1           SecCenter A1000 技术应用背景

1.1        当前安全管理面临的普遍问题

一家企业不仅要从物理上关注网络安全，还需要进行良好的网络安全管理，即使安全防范再严密的网络，也有可能会有安全性漏洞出现，现在由于攻击所造成的经济损失已经大大高于过去。另外，为了满足政府法规要求，企业需要执行安全审计流程，如果不能满足政府的法规要求，除了有可能被高额的罚款以外，还有可能触犯法律，面临刑事诉讼。这些风险是真实存在的，并且会影响到公司的日常业务，根据专业机构提供的行业报告，在安全领域，每个企业都面临如下领域的挑战：

（1）对实时安全信息不了解，无法及时发出预警信息，并且处理；

（2）各种安全设备是孤立的，无法相互关联，信息共享；

（3）安全事件发生以后，无法及时诊断网络故障的原因，恢复困难；

（4）网络安全专家匮乏，没有足够的人员去监控、分析、解决问题，成本高；

（5）不能通过直观的图表和报告了解网络安全情况；

为了解决这些问题，我们需要在网络上及时发现问题、跟踪定位问题并解决问题。但是现实情况是，网络安全设备众多，包括防火墙、IPS、IDS、VPN网关、邮件过滤系统、漏洞扫描系统等。这些网络安全设备可能产生大量的安全事件信息，但是这些设备的报告机制不同，报文格式不同，不能进行集中分析，网络管理员很难快速有效的处理这些数据，无法及时了解网络安全信息。

1.2        传统日志服务器的问题

目前网络中的主要设备（防火墙、VPN网关、IPS、IDS、交换机、路由器、反垃圾邮件系统、病毒防护系统）都可以产生日志（syslog），日志中包含了很多重要的网络运行信息，包括网络的安全、性能、资源使用情况等。传统的日志服务器可以接收这些日志信息，但只能简单的保存和按原始格式显示，主要是用于事后分析使用。由于网络中会包含很多不同厂商和不同类型的设备，这些设备的日志格式都不统一，所以显示的结果通常杂乱无章，再加上日志产生的速度很快，在没有过滤和统计的情况下，用户看日志的速度有可能还跟不上系统接收日志的速度，所以简单的日志接收和未经解析的原始日志显示对用户没有太多的实际意义。同时对历史数据的检索也只能使用简单的按字符串、时间、发送日志设备IP地址等查询方式，不能进行复杂的查询。

1.3        SIM、SEM系统简介

针对传统日志服务器的这些问题，出现了SIM（安全信息管理）和SEM（安全事件管理）系统。SIM系统可完成原始安全信息的存档和检索、生成内部审计、法规遵从报告等功能，解决了传统日志服务器的存档、检索、报告生成等问题，但是通常没有实时分析和显示部分，不能及时反映网络当前的情况，只能作事后分析。SEM系统可实现实时安全状况监视信息、安全事件关联分析、实时告警等实时信息显示等功能，解决了传统日志服务器不能实时过滤、深入分析日志的问题，但是通常的SEM又没有SIM系统的原始数据保存能力。

1.4        SecCenter A1000 产品介绍

SecCenter A1000产品的推出就是为了解决安全管理中的上述问题。SCA1000综合了SIM和SEM系统的功能，提供全面的安全信息与事件管理能力。这种产品是一种基于硬件的盒式设备，能够提供对全网海量的安全事件进行集中收集与统一分析，兼容网络中多厂商的各种设备，对收集到的事件进行高度聚合存储及分析，实时监控全网安全状况。可根据不同用户需求提供各种具有说服力的网络安全状况与法规遵从审计报告。SecCenter A1000能使IT及安全管理员脱离繁琐的手工管理工作，提高工作效率，集中精力用于更有价值的活动，保障网络的安全。SecCenter A1000除了支持业界主流安全设备厂商的设备外，还提供了对H3C SecPath防火墙产品、Comware V3、V5平台下路由器、交换机的全面支持。

2           SecCenter A1000 产品整体介绍

2.1        SecCenter A1000 重要软件功能模块介绍

                                                                                                             图1 SecCenter A1000整体数据处理流程及模块功能分布

Syslog采集器（Built in Syslog Collector）模块

Syslog采集器负责采集和解析所有SCA1000支持的设备、主机的日志信息，并将这些日志转换为SCA1000内部统一的日志格式供其它模块使用。Syslog采集器可以压缩保存原始的日志信息，供以后查询使用。

事件分析（Event Analysis）模块

事件分析模块对所有采集到的事件根据用户定义的需求进行过滤和统计，生成实时的统计图表、TopN列表、事件监视窗口。

实时事件监视（Real Time Event Monitoring）模块

让用户可根据实际需要自定义实时监视器（Monitor）、视图（View，View是将若干Monitor和Report组合起来的实时监视画面）、混合显示界面（Dashboard，Dashboard是系统登陆后的缺省画面）。

可视化安全视图（Threat Visualization）模块

以网络拓朴图的形式显示网络设备的安全状况。可直接根据拓朴中上设备的颜色判断设备的安全情况，通过直接点击设备对设备进行数据挖掘（Drill down）和深度分析（Forensic）操作并输出报告。

深度分析（Forensic Analysis）模块

在SCA1000上可指定使用外部网络存储设备（NAS）或自身的硬盘保存原始数据。这些原始数据供数据挖掘（drill down）和深度分析（Forensic analysis）使用，通过指定时间范围、设备列表、设定过滤条件输出经过统计后的TopN安全报告，并可以直接查询所有原始日志记录。

告警关联（Correlated Alerting）模块

告警关联模块提供对重复事件的精细过滤并提供匹配后的动作机制。可以通过定义灵活的过滤匹配找出真正有意义的告警，然后选择通过SNMP Trap或Email方式通知用户。

报告引擎和Web管理界面（Reports Engine & Reporting Portal）模块

l         报告引擎（Reports Engine）提供了近千种安全相关的内置报告，可输出PDF、HTML、WORD、TXT多种格式。报告引擎采用内置数据库对所有报告需要的数据进行统计和保存，可长期保存报告需要的数据。

l         报告通过Web界面（Reporting Portal）进行定制管理，将用户的定制信息通知给报告引擎产生用户定制的报告。

管理模块（Management）模块

管理模块负责处理系统配置管理，设备管理，用户管理。

2.2        SecCenter A1000 重要功能列表

                                                                                                                           表1 SecCenter A1000 V200R003功能特性列表

2.3        SecCenter A1000 硬件参数指标及产品外观

SecCenter A1000使用双CPU 2.8GHz Xeon处理器，内存2个DDRII-400 DIMM，一个1个10/100Mbps以太网接口作为管理接口，4个10/100/1000Mbps以太网接口作为业务接口，一块400GB，7200转企业级SATA磁盘。机箱高度1U（43.6mm），外形尺寸（高×宽×深）43.6mm×430mm×685mm（不带挂耳或机柜滑轨）。整机功耗400W，电源模块电压0V～127V/200V～240V AC，电流 8.2A/4.1A，频率50Hz/60Hz，电源功率500W。重量14.0kg。

                                                                                                                                                                   图2 整机外观图

                                                                                                                                                                         图3 背视图

2.4        SecCenter A1000 整机性能技术指标

                                                                                                                     表2 SecCenter A1000 V200R003整机性能技术指标

3           SecCenter A1000 技术特色

3.1        多厂商多协议支持、统一的开放日志格式

SCA1000支持多厂商、多协议数据采集，对于每种不同的设备，SCA1000都有单独的解析程序将这些日志信息解析为SCA1000内部统一的开放日志格式，可将网络中所有关键的安全信息汇聚到SCA1000的数据库中集中分析。经过开放日志格式统一的日志可以使用相同的统计、检索、记录和显示格式，解决了不同类型设备日志统一处理的问题。比如可以将几个不同厂商的防火墙设备发来的同类型日志信息进行统计，找出网络中的问题，这在没有开放日志格式之前是无法作到的。用SCA1000可构建整个网络的安全信息监视中心，汇聚网络中所有安全信息，通过SCA1000对这些信息的统计、过滤和分析了解网络中当前的整体安全状况。

                                                                                                                                     图4 多厂商设备支持、统一的日志格式

（SCA1000可支持的设备类型和厂商：设备类型包括防火墙、VPN网关、IPS、IDS、交换机、路由器、反垃圾邮件系统、病毒防护系统。厂商包括Cisco、Juniper、Nortel、Fortinet、McAfee、Symantec、H3C、TippingPoint等）

                                                                                                                                                             图5 多协议支持能力

3.2        丰富灵活的图形界面

SCA1000产品是一种盒式设备，用户通过浏览器访问SCA1000的图形用户界面，可以同时支持多个Web客户端访问。SCA1000提供了丰富的图形化界面，包括：各种统计图表（支持多种形式输出，2D/3D直方图、饼图、趋势图、列表）、可灵活自定义的显示面板（Dashboard）、用颜色标识的各种事件级别的事件显示窗口。这些图形化功能可直观反映网络中的安全问题，在视觉上提示用户应该注意的网络安全信息。

                                                                                                                                 图6 Dashboard可自由组合所需监视画面

用户可自由组合实时监视画面，可在系统予定义的实时监视画面（Monitors几十种）和报告（Reports几百种）中选择。

                                                                            图7 组合监视画面的内容可在所有系统支持的实时监视画面和报告画面中任意选择

3.3        强大的过滤功能

SCA1000中的过滤功能非常强大，包括以下五种过滤器：

数据采集过滤器：

过滤掉不需要的日志信息，节省SCA1000磁盘空间，降低系统负荷。从数据采集的源头过滤无用信息。

实时显示过滤器：

可通过选择设备、级别、目标地址、目标端口、协议类型等条件控制显示输出，滤除不需要关注的信息，突出重要信息的显示。

告警过滤器：

可将日志中包含的重要事件信息过滤出来，立即通知网络管理员，避免问题被延迟发现。因为如果没有过滤功能，这些重要信息很可能会被淹没在其它日志信息中无法引起注意。SCA1000提供常用的过滤规则模板，通过模板可方便的定义日志过滤策略。并通过屏幕显示、Email或SNMP Trap的方式实时提示网络管理员网络中出现的问题。

报告过滤器：

可通过选择时间范围、设备、级别、目标地址、目标端口、协议类型等条件控制生成报告的输入信息，滤除不需要关注的信息，在报告中输出需要关注的信息。

原始数据过滤器：

可通过选择时间范围、设备、级别、目标地址、目标端口、协议类型等条件精确控制需要查询的原始数据输出，由于原始数据记录数量非常大，所以通过过滤器查询是必须具备的功能

                                                                                                                                        图8 ScaCenter A1000中的过滤功能

3.4        强大的统计分析功能

系统中有一些日志信息，单独的看并没有异常，但是如果这种日志的数量很大，则可能是受到了攻击产生的。SCA1000的统计功能可以按网络中各种应用场景将这些信息分类统计并排序输出，找出通过统计才能让管理员注意的网络安全问题。

                                                                                                                    图9 通过统计生成的TopN被攻击目标地址动作报告

3.5        原始数据保存、检索、分析功能

SCA1000可使用压缩技术保存所有的原始数据，支持数据挖掘功能。可对过去任意一段时间范围内的原始数据进行统计生成TopN分析报告，帮助用户分析网络安全问题。也可以查询任意时间范围内的设备的原始日志记录，作为事后追查的依据。

网络安全信息原始数据的保存对事后调查有重要意义。由于原始数据的数据量很大，系统的存储可扩展能力和数据压缩能力是实现原始数据保存能力的重要因素。在SCA1000上可指定使用外部网络存储设备（NAS）或自身的硬盘（400G容量，可扩展到400Gx2）保存原始数据。SCA1000采用压缩技术保存原始数据，可最大程度利用存储空间。

                                                                                                                            图10 SecCenter A1000存储空间的扩容能力

3.6        强大的报告功能

SCA1000可提供设备、主机、应用程序、漏洞、网流（NetStream）、设备资产、法规遵从（包括萨班斯法案）7大类报告，共计1000种左右，基本覆盖了所有安全相关的信息，使用非常方便。用户可通过定制需要输出的报告让系统定期自动生成，帮助企业实现安全信息的规范管理。

3.6.1    报告引擎和Web管理界面（Reports Engine & Reporting Portal）

SCA1000报告引擎（Reports Engine）提供了近千种安全相关的内置报告，可输出PDF、HTML、WORD、TXT多种格式。报告引擎采用内置数据库（MySQL）对所有报告需要的数据进行统计和保存，可长期保存报告需要的数据。

报告通过Web界面（Reporting Portal）进行定制管理，将用户的定制信息通知给报告引擎产生用户定制的报告。可以选择报告数据的时间范围、报告数据的来源设备、报告生成周期、输出报告的类型。

                                                                                                                  图11 SCA1000的报告定制界面，可选择近千种报告

3.6.2    报告分类介绍

SCA1000支持的予定义报告数量近千种，分为7大类：

1.Device-Based Reports（基于设备的报告）

报告数据直接来自网络及安全设备（防火墙、VPN网关、IPS、IDS、路由器、交换机），所以这类报告是系统中最重要的报告。可通过TopN统计发现被攻击最多的设备、主机的IP地址、端口号，发起攻击最多的的设备及主机IP地址信息、防火墙设备中的邮件过滤、攻击防范产生的日志信息、IPS设备中的实时阻断日志信息等。这些重要信息会通过报告引擎生成直观的报告，会对安全管理起到至关重要的作用。

2.Host-Based Reports（基于主机的报告）

基于主机的报告是通过从Windows主机、Unix/Linux主机中获取的安全日志信息统计分析形成的报告。由于主机中可能安装不同的应用软件，所以主机报告中也包括这些运行在主机上的应用的安全事件信息，如防病毒软件、数据库软件、DNS服务软件等。例如一台Windows主机中安装了Norton AntiVirus防病毒软件，防病毒软件在�