- 产品与解决方案
- 行业解决方案
- 服务
- 支持
- 合作伙伴
- 关于我们
09-追踪溯源典型配置
本章节下载： 09-追踪溯源典型配置 (1.21 MB)
H3C SecCenter CSAP数据安全威胁发现与运营管理平台
追踪溯源分析典型配置
Copyright © 2024 新华三技术有限公司 版权所有，保留一切权利。
非经本公司书面许可，任何单位和个人不得擅自摘抄、复制本文档内容的部分或全部，并不得以任何形式传播。
除新华三技术有限公司的商标外，本手册中出现的其它公司的商标、产品标识及商品名称，由各自权利人拥有。
本文档中的信息可能变动，恕不另行通知。
目 录
本文档介绍H3C SecCenter CSAP数据安全威胁发现与运营管理平台（以下简称数据安全平台）追踪溯源分析功能的配置案例。
该功能用于对配置的调查对象进行攻击关系分析，可视化展示其攻击链路和回溯链路。
本文档不严格与具体软、硬件版本对应，如果使用过程中与产品实际情况有差异，请以设备实际情况为准。
本文档中的配置均是在实验室环境下进行的配置和验证，配置前设备的所有参数均采用出厂时的缺省配置。如果您已经对设备进行了配置，为了保证配置效果，请确认现有配置和以下举例中的配置不冲突。
本文档假设您已了解数据安全平台功能特性。
如下图所示组网中，部署了数据安全平台,数据上报正常。
· 数据安全平台添加网络资产、个人终端、数据库账号、数据资产及情报配置
· 数据安全平台事件生成
· 数据安全平台调查分析配置
本举例是在数据安全平台的E1160版本上进行配置和验证的。
l 在配置之前确保安全事件已生成。
l 配置调查分析任务时间范围内需要有对应安全事件。
(1) 登录数据安全平台，选择“数据资产 > 资产列表”，单击<新增>进入资产配置页面，添加网络资产 123.10.0.1。
(2) 登录数据安全平台，选择“系统设置 >终端配置”，开启动态分配IP后，单击<新增>进入终端配置页面，添加终端范围 145.10.0.1-145.10.0.10。
(3) 登录数据安全平台，选择“系统设置 >威胁情报 >URL情报库”，切换到自定义URL情报界面，单击<新增>进入自定义URL情报配置页面，添加URL情报为 www.xunfeng.com。
(1) 登录数据安全平台，选择“安全事件-安全事件”，页面查询网络资产123.10.0.1，查看检索结果有对应安全事件生成。
(2) 登录数据安全平台，选择“安全事件-安全事件”，页面查询源终端145.10.0.1，查看检索结果有对应安全事件生成。
(3) 登录数据安全平台，选择“安全事件-安全事件”，页面查询源情报IOC www.xunfeng.com，查看检索结果有对应安全事件生成。
(4) 登录数据安全平台，选择“安全事件-安全事件”，页面查询数据资产viid-172.31.0.102，查看检索结果有对应安全事件生成。
(5) 登录数据安全平台，选择“安全事件-安全事件”，页面查询数据库账号root，查看检索结果有对应安全事件生成。
(1) 登录数据安全平台，选择“数据分析-追踪溯源分析”，单击<新增>按钮创建调查任务，进行如下配置：
¡ 调查周期：指定追踪溯源分析的时间范围，系统将对在此时间范围内发生的安全事件进行调查，本例周期自动获取，不作更改。
¡ 调查对象类型：追踪溯源分析的对象的类型，包括网络资产、个人终端、外网攻击IP和IOC以及数据库账号和数据资产。其中，IOC包括IP情报、URL情报、域名情报和MD5情报，本例选择“网络资产”。
¡ 调查对象：根据不同的调查对象类型指定具体的调查对象，本例为“123.10.0.1”。
(2) 登录数据安全平台，选择“数据分析-追踪溯源分析”，单击<新增>按钮创建调查任务，进行如下配置：
¡ 调查周期：指定调查分析的时间范围，系统将对在此时间范围内发生的安全事件进行调查，本例周期自动获取，不作更改。
¡ 调查对象类型：调查分析的对象的类型，包括资产、终端、外网攻击IP和IOC。其中，IOC包括IP情报、URL情报、域名情报和MD5情报，本例选择“个人终端”。
¡ 调查对象：根据不同的调查对象类型指定具体的调查分析对象，本例为“145.10.0.1”。
(3) 登录数据安全平台，选择“数据分析-追踪溯源分析”，单击<新增>按钮创建调查任务，进行如下配置：
¡ 调查周期：指定调查分析的时间范围，系统将对在此时间范围内发生的安全事件进行调查，本例周期自动获取，不作更改。
¡ 调查对象类型：调查分析的对象的类型，包括资产、终端、外网攻击IP和IOC。其中，IOC包括IP情报、URL情报、域名情报和MD5情报，本例选择“IOC”。
¡ 调查对象：根据不同的调查对象类型指定具体的调查分析对象，本例为“www.xunfeng.com”。
(4) 登录数据安全平台，选择“数据分析-追踪溯源分析”，单击<新增>按钮创建调查任务，进行如下配置：
¡ 调查周期：指定调查分析的时间范围，系统将对在此时间范围内发生的安全事件进行调查，本例周期自动获取，不作更改。
¡ 调查对象类型：调查分析的对象的类型，包括资产、终端、外网攻击IP和IOC。其中，IOC包括IP情报、URL情报、域名情报和MD5情报，本例选择“外网攻击IP”。
¡ 调查对象：根据不同的调查对象类型指定具体的调查分析对象，本例为“193.168.32.100”。
(5) 登录数据安全平台，选择“数据分析-追踪溯源分析”，单击<新增>按钮创建调查任务，进行如下配置。
¡ 调查周期：指定调查分析的时间范围，系统将对在此时间范围内发生的安全事件进行调查，本例周期自动获取，不作更改。
¡ 调查对象类型：调查分析的对象的类型，包括资产、终端、外网攻击IP和IOC。其中，IOC包括IP情报、URL情报、域名情报和MD5情报，本例选择“外网攻击IP”。
¡ 调查对象：根据不同的调查对象类型指定具体的调查分析对象，本例为“数据资产-数据库：viid、数据库IP：172.31.0.102、数据库类型为Vertica、数据库端口为8433”。
(6) 登录数据安全平台，选择“数据分析-追踪溯源分析”，单击<新增>按钮创建调查任务，进行如下配置。
¡ 调查周期：指定调查分析的时间范围，系统将对在此时间范围内发生的安全事件进行调查，本例周期自动获取，不作更改。
¡ 调查对象类型：调查分析的对象的类型，包括资产、终端、外网攻击IP和IOC。其中，IOC包括IP情报、URL情报、域名情报和MD5情报，本例选择“外网攻击IP”。
¡ 调查对象：根据不同的调查对象类型指定具体的调查分析对象，本例为“数据库账号：root、数据库IP：172.31.0.102、数据库类型为Vertica、数据库端口为8443”。
(1) 登录数据安全平台，选择“数据分析-追踪溯源分析”，进入任务列表，查看123.10.0.1调查任务执行完成。
(1) 登录数据安全平台，选择“数据分析 > 追踪溯源分析”，进入任务列表，查看145.10.0.1调查任务执行完成。
(2) 单击<详情>按钮可查看调查任务详情。
(1) 登录数据安全平台，选择“数据分析-追踪溯源分析”，进入任务列表，查看www.xunfeng.com调查任务执行完成。
(2) 单击<详情>按钮可查看调查任务详情。
(1) 登录数据安全平台，选择“数据分析-追踪溯源分析”，进入任务列表，查看193.168.32.100调查任务执行完成。
(2) 单击<详情>按钮可查看调查任务详情。
(1) 登录数据安全平台，选择“数据分析-追踪溯源分析”，进入任务列表，查看调查任务执行完成。
(2) 单击<详情>按钮可查看调查任务详情。
(1) 登录数据安全平台，选择“数据分析-追踪溯源分析”，进入任务列表，查看调查任务执行完成。
(2) 单击<详情>按钮可查看调查任务详情。
不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!
支持
