360日志審計用戶操作手冊日志審計用戶手冊目錄第一章. 產(chǎn)品簡介 31.1. 產(chǎn)品概要 31.2. 應(yīng)用場景 3第二章. 安裝流程 32.1. 軟件版本安裝 32.1.1.安裝組件 32.1.2.啟動和停止 42.1.3.卸載 42.1.4.導(dǎo)入許可 5第三章. 登錄日志審計系統(tǒng) 53.1Web方式登錄 53.1.1密碼方式登錄 53.2SSO單點登錄 53.3修改密碼 6第四章. 功能菜單 64.1. 概覽 64.1.1. 概覽情況 64.2. 態(tài)勢感知 74.2.1. 攻擊態(tài)勢 74.2.2. 資產(chǎn)態(tài)勢 84.2.3. 行為態(tài)勢 84.2.4. 威脅態(tài)勢 84.3. 儀表板 94.3.1儀表板查看 94.3.2儀表板維護(hù) 114.4. 資產(chǎn) 114.4.1資產(chǎn)列表 124.4.2資產(chǎn)發(fā)現(xiàn) 134.4.3資產(chǎn)標(biāo)簽 144.5. 事件 164.5.1查詢策略 174.5.2原始事件查詢 174.6 告警 194.6.1 告警查詢 204.6.2 告警狀態(tài)圖 204.6.3 告警表 214.7 規(guī)則 224.7.1規(guī)則組 234.7.2規(guī)則列表 234.8報表 244.8.1報表組 254.8.2報表列表 254.9視圖 274.9.1視圖組 274.9.2視圖列表 274.10范化 284.10.1范化 284.10.2映射表 304.11數(shù)據(jù)治理 314.11.1數(shù)據(jù)導(dǎo)出 314.11.2數(shù)據(jù)導(dǎo)入 314.11.3操作歷史 324.12系統(tǒng) 334.12.1角色 334.12.1組織 344.12.3組件 364.12.4模型 384.12.5事件源 384.12.6過濾器 394.12.7字典表 41

產(chǎn)品簡介產(chǎn)品概要在復(fù)雜的網(wǎng)絡(luò)環(huán)境下，管理者很難獲得一個全網(wǎng)安全的綜合視圖，無法掌握整個網(wǎng)絡(luò)的安全態(tài)勢，難于進(jìn)行統(tǒng)一管理，因此，需要將安全分析所需的各類數(shù)據(jù)統(tǒng)一采集起來進(jìn)行統(tǒng)一管理和綜合分析。本態(tài)勢感知平臺采用新一代智能分析引擎，通過機(jī)器學(xué)習(xí)智能算法統(tǒng)一關(guān)聯(lián)事件，資產(chǎn)和用戶，從事件分析的線性規(guī)則提升到非線性的行為分析，統(tǒng)一分析各類事件的威脅類別，程度，頻度和偏離度，將所有事件表示的活動和行為關(guān)聯(lián)到資產(chǎn)和用戶，采用多因子風(fēng)險評分智能算法自動發(fā)現(xiàn)異常用戶和行為，無需預(yù)定義分析規(guī)則，更有效地發(fā)現(xiàn)用戶異常行為，直接追蹤和定位用戶。應(yīng)用場景目前同類型態(tài)勢感知平臺只能實現(xiàn)全局的數(shù)據(jù)管理和操作權(quán)限，本態(tài)勢感知平臺通過創(chuàng)新的多用戶平臺模式，在基礎(chǔ)平臺級實現(xiàn)了數(shù)據(jù)權(quán)限和操作權(quán)限統(tǒng)一配置，可以按照組織模式實現(xiàn)分區(qū)域，分部門的權(quán)限劃分，各個區(qū)域的用戶只能查看和管理本區(qū)域的數(shù)據(jù)，全局管理員可以分別查看各個區(qū)域的數(shù)據(jù)，也可以綜合全局分析和查看全部數(shù)據(jù)，真正做到數(shù)據(jù)隔離和業(yè)務(wù)隔離。態(tài)勢感知平臺還可以支持多用戶模式和數(shù)據(jù)權(quán)限配置，支持云地混合部署和集中管理部署，尤其適合云計算環(huán)境和工控物聯(lián)網(wǎng)領(lǐng)域。安裝流程軟件版本安裝安裝組件智能管理中心SMC-V1.0.0-2021xxxxxx-linux-x86_64-singleton.tar.[gz|xz]智能管理中心MD5SMC-V1.0.0-2021xxxxxx-linux-x86_64-singleton.tar.[gz|xz].md5檢查文件完整性md5sumSMC-V1.0.0-2021xxxxxx-linux-x86_64-singleton.tar.[gz|xz]catSMC-V1.0.0-2021xxxxxx-linux-x86_64-singleton.tar.[gz|xz].md5比較安裝包MD5值與MD5文件中記錄是否一致，若不一致則安裝包被修改時間同步ntpdate<為時間服務(wù)器>rm-rf/etc/localtime<設(shè)置時區(qū)為上海>ln-s/usr/share/zoneinfo/Asia/Shanghai/etc/localtime解壓安裝包（根據(jù)文件后綴選擇解壓命令）tarx[z|J]fSMC-V1.0.0-2021xxxxxx-linux-x86_64-singleton.tar.[gz|xz]注意不同格式壓縮包使用不同命令參數(shù)解壓，gz格式使用xzf參數(shù)解壓，xz格式使用xJf參數(shù)解壓執(zhí)行安裝cdSMC-V1.0.0/scripts/./install--path=<path>--path為軟件安裝目錄，例如/data若/data為空目錄則所有軟件安裝至/data目錄，若/data目錄不為空，則安裝目錄為/data/wonder目錄（方便管理和卸載）注意--path指定軟件安裝的目錄，系統(tǒng)數(shù)據(jù)存放在該目錄下，需要保證足夠的磁盤空間啟動和停止執(zhí)行cmd命令查看服務(wù)狀態(tài)：cmd--statussa執(zhí)行cmd命令啟動服務(wù)：cmd--startsa執(zhí)行cmd命令停止服務(wù)：cmd--stopsa卸載執(zhí)行安裝目錄下卸載命即可卸載軟件，例如安裝目錄為/data卸載命令如下：/uninstall.sh若不知道產(chǎn)品目錄可執(zhí)行cmd查看產(chǎn)品安裝目錄：cmd--pathsa導(dǎo)入許可平臺安裝完成后，瀏覽器訪問https://<ip>:21703，或直接訪問https://<ip>:21703/falconet/index.html#/licence，進(jìn)入許可導(dǎo)入頁面。復(fù)制頁面顯示的機(jī)器碼到一個文本里，并件發(fā)送給對接負(fù)責(zé)人申請授權(quán)許可文件。獲取授權(quán)許可文件后，點擊頁面選擇文件按鈕，選擇文件導(dǎo)入即可，導(dǎo)入成功后，點擊下方返回登錄頁面按鈕，返回登錄頁面。登錄日志審計系統(tǒng)3.1Web方式登錄3.1.1密碼方式登錄日志審計系統(tǒng)基于Web界面登錄的方式，支持主流瀏覽器:Chrome瀏覽器。請首先啟動瀏覽器，并且輸入日志審計系統(tǒng)的IP地址和端口（例如02:21703/）到地址欄，然后按下<Enter>鍵，進(jìn)入登錄界面；。輸入“secadmin”日審默認(rèn)的安全管理員賬號）到用戶名輸入欄里，輸入密碼，最后單擊<登錄>按鈕。3.2SSO單點登錄日審系統(tǒng)也可以使用SSO單點登錄的方式訪問，安裝步驟如下：安裝日審網(wǎng)元的虛擬機(jī)運營管理菜單上架安全網(wǎng)元安全網(wǎng)元-安全網(wǎng)元市場選擇上架的日審網(wǎng)元下單（選擇租戶或自用類型）運營管理菜單-訂單管理，訂單列表中審批通過安全網(wǎng)元菜單-租戶安全網(wǎng)元或自用安全網(wǎng)元列表中對應(yīng)網(wǎng)元的SSO單點登錄即可進(jìn)入日審頁面3.3修改密碼打開日審頁面，打開[修改密碼]，將會看到修改密碼的狀態(tài)如下圖所示。功能菜單概覽概覽情況展示當(dāng)前平臺基本情況，包括事件、告警、攻擊、資產(chǎn)、規(guī)則、用戶、情報等信息。每個數(shù)據(jù)點擊下鉆鏈接到不同的頁面打開查看，比如：事件、資產(chǎn)、告警等數(shù)據(jù)。態(tài)勢感知點擊菜單上的【態(tài)勢感知】進(jìn)入態(tài)勢頁面，查看攻擊態(tài)勢，資產(chǎn)態(tài)勢，行為態(tài)勢，威脅態(tài)勢四維一體，全方位分析和展示安全態(tài)勢，為安全管理和運營維護(hù)提供平臺支撐。攻擊態(tài)勢全局分析展示攻擊趨勢和攻擊分布，對威脅事件和告警進(jìn)行攻擊鏈深度分析，助力安全決策和響應(yīng)。資產(chǎn)態(tài)勢自動發(fā)現(xiàn)資產(chǎn)，摸清家底，全局展示資產(chǎn)種類，數(shù)量和安全狀態(tài)。通過資產(chǎn)及相關(guān)資產(chǎn)統(tǒng)一進(jìn)行事件追溯和關(guān)聯(lián)分析。行為態(tài)勢自動發(fā)現(xiàn)用戶，從事件分析到行為分析，智能分析引擎通過多因子風(fēng)險評分發(fā)現(xiàn)用戶異常行為。威脅態(tài)勢智能分析引擎結(jié)合高質(zhì)量的情報數(shù)據(jù)，統(tǒng)一關(guān)聯(lián)威脅檢測事件，日志，資產(chǎn)和用戶。綜合分析安全威脅和風(fēng)險。儀表板點擊【儀表板】進(jìn)入儀表板模塊，平臺可自定義儀表板，通過配置不同的事件、告警、資產(chǎn)以及配置不同的查詢或統(tǒng)計策略視圖，進(jìn)行組合自己的儀表板；儀表板支持可視化拖拽操作，可自由選擇每個組件的位置布局及大小以布局，方便用戶定制自己的儀表板。態(tài)勢四維一體，全方位分析和展示安全態(tài)勢，為安全管理和運營維護(hù)提供平臺支撐。4.3.1儀表板查看系統(tǒng)有兩套默認(rèn)儀表板模板可切換展示：綜合監(jiān)控、攻擊監(jiān)控。點擊【綜合監(jiān)控】進(jìn)入綜合監(jiān)控界面時間篩選通過選中下拉框的時間周期可以展示對應(yīng)時間周期的數(shù)據(jù)監(jiān)控。自動刷新通過選中下拉框的刷新周期可以自動按選中周期刷新頁面數(shù)據(jù)。手動刷新手動點擊【刷新】按鈕刷新當(dāng)前頁面最新狀態(tài)。隱藏/顯示工具欄通過點擊按鈕欄的【隱藏】按鈕可以將當(dāng)前工具欄收縮隱藏顯示。隱藏工具欄后右上方會展示【顯示】按鈕可以將當(dāng)前工具欄展開顯示全屏顯示4.3.2儀表板維護(hù)新建儀表板1.添加/刪除視圖選擇右側(cè)插入視圖框的視圖選項，選擇拖曳到左側(cè)空白面板即可插入視圖到儀表板界面。鼠標(biāo)放在視圖上可查看刪除按鈕。點擊【刪除】按鈕提即可移除該視圖。保存/取消創(chuàng)建儀表板保存/取消創(chuàng)建儀表板配置好儀表板信息后，點擊上方工具欄【保存】按鈕即可保存當(dāng)前視圖。點擊【取消】按鈕放棄本次視圖創(chuàng)建并返回到上個儀表板界面。編輯儀表板進(jìn)入【攻擊監(jiān)控】儀表板界面，點擊工具欄上方【編輯】按鈕即可編輯當(dāng)前儀表板，操作同上方新增。資產(chǎn)鼠標(biāo)放在左側(cè)導(dǎo)航欄資產(chǎn)圖標(biāo)，點擊【資產(chǎn)列表】進(jìn)入資產(chǎn)模塊。4.4.1資產(chǎn)列表資產(chǎn)組視圖的左側(cè)為資產(chǎn)組：添加資產(chǎn)組：點擊資產(chǎn)組樹上方的工具條中的【新增】按鈕，會彈出添加資產(chǎn)組的對話框編輯資產(chǎn)組：點擊資產(chǎn)組樹上方的工具條中的【編輯】按鈕。完成資產(chǎn)組的修改后，資產(chǎn)組樹的結(jié)構(gòu)會及時更新，資產(chǎn)組樹的節(jié)點會顯示為新修改后的內(nèi)容。刪除資產(chǎn)組：點擊資產(chǎn)組樹上方的工具條中的【刪除】按鈕，彈出是否刪除的確認(rèn)對話框，點擊【確定】按鈕完成資產(chǎn)組的刪除操作，點擊【取消】按鈕取消刪除。資產(chǎn)列表視圖的右側(cè)為資產(chǎn)列表：點擊資產(chǎn)組節(jié)點，在右側(cè)區(qū)域就可以看到該組下的所有的資產(chǎn)，在資產(chǎn)表上方，包含一組對資產(chǎn)進(jìn)行操作的功能按鈕。如【新增】、【刪除】、【移動】、【高級檢索】等操作。在資產(chǎn)表右側(cè)的探查列、操作列，包含對當(dāng)前行單個資產(chǎn)的【探查】、【編輯】、【刪除】的功能按鈕。添加資產(chǎn)：點擊資產(chǎn)表上方的【添加】按鈕，可以手動添加資產(chǎn)。批量刪除資產(chǎn)：選中多個資產(chǎn)后，點擊資產(chǎn)表上方的【刪除】按鈕，即完成多個資產(chǎn)的批量刪除操作，點擊【取消】按鈕取消刪除操作。操作完成后，資產(chǎn)表會及時刷新，在資產(chǎn)表中不再顯示已經(jīng)刪除的資產(chǎn)。4.4.2資產(chǎn)發(fā)現(xiàn)點擊【資產(chǎn)發(fā)現(xiàn)】進(jìn)入資產(chǎn)發(fā)現(xiàn)列表。資產(chǎn)發(fā)現(xiàn)組點擊【資產(chǎn)發(fā)現(xiàn)】進(jìn)入資產(chǎn)發(fā)現(xiàn)列表。資產(chǎn)發(fā)現(xiàn)列表視圖的右側(cè)為資產(chǎn)發(fā)現(xiàn)列表4.4.3資產(chǎn)標(biāo)簽點擊【資產(chǎn)標(biāo)簽】進(jìn)入資產(chǎn)標(biāo)簽。新增資產(chǎn)標(biāo)簽點擊資產(chǎn)標(biāo)簽上方的工具欄中的【新增】按鈕，會彈出添加新增標(biāo)簽的對話框批量刪除資產(chǎn)標(biāo)簽選中多個資產(chǎn)標(biāo)簽后，點擊資產(chǎn)標(biāo)簽表上方的工具欄中的【刪除】按鈕，彈出是否刪除的確認(rèn)對話框，點擊【確定】按鈕完成資產(chǎn)標(biāo)簽的刪除操作，點擊【取消】按鈕取消刪除。刪除資產(chǎn)標(biāo)簽后，資產(chǎn)標(biāo)簽表的結(jié)構(gòu)會及時刷新，不再顯示已經(jīng)刪除的資產(chǎn)標(biāo)簽?？焖贆z索輸入資產(chǎn)標(biāo)簽名稱或者描述等關(guān)鍵字后按Enter或失去鼠標(biāo)焦點可以快速查找資產(chǎn)標(biāo)簽編輯資產(chǎn)標(biāo)簽用戶首先需要先選中準(zhǔn)備編輯的資產(chǎn)標(biāo)簽，再點擊資產(chǎn)標(biāo)簽表右側(cè)操作中的【編輯】按鈕，完成資產(chǎn)標(biāo)簽的修改。刪除資產(chǎn)標(biāo)簽點擊右側(cè)操作列的【刪除】按鈕，彈出是否刪除的確認(rèn)對話框，點擊【確定】按鈕完成資產(chǎn)標(biāo)簽的刪除操作，點擊【取消】按鈕取消刪除。刪除資產(chǎn)標(biāo)簽后，資產(chǎn)標(biāo)簽表的結(jié)構(gòu)會及時刷新，不再顯示已經(jīng)刪除的資產(chǎn)標(biāo)簽。事件點擊菜單上的【事件】進(jìn)入事件，頁面如下所示4.5.1查詢策略鼠標(biāo)懸浮策略名稱查看查詢策略，點擊策略名稱選中查詢策略。4.5.2原始事件查詢將要搜索的關(guān)鍵詞填入原始事件檢索框，敲擊【Enter】鍵(或點擊搜索框尾部搜索按鈕)即可。條件檢索設(shè)置時間范圍設(shè)置自動刷新時間鼠標(biāo)懸浮彈出定時刷新控制框，點擊時間間隔啟用定時刷新，點擊取消刷新取消。重置設(shè)置點擊重置事件頁面為原始狀態(tài)，如查詢條件、選擇的字事件列表事件列表事件的字段信息，鼠標(biāo)點擊字段值(非原始日志)可快速設(shè)置字段值=當(dāng)前點擊值的查詢條件的事件列表詳情。訪問關(guān)系點擊訪問關(guān)系按鈕查看當(dāng)前時間范圍內(nèi)源IP與目標(biāo)IP訪問情況。鼠標(biāo)懸浮某個IP可高亮顯示與當(dāng)前IP有訪問關(guān)系的節(jié)點告警點擊【告警】進(jìn)入告警模塊。告警查詢查詢工具欄包括：【數(shù)據(jù)源切換】、【模糊查詢】、【快速檢索】、【條件檢索】、【查詢】、【最近24小時】、【定時刷新】、【重置設(shè)置】、【歸并配置】圖標(biāo)按鈕告警狀態(tài)圖統(tǒng)計圖的橫坐標(biāo)為查詢時間；縱坐標(biāo)為告警類型。右側(cè)上下排列方塊為映射對應(yīng)時間段對應(yīng)類型的告警數(shù)量范圍，點擊可查看。告警表在告警表上方，包含對告警進(jìn)行【狀態(tài)修改】操作的功能按鈕。在告警表右側(cè)的操作列，包含對當(dāng)前行單個告警查看【詳情】的功能按鈕。狀態(tài)修改選中多個告警后，點擊告警表上方的【狀態(tài)修改】按鈕，選擇想要修改的狀態(tài)，會彈出添加處置描述的對話框。輸入描述(非必填)后，點擊【確定】按鈕完成告警的狀態(tài)修改操作，點擊【取消】按鈕取消狀態(tài)修改已關(guān)閉狀態(tài)的告警不可修改狀態(tài)詳情選中告警后，點擊告警名稱，會彈出當(dāng)前告警的詳情對話框。原始告警展示當(dāng)前告警詳情，合并后告警展示當(dāng)前告警詳情、生命周期和原始告警表規(guī)則點擊菜單上的【規(guī)則】進(jìn)入規(guī)則頁面4.7.1規(guī)則組頁面左側(cè)為規(guī)則組：點擊組節(jié)點右側(cè)的操作按鈕可以對規(guī)則組進(jìn)行增、刪、改的操作，點擊配置和查看規(guī)則性能。4.7.2規(guī)則列表頁面右側(cè)為規(guī)則列表：點擊規(guī)則表上方的【新增】按鈕，可以手動添加規(guī)則。4.8報表點擊【報表】進(jìn)入報表模塊4.8.1報表組4.8.2報表列表新增、編輯報表操作選擇任一報表組，點擊右側(cè)新增按鈕進(jìn)入視圖新增表單。點擊任一報表名稱，或點擊任一報表右側(cè)編輯按鈕，進(jìn)入編輯表單。表單如下4.9視圖4.9.1視圖組新增、編輯、刪除視圖組操作4.9.2視圖列表新增、編輯視圖列表操作4.10范化點擊【范化】進(jìn)入范化模塊4.10.1范化范化策略組范化策略組采用樹型結(jié)構(gòu)進(jìn)行分組管理。點擊組節(jié)點右側(cè)的操作按鈕可以對范化策略組進(jìn)行增、刪、改的操作4.10.2范化策略基本信息策略基本信息新增、刪除、移動等操作4.10.2映射表映射表組新增、編輯、刪除操作配置映射表數(shù)據(jù)新增、刪除、移動操作4.11數(shù)據(jù)治理4.11.1數(shù)據(jù)導(dǎo)出系統(tǒng)內(nèi)數(shù)據(jù)導(dǎo)出為加密數(shù)據(jù)文件，以供后續(xù)再次導(dǎo)入操作步驟1.點擊左側(cè)模塊后，在右側(cè)表格中勾選想要導(dǎo)出的數(shù)據(jù)2.在導(dǎo)出預(yù)覽中確認(rèn)選中的數(shù)據(jù)無誤3.在導(dǎo)出預(yù)覽中點擊【導(dǎo)出數(shù)據(jù)】按鈕等待即可4.11.2數(shù)據(jù)導(dǎo)入將數(shù)據(jù)文件導(dǎo)入到系統(tǒng)操作步驟1.上傳配置數(shù)據(jù)文件2.在各個模塊中選擇數(shù)據(jù)是覆蓋還是追加（如果系統(tǒng)內(nèi)存在的話）3.在【導(dǎo)入數(shù)據(jù)文件】一欄中確認(rèn)要導(dǎo)入的數(shù)據(jù)無誤4.在【導(dǎo)入數(shù)據(jù)文件】一欄中點擊【導(dǎo)入數(shù)據(jù)】按鈕4.11.3操作歷史數(shù)據(jù)治理-操作歷史可對數(shù)據(jù)文件導(dǎo)入導(dǎo)出情況進(jìn)行審計，查看導(dǎo)入操作詳情，以及對歷史文件進(jìn)行查看導(dǎo)入/導(dǎo)出詳情點擊【詳情】按鈕可查看數(shù)據(jù)文件導(dǎo)入/導(dǎo)入詳情下載歷史數(shù)據(jù)文件點擊【下載】按鈕可下載歷史數(shù)據(jù)文件4.12系統(tǒng)4.12.1角色角色模塊主要用來管理角色權(quán)限，以及管理用戶與角色關(guān)聯(lián)關(guān)系新增/編輯角色點擊表格上的按鈕欄中的【新增】按鈕即可進(jìn)入角色新增頁面。點擊角色表格中【編輯】即可進(jìn)入角色編輯頁面刪除角色點擊表格上按鈕欄中的【刪除】按鈕批量刪除選中的用戶。點擊表格中的【刪除】刪除用角色關(guān)聯(lián)用戶點擊表格中的【關(guān)聯(lián)用戶】即可修改當(dāng)前角色關(guān)聯(lián)的用戶4.12.1組織依次點擊導(dǎo)航欄的【系統(tǒng)】-【組織】圖標(biāo),可以進(jìn)入系統(tǒng)組織關(guān)聯(lián)用戶新增需要綁定組織的用戶，新增用戶詳情參考【添加用戶】新增需要組織用戶的角色，用來設(shè)置關(guān)聯(lián)組織的用戶擁有平臺哪些功能的訪問、操作權(quán)限，同時將第一步中添加的用戶關(guān)聯(lián)該角色。新增角色詳情參考【添加角色】新增一個組織，并關(guān)聯(lián)第一步中添加的用戶到該組織，至此，組織綁定用戶操作完成組織關(guān)聯(lián)業(yè)務(wù)數(shù)據(jù)進(jìn)入【事件源】模塊，可查看當(dāng)前平臺正在接收日志的設(shè)備列表，默認(rèn)所有接收日志的設(shè)備關(guān)聯(lián)管理員組織。選擇一個或多個需要切換關(guān)聯(lián)組織的設(shè)備數(shù)據(jù)，點擊【配置】按鈕，即彈出切換關(guān)聯(lián)組織