极地日志审计系统技术白皮书
极地日志审计系统技术
白皮书
Document number：WTWYT-WYWY-BTGTT-YTTYU-2018GT
极地综合日志审计系统
技术白皮书
北京市海淀区上地安宁庄西路9号金泰富地大厦8层
电话：010-
传真：010-
客服：400-01234-18
邮编：100085
网站：
目录
1前言
《极地日志审计系统使用手册》介绍了网络管理系统的操作及使用，涉及如何配置网络管理系统服务器、如何使用WEB控制台对网络设备、安全设备、主机设备、数据库、中间件、服务、链路性能、设备配置以及机房环境进行集中管理。
本手册涵盖了极地日志审计系统的全部功能的使用说明。根据用户购买的产品模块的不同，实际的操作界面可能会与本手册的描述存在差异，请以最终购买的产品模块及其界面为准。
1.1适用对象
本系统适用于系统管理员、企业网络运行维护人员及网络管理的技术支持人员。
1.2适合产品
本手册适合极地日志审计系统。
1.3技术支持
公司主页，透过网站主页为用户及合作伙伴提供技术支持，可在任何地方，任何时间获取实时的网络安全解决方案、安全信息和各种安全资料，并提供远程的产品咨询服务。
2极地日志审计系统
当今的企业和组织在IT信息安全领域面临比以往更为复杂的局面。这既有来自于企业和组织外部的层出不穷的入侵和攻击，也有来自于企业和组织内部的违规和泄漏。
为了不断应对新的安全挑战，企业和组织先后部署了防病毒系统、防火墙、入侵检测系统、漏洞扫描系统、UTM，等等。这些安全系统都仅仅防堵来自某个方面的安全威胁，形成了一个个安全防御孤岛，无法产生协同效应。更为严重地，这些复杂的IT资源及其安全防御设施在运行过程中不断产生大量的安全日志和事件，安全管理人员面对这些数量巨大、彼此割裂的安全信息，操作着各种产品自身的控制台界面和告警窗口，显得束手无策，工作效率极低，难以发现真正的安全隐患。
另一方面，企业和组织日益迫切的信息系统审计和内控、以及不断增强的业务持续性需求，也对当前日志审计提出了严峻的挑战。下表简要列举了部分相关法律法规对于日志审计的要求：
尤其是国家信息系统等级保护制度的出台，明确要求二级以上的信息系统必须对网络、主机和应用进行安全审计。
综上所述，企业和组织迫切需要一个全面的、面向企业和组织IT资源（信息系统保护环境）的、集中的安全审计平台及其系统，这个系统能够收集来自企业和组织IT资源中各种设备和应用的安全日志，并进行存储、监控、审计、分析、报警、响应和报告。
JLAS借助在安全领域的长期积累，结合中国信息安全领域的特殊性，自主研制出了面向中国客户的安全日志审计平台——极地日志审计系统，真正满足了客户的安全审计需求。
极地日志审计系统作为一个统一日志监控与审计平台，能够实时不间断地将企业和组织中来自不同厂商的安全设备、网络设备、主机、操作系统、数据库系统、用户业务系统的日志、警报等信息汇集到审计中心，实现全网综合安全审计。如果客户网络中重要网络和业务系统无法产生日志，极地日志审计系统也能够通过部署硬件采集引擎的方式主动侦测网络中的协议通讯，并转化为日志，汇集到审计中心。
极地日志审计系统能够实时地对采集到的不同类型的信息进行归一化分析，通过统一的控制台界面进行实时、可视化的呈现，协助安全管理人员迅速
准确地识别安全事故，消除了管理员在多个控制台之间来回切换的烦恼，同时提高工作效率。
极地日志审计系统能够实时采集数据流，对一段时间内的网络流量或者网络连接数进行统计，并描绘趋势曲线。通过对某个IP地址的流量趋势分析获悉该IP地址的访问流量模型，进而对异常流量和行为进行审计。
对于集中存储起来的海量信息，极地日志审计系统可以让审计人员借助历史分析工具对日志进行深度挖掘、调查取证、证据保全。
极地日志审计系统能够自动地或者在管理员人工干预的情况下对审计告警进行各种响应，并与包括各种类型的交换机、路由器、防火墙、IDS、主机系统等在内的众多第三方设备和系统进行预定义的策略联动，实现安全审计的管理闭环。
极地日志审计系统为客户提供了丰富的报表模板，使得用户能够从各个角度对企业和组织的安全状况进行审计，并自动、定期地产生报表。用户也能够自定义报表。
3产品特点
极地日志审计系统（JLAS）系统的主要特点包括以下十个方面：
1)统一日志监控
2)全面的日志采集手段
3)丰富的日志类型支持
4)灵活的部署模式
5)遵照合规性要求的日志审计
6)日志归一化分析
7)高性能日志采集分析和海量存储
8)安全事故追溯
9)可视化日志分析
10)快速响应和协同防御
3.1统一日志监控
极地日志审计系统将企业和组织的IT资源环境中部署的各类网络或安全设备、安全系统、主机操作系统、数据库以及各种应用系统的日志、事件、告警全部汇集起来，使得用户通过单一的管理控制台对IT环境的安全信息（日志）进行统一监控。
统一安全监控给客户带来的直接收益就是态势感知。通过态势感知，客户实现对全网综合安全的总体把控。态势感知的核心客户体验是JLAS特有的安全仪表盘：每个频道包括多个监控窗口，可以显示多方面的安全信息，窗口可以缩放、可以移动换位、可以更换布局、可以调台，显示管理员想看的内容。极地日志审计系统提供丰富的频道切换器，用户可以在不同的频道间切换。同时，用户也可以自定义频道。
态势感知不是简单的信息堆积和罗列，这些信息是统一收集并归一化之后的信息，是用一种共同语言表达出来的。否则的话，不同的事件用各自的语言表达出来，意思各不相同，用户就会陷入管理的泥沼。
借助极地日志审计系统的统一日志监控，用户不必时常在多个控制台软件之间来回切换、浪费宝贵的时间。与此同时，由于企业和组织的所有安全信息都汇聚到一起，使得用户可以全面掌控IT环境的安全状况，对安全威胁做出更加全面、准确的判断。
借助极地日志审计系统，用户可以进行细致深入的安全日志查询、分析、审计，出具各种审计报表报告。
3.2全面的日志采集手段
极地日志审计系统能够通过多种方式全面采集网络中各种设备、应用和系统的日志信息，确保用户能够收集并审计所有必需的日志信息，避免出现审计漏洞。同时，极地日志审计系统尽可能地使用被审计节点自身具备的日志外发协议，尽量不在被审计节点上安装任何代理，保障被审计节点的完整性，使得对被审计节点的影响最小化。
极地日志审计系统支持通过Syslog、SNMP、、ODBC/JDBC、内部私有TCP/ UDP等网络协议进行日志采集。
针对能够产生日志，但是无法通过网络协议发送给极地日志审计系统的情形，系统为用户提供一个软件的通用采集引擎。该采集引擎能够自动将指定的日志（文件或者数据库记录）发送到审计中心。例如，针对Windows操作系统日志、Norton的防病毒日志，等等。
如果客户网络中无法采集日志，则可以在网络中部署一个硬件采集引擎设备主动的收集网络中的通讯信息，转化为日志，并传送给极地日志审计系统。例如，该硬件采集引擎可以旁路部署在数据库系统所在的交换机旁边，侦听并分析数据库访问操作的指令，并转化为操作日志送到极地日志审计系统审计中心。
可见，极地日志审计系统中的日志已经超越了传统日志的概念，真正实现了对全网IT资源的日志产生、收集、分析和审计。
3.3丰富的日志类型支持
极地日志审计系统能够对企业和组织的IT资源中构成业务信息系统的各种网络设备、安全设备、安全系统、主机操作系统、数据库以及各种应用系统的日志、事件、告警等安全信息进行全面的审计。
目前，极地日志审计系统能够审计的日志类型和内容如下表所示1：
3.4灵活的部署模式
极地日志审计系统的部署方式十分灵活，对网络环境的适应性极强，既能够支持单一的中小型网络，也支持跨区域、分级分层、物理/逻辑隔离的大规模网络。
极地日志审计系统产品分为软件形态和硬件形态两种，用户可以根据自身需要选择。
针对单一的网络，用户既可以购买软件版，也可以购买硬件版，只需要将系统以单一部署的模式安放在任何网络可达的位置即可，无需更改现有网络的任何拓扑结构。系统安装上线后，将网络中设备、应用和系统的日志发送目标地址指向审计中心即可。
针对物理/逻辑隔离的网络环境，用户可以选购具有多端口采集功能的极地日志审计系统硬件型产品。例如，针对电子政务网络中典型的内外网隔离的情况，极地日志审计系统支持两个日志采集端口，分别采集内网和外网的日志信息，并借助权限管理功能，分别进行内网和外网的日志审计。
针对跨区域、分级分层的大规模网络，极地日志审计系统支持主从式部署模式。首先，在不同的物理节点上部署多套极地日志审计系统系统；然后，借助极地日志审计系统内置的级联功能，可以实现一对多的主从式连接，即多个
从极地日志审计系统系统将指定的日志和告警汇集到主极地日志审计系统系统。通过主从式部署，实现了大规模网络尤其是跨广域网环境下的日志综合审计。
最后，极地日志审计系统还支持混合部署模式。如果客户网络中无法采集日志，则可以在网络中部署一个硬件采集引擎主动收集网络中的通讯信息，转化为日志，并传送给极地日志审计系统。例如，该采集引擎采用旁路部署的方式放置在数据库系统所在的交换机旁边，侦听并分析数据库访问操作的指令，并转化为操作日志送到极地日志审计系统管理中心。
3.5遵照合规性要求的日志审计
信息系统审计2是企业和组织IT内控过程中最关键的环节。信息系统审计通过对关键控制点的符合性测试来判断IT内控的目标及其控制措施是否有效。
为了建立健全内控体系，国家、行业都颁布了一系列的法律法规，从美国的SOX方案，到国内针对电子政务、央企、银行、证券、基金、保险、上市公司的信息系统风险保障和内控的指引、条例和文件，以及最新颁布的《企业内部控制规范基本规范》。所有这些法律法规都直接或者间接的指出了要将日志审计作为信息系统审计的基本技术手段。此外，《信息系统安全等级化保护基本要求》也对安全审计、尤其是日志审计做出了明确的要求：
《企业内部控制基本规范》的第四十一条要求“企业应当加强对信息系统的开发与维护、访问与变更、数据输入与输出、文件存储与保管、网络安全等方面的控制，保证信息系统安全稳定运行。”
《商业银行内部控制指引》的第一百二十六条要求“商业银行的网络设备、操作系统、数据库系统、应用程序等均当设置必要的日志。日志应当能够满足各类内部和外部审计的需要”。
《银行业信息科技风险管理指引》第二十一条明确要求商业银行信息科技部门要“定期向信息科技管理委员会提交本银行信息安全评估报告”，“信息安全策略的制定应涉及合规性管理领域”。第二十七条指出“银行业应制定相关策略和流程，管理所有生产系统的日志，以支持有效的审核、安全取证分析和预防欺诈。”
《证券公司内部控制指引》第一百一十七条要求“证券公司应保证信息系统日志的完备性，确保所有重大修改被完整地记录，确保开启审计留痕功能。证券公司信息系统日志应至少保存15年”。
《信息系统等级化保护基本要求》的技术要求中，从第二级开始，针对网络安全、主机安全、应用安全都有明确的安全审计控制点。在管理要求中，“安全事件处置”控制点从第二级开始要求对日志和告警事件进行存储；从第三级开始提出了“监控管理与安全管理中心”的控制点要求。
大量的审计实践表明，日志审计是信息系统审计最基本而且必要的技术手段，也是投入产出比最高的方式。极地日志审计系统特有的基于规则的审计引擎能够为各个行业客户制定出与上述要求相一致的实时/历史审计场景。
极地日志审计系统收集企业和组织中的所有安全日志和告警信息，通过归一化分析引擎，协助用户准确、快速地识别安全事故，从而及时做出响应。
日志归一化是极地日志审计系统区别于传统安全日志审计系统的关键特征。极地日志审计系统将异构的日志变成系统可识别的统一的日志，屏蔽了不同厂商以及不同类型的产品之间的日志差异，使得日志归一化分析成为可能；而传统的日志审计系统仅针对原始日志的时间、源/目的IP地址等信息进行简单分解，其他主要内容则原封不动，全部存储在数据库中，仅仅提供普通的日志查询功能。
更加地，极地日志审计系统在进行日志归一化的同时，还保留了原始日志记录，便于将来进行具有司法证据效力的调查取证分析。
3.7高性能日志采集分析与海量存储
极地日志审计系统可以将采集来的所有日志、事件和告警信息统一存储起来，建立一个企业和组织的集中日志存储系统，实现了国家标准和法律法规中对于日志存储的强制性要求，降低了日志分散存储的管理成本，提高了日志管理的可靠性，消除了本地日志存储情况下可能被抹掉的危险，也为日后出现安全事故的时候增加了一个追查取证的信息来源和依据。
极地日志审计系统在进行数据管理的时候，对数据存储算法进行了充分优化。
极地日志审计系统提供多种日志存储策略，能够方便地进行日志备份和恢复。
事件可视化是指极地日志审计系统以图形化的方式将归一化后的事件形象展示出来的过程。
3.9快速响应
极地日志审计系统在识别出安全事故后，能够自动或者用户手工的对威胁进行响应，采取安全对策，从而形成安全审计的闭环。
极地日志审计系统由于可以综合分析来自防火墙、IDS、系统日志、网络等等一系列的信息，因而能够更为精确地定位安全威胁，使得实时自动阻止攻击变得更加可行。
在发生告警后，极地日志审计系统可以通过电子邮件、SNMP Trap等方式对外发出通告；能够执行预定义命令行程序，并将事件属性作为参数传递给该命令行程序。
极地日志审计系统可通过与网络设备或安全设备共同协作来关闭威胁通信，以阻止正在进行的攻击。极地日志审计系统可以与众多第三方网络设备、安全设备进行联动。例如，在发现攻击后，阻断网络交换机的端口，或者更改防火墙和入侵检测系统的安全规则，阻止攻击的扩散和恶化。极地日志审计系统支持与市场上大部分安全设备和网络设备之间的策略联动。
极地日志审计系统的响应方式包括带内响应和带外响应两种。前面提到的是带内响应，即依靠现有的网络基础设施进行响应。带外响应则可以在网络已经出现运行中断的情况下发出重要的安全事件，及时提醒管理员，使得管理员通过收到的告警进行分析和快速响应。
4产品简介
4.1产品组成
极地日志审计系统产品包括管理（审计）中心和可选的采集引擎两个部分。产品采用B/S架构，管理员无需安装任何客户端软件，通过IE浏览器登录管理中心即可进行各种操作。其中，管理中心包括硬件和软件两种形态供用户选择。具体请与公司销售人员联系。
4.2功能列表
4.3部署方式
4.3.1单一部署
极地日志审计系统可应用于各种大中小型企事业单位和机构，其办公地点可能分布在许多地方，他们的业务系统需要跨越不同的局域网段来部署。典型的，将极地日志审计系统管理中心服务器放置在网管中心或者安全中心，然后对被审计对象进行必要的配置，使得他们的日志信息能够发送到管理中心。管理员通过浏览器可以从任何位置登录管理中心服务器，进行各项操作。特别地，借助极地日志审计系统硬件型产品独有的多端口采集技术，系统支持同时采集多个不同网段的日志信息。这种部署方式适用于物理或者逻辑隔离的多个网络，或者为了缩短网络中日志传输的路径、降低日志通讯的流量。
4.3.2主从部署
对于大型、全国性的、分级的网络环境，可以采用主从部署的方式，将多个极地日志审计系统管理分支统一接入到一个主极地日志审计系统管理中心。
在这种模式下，各级极地日志审计系统管理中心的部署方式与单一部署方式基本相同。管理员只需要在下级管理中心配置将本级事件信息转发给上级管理中心的策略。
4.3.3混合部署
如果客户网络中无法采集日志，则可以在网络中部署一个硬件采集引擎主动收集网络中的通讯信息，转化为日志，并传送给极地日志审计系统。
例如，用户要针对数据库系统进行日志审计，但是出于性能的考虑，无法开启数据库自身的日志记录，同时也不能在数据库服务器上安装代理。此时，用户可以将一个硬件采集引擎采用旁路部署的方式放置在数据库系统所在的交换机旁边，侦听并分析数据库访问操作的指令，并转化为操作日志送到极地日志审计系统。
通过极地日志审计系统与硬件采集引擎的混合部署，实现了对无法产生日志的被审计对象的安全审计，做到全面审计，避免出现审计死角。
4.4系统自身安全性保证
作为一款安全管理类产品，极地日志审计系统产品自身具备完善的安全性保证，包括：
●产品内部的各个组件之间通信都支持加密传输，例如浏览器访问管理中
心支持HTTPS、通用采集引擎（GLC）与管理中心之间采用加密压缩
协议进行传输、多级管理中心之间采用加密协议进行传输，等等，保
证网络通讯的机密性。
●产品对采集到的日志都进行了加密存储，保证数据的完整性和机密性。
●产品具备自身运行健康状态监视功能，存储的数据支持自动备份和恢
复，保证系统的可用性。
●对于硬件型产品，底层的操作系统是安全操作系统。
4.5支持的产品
极地日志审计系统具备强大的数据收集能力，支持各种主流产品，通过SNMP、Syslog、、数据库ODBC/JDBC、内部私有TCP/ UDP、文件等多种方式完成数据收集功能。下表列举了部分极地日志审计系统支持的产品：
5-企业案例-网络安全审计系统(数据库审计)解决方案
数据库审计系统技术建议书
目次 1.综述 (1) 2.需求分析 (1) 2.1.内部人员面临的安全隐患 (2) 2.2.第三方维护人员的威胁 (2) 2.3.最高权限滥用风险 (2) 2.4.违规行为无法控制的风险 (2) 2.5.系统日志不能发现的安全隐患 (2) 2.6.系统崩溃带来审计结果的丢失 (3) 3.审计系统设计方案 (3) 3.1.设计思路和原则 (3) 3.2.系统设计原理 (4) 3.3.设计方案及系统配置 (14) 3.4.主要功能介绍 (5) 3.4.1.数据库审计........................ 错误!未定义书签。 3.4.2.网络运维审计 (9) 3.4.3.OA审计............................ 错误!未定义书签。 3.4.4.数据库响应时间及返回码的审计 (9) 3.4.5.业务系统三层关联 (9) 3.4.6.合规性规则和响应 (10) 3.4.7.审计报告输出 (12) 3.4.8.自身管理 (13) 3.4.9.系统安全性设计 (14) 3.5.负面影响评价 (16) 3.6.交换机性能影响评价 (17) 4.资质证书.......................... 错误!未定义书签。
1.综述 随着计算机和网络技术发展，信息系统的应用越来越广泛。数据库做为信息技术的核心和基础，承载着越来越多的关键业务系统，渐渐成为商业和公共安全中最具有战略性的资产，数据库的安全稳定运行也直接决定着业务系统能否正常使用。 围绕数据库的业务系统安全隐患如何得到有效解决，一直以来是IT治理人员和DBA们关注的焦点。做为资深信息安全厂商，结合多年的安全研究经验，提出如下解决思路： 管理层面：完善现有业务流程制度，明细人员职责和分工，规范内部员工的日常操作，严格监控第三方维护人员的操作。 技术层面：除了在业务网络部署相关的信息安全防护产品（如FW、IPS 等），还需要专门针对数据库部署独立安全审计产品，对关键的数据库操作行为进行审计，做到违规行为发生时及时告警，事故发生后精确溯源。 不过，审计关键应用程序和数据库不是一项简单工作。特别是数据库系统，服务于各有不同权限的大量用户，支持高并发的事务处理，还必须满足苛刻的服务水平要求。商业数据库软件内置的审计功能无法满足审计独立性的基本要求，还会降低数据库性能并增加管理费用。 2.需求分析 随着信息技术的发展，XXX已经建立了比较完善的信息系统，数据库中承载的信息越来越受到公司相关部门、领导的重视。同时数据库中储存着诸如XXX等极其重要和敏感的信息。这些信息一旦被篡改或者泄露，轻则造成企业或者社会的经济损失，重则影响企业形象甚至社会安全。 通过对XXX的深入调研，XXX面临的安全隐患归纳如下：
日志审计系统招标需求
日志审计系统招标需求 一、供应商资质要求 1. 供应商应具有两名中国信息安全测评中心认证的注册信息安全工程师（出具社保证明和证书复印件，中标后提供原件）；二、产品需求 1. 基本要求 1）产品获得公安部计算机信息系统安全产品销售许可证以及公安部信息安全产品检测中心出具产品检验报告。所提供的产品检验报告须符合《信息安全技术日志分析产品检验规范》，并提供完整的检测报告复印件（行标三级）； 2）产品获得国家保密科技测评中心检测并获得涉密信息系统产品检测证书，需符合《涉及国家秘密的信息系统安全监控与审计产品技术要 求》，并提供完整的检测报告复印件； 3）产品取得软件著作权登记证书； 4）原厂商通过ISO27001 信息安全体系国际认证； 5）原厂商通过ISO9001 2008质量管理体系认证； 2. 硬件规格 1）4 个千兆电口，1 个con sole 口；内存：16GB，磁盘：2T*2 raidl; 双电源；产品采用CF卡启动；内存可扩展至32GB;单个磁盘可扩展至4T（4 个盘位）；支持HBA 卡扩展；网口可扩展（4 电4光、8电、8光、2万兆光）
支持审计 >=1000 个日志源； 每秒日志解析能力 >=8000 条； 峰值处 理能力 >=12000 。 日志收集 支持 Syslog 、 SNMP Trap 、OPSec 、FTP 协议日志收集； 支持使用代理（Agent ）方式提取日志并收集； 支持目前主流的网络安 全设备、交换设备、路由设备、操作 系统、应用系统等； 支持的设备厂家包括但不限于： Cisco （思科）,Juniper,联想网 御/网御神州，F5,华为，H3C ，微软，绿盟，飞塔（fortinet ）， Foundry ，天融信，启明星辰，天网，趋势，东软，CheckPoint ， Hillsto ne （山石），安恒，BEA ， ape,戴尔（dell ）， EMC ，天 存，Symante （赛门铁克），IBM ，citrix （思杰），WINDOWS 系统日 志，Linux/UNIX syslog 、IIS 、Apache 等； 支持常见的虚拟机环境 日志收集， 包括 Xen 、VMWare 、Hyper-V 等。 工作模式 独立完成审计日志采集，不依赖于设备或系统自身的日志系 统； 审计工作不影响被审计对象的性能、 稳定性或日常管理流程； 审计结果 存储于独立存储空间； 自身用户管理与设备或主机的管理、使用、权限 无关联； 提供全中文 WEB 管理界面， 无需安装任意客户端软件或插件 2) 3. 1) 2) 3) 4) 5) 4. 1) 2) 3) 4) 5)
综合日志审计平台
明御?综合日志审计平台 产品概述 明御?综合日志审计平台（简称DAS-Logger）作为信息系统的综合性管理平台，通过对客户网络设备、安全设备、主机和应用系统日志进行全面的标准化处理，及时发现各种安全威胁、异常行为事件，为管理人员提供全局的视角，确保客户业务的不间断运营安全；明御?综合日志审计平台通过基于国际标准化的关联分析引擎，为客户提供全维度、跨设备、细粒度的关联分析，透过事件的表象真实地还原事件背后的信息，为客户提供真正可信赖的事件追责依据和业务运行的深度安全。同时提供集中化的统一管理平台，将所有的日志信息收集到平台中，实现信息资产的统一管理、监控资产的运行状况，协助用户全面审计信息系统整体安全状况。 明御?综合日志审计平台旨在实现网络资产安全状况的统一管理，使企业的利益受损风险降低，广泛适用于政府、金融、运营商、公安、电力能源、税务、工商、社保、交通、卫生、教育、电子商务及各企事业单位等。 产品组成 明御综合日志审计平台由采集器、通信服务器、关联引擎及平台管理器组成， 1 杭州总部电话：+86-0571-********、28860099 传真：+86-0571-********
主要功能 ?采集器：全面支持Syslog、SNMP日志协议，可以覆盖主流硬件设备、主机及应用，保障日志信息的全面收集。实现信息资产（网络设备、安全设备、主机、应用及数据库）的日志获取，并通过预置的解析规则实现日志的解析、过滤及聚合，同时可将收集的日志通过转发功能转发到其它网管平台等。 ?通信服务器：实现采集器与平台间的通信，将格式统一后的日志直接写入数据库并且同时提交给关联分析模块进行分析处理。通信服务器可以接收多个采集器的日志；在平台尚未支持统一日志格式时，能够根据要求，将定义的统一日志转换为所需要的日志格式。 ?关联引擎:实现全维度、跨设备、细粒度关联分析，内置众多的关联规则，支持网络安全攻防检测、合规性检测，客户可轻松实现各资产间的关联分析。 ?平台管理器：实现所监控的信息资产的实时监控、信息资产与客户管理、解析规则与关联规则的定义与分发、日志信息的统计与报表、海量日志的存储与快速检索以及平台的管理。通过各种事件的归一化处理，实现高性能的海量事件存储和检索优化功能，提供高速的事件检索能力、事后的合规性统计分析处理，可对数据进行二次挖掘分析。 ?集中配置管理：系统支持分布式部署，可以在中心平台进行各种管理规则，各种配置策略自动分发，支持远程自动升级等，极大的降低了分布式部署的难度，提高了可管理性。 ?灵活的可扩展性：提供多种定制接口，实现强大的二次开发能力，及与第三方平台对接和扩展的能力。 ?其他功能：支持各种网络部署需要，包括日志聚合、日志过滤、事件过滤、日志转发、特殊日志格式支持(如单报文多事件)等。 2 杭州总部电话：+86-0571-********、28860099 传真：+86-0571-********
日志审计系统的作用
企业为了日常的正常运作，通常会采用多种系统。各系统各司其职，发挥着不同的作用，并且无法替代，共同构成了企业的防护墙，保证企业各个项目的稳定。日志审计系统就是企业常用的系统之一，日志审计系统的作用尤为重要，且具有一定的优势。 日志审计系统是专业日志审计产品。日志审计系统能够实时不间断地采集汇聚企业中不同厂商不同种类的网络设备、主机、操作系统、用户业务系统的日志信息，协助用户进行分析及合规审计，及时、有效的发现异常事件及审计违规。 日志审计系统提供了众多基于日志分析的强大功能，如日志的集中采集、分析挖掘、合规审计、实时监控及告警等，系统配备了全球IP归属及地理位置信息数据，为事件的分析、溯源提供了有力支撑，日志审计系统能够同时满足企业实际运维分析需求及审计合规需求，是企业日常信息工作的重要支撑平台。 产品功能
完整日志采集 支持对各种主流日志进行采集，同时支持对非主流日志的定制化采集。也可将日志转发到铱迅信息其他产品或第三方系统处理。 资产管理便捷 自动发现企业网络中的设备，可便捷的定义所关注的设备为资产，从而进行持续的管理。管理能够以视图化方式进行，便于以用户视角或业务系统视角来管理资产。 事件挖掘分析 支持对海量原始日志的分析挖掘，发现异常安全问题；通过可视化、易操作的安全策略定制，能够有效提炼、还原出各种异常事件场景，从而为一线安全人员的实际运维工作提供一个强大的安全分析平台。 审计与报表 系统支持自定义审计对象、审计策略，从而满足不同行业用户日志审计合规的需求。系统内置了各类实用的安全审计模板，如等级保护、萨班斯(SOX)、资产常见分类模板等，方便用户直接使用或参考定制。系统能够自动定期将各类安全事件及审计情况的报告以报表发送的方式告知相关人员。 实时监控 支持实时滚动展示当前接收到的日志，显示内容可根据需要来定制过滤。通过实时监控能够有效发现当前未知的安全威胁态势，其提供的日志导出功能便于发现可疑行为的日志特征，进而在事件挖掘分析模块追溯潜在的安全威胁源头。 告警监控
基于审计管理系统下的审计自动化管理创新
基于审计管理系统下的审计自动化管理创新 基于审计管理系统下的审计自动化管理创新 基于审计管理系统下的审计自动化管理创新 摘要：近年来，随着审计信息化发展的客观需求日益迫切，审计机关对风控管理、机关事务管理、项目管理等方面越来越重视，不仅需要有相关的制度文件作支撑，更需要相关考核体系强化执行，但这些管理过程大部分处于手工状态，导致工作效率低下、执行过程混乱。本文结合审计工作实际，提出了一种在现有金审工程审计管理系统（AO20xx）下，通过添加相关模块，实现审计机关全过程管理数字化的一种构想。 一、当前基层审计机关管理现状 近年来，各级审计机关加大了制度化、规范化建设进程，出台了一系列制度措施，加强机关精细化管理和考核，然而，由于大多数工作处于手工操作的状态，诸如审计项目质量管理、绩效考核管理、机关事务管理、干部人事管理等在实际工作中的管理效率并不高，效果也未全部显现。 （一）项目质量控制情况 审计项目作为我国审计机关开展审计工作的主要模式，其项目管理水平的高低直接影响审计工作的成败。目前各级审计机关依托审计署审计管理系统（OA）中的审计项目管理已基本实现审计项目计划、组织管理、项目执行等阶段和作业模式的数字化管理，但从项目全过程跟踪管理的角度来说，项目执行情况综合分析、审计审理事后处理机制、风险预防、项目跟踪整改、项目资源调配等方面仍采用人工作业模式，更有很多项目在上报优秀项目时才按照相关评选标准对程序进行规范，对资料进行修改、补充，而对于不需上报的项目是否达到基本标准，是否算合格项目没人去探究，这在一定程度上降低了审计管理执行的效率，同时对于项目管理过程中的质量也较难控制。 （二）绩效考核管理情况 对于审计机关的发展而言，核心资源是审计人员，审计人员的能力直接关系到审计及各项工作的质量，而审计人员的能力需要通过不断地学习、培训、实践来提高，在金审一期、二期的审计信息化建设中，未将审计人员能力培养和审计人员项目管理执行的绩效考评纳入数字化审计建设重点，目前唯一涉及审计人员能力培养的模拟审计实验室在全国范围内应用案例较少，投资规模较大，一般适用于省级平台建设，并不适用基层审计机关审计队伍的建设需求，在对审计人员的绩效评估方面，基层审计机关还在通过传统方式，由评选人员在考核时集中进行考核打分，这样就可能存在遗漏和分值不准，相关人员在得到得分排名后要求增加分数现象，给考核机构造成了工作不便，同时也可能造成大家认为考核不公平的想法，亟需通过建立一套人员能力考核评价指标体系，将考核指标植入后自动进行评价。
日志审计解决方案
需求分析： 随着政府、企事业单位等各类组织的信息化程度不断提高，对信息系统的依赖程度也随之增加，如何保障信息系统安全是所有单位都十分关注的一个问题。当前，大部分组织都已对信息安全系统进行了基本的安全防护，如实施防火墙、入侵检测系统、防病毒系统等。然而，信息系统维护过程中依然还面临着诸多的困难及风险： ◆操作系统、硬件、应用程序等故障或配置错误导致系统异常运行，服务中断。这些异常 行为只会在系统及各类日志中有所反映，没有统一的日志审计手段，无法及时发现安全事故。 ◆大部分企业对员工的上网行为都不进行直接控制，因此员工不适当或滥用公司网络资源 的行为时有发生，如下载、看在线电影、网上聊天以及访问非法网站的行为等等，这不仅影响工作，更使企业在国家相关法律法规的符合性上存在隐患，也容易造成企业资料泄密等后果。 ◆企业中各类应用系统在对外服务的同时将面临各种用户访问行为造成的信息安全风险， 缺少对用户非授权访问、管理员误操作、黑客恶意破坏等等的行为审计。 ◆由于目前的应用系统往往都是相互关联的，一个故障现象，往往要对数台甚至数十台网 络设备及主机的日志进行综合分析才能确定真正的故障原因，缺乏有效的统一安全事件审计平台可能导致无法及时进行故障定位甚至错误定位，此外，恶意破坏者获得系统权限后可以清理安全日志，从而导致无法正确定位安全日志。 ◆企业内部控制基本规范、SOX法案、公安部82号令、等级保护等各类法律法规均对日 志、行为审计有明确的要求，确保关键信息系统在可控、可审计状态下运行。 解决方案： 晟为日志审计系统是专业信息安全审计产品，基于嵌入式64位Linux系统，由日志采集模块、事件检索模块、审计报表模块、综合管理模块组成。采用B/S架构，管理员通过HTTPS方式对主机进行管理。系统提供智能化的日志生命周期管理模型，集日志数据采集、实时动态分析、安全存储管理、历史事件检索、综合审计报告功能于一体，帮助用户快速、有效地完成信息系统安全审计工作。 晟为日志管理综合审计系统通过基于日志内容深度分析的日志专家规则库，对采集到的日志数据进行实时动态分析，将网络非法访问、数据违规操作、系统进程异常、设备故障敏感信息、等高危安全事件，从海量日志数据中提取出来，并通过桌面屏幕、邮件、短信、SYSLOG、SNMP等方式通知管理员及时处理。
日志审计与分析系统
点击文章中飘蓝词可直接进入官网查看 日志审计与分析系统 日志审计与分析系统可以了解系统的运行状况，安全状况，甚至是运营的状况。如何选择一款合适的日志审计与分析系统呢？评价一款日志审计与分析系统需要关注哪些方面呢？小编今天给大家介绍一下选择日志审计与分析系统应该从几个方面来考虑。 南京风城云码软件公司（简称：风城云码）南京风城云码软件技术有限公司是获得国家工信部认定的“双软”企业，具有专业的软件开发与生产资质。多年来专业从事IT运维监控产品及大数据平台下网络安全审计产品研发。开发团队主要由留学归国软件开发人员及管理专家领衔组成，聚集了一批软件专家、技术专家和行业专家，依托海外技术优势，使开发的软件产品在技术创新及应用领域始终保持在领域上向前发展。 由于一款综合性的日志审计与分析系统要能够收集网络中异构设备的日志，因此日志收集的手段应要丰富，建议至少应支持通过Syslog、SNMP、NetFlow、ODBC/JDBC、OPSEC LEA等协议采集日志，支持从Log文件或者数据库中获取日志。 日志收集的性能也是要考虑的。一般来说，如果网络中的日志量非常大，对日志系统的性能要求也就比较高，如果因为性能的问题造成日志大量丢失的话，就完全起不到审计的作用的了。目前，国际上评价一款日志审计产品的重要指标叫做“事件数每秒”，英文是Event per Second，即EPS，表明系统每秒种能够收集的日志条数，通常以每条日志0.5K～1K字节数为基准。一般而言，EPS数值越高，表明系统性能越好。 日志审计与分析系统应提供准确的查询手段，不同类型日志信息的格式差异非常大，日志审计系统对日志进行收集后，应进行一定的处理，例如对日志的格式进行统一，这样不同厂家的日志可以放在一起做统计分析和审计，要注意的是，统一格式不能把原始日志破坏，否则日志的法律效力就大大折扣了。 日志审计与分析系统要让收集的日志发挥更强的安全审计的作用，有一定技术水平的管理员会希望获得对日志进行关联分析的工具，能主动挖掘隐藏在大量日志中的安全问题。因此，有这方面需求的用户可以考查产品的实时关联分析能力。
《审计信息管理系统》使用介绍
《审计信息管理系统》使用说明 第一章概述 欢迎使用《审计信息管理系统》，本文介绍《审计信息管理系统》的使用方法。本系统是针对XXX市审计局日常行政办公、信息管理和设计的应用系统，充分考虑了XXX市审计局的办公内容、行文流程、组织结构等相关内容，给用户提供丰富、完整、方便的功能，正确处理企业日常工作中的各种常规事务，如收文、发文、信息管理、信访管理、档案管理等，通过对各种办公过程的流程化分析、图形表示、自动控制行文流转过程，提高办公效率，保证日常工作高效、规范的进行，实现无纸化办公。 本系统主要以审计项目的实施与管理为核心，同时提供人事管理和各科室之间的信息交换功能，方便领导和各科室成员迅速掌握当前工作的内容和工作进度。 本系统使用了高度安全的Lotus Notes/Domino R5作为开发平台，能适应用户在不同环境和条件下的需求，有着极为可靠的安全性。本系统有广泛的适用性。它是标准的工作流办公自动化软件，稍加改进即可与其他企事业单位自身组织机构相配置，用户单位无需更改现有组织机构，可快速部署整个系统，迅速从中获得效率提升。 第二章主界面 一、启动审计信息管理系统 办公自动化系统的启动，操作员单击［开始］→［程序］→［Lotus 应用程序］→［Lotus Notes］，系统会出现一对话框（如图2-1），输入正确的口令，系统就会进入审计信息管理系统主界面。 图2-1
如果操作员要选择其它的人员的ID（即以其他人员的身份登录，前提是直到其他人员的密码），操作员可单击［取消］，系统会弹出（如图2-2）的对话框，操作员从中挑选需要的ID，再输入正确的口令，系统就以他的身份进入审计信息管理系统主界面。 图2-2 二、主界面的操作 打开Lotus Notes，《审计信息管理系统》的主界面（如图2-3）自动作为缺省首页出现。主界面上有8个标题，分别是打开以下8个功能模块的链接：人事管理、文件审批、审批进度、审计档案、综合查询、流转定稿、电子邮件和文档模板。 图2-3 退出办公自动化系统，用户只需单［退出］即可。
某银行安全审计综合管理平台建设方案详细
某银行 安全审计综合管理平台建设方案 V1.2二○○九年三月 目录 1背景 (2) 2安全审计管理现状 (4) 2.1安全审计基本概念 (4) 2.2总行金融信息管理中心安全审计管理现状 (5) 2.2.1日志审计 (5) 2.2.2数据库和网络审计 (7) 2.3我行安全审计管理办法制定现状 (7) 2.4安全审计产品及应用现状 (8) 3安全审计必要性 (8) 4安全审计综合管理平台建设目标 (8) 5安全审计综合管理平台需求 (9) 5.1日志审计系统需求 (9) 5.1.1系统功能需求 (9) 5.1.2 系统性能需求 (12) 5.1.3 系统安全需求 (12) 5.1.4 系统接口需求 (13) 5.2数据库和网络审计系统需求 (13) 5.2.1审计功能需求 (13) 5.2.2报表功能需求 (15) 5.2.3审计对象及兼容性支持 (15) 5.2.4系统性能 (15) 5.2.5审计完整性 (15)
6安全审计综合管理平台建设方案 (16) 6.1日志审计系统建设方案 (16) 6.1.1 日志管理建议 (16) 6.1.2 日志审计系统整体架构 (18) 6.1.3 日志采集实现方式 (19) 6.1.4 日志标准化实现方式 (20) 6.1.5 日志存储实现方式 (22) 6.1.6 日志关联分析 (22) 6.1.7 安全事件报警 (23) 6.1.8 日志报表 (23) 6.1.9系统管理 (24) 6.1.10 系统接口规 (24) 6.2数据库和网络审计系统建设方案 (25) 6.2.1数据库和网络行为综合审计 (25) 6.2.2审计策略 (26) 6.2.3审计容 (27) 6.2.4告警与响应管理 (29) 6.2.5报表管理 (29) 7系统部署方案 (29) 7.1安全审计综合管理平台系统部署方案 (29) 7.2系统部署环境要求 (30) 7.2.1日志审计系统 (30) 7.2.2数据库和网络审计系统 (31) 7.3系统实施建议 (31) 7.4二次开发 (32) 1背景 近年来，XX银行信息化建设得到快速发展，央行履行金融调控、金融稳定、
综合日志审计系统招标参数
综合日志审计系统招标参数 序号产品指标项产品性能参数和要求 总体要求产品资质★产品须获得中华人民共和国公安部的《计算机信息系统安 全专用产品销售许可证》； ★产品须获得国家保密局涉密信息系统安全保密测评中心 《涉密信息系统产品检测证书》； ★产品须具有《计算机软件著作权登记证书》； ★产品须具有《军用信息安全产品认证证书》； ★产品须具有中国信息安全测评中心《信息技术产品安全测 评证书》级。 厂商资质★拥有专业团队进行信息安全研究，具备独立发掘漏洞能力 以及查看微软源代码的权力，迄今独立发现并被国际组织收 录的漏洞数量超过个，需提供证明文件。 ★具备国家安全服务二级资质和应急响应一级资质。 运行环境系统必须采用架构，管理员只需浏览器即可连接到系统进行 各种操作。 ★产品要求集成数据库，无须再独立安装数据库系统，亦无 须对数据库进行专门的维护。 ★产品要求至少能够部署在和操作系统上。 使用界面系统必须采用基于浏览器的用户界面，至少支持与。为了适 应不同用途，用户可以对界面颜色进行选择调整。 管理范围★能对网络设备、安全设备和系统、主机操作系统、数据库 以及各种应用系统的日志、事件、告警等安全信息进行全面 的审计。 支持采集方式★无需另外安装软件组件，审计中心即可通过、、\、文件 \文件夹、、、、等多种方式完成日志收集功能； 允许用户安装独立的日志采集器通过上述方式采集日志并转 发给审计中心； 允许用户在被采集节点上安装日志代理采集日志并转发给日 志采集器或者审计中心； 审计中心可以支持多个日志采集器。 性能要求★能够平均每秒采集入库条事件。 部署部署方式支持简单部署和级联部署，支持分布式部署。 简单部署：无需安装任何其他软件和组件，用户只需要安装 审计中心即可实现对日志的采集、分析； 级联部署：两个审计中心之间可以进行级联，形成大规模统 一审计； 分布式部署：一个审计中心可以连接多个分布式日志采集器 或者日志代理，实现对全网分散日志的统一采集和审计。功能要资产管理1）★系统具有资产管理的功能，能够将被审计资产进行分 组、分域的统一维护。
日志审计管理系统需求说明书
日志审计管理系统需求说明书 一、总体要求 ?支持对主流操作系统、数据库系统、应用软件系统、网络设备、安全设 备进行自动采集。 ?支持SYSLOG和OPSEC LEA标准日志协议，能通过代理收集日志文件， 并将日志统一格式化处理。 ?对采集的日志可分类实时监控和自动告警。 ?对收集的日志信息可按日志所有属性进行组合查询和提供报表。 ?能按日志来源、类型、日期进行存储，支持日志加密压缩归档。 ?不影响日志源对象运行性能和安全。 ?操作简便直观，可用性好。 二、具体要求 2.1日志收集对象要求
用户可根据自己的需求很容易定制开发新的日志收集代理。 2.2 日志收集方式要求 需要支持的协议有syslog、snmp trap、windows log、checkpoint opsec、database、file、xml、soap等等。 ?主动信息采集 对路由器、交换机、防火墙、VPN、IDS/IPS等网络设备的日志采集支持采用SYSLOG（UDP514）和OPSEC LEA协议形式自动采集。 ?日志文件采集 支持本地系统平台上通过安装Agent采集日志文件中的日志信息。 ?性能状态探测 能获取系统平台的CPU、内存、端口使用率、应用的响应时间、进程数、TCP连接数、负载等性能参数。 2.3日志分析功能要求 2.3.1告警功能 ?支持对紧急、严重日志进行自动报警，可自定义需报警的日志类型。 ?监控台支持对收集的全部日志进行分类实时监控。 ?应该能够将各种不同的日志格式表示为统一的日志数据格式。且统一格 式时不能造成字段丢失。 ?能自动对各种类型的日志进行实时分析，并能将紧急、严重的事件日志 通过设备远程主控台、短信、邮件、电话语音提示等方式向管理员发送 实时告警消息，支持自定义报警日志的类型。 ?通过对网络设备及系统平台的性能状态、安全访问、异常事件产生的日
免费日志审计系统
我们都知道，日志审计系统在企业常规运营中起到不可或缺的作用，但是企业为了节约运营成本，往往会忽视这个环节。其实，是有免费日志审计系统的，如铱迅日志审计系统。该日志审计系统并不会因为是免费的就草草了事，反而功能齐全，使用便捷且有效。 铱迅日志审计系统是专业日志审计产品。系统能够实时不间断地采集汇聚企业中不同厂商不同种类的网络设备、主机、操作系统、用户业务系统的日志信息，协助用户进行分析及合规审计，及时、有效的发现异常事件及审计违规。 日志审计系统提供了众多基于日志分析的强大功能，如日志的集中采集、分析挖掘、合规审计、实时监控及告警等，系统配备了全球IP归属及地理位置信息数据，为事件的分析、溯源提供了有力支撑，日志审计系统能够同时满足企业实际运维分析需求及审计合规需求，是企业日常信息工作的重要支撑平台。 特色与优势 系统部署 支持All-in-One的单结点部署，同时支持企业级分布部署。
采集对象 可采集各类主流设备/系统的安全日志采集；包括syslog、文件、DB、WMI、SMB、SNMP-trap、Socket等多种采集方式。 日志解析采用脚本化定义，除内置主流设备/系统日志解析脚本外，用户可以自定义脚本。 关联响应 支持多种数据来源的关联；满足多种响应需求，如邮件、执行外部程序、Syslog等。 存储管理 支持高性能、大规模的分布式存储。 报表方式 内置多种报表模板，用户可以灵活定义。 实时分析和审计 采用高性能应用架构设计，满足事件的实时分析、审计要求；提供针对各类日志审计场景的策略模板，如等级保护、萨班斯等，支持策略的用户定制和升级； 实时告警 支持用户对所关注事件的实时告警，如异常日志事件和审计违规事件，可有效降低安全相关工作成本，提升工作效率。 实时监控 支持对系统当前接入安全日志的实时监控及大屏展示，用户可在滚动显示的安全事件中感知异常的安全态势，从而进一步深入分析潜在的安全威胁。 自身安全性和保障能力 系统内置安全防火墙；支持内部通讯检查及传输加密；支持关键系统模块的分离保护；支持完善、易用的权限管理。 产品功能
信息系统审计
信息系统审计 电子数据处理系统发展分为三阶段：数据的单项处理阶段(1953-1965)、数据的综合处理阶段（1965-1970）、数据的系统处理阶段（1970年以后），对传统审计产生了巨大的影响，主要表现在（1）对审计线索的影响：传统的审计线索缺失；EDP下：数据处理、存储电子化，不可见，难辨真伪。（2）对审计方法和技术的影响：技术方法复杂化；EDP下：利用计算机——审计技术变得复杂化（3）对审计人员的影响：知识构成要求发生变化；EDP下：会计、审计、计算机等知识和技能（4）对审计准则的影响：信息化下审计准则与标准的缺失；EDP下：在原有审计准则的基础上，建立一系列新的准则（5）对内部控制的影响：内部控制方式发生改变：传统方式下：强调对业务活动及会计活动使用授权批准和职责分工等控制程序来保证。EDP下：数据处理根据既定的指令程序自动进行，信息的处理和存储高度集中于计算机，控制依赖于计算机信息系统，控制方式发生改变。 2、信息系统审计的定义：指根据公认的标准和指导规范，对信息系统从计划、研发、实施到运行维护各个环节进行审查评价，对信息系统及其业务应用的完整、效能、效率、安全性进行监测、评估和控制的过程，以确认预定的业务目标得以实现，并提出一系列改进建议的管理活动。 3、信息系统审计的特点（1）审计范围的广泛性（2）审计线索的隐蔽性、易逝性（3）审计取证的动态性（4）审计技术的复杂性：首先，由于不同被审单位的信息系统所配备的计算机设备各式各样，各个机器的功能各异，所配备的系统软件也各不相同。审计人员在审计过程中，必然要和计算机的硬件和系统软件打交道，各种机型功能不一，配备的系统软件各异，必然增加了审计技术的复杂性，其次，由于不同被审单位的业务规模和性质不同，所采用的数据处理及存储方式也不同，不同的数据处理，存储方式，审计所采用的方法、技术也不同。此外，不同被审单位其应用软甲你的开发方式、软件开发的程序设计语言也不尽相同，不同开发方式以及用不同的程序设计语言开发的应用软件，其审计方法与技术也不一样。 4、信息系统审计的目标：（1）保护资产的完整性：信息系统的资产包括硬件、软件、设备、人员、数据文件、系统档案等；（2）保证数据的准确性：数据准确性是指数据能满足规定的条件，防止粗无信息的输入和输出，一级非授权状态下的修改信息所造成的无效操作和错误后果；（3）提高系统的有效性：系统的有效性表明系统能否获得预期的目标；（4）提高系统的效率性：系统效率是指系统达到预定目标所消耗的资源，一个效率高的信息系统能够以尽量少的资源达到需要的目标；（5）保证信息系统的合规性合法性：信息系统及其运用必须遵守有关法律、法规和规章制度。 5、信息系统审计的主要内容：内部控制系统审计内部控制系统包括一般控制系统（包含组织控制、系统开发控制、系统安全控制、硬件和系统软件控制等方面）应用控制系统（输入、处理、输出）；系统开发审计；应用程序审计（决定了数据处理的合规性、正确性目的：一是测试应用控制系统的符合性；二是通过检查程序运行和逻辑的正确性达到实质性测试目的。测试应用控制的符合性是指对嵌入应用程序中的控制措施进行测试，看它们是否按设计要求在运行和起作用）；数据文件审计（目的：一是数据文件进行实质性测试；而是通过数据文件的审计，测试一般控制或应用控制的复合型，但数据文件审计主要是为了实质性测试） 6、基本方法：绕过信息系统审计：基于黑箱（Black box）原理，审计人员不审查系统内的程序和文件，只审查I/O数据及其管理制度。优点：审计技术简单、较少干扰被审系统。缺点：审计结果不太可靠、要求I/O联系紧密 通过信息系统审计：基于黑箱（Black box）原理，审计人员不审查系统内的程序和文件，只审查I/O数据及其管理制度。优点：审计技术简单、较少干扰被审系统。缺点：审计结果不太可靠、要求I/O联系紧密。 7、步骤：准备阶段（明确审计任务、组成信息系统小组、了解被审系统的基本情况、制定
Loase日志管理综合审计系统用户手册V版
LogBase日志管理综合审计系统 使用手册杭州思福迪信息技术有限公司 SAFETYBASEINFOTECHCO.LTD 2011.07 版权声明 版权所有2005-2011，杭州思福迪信息技术有限公司 本文中出现的任何文字叙述、文档格式、插图、照片、方法、过程等内容，除另有特别注明，版权均属杭州思福迪信息技术有限公司所有，受到有关产权及版权法保护。任何个人、机构未经杭州思福迪信息技术有限公司的书面授权许可，不得以任何方式复制或引用本文件的任何片断。 商标信息 SafetybaseLogAuditSystem、Logbase等是杭州思福迪信息技术有限公司的商标。
目录
前言 欢迎使用杭州思福迪信息有限公司竭诚为您提供的新一代网络安全产品——思福迪日志管理综合审计系统 随着互联网的飞速发展，客户对网络系统中的安全设备和网络设备、应用系统和运行状况进行全面的监测、分析、评估是保障网络安全的重要手段。网络安全是动态的，对已经建立的系统，如果没有实时的、集中的、可视化审计，就不能有效/及时的评估系统究竟是不是安全的，并及时发现安全隐患，所以网络安全需要集中的审计系统。如果不能将在同一网络中多个相同或者不同厂商的产品实现技术上互操作，实现集中的审计，就无法发挥有效的安全性，就无法有效管理。安全审计系统就可以满足这些要求，对网络中的各种设备和系统进行集中的、可视的综合审计，及时发现安全隐患，提高安全系统成效。 该产品是一款分布式,跨平台的网络日志管理审计系统，通过对网络设备、服务器、数据库、应用服务等通用计算机软硬件系统以及各种特定业务系统在运行过程中产生的日志、状态、操作等信息的采集，在实时分析的基础上，监测并发现各种异常事件，准确发出实时告警。审计系统同时提供对存储的历史日志数据进行数据挖掘和关联分析，通过可视化的界面和报表向管理人员提供准确、详尽的统计分析数据和异常分析报告，协助管理人员及时发现安全漏洞，采取有效措施，提高整个计算机应用系统的安全等级。
日志审计系统需求说明
日志审计系统需求 一、总体要求 ?支持对操作系统、数据库系统、网络设备进行自动采集，记录所有系统 操作和数据库操作。 ?支持SYSLOG和OPSEC LEA标准日志协议，能通过代理收集日志文件，并 将日志统一格式化处理。 ?对采集的日志可分类实时监控和自动告警。 ?对收集的日志信息可按日志所有属性进行组合查询和提供报表。 ?能按日志来源、类型、日期进行存储。 ?日志审计系统部署：日志审计系统网络拓扑，日志审计系统数据库服务 器，采集器，分析入库服务器。 二、具体要求 2.1日志收集对象要求 2.2 日志收集方式要求 需要支持的协议有syslog、snmp trap、windows log、checkpoint opsec、database、file、xml、soap等等。 ?主动信息采集 对路由器、交换机网络设备的日志采集支持采用SYSLOG（UDP514）和
OPSEC LEA协议形式自动采集。 ?日志文件采集 支持本地系统平台上通过安装Agent采集日志文件采集日志信息。 ?性能状态探测 能获取系统平台的CPU、内存、端口使用率、应用的响应时间、进程数、TCP连接数、负载等性能参数。 2.3日志分析功能要求 2.3.1告警功能 ?支持对紧急、严重日志进行自动报警，可自定义需报警的日志类型。 ?监控台支持对收集的全部日志进行分类实时监控。 ?应该能够将各种不同的日志格式表示为统一的日志数据格式。且统一格 式时不能造成字段丢失。 ?能自动对各种类型的日志进行实时分析，并能将紧急、严重的事件日志 通过设备远程主控台、短信、邮件、电话语音提示等方式向管理员发送 实时告警消息，支持自定义报警日志的类型。 ?通过对网络设备及系统平台的性能状态、安全访问、异常事件产生的日 志进行分析统计，按数据源输出监控分析报表。 ?支持对日志进行基于时间、源地址、目的地址、协议类型、危险级别等 日志所有属性字段的组合搜索查询。 2.4 日志存储功能要求 ?可将收集的日志进行集中存储在日志服务器或外部存储设备。 ?支持将日志进行分对象、类型、日期进行归档存储。 ?可对日志进行加密、压缩存储。
信息系统审计重点
信息系统审计 电子计算机在数据处理的发展过程可分为三个阶段：数据的单项处理阶段、数据的综合处理阶段、数据的系统处理阶段。 数据处理电算化以后，对传统的审计产生了巨大的影响，主要表现在： 1、对审计线索的影响~~~~ 2、对审计方法和技术的影响~~~~~~ 3、对审计人员的影响~~~~~ 4、对审计准则的影响~~~~~~ 信息系统审计的定义：信息系统审计是根据公认的标准和指导规范，对信息系统从规划、实施到运行维护各个环节进行审查评价，对信息系统及其业务应用的完整性、有效性、效率性、安全性等进行检测、评估和控制的过程，以确认预订的业务目标得以实现，并提出一系列改进建议的管理活动。 信息系统的主体：有胜任能力的信息系统独立审计机构或人员 信息系统审计的对象：被审计的信息系统 信息系统审计工作的核心：客观地收集和评估证据 信息系统审计的目的是评估并提供反馈、保证及建议。关注之处被分为三类：可用性、保密性、完整性。 信息系统审计的特点：审计范围的广泛性、审计线索的隐蔽性、易逝性、审计取证的动态性、审计技术的复杂性。（真是为一道简答题。在P6，详细看一下各段内容，概括下再答题）信息系统审计目标：1、保护资产的完整性2、保证数据的准确性3、提高系统的有效性4、提高系统的效率性5、保证信息系统的合规性与合法性 信息系统的主要内容：内部控制系统审计（分为一般控制系统、应用控制系统，对信息系统的内部控制系统进行审计的目的是在内部控制审计的基础上对信息系统的处理结果进行审计、加强内部控制，完善内部控制系统）系统开发审计(信息系统开发审计是对信息系统开发过程进行的审计，审计目的一是要检查开发的方法、程序是否科学，是否含有恰当的控制；二是要检查开发过程中产生的系统文档资料是否规范。)应用程序审计（审查应用程序有两个目的，意识测试应用控制系统的符合性，二是通过检查程序运算和逻辑的正确性达到实质性测试目的）数据文件审计（审计目的一是对数据文件进行实质性测试，二是通过数据文件的审计，测试一般控制或应用控制的符合性，但主要是为了实质性测试）（这是道简答题，在P8各个小概括下） 信息系统审计的基本方法：绕过信息系统审计、通过信息系统审计 信息系统审计的步骤（大题P11）： 准备阶段：明确审计任务，组成信息系统审计小组，了解被审计系统的基本情况，指定信息系统审计方案，发出审计通知书 实施阶段：对被审计系统的内部控制制度进行健全性调查和符合性测试，对账表单证或数据文件的实质性审查 终结阶段：整理归纳审计资料，撰写审计报告，发出审计结论和决定，审计资料的归档和管理 国际信息系统审计准则：由信息系统审计与控制协会（ISACA）颁布和实施的。ISACA是国际上唯一的信息系统审计专业组织，通过制定和颁布信息系统审计标准、指南和程序来规范审计师的工作，它由三个层次构成： 审计标准（审计标准是整个信息系统准则体系的总纲，是制定审计指南和作业程序的基础和依据）
Logbase日志审计系统技术白皮书
L o g B a s e日志管理审计系统 技术白皮书 杭州思福迪信息技术有限公司 SAFETYBASE INFOTECH CO.LTD
目录 第一章概述 (3) 第二章为什么需要日志审计系统 (4) 第三章 Logbase日志审计系统总体介绍 (6) 2.1 产品简介 (6) 2.2 体系架构 (6) 第四章产品功能 (8) 4.1日志采集 (8) 4.2集中存储 (8) 4.3异常事件监控告警 (9) 4.4日志检索 (10) 4.5综合报表分析 (10) 第五章部署方式 (12) 第六章产品特性 (13) 6.1 高速检索能力 (13) 6.2安全保障能力高 (13) 6.3 灵活的查询条件 (14) 6.4 自定义日志类型支持 (14)
第一章概述 随着政府、企事业单位等各类组织的正常工作开展对信息化的依赖程度越来越高，信息系统安全防护体系的重要性也随之增高。对各类日志进行日常性安全审计是信息系统安全维护的重点工作之一，目前，由于日志存放分散、数量多、格式不统一、保存周期短、易被篡改破坏等原因，手工开展日志审计工作已逐渐变为一项不可能完成的任务。 Logbase日志审计系统是思福迪自主研发的日志审计产品，它具备对整个信息系统中的各类日志进行集中采集、集中管理、集中审计的能力。Logbase日志审计系统能够对操作系统（windows、Unix、Linux、BSD）、网络设备(路由器、交换机)、安全设备(防火墙、代理设备等、防病毒系统)、应用系统（WEB服务器、邮件服务器、FTP服务器、中间件系统等）、数据库系统记录日志等各类不同日志进行集中采集，并集中存储到Logbase日志审计系统中，同时审计系统能够对各日志中的异常事件如：系统故障、黑客入侵、违规访问、配置更改等事件进行审计。 通过Logbase日志审计系统的部署，一方面可以集中收集、长时间存放所有的记录日志，避免日志遭到恶意篡改或删除而在安全事件发生时无据可查的状况发生，另一方面，Logbase日志审计系统强大的日志审计功能可以为组织审计人员提供日志实时监控、高效检索、审计报表等日志审计手段，从而使原本不可能完成的海量日志审计工作可以在短时间内轻松完成，大大减少信息部门的工作量。
LogBase日志管理综合审计系统范文
L o g B a s e日志管理综合审计系统 技术白皮书 杭州思福迪信息技术有限公司 SAFETYBASE INFOTECH CO.LTD
版权说明 ? 版权所有2005-2010，杭州思福迪信息技术有限公司 本文件中出现的任何文字叙述、文档格式、插图、照片、方法、过程等内容，除另有特别注明，版权均属杭州思福迪信息技术有限公司所有，受到有关产权及版权法保护。任何个人、机构未经杭州思福迪信息技术有限公司的书面授权许可，不得以任何方式复制或引用本文件的任何片断。 商标信息 Safetybase、LogBase均是杭州思福迪信息技术有限公司注册商标，受商标法保护。
LogBase日志管理综合审计系统白皮书 目录 第一章概述................................................................................ 错误！未定义书签。 1.1 信息安全审计的必要性.............................................. 错误！未定义书签。 1.2 信息安全审计目标...................................................... 错误！未定义书签。第二章 LogBase产品介绍......................................................... 错误！未定义书签。 2.1 产品概述...................................................................... 错误！未定义书签。 2.2 体系结构...................................................................... 错误！未定义书签。第三章 LogBase功能介绍......................................................... 错误！未定义书签。第四章 LogBase产品特性......................................................... 错误！未定义书签。 5.1 全面的日志采集能力.................................................. 错误！未定义书签。 5.2 可靠的安全保障能力.................................................. 错误！未定义书签。 5.3 专用的日志专家规则库.............................................. 错误！未定义书签。 5.4 灵活开放的查询条件.................................................. 错误！未定义书签。 5.5 高效的事件定位能力.................................................. 错误！未定义书签。 5.6 安全的旁路审计模式.................................................. 错误！未定义书签。 5.7 良好的扩展性设计...................................................... 错误！未定义书签。 5.8 丰富的合规性报表...................................................... 错误！未定义书签。第五章典型部署........................................................................ 错误！未定义书签。第六章产品规格与指标............................................................ 错误！未定义书签。 6.1 审计主机规格指标...................................................... 错误！未定义书签。 6.2 硬件探测器性能指标................................................... 错误！未定义书签。?版权所有2010 杭州思福迪信息技术有限公司 3 / 15