网络安全审计系统需求分析(共4页).doc

《网络安全审计系统需求分析(共4页).doc》由会员分享，可在线阅读，更多相关《网络安全审计系统需求分析(共4页).doc（4页珍藏版）》请在淘文阁 - 分享文档赚钱的网站上搜索。

1、精选优质文档-倾情为你奉上安全审计系统需求分析关键字：行为监控，内容审计摘要：系统集内容审计与行为监控为一体，以旁路的方式部署在网络中，实时采集网络数据，并按照指定策略对数据进行过滤，然后将数据所体现的内容和行为特性一并存在到数据服务器上。向用户提供审计分析功能，以及后期取证功能。需求背景按等级进行计算机信息系统安全保护的相关单位或部门，往往需要对流经部门与外界接点的数据实施内容审计与行为监控的，以防止非法信息恶意传播及国家机密、商业知识和知识产权等信息泄露。并且单位的网管部门需要掌握网络资源的使用情况，提高单位或部门的工作效率。所涉及的单位类型有政府、军队机关的网络管理部门，公安、保密、司法

2、等国家授权的网络安全监察部门，金融、电信、电力、保险、海关、商检、学校、军工等各行业网络管理中心，大中型企业网络管理中心等。一、 实现的效果和目的a. 对用户的网络行为监控、网络传输内容审计 （如员工是否在工作时间上网冲浪、聊天，是否访问不健康网站，是否通过网络泄漏了公司的机密信息，是否通过网络传播了反动言论等）。b. 掌握网络使用情况（用途、流量），提高工作效率。c. 网络传输信息的实时采集、海量存储。d. 网络传输信息的统计分析。e. 网络行为后期取证。f. 对网络潜在威胁者予以威慑。二、 典型的系统组成安全审计系统由三部分组成：审计引擎、数据中心、管理中心。图1 ：典型的单点部署审计引擎

3、（硬件）：审计引擎对流经HUB/Switch的信息进行采集、过滤、重组、预分析，并把分析后的数据流发送给数据中心。数据中心（软件）：对审计引擎传送过来的数据流进行存储；按照用户的指令对数据进行还原、解码、解压缩，并可进行关键字查询审计、统计分析。管理中心（软件）：提供WEB形式的管理界面，可以方便的对系统进行管理、对网络行为监控、内容审计。用户使用WEB浏览器可以实现对整个系统的管理、使用。图2：适合多级管理的分布式部署三、 所需功能细分1 量监控与统计功能 l 对重要IP进行流量监测，并绘制出直观的流量曲线图，有效发现网上出现的异常流量。 l 支持对历史流量统计分析。2 持多种应用协议议的还

4、原、审计l Web浏览（HTTP）能完全截获、记录、回放、归档被监测网络中所有用户浏览的WEB内容。 l 电子邮件（POP3、SMTP、WEB MAIL）能完全截获、记录、回放、归档被监测网络中所有用户收发的电子邮件。 l 文件下载(FTP)能记录、查询访问FTP服务器的用户名、口令。回放用户在服务器上的操作过程、还原用户传输的数据。 l 即时聊天（例如MSN、QQ等）能完全记录用户登录时间、离开时间；用户登录IP地址、目的IP地址；聊天时使用的用户名；能监视用户聊天频率、还原用户聊天内容。 l 流媒体（MMS、RTSP）能记录用户访问的流媒体地址，访问开始时间、结束时间，访问流媒体名称及简介

5、。 l 远程登录（TELNET）能记录和查询访问服务器上TELNET的用户名和口令字；能记录和回放用户在服务器上的操作过程。 3 支持多种审计方式l 实时监控对网络中各种应用进行实时监控分析。 l 行为监控可以完全记录、回放用户网络行为。 l 内容查看审计支持网络数据内容的完全还原，后期可以进行内容审计、取证。 l 关键词审计根据设定的关键词，自动快速的进行全文检索，匹配成功的内容将以醒目字体颜色显示。 l 流量监控通过流量监控，有效发现网上出现的异常流量。 l 报表统计通过统计分析，发现网络中潜在的危险。4 报表与统计l 支持多种条件的统计分析。 l 完善的报表功能：提供多种专业化报表和分析

6、图表5支持多种报警响应方式 邮件报警。 l 阻断。 l TOPSEC联动。6灵活全面的审计策略、采集策略。 l 关键词策略。l 流量监控策略。 l 报警响应策略。 l 统计分析策略7高速、完整、海量信息处理能力l 零拷贝高速抓包。 l 分布式数据采集、数据处理。 l 强大的包重组和流重组能力，可以监控各种基于协议碎片的逃避检测行为。8支持多种编码、压缩格式 l 支持多种编码方式：Base64、Quoted-Printable、UTF-7、UTF-8 l 支持多种压缩格式：Zip、Rar、Arj、Gz等。9资源监控、日志功能l 系统资源实时监控。 l 提供完整的操作日志、系统日志记录,可以进行方

7、便的查看、导入导出。l 多级用户管理，按照功能角色用户三级进行权限控制。l 用户友好的管理，查看界面。l 便捷的的部署方式，支持分布式部署。四、 涉及的关键技术点1 引擎在引擎上使用裁减过的Linux操作系统，在截包时候使用“零拷贝技术”，对数据进行IP包重组，流重组后，按照会话（session）归类，形成一个基本分析，传递给数据中心。问题：l 当处理速度不够的时候，丢包，造成IP包不完整或者会话不完整，数据丢失。l “零拷贝”在协议栈的哪层实现效果更好。l 硬件选择问题。2 数据中心数据中心把从引擎得到的数据在内存中组为大块数据，写要硬盘，对每个会话所在文件的索引以及会话动作与内容的特性写到

8、数据库中。问题：l 服务器的选型决定硬盘读写速度，硬盘读写速度将是整个系统的瓶镜。写速度慢，则会造成来不及处理引擎传递的数据，造成引擎内存满，丢包或者死机。l 海量数据的存储问题，如果策略制定不得当，200G硬盘将很快添满，需要合理的方式预防这一问题。分布式无疑是一种合理的选择，但是还涉及技术性的难题。l 数据还原时机。在引擎传递数据的瞬间做数据还原，会降低接受数据的性能，而且会造成存储文件的增大。因此可以考虑在用户请求查看的时候还原数据。l 用户查询关键字的效率问题。由前一条问题确定的，在用户访问数据时候做数据还原并缓存，这对查询是一个很大的问题，用户将有可能等待很长的一段时间才能得到返回结

9、果。解决方法：使用Ajax技术，在服务器操作的过程中，对进度向用户提示，防止用户以为系统故障。l 操作系统和数据库选型。数据中心可用平台有很多，但是数据库的性能也将和磁盘性能一样，会成为另一个系统的瓶颈所在。3 管理中心用户使用WEB浏览器可以实现对整个系统的管理、使用。考虑到用户使用的方便性和部署的便捷性，应该使用B/S架构的WEB浏览器方式。问题：l 用户界面的扩展性问题。l 权限控制问题。考虑功能角色用户三级的权限控制方式。4其他相关话题安全审计的另一分支：对入侵检测、防火墙、各应用服务器、病毒防护软件等安全产品的海量日志做统计分析，从其中找到用户关心的数据。和当前的“安全管理平台”所管理的内容类似，但是功能要多的多，其定位为“集中监管、海量审计”。“安全管理平台”是一个操作性的管理平台，而审计系统能提供网络事件的综合性分析以及统计报表的功能，还应该能为网管提供直观而参考意义的数据。专心-专注-专业