深圳市卫生局通过部署网御神州SecFox-LAS日志审计系统实现了统一日志审计与安全监控，防止外部入侵和内部违规，强化了内部安全管理。

　　近日，深圳市卫生局完成了网御神州SecFox-LAS日志审计系统的部署实施。通过该系统，进行统一的日志审计与安全监控，对外部入侵和内部违规进行实时分析与事后审计，有效加强了市卫生局网络信息系统的整体安全水平。作为国家医疗卫生体制改革的先行者，此次深圳市卫生局部署网御神州的SecFox安全管理产品，凸显了卫生局对信息与网络安全的重视，尤其是对安全审计与管理技术保障能力建设的重视。

　　2009年1月22日，温家宝主持召开国务院常务会议，审议并原则通过《关于深化医药卫生体制改革的意见》和《2009-2011年深化医药卫生体制改革实施方案》。计划到2011年逐步改革公立医院管理体制和运行、监管机制，提高公立医疗机构服务水平，推进公立医院补偿机制改革，加快形成多元化办医格局。医院网络及信息系做为改革医院管理体制、提高服务水平的重要保障，必然会得到极大的发展。尤其是医改中明确提出了要建立电子病历和HIS系统的目标，指明了未来医疗行业信息化发展的方向。而作为保障医疗行业信息系统安全稳定运行的安全审计系统也一定能够发挥更加显著的作用。

　　网御神州SecFox-LAS日志审计系统

　　当今的企业和组织在IT信息安全领域面临比以往更为复杂的局面。这既有来自于企业和组织外部的层出不穷的入侵和攻击，也有来自于企业和组织内部的违规和泄漏。

　　为了不断应对新的安全挑战，企业和组织先后部署了防病毒系统、防火墙、入侵检测系统、漏洞扫描系统、UTM，等等。这些安全系统都仅仅防堵来自某个方面的安全威胁，形成了一个个安全防御孤岛，无法产生协同效应。更为严重地，这些复杂的IT资源及其安全防御设施在运行过程中不断产生大量的安全日志和事件，安全管理人员面对这些数量巨大、彼此割裂的安全信息，操作着各种产品自身的控制台界面和告警窗口，显得束手无策，工作效率极低，难以发现真正的安全隐患。

　　另一方面，企业和组织日益迫切的信息系统审计和内控、以及不断增强的业务持续性需求，也对当前日志审计提出了严峻的挑战。

　　尤其是国家信息系统等级保护制度的出台，明确要求二级以上的信息系统必须对网络、主机和应用进行安全审计。

　　综上所述，企业和组织迫切需要一个全面的、面向企业和组织IT资源（信息系统保护环境）的、集中的安全审计平台及其系统，这个系统能够收集来自企业和组织IT资源中各种设备和应用的安全日志，并进行存储、监控、审计、分析、报警、响应和报告。

　　网御神州借助在安全领域的长期积累，结合中国信息安全领域的特殊性，自主研制出了面向中国客户的安全日志审计平台——SecFox-LAS（Log Audit System），真正满足了客户的安全审计需求。

　　SecFox-LAS日志安全审计系统作为一个统一日志监控与审计平台，能够实时不间断地将企业和组织中来自不同厂商的安全设备、网络设备、主机、操作系统、数据库系统、用户业务系统的日志、警报等信息汇集到审计中心，实现全网综合安全审计。如果客户网络中重要网络和业务系统无法产生日志，SecFox-LAS也能够通过部署硬件探测器的方式主动侦测网络中的协议通讯，并转化为日志，汇集到审计中心。

　　SecFox-LAS能够实时地对采集到的不同类型的信息进行归一化和实时关联分析，通过统一的控制台界面进行实时、可视化的呈现，协助安全管理人员迅速准确地识别安全事故，消除了管理员在多个控制台之间来回切换的烦恼，同时提高工作效率。

　　SecFox-LAS能够实时采集NetFlow数据流，对一段时间内的网络流量或者网络连接数进行统计，并描绘趋势曲线。通过对某个IP地址的流量趋势分析获悉该IP地址的访问流量模型，进而对异常流量和行为进行审计。

　　对于集中存储起来的海量信息，SecFox-LAS可以让审计人员借助历史分析工具对日志进行深度挖掘、调查取证、证据保全。

　　SecFox-LAS能够自动地或者在管理员人工干预的情况下对审计告警进行各种响应，并与包括各种类型的交换机、路由器、防火墙、IDS、主机系统等在内的众多第三方设备和系统进行预定义的策略联动，实现安全审计的管理闭环。

　　SecFox-LAS为客户提供了丰富的报表模板，使得用户能够从各个角度对企业和组织的安全状况进行审计，并自动、定期地产生报表。用户也能够自定义报表。

　　SecFox-LAS日志审计系统与传统日志审计系统的本质区别

　　需要特别指出的是，SecFox-LAS日志审计系统与传统安全日志审计系统具有本质的区别：

　　首先，SecFox-LAS日志审计系统的日志归一化功能能够将异构的日志变成系统可识别的统一的日志，屏蔽了不同厂商以及不同类型的产品之间的日志差异，使得日志关联分析成为可能；而传统的日志审计系统仅针对原始日志的时间、源/目的IP地址等信息进行简单分解，其他主要内容则原封不动，全部存储在数据库中，仅仅提供普通的日志查询功能。更加地，SecFox-LAS日志审计系统在进行日志归一化的同时，还保留了原始日志记录，便于将来进行具有司法证据效力的调查取证分析。

　　其次，SecFox-LAS日志审计系统具有多事件（日志）关联分析能力，是该系统区别于传统安全日志审计系统的最关键特征。正是通过关联分析，将来自不同信息源的日志融合到一起，发掘出日志之间的关系，找到真正的外部入侵和内部违规。SecFox-LAS日志审计系统的核心是SecFox独有的基于安全监测、告警和响应技术（Security Monitor, Alert and Response Technology，简称SMARTTM）的事件关联分析引擎。在关联规则的驱动下，SMARTTM事件关联分析引擎能够进行多种方式的事件关联，包括统计关联、时序关联、单事件关联、多事件关联、递归关联，等等。SMARTTM关联分析引擎完全自主研发，拥有多项专利，并且是在内存中进行的，因而具备极强的实时性和稳定的性能。系统在采集和归一化日志后，一方面将日志存入数据库，另一方面同步地在内存中（In-Memory）进行实时关联分析。实时性确保了日志被及时审计，同时能够快速发现安全隐患。