标签： SOC

SOC建设的失败原因
http://bbs.cisps.org/viewtopic.php?f=42&t=27306
------------------------------------
作者: wwanke [ 2011-03-23 21:59 ]
文章标题 : SOC建设的失败原因
------------------------------------
参加过一些SOC

　　游侠在2011年3月到思福迪（LogBase）之后，因为公司的业务重点问题，关注点开始转移到：日志管理综合审计系统、数据库安全审计系统、运维操作审计系统（内控堡垒主机），也经常在网上搜一些相关的资料。

　　这不是，搜到一篇不错的，原文是《SOC理解》，但是很可惜没找到作者，那在这里向原作者致敬了。正文开始：

　　1.在soc的用途方面大家理解上的偏差

日志审计系统是“我要什么”   主要收集各类设备的日志：路由器、防火墙、交换机、数据库等的日志 主要基于agent、syslog、snmp trap等 主要面向合规中“审计”部分的要求 收集上来的一般是原始日志   相对而言，soc偏重运营、工单处理 是收集日志上来之后“我要怎么办” 如筛选日志审计系统中报警级别“高”以上的日志 一线监控提交给二线监控，做分析，或提交客户 主要...

　　网站安全监测系统抛弃传统的单纯依靠硬件或软件产品进行网站防护的思路，而是提出“预防为主，应急为辅”的新的网站安全防护观念。系统采用C/S架构，由网站端和实时监测平台组成。结合网站端自动安全防护和监测端实时监测，对网站异常提供双重保护，在应用层拦截针对网站的各种攻击，实时监测、及时告警。

在此前，游侠介绍过OSSIM这个软件 [开源安全信息管理系统——OSSIM介绍] 现在我们看看软件的安装过程：我是在VMware安装的。大家可以选择建立一个Linux 2.6内核的虚拟机，内存256M或者512M都可以，当然1G更好

　　Open Source SIM（OSSIM）代表开源信息管理。它的目标是提供一个全面、集成化的工具，允许网络/安全管理员详细浏览网络、主机、物理访问设备、服务器等的每一方面。

　　除了获取最知名的开源工具，它提供一个详细的可视化界面，包括高、中、低级别报警的视图。并且提供报告、时间管理工

　　去年，Verisign将其GlobalSecurity Consulting Services(全球安全咨询服务)业务出售给了电信AT&T。而之前，作为Verisign退出MSS和安全服务市场的一系列举动之一，Verisign公司已经将其MSS(可管理安全服务，Managed Security Service)业务出售给了SecureWorks。联想到在2003年Verisign公司收购Guardent进入MSS市场，可以看出，现在的MSS已经成为了巨型公司、尤其是电信公司的才配拥有的业务了，一些中型甚至是大型的公司都纷纷选择退出或者被收购。可以预见，未来类似的并购还会不断出现，安全管理服务业务将逐渐收拢到巨型IT公司的旗下。
...

VCLMS针对目前主流信息系统基础平台的特点，通过采集各种网络设备、安全设备、操作系统及应用软件平台的安全事件日志及各种消息、主动探测运行状态等手段，为系统管理人员提供了一个监测面广、响应及时、具有强大分析能力的综合日志管理平台。

　　刚刚在游侠安全网的安全群里面讨论：
　　如果IDS检测到了入侵企图，怎么办？大家都知道IDS是只检测不阻断的，大家也知道即使是防火墙和IDS联动，误报和漏报也是个很严重的问题，何况，在很多内网，2台计算机通信不一定要过防火墙。那么，我们就毫无办法了吗？
　　可以试试IDS+802.1x，如果IDS的某些报警触发了，则发送一个down端口的命令给802.1x，实现交换机端口的阻断。
　　当然，这一点已经在某数据库审计实现，所以，和IDS做到一起也不是难事，关键看用户选择的IDS报警记录了，要是你选择ICMP包检测都阻断，那么这网的可用性就……嘿嘿

　　DMX（宏天德美）招聘安服销售和安全顾问（上海/北京）公司大致情况介绍：

　　思科金牌之一，传统数据集成业务之外，从事MSS服务。自建平台（arcsight），在香港和上海有7X24SOC中心。客户涵盖电信服务提供商、有线电视及移动运营商、银行和证券交易所，大中型商业企业、政府机构等等。

　　目前其安全服务部门人员均来自于国内外知名厂商。在上海地区招聘以下人员：

　　资深安全

　　演讲主题：安全推动未来，电信运营商MSS安全服务演进探讨
　　演讲内容：IBM高级安全顾问 万涛
　　大家下午好！今天我给大家演讲的题目是:安全推动未来，关于电信运营商MSS安全服务的一个演进探讨。时间已经比较晚了，我抓紧时间。其实我不知道下面的听众里面有没有电信运营商的朋友，大家对IBM都不会陌生，但是对于IBM在安全领域可能会有一点陌生。首先我先介绍一下所谓的MSS的概念，其实在国内大

　　根据Gartner的预测，全球的MSSP市场总值将在2005年达到53亿美圆。其他的市场分析组织，比如说IDC和Raymond James，认为到2006年MSSP服务将以至少每年50%速度增长。MSSP市场的增长是因为计算机和网络安全的威胁在增长。这些安全威胁涉及所有无论大小的，凡是到使用计算机和网络的企业。安全问题是不会歧视企业的大小的。这样就给小型和中型企业带来的问题尤为尖锐，这是因为他

　　在互联网安全应急年会上，中国电信网络安全实验室的工程师沈军为与会嘉宾介绍了电信IP网络的安全现状以及安全对策。其中主要是依据DDoS防御体系与MSSP的特点介绍防御体系，以及相应的安全保障问题。以下就是沈军的演讲实录：

　　首先，电信IP网络面临的主要安全挑战有：利用僵尸网络发动的DDoS攻击对网络正常运行构成了严重的威胁。在这样的背景下，电信IP网DDoS攻击事件也愈演愈烈，规模越来越

随着电信企业信息化建设步伐的加快，如何有效化解安全风险，有效应对各种突发性安全事件已成为不容忽视的问题。与普通企业相比，电信运营商的信息安全系统不仅部署地域分散，规模庞大，而且与业务系统耦合性较高；如何将现有安全系统纳入统一的管理平台，实现安全形势全局分析和动态监控已成为各级信息系统维护部门面临的主要问题。SOC(Security Operation Center)安全运营中心应运而生，是目前流行的电信级安全解决方案。SOC的出现对应数据的集中管理趋势，通过集中收集、过滤、关联分析安全事件，提供安全趋势报告，及时作出反应，实现对风险的有效控制。

目前主要安全厂商陆续推出了SOC解决方案，中国移动、中国电信也相继拿出若干省市开展SOC建设试点工作。由于国内没有成熟的运维经验，SOC发展过程遇到一些问题，导致人们对SOC产生不少认识误区，直接影响了SOC的大规模推广。本文全面分析了SOC的定位、主要功能、技术难点以及发展趋势，并探讨了SOC存在的主要问题，希望帮助人们全面理解SOC，更好地推动这一新生事务的发展。