ArcSight事件关联分析.pptVIP

ArcSightCorrelationFabianLibeauSuperpan翻译hongliangpan@QQArcSightESM

ArcSightESM作为一款应对安全风险、合规要求和内部威胁的企业安全管理系统，ArcSightESM（EnterpriseSecurityManagement）能够集中展示企业信息安全各方面的概况，同时还提供有实时监视和事件关联、风险分析、深入调查功能、报告、通知以及其他安全管理功能，可在企业范围内全面管理、审计安全事务。?2005ArcSightConfidential2

ArcSightESM

强大的事件收集能力和跨设备的事件分类能力?ArcSightESM实现了实时数据格式标准化，超过260种默认支持的设备，对每一种事件都进行了详尽的分类，以帮助管理员理解事件的含义，并进行跨设备的分析。最为智能和灵活的关联分析ArcSightESM提供实时的、内存内(In-Memory)关联分析，具有106种预置关联规则，图形化规则编辑，支持资产分类、漏洞状态与企业策略与风险管理目标的关联。直观的调查分析和合规性报表ArcSightESM具有169个可重用、图形化数据监视模块，自由定义的仪表板（预置41个），灵活的报表格式，提供图形化报表编辑器，提供预先打包的合规解决方案。?2005ArcSightConfidential3

ArcSightESM

完善的自动安全响应能力ArcSightESM可与安全设备共同协作来关闭威胁通信，以阻止正在进行的攻击，提供威胁升级和工单处理功能。智能存储ArcSightESM集成了数据监控、备份脚本、分区管理等等一系列的数据库维护工具，提供综合安全生命周期信息管理（SLIM）策略，利用自动的高度压缩、存档和恢复系统以减少存储长期安全事件所需费用。?2005ArcSightConfidential4

ArcSightESM

?2005ArcSightConfidential5

SOC中日志关联分析的核心技术

SIM/SEM/SIEM/SOC的日志关联分析核心技术主要集中在：日志收集、格式化、事件映射、关联四个方面。日志收集：一个SIM产品是否有优势，就要看日志收集能否支持更多的设备日志类型，能否容易扩展，自动识别支持未知设备日志。例如需要支持的协议有syslog、snmptrap、windowslog、checkpointopsec、database、file、xml、soap等等。格式化：日志收集来了，需要格式化统一标准，为后面的关联，事件映射做准备，如果格式化不够标准，后面也不好做。事件映射：将日志需要统一映射成一个标准，提供统一的解决方案，这个难度也比较大，各个厂家设备的日志名称，类型，含义都不相同，如果统一映射，是个难题。关联分析：这个是SIM的核心部分，例如ArcSight提供了简单的事件关联、上下文关联、攻击场景关联、低慢攻击关联、位置关联、身份关联、角色关联等等。关联分析还有脆弱性信息关联、因果关联、推理关联等等。

关键问题是如何利用这些技术，给用户提供一个很好的SIM/SEM/SIEM/SOC系统，也是一个难题。?2005ArcSightConfidential6

?2005ArcSightConfidential7AgendaArchitecturalOverview概述ArcSightRiskPrioritization风险的优先顺序ArcSightdifferentwaysofcorrelatinginformation 不同的关联分析方法Rulebasedcorrelation基于规则Statisticalcorrelation统计相关性分析Patterndiscovery(advancedpredictiveDataMining)模式发现（先进的预测数据挖掘）ArcSightKeyConcepts

?2005ArcSightConfidential8VulnerabilityAssessment漏洞评估ArchitecturalOverview架构概述ConsoleDatabaseArcSightManagerAssetManagement资产管理XMLWindowsSystemsUnix/Linux/AIX/SolarisSecurityDevice安全设备SecurityDeviceDatabaseManagementSystemsSyslogConcentrator集中器Mainframe

Apps主机和应用SecurityDeviceDataFlows数据流

?2005ArcSig