DB11-T1288-2015电子政务信息安全监控数据规范

1、A4北DB11京 市 地 方 标 准DBT15北京市质量技术监督局 发 布IDBT82015 HYPERLINK l _bookmark2 HYPERLINK l _bookmark3 HYPERLINK l _bookmark4 HYPERLINK l _bookmark5 HYPERLINK l _bookmark1 HYPERLINK l _bookmark1 HYPERLINK l _bookmark1 HYPERLINK l _bookmark6 HYPERLINK l _bookmark7 HYPERLINK l _bookmark8 HYPERLINK l _bookmark9

2、HYPERLINK l _bookmark10 HYPERLINK l _bookmark11 HYPERLINK l _bookmark12 HYPERLINK l _bookmark13 HYPERLINK l _bookmark14 HYPERLINK l _bookmark15 HYPERLINK l _bookmark16 HYPERLINK l _bookmark17 HYPERLINK l _bookmark18 HYPERLINK l _bookmark19 HYPERLINK l _bookmark20 HYPERLINK l _bookmark21 HYPERLINK l

3、_bookmark22 HYPERLINK l _bookmark23 HYPERLINK l _bookmark24 HYPERLINK l _bookmark25 HYPERLINK l _bookmark26 HYPERLINK l _bookmark27 DBT82015引 言 来解决与安全设备之间的交互问题，是北京地区电子政务信息安全监控系统建设实际需要。 质量和效率，为电子政务监控体系构建提供科学依据和规范性支持。1DBT82015电子政务信息安全监控数据规范 类型，报警信息类、通讯交互类和状态获取类数据的格式。于电子政务信息安全监控系统与各类安全设备之间的数据交互关系。范性引用文

4、件 凡是不注日期的引用文件， 其最新版本(包括所有的修改单) 适用于本文件。GBZ 19669 XML在电子政务中的应用指南定义GBT 25069-2010 界定的以及下列术语和定义适用于本文件。monitoringdata全监控系统从安全设备获取的报警、通讯交互和状态获取等数据信息。统 information security monitoring system件和及时预警提供支撑的信息系统。数据 alarm information class data全监控系统发送的安全报警数据。数据 communication interactive class data全监控系统与安全设备间进行信息交

5、互的数据。包括信息查询数据和策略下发数据。 state acquisition class data全监控系统从安全设备获取运行状态和系统日志的数据。4 缩略语nternetProtocol2DBT82015MIB：管理信息库(Management Information Base)OID(Object IDentifier)SNMP理协议 (Simple Network Management Protocol)UTF：Unicode转换格式(Unicode Transformation Format)URL统一资源定位符 (Uniform Resource Locator)XML：可扩展置标

6、语言(eXtensible Markup Language) 数据交互关系本标准涵盖的安全设备包含但不限于入侵检测/防御类设备、防病毒类设备、防火墙类设备、审计 Web类设备和漏洞扫描类设备。a息类数据：信息安全监控系统接收到的安全设备报警日志数据；b 通讯交互类数据：信息安全监控系统与安全设备间进行信息交互的上下行数据；c数据。 控数据与信息安全监控系统、安全设备的关系如图1所示：和安全设备的关系据类型 报警信息类：a测/防御类设备的报警信息；b类设备的报警信息；c息；dWEB警信息；e；f信息。3DBT82015 通讯交互类a)知识库查询: 安全设备为信息安全监控系统提供指定报警日志的详细

7、信息和相关知识查询服务 的标准与规范，通过使用知识库唯一标识(事件编号或报警名称) 查询条件，获得知识库中相关详细描 IP和流量趋势； WEB略下发至安全设备，设备使用该监控策略进行监控； 务计划；g交互：除以上类别以外的所有交互讯息。 状态获取类a全设备轮询系统状态信息；b)获取日志：安全设备实时向信息安全监控系统上报系统操作日志；c上类别以外的所有状态获取数据。类数据格式格式 每个域由多个字段拼接而成，所有字段与前字段无间隔。e a与字段值之间为半角的冒号，字段值用半角分号作为字段结束标识；b) “value”中不应出现冒号、分号以及无意义的空格，不可避免时采用半角反斜杠转义。息类数据格式

8、参见附录A。报警信息公共域描述格式见表1。4DBT82015述格式e间戳的数据格式 为“yyyy/mm/dd hh-mm-ss”产生报警日志的安全设备管理 IP 地址，数据格式 “xxx.xxx.xxx.xxx”y2定义安全等级，规范定义为 ntCodentName义tocolType报警日志中记录信息安全事态所使用和涉及的网络 IP 地址，数据格 式“xxx.xxx.xxx.xxx”t5报警日志中信息安全事态发起方使用的网络传输层 tIPIP 地址，数据格 式“xxx.xxx.xxx.xxx”tPort5报警日志中信息安全事态受害方使用的网络传输层 报警信息专有域检测/防御类专有域类专有域描

9、述格式见表2。防御类专有域基本信息长度(字节)larmCount5同报警的次数ction 防病毒类专有域专有域基本信息长度(字节)er用户名或设备名5DBT82015长度(字节)5大小ction 防火墙类专有域专有域基本信息长度(字节)esc行为ction的处置结果计类专有域5。域基本信息长度(字节)esc的简要描述ywordD5审计报警中，网络行为活动或内容违反的检测规则所对 7.3.5 Web 安全类专有域Web安全类专有域描述格式见表6。表6 Web 安全类专有域基本信息长度(字节)L的URL 地址RLID scp5技术特征6DBT82015长度(字节)larmURL址c充性说明tpMe

10、thod通讯交互类数据要求 基本格式 数据格式参见附录B。2 知识库查询交互数据.1 知识库查询请求数据KBRequest段为标识，描述格式见表7。询请求基本信息长度(字节)ameID.2 知识库查询应答数据KBResponse标识，描述格式见表8。询应答基本信息长度(字节)返回查询标识在知识库中所对应的详细描述内容，未查 内容为空 审计查询数据1 审计查询请求数据tType 7DBT82015求基本信息长度(字节)ime“yyyy/mm/dd hh-mm-ss”Time“yyyy/mm/dd hh-mm-ss”查询请求中限定的网络行为源IP地址，可为单个地址， tIP t5行为源传输层端口号

11、tPort5行为目的传输层端口号tocol行为所采用的网络应用协议Application用前，指定协议类别字段RL56型选择http协议时，填写的具体URLyword件untProtocol字段选择邮件或即时通讯类别时，填写的发件 账号AccountProtocol字段选择邮件或即时通讯类别时，填写的收件 账号t行为详细信息查询和内容详细信息查询中，邮件类查询 asAttachment5sNot5estType2查询类别 ，RequestType=1表示行为统计信息查询； RequestType=2表示行为详细信息查询；RequestType=3 信息查询sificatio n统计分类在查询类

12、别为行为统计信息查询时，返回结果 SrcIP:源IP、DstIP: 目 的IP、 Protocol:协议、Application:应用、SrcAccount:发件 端口、Day:时间-天、Hour:时间-小时2 行为统计信息应答数据8DBT82015以LogStatResponse字段为标识，描述格式见表10。信息应答基本信息长度(字节)classification到的结果集lCountclassification到的结果集大小果sificatio n回结 Protocol:协议、Application:应用、SrcAccount:发件 端口、Day:时间-天、Hour:时间-小时sifyVa

13、lueClassification具体值t8后的数量centage23 行为详细信息应答数据LogDetailResponse字段为标识，描述格式见表11。信息应答基本信息长度(字节)lCount果行为日志发生的时间，格式为“yyyy/mm/dd hh-mm-ss”返回行为日志的源IP地址，格式为“xxx.xxx.xxx.xxx”tIP返 回 行 为 日 志 的 目 的 IP 地 址 ， 格 式 为 “xxx.xxx.xxx.xxx”t5端口号tPort5的端口号返 回 行 为 日 志 的 源 MAC 地 址 ， 格 式 为 “xx-xx-xx-xx-xx-xx”9DBT82015长度(字节)

14、Mac目 的 MAC 地 址 ， 格 式 为 “xx-xx-xx-xx-xx-xx”tocol行为所采用的网络应用协议nSize日志的大小untAccount4 内容详细信息应答数据tResponse信息应答基本信息长度(字节)lCount果行为日志发生的时间，格式为“yyyy/mm/dd hh-mm-ss”返回行为日志的源IP地址，格式为“xxx.xxx.xxx.xxx”tIP返 回 行 为 日 志 的 目 的 IP 地 址 ， 格 式 为 “xxx.xxx.xxx.xxx”unt 日志的发件人 Account 户t为电子邮件时邮件的主题ailSizeasAttachment6rue 流量查

15、询数据1 流量信息查询请求数据DBT82015求以FlowStatQueryRequest字段为标识，描述格式见表13。查询请求基本信息长度(字节)ime查询限定时间范围的开始时间，格式为“yyyy/mm/dd hh-mm-ss”Time查询限定时间范围的结束时间，格式为“yyyy/mm/dd hh-mm-ss”指定需要查询流量的IP地址，为单个地址或地址段，单“xxx.xxx.xxx.xxx - xxx.xxx.xxx.xxx”tocolrection2 表示流入，2表示流出t22 流量信息查询应答数据答以FlowStatQueryResponse字段为标识，描述格式见表14。查询应答基本信

16、息长度(字节)lCount2wIPIP的一个返回结果“xxx.xxx.xxx.xxx”wSize量大小标签对应一个协议tocol流量信息查询所基于的网络协议，查询条件为单个协议 查询时，返回所查询的协议对应的流量大小；查询条件 为多个协议查询时，则返回统计流量总和以及每个协议 3 流量趋势查询请求数据stIP 回方式和协议，描述格式见表15。DBT82015查询请求基本信息长度(字节)ime查询限定时间范围的开始时间，格式为“yyyy/mm/dd hh-mm-ss”Time查询限定时间范围的结束时间，格式为“yyyy/mm/dd hh-mm-ss”指定需要查询流量的IP地址，为单个地址或地址段

17、，单“xxx.xxx.xxx.xxx - xxx.xxx.xxx.xxx”tocolrection2 表示流入，2表示流出nTypeReturnTypemonth ReturnTypeday回结 4 流量趋势查询应答数据FlowTrendQueryResponse字段为标识，描述格式见表16。查询应答基本信息长度(字节)lCount2wIPIP的一个返回结果IP结果的编号询的IP地址，每个IP地址对应多个FlowTimewTime结果返回结果中的时间点，流量趋势查询数据中ReturnType ReturnType=month ReturnTypeday时，时间以天为 ReturnTypemin

18、ute以分钟为单位wSizeDBT82015长度(字节)tocol协议信息，查询条件为单个协议查询时，返回所查询的 项；查询条件为多个协议查询时，返回多个协议对应的 标记有多项8.5 Web 监控策略下发数据1 策略下发数据WebMonitorPolicyIssue字段为标识，描述格式见表17。数据基本信息长度(字节)licyIssue点的web监控策略下发policyIssue号L点为单个站 点o功能sabilityentul2 一种功能都与一个isUse对应，isUse=0表示不使用该功 isUse用该功能ize2 和月。值域为：0-立即执行，1-分钟，2-小时，3-天， 4-周，5-月l

19、ue2周期值，当执行周期选择除0以外的选项值时才有作用。 pth2检测的深度，指进行检测的页面深度，对于不同的功能 深度2 策略下发应答数据DBT82015WebMonitorPolicyResponse段为标识，描述格式见表18。应答基本信息长度(字节)lCountRLBackURLBack的编号RLID站点ID，指策略中定义的URL所对应的ID，对策略中URL IDLURL定义的要进行监控的某单个站点3 策略编辑数据WebMonitorPolicyUpdate为标识，描述格式见表19。数据基本信息长度(字节)WebMonitorPol Web下发对象包括多个站点icyUpdateRLURL

20、Web监控策略编辑policyUpdateo功能sabilityentulRLID指策略中定义的URL所对应的ID，对策略中URL的相关配 删除可通过此ID进行标识eState2LURL义的进行监控的某单个站点2 一种功能都与一个isUse对应，isUse=0表示不使用该功 isUse用该功能ize2 和月。值域为：0-立即执行，1-分钟，2-小时，3-天， 4-周，5-月DBT82015长度(字节)lue2周期值，当执行周期选择除0以外的选项值时才有作用。 pth2检测的深度，指进行检测的页面深度，对于不同的功能 深度4 策略执行状态查询请求数据查询请求以PolicyStateQueryRe

21、quest字段为标识，描述格式见表20。略执行状态查询请求基本信息长度(字节)licyStateQu RLIDIDURLID个或多个 URL对应检测状态查询5 策略执行状态查询应答数据应答以policyStateQueryResponse字段为标识，描述格式见表21。略执行状态查询应答基本信息长度(字节)licyStateQu seonseStateURL， 包括URLID和动作执 RLIDIDURLID个或多个 URL对应检测状态查询LState4 位数字“ABCD”：A表 6 站点信息查询请求数据询请求以SiteInfoRequest字段为标识，描述格式见表22。DBT82015查询请求基

22、本信息长度(字节)foReque RLIDIDURLID个或多个 URL对应检测状态查询7 站点信息查询应答数据答以SiteInfoResponse字段为标识，描述格式见表23。查询应答基本信息长度(字节)foRespo lCount4oRLIDIDURLID一个或多 URL测状态查询ain地址ebConWebNameL ParentPaperIDParent=0为首页.8 可用性查询请求数据UsabilityRequest段为标识，描述格式见表24。性查询请求基本信息长度(字节)ime查询开始时间，格式为“yyyy/mm/dd hh-mm-ss”DBT82015长度(字节)Time查询结束时

23、间，格式为“yyyy/mm/dd hh-mm-ss”Typemonth的平均值并 返回；当Type=day时，表示取一天的平均值并返回；当 Typeminute示取一分钟的平均值并返回RLIDIDURLID一个或多 URL测状态查询.9 可用性查询应答数据 描述格式见表25。性查询应答基本信息长度(字节)RLIDIDURLID个或多个 URL对应检测状态查询间对应一个检测结果tpResponse 用性检测请求里的type字段，返回相应的网站响应速度 .10 脆弱性查询请求数据求以VulRequest字段为标识，描述格式见表26。性查询请求基本信息长度(字节)ime查询开始时间，格式为“yyyy

24、/mm/dd hh-mm-ss”Time查询结束时间，格式为“yyyy/mm/dd hh-mm-ss”RLIDIDURLID一个或多 URL测状态查询.11 脆弱性查询应答数据DBT82015o 的间隔，描述格式见表27。性查询应答基本信息长度(字节)vulRLIDID中定义的URL对应的IDulTime时间ulType2关系为： sqlXSSCGI、5-CSRF、6-表 ulName出的漏洞名称lLevellURL地址D编号dID编号estType式utoWireURL地址rameter参数Data测试数据 漏洞扫描策略下发数据1 任务下发数据VulScanPolicyIssue字段为标识，

25、描述格式见表28。数据基本信息长度(字节)2 任务下发应答答以VulScanPolicyResponse字段为标识，描述格式见表29。DBT82015应答基本信息长度(字节)ID3 任务执行状态查询请求数据询请求以TaskStateQueryRequest字段为标识，描述格式见表30。务执行状态查询请求基本信息长度(字节)ID4 任务执行状态查询应答数据答以TaskStateQueryResponse字段为标识，描述格式见表31。务执行状态查询应答基本信息长度(字节)kState25 漏洞扫描结果查询请求数据以TaskResultQueryRequest字段为标识，描述格式见表32。洞扫描结果

26、查询请求基本信息长度(字节)ID求之后，返回一个策略TaskIDuntP6 漏洞扫描结果查询应答数据age 洞扫描结果查询应答基本信息长度(字节)备管理IP地址，格式xxx.xxx.xxx.xxxulID的唯一标识DBT82015长度(字节)ulName识库中的名称lGrade漏洞的威胁程度分级，将漏洞等级分为很高、高、中、 tingThrea t及功能的影响vIDerblishedDate 资产信息查询数据1 资产信息查询请求数据AssetInfoQueryRequest描述格式见表34。查询请求基本信息长度(字节)所 需 查 询 资 产 的 IP 地 址 ， 单 个 IP 格 式 - xx

27、x.xxx.xxx.xxx”2 资产信息查询应答数据Info 号，描述格式见表35。查询应答基本信息长度(字节)AssetNameAssetTypeAssetStatusanufacturerseStatus5DBT82015长度(字节)nfoemoryInforddiskInfoebConsoleWeb制台的IP地址或URLstName部定义的名称ysicsPositi errsonInCharg ePMacMAC地址Value风险值，通过风险评估，资产存在的风险值，取值范围 ，数值越大风险越高Grade产风险的等级，定为高、中、低三级Trend，分为上升、下降、未变化9 状态获取类数据要求

28、9.1 基本格式数据格式参见附录C。9.2 设备状态数据通过SNMP协议，周期性向安全设备轮询系统状态信息。数据规范中使用的SNMP请求和回复命令均为标准SNMP指令，本规范中只描述通过标准MIB库信息获 MIBOID对应见表36：DBT820.3使用量.1.2/使用量./使用量. 系统日志数据安全监控系统上报系统操作日志。ID字段为标识，描述格式见表37。日志基本信息长度(字节)rntName源IP地址名model的设备功能模块cess程t结果DBT82015(资料性附录)息类数据格式示例示例1：公有域格式及字段形式和顺序Date:2012/11/14 10-00-00;IP:2;Sever

29、ity:1;EventCode:112021;EventName:利用Micro soft Outlook Web Access漏洞进行拒绝服务攻击;ProtocolType:tcp;SrcIP:;SrcPort:7005; DstIP:5 ;DstPort:8005;示例2：入侵检测/防御类专有域格式、字段形式和顺序Date:2012/11/14 10-00-00 ;IP:2 ; Severity:1;EventCode:112021;EventName:利用 Microsoft Outlook Web Access 漏洞进行拒绝服务攻击;ProtocolType:tcp;SrcIP: ;S

30、rcPort:7005;DstIP:5 ;DstPort:8005;AlarmCou nt:5;Action:禁止;示例3：防病毒类专有域格式、字段形式和顺序Date:2012/11/14 10-00-00;IP:2; Severity:1;EventCode :112021;EventName: 蠕 虫 病 毒 ;ProtocolType:tcp;SrcIP: ;SrcPort:7005;DstIP:5 ;DstPort:8005;User:kil lileo;Long:512;Site:http/ HYPERLINK /images/Incruit_speaceyellow_8_15.gi

31、f;Action:Deleted /images/Incruit_speaceyellow_8_15.gif;Action:Deleted ;示例4：防火墙类专有域格式、字段形式和顺序Date:2012/11/14 10-00-00;IP:2; Severity:1;EventCode :112021;EventName: 违 背 策 略 ;ProtocolType:tcp;SrcIP: ;SrcPort:7005;DstIP:5 ;DstPort:8005;LogDesc: SQL注入攻击;Action:阻止;示例5：审计类专有域格式、字段形式及顺序Date:2012/11/14 10-00

32、-00;IP:2; Severity:1;EventCode :112021;EventName: 邮 件 审 计 ;ProtocolType:tcp;SrcIP: ;SrcPort:7005;DstIP:5 ;DstPort:8005;LogDesc: Winnuke 攻击;Keyword:DOB;RuleID:553;示例6：WEB安全类专有域格式、字段形式及顺序Date:2012/11/12 10-00-00;IP:2; Severity:1;EventCode :112021;EventName: 使 用 框 架 ;ProtocolType:http ;srcIP:;SrcPort:8

33、0;DstIP:5;DstPort:80;SiteURL:htt p:/ HYPERLINK /index.html; /index.html; URLID:1;Action: 使 用 宽 、 高 度 属 性 嵌 入 不 可 见 的 框 架 ;AlarmURL: HYPERLINK /index.html;Desc:http/:/05/mals/6.htm;HttpMethod /index.html;Desc:http/:/05/mals/6.htm;HttpMethod : DBT82015(资料性附录)互类数据格式示例B识库查询数据格式B识库查询请求格式IDKBNameIDtB识库查询应

34、答格式eKBCDATA/KBse将返回的知识库描述放到CDATA中，XML解析器不解析CDATA里的文本数据， 所以知识库描述里可能 存在的特殊字符将不会产生歧义。B询数据格式B查询请求格式基于XML标准的查询请求格式如下：QueryRequestimeStartTimeeEndTimercIPrcIPstIPstIPtSrcPorttDstPortolProtocoltionApplicationntSrcAccountntDstAccountDBT82015tSubjectchmentHasAttachmentdKeywordimitTypeRequestTypeficationClass

35、ificationficationClassificationQueryRequestB统计信息应答格式sponsegsTotalCountnClassificationxxxDyValueClassifyValueountgePercentage.n.sTotalCountsmClassificationxxxDyValueClassifyValueountgePercentage.m.B详细信息应答格式ailResponseTotalCountnDDBT82015mercIPstIPtSrcPorttDstPortSrcMacDstMacolProtocolSizeSessionSizen

36、tSrcAccountntDstAccount.n.B详细信息应答格式ResponseTotalCountnDmercIPstIPntSrcAccountntDstAccounttSubjectzeMailSizechmentHasAttachment.n.B询数据格式B信息查询请求格式QueryRequestDBT82015imeStartTimeeEndTimeIPList.IPListolProtocol.olProtocolionDirectionountB信息查询应答格式atQueryResponseTotalCountnFlowIDIPxxxxxxxxxxxxowSizeProto

37、colallFlowSizeowSizeProtocolxxxFlowSize.owSizeProtocolxxxFlowSize.FlowIDnIPxxxxxxxxxxxx.B趋势查询请求格式QueryRequestimeStartTimeeEndTimeIPList.IPListolProtocol.olProtocolionDirectionpeReturnTypeB趋势查询应答格式DBT82015ndQueryResponseTotalCountnFlowIPIDIPxxxxxxxxxxxxmeTimeowSizeProtocolallFlowSizeowSizeProtocolxxx

38、FlowSize.owSizeProtocolxxxFlowSize.meTime.FlowIPIDnIPxxxxxxxxxxxx.B.4 Web监控策略数据格式B下发数据格式rPolicyIssuecyIssueIDLSiteURLsUseizeSycleSizeueSycleValueepthsUseizeSycleSizeueSycleValueepthsUseDBT82015izeSycleSizeueSycleValueepthsUseizeSycleSizeueSycleValueepth.B下发应答格式itorPolicyResponseTotalCountnackIDRLIDL

39、SiteURL.ckIDn.B编辑数据格式PolicyUpdatecyUpdateIDRLIDeStateOperateStateLSiteURLsUseizeSycleSizeueSycleValueepthDBT82015sUseizeSycleSizeueSycleValueepthsUseizeSycleSizeueSycleValueepthsUseizeSycleSizeueSycleValueepthdate.yUpdateIDxxx.dateB执行状态查询请求格式基于XML标准的策略执行状态查询请求格式为：QueryRequestRLIDRLID.RLIDB执行状态查询应答格式

40、基于XML标准的策略执行状态查询应答格式如下：QueryResponsetateRLIDteURLStateState.tateDBT82015.StateB信息查询请求格式基于XML标准的站点信息查询请求格式为：equestRLIDRLID.RLIDB信息查询应答格式基于XML标准的站点信息查询应答格式为：foResponseTotalCountnInfoIDRLIDDomainWebConeWebNameScriptSiteURLPaperIDParentSiteURLPaperIDParentSiteURLPaperIDmParentnSiteURL.nfoIDnB用性查询请求格式基于XML标准的可用性查询请求格式为：yRequestimeStartTimeeEndTimepeRLIDRLIDDBT82015.RLID