IT自动化安全运维平台解决方案

微信扫码，打开到小程序

郎丰利于 2023 年 8 月整理制作，碳排放数字化建设及数字化驾驶舱建设综合解决方案 整理制作：郎丰利 1519 制作时间： 2023 年 睿利而行 整理制作：郎丰利 1519 制作时间： 2023 年 睿利而行 整理制作：郎丰利 1519 制作时间： 2023 年 睿利而行 整理制作：郎丰利 1519 制作时间： 2023 年 睿利而行 整理制作：郎丰利 1519 制作时间： 2023 年 睿利而行 整理制作：郎丰利 1519 制作时间： 2023 年 睿利而行 整理制作：郎丰利 1519 制作时间： 2023 年 睿利而行 整理制作：郎丰利 1519 制作时间： 2023 年 睿利而行 整理制作：郎丰利 1519 制作时间： 2023 年 睿利而行 IT 自动化安全运维平台解决方案 整理制作：郎丰利 1519 制作时间： 2023 年 睿利而行 整理制作：郎丰利 1519 制作时间： 2023 年 睿利而行 整理制作：郎丰利 1519 制作时间： 2023 年 睿利而行 内容 • 企业日常安全运维遇到的挑战 • CASK 平台如何帮助企业实现自动化安全运维 • 自动化场景举例 • 国产安全产品适配 • CASK 平台与传统方案相比有什么区别 ? 日益增长的告警 每周数万次告警难以响应 分析人员缺乏 2 百万安全专业人才缺口 没有统一流程的安全响应 缺乏量化指标，处理问题只能通过电 话或者邮件沟通 安全产品整合难 整合复杂性高，需要专门的 开发团队 数据结构多样 不同产品有不同数据， 无法直接连通 数据共享难 不同产品位于不同的安全 控制点，最早发现威胁的 设备无法实时共享情报到 其他安全控制节点。 联动流程复杂 要设计一系列安全动作要穿插大 量不同产品，沉没在技术细节中 安全运维面临的挑战 DATA LAKES, SIEMs 越多的安全产品，联动的复杂性越高 THREAT PLATFORMS & ANALYTICS ORCHESTRATION OTHER SIEMs OTHER DATA LAKES 3rd PARTIES INCONSISTENT APIs 漏洞扫描 安全 Web 网关 上网行为管理 网络流量分析 主机加固 端点安全 IDS/IPS 防火墙 高级威胁防护 邮件安全网关 数据防泄漏 整合所有安全产品，统一快速的调度 DATA LAKES, SIEMs THREAT PLATFORMS & ANALYTICS ORCHESTRATION OTHER SIEMs OTHER DATA LAKES 3rd PARTIES APIs 漏洞扫描 安全 Web 网关 上网行为管理 网络流量分析 主机加固 端点安全 CASK 平 台 IDS/IPS 防火墙 高级威胁防护 邮件安全网关 数据防泄漏 CASK 的工作方式 自动执行动作 行为阻断 策略应用 启用查杀 告警通知 合规部门 安全运维人员 事件回溯 排查验证 事件目录 事件联动编排 Syslog 告警和事件 1 2 3 4 SIEM 进一步的分析 预置自动处理事件和安全操作的适配 支持主流事件接口 , 事件约束 , 数十 种安全产品的联动 安全指标跨历史数据关联及分析 自动发现安全指标（ IOC ） 事件处理的 SLA 跟踪和指标衡 量 证据收集和归档 符合监管及合规需求 实时协助和流程转移 实时交互和专业工具 所有的调查动作自动生成文档 实时交互分析 安全事件管理 安全场景式自动化 综合威胁管理 CASK 自动化安全运维平台 事件驱动 安全运维中心 API 安全运维中心 基础架构 数据湖 , SIEM 自动化编排 分析 事件告警 动作执行 CASK 标准 化 过 滤 路 由 适配 器 PARSER S 连接 器 消息推送和订 阅 历史数据 CASK 在 安全运维中心（ SOC ） 框架中的位置 各安全产品 漏洞 扫描 网关 代理 流量 分析 高级 威胁 邮件 网关 数据 防泄漏 主机 加固 端点 安全 防火墙 数据存储 威肋分析 通知告警 联动动作 确定的行为 待定的行为 事件驱动架 构 安全运维人员互动 确定的场景事件 待定的事件 事件 代理 事件分类账 E H E H E H E H E H E H EH = Event Handler 事件处理程序 事件驱动的安全自动联动 防火墙阻断 终端防护隔离 邮件网关拦截 SIEM 分析 威胁情报匹配 安全专家响应 安全事件发生 事件 - 响应 - 通知 - 人工处 理 各安全产品和设备 产生安全事件 主平台运行在云端 或者本地服务器上 对外部资源 进行关联整合 自动让人或者 安全设备实时响应 APP 下发响应确认 CASK 的事件驱动架构实现 连接适配器 事件目录集合 安全产品事件 Alert/Log/Message 事件流程编排 低代码的 VAIL 编辑 客户端响应流程编排 响应的安全产品 网页应用 手机应用 实时的、事件驱动的安全联合应用 关联整合 规则、最佳经验、约束条件、业务需求 事件类 数据流 防火墙端口暴露警报 宿主或网络异常流量 后门和木马的连接 终端安全产品的事件 内部系统间的攻击 黑名单 URL 的访问 代理解析出恶意链接 其他涌现的威胁事件 实时的 响应 防火墙阻断 终端防护隔离主机 对终端全盘查杀 分配临时备用资源 邮件网关阻止发信 所在网络独立 VLAN 应用服务关闭连接 APP 下发核准表单 实时的 事件驱动的 联动引擎 扫描探针 业务系统 网关路由 移动设备 开源社区的支持 开源的适配器和工具集成 可复用的流程编排模版 来自全球的安全专家 ❌ 场景 1. 威胁流量触发的多产品联 动 FW 发现有威胁流量的产生 下发指令给 SEPM SEPM 令事件主机执行全盘查杀 SEPM 令事件主机隔离 CP 令事件主机与外网断连 令 WAF 对事件主机服务降级 1 2 2 3 2 4 INTERNET WEB APP DB … 事件主机 CASK 场景 2. 自动的网站防护策略应 用 漏洞扫描在环境中自动扫描 漏洞扫描发现有未防护的漏洞 生成防护策略模板， 在 WAF 上应用 让漏洞扫描再执行一次， 确认漏洞已经修复 1 2 3 WEB APP DB … CASK 场景 3. 多级网络下的数据库安全防 护 用户 2 从 VPN 登录内网 用户 1 在内网直接通过堡垒机连 DB 再由堡垒机操作 DB 用户登录 VPN 的事件 向 OA 询问操作权限 ✔OA 都给予了危险操作特权 危险操作事件 允许放行操作 ❌ ❌ 因 DBF 策略危险操作无法进行 因用户是 VPN 登录， 不可使用 OA 给予的权限 1 2 3 4 5 1 2 3 5 5 4 WEB APP DB … BYOD USERS INTERNAL USERS OA DB … Imperva DBF CASK 场景 4. 威胁情报库支持的联动 TIDE Checkpoint Firewall ❌ ❌ Infoblox DNS Firewall C&C 服务器 从 TIDE 同步多种安全产品的威胁情报 1 向远程恶意服务发起请求 2 DNS 将解析请求日志上报 3 日志命中多项高危情报 4 5 将命中情报和动作建议发送专家确认 在各级安全产品上阻止连接 6 CASK 安全专家 移动 App 被感染主机 INTERNET 场景 5. 自动化批量修改多台不同品牌的防火墙策略 CASK OA DB … 提交防火墙策略 变更申请 批准消息推送至 CASK 领导批准 变更请求 CASK 抓取工单内容 CASK 在指定时间点批量操作 多台不同品牌的防火墙 品牌 A 防火墙集群 品牌 B 防火墙集群 Web Portal 展示 & 手机 App 展示 国 产 安 全 产 品 适 配 CASK 的工作方式适配国产安全产品 自动执行动作 行为阻断 策略应用 启用查杀 告警通知 合规部门 安全运维人员 事件回溯 排查验证 事件目录 事件联动编排 Syslog 告警和事件 1 2 3 4 SIEM 进一步的分析 CASK 平台支持的对接方式 适配各种产品、系统 • HTTP RESTful API 接口 • MQTT 消息 • AMQP 消息 • Kafka 消息 • 其他： UDP 、 OPC-UA 、 JDBC 、 JMS 、 log 文件抓取等 CASK 与 传统解决方案的区别 事件驱动 - 响应速度快 数据库 数据请求 响应 存储 检索 l 数据源或 服务 2 5 1 3 4 6 操作 2 事件驱动 应用程序 处理 & 分析 1 流 式 数 据 源 传统 应用程序 逻辑处 理分析 操作 ? 开发小型项目，使用 CASK 平台的前后对比 之前 5 种以上的开发工 具或者平台 5 名 以 上 的 专 业 开发工程师 1,000 行以上的代 码编程 3 个月的开发和部 署时间 完整团队参与 持续维护 1 2 3 4 5 敏捷开发、快速迭代 之后 CASK 平台 2 名开发人员 ~100 行 左 右 的代码编程 2 周左右的开 发和部署时间 ~1 周 / 月的 维护工作 1 2 3 4 5 >10x 生产力提升 • CASK 是一个高生产力的 aPaaS 平台，基于此平台的开发人员指 定的是业务逻辑，而不是底层的实现细节。这被称为低代码。 在需求定义阶段，需求方和开发人员共同定义事件和所需的操作。 • 由此， CASK 自动创建软件应用程序的基础或开端。 • CASK 平台的可视化工具用于添加完成应用程序所需的分析、协作 和附加服务。 • CASK 平台包含了一个基于 JavaScript 和 SQL 的语言引擎，基 于 Java 的核心应用。 什么是 低 代 码 开 发 ? 对开发人员有什么要求 ?