CN103563302A - 网络资产信息管理 - Google Patents

Abstract

一种网络资产信息管理系统（101）可以包括用于基于涉及资产（102）的网络活动来生成实时资产信息的资产确定和事件优先化模块（105）。规则模块（109）可以包括用于监测涉及资产的网络活动的规则集。信息分析模块（110）可以评估实时资产信息和规则以生成与资产相关的通知（111）。所述规则可以包括用于基于被识别往来于与资产相关的IP地址的业务的级别和预定阈值的比较来确定与资产关联的风险和脆弱性的规则。所述通知可以包括与资产关联的风险的级别。

Description

网络资产信息管理

一个或多个相关申请的交叉引用

本申请要求2011年6月1日提交的临时专利申请美国系列号61/492,309的优先权，通过引用将其明确合并于此。

背景技术

对于许多大型信息技术（IT）组织，网络资产（即，计算机、笔记本计算机、路由器、交换机、web（网络）服务器、数据库机器、及连接在网络上的其他组件）能够变为如此众多、分散、并且被分散的IT人员所管理，这可能变得难以使用传统的手动或自动化方法对这些资产进行追踪和分类。在传统系统中，使用自动化规则来对网络基础设施信息的实时更新不存在。

存在维护网络资产和拓扑信息的各种系统。这些系统通常使用各种网络发现技术来在任何给定的时间点发现网络节点和拓扑。所述发现能够被重新发行以更新关于网络的信息。然后可以使用市场上可购买的扫描器（scanner）或专利技术来扫描这些网络资产以确定这些资产上存在的脆弱性（vulnerability）。扫描器还可以检测在能够被用于到达资产并利用其脆弱性的给定资产上的开放端口。

对于前述方法，资产信息可能不总是完全最新的。另外，信息通常对应于资产的静态属性（例如，资产的事务分类、IP地址、脆弱性等）而不是实时的动态属性（诸如，当前和历史带宽利用率、发生在资产上的当前攻击集、基于网络业务和资产的静态属性的当前风险等）。

其他系统也允许输入由网络扫描器所采集的静态资产数据和该数据的周期性更新（通常以周或月计，而在用户设施处可能以天计）。因而，网络资产信息不总是最新的。此类系统还允许基于机器的IP地址、主机名称和媒体访问控制地址（MAC地址）而不是基于规则的方法的资产自动创建。类别还可以通过规则而不是资产信息的任何其他方面（例如，当前补丁级别、脆弱性、风险等以及任何其他用户定义的属性）被添加或从资产中移除。可以基于上一次扫描时间来维护资产的使用年限（age）并且可以使用该信息来计算针对在资产上发生的活动的资产模型置信度（confidence）。对于此类系统，资产模型信息置信度是基于自从上一次扫描时间以来的持续时间。自从上一次扫描，资产可能已经针对某些脆弱性而被打补丁，针对不同的事务使用而被重新目的化，服务可能已经被添加或移除，并且可能已经做出其他改变。

附图说明

在下述描述中参考下述附图详细描述了实施例。

图1图示根据实施例包括网络资产信息管理系统的环境；

图2图示根据实施例用于网络资产信息管理系统的系统交互图；

图3图示根据实施例用于网络资产信息管理的方法；以及

图4图示根据实施例可以用于系统及相关方法的计算机系统。

具体实施方式

为了简单和说明的目的，本实施例的原理主要通过参考其示例进行描述。在下述描述中，阐述了各种特定细节以便提供对实施例的透彻理解。显而易见的是可以在不对所有特定细节进行限制的情况下实践所述实施例。所述实施例还可以以各种组合被一起使用。

1.概述

网络资产信息管理系统在本文中被描述并且通过对任何事件数据的基于规则的分析而自动地提供了对关于网络资产的信息的管理。所述数据可以例如由连接器来采集，并且可以例如包括与系统内部观察到的或者在外部提供到系统的关于网络资产的附加信息相关的系统日志、应用日志、网络数据等。这些资产可以包括例如受管理的主机、服务器和网络设备，其可以是具有IP地址并连接到客户的网络的任何机器（物理的或虚拟的）。所述服务器在云产品中可以是共享的或者是专用的，其基于服务需求而可能出现和不出现在网络中。

网络资产信息管理系统可以提供关于资产的丰富信息的发现和维护。该信息可以通过分析涉及这些资产的网络活动而实时更新，通过从客户环境中的各种网络设备采集数据的连接器而提供到网络资产信息管理系统。与可以存储以供在随后的时间进行处理的静态数据相反，实时数据可以是在捕获时被评估和处理的所考虑数据。

此外，使用监测涉及资产的网络活动的规则，可以计算和维护关于资产的更丰富的数据集，包括例如识别与该资产关联的服务列表、应用、资源利用率、业务评定、脆弱性、攻击、病毒、蠕虫、安全损害（compromise）、流氓进程、流氓服务器、操作系统（OS）版本、补丁级别、web客户端和风险。该关于资产的丰富信息可以进一步被网络资产信息管理系统用于发布与资产损害和攻击相关的安全警报。所述信息还可以促进提供与单个资产或通过资产的任何特性（例如，服务、事务单元、网域等）所分组的多个资产关联的统计数据和风险的高级别概述。

本文描述的方法使用直接来自资产以及来自将业务发送到资产的其他设备的发生在资产上的网络和应用活动的事件馈送，并进一步使用基于规则的方法以识别资产上的当前活动提供了信息的丰富性，以及利用网络活动的实时分析对静态或周期性计算的信息的更新。

网络资产信息管理系统在下文进一步详细描述并且可以包括资产确定和事件优先化模块以基于涉及资产的网络活动来生成实时资产信息。系统的模块和其他组件可以包括机器可读指令、硬件或者机器可读指令和硬件的组合。实时资产信息可以包括例如诸如当前和历史带宽利用率、发生在资产上的当前攻击集、以及基于网络业务的当前风险等之类的动态属性。规则模块可以包括用于监测涉及资产的网络活动的规则集。信息分析模块可以评估实时资产信息和规则以生成与资产相关的通知。通知可以以报告的形式。规则可以包括用于基于被识别往来于与资产相关的IP地址的业务的级别与预定阈值的比较而确定与资产关联的脆弱性和风险的规则。脆弱性可以被定义为例如基于暴露于攻击的弱点，而风险可以被定义为例如发生不期望的事件的可能性。通知可以包括例如与资产关联的风险的级别。

对于本文描述的网络资产信息管理系统，所述系统可以进一步包括用于基于关于资产的静态信息而生成资产模型的资产模型模块。资产模型可以包括关于资产的静态信息。静态信息可以包括例如资产的事务分类、IP地址等。信息分析模块因而可以评估资产模型、实时资产信息、和规则以生成与资产相关的通知。关于资产的静态信息可以从扫描器和/或外部资产数据库获得。涉及资产的网络活动可以包括例如涉及资产的事件数据。事件数据可以包括例如资产日志、应用日志和/或网络数据。事件数据可以直接从资产或从与资产对接的其他设备（例如，路由器、连接到资产的其他机器等）接收。此外，与资产关联的风险可以从诸如例如病毒、恶意软件等之类的在与特定资产相同的网域中的其他资产上发现的风险得到。涉及资产的网络活动可以由例如连接器获得。资产可以包括例如受管理的主机、服务器或网络设备。用于监测涉及资产的网络活动的规则可以包括用于在被识别往来于与资产相关的IP地址的业务超过预定阈值量的数据或持续时间的情况下创建资产的规则，并且所述通知可以包括用于创建资产的指示。用于监测涉及资产的网络活动的规则还可以包括用于在预定时间段内没有从资产观察到业务的情况下删除资产的规则，并且所述通知可以包括用于删除资产的指示。用于监测涉及资产的网络活动的规则可以进一步包括用于在识别OS补丁或应用补丁的事件已经应用于资产的情况下更新资产的规则，并且所述通知可以包括用于更新资产的指示。用于监测涉及资产的网络活动的规则包括用于确定与资产关联的脆弱性和风险的规则。信息分析模块可以基于上一次扫描时间来维护资产的使用年限并使用该使用年限来计算针对发生在资产上的活动的资产模型信息置信度。信息分析模块可以使用资产模型信息置信度来计算发生在资产上的活动的优先级。与资产相关的通知可以包括例如与资产关联的服务、应用、资源利用率、业务评定、攻击、病毒、蠕虫、安全损害、流氓进程、流氓服务器、OS版本、补丁级别、web客户端、和/或风险。与资产相关的通知可以被用于发布与资产损害和攻击相关的安全警报。与资产相关的通知还可以被用于生成与资产关联的统计数据。

如在下文进一步详细描述的，用于网络资产信息管理的方法被提供并可以包括基于涉及资产的网络活动来生成实时资产信息。所述方法可以进一步包括执行对涉及资产的网络活动的基于规则的监测。所述方法还可以包括评估实时资产信息和监测的网络活动以生成与资产相关的通知。执行对涉及资产的网络活动的基于规则的监测可以包括基于被识别往来于与资产相关的IP地址的业务的级别和预定阈值的比较来确定与资产关联的脆弱性和风险，并且通知可以包括与资产关联的风险的级别。

对于本文所述的方法，所述方法可以进一步包括基于关于资产的静态信息来生成资产模型。评估可以进一步包括评估资产模型、实时资产信息和监测的网络活动以生成与资产相关的通知。所述方法可以包括由连接器获得涉及资产的网络活动。所述方法还可以包括基于上一次扫描时间来维护资产的使用年限并使用该使用年限来计算针对发生在资产上的活动的资产模型信息置信度。所述方法可以包括使用资产模型信息置信度来计算发生在资产上的活动的优先级。

又如在下文进一步详细描述的，提供了存储机器可读指令的非临时计算机可读介质。所述机器可读指令当被计算机系统所运行时可以执行用于网络资产信息管理的方法，所述方法包括基于涉及资产的网络活动来生成实时资产信息。所述方法可以进一步包括执行对涉及资产的网络活动的基于规则的监测。所述方法还可以包括评估实时资产信息和监测的网络活动以生成与资产相关的通知。执行对涉及资产的网络活动的基于规则的监测可以包括基于被识别往来于与资产相关的IP地址的业务的级别和预定阈值的比较来确定与资产关联的脆弱性和风险，并且所述通知可以包括与资产关联的风险的级别。

2.系统

图1图示根据实施例用于网络资产信息管理系统101的环境100。环境100可以包括生成用于事件的事件数据的数据源102（即，资产），所述事件数据可以被网络资产信息管理系统101所采集并且存储在数据存储103中。连接器104可以包括由机器可读指令组成的代码，所述机器可读指令将来自数据源102的事件数据提供到网络资产信息管理系统101。连接器104可以提供高效、实时的本地事件数据捕获并从数据源102过滤。资产确定和事件优先化模块105可以基于被连接器104所捕获的事件数据来确定资产，并提供事件的优先化，如下所述。资产确定和事件优先化模块105还可以基于涉及数据源的网络活动来生成关于数据源102的实时信息。资产模型模块106可以从扫描器107和/或外部资产数据库108获得静态资产信息，并且基于关于数据源102的静态信息来生成资产模型。规则模块109可以从资产确定和事件优先化模块105和/或资产模型模块106获得信息，并且可以包括用于监测涉及数据源102的网络活动的规则集。信息分析模块110可以评估资产模型、实时资产信息、和规则以生成例如通知（在111）。因而，模块110可以基于由资产确定和事件优先化模块105、资产模型模块106、和规则模块109所提供的信息来执行事件处理。

如本文所讨论的，对于网络资产信息管理系统101，事件可以是能够被监测和分析的任何活动。针对事件所捕获的数据可以被称作事件数据。所捕获的事件数据的分析可以被执行以确定是否事件与威胁或某一其他条件关联。与事件关联的活动的示例可以包括登入、登出、通过网络发送数据、发送电子邮件、访问应用、读取或写入数据、执行交易等。常见威胁的示例可以包括网络安全威胁，由此用户试图通过网络获得对秘密信息（诸如，社保号、信用卡号等）的未授权的访问。

数据源102可以包括可操作以提供可以被分析的事件数据的网络设备、应用或下文描述的其他类型的数据源。可以在由数据源102所生成的日志或消息中捕获事件数据。例如，入侵检测系统（IDS）、入侵防御系统（IPS）、脆弱性评定工具、防火墙、反病毒工具、反垃圾邮件工具、加密工具、和事务应用可以生成描述被源所执行的活动的日志。可以例如通过日志文件或系统日志服务器中的条目、警报、警告、网络分组、电子邮件或通知页面来提供事件数据。

事件数据可以包括关于生成事件的设备或应用以及何时事件被从事件源接收（“接收时间”）的信息。接收时间可以是日期/时间戳，并且事件源可以是网络端点标识符（例如，IP地址或媒体访问控制（MAC）地址）和/或源的描述，可能包括关于产品的厂商和版本的信息。日期/时间戳、源信息和其他信息可以被用于将事件与用户相关并且针对威胁对事件进行分析。

数据源102的示例在图1中被示为数据库（DB）、UNIX、App1和App2。DB和UNIX是包括诸如服务器之类的网络设备的系统，并且可以生成事件数据。App1和App2是分别由例如DB系统所托管的应用，并且也生成事件数据。App1和App2可以是事务应用，诸如用于信用卡和股票交易的金融应用、IT应用、人力资源应用、或任何其他类型的应用。

数据源102的其他示例可以包括安全检测和代理系统、访问和策略控制、核心服务日志和日志合并程序（consolidator）、网络硬件、加密设备、和物理安全。安全检测和代理系统的示例包括IDS、IPS、多用途安全装置、脆弱性评定和管理、反病毒、诱捕系统（honeypot）、威胁响应技术、和网络监测。访问和策略控制系统的示例包括访问和识别管理、虚拟专用网（VPN）、高速缓存引擎、防火墙和安全策略管理。核心服务日志和日志合并程序的示例包括操作系统日志、数据库审计日志、应用日志、日志合并程序、web服务器日志和管理控制台。网络设备的示例包括路由器和交换机。加密设备的示例包括数据安全和完整性。物理安全系统的示例包括卡键阅读器（card-key reader）、生物计量、防盗警报器、和火情警报器。

数据存储103可以包括数据库或其他类型的数据存储系统。数据存储103可以包括用于执行内存中处理和/或用于数据库存储和操作的非易失性存储的存储器。数据存储103可以存储被用于对事件数据进行相关和分析的网络资产信息管理系统101所使用的任何数据。

连接器104可以包括由将来自数据源102的事件数据提供到网络资产信息管理系统101的机器可读指令所组成的代码。可替代地，事件数据可以从直接或间接连接到数据源102的其他设备采集。连接器104可以提供高效、实时（或接近实时）的本地事件数据捕获并从数据源102过滤。连接器104例如从事件日志或消息采集事件数据。由连接器104采集事件数据被示为描述从数据源102发送到图1中的连接器104的某些数据的“事件”。连接器104可以存在于数据源102或在数据源102和网络资产信息管理系统101之间的中间点处。例如，连接器104可以存在于网络设备处、在网络内的合并点处、和/或通过简单网络管理协议（SNMP）陷阱（trap）操作。连接器104可以将事件数据发送到网络资产信息管理系统101。连接器104可以是通过手动和自动化过程二者以及经由关联的配置文件可配置的。每个连接器可以包括一个或多个软件模块，所述一个或多个软件模块包括标准化组件、时间校正组件、聚合组件、批处理组件、解析器（resolver）组件、传输组件和/或附加组件。这些组件可以通过配置文件中适当的命令而被激活和/或去激活。

资产确定和事件优先化模块105可以与信息分析模块110结合来采集和分析事件数据。可以由规则模块109将事件与规则互相关以创建元事件。相关包括例如发现事件之间的关系，（例如，通过生成元事件来）推断这些关系的重要性，对事件和元事件进行优先化，并且提供用于采取行动的框架。提供用于聚合、相关、检测、和研究性的追踪活动的网络资产信息管理系统101（其一个实施例被表现为被诸如处理器之类的计算机硬件所运行的机器可读指令）。系统101还支持网络威胁和活动的响应管理、自组织查询分辨率、针对取证分析的报告和重放、和图形可视化。

资产确定和事件优先化模块105可以从而确定哪些数据源102（即，资产）被登记。例如，路由器可以指示事件从IP地址192.168.10.1到达并去往IP地址192.168.2.1和端口60。基于该信息，模块105可以确定哪个数据源102具有在从其中获得信息的特定网络中的特定的192.168.10.1的IP地址。基于该类型的信息，信息分析模块110可以基于与由资产模型模块106和规则模块109所提供的信息结合来确定涉及的脆弱性。

参考图1，网络资产信息管理系统101通过对网络业务的基于规则的分析来提供关于网络资产的信息的实时管理。系统101还基于对数据的自动的基于规则的分析和维护来提供被维护的资产信息集的增强。此类附加信息可以包括例如业务利用率、对于OS和应用的补丁级别、与资产关联的风险、危害安全的脆弱性等、以及任何用户定义的属性。可以使用对于与关于这些资产的已经可用或推断的信息相关的业务的基于规则的分析来实时维护这些属性。因而，业务相关的数据可以被分析以发现资产、和/或确定关于资产的附加信息。例如，假定资产在端口处接收业务，基于所述业务，网络资产信息管理系统101可以确定例如由资产提供的服务的类型。例如，系统101可以确定由资产所运行的软件的类型。来自资产的业务的类型还可以被用于确定由资产所提供的服务的特定类型。例如，来自资产的活动日志可以被用于实时确定已经应用何种类型的补丁和资产脆弱性。该信息可以被用于实时确定针对其他类型的业务的资产脆弱性。

本文描述的网络资产信息管理系统101的前述和其他方面可以利用或不利用与资产的静态属性相关的信息来实现。因而，在没有与由扫描器107和外部资产数据库108所提供的资产的静态属性相关的信息的情况下，网络资产信息管理系统可以利用与由连接器104所提供的实时业务相关的信息来确定关于资产的信息。

新时间戳可以被添加到资产属性以追踪所述规则上一次更新资产信息的时间。这可以与上一次资产扫描时间结合使用来计算资产模型信息置信度，所述资产模型信息置信度可以被用于计算涉及这些资产的活动或事件的优先级。其他属性可以被添加到资产，包括例如可以被规则所更新的时间戳。时间戳可以促进理解资产的活动级别。例如，如果资产在一段时间内没有活动，则时间戳可以促进理解何时活动停止。此类时间戳信息也可以被用于确定资产的存在。时间戳还可以与规则结合使用来将模型置信度分配给由系统101所生成的通知111。

使用资产确定和事件优先化模块105，资产模型信息可以被优先化组件利用用于除其他属性之外特别基于资产的开放端口和识别出的脆弱性来对事件进行优先化。优先化可以被信息分析模块110所分析。在不存在基于规则的方法的情况下，关于该信息的真实性的置信度可以被上一次扫描时间所影响。然而，利用由能够监测补丁安装、脆弱性损害、到各种端口的业务以及以资产为目标的其他事件的规则模块109所提供的规则，资产信息的某些组件可以被规则实时更新。因而，规则刷新资产信息的上一次时间的知识可以促进计算被事件优先化所利用的资产信息模型置信度。

考虑到事件优先化，如上所述，时间戳信息可以被用于提高或降低特定资产活动的风险的优先级。例如，对于从一个源去往资产的特定端口的业务，该业务可能包含指向某个脆弱性的利用的分组。来自该分组的信息可以与在特定时间戳的先前获得的信息进行比较以确定脆弱性的级别。

资产模型模块106可以从扫描器107和/或外部资产数据库108获得静态资产信息。从扫描器107和/或外部资产数据库108所采集的信息可以形成被规则模块109所使用的资产模型的基础。因而，对于分析中的任何资产，甚至在从连接器104采集任何实时信息之前，资产模型模块106可以基于从扫描器107和/或外部资产数据库108所采集的初始信息来确定资产模型。部分地基于由资产模型模块106所确定的资产模型，信息分析模块110可以确定被资产所执行的服务的类型或者是否资产易受攻击。

规则模块109可以包括例如用于资产创建、删除和更新的规则条件。规则条件可以适用于被网络资产信息管理系统101所管理的多个数据源102（即，资产）中的任何一个。资产创建可以基于被识别往来于IP地址的业务超过多于阈值量的数据或持续时间的规则条件。资产删除可以基于在可以是用户定义的一段时间内没有从资产看到业务的规则条件。资产更新可以基于识别OS补丁或应用补丁的事件应用于资产的规则条件。附加的组件可以维护被寻址的脆弱性和OS补丁之间的映射。规则模块109可以更新资产脆弱性列表。对于资产更新，另一个规则条件可以包括识别出未已知开放的资产上的端口所接受的连接的事件。资产开放端口可以被更新。对于资产更新，另一个规则条件可以包括由基于复杂规则条件的规则而识别资产损害。规则可以从而提高资产风险。

资产信息可以从各种事件中直接或间接推断出，并且资产信息的置信度级别可以被如下影响。检索的事件可以直接报告设备厂商和设备产品信息（例如，名称、补丁级别、版本级别等）。这提供了资产/系统信息是准确的高级置信度。例如，由于事件描述资产的各部分并且信息直接从资产到达，检索的事件可以从而提供资产/系统信息是准确的高级置信度。事件还可以包含关于从资产/设备到另一个资产的连接的信息。这给出关于运行于资产/系统上的服务的第二置信度。事件还可以报告用于web浏览的用户代理、OS版本、补丁级别以及甚至安装在系统上的应用。基于该信息，可以推断出关于资产的更丰富的数据，诸如应用列表、web浏览器客户端和操作系统版本。

网络资产信息管理系统101还提供资产信息的丰富（例如，当前和历史带宽利用率、去往资产的当前攻击集、基于网络业务的当前风险、与网域中其他资产关联的风险、以及资产的静态属性等）。例如，网络信息可以利用来自资产的安全信息来丰富以从而实时更新与资产关联的风险。风险可以与预定的风险阈值进行比较以确定例如针对特定网络、部门或组织的实际风险。基于针对资产的安全信息，系统101可以确定特定风险或攻击确实危及资产的安全，从而提高风险级别。例如，如果被识别往来于与资产相关的IP地址的业务超过预定阈值量的数据或持续时间，此类业务的增长可能使得资产易受攻击并因此可以提高与资产相关的风险的级别。系统101还可以维护对于特定资产已经在预定时间段内被利用的所有脆弱性或已经被尝试但未被利用的脆弱性的的列表。此类安全信息可以被实时添加到资产模型。考虑到如本文所讨论的资产信息的丰富，规则模块109还可以包括识别哪些脆弱性可能被利用或可能不被利用的规则。

图2图示根据实施例用于网络资产信息管理系统101的系统交互图。例如，图2示出各种网络交换机120（即，PC1、PC2….PCn）和可以充当类似于图1的连接器104的采集器121。附加组件可以包括用于从域名系统（DNS）服务器123获得信息的DNS采集器122、用于从防火墙服务器125获得信息的防火墙采集器124、以及用于从虚拟专用网（VPN）服务器127获得信息的VPN采集器126。DNS服务器123、防火墙服务器125和VPN服务器127可以连接到用于给网络资产信息管理系统101提供信息的因特网128。

对于网络资产信息管理系统101，通过对网络业务的基于规则的分析的关于网络资产的信息的自动管理，与被系统内部或在外部提供到系统的关于网络资产观察到的附加信息相关，从而提供信息的实时且准确的维护。系统还提供资产信息的丰富（例如，当前和历史带宽利用率、去往资产的当前攻击集、基于网络业务的当前风险、以及资产的静态属性等）。此外，系统提供通过能够进一步被用于识别信息的可能过时的规则来维护资产信息的上一次更新时间戳的能力。这能够进一步例如被信息分析模块110使用来计算资产模型置信度。系统还提供灵活的框架（使用灵活的用户可定制规则）来管理和使用资产信息。

3.方法

图3图示根据实施例用于网络资产信息管理的方法300。以示例而非限制性方式，方法300可以被实现在参考图1和2在上文描述的网络资产信息管理系统101上。所述方法300可以被实践在其他系统中。

对于方法300，参考图1-3，在块301，方法可以包括基于关于资产的静态信息来生成资产模型。如图1所示，资产模型模块106可以基于关于数据源102（即，资产）的静态信息来生成资产模型。关于资产的静态信息可以从扫描器107和/或外部资产数据库108获得。资产可以包括例如受管理的主机、服务器或网络设备。

在块302，方法可以包括基于涉及资产的网络活动来生成实时资产信息。如图1所示，资产确定和事件优先化模块105可以基于涉及资产的网络活动来生成实时资产信息。涉及资产的网络活动可以包括例如涉及资产的事件数据。事件数据可以包括例如资产日志、应用日志和/或网络数据。涉及资产的网络活动可以例如由连接器104所获得。

在块303，方法可以包括执行对涉及资产的网络活动的基于规则的监测。如图1所示，规则模块109可以包括用于监测涉及资产的网络活动的规则集。执行对涉及资产的网络活动的基于规则的监测可以包括基于被识别往来于与资产相关的IP地址的业务的级别与预定阈值的比较来确定与资产关联的风险和脆弱性。就这点而言，下面在块304的通知可以包括与资产关联的风险的级别。用于监测涉及资产的网络活动的规则可以包括用于在被识别往来于与资产相关的IP地址的业务超过预定阈值量的数据或持续时间的情况下创建资产的规则。规则还可以包括用于在预定时间段内没有从资产观察到业务的情况下删除资产的规则。规则可以进一步包括用于在识别OS补丁或应用补丁的事件已经被应用于资产的情况下更新资产的规则。

在块304，方法可以包括评估资产模型、实时资产信息、以及监测的网络活动以生成与资产相关的通知。如图1所示，信息分析模块110可以评估资产模型，实时资产信息、和规则以生成与资产相关的通知111。信息分析模块110可以基于上一次扫描时间来维护资产的使用年限并使用该使用年限来计算针对发生在资产上的活动的资产模型信息置信度。信息分析模块110可以使用资产模型信息置信度来计算发生在资产上的活动的优先级。与资产相关的通知111可以包括例如与资产关联的服务、应用、资源利用率、业务评定、攻击、病毒、蠕虫、安全损害、流氓进程、流氓服务器、OS版本、补丁级别、web客户端和/或风险。通知111可以被用于发布与资产损害和攻击相关的安全警报。通知111还可以被用于生成与资产关联的风险和统计数据。

4.计算机可读介质

图4示出可以与本文所述的实施例一起使用的计算机系统400。计算机系统400表示包括可以在服务器或另一个计算机系统中的组件的通用平台。计算机系统400可以被用作用于系统101的平台。计算机系统400可以通过处理器或其他硬件处理电路来运行本文所述的方法、功能和其他过程。这些方法、功能和其他过程可以被具体化为存储在计算机可读介质上的机器可读指令，所述计算机可读介质可以是非临时的，诸如硬件存储设备（例如，RAM（随机存取存储器）、ROM（只读存储器）、EPROM（可擦除可编程ROM）、EEPROM（电可擦除可编程ROM）、硬盘驱动器和闪存）。

计算机系统400包括可以实现或运行执行本文所述的全部或部分方法、功能和其他过程的机器可读指令的处理器402。来自处理器402的命令和数据通过通信总线404传递。计算机系统400还包括用于处理器402的机器可读指令和数据可以在运行时间期间存在其中的主存储器406（诸如，随机存取存储器（RAM）），和可以是非易失性并且存储机器可读指令和数据的辅数据存储408。所述存储器和数据存储是计算机可读介质的示例。存储器406可以包括包含在运行时间期间存在于存储器406中并被处理器402所运行的机器可读指令的模块420。模块420可以包括图1所示的系统101的模块105、106、109和110。

计算机系统400可以包括I/O设备410，诸如键盘、鼠标、显示器、触摸屏等。计算机系统400可以包括用于连接到网络的网络接口412。其他已知的电子组件可以在计算机系统400中被添加或替换。

尽管已经参考示例描述了实施例，但是可以在不背离要求保护的实施例的范围的情况下对所述实施例做出各种修改。

Claims (15)

1.一种网络资产信息管理系统（101），包括：

资产确定和事件优先化模块（105），用于基于涉及资产（102）的网络活动来生成实时资产信息；

规则模块（109），用于包含用于监测涉及资产的网络活动的规则集；以及

信息分析模块（110），被处理器所运行以评估实时资产信息和规则以生成与资产相关的通知（111），

其中用于监测涉及资产的网络活动的规则包括用于基于被识别往来于与资产相关的IP地址的业务的级别和预定阈值的比较来确定与资产关联的风险和脆弱性，并且其中所述通知包括与资产关联的风险的级别。

2.根据权利要求1所述的系统，进一步包括用于基于关于资产的静态信息来生成资产模型的资产模型模块（106），其中信息分析模块用于评估资产模型、实时资产信息、和规则以生成与资产相关的通知。

3.根据权利要求2所述的系统，其中关于资产的静态信息从扫描器（107）获得。

4.根据权利要求2所述的系统，其中关于资产的静态信息从外部资产数据库（108）获得。

5.根据权利要求1所述的系统，其中涉及资产的网络活动包括涉及资产的事件数据，并且其中事件数据包括资产日志、应用日志或网络数据。

6.根据权利要求1所述的系统，其中涉及资产的网络活动由连接器（104）获得。

7.根据权利要求1所述的系统，其中用于监测涉及资产的网络活动的规则包括用于在被识别往来于与资产相关的IP地址的业务超过预定阈值量的数据或持续时间的情况下创建资产的规则，并且其中所述通知包括用于创建资产的指示。

8.根据权利要求1所述的系统，其中用于监测涉及资产的网络活动的规则包括用于在预定时间段内没有从资产观察到业务的情况下删除资产的规则，并且其中所述通知包括用于删除资产的指示。

9.根据权利要求1所述的系统，其中用于监测涉及资产的网络活动的规则包括用于在识别OS补丁或应用补丁的事件已经被应用于资产的情况下更新资产的规则，并且其中所述通知包括用于更新资产的指示。

10.根据权利要求1所述的系统，其中信息分析模块（110）用于基于上一次扫描时间来维护资产的使用年限并使用该使用年限来计算针对发生在资产上的活动的资产模型信息置信度和发生在资产上的活动的优先级。

11.根据权利要求1所述的系统，其中与资产相关的通知包括与资产关联的服务、应用、资源利用率、业务评定、攻击、病毒、蠕虫、安全损害、流氓进程、流氓服务器、操作系统（OS）版本、补丁级别、web客户端或风险。

12.根据权利要求1所述的系统，其中与资产相关的通知被用于生成与资产关联的统计数据。

13. 一种用于网络资产信息管理的方法（300），所述方法包括：

基于涉及资产（102）的网络活动来生成（302）实时资产信息；

执行（303）对涉及资产的网络活动的基于规则的监测；以及

由处理器来评估（304）实时资产信息和监测的网络活动以生成与资产相关的通知（111），

其中执行对涉及资产的网络活动的基于规则的监测包括基于被识别往来于与资产相关的IP地址的业务的级别与预定阈值的比较来确定与资产关联的风险和脆弱性，并且其中所述通知包括与资产关联的风险的级别。

14. 根据权利要求13所述的方法，进一步包括基于关于资产的静态信息来生成（301）资产模型，其中评估进一步包括评估资产模型、实时资产信息、和监测的网络活动以生成与资产相关的通知。

15.一种存储机器可读指令的非临时计算机可读介质，当被计算机系统（400）运行时，所述机器可读指令执行用于网络资产信息管理的方法（300），所述方法包括：

基于涉及资产（102）的网络活动来生成（302）实时资产信息；

执行（303）对涉及资产的网络活动的基于规则的监测；以及

由处理器来评估（304）实时资产信息和监测的网络活动以生成与资产相关的通知（111），

其中执行对涉及资产的网络活动的基于规则的监测包括基于被识别往来于与资产相关的IP地址的业务的级别与预定阈值的比较来确定与资产关联的风险和脆弱性，并且其中所述通知包括与资产关联的风险的级别。

Images