深入SOC2.0 安全審計與安管平臺融合

2013-10-22 10:20:35 Net硅谷動力　點擊量：評論 (0)

隨著企業和組織安全防御不斷向縱深發展、對加強內部安全的重視、以及內控與合規性要求的不斷提升，安全審計技術和產品得到了廣泛的應用。現在，客戶已經認識到單一的安全審計產品無法滿足實際要求，需要一套

隨著企業和組織安全防御不斷向縱深發展、對加強內部安全的重視、以及內控與合規性要求的不斷提升，安全審計技術和產品得到了廣泛的應用。現在，客戶已經認識到單一的安全審計產品無法滿足實際要求，需要一套體系化的安全審計平臺，以及將這個審計平臺與安全管理平臺進行整合。作為本系列的第三篇文章，將詳細闡述SOC2.0是如何將安全審計體系與安全管理平臺整合到一起的，并以網御神州SecFox安全管理與審計解決方案做為示例。

　　1安全審計的定義和組成

　　安全審計，本文專指IT安全審計，是一套對IT系統及其應用進行量化檢查與評估的技術和過程。安全審計通過對IT系統中相關信息的收集、分析和報告，來判定現有IT安全控制的有效性，檢查IT系統的誤用和濫用行為，驗證當前安全策略的合規性，獲取犯罪和違規的證據，確認必要的記錄被文檔化，以及檢測網絡異常和入侵。

　　根據GB/T 20945-2007《信息安全技術——信息系統安全審計產品技術要求和評價方法》，安全審計被定義為對信息系統的各種事件及行為實行監測、信息采集、分析并針對特定事件及行為采取相應比較動作。信息系統安全審計產品為評估信息系統的安全性和風險、完善安全策略的制定提供審計數據和審計服務支撐，從而達到保障信息系統正常運行的目的。同時，信息系統安全審計產品對信息系統各組成要素進行事件采集，將采集數據進行自動綜合和系統分析，能夠提高信息系統安全管理的效率。

　　對于一款安全審計產品，從產品功能組成上應該包括以下幾個部分：

　　（１）信息采集功能：產品能夠通過某種技術手段獲取需要審計的數據，例如日志，網絡數據包等。對于該功能，關鍵在于采集信息的手段種類、采集信息的范圍、采集信息的粒度（細致程度）。如果采用數據包審計技術，網絡協議抓包和分析引擎顯得尤為重要；如果采用日志審計技術，日志歸一化技術則是體現產品專業能力的地方；如果采用宿主代理審計技術，代理程序對宿主的兼容性、影響性是很關鍵的環節。

　　（２）信息分析功能：是指對于采集上來的信息進行分析、審計。這是審計產品的核心，審計效果好壞直接由此體現出來。在實現信息分析的技術上，簡單的技術可以是基于數據庫的信息查詢和比較；復雜的技術則包括實時關聯分析引擎技術，采用基于規則的審計、基于統計的審計、基于時序的審計，以及基于人工智能的審計算法，等等。

　　（３）信息存儲功能：對于采集到原始信息，以及審計后的信息都要進行保存，備查，并可以作為取證的依據。在該功能的實現上，關鍵點包括海量信息存儲技術、以及審計信息安全保護技術。

　　（４）信息展示功能：包括審計結果展示界面、統計分析報表功能、告警響應功能、設備聯動功能，等等。這部分功能是審計效果的最直接體現，審計結果的可視化能力和告警響應的方式、手段都是該功能的關鍵。

　　（５）產品自身安全性和可審計性功能：審計產品自身必須是安全的，包括要確保審計數據的完整性、機密性和有效性，對審計系統的訪問要安全。此外，所有針對審計產品的訪問和操作也要記錄日志，并且能夠被審計。

　　2安全審計技術分析

　　當前，隨著企業和組織安全防御不斷向縱深發展、對加強內部安全的重視、以及內控與合規性要求的不斷提升，安全審計技術和產品得到了廣泛的應用。一方面，企業和組織對安全的建設思路已經開始從以防外為主的策略，逐步轉為以防內為主、內外兼顧的策略，安全審計技術和產品成為安全防御縱深的延伸和安全體系建設中的必要一環，大量地應用于防范內部違規和內部用戶行為異常。另一方面，政府、行業對IT治理、IT內控和IT風險管理的日益重視極大地促進了安全審計的發展。目前推出的一些國際、國家、行業的內控和審計相關的法律、法規、標準等，都直接或者間接地對某些行業或企業提出了需要配備安全審計產品的要求。

　　國內的安全審計產品根據被審計對象和審計采用的技術手段兩個維度，可以劃分為不同的產品類型。

從被審計對象的維度來看，IT環境的各種IT資源都能夠成為被審計對象，自底向上依次可以包括網絡和安全設備、主