；

●ODBC/JDBC：采集存储到于关系型数据库的应用系统日志；

●通用文件：支持基于文件的日志采集，如通过NFS或SMB等获得日志文件的方式，并能

够通过模板配置完成日志记录的格式化；

●专用日志采集接口：对仅支持专用管理接口的系统，能够支持多种专用API采集接口和

通用的采集调度能力，例如脆弱性扫描系统的API或接口XML文件、Windows的WMI；

3.1.2 采集设备类型

●支持业界通用设备类型160类以上

●提供每一类设备的详细采集配置说明文档。

3.2 关联分析

3.2.1 基本统计关联

●关联每一个指定类型事件；

●多长时间范围内无指定类型事件发生；

●多长时间范围内发生的指定类型事件数量达到指定阀值；

3.2.2 多规则嵌套关联

●支持or、and、follow by等多种嵌套关联逻辑关系

●支持嵌套关联事件范围设定

●嵌套关联层数无限制

3.2.3 关联规则模板

系统预置11个关联规则，用户可参考缺省关联规则模板，自己定制新的关联规则

3.2.4 关联规则结构

在关联规则配置过程，及配置完成后的规则显示界面上，可清晰明了的看到关联规则项的5要素：关联嵌套关系、嵌套关联缓冲值、事件阀值、过滤匹配条件、采集设备源。

3.2.5 关联规则构建器

图形化的规则构建器是一项强大的功能，可以简化整个规则定义流程，操作人员不需要了解关联规则脚本编写语言或系统内部事件分类法也可以建立事件关联规则。

3.3 安全态势展示

3.3.1 区域管理

支持创建、删除、修改和查询区域，其中删除功能支持批量删除。

区域包含名称、描述和IP范围等信息，其中IP范围可以包含多个IP段。

3.3.2 资产组管理

支持创建、删除、修改、导入和查询资产组，其中删除功能支持批量删除。

资产组包含名称、描述和区域等信息，其中区域只能从系统存在的区域列表中选择。

3.3.3 资产管理

支持创建、删除、修改和查询资产，其中：删除功能支持批量删除，导入功能支持从CSV文件中批量导入。

资产包含名称、描述、资产IP地址、编码、型号、资产类型、资产价值、区域、资产组、资产负责人、生产厂商和位置信息等，其中区域和资产组必须是系统中已经存在的。

3.3.4 资产威胁

支持查看资产威胁度列表，列表中显示资产名称、资产IP地址、威胁度、资产价值、区域、资产组和资产负责人等信息，可以按照威胁度进行升序和降序排序。

支持对安全威胁的简单查询和高级查询，其中：简单查询可根据资产名称查询；高级查询支持资产名称、威胁度范围、资产IP地址、资产责任人、区域、资产组和资产价值等条件。

资产威胁导出方式支持导出全部和导出选择内容，导出文件保存成xls。

3.3.5 安全事件

支持查看系统的安全事件列表，列表中显示事件级别、事件名称、发生时间、大类、小类、威胁源IP地址、受威胁资产、资产责任人、区域、资产组和状态等信息，可以按照发生时间进行排序。

支持对安全事件的简单查询和高级查询，其中：简单查询可根据事件级别查询；高级查询支持事件级别、事件名称、发生时间、大类、小类、威胁源IP地址、受威胁资产、区域、资产组和状态等条件。

支持选择指定的安全事件查看该事件详情，事件详情包括了基本信息（事件级别、事件名称、资产责任人、发生时间、大类、小类、威胁源IP地址、受威胁资产、区域、资产组、解决人、状态）、处理建议和原始事件列表（事件名称、事件源IP地址、源IP地址、目的IP 地址和时间）。

安全事件导出方式支持导出全部和只导出选择的事件，导出文件保存成xls。

支持选择单条或者多条安全事件执行解决操作，从而修改安全事件的状态。

3.3.6 全网安全态势

支持在拓扑中展示全网安全态势，可以查看区域和全网的威胁度，可以在拓扑中查看攻击链路和事件统计信息。

支持显示全网和区域威胁度TOP 10资产，便于管理员快速定位需要关注的高危资产。

支持实时显示最近10条为解决事件列表，事件信息包括事件级别、事件名称、发生时间、威胁源IP地址、受威胁资产、资产责任人、区域、资产组、解决人、大类、小类和状态等，并支持对事件的批量解决操作和查看事件详细信息。

支持在拓扑界面中拖动区域和资产组，并可以保存拓扑位置。

3.4 安全事件联动

支持通过告警/邮件/短信及时将新发生的安全事件通知给管理员。

支持与设备联动对有问题的源IP进行阻断。

支持与设备联动将源IP的可疑流量引流到清洗设备执行清洗。

4 应用实施

安全协防可以采用灵活的数据采集部署方式，在不改变客户现有的网络结构，通过Syslog、SNMP、WMI、ODBC、JDBC等多种接口进行信息采集。运维人员可以通过安全协防系统，进行操作与管理，并了解全网安全态势。

4.1 集中式组网模式

此方案一般部署在客户网络部署比较集中的场景，比如大型数据中心。通常满足下列条件，建议采用此方案：

●全网处理能力要求5000EPS以内。

●分支机构处理能力比较小。

4.2 分布式组网模式

此方案比较适合网络规模大，分支机构比较多的大型企业或者事业单位。通常满足下列条件，建议采用此方案：

●全网处理能力要求大于5000EPS。

●分支机构处理能力要求大于2500EPS。

说明：

根据客户实际需求和网络状况，可以灵活选择部署方式；高可靠特性为可选特性；日志采集机和关联分析机根据客户网络规模可选部署。

5 参考文档

1 《Huawei Agile Controller V1R1C00 产品描述 V1.0》