网络安全域流量与策略监管系统方案.ppt

单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,*,*,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,网络安全域流量与策略集中监管系统方案,目录,背景与现状,典型应用场景与优势,一、,三、,二、,技术方案,网络安全域监管面临的挑战,建立安全域策略关系视图，感知安全域内异常攻击行为，高效管理安全域边界策略。,业务实际连接关系是怎样的？,各系统和设备之间的实际连接关系是怎样的？,是否能直观的展示各业务连接关系，即连接关系可视化？,安全域划分和互连关系是否符合规范要求？,安全域策略是否设置严谨？,是否存在有效的安全域策略管理机制？,安全域内设备运行状态如何？,安全域划分是否合理？是否存在安全域定义之外的未知设备？,业务连接关系是否符合规范？,是否存在可疑和异常连接行为？,安全域策略是否设置严谨？,安全域策略是否设置高效？是否存在冲突、重复、冗余或过期无用策略？,为什么存在这条策略？,谁批准的这条策略？,什么时候加的这条策略？,这条策略的有效期是多久？,目录,背景与现状,典型应用场景与优势,一、,三、,二、,技术方案,主要技术思路,自动对域内安全设备进行统一监控，对域间流量连接关系进行监管，对域间防护策略进行风险分析和优化以与变更流程管理。,典型安全域示意图,安全域与策略集中监管系统,一、配置与状态集中管理,二、策略安全分析与风险管理,三、策略变更管理,以业务子域为单位，对安全设备的状态和策略进行集中管理和监控。,对域内网络拓扑和业务连接关系进行自动绘制，对现有流量连接关系进行监管，对高风险防护策略进行分析、识别和告警。,对边界安全防护策略进行统一变更流程管理和版本管理。,体系架构,以业务系统为单位，基于安全域的设备集中管理,以防火墙设备为单位进行策略版本管理,策略信息、路由信息以与设备状态信息获取,SSH/Telnet/SNMP,方式自动提取,策略信息离线导入,第三方平台接口推送,主要功能一 配置与状态集中管理,配置信息获取,设备集中管理,防火墙设备状态监控,CPU,内存使用率监控,接口流量监控,短信邮件实时告警,对安全域内防火墙和网络设备的状态进行统一监控和管理。,主要功能二 安全分析与风险管理,安全子域识别与可视化,提供自定义接口，根据,IP,范围对安全子域进行识别，生成接口配置信息可视化视图。,安全子域识别,接口配置信息可视化,人工定义安全子域,IP,范围，基于,IP,范围和接口对安全子域进行划分,根据接口和配置信息，实现单体设备策略可视化,主要功能二 安全分析与风险管理,拓扑与连接关系绘制（一）,防火墙配置信息,路由器配置信息,交换机配置信息,自动绘制网络拓扑与连接关系,自动提取安全域中各防火墙和路由交换设备的配置信息，自动绘制网络拓扑图，以与基于,IP,的业务连接关系现状。,网络拓扑,业务连接关系,主要功能二 安全分析与风险管理,拓扑与连接关系绘制（二）,根据设备,IP,、接口和路由等信息，绘制设备所处安全子域拓扑与连接示意图。绿色加粗连接线表示可扩展部分。,单设备拓扑与连接分析,根据安全子域识别情况，以与采集的域间策略绘制域间业务连接关系，以连线,+,标签的形式直观显示。,安全域拓扑与连接分析,主要功能二 安全分析与风险管理,安全域策略分析建模,根据各安全子域特性，梳理各子域之间典型的高风险策略，建立域间连接关系安全分析模型。,业务系统与,Cmnet,域建模示例,高风险,中风险,低风险,高,全为,any,的策略,管理端口对,cmnet,开放,中,SNMP,对,cmnet,开放,文件共享对,cmnet,开放,低,业务系统域端口为,any,的策略,82,审计结果：共审计策略,2000,条，发现,6,种违反安全规则的策略，,3,个高，,2,个中，,1,个低,序号,审计规则,ID,危险级别,审计规则描述,违反审计规则的策略数,1,M32,高,从外网到内网的所有,udp,端口,20,2,M25,高,从外网到,DMZ,的所有,tcp,端口,6,3,M4,高,外网到,DMZ,无目的地址转换,12,4,M23,中,从,DMZ,到内网的所有,tcp,端口,25,5,M2,中,从业务到网管的所有服务,13,6,M3,低,内网到,DMZ,的源地址转换,77,域间策略健康指数,主要功能二 安全分析与风险管理,安全域连接关系建模（一）,根据对安全域流量的抓取，根据,IP,端口五元组的连接关系进行建模，识别异常连接行为，优化安全域策略。,新设备上线发现,连接基线自学习,异常模型定义,内网新上线设备发现,内网异常设备分析判断,内网异常连接发现,Mac,表维护,端口状态维护,连接基线的建立与学习,异常主机、异常连接,Scan,、,Arp,欺骗,Botnet,、,Worm,内网业务识别,HTTP,承载分辨,基于应用的连接基线,DPI,应用识别,DFI,行为识别,行为识别模式框架,异常行为模型建立,同,DPI,识别的结合,Arp,和五元组,应用层与行为分析,主要功能二 安全分析与风险管理,安全域连接关系建模（二）,根据,IP,端口五元组的连接关系进行网络异常检测建模，通过,DPI,和,DFI,进行业务检测建模。,自动学习正常业务访问流,根据正常流模型，发现异常路径,业务异常检测模型,网络异常检测模型,主要功能二 安全分析与风险管理,安全域连接关系建模（三）,基于,baseline,的连接建模：自动发现的基线均为灰基线，通过管理员的手工确认，得到白基线和黑基线。所有的白基线即构成了正常的网络体系，而所有的黑基线则标识了潜在的异常情况。,IP,基线,连接基线,端口基线,灰基线,白基线,黑基线,主要功能二 安全分析与风险管理,安全域连接关系建模（四）,基于,DPI,和,DFI,的业务异常检测建模。,根据预定义与自定义业务特征获取与现有基线相似的数据包特征，并入现有基线,DPI,通过分析数据流的统计特点，例如会话发起时间、频率、先后顺序、数据包大小分布比例等，假设可能的数据基线,DFI,从流量数据内容和行为特征两方面分析,主要功能二 安全分析与风险管理,安全域流量监管系统架构,主要功能二 安全分析与风险管理,安全域流量系统模块,主要功能二 安全分析与风险管理,安全域流量集中管理系统模块,主要功能二 安全分析与风险管理,安全域流量监管系统工作流程,主要功能二 安全分析与风险管理,安全域流量监控,主要功能二 安全分析与风险管理,策略优化命令自动生成,在生成的业务连接关系图中直观显现高风险策略，根据策略优化分析模型和连接关系模型生成安全域优化策略，并提供可执行的策略优化操作命令。,高风险策略高亮显示，点击可查看详情,自动生成优化命令脚本,主要功能三 故障排查,网络故障排查,使用自定义工具排查网络故障,:,自定义排查源地址,Traceroute,Ping,正方向解析,端口探测等,策略故障排查,根据已解析的域间策略连接关系,查询指定源地址和目的地址的连接关系，从而进行网络故障排错。,主要功能四 安全域策略变更管理,需求,：业务部门提出具体需求,制定,：根据业务部门的需求，制定相应的防火墙策略,审计,：将制定的策略在防火墙分析系统中，结合已有策略和分析模型进行安全分析和审计,执行,：将策略加入防火墙中，并记录相关信息，如申请和加入时间、申请和审批部门等,管理,：对防火墙策略进行版本管理，并定期比对,策略变更流程管理,策略版本管理,策略修改,策略新增,策略删除,目录,背景与现状,典型应用场景与优势,一、,三、,二、,技术方案,典型应用场景,设备状态监控,拓扑自动绘制,业务连接关系绘制,基于安全域的高危策略建模、分析与优化,异常连接检测与识别,安全域策略优化命令脚本自生成,策略变更管理,提取安全域内防火墙和网络设备的配置信息，包括路由交换信息、,SNMP,信息和访问控制策略信息，自动进行安全分析。,策略与配置,策略与配置,策略与配置,流量,安全域策略集中监管系统,技术优势,1,、业务边界不明确、不清晰,2,、管理员掌握的网络拓扑与实际拓扑的一致性问题,网络拓扑图实时重绘并直观展现。管理员对网络结构一目了然,安全域边界自动识别与界定。未知设备或安全域边界不清晰的设备直观显示,方案技术优势,现状与挑战,优势一,：安全域网络连接关系可视化,优势二,：安全域策略连通关系可视化,1,、安全域内和域间策略设置复杂,2,、现有策略设置情况不直观,关联分析安全域内所有安全策略，绘制直观的策略连接关系图，实现安全域策略可视化,方案技术优势,现状与挑战,技术优势,1,、业务连接关系是否满足基线要求,2,、是否存在域内和域间的可疑连接,3,、是否存在恶意攻击行为,通过,IP,五元组连接关系基线，自动识别异常连接行为,通过,DPI,和,DFI,自动检测恶意攻击,方案技术优势,现状与挑战,优势三,：异常连接与异常行为检测自动化,优势四,：安全域策略分析与优化建议自动化,1,、安全域内和域间现有策略设置复杂,2,、现有策略设置情况不直观,策略自动化优化分析,策略自动化安全性和严谨性分析,策略自动优化建议,方案技术优势,现状与挑战,技术优势,1,、网络故障排查对人员的能力提出更高要求,2,、手工排查故障能力效率低,通过安全域策略连接关系视图，输入起点,IP,和终点,IP,，则可查询两个,IP,之间的连接情况,方案技术优势,现状与挑战,优势五,：网络故障排查与诊断能力,优势六,：完善的策略管理流程,1,、缺乏完善的策略维护流程与技术手段,通过策略变更管理流程，有效管理安全域策略的变更,与管控平台存在接口，形成资源统一提取和工单下发，形成良好互动,方案技术优势,现状与挑战,