安全告警监控快使用手册.doc

版本控制 版本号 日期 状态 变更说明 修订人 审核人 V1.0 2009/9/30 C 创建 俞加鸣 状态标识：C – Created A - Added M - Modified D - Deleted  目录 版本控制 2 告警监控平台登陆 4 登陆帐号 4 WEB登陆方式 4 客户端登陆方式（仅监控班使用） 5 告警分类 6 事件-威胁-风险-告警 7 漏洞-风险-告警 8 配置收集-脆弱性计算-告警 11 配置变更-变更状态计算-告警 13  告警监控平台登陆 登陆帐号 请各位使用自己帐号登陆后，点击系统右上角密码修改处修改自己帐号密码。 登陆帐号 密码 使用人 majin d7tskj 马进 kongqingchuan g2rbto 孔庆川 wangzhe 9f7a1t 王喆 wangjian q7vleu 王建 wangziliang tfiqwq 王自亮 liuwenjie sp3w7i 刘文杰 jiankong GszpiK 监控室 WEB登陆方式 :8080/ISMP 点击首页左上部“信息概览”中的“告警监控”，弹出告警监控窗口，如下图所示： 告警监控分为未处理告警列表和已确认告警列表两个部分。 在告警列表中，点击告警名称，可查看告警的详细信息。 客户端登陆方式（仅监控班使用） 采用客户端方式进行安全监控，可以在告警发送到客户端的同时，产生声音告警。 登陆帐号和使用方法和WEB方式都是一致， 告警分类 恶意软件类告警 计算机病毒 木马 蠕虫 僵尸软件 网页病毒 漏洞攻击代码 间谍软件 混合攻击 后门程序 其他 网络攻击类告警 拒绝服务攻击 后门攻击 漏洞攻击 网络扫描探测 口令攻击 非法访问 其他 信息破坏类告警 信息篡改 信息假冒 信息内容安全类告警 垃圾邮件 安全设备故障类告警 硬件故障 软件故障 配置违规类告警 日志类 用户类 网管类 路由配置类 访问控制类 补丁类 审计类 其他类 漏洞类告警 Windows漏洞 UNIX漏洞 网络设备漏洞 应用系统漏洞 数据库漏洞 其他漏洞 综合类 资产综合指标 防火墙指标 入侵检测指标 账号口令管理指标 操作审计指标 防毒管理指标 漏洞管理指标 配置审计和变更管理指标 其他 事件-威胁-风险-告警 ISMPserver的事件来源是sem的核心引擎，ISMPserver通过其专用的事件端口3021接收并处理事件。 图：事件-威胁-风险-告警事件发送至KPI处理模块过滤ISMP事件，只保留与指标计算相关的事件,需过滤以下事件windows和unix类主机访问类日志(用户登录/注销,用户切换)防火墙类配置,登入/登出类日志 入侵检测系统日志 安全网关类日志 APMS系统日志ISMPserver里的漏洞是用扫描器扫描后写到数据库，ISMPserver通过定时刷新数据库来获得必威体育精装版的漏洞信息。目前只支持领信扫描器。 漏洞扫描必须配置扫描引擎，在一台安装了linux操作系统的机器安装引擎服务器上安装并启动扫描器引擎。配置扫描器是通过cvms的系统管理的页面来添加的。新建一个扫描器需要配置内外网地址以及引擎的监听端口；通过地址区间可以配置扫描器的扫描的地址区间；通过扫描器参数提供的默认的选项可以配置扫描选项；通过插件升级可以对扫描引擎的插件进行升级，具体扫描器的详细配置可以参照有关的扫描器文档。 在cvms页面上通过系统管理的—〉任务调度中心—〉领信漏洞扫描计划，可以定制实时和定时的任务。在漏洞管理—〉资产漏洞—〉资产列表中，可以定制实时的任务。见任务分解图如下。 在漏洞-风险-告警KPI模块 图：任务分解图 漏洞风险计算以及产生告警流程图如下： 图：漏洞-风险-告警 图：配置收集-脆弱性计算-告警读取当前收集项的配置结果和属性将所有状态为新建的配置项改为当前基线通知KPI管理模块 图：配置变更-变更状态计算-告警 North Gate Station and all the long distance Intercity, TRANS-province lines; North Gate Station currently runs the original counties, rural route