ITU-T X.1541 建议书(09/2012) - 事件对象描述交换格式

Size: px

Start display at page:

Download "ITU-T X.1541 建议书(09/2012) - 事件对象描述交换格式"

白颔范
7 years ago
Views:

1 国际电信联盟 ITU-T X.1541 国际电信联盟电信标准化部门 (09/2012) X 系列 : 数据网开放系统通信和安全性网络安全信息交换事件 / 事故 / 探索法交换事件对象描述交换格式 ITU-T X.1541 建议书

2 ITU-T X 系列建议书数据网开放系统通信和安全性公用数据网开放系统互连网间互通报文处理系统号码簿 OSI 组网和系统概貌 OSI 管理安全 OSI 应用开放分布式处理信息和网络安全一般安全问题网络安全安全管理生物测定安全安全应用和服务组播安全家庭网络安全移动安全网页安全安全协议对等网络安全网络身份安全 IPTV 安全网络空间安全计算网络安全反垃圾信息身份管理安全应用和服务应急通信泛在传感器网络安全网络安全信息交换网络安全概述脆弱性 / 状态信息交换事件 / 事故 / 探索法交换政策的交换探索法和信息请求标识和发现确保交换 X.1 X.199 X.200 X.299 X.300 X.399 X.400 X.499 X.500 X.599 X.600 X.699 X.700 X.799 X.800 X.849 X.850 X.899 X.900 X.999 X.1000 X.1029 X.1030 X.1049 X.1050 X.1069 X.1080 X.1099 X.1100 X.1109 X.1110 X.1119 X.1120 X.1139 X.1140 X.1149 X.1150 X.1159 X.1160 X.1169 X.1170 X.1179 X.1180 X.1199 X.1200 X.1229 X.1230 X.1249 X.1250 X.1279 X.1300 X.1309 X.1310 X.1339 X.1500 X.1519 X.1520 X.1539 X.1540 X.1549 X.1550 X.1559 X.1560 X.1569 X.1570 X.1579 X.1580 X.1589 欲了解更详细信息, 请查阅 ITU-T 建议书目录

799 X.800 X.849 X.850 X.899 X.900 X.999 X.1000 X.1029 X.1030 X.1049 X.1050 X.1069 X.1080 X.1099 X.1100 X.1109 X.1110 X.1119 X.1120 X.1139 X.1140 X.1149 X.1150 X.1159 X.1160 X.1169 X.

3 ITU-T X.1541 建议书事件对象描述交换格式摘要 ITU-T X.1541 建议书阐述了事件对象描述交换格式 (IODEF) 的信息模型, 并提供了一种以 XML 模式表示的相关数据模型 IODEF 具体介绍了共享普遍交换计算机安全或其它事件类型信息的数据模型这是通过列出 IETFREC 5070 的相关段落和说明它们属于规范性还适情况通报性实现的沿革版本建议书批准日期研究组 1.0 ITU-T X ITU-T X.1541 建议书 (09/2012) i

IODEF 具体介绍了共享普遍交换计算机安全或其它事件类型信息的数据模型这是通过列出 IETFREC 5070

4 前言国际电信联盟 (ITU) 是从事电信领域工作的联合国专门机构 ITU-T( 国际电信联盟电信标准化部门 ) 是国际电信联盟的常设机构, 负责研究技术操作和资费问题, 并且为在世界范围内实现电信标准化, 发表有关上述研究项目的建议书每四年一届的世界电信标准化全会 (WTSA) 确定 ITU-T 各研究组的研究课题, 再由各研究组制定有关这些课题的建议书 WTSA 第 1 号决议规定了批准建议书须遵循的程序属 ITU-T 研究范围的某些信息技术领域的必要标准, 是与国际标准化组织 (ISO) 和国际电工技术委员会 (IEC) 合作制定的注本建议书为简明扼要起见而使用的主管部门一词, 既指电信主管部门, 又指经认可的运营机构遵守本建议书的规定是以自愿为基础的, 但建议书可能包含某些强制性条款 ( 以确保例如互操作性或适用性等 ), 只有满足所有强制性条款的规定, 才能达到遵守建议书的目的应该或必须等其它一些强制性用语及其否定形式被用于表达特定要求使用此类用语不表示要求任何一方遵守本建议书知识产权国际电联提请注意 : 本建议书的应用或实施可能涉及使用已申报的知识产权国际电联对无论是其成员还是建议书制定程序之外的其它机构提出的有关已申报的知识产权的证据有效性或适用性不表示意见至本建议书批准之日止, 国际电联尚未收到实施本建议书可能需要的受专利保护的知识产权的通知但需要提醒实施者注意的是, 这可能并非最新信息, 因此特大力提倡他们通过下列网址查询电信标准化局 (TSB) 的专利数据库 : 国际电联 2013 版权所有未经国际电联事先书面许可, 不得以任何手段复制本出版物的任何部分 ii ITU-T X.1541 建议书 (09/2012)

只有满足所有强制性条款的规定, 才能达到遵守建议书的目的应该或必须等其它一些强制性用语及其否定形式被用于表达特定要求使用此类用语不表示要求任何一方遵守本建议书知识产权国际电联提请注意 : 本建议书的应用或实施可能涉及使用已申报的知识产权国际电联对无论是其成员还是建议书制定程序之外的其它机构提出的有关已申报的知识产权的证据有效性或适用性不表示意见至本建议书批准之日止,

5 目录页码 1 范围参考文献定义他处定义的术语本建议书定义的术语缩写词和首字母缩略语惯例事件对象描述交换格式引言 IODEF 数据类型 IODEF 数据模型处理注意事项扩展 IODEF 国际化问题示例 IODEF 模式安全性方面的考虑 IANA 的考虑致谢参考文献... 7 参考资料... 8 ITU-T X.1541 建议书 (09/2012) iii

4 处理注意事项... 6 6.5 扩展 IODEF... 6 6.6 国际化问题... 6 6.7 示例... 7 6.8 IODEF 模式... 7 6.9 安全性方面的考虑.

6 引言 ITU-T X.1500 建议书网络安全交换概述, 为通过本建议书提供的同类包括事件和指标的网络安全交换提供了指导安全事件对象描述交换格式 (IODEF) 是一种用于描述计算机安全信息的数据模型, 规定了一种 XML 数据模型表示法, 用于在相关部门中肩负着发起主动防御矫正修复或监测预警等操作责任的当事方之间传递安全事件信息该数据模型提供了一种对以下信息进行编码的方法 : 主机网络以及在这些系统上运行的服务 ; 利用方法和相关数据 ; 事件影响 ; 以及记录工作流程的有限方法 IODEF 的首要目的是增强 CSIRT 的工作能力和态势感知能力 IODEF 的普遍采纳有助于简化协作和信息共享, 进而能够改进解决事件的能力和传递有关威胁态势意识的能力这种 IODEF 的结构化格式可以 : 通过交换结构性事件信息, 提高处理事件信息的自动化程度, 无需安全分析人员再对自由形式的文本文件进行分析 ; 减少在来自不同来源的类似数据 ( 即使具有高度结构性 ) 之间建立关联的工作量, 从而增强态势感知 ; 以及提供一个通用格式, 使事件处理工具和分析工具具有互操作性, 当数据来自多个实体时其意义尤为重要众多程序信任政策和法律方面的因素可能会限制或阻止 CSIRT 或 SP 共享信息 IODEF 只是一套技术规范, 并不试图解决这些问题不过, 在订立信息共享协议时, 从操作层面实施 IODEF 以及相关的格式和协议则应从范畴更广的角度考虑上述问题 iv ITU-T X.1541 建议书 (09/2012)

该数据模型提供了一种对以下信息进行编码的方法 : 主机网络以及在这些系统上运行的服务 ; 利用方法和相关数据 ; 事件影响 ; 以及记录工作流程的有限方法 IODEF 的首要目的是增强 CSIRT 的工作能力和态势感知能力 IODEF 的普遍采纳有助于简化协作和信息共享, 进而能够改进解决事件的能力和传递有关威胁态势意识的能力

7 ITU-T X.1541 建议书事件对象描述交换格式 1 范围事件对象描述交换格式 (IODEF) 规定了一种数据模型表示法, 可用于共享通常交换的有关计算机安全或其它类型事件的信息本建议书描述了 IODEF 的信息模型, 并提供了用 XML 模式 (Schema) 表示的相关数据模型任何能够实现计算机安全信息或其它类型事件信息共享的数据模型表示法或框架必须符合一切适用的国家及区域性法律法规和政策包括本建议书在内的所有 ITU-T 建议书及其基础技术的实施者和用户, 须遵循一切适用的国家及区域性法律法规和政策 2 参考文献下列 ITU-T 建议书和其他参考文献的条款, 通过在本建议书中的引用而构成本建议书的条款在出版时注明的版本为有效版本所有的建议书和其它参考文献均会得到修订, 本建议书的使用者应查证是否有可能使用下列建议书或其它参考文献的最新版本当前有效的 ITU-T 建议书清单定期出版本建议书引用的文件自成一体时不具备建议书的地位 [IETF RFC 5070] IETF RFC 5070 (2007), 事件对象描述交换格式 < 5070/> 3 定义 3.1 他处定义的术语无 3.2 本建议书定义的术语无 4 缩写词和首字母缩略语本建议书使用以下缩写词和首字母缩略语 : IANA IODEF 互联网域名分配管理机构事件对象描述交换格式 ITU-T X.1541 建议书 (09/2012) 1

任何能够实现计算机安全信息或其它类型事件信息共享的数据模型表示法或框架必须符合一切适用的国家及区域性法律法规和政策包括本建议书在内的所有 ITU-T 建议书及其基础技术的实施者和用户, 须遵循一切适用的国家及区域性法律法规和政策 2 参考文献下列 ITU-T 建议书和其他参考文献的条款,

8 5 惯例下列术语被视为彼此等同 : 在国际电联, shall 和 must 在使用时彼此等同, 其反义表达亦视为彼此等同国际电联使用的 shall 一词与 IETF 使用的 MUST 一词等同国际电联使用的 shall not 短语与 IETF 使用的 MUST NOT 短语等同注在 IETF, shall 和 must ( 小写 ) 两词用于资料性文本 6 事件对象描述交换格式第 6 条定义了事件对象描述交换格式 (IODEF) 该条直接引用了[IETF RFC 5070], 并为此将有关条文与章节编号保持一致, 如此第 6.x 条便与 [IETF RFC 5070] 第 x 节保持一致, 且标题彼此匹配注对 [b-ietf RFC 5070] 的勘误表见 [b-errata ID3333] 6.1 引言 [b-ietf RFC 5070] 第 1 节为资料性文本术语 [b-ietf RFC 5070] 第 1.1 节为资料性文本符号 [b-ietf RFC 5070] 第 1.2 节为资料性文本关于 IODEF 数据模型 [b-ietf RFC 5070] 第 1.3 节为资料性文本关于 IODEF 的实施 [b-ietf RFC 5070] 第 1.4 节为资料性文本 6.2 IODEF 数据类型 [b-ietf RFC 5070] 第 2 节为资料性文本整数 [IETF RFC 5070] 第 2.1 节为规范性文本实数 [IETF RFC 5070] 第 2.2 节为规范性文本字符和字符串 [IETF RFC 5070] 第 2.3 节为规范性文本多语言字符串 [IETF RFC 5070] 第 2.4 节为规范性文本字节 [IETF RFC 5070] 第 2.5 节为规范性文本 2 ITU-T X.1541 建议书 (09/2012)

1.1 术语 [b-ietf RFC 5070] 第 1.1 节为资料性文本 6.1.2 符号 [b-ietf RFC 5070] 第 1.2 节为资料性文本 6.1.3 关于 IODEF 数据模型 [b-ietf RFC 5070] 第 1.3 节为资料性文本 6.1.4 关于 IODEF 的实施 [b-ietf RFC 5070] 第 1.4 节为资料性文本 6.

9 6.2.6 十六进制字节 [IETF RFC 5070] 第 2.6 节为规范性文本枚举类型 [IETF RFC 5070] 第 2.7 节为规范性文本日期 - 时间字符串 [IETF RFC 5070] 第 2.8 节为规范性文本时区字符串 [IETF RFC 5070] 第 2.9 节为规范性文本端口列表 [IETF RFC 5070] 第 2.10 节为规范性文本邮政地址 [IETF RFC 5070] 第 2.11 节为规范性文本人或机构 [IETF RFC 5070] 第 2.12 节为规范性文本电话和传真号码 [IETF RFC 5070] 第 2.13 节为规范性文本电子邮件字符串 [IETF RFC 5070] 第 2.14 节为规范性文本统一资源定位器字符串 [IETF RFC 5070] 第 2.15 节为规范性文本 6.3 IODEF 数据模型 [b-ietf RFC 5070] 第 3 节为资料性文本 IODEF- 文档类 [IETF RFC 5070] 第 3.1 节为规范性文本安全事件类 [IETF RFC 5070] 第 3.2 节为规范性文本安全事件 ID 类 [IETF RFC 5070] 第 3.3 节为规范性文本备选 ID 类 [IETF RFC 5070] 第 3.4 节为规范性文本相关活动类 [IETF RFC 5070] 第 3.5 节为规范性文本 ITU-T X.1541 建议书 (09/2012) 3

14 节为规范性文本 6.2.15 统一资源定位器字符串 [IETF RFC 5070] 第 2.15 节为规范性文本 6.3 IODEF 数据模型 [b-ietf RFC 5070] 第 3 节为资料性文本 6.3.1 IODEF- 文档类 [IETF RFC 5070] 第 3.1 节为规范性文本 6.3.2 安全事件类 [IETF RFC 5070] 第 3.

10 6.3.6 附加数据类 [IETF RFC 5070] 第 3.6 节为规范性文本联系人类 [IETF RFC 5070] 第 3.7 节为规范性文本登记机构代码类 [IETF RFC 5070] 第节为规范性文本邮政地址类 [IETF RFC 5070] 第节为规范性文本电子邮件类 [IETF RFC 5070] 第节为规范性文本电话和传真类 [IETF RFC 5070] 第节为规范性文本时间类 [IETF RFC 5070] 第 3.8 节为规范性文本开始时间 [IETF RFC 5070] 第节为规范性文本结束时间 [IETF RFC 5070] 第节为规范性文本检测时间 [IETF RFC 5070] 第节为规范性文本报告时间 [IETF RFC 5070] 第节为规范性文本日期时间 [IETF RFC 5070] 第节为规范性文本方法类 [IETF RFC 5070] 第 3.9 节为规范性文本参考类 [IETF RFC 5070] 第节为规范性文本评估类 [IETF RFC 5070] 第 3.10 节为规范性文本影响类 [IETF RFC 5070] 第节为规范性文本 4 ITU-T X.1541 建议书 (09/2012)

3.8.3 检测时间 [IETF RFC 5070] 第 3.8.3 节为规范性文本 6.3.8.4 报告时间 [IETF RFC 5070] 第 3.8.4 节为规范性文本 6.3.8.5 日期时间 [IETF RFC 5070] 第 3.8.5 节为规范性文本 6.3.9 方法类 [IETF RFC 5070] 第 3.9 节为规范性文本 6.3.9.1 参考类 [IETF RFC 5070] 第 3.

11 时间影响类 [IETF RFC 5070] 第节为规范性文本货币影响类 [IETF RFC 5070] 第节为规范性文本信心类 [IETF RFC 5070] 第节为规范性文本历史类 [IETF RFC 5070] 第 3.11 节为规范性文本历史项目类 [IETF RFC 5070] 第节为规范性文本事件数据类 [IETF RFC 5070] 第 3.12 节为规范性文本在事件和时间数据类之间建立相关 [IETF RFC 5070] 第节为规范性文本事件数据的基数 [IETF RFC 5070] 第节为规范性文本期望类 [IETF RFC 5070] 第 3.13 节为规范性文本流类 [IETF RFC 5070] 第 3.14 节为规范性文本系统类 [IETF RFC 5070] 第 3.15 节为规范性文本节点类 [IETF RFC 5070] 第 3.16 节为规范性文本计数器类 [IETF RFC 5070] 第节为规范性文本地址类 [IETF RFC 5070] 第节为规范性文本节点作用类 [IETF RFC 5070] 第节为规范性文本服务类 [IETF RFC 5070] 第 3.17 节为规范性文本 ITU-T X.1541 建议书 (09/2012) 5

13 节为规范性文本 6.3.14 流类 [IETF RFC 5070] 第 3.14 节为规范性文本 6.3.15 系统类 [IETF RFC 5070] 第 3.15 节为规范性文本 6.3.16 节点类 [IETF RFC 5070] 第 3.16 节为规范性文本 6.3.16.1 计数器类 [IETF RFC 5070] 第 3.16.1 节为规范性文本 6.3.16.2 地址类 [IETF RFC 5070] 第 3.

12 应用类 [IETF RFC 5070] 第节为规范性文本操作系统类 [IETF RFC 5070] 第 3.18 节为规范性文本记录类 [IETF RFC 5070] 第 3.19 节为规范性文本记录数据类 [IETF RFC 5070] 第节为规范性文本记录模式类 [IETF RFC 5070] 第节为规范性文本记录项目类 [IETF RFC 5070] 第节为规范性文本 6.4 处理注意事项 [b-ietf RFC 5070] 第 4 节为资料性文本编码 [IETF RFC 5070] 第 4.1 节为规范性文本 IODEF 命名空间 [IETF RFC 5070] 第 4.2 节为规范性文本验证 [IETF RFC 5070] 第 4.3 节为规范性文本 6.5 扩展 IODEF [b-ietf RFC 5070] 第 5 节为资料性文本 ITU-T X.1500 建议书网络安全交换概述, 为通过本建议书提供的同类包括事件和指标的网络安全交换提供了指导根据 ITU-T X.1500 建议书, 本建议书为时间信息交换提供了基础格式, 但并未涉及所有用户案例可能需要开发涉及必要用户案例的扩展扩展属性的枚举值 [IETF RFC 5070] 第 5.1 节为规范性文本扩展类 [IETF RFC 5070] 第 5.2 节为规范性文本 6.6 国际化问题 [IETF RFC 5070] 第 6 节为规范性文本 6 ITU-T X.1541 建议书 (09/2012)

3 节为规范性文本 6.5 扩展 IODEF [b-ietf RFC 5070] 第 5 节为资料性文本 ITU-T X.1500 建议书网络安全交换概述, 为通过本建议书提供的同类包括事件和指标的网络安全交换提供了指导根据 ITU-T X.1500 建议书, 本建议书为时间信息交换提供了基础格式, 但并未涉及所有用户案例可能需要开发涉及必要用户案例的扩展 6.5.1 扩展属性的枚举值 [IETF RFC 5070] 第 5.

13 6.7 示例 [b-ietf RFC 5070] 第 7 节为资料性文本蠕虫 [b-ietf RFC 5070] 第 7.1 节为资料性文本侦察 [b-ietf RFC 5070] 第 7.2 节为资料性文本僵尸网报告 [b-ietf RFC 5070] 第 7.3 节为资料性文本监测名单 [b-ietf RFC 5070] 第 7.4 节为资料性文本 6.8 IODEF 模式 [IETF RFC 5070] 第 8 节为规范性文本 6.9 安全性方面的考虑 [IETF RFC 5070] 第 9 节为规范性文本在按照 ITU-T 的要求实施该内容时, 用于交换 IODEF 实例的基本消息格式和协议须适当保障机密性完整性和真实性注在 IETF, must ( 小写 ) 一词用于资料性文本 6.10 IANA 的考虑 [IETF RFC 5070] 第 10 节为规范性文本 6.11 致谢 [b-ietf RFC 5070] 第 11 节为资料性文本 6.12 参考文献规范性参考文献 [b-ietf RFC 5070] 第 12.1 节为资料性文本本 ITU-T 建议书已明确指出,[IETF RFC 5070] 第 12 节属于资料性内容, 原因在于 ITU-T 并未确定本建议书中任何参考文献的性质但 IETF 已经为 [IETF RFC 5070] 明确了一系列规则性参考文献资料性参考文献 [b-ietf RFC 5070] 第 12.2 节为资料性文本 ITU-T X.1541 建议书 (09/2012) 7

9 安全性方面的考虑 [IETF RFC 5070] 第 9 节为规范性文本在按照 ITU-T 的要求实施该内容时, 用于交换 IODEF 实例的基本消息格式和协议须适当保障机密性完整性和真实性注在 IETF, must ( 小写 ) 一词用于资料性文本 6.10 IANA 的考虑 [IETF RFC 5070] 第 10 节为规范性文本 6.

14 参考资料 [b-itu-t X.1500] [b-errata ID3333] [b-ietf RFC 5070] Recommendation ITU-T X.1500 (2011), Overview of cybersecurity information exchange. IETF RFC Errata ID: 3333, IETF RFC5070, "The Incident Object Description Exchange Format", December 2007; Status: Held for Document Update; Type: Editorial; Date Reported: < IETF RFC 5070 (2007), The Incident Object Description Exchange Format (IODEF). < 5070/> 8 ITU-T X.1541 建议书 (09/2012)

IETF RFC Errata ID: 3333, IETF RFC5070, "The Incident Object Description Exchange Format", December 2007; Status: Held for Document

16 ITU-T 系列建议书 A 系列 D 系列 E 系列 F 系列 G 系列 H 系列 I 系列 J 系列 K 系列 L 系列 M 系列 N 系列 O 系列 P 系列 Q 系列 R 系列 S 系列 T 系列 U 系列 V 系列 X 系列 Y 系列 Z 系列 ITU-T 工作的组织一般资费原则综合网络运行电话业务业务运行和人为因素非话电信业务传输系统和媒质数字系统和网络视听及多媒体系统综合业务数字网有线网络和电视声音节目及其它多媒体信号的传输干扰的防护电缆和外部设备其它组件的结构安装和保护电信管理, 包括 TMN 和网络维护维护 : 国际声音节目和电视传输电路测量设备的技术规范电话传输质量电话设施及本地线路网络交换和信令电报传输电报业务终端设备远程信息处理业务的终端设备电报交换电话网上的数据通信数据网开放系统通信和安全性全球信息基础设施互联网协议问题和下一代网络用于电信系统的语言和一般软件问题瑞士印刷 2013 年, 日内瓦

声音节目及其它多媒体信号的传输干扰的防护电缆和外部设备其它组件的结构安装和保护电信管理, 包括 TMN 和网络维护维护 : 国际声音节目和电视传输电路测量设备的技术规范电话传输质量

ITU-T X 建议书 (09/2012) - 通用平台列举名称匹配

ITU-T X 建议书 (09/2012) - 通用平台列举名称匹配国际电信联盟 ITU-T 国际电信联盟电信标准化部门 X.1528.2 (09/2012) X 系列 : 数据网开放系统通信和安全性网络安全信息交换脆弱性 / 状态信息交换通用平台列举名称匹配 ITU-T X.1528.2 建议书 ITU-T X 系列建议书数据网开放系统通信和安全性公用数据网开放系统互连网间互通报文处理系统号码簿 OSI 组网和系统概貌 OSI 管理安全 OSI 应用开放分布式处理信息和网络安全一般安全问题网络安全安全管理生物测定安全安全应用和服务组播安全家庭网络安全移动安全网页安全安全协议对等网络安全网络身份安全