网络安全事件关联分析及主动响应机制的研究.pdfVIP

第２７卷第４期　　　 计算机应用与软件 Ｖｏｌ２７Ｎｏ．４ ２０１０年４月　　 ＣｏｍｐｕｔｅｒＡｐｐｌｉｃａｔｉｏｎｓａｎｄＳｏｆｔｗａｒｅ Ａｐｒ．２０１０ 网络安全事件关联分析及主动响应机制的研究 温　辉　徐开勇　赵　彬　汪　滨 （信息工程大学电子技术学院　河南郑州４５０００４） 摘　要　　如何从ＩＤＳ等安全设备每天产生的海量安全事件中挖掘出有价值的信息，帮助管理员找到那些真正具有威胁的攻击并 且及时主动的进行响应，有效地保护系统安全，这是目前网络安全管理亟待解决的问题。安全运维中心ＳＯＣ（ＳｅｃｕｒｉｔｙＯｐｅｒａｔｉｏｎｓ Ｃｅｎｔｒｅ）是近几年在国内外迅速发展的一种网络安全管理技术，深入研究了ＳＯＣ实现过程中涉及的安全事件关联分析、基于策略的 主动响应等关键技术。 关键词　　安全运维中心　关联信息模型　策略　主动响应 ＯＮＮＥＴＷＯＲＫＳＥＣＵＲＩＴＹＥＶＥＮＴＣＯＲＲＥＬＡＴＩＯＮＡＮＡＬＹＳＩＳＡＮＤ ＡＣＴＩＶＥＲＥＳＰＯＮＳＥＭＥＣＨＡＮＩＳＭ ＷｅｎＨｕｉ　ＸｕＫａｉｙｏｎｇ　ＺｈａｏＢｉｎ　ＷａｎｇＢｉｎ （ＩｎｓｔｉｔｕｔｅｏｆＥｌｅｃｔｒｏｎｉｃＴｅｃｈｎｏｌｏｇｙ，ＩｎｆｏｒｍａｔｉｏｎＥｎｇｉｎｅｅｒｉｎｇＵｎｉｖｅｒｓｉｔｙ，Ｚｈｅｎｇｚｈｏｕ４５０００４，Ｈｅｎａｎ，Ｃｈｉｎａ） Ａｂｓｔｒａｃｔ　　Ｈｏｗｔｏｅｆｆｅｃｔｉｖｅｌｙｐｉｃｋｏｕｔｖａｌｕａｂｌｅａｂｎｏｒｍａｌｂｅｈａｖｉｏｕｒｓｆｒｏｍｎｕｍｅｒｏｕｓｓｅｃｕｒｉｔｙｅｖｅｎｔｓｐｒｏｄｕｃｅｄｂｙａｌｌｋｉｎｄｓｏｆｓｅｃｕｒｉｔｙｐｒｏｄ ｕｃｔｓｅｖｅｒｙｄａｙ，ａｓｓｉｓｔｉｎｇｔｈｅａｄｍｉｎｉｓｔｒａｔｏｒｓｔｏｆｉｎｄｔｈｏｓｅａｔｔａｃｋｓｗｉｔｈｇｅｎｕｉｎｅｍｅｎａｃｅａｎｄｔｏｒｅｓｐｏｎｓｅａｃｔｉｖｅｌｙａｎｄｔｉｍｅｌｙｓｏａｓｔｏｅｆｆｅｃｔｕａｌｌｙ ｓａｆｅｇｕａｒｄｔｈｅｓｙｓｔｅｍｓｅｃｕｒｉｔｙ，ｉｔｉｓａｎｕｒｇｅｎｔｉｓｓｕｅｔｏｂｅｒｅｓｏｌｖｅｄｗｉｔｈｒｅｇａｒｄｔｏｎｅｔｗｏｒｋｓｅｃｕｒｉｔｙｍａｎａｇｅｍｅｎｔ．Ｓｅｃｕｒｉｔｙｏｐｅｒａｔｉｏｎｓｃｅｎｔｒｅ （ＳＯＣ）ｉｓｏｎｅｋｉｎｄｏｆｔｈｅｆａｓｔｄｅｖｅｌｏｐｅｄｎｅｔｗｏｒｋｓｅｃｕｒｉｔｙｍａｎａｇｅｍｅｎｔｔｅｃｈｎｏｌｏｇｉｅｓａｔｈｏｍｅａｎｄａｂｒｏａｄｉｎｒｅｃｅｎｔｙｅａｒｓ，ｉｎｔｈｅｐａｐｅｒｔｈｅａｕｔｈｏｒ ｉｎｖｅｓｔｉｇａｔｅｓｔｈｅｓｅｃｕｒｉｔｙｅｖｅｎｔｃｏｒｒｅｌａｔｉｏｎａｎａｌｙｓｉｓａｎｄｔｈｅｐｏｌｉｃｙｂａｓｅｄａｃｔｉｖｅｒｅｓｐｏｎｓｅｔｅｃｈｎｏｌｏｇｉｅｓｉｎｖｏｌｖｅｄｉｎＳＯＣｉｍｐｌｅｍｅｎｔａｔｉｏｎ． Ｋｅｙｗｏｒｄｓ　　ＳｅｃｕｒｉｔｙＯｐｅｒａｔｉｏｎｓＣｅｎｔｒｅ　Ｃｏｒｒｅｌａｔｉｏｎｉｎｆｏｒｍａｔｉｏｎｍｏｄｅｌ　Ｐｏｌｉｃｙ　Ａｃｔｉｖｅｒｅｓｐｏｎｓｅ 违例的情况；另外，它还通过对安全设备的实时控制，对安全违 ０　引　言 例状况采取有效的应对措施，以保障系统业务的持续安全运营， 降低安全风险。在ＳＯＣ的实现过程中，需要重点解决网络安全 为了应对层出不穷的网络安全问题，各类安全设备和产品 事件的关联分析和对突发的安全事件进行及时主动的响应这两 得到了广泛的研究和应用，如防火墙、入侵检测系统、漏洞扫描 个关键的问题。 器、系统实时监控器、ＶＰＮ、防病毒软件等。这些安全设备通常 近年来，随着互联网的发展以及社会信息化程度越来越高， 由不同的厂商生产，随着网络规模的扩大，安全设备的增多，网 各种安全设备在网络中的应用也越来越多，市场上开始出现了 络安全管理呈现出如下一些问