CN113361933A - 一种跨企业协同的集中管控中心 - Google Patents

Abstract

本发明公开了一种跨企业协同的集中管控中心，其特征在于，被用于多个企业的安全态势感知和事件协同反应，整个过程既有自动化的，也有人参与的，所述集中管控中心，被部署在所述中心节点上，接收多个集中管控发送过来的采集数据、多个集中管控共享的战略信息和公开网络威胁情报，并进行分析和评估，一旦分析和评估结束，将向它的上报信息的集中管控、相关的集中管控和甚至是相关的机构提供威胁情报、缓减策略、建议或早期警告，包括互连输入模块、采集模块、处理模块、存储模块、聚合和分析模块、评估模块、影响分析模块、缓减模块、管理模块、可视化模块、互连输出模块和协同模块。通过本发明，能够检测和防御复杂的网络攻击。

Description

一种跨企业协同的集中管控中心

技术领域

本发明涉及网络安全、SOC（Security operation center）、信息共享、网络事件处理和网络事件报告的技术领域，尤其涉及到一种跨企业协同的集中管控中心。

背景技术

安全生产历来是保障各项工作有序开展的前提，也是考核各级领导干部的否决指标。网络及信息安全运维体系是各类企业安全生产工作的重要组成部分。保障网络及信息系统高效稳定地运行，是企业一切市场经营活动和正常运作的基础。

当前，企业的网络及信息系统都不同程度地部署了各种不同的集中管控的设备，有效地提高了劳动生产率，降低了运营成本，已经成为企业高效运营的重要支撑和生产环节中不可缺少的一环。一方面，因为一旦网络及各业务系统出现安全事件或故障，如果不能及时发现、及时处理、及时恢复，这势必直接影响承载在其上所有业务的运行，影响企业的正常运营秩序，涉及到客户的系统将直接导致用户投诉，满意度下降，企业形象受到损害，对于企业网络的安全保障就显得格外重要。另一方面，现代的高级网络威胁，尤其是多阶段的网络攻击，例如，Stuxnet，利用了企业之间的相互依赖性，网络攻击者侵入了多个企业，将它们被用作到达目标的垫脚石。因此，为了应对这类威胁，多个企业之间需要一种协同机制来保护其业务，这种机制不完全使用从本企业采集的信息，而是另外还要采集其它企业共享或公开的相关观察结果，加以分析，及时披露此类网络攻击和迅速部署缓减策略等，并作出快速协同和协同反应。快速协同和协同反应是减轻网络威胁影响到越来越多的企业和/或减轻网络威胁进一步地在多个企业之间传播和连锁影响的关键；但是，现有的集中管控，仅负责本企业范围内的安全运维与管理服务。集中管控之间是相互隔离和孤立的，没有任何的联系。

当今，在关键基础设施中运行的工业控制系统正变得越来越复杂；此外，它们还广泛地与企业IT信息系统互联互通，以实现经济高效的监控、管理和维护。这使关键基础设施面临现代的高级网络威胁，企业面临着随时被攻击的危险，严重干扰了企业的正常运营。然而，现有的安全解决方案试图采用不跨越企业边界的安全措施来预防、检测和应对网络威胁。为了应对安全威胁，企业需要通过某种机制来保护其业务的正常运行，这种机制不完全使用从自己的系统采集的信息，而是另外还要采集企业之间共享或公开的相关观察结果，加以分析，并及时披露此类袭击和迅速部署缓减措施，日益严峻的安全威胁迫使企业不得不加强对网络及业务系统的安全防护，不断追求多层次、立体化的安全防御体系，尽一切可能来保护企业网络及业务系统正常运营。

信息共享在网络防御中越来越重要，在企业之间共享相关的事件信息情报，可以更好地了解各个企业关键基础设施的当前网络安全状况，并有助于检测隐蔽的大规模网络攻击和新的恶意软件。对共享事件信息的分析对于试图识别本企业关键基础设施中已经在其他企业关键基础设施中检测到的威胁至关重要，受到攻击的企业可以从分析和关联其它企业以前为解决相同或类似问题而采用的解决方案中获益。

发明内容

为了解决上述技术问题，本发明提供了一种跨企业协同的集中管控中心，从已有的各个集中管控和公开网络威胁情报采集数据，并将采集到的所有数据关联起来，进行分析，最终为所服务的企业提供威胁情报和缓减策略，整个过程既有自动化的，也有人参与的，以确保集中管控中心能够对集中管控的发生事件做出充分的决策并快速实施应对措施。

一种跨企业协同的集中管控中心，其特征在于，被用于多个企业的安全态势感知和事件协同反应，整个过程既有自动化的，也有人参与的，所述集中管控中心，被部署在所述中心节点上，接收多个集中管控发送过来的采集数据、多个集中管控共享的战略信息和公开网络威胁情报，并进行分析和评估，一旦分析和评估结束，将向它的上报信息的集中管控、相关的集中管控和甚至是相关的机构提供威胁情报、缓减策略、建议或早期警告，包括互连输入模块、采集模块、处理模块、存储模块、聚合和分析模块、评估模块、影响分析模块、缓减模块、管理模块、可视化模块、互连输出模块和协同模块；

所述评估模块，得出报告事件的根原因，并根据动态网络拓扑所构成的相互依赖模型进行影响分析，得出缓减措施，评估模块的一个重要输出就是专家团队的影响分析。

进一步地，所述集中管控，被部署在所述边缘节点上，用于所属企业范围内的入侵和威胁检测，不仅能够自动转发采集数据到集中管控中心的采集模块，而且还向集中管控中心上报本地检测到的异常和具有跨企业相关性的事件。

本发明的技术效果在于：

在本发明中，提供了一种跨企业协同的集中管控中心，其特征在于，被用于多个企业的安全态势感知和事件协同反应，整个过程既有自动化的，也有人参与的，所述集中管控中心，被部署在所述中心节点上，接收多个集中管控发送过来的采集数据、多个集中管控共享的战略信息和公开网络威胁情报，并进行分析和评估，一旦分析和评估结束，将向它的上报信息的集中管控、相关的集中管控和甚至是相关的机构提供威胁情报、缓减策略、建议或早期警告，包括互连输入模块、采集模块、处理模块、存储模块、聚合和分析模块、评估模块、影响分析模块、缓减模块、管理模块、可视化模块、互连输出模块和协同模块。通过本发明，能够检测和防御复杂的网络攻击。

附图说明

图1是一种跨企业协同的集中管控中心的部署结构的示意图；

图2是一种跨企业协同的集中管控中心的架构示意图。

具体实施方式

下面是根据附图和实例对本发明的进一步详细说明：

如图1所示，本申请提供了一种跨企业协同的集中管控中心的部署结构的示意图，采用一种星型的架构。包括一个中心节点和多个边缘节点，所述中心节点，部署集中管控中心，所述边缘节点部署集中管控，且一个集中管控中心连接多个集中管控。

所述集中管控，用于企业范围内的入侵和威胁检测，不仅能够自动转发采集数据到中集中管控心的采集模块，而且还向集中管控中心上报可能具有跨企业相关性的事件。另外，通过分析本地检测到的异常而获得的安全相关信息（如事件、漏洞、观测值等），集中管控的安全运维人员通过手动方式上报给集中管控中心。

在本申请中，包括了集中管控和集中管控中心这两种节点，集中管控中心为中心节点，而集中管控为边缘节点，它们构成了星型的网络拓扑结构图。集中管控中心从边缘节点的集中管控采集数据，甚至从公开网络威胁情报采集数据，而集中管控自动转发自身采集数据到集中管控中心的采集模块，而且还向集中管控中心上报可能具有跨企业相关性的战略事件，并负责所属企业范围内的入侵和威胁检测。

一旦事件数据在集中管控中心被采集、清洗和划分优先顺序之后，数据聚合和事件分析就开始了。事件分析和关联就是负责这些功能的模块。

事件分析和关联从多个可信来源采集安全情报，将相关信息与已报告的网络事件相结合和关联，并就发生的安全问题得出可能的结论。事件信息关联考虑了知识库中可用的所有相关数据。这包括以前为应对类似事件而采用的解决方案和缓减策略，以及被认为对解决过去类似情况有用的建议和观察结果。所述的集中管控中心，能够自动确定报告问题与知识库中包含的所有其他重要资源之间的相似性，以便简化分析；此外，还考虑并参考安全人员的反馈。安全人员包括安全经理、安全运维服务人员和专家团队，可以通过接受或拒绝每个自动关联（或导出的结论），对它们的有用性进行评分并提供有关它们的评论来训练系统。

集中管控中心的存储模块保留了两个数据存储器，大数据存储子模块作为一个内部数据存储器，用于数据采集和数据融合，而另一个外部数据存储器用于数据共享。集中管控只能访问集中管控中心的外部存储器，内部存储器是私有的，只能由集中管控中心本身访问（此处存储机密信息）。加密的数据可以存储在外部数据存储器中。这有助于信息共享并保持高度的安全性，因为未经授权的用户无法访问信息，即解密加密的数据。

集中管控生态系统内的安全信息共享基于共享实体之间建立的信任关系。在集中管控生态系统内所预见的层次结构中，集中管控报告安全信息需要信任它的集中管控中心，集中管控中心负责采集和分析这些信息。另一方面，从不同的集中管控获取安全信息的集中管控中心必须评估报告实体的可信性，以便正确地解释、判断和优先排序所接收的信息。奖励机制可以激励集中管控及时提供相关的、信息丰富的事件报告。共享高质量安全信息的集中管控得到了回报，它们在共享社区中的声誉也得到了提高。

在某些报告的事件中，快速协同和协同反应是减轻影响和/或减轻进一步传播和连锁影响的关键。因此，需要一个协同功能来支持分散的利益相关者和虚拟社区，并集成广泛的协同功能，为用户提供一个单一的、统一的解决方案。这种先进的网络防御协同工具应支持：

1、外循环的开放合作工作；

2、内循环的小组合作工作和网络防御决策支持；

3、增强态势感知和对抗复杂攻击；

协同功能必须建立在集中管控中心层次上。各个集中管控都要连接到集中管控中心协同环境上。

图2是一种跨企业协同的集中管控中心的架构示意图，各个不同的集中管控的安全态势感知与事件响应快速协同的过程，按照图2中箭头所示的方向进行。

首先，由互联接入模块的安全网关子模块和解密子模块来接收加密数据（如果数据已被加密的话），并转发给采集模块，所述数据包括多个集中管控发送过来的采集数据、多个集中管控共享的战略信息和公开的网络情报信息。

采集模块采用先进的数据采集和数据融合技术，实现了多种数据的快速导入和清洗；然后，转发给处理模块。

处理模块根据信誉管理报告适配子模块，来划分这些数据的优先级，并发送给聚合和分析模块；为了实现可信和有效的信息交换，本申请根据一组静态和动态参数，采用一种机制来评估集中管控的信誉。该模型根据每个报告实体的可信度确定其服务级别。高度信任的集中管控得益于集中管控中心的事件处理的更高优先级，对相关非机密安全信息的完全访问以及定制的事件缓减策略支持；信誉属性用一个介于1和5之间的评分值来表示，该评分值对集中管控的可信度及其生成的事件报告的质量进行了评级，将加密算法应用于共享信息时会考虑此信誉属性，因此特定的详细信息只能由信誉度较高的集中管控来访问，而信誉度较低的集中管控只能访问通用安全报告。

聚合和分析模块的事件聚合子模块和事件分析和关联子模块，基于特征提取算法聚合采集的数据，进行检查和将其与安全存储在知识库中的先前处理的资源进行比较，然后，发送给评估模块。

最后，评估模块允许通过评估分析结果并得出报告事件的根原因（root cause）来获得网络态势感知，然后基于详细的动态的网络拓扑所构成的相互依赖模型进行影响分析，得出缓减措施。评估模块的一个重要输出就是专家团队的影响分析。在集中管控中心尤其如此。因此，需要一个协同功能来支持分散的利益相关企业和一个虚拟社区，并集成广泛的协同功能，为客户提供一个单一的、统一的解决方案。

整个事件响应的协同分析的过程，由工单工作流管理器组织，并由可视化的仪表盘支持，该仪表盘可在整个过程的不同阶段及时向安全人员显示相关信息。

整个事件响应的协同分析的管理过程，由负责关键决策任务的安全运维服务人员、安全经理和专家团队进行监督。

建立安全连接，从其他集中管控或公开资源导入事件报告和威胁数据，向集中管控导出威胁情报和缓减策略，并与第三方组织交换相关信息。这些操作通过互连输入模块和互联输出模块来执行，互连输入模块和互联输出模块包括安全网关和高级加密与解密方法。协同模块提供多种即时通信机制，实现不同集中管控和集中管控中心之间的即时信息交换。

为了方便维护任务和审核过程，每个模块或子模块都采用了高级日志功能，并将日志消息转发到存储模块的大数据存储子模块中。

所述集中管控中心，接收多个集中管控发送过来的采集数据、多个集中管控共享的战略信息和公开的网络威胁情报信息，并进行分析和评估，一旦分析和评估结束，将向上报的集中管控、相关集中管控和甚至是相关的机构提供相关信息，包括缓减措施、建议或早期警告。网络事件信息聚合、关联、分类和分析是集中管控中心提供的主要功能。

如图2所示，所述集中管控中心，包括互连输入模块、采集模块、处理模块、存储模块、聚合和分析模块、评估模块、影响分析模块、缓减模块、管理模块、可视化模块、互连输出模块和协同模块。

在一个实施例中，考虑针对钢铁冶金企业加热炉及其轧制基础设施的攻击场景。黑客旨在通过阻断对相应钢铁冶金加热炉的天然气供应来中断钢铁冶金企业的生产，从而破坏企业的市场经营活动和正常运营。

首先，在一名对该企业不满的员工的帮助下，黑客获得了该钢铁冶金加热炉的供气网络结构、使用的协议与设备、监控、数据采集和ICS（ Industrial Control System 工业控制系统）细节方面的情报。例如，当前部署的ICS系统通常在设计时没有考虑任何故意误用的情况，并且经常显示出安全缺陷，如硬编码、易于猜测的管理员密码。在某些情况下，即使在这些漏洞被披露数月后，这些漏洞也不会得到修复。知道这一点，攻击者设计软件来操纵某个ICS组件，企业使用该组件来控制调节加热炉供气的阀门。

该ICS由另一个工控软件供应商来维护。攻击者现在可以监视多个企业员工的社交网络配置文件，并通过复杂的网络钓鱼电子邮件将其作为攻击目标。这些电子邮件似乎来自这些员工的前同事或招聘人员，其中包含一个指向某个网站的链接，该网站承载一个恶意攻击，利用web浏览器漏洞rootkit侵入计算机。

攻击者在ICS工控软件供应商的本地网络中建立了立足点后，就可以将恶意代码嵌入工控软件供应商服务器上的合法升级软件包中。升级软件包然后由该企业和其他客户下载。

在规定的时间内，攻击者利用已知的ICS漏洞开发的软件连接到ICS并触发恶意软件。攻击者开始操纵加热炉的气阀，从而影响了该钢铁冶金企业生产的连续性，造成财务损失。同时恶意软件伪造发送到该企业的集中管控的信号，以确保集中管控没有检测到和没有及时通知安全运维服务人员紧急情况进行有效缓减。

如果集中管控和ICS工控软件供应商都与集中管控中心交换威胁信息，则可以在攻击成功之前阻止或检测到攻击。

除了使用常见的反钓鱼工具，ICS工控软件供应商还将根据从集中管控中心收到的黑名单过滤收到的邮件。根据某些软件咨询公司的研究表明，每4名员工中只有不超过1人会关注鱼叉式网络钓鱼电子邮件中的链接。至关重要的是，其余3名员工不仅丢弃了该邮件，而且这1人在通过其他资源联系了所谓的网络钓鱼地址并确保被受到电子邮件发起人欺骗后，向该集中管控报告了网络钓鱼攻击。

然后，集中管控将向集中管控中心提交一份报告，其中包含实际的仿冒邮件、相关邮件服务器日志和所遇到攻击的简短摘要。在集中管控中心调查报告时，它将确定攻击者使用的漏洞的IOC（Indicators of Compromise危害指标），并要求ICS工控软件供应商使用这些IOC扫描其关键基础设施。

扫描将显示ICS工控软件供应商的软件升级包上的操作迹象；然后该ICS工控软件供应商将能够识别升级软件包中的恶意内容，发布修补程序并进行更新，并通知集中管控中心，由集中管控中心通知相关的集中管控的安全运维服务人员。

企业在其关键基础设施组件上部署采集模块。这些采集模块通过单独的受保护通道连接到集中管控，从而实现实时态势感知。在企业同意的情况下，采集的一些数据将不断地提交给集中管控中心进行自动评估和异常检测。现在，在收到ICS工控软件供应商关于被入侵需要升级软件包的警告后，企业将（1）与集中管控中心一起越来越多地监控基础设施的濒危部分，（2）对可能出现的紧急情况采取预防措施，并（3）回滚ICS工控软件供应商提供的恶意升级软件包，并邀请其信任的安全专家进行诊断，以确保ICS软件组件不会受到入侵，也不会从网络外部被自由地访问。最后，企业可与集中管控中心分享安全专家的见解（也许，会要求集中管控中心或相关机构部分地支付企业的调查费用）。

以上所述仅为本发明的较佳实施例，并非用来限定本发明的实施范围；凡是依本发明所作的等效变化与修改，都被视为本发明的专利范围所涵盖。

Claims (2)

1.一种跨企业协同的集中管控中心，其特征在于，被用于多个企业的安全态势感知和事件协同反应，整个过程既有自动化的，也有人参与的，所述集中管控中心，被部署在所述中心节点上，接收多个集中管控发送过来的采集数据、多个集中管控共享的战略信息和公开网络威胁情报，并进行分析和评估，一旦分析和评估结束，将向它的上报信息的集中管控、相关的集中管控和甚至是相关的机构提供威胁情报、缓减策略、建议或早期警告，包括互连输入模块、采集模块、处理模块、存储模块、聚合和分析模块、评估模块、影响分析模块、缓减模块、管理模块、可视化模块、互连输出模块和协同模块；

所述评估模块，得出报告事件的根原因，并根据动态网络拓扑所构成的相互依赖模型进行影响分析，得出缓减措施，评估模块的一个重要输出就是专家团队的影响分析。

2.如权利要求1所述的一种协同的安全集中管控系统，其特征在于，所述集中管控，被部署在所述边缘节点上，用于所属企业范围内的入侵和威胁检测，不仅能够自动转发采集数据到集中管控中心的采集模块，而且还向集中管控中心上报本地检测到的异常和具有跨企业相关性的事件。

Images