1、 ICS 35.110 CCS L 78 12 天津市地方标准 DB12/T 12972023 电子政务云平台安全监测预警技术指南 Warning technical guide of security monitoring for electronic government cloud platform 2023-12-28 发布 2024-02-01 实施 天津市市场监督管理委员会 发 布 DB12/T 12972023 I 前言 本文件按照GB/T 1.12020标准化工作导则 第1部分：标准化文件的结构和起草规则的规定起草。本文件由天津市互联网信息办公室提出并归口。本文件起草单位：天津
2、市大数据管理中心。本文件主要起草人：边柯柯、王键、李亮、赵小锐、郎彬辉、王超（男）、邢智远、尹恺、王超（女）、高博、李瑞、陈馨、王瑞雪、张磊、康美玲、朱婷婷、张伟。DB12/T 12972023 1 电子政务云平台安全监测预警技术指南 1 范围 本文件规定了电子政务云平台网络安全预警的监测、分类和实施。本文件适用于电子政务云平台网络安全的监测预警。2 规范性引用文件 下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件，仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。GB/T 250692022 信息安全技术 术
3、语 GB/Z 209862007 信息安全技术 信息安全事件分类分级指南 GB/T 329242016 信息安全技术 网络安全预警指南 GB/T 366352018 信息安全技术 网络安全监测基本要求与实施指南 3 术语和定义 GB/T 250692022、GB/T 329242016和GB/T 366352018界定的术语和定义适用于本文件。4 监测预警分类 监测分类 4.1 监测分类应按照GB/Z 209862007中4.2的要求。预警分类 4.2 预警分类应按照GB/T 329242016中4.2的要求。5 安全监测实施指南 采集 5.1 5.1.1 采集范围 采集范围覆盖天津市的电子政
4、务云平台互联网业务区和公用业务区的网络核心节点交换、移动接入点等关键节点。5.1.2 采集内容 采集内容包括网络流量、资产信息、威胁情报、脆弱性信息、安全基础资源和服务产生的告警数据、与安全相关的安全审计日志等。DB12/T 12972023 2 5.1.3 采集方式 对于不同的数据源，可采用以下方式：a)被动获取：被动接收数据源发送的数据，数据采集频率可由数据源的发送频率决定；b)主动采集：主动发起获取网络安全设备的数据，数据采集频率可设置；c)手动导入：本地手动导入的数据。存储 5.2 应实现安全存储，安全存储可包括以下方式：a)建立相应的流量元数据、资产数据、日志数据、告警数据、威胁情报
5、数据等数据库；b)对结构化数据、半结构化数据和非结构化数据进行存储，支持文本、关键值、对象等多种数据类型的存储，支持可伸缩的分布式数据存储架构，满足数据量持续增长需求；c)业务相关的敏感数据加密存储；d)数据存储时间符合相关规定；e)数据迁移、异常恢复的存储机制；f)节点扩展和数据均衡应用下的存储机制。分析 5.3 对采集的数据通过数据分析技术，对政务云平台的信息安全事件、漏洞威胁、运行状态进行监测和分析，可采用以下方法：a)特征码匹配法：将待检测内容与恶意流量特征、恶意文件特征、恶意代码特征等特征值进行匹配，然后根据匹配结果判断待检测的内容是否被感染；b)事件关联分析法：提供不同大量复杂事件
6、的关联分析，提供预定义的关联规则，包括网络异常、暴力破解、账号异常等多种场景规则，并支持预定义和修改关联规则；c)数据挖掘法：从大量的数据中通过特征码识别、统计报表、在线分析处理和信息检索等诸多方法，揭示隐藏于其中的信息；d)场景化分析法：包括流量异常、业务资产主动外连、账号异地登录、弱口令、数据库敏感操作检测等；e)综合态势分析法：对网络的整体安全态势进行分析，包括业务系统、数据资产、攻击源等；f)威胁态势分析法：对网络攻击行为和安全事件的分析，包括隐蔽通道、网络扫描、DDoS 攻击、漏洞利用攻击、信息泄露等，结合威胁情报进行分析；g)资产态势分析法：针对网络中资产的漏洞和配置进行分析，自动计算出相关的风险指数，基于资产的区域、类型、重要程度等信息，结合安全事件、漏洞信息进行多维度风险分析。告警 5.4 当发生网络安全事件、漏洞、隐患、恶意木马病毒时，有针对性的发出告警信息，可采用以下方法：a)将各类安全告警信息基于等级分类，形成相应处置任务，通报相关责任人进行处置，并记录归档；b)将安全告警信息中的攻击源 IP 添加黑名单操作；c)对安全告警信息进行调查记录，包含告警溯源信息和关联
安全达人 