1、 ICS 35.110 CCS L 78 12 天津市地方标准 DB12/T 12972023 电子政务云平台安全监测预警技术指南 Warning technical guide of security monitoring for electronic government cloud platform2023-12-28 发布2024-02-01 实施天津市市场监督管理委员会发 布 DB12/T 12972023 I 前言 本文件按照GB/T 1.12020标准化工作导则 第1部分：标准化文件的结构和起草规则的规定起草。本文件由天津市互联网信息办公室提出并归口。本文件起草单位：天津市大数据
2、管理中心。本文件主要起草人：边柯柯、王键、李亮、赵小锐、郎彬辉、王超（男）、邢智远、尹恺、王超（女）、高博、李瑞、陈馨、王瑞雪、张磊、康美玲、朱婷婷、张伟。DB12/T 12972023 1 电子政务云平台安全监测预警技术指南 1 范围 本文件规定了电子政务云平台网络安全预警的监测、分类和实施。本文件适用于电子政务云平台网络安全的监测预警。2 规范性引用文件 下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件，仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。GB/T 250692022 信息安全技术 术语 GB
3、/Z 209862007 信息安全技术 信息安全事件分类分级指南 GB/T 329242016 信息安全技术 网络安全预警指南 GB/T 366352018 信息安全技术 网络安全监测基本要求与实施指南 3 术语和定义 GB/T 250692022、GB/T 329242016和GB/T 366352018界定的术语和定义适用于本文件。4 监测预警分类 监测分类 4.1 监测分类应按照GB/Z 209862007中4.2的要求。预警分类 4.2 预警分类应按照GB/T 329242016中4.2的要求。5 安全监测实施指南 采集 5.1 5.1.1 采集范围 采集范围覆盖天津市的电子政务云平台
4、互联网业务区和公用业务区的网络核心节点交换、移动接入点等关键节点。5.1.2 采集内容 采集内容包括网络流量、资产信息、威胁情报、脆弱性信息、安全基础资源和服务产生的告警数据、与安全相关的安全审计日志等。DB12/T 12972023 2 5.1.3 采集方式 对于不同的数据源，可采用以下方式：a)被动获取：被动接收数据源发送的数据，数据采集频率可由数据源的发送频率决定；b)主动采集：主动发起获取网络安全设备的数据，数据采集频率可设置；c)手动导入：本地手动导入的数据。存储 5.2 应实现安全存储，安全存储可包括以下方式：a)建立相应的流量元数据、资产数据、日志数据、告警数据、威胁情报数据等数
5、据库；b)对结构化数据、半结构化数据和非结构化数据进行存储，支持文本、关键值、对象等多种数据类型的存储，支持可伸缩的分布式数据存储架构，满足数据量持续增长需求；c)业务相关的敏感数据加密存储；d)数据存储时间符合相关规定；e)数据迁移、异常恢复的存储机制；f)节点扩展和数据均衡应用下的存储机制。分析 5.3 对采集的数据通过数据分析技术，对政务云平台的信息安全事件、漏洞威胁、运行状态进行监测和分析，可采用以下方法：a)特征码匹配法：将待检测内容与恶意流量特征、恶意文件特征、恶意代码特征等特征值进行匹配，然后根据匹配结果判断待检测的内容是否被感染；b)事件关联分析法：提供不同大量复杂事件的关联分
6、析，提供预定义的关联规则，包括网络异常、暴力破解、账号异常等多种场景规则，并支持预定义和修改关联规则；c)数据挖掘法：从大量的数据中通过特征码识别、统计报表、在线分析处理和信息检索等诸多方法，揭示隐藏于其中的信息；d)场景化分析法：包括流量异常、业务资产主动外连、账号异地登录、弱口令、数据库敏感操作检测等；e)综合态势分析法：对网络的整体安全态势进行分析，包括业务系统、数据资产、攻击源等；f)威胁态势分析法：对网络攻击行为和安全事件的分析，包括隐蔽通道、网络扫描、DDoS 攻击、漏洞利用攻击、信息泄露等，结合威胁情报进行分析；g)资产态势分析法：针对网络中资产的漏洞和配置进行分析，自动计算出相
7、关的风险指数，基于资产的区域、类型、重要程度等信息，结合安全事件、漏洞信息进行多维度风险分析。告警 5.4 当发生网络安全事件、漏洞、隐患、恶意木马病毒时，有针对性的发出告警信息，可采用以下方法：a)将各类安全告警信息基于等级分类，形成相应处置任务，通报相关责任人进行处置，并记录归档；b)将安全告警信息中的攻击源 IP 添加黑名单操作；c)对安全告警信息进行调查记录，包含告警溯源信息和关联的原始日志等；d)与防护类产品或平台的联动，对形成的处置任务实施相应措施。6 安全预警实施指南 DB12/T 12972023 3 威胁情报 6.1 6.1.1 威胁情报来源 6.1.1.1 本地安全事件 基
8、于政务云平台本地安全事件监测结果，对威胁事件和漏洞信息等进行预警通报。6.1.1.2 威胁情报共享 按照相关标准与国家级、省级情报平台进行数据情报共享。6.1.2 威胁情报分析 对威胁情报信息中的数据源，如IOC类型、网络属性、恶意属性、威胁类型等进行分析和审核。预警通报流程 6.2 6.2.1 预警发布 政务云平台安全预警通报应由政务云平台主管部门授权日常管理部门发布。6.2.2 预警响应与处置 政务云平台服务部门或云上信息系统主管部门接到安全预警通报后，进行如下操作：a)分析、研判相关事件或威胁对自身网络安全保护对象可能造成损害的程度；b)将研判结果向上级及主管部门汇报；c)根据情况启动应急预案；d)消除安全预警并反馈预警发布部门。6.2.3 预警的升级或降级 预警发布部门根据网络安全事件或威胁的动态变化，应及时发布预警的升级或降级信息。6.2.4 预警的解除 当网络安全威胁情况消除或威胁达不到蓝色预警级别，预警发布部门应及时解除预警。
