3.4 Equipo de gestión de seguridad de la red

Referencia de datos: oficial CISP 

Tabla de contenido

• IDS (Sistema de detección de intrusos)
• Auditoría de Seguridad Cibernética
• Sistema de escaneo de vulnerabilidades
• VPN (red privada virtual)
• host bastión
• Plataforma de gestión de seguridad

1. IDS (Sistema de detección de intrusos)

El sistema de detección de intrusiones (IDS) es un dispositivo de seguridad de red que se utiliza para monitorear y detectar intrusiones en la red y tomar las medidas de respuesta correspondientes. Escucha los paquetes de datos transmitidos en la red, analiza e interpreta estos paquetes de datos para determinar si existen posibles ataques o agujeros de seguridad.

Las funciones principales de un sistema de detección de intrusos incluyen:

1. Proporcione una defensa activa : el sistema de detección de intrusiones puede monitorear activamente el tráfico y los paquetes de datos en la red, descubrir y responder a posibles intrusiones a tiempo. Combinado con otros dispositivos de seguridad, como firewalls, forma un sistema de defensa de seguridad de red integral y mejora la seguridad general de la red.

2. Funciones complementarias del cortafuegos : aunque un cortafuegos es una parte importante de la seguridad de la red, su función es principalmente el control de acceso basado en reglas, que puede no proporcionar una defensa oportuna contra ataques específicos o desconocidos. A través del monitoreo y análisis en tiempo real del tráfico de la red, el sistema de detección de intrusos puede descubrir nuevos ataques, comportamientos anormales o vulnerabilidades desconocidas, e inmediatamente tomar medidas para bloquear o alarmar.

3. Una parte importante de la creación de un sistema de defensa de la seguridad de la red : como parte importante del sistema de defensa de la seguridad de la red, el sistema de detección de intrusos funciona junto con otros dispositivos de seguridad (como cortafuegos, sistemas de prevención de intrusos, etc.) sistema de defensa de seguridad de la red. Proporciona un mecanismo de detección y respuesta más profundo, mejorando la seguridad general y la resistencia de la red.

  

Tipo de detección de intrusión

1. Sistema de detección de intrusiones en la red (NIDS): NIDS se implementa en los bordes de la red o en los nodos clave de la red para detectar posibles intrusiones al monitorear el tráfico de la red y analizar los paquetes de datos. Puede monitorear el flujo de comunicación en toda la red, y detectar y reportar el incumplimiento de la política de seguridad o comportamiento anormal. NIDS puede identificar patrones de ataque comunes, códigos maliciosos y eventos de seguridad de la red, como el acceso no autorizado.

2. Sistema de detección de intrusiones en el host (HIDS): HIDS se implementa en un solo host para monitorear y detectar intrusiones en ese host. Detecta si hay un comportamiento anómalo, un acceso no autorizado o una actividad maliciosa al monitorear información como el sistema operativo, las aplicaciones y los registros del host. HIDS puede detectar ataques a nivel de host, como cambios de archivos no autorizados, comportamiento anormal del proceso o infección por virus.

  

 Características del sistema de detección de intrusos

• Descubrir y reportar violaciones no autorizadas o de políticas de seguridad en el sistema
• Proporcionar orientación para la formulación de políticas de seguridad de la red.

El sistema de detección de intrusos en la red (NIDS) tiene las siguientes ventajas:

1. Instalación de derivación : NIDS generalmente se implementa de manera de derivación, es decir, se encuentra en la ruta de transmisión del tráfico de la red y no tendrá un impacto significativo en el rendimiento de la red. Este método de instalación no requiere modificación ni configuración del equipo de red existente, lo que reduce la complejidad y el riesgo de implementación.

2. Bajos requisitos de rendimiento del equipo : en comparación con otros equipos de seguridad de red (como los cortafuegos), NIDS no tiene requisitos altos de rendimiento del equipo. Se enfoca principalmente en el monitoreo y análisis del tráfico de red sin operaciones complejas de control de acceso o filtrado de paquetes. Por lo tanto, no es probable que NIDS se convierta en un cuello de botella del rendimiento de la red.

Sin embargo, los sistemas de detección de intrusos en la red también tienen algunas limitaciones:

1. Incapaz de analizar y detectar datos cifrados : debido a la existencia de algoritmos de cifrado, el NIDS no puede realizar análisis ni detección en profundidad de los datos cifrados. Cuando el tráfico de red se transmite mediante protocolos encriptados, NIDS solo puede identificar el tráfico encriptado, pero no puede analizar el contenido y el posible comportamiento de ataque en detalle.

2. Gran carga de procesamiento en redes de conmutación de alta velocidad : en redes de conmutación de alta velocidad, el tráfico de red es muy grande y complejo, y la carga de procesamiento en NIDS es pesada. Para mantener una baja latencia y un alto rendimiento en las redes de alta velocidad, NIDS debe contar con potentes capacidades de procesamiento y algoritmos eficientes para evitar convertirse en un cuello de botella en el rendimiento.

3. Incapaz de juzgar las consecuencias de los ataques : NIDS se enfoca principalmente en detectar e informar ataques en la red, pero no puede juzgar directamente las consecuencias de los ataques. Solo puede proporcionar alertas y registros sobre eventos de ataque, que los administradores de seguridad deben analizar más a fondo y responder en consecuencia.

El sistema de detección de intrusos en el host (HIDS) tiene las siguientes ventajas:

1. Los paquetes de red monitorean todos los comportamientos del sistema : HIDS puede monitorear todos los comportamientos del sistema en el host, incluidos los registros del sistema, los sistemas de cuentas, la lectura y escritura de archivos, etc. Puede monitorear y analizar exhaustivamente las actividades en el host y descubrir posibles comportamientos de intrusión y comportamientos anormales.

2. Capaz de detectar las consecuencias de los ataques : en comparación con los sistemas de detección de intrusos en la red, HIDS está más cerca del sistema operativo del host y del nivel de la aplicación, por lo que puede detectar mejor las consecuencias de los ataques. Por ejemplo, puede identificar cambios de archivos no autorizados, comportamiento inusual de procesos o infecciones de virus, entre otros.

3. Adecuado para entornos de red cifrada : HIDS puede funcionar en entornos de red cifrada porque se basa principalmente en la supervisión y el análisis del comportamiento del host en lugar de un análisis en profundidad del tráfico de la red. Esto convierte a HIDS en una poderosa herramienta para proteger hosts en entornos de red encriptados.

Sin embargo, los sistemas de detección de intrusos del host también tienen algunas limitaciones:

1. Mala portabilidad, alta presión de desarrollo y prueba : dado que HIDS debe instalarse en cada host e integrarse con diferentes sistemas operativos y aplicaciones, su portabilidad es mala. También hay presión para desarrollar y probar HIDS para varios entornos de host.

2. Consumo de recursos de hardware del host : HIDS necesita ejecutarse en el host y consumir ciertos recursos de CPU, memoria y almacenamiento. Esto puede tener algún impacto en el rendimiento del host, especialmente en hosts de alto rendimiento o recursos limitados.

3. Solo puede proteger el host en el que está instalado el producto : HIDS solo puede proteger el host en el que está instalado el sistema, pero no puede proteger directamente otros hosts o dispositivos de red. Si un host no tiene instalado HIDS, no se pueden detectar intrusiones en ese host.

Tecnología de detección de uso indebido

• Establecer modelo de comportamiento de intrusión (firma de ataque)
• Suponga que todas las características posibles pueden identificarse y representarse
• Uso indebido basado en el sistema y basado en el usuario

Tecnología de detección de anomalías

• Establecer patrones de comportamiento "normales" ·
• Suponga que todas las intrusiones son anormales
• Excepciones basadas en el sistema y basadas en el usuario 

Despliegue del Sistema de Detección de Intrusos

• Basado en el análisis de paquetes de datos en toda la red : este método de implementación implica configurar dispositivos de monitoreo en la red para capturar todos los paquetes de datos que pasan por la red. El sistema de detección de intrusos analizará e identificará estos paquetes de datos para detectar posibles comportamientos de intrusión. Este método puede ayudar a descubrir intentos de intrusión a nivel de red, como escaneo de puertos, ataques DoS (denegación de servicio), etc. Sin embargo, debido a la necesidad de procesar una gran cantidad de paquetes de datos, los requisitos de recursos del sistema son relativamente altos.

• Basado en el análisis de paquetes en el área del servidor : en este modo de implementación, el sistema de detección de intrusos se implementa en un área de red específica donde se encuentra el servidor. Supervisa los paquetes de datos que se producen en el área, así como el tráfico que sale del área. En comparación con el análisis de toda la red, este método tiene una mayor eficiencia y precisión, ya que puede centrarse en el tráfico de datos y las actividades relacionadas con el servidor. Esto es muy efectivo para detectar intrusiones relacionadas con el servidor, como exploits, cargas de archivos maliciosos, etc.

• Basado en el análisis de paquetes de hosts o servidores clave : en este modo de implementación, el sistema de detección de intrusos solo se implementa en hosts o servidores clave. Supervisará y analizará los mensajes entrantes y salientes del host o servidor, a fin de detectar y prevenir a tiempo las intrusiones dirigidas a estos dispositivos clave. Este método es adecuado para hosts o servidores que requieren alta protección, como almacenamiento de datos importantes y aplicaciones críticas para el negocio.

 Respuestas a desafíos y preguntas relacionadas con los sistemas de detección de intrusos

1. Altos requisitos de conocimiento del usuario : De hecho, el uso de un sistema de detección de intrusos requiere ciertos conocimientos y habilidades profesionales. Los usuarios deben comprender la configuración, el funcionamiento y la gestión del sistema, y ​​comprender cómo interpretar y responder a los mensajes de alerta generados por el sistema. Para reducir la carga de los usuarios, se puede proporcionar una interfaz de usuario fácil de usar y una documentación clara para ayudar a los usuarios a operar y comprender el sistema.

2. Altos requisitos de rendimiento de procesamiento : con el rápido desarrollo de la red, el sistema de detección de intrusos debe tener un rendimiento de procesamiento suficiente para hacer frente al tráfico de red cada vez mayor y los métodos de ataque complejos. Esto presenta desafíos para la selección y optimización de hardware y software. Una posible solución es adoptar técnicas de implementación distribuida y procesamiento paralelo para mejorar la capacidad de procesamiento y la eficiencia del sistema.

3. Alta tasa de falsas alarmas : La tasa de falsas alarmas de un sistema de detección de intrusos se refiere a la frecuencia de falsos positivos del sistema. Dado que el sistema de detección de intrusos necesita emitir juicios basados ​​en reglas y modelos predefinidos, existe cierta posibilidad de falsos positivos. Para reducir la tasa de falsas alarmas, la precisión del sistema se puede mejorar agregando reglas y modelos más precisos, combinando el aprendizaje automático y otras tecnologías.

4. Mensajes de advertencia documentados de forma incompleta : es importante garantizar la integridad y la trazabilidad de los mensajes de advertencia. El sistema debe ser capaz de registrar y almacenar toda la información de alerta, incluida la información relevante del contexto y el evento, para su posterior análisis e investigación. Además, los sistemas de administración de registros e información de seguridad y administración de eventos (SIEM) se pueden aprovechar para ayudar a recopilar, analizar y correlacionar información de advertencia para generar resultados más útiles.

5. Detección potencialmente limitada de otros datos : en respuesta a sus propios ataques, un sistema de detección de intrusos puede enfocarse en un objetivo o área específica, lo que resulta en una detección limitada de otros datos. Para compensar este problema, considere la introducción de tecnología de detección de intrusos multinivel y multiángulo para cubrir una gama más amplia de datos y métodos de ataque para mejorar las capacidades generales de seguridad y defensa.

2. Auditoría de seguridad de la red

Sistema de auditoría de seguridad

• De acuerdo con una determinada política de seguridad, verifique los registros del sistema, los datos de la red, las actividades de los usuarios y las condiciones ambientales para descubrir vulnerabilidades del sistema, operaciones ilegales, etc. Son independientes entre sí, pero también se complementan para proteger la seguridad general de la red.
• auditoría de red
• auditoría de host
• El sistema de auditoría de seguridad es en realidad para registrar y revisar el sistema informático del usuario y las actividades de la red. A través de la revisión independiente de los registros y comportamientos del sistema, puede disuadir y advertir a posibles atacantes, descubrir el estado inseguro del sistema, ajustarlo a tiempo, y corregirlo Evaluar y dar retroalimentación sobre los cambios en la política de seguridad.

3. Sistema de escaneo de vulnerabilidades

escapatoria

        Las vulnerabilidades se refieren a debilidades o fallas de seguridad en los sistemas de información, software, redes y otros entornos, que los atacantes pueden explotar para obtener acceso no autorizado, realizar operaciones maliciosas y robar información confidencial. Las vulnerabilidades pueden aparecer en varios aspectos del diseño, implementación y configuración del sistema, incluidos errores de programa en códigos de software, errores de configuración del sistema y protocolos de red inseguros.

análisis de vulnerabilidades

        El análisis de vulnerabilidades es una tecnología de seguridad de red proactiva que se utiliza para detectar y descubrir lagunas de seguridad en los sistemas de información. Mediante el uso de herramientas de escaneo especiales, los administradores de sistemas pueden escanear regularmente dispositivos de red, sistemas operativos, aplicaciones, etc., para descubrir a tiempo vulnerabilidades y defectos de configuración en el sistema.

        El propósito del análisis de vulnerabilidades es ayudar a las organizaciones a identificar posibles riesgos de seguridad para que puedan tomar medidas oportunas para remediar estas vulnerabilidades . La herramienta de escaneo verificará automáticamente todos los aspectos del sistema, incluidos los puertos abiertos, los servicios, el estado de los parches, los ajustes de configuración, etc., y luego los comparará con la base de datos de vulnerabilidades conocidas para encontrar posibles vulnerabilidades de seguridad.

        El sistema de exploración de vulnerabilidades es una herramienta importante para los administradores de seguridad de la red, que pueden encontrar lagunas de seguridad y defectos de configuración en el sistema . A través del escaneo regular de vulnerabilidades, los administradores pueden comprender el estado de seguridad del sistema y tomar las medidas correspondientes para reparar las vulnerabilidades a fin de mejorar la seguridad general del sistema.

        Sin embargo, cabe señalar que los atacantes también pueden abusar del sistema de análisis de vulnerabilidades hasta cierto punto . Los atacantes pueden usar el sistema de escaneo de vulnerabilidades para encontrar agujeros de seguridad y rutas de intrusión en el sistema, a fin de lanzar ataques. Por lo tanto, al utilizar un sistema de exploración de vulnerabilidades, es necesario tomar las medidas de seguridad necesarias, como control de acceso, autenticación, etc., para evitar que personas u organizaciones no autorizadas utilicen el sistema.

        Además, la tecnología de análisis de vulnerabilidades suele utilizarse en combinación con otras medidas de seguridad, como cortafuegos y sistemas de detección de intrusos, para formar un sistema de protección de seguridad integral. El escaneo de vulnerabilidades proporciona el descubrimiento de debilidades de seguridad, mientras que los firewalls y los sistemas de detección de intrusiones pueden bloquear el tráfico malicioso o detectar intrusiones, mejorando aún más la seguridad de la red .

4. VPN (Red Privada Virtual)

        Una red privada virtual (red privada virtual, VPN) es un método de uso de tecnología de tunelización para crear un canal seguro virtual, temporal y dedicado en una red pública para proteger las conexiones de red y la transmisión de datos de los usuarios.

Tecnología de implementación de VPN:

• Protocolo de tunelización punto a punto (PPTP): uno de los primeros protocolos para crear conexiones tunelizadas.
• Protocolo de tunelización de capa 2 (L2TP): combina PPTP y el protocolo de reenvío de capa 2 (L2F) para mejorar la seguridad y la confiabilidad. (es un protocolo de tunelización que funciona en la capa 2)
• Seguridad IP (IPsec): un conjunto ampliamente adoptado de protocolos de seguridad que proporciona encriptación y autenticación de datos.
• Encapsulación de enrutamiento genérico (GRE): una técnica para encapsular paquetes IP para su transmisión dentro de otros protocolos.

Criptografía:

• Cifrado simétrico: use la misma clave para el cifrado y el descifrado, que es más rápido. Los algoritmos comunes incluyen AES, DES y 3DES.
• Cifrado asimétrico: se utiliza un par de claves, la clave pública se utiliza para cifrar datos y la clave privada se utiliza para descifrar datos. Los algoritmos comunes incluyen RSA y criptografía de curva elíptica (ECC), etc.
• SSL (Secure Sockets Layer): un protocolo de cifrado utilizado para establecer una conexión segura entre un navegador web y un servidor.
• TLS (Transport Layer Security): El sucesor de SSL, utilizado para proteger la confidencialidad e integridad del proceso de comunicación.

En comparación con el establecimiento o el alquiler de una línea dedicada, una red privada virtual (Red Privada Virtual, VPN) tiene las siguientes ventajas :

1. Bajo costo : En comparación con las líneas dedicadas, el costo de establecer un acceso remoto a través de VPN es menor. Utilizando Internet como medio de transmisión, no se requiere ninguna inversión adicional en tarifas de líneas arrendadas.

2. Alta seguridad : VPN proporciona un fuerte mecanismo de encriptación y autenticación de identidad para garantizar la seguridad de los datos durante la transmisión. Al establecer un túnel VPN, todos los datos se encapsulan y se transmiten encriptados para evitar que los datos sean espiados o manipulados.

3. Simple, flexible y conveniente : es relativamente simple establecer una conexión VPN y puede adaptarse a diferentes entornos de red. Los usuarios solo necesitan instalar el cliente VPN y conectarse al servidor VPN a través de Internet para realizar el acceso remoto.

4. Proporcionar garantía de servicio : VPN puede proporcionar servicios como autenticación de identidad, control de acceso, gestión de seguridad y gestión de tráfico para garantizar que solo los usuarios autorizados puedan acceder a los recursos internos y gestionar y optimizar el tráfico.

5. Escenarios de aplicaciones enriquecidos : VPN satisface las necesidades de las organizaciones que necesitan acceder de forma remota a los recursos internos de la empresa a través de Internet. Ya sea que se trate de una oficina remota, una oficina interregional, una oficina móvil o usuarios remotos que acceden a sistemas internos, la VPN puede proporcionar una conexión segura y confiable.

A través del acceso VPN, los usuarios remotos pueden acceder a los recursos internos al tiempo que garantizan la seguridad, lo que puede beneficiar tanto a las organizaciones corporativas como a las instituciones privadas. Las VPN proporcionan una forma flexible y rentable de satisfacer las necesidades de acceso remoto.

Configuración de VPN :

1. Elija el proveedor de servicios VPN correcto : Primero, debe elegir un proveedor de servicios VPN confiable. Proporcionarán el servidor VPN y el software/aplicación correspondiente. Asegúrese de elegir un proveedor que satisfaga sus necesidades y proporcione una conexión segura y estable.

2. Configure el servidor VPN : el proveedor generalmente proporciona un servidor VPN y debe configurar el servidor de acuerdo con las instrucciones proporcionadas por el proveedor. Esto puede implicar la configuración de parámetros de red, protocolos de seguridad, métodos de encriptación, autenticación de usuarios, etc.

3. Compre y configure el equipo de hardware de VPN : si decide construir una VPN usted mismo, debe comprar equipo de hardware adecuado para VPN, como enrutadores de VPN, firewalls, concentradores de VPN, etc. Estos dispositivos lo ayudarán a crear y administrar conexiones VPN.

4. Instalación y configuración de la red : debe realizar alguna instalación y configuración de la red, incluida la asignación de direcciones IP, la división en subredes, la configuración de enrutamiento, etc. Esto asegurará que la red VPN funcione correctamente y se conecte correctamente con otras redes.

5. Instalación y configuración del cliente VPN : los usuarios remotos deben instalar el software del cliente VPN y configurarlo de acuerdo con la guía proporcionada por el proveedor. Estas pautas suelen incluir direcciones de servidor, métodos de autenticación y otras configuraciones relacionadas.

6. Seguridad y monitoreo : para mantener su VPN segura, debe tomar medidas como usar contraseñas seguras, actualizar periódicamente el software y el firmware, realizar un monitoreo del tráfico y más. Esto ayudará a prevenir posibles violaciones de seguridad o intrusiones.

5. Anfitrión bastión

El host bastión es un dispositivo de seguridad utilizado para resolver los problemas de seguridad de las operaciones de mantenimiento remoto, también conocido como host trampolín . Es un sistema informático especialmente desarrollado y con seguridad mejorada que generalmente se implementa en el área de la red donde se encuentra el equipo que necesita mantenimiento de forma remota.

El principio de funcionamiento del host bastión es que todas las operaciones de mantenimiento remoto en el equipo deben conectarse primero al host bastión, y luego el host bastión se utiliza como trampolín para las operaciones de mantenimiento y acceso remoto . Hacerlo tiene varias ventajas:

1. Acceso de aislamiento : como enlace intermedio, el host bastión puede aislar efectivamente el acceso directo entre la red externa y los dispositivos internos, lo que reduce el riesgo de que los posibles atacantes se dirijan directamente a los dispositivos internos.

2. Control de acceso : el host bastión tiene un estricto control de acceso y mecanismos de autenticación. Solo los usuarios autorizados y autenticados pueden conectarse al host bastión y acceder a los dispositivos internos. Esto puede prevenir eficazmente el acceso no autorizado y las operaciones ilegales.

3. Auditoría de seguridad : el host bastión puede registrar y monitorear todas las operaciones de mantenimiento remoto, incluido el inicio de sesión del usuario, la ejecución de comandos, etc. Esto es muy importante para posteriores auditorías de seguridad y seguimiento de operaciones ilegales.

4. Reforzamiento de la seguridad : el host bastión suele adoptar una serie de medidas y tecnologías de seguridad para mejorar su seguridad, como firewall, sistema de detección y prevención de intrusiones, transmisión cifrada, etc., para garantizar la seguridad de las operaciones de mantenimiento remoto.

En resumen, el host bastión es un dispositivo de seguridad importante, que se usa ampliamente en la gestión de operaciones y mantenimiento para resolver los problemas de seguridad de las operaciones de mantenimiento remoto. Proporciona un entorno de mantenimiento remoto seguro y confiable a través de medidas como acceso aislado, control de acceso estricto, auditoría de seguridad y refuerzo de seguridad.

6. Plataforma de gestión de la seguridad

La plataforma de gestión de seguridad (SOC), también conocida como centro de operaciones de seguridad, es una plataforma que proporciona gestión de información de seguridad centralizada, unificada y visualizada para organizaciones .

Las funciones principales del SOC incluyen:

1. Recopilación en tiempo real de información de seguridad:

   • registro de tráfico de red
   • registro de eventos
   • Alarma del sistema de detección de intrusos, etc.

2. Análisis de asociaciones de información de seguridad y evaluación de riesgos:

   • Análisis de correlación de la información de seguridad recopilada
   • Identificar amenazas potenciales e incidentes de seguridad.
   • Realizar evaluaciones de riesgo y determinar las prioridades de tratamiento

3. Seguimiento y ubicación de incidentes de seguridad:

   • Incidentes de seguridad de vía rápida
   • Proporcionar alertas oportunas
   • Analice y rastree eventos, ubique fuentes y áreas afectadas

4. Respuesta de emergencia:

   • Tome medidas rápidas para responder a incidentes de seguridad
   • Arreglos de emergencia, aislamiento de sistemas afectados, etc.
   • minimizar la pérdida

Otras características incluyen:

• Gestión de registros unificados:

  • Supervisión y gestión centralizadas de la información de registro generada por los dispositivos y sistemas de seguridad
  • Recopile, almacene, analice y recupere registros
  • Apoyar la trazabilidad e investigación de incidentes de seguridad

• Supervisión centralizada y gestión de configuración unificada:

  • Monitoree y administre los elementos de configuración de varios productos y sistemas de seguridad
  • Estándar de configuración unificado
  • Mejore la eficiencia y la precisión de la gestión de la configuración

• Procesamiento colaborativo:

  • Coordinar el intercambio de información y la respuesta conjunta entre diferentes productos y sistemas de seguridad.
  • Realizar el procesamiento colaborativo de incidentes de seguridad
  • Mejorar la sinergia y el efecto general de la protección de seguridad

• Gestión y control del estado de seguridad unificado:

  • Supervisión y gestión en tiempo real del estado de seguridad del sistema de red
  • Supervisar el estado operativo de los dispositivos de seguridad
  • Garantice la coherencia y la estabilidad de la postura de seguridad de la red

• Análisis de riesgos automatizado:

  • Analizar los datos de seguridad recopilados
  • Identifique y evalúe automáticamente los posibles riesgos de seguridad

• Gestión de procesos de negocio de seguridad:

  • Admite la gestión de procesos de negocio seguros
  • Soporte de datos e intercambio de información

La importancia de una plataforma de gestión de la seguridad 

        Al establecer SOC, las organizaciones pueden realizar una administración y un análisis centralizados de la información de seguridad, responder rápidamente a los incidentes de seguridad, mejorar las capacidades de protección de la seguridad y establecer una plataforma de soporte de administración de seguridad unificada medible para proteger los datos importantes y la seguridad del sistema.

        Como una buena infraestructura técnica, la plataforma de gestión de la seguridad puede proporcionar un fuerte apoyo para la operación y el mantenimiento de la seguridad y la gestión de la seguridad de los sistemas de información.

        En los estándares de protección graduada de mi país publicados en 2019, la construcción de una plataforma de gestión de seguridad está incluida en los requisitos generales para la gestión de seguridad, lo que muestra que cada vez más organizaciones considerarán implementar una plataforma de gestión de seguridad en la planificación de la información. Al establecer una plataforma de administración de seguridad, las organizaciones pueden administrar y monitorear de manera centralizada el estado operativo de los dispositivos y sistemas de seguridad, responder y procesar incidentes de seguridad de manera oportuna y realizar evaluaciones de riesgos y formulación de políticas de seguridad.

        La construcción de la plataforma de gestión de la seguridad también puede mejorar el efecto general de la protección de la seguridad, fortalecer el procesamiento colaborativo de los incidentes de seguridad y compartir información y vincular la respuesta entre diferentes productos y sistemas de seguridad. Además, la plataforma de administración de seguridad también puede ayudar a las organizaciones a comprender completamente el estado de seguridad de la red a través de funciones como la administración unificada de registros, la administración de configuración y el análisis automático de riesgos, y para descubrir y responder a las amenazas de seguridad de manera oportuna.

        Por lo tanto, la incorporación de la plataforma de gestión de la seguridad en la planificación de la informatización puede mejorar el nivel de gestión de la seguridad de la información de la organización y fortalecer la protección de los activos de información clave para hacer frente a las amenazas y riesgos de seguridad en evolución.