版权声明本手册的所有内容, 其版权属于南京聚铭网络科技有限公司 ( 以下简称聚铭网络 ) 所有, 未经聚铭网络许可, 任何人不得仿制拷贝转译或任意引用本手册没有任何形式的担保立场倾向或其他暗示商标声明本手册中所谈及的产品名称仅做识别之用, 而这些名称可能属于其他公司的注册商标或是版

Size: px

Start display at page:

车诚费
5 years ago
Views:

1 聚铭综合日志分析系统产品白皮书南京聚铭网络科技有限公司 2016 年 6 月

2 版权声明本手册的所有内容, 其版权属于南京聚铭网络科技有限公司 ( 以下简称聚铭网络 ) 所有, 未经聚铭网络许可, 任何人不得仿制拷贝转译或任意引用本手册没有任何形式的担保立场倾向或其他暗示商标声明本手册中所谈及的产品名称仅做识别之用, 而这些名称可能属于其他公司的注册商标或是版权, 其他提到的商标, 均属各该商标注册人所有, 恕不逐一列明联系信息地址 : 南京市雨花区软件大道 180 号 07 栋 406 室邮编 : 电话 : 传真 : 邮网箱 :support@juminfo.com 址 : 全国客服电话 :

3 目录 1 日志审计的必要性综合日志分析系统概述系统架构功能概述采集方式支持系统安装部署综合日志分析系统功能简介采集管理采集策略管理采集器管理事件分析审计管理安全监控报表管理知识库资产管理系统管理优势概述简洁易用的界面灵活通用的系统设计全面强大的分析能力多级分布的部署方式... 12

4 4.5 高速的处理性能... 13

5 1 日志审计的必要性随着信息技术持续地发展, 各类组织企业对信息系统的运用也不断深入, 为了在复杂条件下应付各类安全情况 ( 如黑客的攻击内部员工的有意或无意地进行越权或违规操作 ), 企业部署了大量的不同种类形态各异的信息安全产品 : 为了监控黑客的攻击控制, 部署了各种入侵检测或入侵防御设备为了控制内部员工的非法接入部署了网络终端管理网络准入等系统为了控制数据的非法泄露或重要数据被修改, 部署了防泄漏系统数据库审计系统另外, 除了这些专用安全设备或系统每日会产生各种日志, 组织或企业日常使用的业务系统主机系统网络设备等也会生成大量和安全相关的日志, 这存在如下问题 : 它们格式差异巨大, 没有统一标准它们数量巨大, 用户无法重点分析有价值的信息难以挖掘各类日志之间的关联关系, 从而难于审计上述原因均会导致日志审计工作难以开展, 所以部署集中的综合日志分析系统就成为必须 ; 另外, 各级组织或机构部署集中综合日志分析系统的意义在于 : 它是信息安全管理的需要 : 因为日志审计是日常信息安全管理中最为重要的环节之一 ; 能从纷繁复杂的日志中萃取出具有价值的信息, 是各类信息安全管理者参与者相关者最大的诉求, 故选择一款高可靠高性能具备强大功能的日志集中审计系统就成为必须 ; 它是安全技术保障体系建设要求的需要 : 一个完整的信息安全技术保障体系应由检测保护和响应三部分组成, 而日志审计是检测安全事件的不可或缺重要手段之一目前, 大部分信息系统所依赖的 IDS/IPS 系统只能检测部分来自网络的攻击事件, 对运维人员的违规操作系统运行异常设备故障等安全事件缺乏监控能力, 而这些异常事件往往对内部信息系统的运行产生严重安全威胁综合日志分析系统通过分析各种设备系统应用数据库产生的运行日志, 能够及时发现入侵检测系统检测不到的各类安全隐患, 并及时给予告警, 从而避免安全事件的发生 ; 它是各种规范符合性要求的需要 : 如 : 信息安全等级保护 ( 几乎各级均要求提供审计功能 ) 信息安全风险管理规范基于互联网电子政务信息安全指南银行业金融机构信息系统管理指引等等此外, 国际上的相关标准规范也均明确提出信息安全审计

6 系统的重要性, 如萨班斯法案 ISO27001 等均要求企业对重要系统设备的运日志进行保留, 并且周期性地进行第三方审计 2 综合日志分析系统概述综合日志分析系统是南京聚铭网络科技有限公司独立研发的拥有自主知识产权的新一代日志处理和分析的系统系统通过集中采集各类系统中的安全事件 ( 如网络攻击防病毒等 ) 用户访问记录系统运行日志系统运行状态网络存取日志等各类信息, 经过标准化过滤归并和告警分析等处理后, 以统一格式的日志形式进行集中存储和管理仅通过简洁的实时监控界面, 用户即可实时动态了解当前整个系统的安全态势, 获知异常安全事件和审计违规情况, 系统也提供了强大的安全异常问题分析追溯功能通过综合日志分析系统, 相关人员可以随时了解整个系统的运行情况, 及时发现系统异常事件及非法访问行为 ; 通过事后分析和丰富的报表系统, 管理员可以方便高效地对信息系统进行有针对性的安全审计遇到特殊安全事件和系统故障, 综合日志分析系统可以确保日志完整性和可用性, 协助管理员进行故障快速定位, 并提供客观依据进行追查和恢复因此, 综合日志分析系统可以帮助用户有效降低系统的故障带来的损失, 降低运维成本和管理的复杂度, 显著提高系统整体的安全性可靠性和运行效率, 保证信息系统 7X24 的正常持续稳定运行, 从而降低信息系统的整体安全风险 2.1 系统架构综合日志分析系统主要由如下几个部分构成 : Syslog 服务器 : 负责接受 Syslog SNMP Trap; 采集器 : 实现日志标准化过滤和归并功能 ; 另外, 它还有调度 Syslog 服务器和采集其它类型日志的功能, 如 Socket SMB 文件数据库 (JDBC) 等 ; 采集控制器 : 实现对采集器进行统一的调度 ; 核心分析器 : 实现日志关联审计分析的功能 ; Web 控制台 : 是实现系统集中操作和管理的组件如下图所示 :

7 图 1 综合日志分析系统的功能架构 2.2 功能概述综合日志分析系统的主要功能如下 : 采集配置 : 在接入各类日志和事件前, 指定需要采集的目标接入方式以及相关参数 ( 如数据库的各种连接参数 ) 选择标准化的脚本和过滤及归并策略 ; 标准化 : 根据指定的标准化脚本, 对相应日志或事件进行标准字段的映射 ; 过滤和归并 : 过滤和归并的目的均是为了压缩整体日志数量, 而且利用过滤策略, 用户也可以将指定的日志转发至需要的地方或对日志信息的相关属性进行重新赋值 ; 事件分析和审计管理 : 事件分析和审计管理是综合日志分析系统的核心分析部分, 它不仅可以综合考量各种日志之间可能存在的关系, 而且能够对日志中相关要素进行分析 ; 最终, 事件分析和审计管理的结果均以告警的形式出现在系统中 ; 查询和检索 : 系统提供基础高级和基于搜索表达式的方式对原始事件进行不同维度的查询和检索 ;

8 报表管理 : 系统提供丰富的报表, 以满足用户不同的要求 ; 资产管理 : 与普通的综合日志分析系统不同, 综合日志分析系统提供资产管理模块, 以方便用户对被管对象的管理 ; 知识库管理 : 系统提供日志发送配置 ( 即如何对各种系统进行配置, 以便正常采集日志 ) 安全事件知识安全经验, 对日志审计提供相应的支撑 ; 系统管理 : 系统的自身管理, 包括如用户管理日志管理升级管理等功能 2.3 采集方式综合日志分析系统能够通过多种方式收集分析各事件源发送的日志或安全事件, 包括 : Syslog: 以 Syslog 协议接收安全事件 ; SNMP Trap: 接收来自设备的 SNMP Trap 的事件 ; 数据库方式 : 通过 JDBC 数据库接口获取事件源存放在各种数据库中的安全相关信息 ; 支持的数据库类型包括 Oracle Microsoft SQLServer DB2 MySQL 和 Sysbase; 网络 Socket 接口方式 : 通过 TCP/IP 网络, 以 Socket 通信的方式获得安全事件 ; 本地文件方式 : 通过读取事件源的日志文件, 来获取其中与安全有关的信息 ; SMB 方式 : 通过 SMB 或其兼容方式 ( 如 Samba) 接入 Windows 系统日志或其它系统日志 ; WMI 方式 : 通过 WMI 方式获取 Windows 系列产品的安全系统及应用日志 2.4 支持系统综合日志分析系统能够支持以下类型事件源日志的标准化解析 : 安全类 : 防病毒防火墙入侵检测 / 防御系统等安全设备或系统 ; 网络类 : 如 Cisco Juniper 华为等主流网络设备 ; 主机类 : 操作系统记录的重要安全相关的日志和事件告警,Windows 2000/2003/NT/XP/Vista/7/2008/8 以及如 CentOS SuSE IBM AIX HP-Unix 等各种版本的 Linux/Unix 系统 ; 数据库类 : 多种类型的数据库日志, 如 Oracle MySQL 等 ; 访问控制类 : 安全网关用户集中管理及认证系统等 ;

9 Web 应用类 : 各种应用系统的日志, 如 Apache Tomcat IIS 等 2.5 安装部署综合日志分析系统提供一键化的安装光盘 ; 采集部分 ( 包括采集控制器和采集器等 ) 核心分析 Web 控制台等组件可以进行分布式的安装, 而且系统不需要在被采设备上安装任何代理 3 综合日志分析系统功能简介 3.1 采集管理采集管理是系统进行分析的第一步, 用户通过指定需要采集的目标相关采集参数 (Syslog SNMP Trap 等被动方式无需指定 ) 相关的过滤策略和归并策略等创建日志采集器, 以收集相关设备或系统的日志包括采集策略管理和采集器管理采集策略管理标准化在之前的章节提到过, 不同的系统或设备所产生的日志格式是不尽相同的, 这就给分析和统计带了巨大的麻烦, 所以在综合日志分析系统中内置了众多的标准化脚本以处理这种情形 ; 即便对于某些特殊的设备, 您没有发现相关的解析脚本, 综合日志分析系统也提供了相应的定制方法以解决这些问题过滤和归并为了对接收的日志数量进行压缩, 综合日志分析系统还提供了过滤和归并功能 ; 其中, 过滤功能不仅仅是丢弃那些觉得无用的日志, 而且也可以将它们转发到外部系统或对部分事件字段进行重新填充采集器管理采集器事件接入管理是为了在采集控制器上设置需要接收标准化哪些设备 / 系统的安全事件 / 日志 ; 它是安全事件管理的核心内容, 也是系统安全事件 / 日志的唯一来源置, 如 : 需要注意的是各种采集方式适用的场景不尽相同, 在实际设置时应根据具体的被接入设备进行设 1. Syslog 方式 : 适用于大多数 Linux/Unix 类系统及多数网络和防火墙类设备 ;

10 2. SNMP Trap 方式 : 适用于一般的网络设备 ; 3. WMI 方式 : 适用于 Windows 系统的事件接入 ; 4. 数据库方式 : 适用于部分数据库自身的审计日志接入以及一些仅能将日志保存在数据库中的软件系统, 如 Symantec 网络防毒系统趋势网络防毒系统等 ; 5. 文件方式 : 适用于无法通过上述方式实时接入系统的或需集中审计 ( 特别是事后审计 ) 的软件或应用系统所留存的日志信息 ; 6. Socket 方式 : 适用于对日志信息丢失零容忍的场景, 但相关被采系统需进行一定程度的改造以发出符合综合日志分析系统要求的日志格式 ; 7. SMB 方式 : 适用于对日志接入实时性要求较低且可以开放文件共享的场景, 如一些 Web 中间件的访问日志接入 3.2 事件分析综合日志分析系统的事件分析功能是系统中的重要功能之一, 对于分析所产生的结果将在关联事件中呈现, 如果符合关联策略, 将以告警的形式在实时监控模块呈现给用户, 用户可以对告警进行相关的处理通过关联策略的建立, 系统不仅支持以预定义规则的方式进行关联, 还支持基于模式发现方式的关联 ; 系统不仅支持短时间内的序列关联, 还支持长时间的关联 ( 最长可达 30 天 ) 用户可以定义各类告警产生的策略 ( 系统内置了部分策略 ); 在策略中可以设定对于安全数据的筛选条件归并字段时长和次数以及命中后产生何种响应 ; 响应包括包含发送邮件发送 Syslog 或 SNMP Trap 执行外部程序或脚本暂存数据( 用户可以将数据保存在临时表中作为其它策略的输入 ) 等 3.3 审计管理综合日志分析系统的审计管理能是系统中的重要功能之一, 审计管理侧重于发现日志中相关要素是否和预定的审计策略相符, 如时间 IP 地址人员方式等, 对于相符合的结果, 系统将在审计事件中呈现给用户, 如果符合定制的审计策略, 也会在实时监控模块以告警形式展现给用户审计管理为审计人员系统管理人员提供了一个统一的审计工具, 减少人财物的投入, 降低了综合审计成本

11 审计管理能够方便的自定义审计人员行为对象审计类型审计策略等基本配置 ; 并能够自定义审计策略模板, 审计管理内置了大量审计策略模板, 涵盖了常见的对企业非常实用的审计策略模板, 如主机防火墙数据库萨班斯审计策略模板等 3.4 安全监控安全监控包括告警监控和实时监控所谓告警是指用户特别需要关注的安全问题, 这些问题来源于事件分析审计分析的结果告警监控中包括了如下功能 : 监控系统内存在的各种告警 ; 用户可以通过定义过滤器以监控需要特别关注的告警信息 ; 用户也可以根据个人需求, 设置告警的提示音界面显示方式等 ; 告警处理 : 处理监控列表中相关告警 ; 针对告警, 用户可以清除 ( 不予关注 ) 确认( 已知告警, 可后续处理 ); 所谓实时监控是指对当前接入的事件日志的逐条实时显示, 显示的日志内容是可以根据用户的需求进行设置过滤条件来定制的实时监控中包括了如下功能 : 设置监控过滤规则 : 根据用户需要或分析过程的需要设定显示过滤条件, 便于观察日志实时接收情况开始或暂停监控 : 根据过滤条件开始监控或暂停监控导出当前监控显示的内容 : 当暂停监控时, 用户可以导出当前显示的日志内容, 便于后续分析挖掘或追溯异常安全事件日志 3.5 报表管理报表管理的作用为展示系统安全工作的结果报表内容包含各种信息的统计情况, 如 : 日常类报表萨班斯报表等级保护报表等用户可以定义相关条件以生成报表, 它们均可以导出为 PDF Word Excel HTML 等格式, 如下图所示 :

12 图 2 日志事件报表 3.6 知识库知识库管理为系统运行和维护提供了知识来源以及安全问题的处理依据方法或参考, 目前支持如下几类 : 配置类 : 各种操作系统网络设备应用系统及数据库等接入安全管理平台日志的配置收集方法 ; 安全事件 / 日志类 : 各种安全系统的报警以及操作系统网络设备服务器及数据库的日志信息 ; 安全经验类 : 基于系统告警问题等信息综合生成的安全警示信息的描述告警触发建议及解决方案等用户可以通过全文检索功能查询知识库 3.7 资产管理安全资产是系统基础的管理对象是风险分析的依据 ; 与 ISO27001 的关于资产的定义略有不同, 综合日志分析系统中的资产是特指具有 IP 地址的 IT 类设备及其之上运行的可管理的服务应用一般而言, 资产具备如下两类属性 :

13 基本属性 : 名称编号系统类型 ( 产品类型操作系统类型版本等 ) IP 地址 ( 支持 IPv4 核 IPv6 格式 ) 等 ; 安全属性 : 完整性可用性保密性告警情况等系统的资产管理支持用户录入导入或自动发现资产为了处理不同网络的资产同 IP 问题, 系统还支持对于网络和 IP 地址段的管理为了用户便于集中灵活地管理所辖范围内的资产, 综合日志分析系统支持用户自定义资产管理视图 3.8 系统管理系统管理的主要功能有 : 用户管理系统参数管理内置对象管理升级管理许可证管理日志管理等 4 优势概述聚铭网络提供了业界领先的日志审计方案, 其主要优势体现在于 : 4.1 简洁易用的界面内掌握系统为用户提供了简单易用的界面, 即使是初次使用综合日志分析系统, 也完全能在较短的时间 4.2 灵活通用的系统设计从产品设计角度而言, 综合日志分析系统具有极大的灵活性, 主要体现在如下几个方面 : 可配置的安全概览 ; 可配置的系统功能菜单 ; 支持用户自定义的事件关联策略和审计策略 ; 灵活的安全事件标准化脚本 ; 方便的第三方接口 ; 4.3 全面强大的分析能力支持基于规则和基于统计的关联分析, 支持多种数据来源和响应方式, 能够基于资产进行综合风险分析和计算 ; 支持长时间的关联分析 4.4 多级分布的部署方式

14 支持多级数据交互或者同步同时系统建立了灵活的授权体系, 不同群体之间互不影响, 感觉就像在使用一套独立的系统 4.5 高速的处理性能支持高速的事件处理, 支持分布式采集集中处理和存储

目录一概述... 2 1.1 如何解决安全挑战... 2 1.2 平台建设的必要条件... 3 二架构说明... 3 2.1 数据采集层... 4 2.2 数据处理层... 5 2.3 应用服务层... 5 2.4 展示平台

目录一概述... 2 1.1 如何解决安全挑战... 2 1.2 平台建设的必要条件... 3 二架构说明... 3 2.1 数据采集层... 4 2.2 数据处理层... 5 2.3 应用服务层... 5 2.4 展示平台密级 : 秘密 NetEye 安全运维平台系统技术白皮书东软公司网络安全产品营销中心目录一概述... 2 1.1 如何解决安全挑战... 2 1.2 平台建设的必要条件... 3 二架构说明... 3 2.1 数据采集层... 4 2.2 数据处理层... 5 2.3 应用服