電子政務(wù)云平臺(tái)安全監(jiān)測(cè)預(yù)警技術(shù)指南2024-02-01實(shí)施2024-02-01實(shí)施I本文件按照GB/T1.1—2020《標(biāo)準(zhǔn)化工作導(dǎo)則第1部分：標(biāo)準(zhǔn)化文件的結(jié)構(gòu)和起草規(guī)則》的規(guī)定起草。本文件由天津市互聯(lián)網(wǎng)信息辦公室提出并歸口。本文件起草單位：天津市大數(shù)據(jù)管理中心。本文件主要起草人：邊柯柯、王鍵、李亮、趙小銳、郎彬輝、王超(男)、邢智遠(yuǎn)、尹愷、王超(女)、高博、李瑞、陳馨、王瑞雪、張磊、康美玲、朱婷婷、張偉。1本文件規(guī)定了電子政務(wù)云平臺(tái)網(wǎng)絡(luò)安全預(yù)警的監(jiān)測(cè)、分類和實(shí)施。本文件適用于電子政務(wù)云平臺(tái)網(wǎng)絡(luò)安全的監(jiān)測(cè)預(yù)警。2規(guī)范性引用文件下列文件中的內(nèi)容通過(guò)文中的規(guī)范性引用而構(gòu)成本文件必不可少的條款。其中，注日期的引用文件，僅該日期對(duì)應(yīng)的版本適用于本文件；不注日期的引用文件，其最新版本(包括所有的修改單)適用于本文件。信息安全技術(shù)術(shù)語(yǔ)信息安全技術(shù)信息安全事件分類分級(jí)指南信息安全技術(shù)網(wǎng)絡(luò)安全預(yù)警指南信息安全技術(shù)網(wǎng)絡(luò)安全監(jiān)測(cè)基本要求與實(shí)施指南3術(shù)語(yǔ)和定義GB/T25069—2022、GB/T32924—2016和GB/T36635—2018界定的術(shù)語(yǔ)和定義適用于本文件。4監(jiān)測(cè)預(yù)警分類4.1監(jiān)測(cè)分類監(jiān)測(cè)分類應(yīng)按照GB/Z20986—2007中4.2的要求。4.2預(yù)警分類預(yù)警分類應(yīng)按照GB/T32924—2016中4.2的要求。5安全監(jiān)測(cè)實(shí)施指南5.1.1采集范圍采集范圍覆蓋天津市的電子政務(wù)云平臺(tái)互聯(lián)網(wǎng)業(yè)務(wù)區(qū)和公用業(yè)務(wù)區(qū)的網(wǎng)絡(luò)核心節(jié)點(diǎn)交換、移動(dòng)接入點(diǎn)等關(guān)鍵節(jié)點(diǎn)。5.1.2采集內(nèi)容采集內(nèi)容包括網(wǎng)絡(luò)流量、資產(chǎn)信息、威脅情報(bào)、脆弱性信息、安全基礎(chǔ)資源和服務(wù)產(chǎn)生的告警數(shù)據(jù)、與安全相關(guān)的安全審計(jì)日志等。2a)被動(dòng)獲取：被動(dòng)接收數(shù)據(jù)源發(fā)送的數(shù)b)主動(dòng)采集：主動(dòng)發(fā)起獲取網(wǎng)絡(luò)安全設(shè)a)建立相應(yīng)的流量元數(shù)據(jù)、資產(chǎn)數(shù)據(jù)、日志數(shù)據(jù)、b)對(duì)結(jié)構(gòu)化數(shù)據(jù)、半結(jié)構(gòu)化數(shù)據(jù)和非結(jié)構(gòu)化數(shù)據(jù)進(jìn)行存儲(chǔ)，支持文本、關(guān)鍵值、對(duì)象等多種數(shù)f)節(jié)點(diǎn)擴(kuò)展和數(shù)據(jù)均衡應(yīng)用下的存儲(chǔ)機(jī)制。a)特征碼匹配法：將待檢測(cè)內(nèi)容與惡意流量特征、惡意文件特征、惡意代碼特征等特征值進(jìn)行b)事件關(guān)聯(lián)分析法：提供不同大量復(fù)雜事件的關(guān)聯(lián)分析，提供預(yù)定義的關(guān)聯(lián)規(guī)則，包括網(wǎng)絡(luò)異c)數(shù)據(jù)挖掘法：從大量的數(shù)據(jù)中通過(guò)特征碼識(shí)別、統(tǒng)計(jì)報(bào)表、在線分析處理和信息檢索等諸多d)場(chǎng)景化分析法：包括流量異常、業(yè)務(wù)資產(chǎn)主動(dòng)外連、賬號(hào)異地登錄、弱口令、數(shù)據(jù)庫(kù)敏感操g)資產(chǎn)態(tài)勢(shì)分析法：針對(duì)網(wǎng)絡(luò)中資產(chǎn)的漏洞和配置進(jìn)行分析，自動(dòng)計(jì)算出相關(guān)的風(fēng)險(xiǎn)指數(shù)，基a)將各類安全告警信息基于等級(jí)分類，形成相應(yīng)處置任務(wù)，通報(bào)相關(guān)責(zé)任人進(jìn)行處置，并記錄b)將安全告警信息中的攻擊源IP添加黑名單操作；d)與防護(hù)類產(chǎn)品或平臺(tái)的聯(lián)動(dòng)，對(duì)3對(duì)威脅情報(bào)信