前两期我们详细介绍了等保项目必备产品--DCSSA日志审计系统的基础功能和使用场景，并向大家详细介绍日志审计两大试金石：日志解析及关联分析。除此之外，神州数码DCN安全产品与DCSSA深度融合，实现多功能联动，为客户开启一站式实名审计及大日志留存分析方案，解决用户实际应用中的多种问题。

日志审计的范围包括网络中常见的安全设备、网络设备、数据库、服务器、应用系统、主机等设备所产生的日志信息，这些信息包括运行、告警、操作、消息、状态等。

在完成日志信息采集的基础上，神州数码DCSSA日志审计系统与网络中出口防火墙、行为审计等安全设备，以及负责身份识别的认证计费系统实现深度耦合，帮用户解决DHCP场景实名统计溯源、NAT转换实名、恶意行为追责、实名统计上网流量等众多问题。

方案背景

从2017年《中华人民共和国网络安全法》 到2018年《公安机关互联网安全监督检查规定》规定再到2021《教育部办公厅工业和信息化部办公厅关于提高高等学校网络管理和服务质量的通知》。政策法规对网络安全的要求逐年加强。信息系统等级保护中，在“安全区域边界”、“安全管理中心”、“安全运维管理”方面，日志管理成为安全审计与安全运维管理的基础。

用户现状

目前，客户的网络日志审计存在以下痛点：

日志量大：一般普通类高校出口设备日志都能达到20000EPS，常规日志审计设备无法满足采集分析的要求。

存储压力大：一般高校180天存储要求60T以上，常规日志审计设备单机存储达不到要求。

NAT实名审计：校园出口设备做了NAT转换，出现问题要溯源时无法找到真实的责任人，需要对大出口NAT等做转换日志找到真实地址，并和实名认证设备联动认证。

安全运维运营效率：海量日志信息中运维运营压力大，需要智能分析能力、情报分析能力发现海量日志潜在威胁，发挥日志分析的威胁预警能力。

网络日志的范围不仅仅是只有网络设备产生的日志，还包括网络产品和服务在运行过程中产生的各类日志，也就是所涉及网络运行的系统的全量日志。尤其在高校中，门户网站、数据库、中间件、操作系统等都是需要去做日志留存和管理的，这些数据量是庞大和复杂的。

解决方案

方案中通过神州数码DCSSA日志审计系统与安全防火墙、认证计费系统、行为审计等产品深度融合，实现DHCP动态地址场景下实名溯源，把用户地址、用户账号、用户行为、用户安全多元结合，当威胁事件出现时，可以让管理者快速定位，快速解决问题。

在高校等大日志场景，DCSSA日志审计系统支持单机集群部署；通过负载均衡解决大日志问题，负载均衡组件分发给各日志集群节点、支持日志集群节点working状态保活探测；当某个日志集群节点出现故障时，负载均衡组件能够自动调整日志分发策略。

集群内置负载接收到各设备的日志数据后，负载的保活keep alive策略会将数据分发至集群内DCSSA设备，当集群内某一DCSSA设备出现故障或其他原因无法处理数据，负载均衡轮询策略会将日志数据分发至集群内其余DCSSA，且各DCSSA接收数据差异不大。采用“日志产品集群部署+采集负载均衡HA”部署方案可应对出口日志量高达10W EPS级别的高可用场景。

提升运营效率

通过对海量数据的识别、清洗和建模，从中快速、准确的筛选出噪音数据并发现潜在安全风险。

能满足近千种第三方设备日志兼容分析，积累了丰富的安全模拟场景，能及时发现威胁问题，并进行告警和止损，而非仅仅满足于事后溯源。

日志生命周期管理

从日志统一采集、范式化处理、过滤归并、信息补全、统计分析、威胁分析、查询展现、集中存储对整个日志全生命周期进行管理。

方案优势

典型案例

产品对学校/教育局的出口防火墙、上网行为设备进行相关日志审计，如NAT日志、URL日志、网页搜索、邮件日志等；通过DCN大日志留存方案和认证设备的实名联动，全面准确的实现出口日志留存和实名审计的要求。

在某211高校的项目中，客户每天产生海量的日志信息，需要能够将这些海量信息留存超过6个月，通过这些信息，要能够定位判断网络中存在的安全隐患，对问题能够做到实名定位等需求。

通过神州数码云科网络的整体方案设计，学校出口旁挂多台DCSSA日志审计集群部署，满足设备日志留存审计要求，上线两个星期，日志量达到80多亿条；通过与防火墙、认证计费、行为审计等产品的联动，实现行为、用户信息、设备日志等多维度打通，全面准确的实现出口日志留存和实名审计的要求。同时，在该方案中，通过实名分析、关联分析和情报碰撞，发现有未认证账号违规行为、机器人行为、挖矿行为等，帮用户发现、解决了大量的潜在威胁。