安全管理SOC建设.pptVIP

数据采集－Linktrust network Defender LND Agent Agent Manager LND Manager SQL Server2000 ODBC Intel 1CPU 1G内存 100G硬盘 LND Sensor LND Sensor LND Sensor Sentinel Console —事项关联 工作原理 从Agent收到事项 Correlation Engine 规则 correlation数据库 Console—事项监视 Sentinel收到数据，correlation Engine按照定义好的规则进行检查，如果发现相关事项，进行记录，达到规则条件，发出correlation事项 事件关联 Correlation rule种类 Watchlist Advanced Watchlist Basic Correlation Advanced Correlation Free rule Language 事件关联 Watchlist 通过向导（Wizard）建立 该correlation 规则允许指定一个文本值，correlation Engine 会在接收到的所有事项的所有的Meta-tag中进行检查 例如：Watchlist能够检查一个黑客的源ip地址，一旦在任何事项的任何位置发现该地址，立即报告并作出对策 事件关联 Advanced Watchlist Advanced Watchlist 和Watchlist类似，但可以允许用户使用Filter进行检查 可以选择一个现有的Filter，也可以创建一个新的Filter 事件关联 Basic Correlation 通过向导（Wizard）建立 可以对一段时间内，满足定义的条件的事项进行计数 例如，可以对同一个源IP地址在五分钟内出现五次进行报告，不管是否来自不同的设备，如防火墙，IDS 事件关联 Advanced Correlation 通过向导（Wizard）建立 不仅具有简单Correlation规则所有的特性,还可以就一段时间内满足条件的事项的某些meta-tag进行再次比较 例如，Advanced correlation规则可以监视一段时间内从同一个源地址到同一个目的地址,相同事项名称,当这些事项达到一定的数量,并且来自内网和外网,发出一个Correlation事项 事件关联 Free rule Language 这并不是一种新的Correlation规则,与前面几种不同的是,他不使用向导而是直接通过文本编辑器来完成各种Correlation 规则的定义 定义该规则需要使用ruleLG,这是一种关联性规则定义语言 使用该语言用户可以获得定义Correlation的完全的控制,不再受各种Correlation Wizard的限制 支持三种操作Filter, Window, Trigger 支持三种运算符Flow, Union, Intersection 基于资产的关联 将IDS事件与扫描结果进行关联 允许对事件进行合并 允许对事件重现评定级别 允许触发工单 基于知识的关联 工单的处理可以自动关联到以下知识： 专门的关联知识库 漏洞库 安全文档 安全通告 以往案例 支持的产品 (partial list) 支持的产品(partial list) 其他优势 以资产为核心的全新视角 完整的安全管理架构 丰富的主动响应能力 定期更新的知识服务 企业级的分布能力 界面截图 界面截图（续1） 界面截图（续2） This is not an all-inclusive list, but demonstrates the flexibility of our solution. It is not just traditional security products that need to be monitored. For an entire list, they can always go to the customer portal. Before this slide, you should ask what they are looking to monitor so that you can point it out on this slide or the next. * Ask the customer for what they have and what they want to monitor * 安全管理中心技术交流 议程 企业安全管理存在的主要问题 安全管理中心解决方案概述 安全管理中心解决方案的主要模块 配置建议 安全管理中心解决方案优势 分散的体系增加成本 分散的专用解决方案 防火墙、入侵检测、认