某国有大型银行市分行MARS项目

   某大型银行市分行采用了防火墙、虚拟专用网（VPN）、身份验证机制、入侵检测系统（IDS）和其他技术来保障网络安全，但是网络攻击的传播速度可能会大大提高网络的脆弱性。一个蠕虫或者病毒通常只需要借助一台没有正确使用或者更新的计算机，就可以在几分钟之内感染整个企业的网络。即使这种攻击不是破坏或者盗窃数据，它们也可能会产生大量的网络流量，严重影响企业开展业务的能力，从而导致网络中断和收入损失。

   每个厂家、每种类型的网络和安全设备都拥有自己的管理平台和事件数据库，相互之间无法信息共享，更无法综合分析。出现网络安全事故时，我们需要频繁的登录到每个安全设备。登录一种设备，只能查看到网络某一方面的安全信息，无法将各种信息综合起来。而且海量的日志，使得人工分析几乎不可能完成，同时分布式的存放方式造成了安全管理和部署的分散性和复杂性。

基于上述的安全管理问题，该银行MARS安全管理项目彻底改变以往的安全信息管理思路和模式，建立新型的、科学的安全信息管理架构，一方面使网络中的安全设备得以真正有效的发挥其作用，另一方面减轻管理人员的负担，降低管理成本，增强整体网络安全的可管理性，从而更好的实现网络的安全性。

思科安全监控分析和响应系统概览

   思科® 安全监控分析和响应系统(MARS)是一个高性能、可扩展的威胁管理、监控和防御设备系列，将传统安全事件监控与网络智能、上下文关联、因素分析、异常流量检测、热点识别和自动防御功能相结合，可帮助客户更为高效地使用网络和安全设备。通过结合这些功能，思科安全MARS可帮助公司准确识别和消除网络攻击，且保持网络的安全策略符合性。

集中监控

   思科安全MARS通过各种设备记录、报警和NetFlow通信，提供了具体的网络基础设施信息，包括路由器、交换机、防火墙、VPN集中器和终端设备。这使思科安全MARS可处理IP和MAC地址以及最邻近的交换机端口等威胁信息，并提供网络中的攻击路径。

集中事件库

   思科安全MARS可作为一个中央库，存储安全设备，如防火墙、验证服务器、网络入侵检测和防御服务及代理服务器等所生成的所有事件。此外，它也收集网络设备事件和工作站及服务器记录。所有收集的事件实时相互关联。

数据减少

   思科安全MARS可大幅减少所收集到的数百万安全事件，仅向用户报告实际发生的少量网络事故。

及时攻击防御

   该系统具有出色性能和内置丰富经验，可在攻击影响整个网络前发现它们并提出建议的防御措施。

高度可扩展的部署

充分利用已有投资进行防御

先进的报告功能

端到端网络感知

   利用所有类型的网络设备和终端系统的全面配置，思科安全MARS集成了网络地址转换/端口地址转换(NAT/PAT)和MAC地址信息，以图形方式识别攻击者、攻击目标和网络热点，以便快速采取行动。它可显示NAT前和NAT后的地址。

集成漏洞评估

   思科安全MARS可确定网络攻击是真的还是误报，进一步减少了报警数目，缩短了采取行动所需的时间。

更低部署和运营成本

   在引导和连接到网络后，系统可发现和映射拓扑。系统能在极短时间内投入运营。

自动防御

   自动防御功能可识别攻击路径上的阻塞点，使用户能自动运用正确的设备命令来防御攻击。此外，它还能自动发现许多重要属性，如MAC地址、Windows工作站名称、VPN用户名和攻击的第一跳物理交换端口。这些可用于快速、准确地阻止攻击和降低受损程度。

网络智能事件关联

   思科安全MARS可了解路由器、交换机、漏洞分析工具和防火墙的拓扑及设备配置，以及网络流量配置，从而获得网络智能。该系统的集成网络搜索功能可构建一个拓扑图，其中包括设备配置和当前安全策略，使思科安全MARS可对您网络中的分组流建模。因为此设备不在内部运行，且极少使用现有软件代理，它不会影响网络或系统性能。

SureVector分析

   SureVector分析特性支持更为广泛的管理范围、更快的调查和响应速度。利用SureVector分析，管理员可查看并准确跟踪攻击路径，获得事故发生前原始事件的具体细节，并指出异常流量和攻击行为的来源。因此，能实时提供更为全面、准确的分析，从而抵御攻击。

Netflow数据分析

   思科安全MARS以每秒30万数据流的速度，从路由器收集NetFlow数据。NetFlow和防火墙记录可用于分析各工作站的网络利用率。这使管理员可发现并对病毒和蠕虫等异常行为采取措施。

上下文关联

   上下文关联使用网络级智能，将跨NAT边界的安全事件和网络行为分组，并通过向其运用系统和用户定义的关联规则，来识别有效的故障。思科安全MARS配备了一套全面的预定义规则，Protego会经常更新这些规则，它们可识别大量混合攻击、零日攻击和蠕虫。一个图形化规则定义框架可简化用户为任意应用创建定制规则的过程。上下文关联大大减少了原始事件数据、支持响应的优先级划分，可使已部署的措施发挥最大效果。

高性能的可扩展架构

   思科安全MARS可在单一机箱中以每秒高达10,000个的速度捕获事件。当需要多个机箱时，可在中央地点部署Cisco Security MARS Global Controller。Global Controller能汇总各Local Controller的事件。Local Controller负责此架构的大多数工作，因此每部署一个Local Controller，都能获得近乎线性的性能提高。

MarsTools的中文呈现

   MarsTools的中文呈现包括两个方面的内容：web界面方式的汉化与扩展；安全事件信息的汉化。

   界面部分，MarsTools根据本地客户的特点，在保留MARS现有界面风格与主要内容的基础上，开发出更符合本地客户需求和操作习惯的web界面呈现。这样可以有效提高MARS系统的友好程度，使得客户能更容易地接受MARS系统。同时，在web界面呈现上，MarsTools扩展了地域管理和安全资产管理等功能，这些本地客户比较看重的需求功能。