网络安全产品

思科安全监控分析和响应系统概览

思科安全监控分析和响应系统概览

思科® 安全监控分析和响应系统(MARS)是一个高性能、可扩展的威胁管理、监控和防御设备系列,将传统安全事件监控与网络智能、上下文关联、因素分析、异常流量检测、热点识别和自动防御功能相结合,可帮助客户更为高效地使用网络和安全设备。通过结合这些功能,思科安全MARS可帮助公司准确识别和消除网络攻击,且保持网络的安全策略符合性。

主要优势

集中监控

思科安全MARS通过各种设备记录、报警和NetFlow通信,提供了具体的网络基础设施信息,包括路由器、交换机、防火墙、VPN集中器和终端设备。这使思科安全MARS可处理IP和MAC地址以及最邻近的交换机端口等威胁信息,并提供网络中的攻击路径。

集中事件库

思科安全MARS可作为一个中央库,存储安全设备,如防火墙、验证服务器、网络入侵检测和防御服务及代理服务器等所生成的所有事件。此外,它也收集网络设备事件和工作站及服务器记录。所有收集的事件实时相互关联。

数据减少

思科安全MARS可大幅减少所收集到的数百万安全事件,仅向用户报告实际发生的少量网络事故。

及时攻击防御

该系统具有出色性能和内置丰富经验,可在攻击影响整个网络前发现它们并提出建议的防御措施。

高度可扩展的部署

1

充分利用已有投资进行防御

2

先进的报告功能

3

端到端网络感知

利用所有类型的网络设备和终端系统的全面配置,思科安全MARS集成了网络地址转换/端口地址转换(NAT/PAT)和MAC地址信息,以图形方式识别攻击者、攻击目标和网络热点,以便快速采取行动。它可显示NAT前和NAT后的地址。

集成漏洞评估

思科安全MARS可确定网络攻击是真的还是误报,进一步减少了报警数目,缩短了采取行动所需的时间。

更低部署和运营成本

在引导和连接到网络后,系统可发现和映射拓扑。系统能在极短时间内投入运营。

自动防御

自动防御功能可识别攻击路径上的阻塞点,使用户能自动运用正确的设备命令来防御攻击。此外,它还能自动发现许多重要属性,如MAC地址、Windows工作站名称、VPN用户名和攻击的第一跳物理交换端口。这些可用于快速、准确地阻止攻击和降低受损程度。

网络智能事件关联

思科安全MARS可了解路由器、交换机、漏洞分析工具和防火墙的拓扑及设备配置,以及网络流量配置,从而获得网络智能。该系统的集成网络搜索功能可构建一个拓扑图,其中包括设备配置和当前安全策略,使思科安全MARS可对您网络中的分组流建模。因为此设备不在内部运行,且极少使用现有软件代理,它不会影响网络或系统性能。

SureVector分析

SureVector分析特性支持更为广泛的管理范围、更快的调查和响应速度。利用SureVector分析,管理员可查看并准确跟踪攻击路径,获得事故发生前原始事件的具体细节,并指出异常流量和攻击行为的来源。因此,能实时提供更为全面、准确的分析,从而抵御攻击。

Netflow数据分析

思科安全MARS以每秒30万数据流的速度,从路由器收集NetFlow数据。NetFlow和防火墙记录可用于分析各工作站的网络利用率。这使管理员可发现并对病毒和蠕虫等异常行为采取措施。

上下文关联

上下文关联使用网络级智能,将跨NAT边界的安全事件和网络行为分组,并通过向其运用系统和用户定义的关联规则,来识别有效的故障。思科安全MARS配备了一套全面的预定义规则,Protego会经常更新这些规则,它们可识别大量混合攻击、零日攻击和蠕虫。一个图形化规则定义框架可简化用户为任意应用创建定制规则的过程。上下文关联大大减少了原始事件数据、支持响应的优先级划分,可使已部署的措施发挥最大效果。

高性能的可扩展架构

思科安全MARS可在单一机箱中以每秒高达10,000个的速度捕获事件。当需要多个机箱时,可在中央地点部署Cisco Security MARS Global Controller。Global Controller能汇总各Local Controller的事件。Local Controller负责此架构的大多数工作,因此每部署一个Local Controller,都能获得近乎线性的性能提高。

参数表
思科产品编号(Protego型号) 性能 存储 机型 电源
每秒事件数 每秒NetFlow
CS-MARS-20-K9 500 15,000 120 GB (非RAID) 1 RU x 16 in. 300W
CS-MARS-50-K9 1000 30,000 240 GB RAID 0 1 RU x 25.6 in. 300W
CS-MARS-100E-K9 3000 75,000 750 GB RAID 10
热插拔
3 RU x 25.6 in. 500W双冗余
CS-MARS-100-K9 5000 150,000 750 GB RAID 10
热插拔
3 RU x 25.6 in. 500W双冗余
CS-MARS-200-K9 10,000 300,000 1 TB RAID 10
热插拔
4 RU x 25.6 in. 500W双冗余
思科产品编号
(Protego Global Controller型号)
分布式监控 存储 机型 电源
支持的型号 最大连接数
CS-MARS-GCM-K9 仅限MARS 20或50 5 1 TB RAID 10
热插拔
4 RU x 25.6 in. 500W双冗余
CS-MARS-GC-K9 任意 无限制 1 TB RAID 10
热插拔
4 RU x 25.6 in. 500W双冗余

4

硬件规格

  • 具有特定用途的19英寸机架安装设备;通过UL、FCC、CE和VCCI认可
  • 安全强化OS;禁用大多数网络服务
  • 2个10/100/1000以太网接口;采用可恢复介质的DVD-ROM
  • 存储:Cisco Security MARS 50使用RAID 0;Cisco Security MARS 100、200和Global Controller (GC)使用可热插拔的RAID 10
  • 冗余负载共享500W电源;120/240V自动切换

实时调查和法规符合性报告

思科安全MARS具有一个易于使用的分析框架,简化了传统的安全工作流程,在日常运作和特殊审查时实现了自动的案例分配、调查、提交、通知和说明。它可图形化地重现攻击并检索所存储的事件数据,来分析以前的事件。此系统完全支持特殊查询,可进行实时和持续数据采集。思科安全MARS提供大量的预定义报告,来满足运营需要,有助于达到法规符合性要求,包括Sarbox、GLBA、HTPPA、FISMA和Basel II。一个直观的报告生成器可以修改100多种标准报告或生成新报告,以一种无限制的方式,用数据、趋势和图表格式构建安全措施和修复计划、事件和网络活动、安全状态和审查,以及部门报告。此系统也能提供批报告和电子邮件报告。

管理

  • 安全Web界面(HTTPS):基于角色的管理,全面用户审查跟踪
  • 通过电子邮件、寻呼机、系统日志和简单网络管理协议(SNMP)提交事件、处理工作流和进行通知
  • 对多个思科安全MARS设备的思科安全MARS GC层次化管理
  • 自动进行经过验证的更新:设备支持,新规则和特性
  • 持续地将原始数据和事件档案压缩到离线网络文件共享(NFS)存储中

查询和报告

  • GUI支持大量缺省查询和定制查询
  • 100多种常用报告:管理、运营和法规
  • 直观的报告生成可产生无限的定制报告
  • 数据、表格和趋势格式支持HTML和CSV输出
  • 报告系统:实时、批、模板和电子邮件转发

拓扑搜索

  • 第三层和第二层:路由器,交换机,防火墙
  • 网络IDS:刀片和设备
  • 手动和事先安排的搜索
  • SSH,SNMP,Telnet和特定设备通信
  • 采用种子文件代替搜索

联系我们