安全管理系统方案

安全管理系统方案 4

安全管理系统方案

即使安全防范再严密的网络，也会有可能有破坏性漏洞的存在。根据专业机构提供的报告，大部分网络都面临如下领域的挑战：（1）网络入侵，包括病毒、黑客攻击、间谍软件、垃圾邮件等。

（2）网络规划和配置的调整。为了满足发展需要，网络需要不断添加新的网络设备，并且对这些设备进行调整和配置。

（3）由于网络威胁在不断的变化，与此相对应的会出现不断更新的安全技术。

（4）IT 机构人员配置不足、未经过正式培训、把大部分精力放在了安全防御的位置。

为了解决当前紧迫的网络安全问题，我们需要在网络上确保安全，及时发现问题、跟踪定位问题。现在很多公司采用了防火墙、虚拟专用网（VPN ）、身份验证机制、入侵检测系统（IDS）、入侵防御系统（IPS）和其他技术来保障网络安全，由于蠕虫或者病毒攻击的速度非常快，能够在很短的时间内感染整个网络，所以必须采取足够快的措施制止病毒和攻击，保证网络正常工作。

但是由于现实环境的限制，存在这样的问题。网络安全设备众多，包括防火墙、IPS、VPN 等，他们的报告机制不同，报文

格式不同。各种安全设备没有足够的网络拓扑信息，网络管理员无法及时了解网络攻击信息。网络安全设备可能产生大量的数据信息，网络管理员很难快速有效的处理这些数据。

所以将遇到的问题归纳起来就是：

（1）对实时安全信息不了解，无法及时发出预警信息，并且处理。

（2）各种安全设备是孤立的，无法相互关联，信息共享。

（3）安全事件发生以后，无法及时诊断网络故障的原因，恢复困难。

（4）网络安全专家匮乏，没有足够的人员去监控、分析、解决问题，成本高。

所以方案需要具备以下几个特点：

（1）高性能的安全事件管理

由于业界没有关于安全事件格式的统一标准，因此不同厂商、不同设备提供安全事件的方式及信息格式差异很大。安全管理中心需要兼容主流厂商多种设备的日志格式，其中包括防火墙、IPS、IDS 、路由器、交换机、VPN 设备、内容过滤系统、防病毒系统、防间谍软件系统、防垃圾邮件系统和Windows/Unix 和Linux 主机等。

而且，由于网络中一系列的设备的海量事件，安全管理中心必须具有高速处理能力和海量数据存储功能；在大数据量情况下（如每天几十GB ）仍能够存储几个月甚至几年的日志信息。同时还能自动压缩、加密和保存日志文件到DAS 、NAS 或SAN 等外部存储系统，避免了重要安全事件的丢失。

（2）深入的事件分析关联能力

面对网络中的海量事件，关键事件很容易被淹没。安全管理中心

必须具有如下功能：对全网日志集中采集监控，将离散的数据进行整合、排序，并可根据预定义或用户自定义的关联告警模板，过滤掉重复信息及非关注信息，实现信息降噪，以精简数据量。通过关联告警，管理者可以从上百种不同网络设备中查看关联事件，快速发现真正的安全隐患，做出重点处理。

（3）信息丰富直观的安全拓扑

安全管理中心需要实现将安全资源、网络资源、用户资源相结合的综合安全管理，可生成宏观安全拓扑视图及单个攻击事件的攻击路径，并可将安全事件定位到具体的交换机端口及攻击源用户，管理员还可在安全拓扑上可查看交换机的ARP 表、MAC

表信息、安全事件详细信息，安全拓扑旨在提供丰富直观的安全及网络信息供管理员定位排差问题。（4）集中响应控制管理

安全管理中心需要实现安全事件管理系统与事故响应管理系统的紧密集成，事件管理中心完成了海量事件采集、关联、汇聚后，筛选出危害严重的安全事件，管理者可结合安全拓扑功能中的详细攻击信息、定位信息、设备ARP 表信息、用户信息等综合信息进行定位排差，在响应管理中心对保护网段、执行动作、手动执行、自动执行等联动策略进行配置，通过响应管理功能方

便及时完成交换机端口关闭、用户阻断、黑

名单管理、用户在线提醒等响应操作，并可对响应操作进行日志记录，便于日后查证。安全事件管理系统与事故响应管理系统的结合为管理者提供了一个强大的解决方案，用户不必在每次发现安全事故的同时都需要逐个对交换机端口进行手工插拔或抓包测试定位安全事故发生的原因及位置，通过安全管理中心可轻松监控、查询重要事件进而对已发