下载文档原格式
网络安全管理平台SOC
产品背景
产品简介
安全管理控制平台在应用、核心、边界、汇集等各个层次上安全控制功能，基于业务工作流，面向身份、权限、流量、域名和数据报文，开展一致性请求检测，实现完整性保护；基于信息资产登记，开展响应服务的一致性检测，支持机密性保护，突破未知网络攻击发现与威胁识别分析能力的提升。
产品特点
多元异构数据汇聚融合，具备PB量级数据的接入、存储、共享能力。
多类型网络安全威胁数据统计分析，支持拒绝服务攻击、木马僵尸网络、恶意代码、网站后门、网页篡改、域名劫持、蠕虫利用、漏洞利用等公告及数据类型的统计和关联分析，具备对未知攻击的感知发现能力。
提供态势要素信息提取功能，具备威胁识别、安全事件交互式分析和关联展示能力。
具有网络安全预警及持续诊断功能，支持多操作哦系统平台，具备网络化、自动化交付能力，支持安全事件全生命周期的持续监控、处置、跟踪等。
技术参数
平台架构
产品介绍。
密级：文档编号：项目代号：Alphachn网络安全管理中心系统平台建设方案建议2022年4月目录1概述 (5)2体系架构 (8)2.1安全运行中心的建设目标 (8)2.2安全运行中心建设的体系架构 (10)2.2.1全国soc－省级soc二级架构 (10)2.2.2基于层次模型的体系结构 (11)3功能模块 (15)3.1SOC核心系统 (15)3.1.1接口层 (15)3.1.1.1企业数据收集 (15)3.1.1.2安全数据收集 (15)3.1.1.3配置中心 (15)3.1.1.4响应中心 (16)3.1.2数据分析层 (16)3.1.2.1资产管理 (16)3.1.2.2漏洞分析 (16)3.1.2.3威胁分析 (16)3.1.2.4风险分析 (17)3.1.2.5安全信息库 (17)3.1.2.6任务调度 (18)3.1.3应用层 (18)3.1.3.1角色和用户管理 (18)3.1.3.2风险管理 (19)3.1.3.3分析查询 (23)3.1.3.4系统维护 (23)3.1.3.5安全设备管理 (24)3.2SOC外部功能模块 (25)3.2.2企业资产管理 (25)3.2.3脆弱性管理 (26)3.2.4事件和日志管理 (26)3.2.5配置收集 (27)3.2.6安全产品接口 (27)3.2.7安全知识系统 (27)3.2.8工单系统 (28)3.2.9响应工具及API (31)4实施方案 (32)4.1WEB界面定制方案 (32)4.1.1仪表板组件 (32)4.1.2资产信息管理组件 (33)4.1.3异常流量监控组件 (33)4.1.4安全事件监控管理组件 (34)4.1.5脆弱性管理组件 (34)4.1.6安全策略管理组件 (34)4.1.7安全预警组件 (34)4.1.8安全响应管理组件 (35)4.1.9网络安全信息 (35)4.2二级结构实施方案 (35)4.3部署方案 (36)4.3.1全国中心部署方案 (36)4.3.2江苏省中心部署方案 (36)4.3.3安全数据采集方案 (37)4.4其他 (38)4.4.1安全评价 (38)4.4.2配置收集和审计方案 (39)5优势概述 (42)附录一：事件管理支持产品一览 (43)1 概述随着的网络规模庞大、系统复杂，其中的各种网络设备、服务器、工作站、业务系统、支撑系统都存在着超常的复杂性、多样性。
网络安全管理平台SOC
产品背景
产品简介
安全管理控制平台在应用、核心、边界、汇集等各个层次上安全控制功能，基于业务工作流，面向身份、权限、流量、域名和数据报文，开展一致性请求检测，实现完整性保护；基于信息资产登记，开展响应服务的一致性检测，支持机密性保护，突破未知网络攻击发现与威胁识别分析能力的提升。
产品特点
多元异构数据汇聚融合，具备PB量级数据的接入、存储、共享能力。
多类型网络安全威胁数据统计分析，支持拒绝服务攻击、木马僵尸网络、恶意代码、网站后门、网页篡改、域名劫持、蠕虫利用、漏洞利用等公告及数据类型的统计和关联分析，具备对未知攻击的感知发现能力。
提供态势要素信息提取功能，具备威胁识别、安全事件交互式分析和关联展示能力。
具有网络安全预警及持续诊断功能，支持多操作哦系统平台，具备网络化、自动化交付能力，支持安全事件全生命周期的持续监控、处置、跟踪等。
平台架构。
SOC管理流程在当今信息化时代，社交媒体已经成为人们生活中不可或缺的一部分。
而对于企业来说，如何有效管理与监控社交媒体上的信息，成为了一项重要的工作。
SOC（Security Operations Center）管理流程就是为了解决这一问题而设计的，它是一种基于安全运营的管理模式，旨在帮助企业更好地管理社交媒体上的信息安全问题。
首先，SOC管理流程需要建立一个完善的信息监控系统。
这个系统需要能够实时监控社交媒体上的信息流动，及时发现可能存在的安全隐患和威胁。
同时，还需要能够对信息进行分类和分析，以便及时采取相应的安全措施。
这个信息监控系统需要具备高效、准确、可靠的特点，以确保对社交媒体上的信息进行全面监控。
其次，SOC管理流程还需要建立一套完善的安全事件响应机制。
一旦发现社交媒体上存在安全事件，必须能够迅速做出反应，采取有效的措施来应对和处理。
这就需要建立一个紧急响应团队，他们需要具备丰富的安全事件处理经验和专业的技术能力，以确保在最短的时间内有效地应对各种安全事件。
在SOC管理流程中，信息共享和协作也是非常重要的一环。
企业内部不同部门之间，以及企业与外部合作伙伴之间，需要建立起信息共享和协作机制。
这样才能实现信息的全面共享和协同作战，最大限度地提高安全事件的应对效率和准确性。
此外，SOC管理流程还需要建立一个完善的安全培训和教育机制。
这个机制需要确保企业内部的员工都具备一定的安全意识和技能，能够主动发现和报告可能存在的安全隐患。
同时，还需要定期对员工进行安全培训，以确保他们能够及时了解最新的安全威胁和应对措施。
总的来说，SOC管理流程是一项非常重要的工作，它需要企业全面考虑社交媒体安全管理的方方面面，建立起一套完善的管理体系和工作流程。
只有这样，才能够更好地保护企业在社交媒体上的信息安全，确保企业的正常运营和发展。
第6章SOC的体系结构SOC（Security Operations Center，安全运营中心）是一个组织或一个部门，负责实时监测、分析和响应企业网络安全威胁。
SOC的体系结构包括人员、流程和技术三个方面。
在SOC的人员方面，一个完善的SOC体系结构需要拥有合适的人员来执行各项任务。
其中，最重要的是SOC分析员。
他们的职责是监测网络流量和日志，分析异常活动，并采取适当的措施来应对威胁。
此外，SOC还需要具备合规专家、安全工程师、威胁情报分析师和事件响应专家等各种人才，以应对不同类型的安全事件和威胁。
在SOC的流程方面，一个有效的SOC体系结构需要定义和实施一系列的流程和规范。
首先是事件响应流程，用于监测、分析和响应安全事件。
其次是安全报告生成和分发流程，用于向高层管理层提供安全威胁的实时报告。
此外，还需要制定和实施定期的安全演练和训练计划，以保证SOC 团队的能力和技能。
在SOC的技术方面，一个强大的技术基础是必不可少的。
首先是日志管理和事件管理系统。
这些系统可以帮助收集、分析和管理大量的日志和事件数据，从而快速发现潜在的安全威胁。
其次是入侵检测系统（IDS）和入侵预防系统（IPS），用于监测和阻止潜在的攻击。
此外，SOC还需要具备强大的蜜罐系统、威胁情报引擎和自动化工具，以提高检测和响应的效率。
除了人员、流程和技术，一个SOC体系结构还需要考虑信息共享和合作机制。
SOC应该与内部和外部的安全团队、安全供应商、威胁情报机构以及其他相关组织建立良好的合作关系和信息共享机制，以快速获取最新的安全威胁情报，并提供更好的预防和响应能力。
此外，一个完善的SOC体系结构还应该考虑到持续改进和优化。
SOC 应该定期审查和评估其流程、技术和人员的性能，识别和解决存在的问题和瓶颈，并持续改进和优化其运营效率和响应能力。
综上所述，一个有效的SOC体系结构需要考虑人员、流程、技术以及信息共享和合作机制等多个方面。
只有在这些方面得以完善的前提下，SOC才能够更好地监测、分析和响应企业的网络安全威胁，从而确保网络安全的持续性和可靠性。
信息安全神经中枢——信息安全管理平台（SOC）
信息安全管理平台，又叫作安全管理平台（security management）、安全信息管理中心（SIM,security information management）、安全信息与事件管理平台（SIEM,security information event management）、安全运营中心（SOC，security operation center），等。
在国内外有多种多样的称呼，总之其目的是管理安全相关的信息。
我们这里所提到的信息其实说的通俗一点就是日志信息和性能监控信息。
信息安全管理平台（习惯上我们称之为SOC）就是把各式各样的设备（网络设备-交换/路由，安全设备-防火墙/IPS，系统设备-win/linux）中的日志信息收集过来，经过SOC系统的处理与分析，在海量数据中挖掘出对于用户来说重要的、危险的、有用的信息。
SOC的发展：
第一代SOC：
由事件/信息收集器演变而来的作为信息集中管理的平台，多数厂家只是支持自己的产品日志格式，国内都定义为：日志收集器。
国内安全/网络设备生产厂家都有各自的日志收集器，并附带管理自己设备的功能；
第二代SOC：
由于第一代SOC能做到的工作只是作为信息收集，并不能对于其收集的各项事件信息进行分析和处理，所以第二代SOC在2005年左右在个厂家兴起。
其核心技术就是加入了国外流行的概念：关联分析。
关联分析其核心技术是“状态机”，通过定义资产信息和分析事件状态的变化来对信息进行深入的分析和对攻击/异常行为的判断。
国内厂家在第二代SOC上已经花费了大量的资金和时间，但效果并不理想。
第三代SOC：
从现实情况来看，第二代SOC并没有得到国内大部分用户的认可和信任。
于是，第三代SOC的诞生引起了大家的兴趣。
在原有第二代SOC的基础之上，各厂家纷纷对SOC进行了“改装”，有的加入了网络管理模块，有的加入运维管理模块，还有的加入各式各样能嵌入的信息系统，导致现在第三代SOC越来越庞大，越来越臃肿。
其中大肆宣传的概念从“关联分析”转变为“业务导向”。
为了商业目的，捆绑所有的模块（行话叫‘All In One’）在项目中限制竞争对手。
最后第三代SOC能否成功只有通过时间和客户来验证了。
SOC的未来：
未来的3-5年，SOC主要围绕着两个维度来发展：产品+服务。
不管在应用过程中采用第几代的SOC，都应该根据自身的需求和发展来选择适合自己的系统。
产品，是一个用来支撑SOC的必要工具集，产品的功能和性能决定了工具的强大；再强大的工具如果没有专业的服务配合也是很难成功的完成SOC的建设。
决定SOC建设成功的因素大致总结为以下几个方面：
1、甲乙双方对于理解SOC定义不能存在太大的偏差，不能为了建设而建设；
2、建设过程中采用的一系列工具能够对于管理起到帮助作用，
选择一个适合自己的平台；
3、SOC建设完成后要真正用起来管起来，不能成为“摆设”，尝试着由专业团队来负责运营。
信息系统网络交织在一起是一套“神经网络”，采用SOC技术对信息进行管理就像网络中的神经中枢。
网络中各种设备和系统结合在一起，由SOC来进行安全信息分析，以达到掌控全局安全现状的目的。
我们把这个称作为：信息安全神经中枢。
上海赛克通信息技术有限公司
2012年2月20日。
