基础架构配置及变更管理制度.doc

1、.基础架构配置与变更管理制度第一节总则第一条为合理配置系统参数， 实施硬件资源的有序调配， 保证硬件设施与系统软件配置能在最大程度上满足信息系统运行与安全需要，特制定本规定。第二条本规定所指基础架构，请参见 IT 基础架构规中的定义。第三条本规定所涉及配置与变更管理围包括： 硬件设施与平台软件的配置与变更、基础架构布局的配置与变更。第四条规定中所指配置管理单位：省公司信息技术处。第五条本规定中所指配置管理员包括系统管理员、 数据库管理员、 网络管理员、安全管理员等。第二节平台软件的基准配置第六条平台软件的基准配置包括操作系统软件、数据库软件、 网络设备系统软件、安全设备系统软件的基准配置等。维

2、护单位应为平台软件建立合适的配置基准。 配置基准应确保系统安全与整体安全要求的一致性。第七条经授权的配置管理员应根据系统安装手册与配置基准对初装系统或设备进行基准配置， 详细记录安装过程与设置， 确保配置的正确性。配置管理员应建立该配置对象的配置清单并在配置清单中z.清楚体现基准配置。第八条完成基准配置的系统或设备需进行运行测试和安全性检查。运行测试与安全检查通过后， 配置管理员需在配置记录上写明运行测试与安全检查结果， 由配置监管人签字确认。 只有在测试与安全检查没有问题的情况下该系统或设备才能在生产环境下运行。第三节平台软件的配置变更第九条平台软件的配置变更包括但不限于：操作系统软件、数据

3、库软件、网络设备系统软件、安全设备系统软件、系统安全策略的配置变更；供应商发布的补丁、升级包的使用等。第十条配置管理员负责对平台软件进行配置管理和维护， 配置监管人负责平台软件配置正确性的确认。 可通过操作系统层面对系统配置文件的访问权限的设置、 明确的职责分工来确保配置和变更只能由被授权的人进行操作。第十一条配置变更应有统一的配置变更申请、审批流程。配置变更申请、审批表中应写明该配置变更所属设备的名称、配置的类别（操作系统、数据库、路由策略、安全策略、补丁包/ 升级包的使用等）和配置变更的原因及容。 若配置变更源于第三服务商的建议则应同时提交第三服务商建议文档。第十二条配置管理员应根据变更申

4、请制定配置变更计划，变更计划中应详细说明该配置变更可能对系统本身以及其他系统产生的影响、配置变更发生的时间、地点等。z.第十三条配置单位管理层应根据配置变更计划及该配置变更所能产生的影响进行分析评估，对包括获取的补丁/ 升级包的安全性、准确性及真实性的核查， 确定配置变更的原因是否充分，决定是否需要进行配置变更测试、 是否同意该变更。为确保生产系统的安全性，补丁/ 升级包在安装之前必需经过测试。配置单位管理层应在配置变更申请、审批表中记录审批结果并签字。第十四条经授权的配置管理员应根据审批后的配置变更计划进行配置变更，若需进行配置变更测试时， 应首先完成测试并出具测试报告。配置管理员在完成配置

5、变更后应及时填写配置变更记录表，该表要求变更申请人对配置变更结果进行确认并签字。同时配置管理员应更新配置清单。第十五条配置管理员还应将配置变更申请、审批表 、配置清单、测试报告做为配置变更记录表的附件提交给配置监管人，由其进行配置变更的确认，并在配置变更记录表的“监管人”一栏中签字。第四节硬件设施的配置变更第十六条硬件设施的基准配置参见总公司下发的IT 基础架构规。第十七条硬件设施配置变更包括但不限于：主机处理器、主机存、主机硬盘、主机 HBA 卡、网卡、光驱、磁带机、网络设备接口模块、备份电源等硬件设施配置变更。第十八条硬件设施使用在硬件资源使用过程中时发生硬件资源不足或坏损z.时可申请硬件

6、设施配置的变更， 并填写配置变更申请、审批表 。第十九条配置管理员负责对硬件设施进行配置管理和维护，配置监管人负责确认硬件设施配置的正确性。第二十条配置变更应有统一的配置变更申请、审批流程。配置变更申请、审批表中应写明该配置变更所属设备的名称、 配置的类别（CPU 、存、硬盘、备份电源、 HBA 卡、网卡、光驱、磁带机、网络设备接口模块）和配置变更的原因及容。第二十一条配置管理员应根据变更申请制定配置变更计划，变更计划中应详细说明该配置变更可能对系统本身以及其他系统产生的影响、配置变更发生的时间、地点等。第二十二条配置单位管理层应根据配置变更计划及该配置变更所能产生的影响进行分析评估， 确定配

7、置变更的原因是否充分， 决定是否需要进行配置变更测试、 是否同意该变更。配置单位管理层应在配置变更申请、审批表中记录审批结果并签字。第二十三条经授权的配置管理员应根据审批后的配置变更计划进行配置变更，若需进行配置变更测试时， 应首先完成测试并出具测试报告。 配置管理员在完成配置变更后应及时填写配置变更记录表，该表要求变更申请人对配置变更结果进行确认并签字。同时配置管理员应更新硬件设备维护档案中的硬件设备基本配置(见硬件设备维护规定 )。第二十四条配置管理员还应将配置变更申请、审批表、硬件设备维护档案、测试报告作为配置变更记录表的附件提交给配置监管人，z.由其进行配置变更的确认，并在配置变更记录

8、表的“监管人”一栏中签字。第五节基础架构布局的变更第二十五条基础架构布局的变更包括但不限于：设备增减、设备迁移、线路调整、拓扑变化、定期停机检修等。第二十六条维护单位应为基础架构布局建立相关文档，如机房布线图、 网络拓扑图、设备分布图、机架分布图、跳线表、地址表等。当基础架构布局发生变更时此类基础架构布局文档应得到及时的更新。第二十七条基础架构布局变更时， 变更提出应填写布局变更申请、审批表 ，申请表中应具体描述变更的原因、容、时间、涉及到的部门等相关容，经需求管理层审批后提交配置管理单位。第二十八条经授权的配置管理员应根据审批后的布局变更计划进行布局变更并填写布局变更记录表 ，该表要求变更申

9、请人对布局变更结果进行确认。配置管理员应同时更新相关的基础架构布局文档。第二十九条配置管理员还应将 布局变更申请、 审批表、基础架构布局文档一并作为布局变更记录表的附件提交给配置监管人，由其进行布局变更的确认，并在布局变更记录表的“监管人”一栏中签字。第六节变更事件的处理第三十条根据变更事件可能造成的影响，其围可以分为处室围、部门围、省z.公司本部围、 省公司本部及下级地市公司围四类。配置管理单位应将可能产生的变更行为依据上述四种影响围进行归类划分，并每半年对分类规则进行评估更新。第三十一条根据上述分类规则， 维护单位应详细制定变更事件的通知细则，其容应包括各种影响围的最迟提前申请时间、最迟提

10、前通知时间、 变更审批领导等，并根据变更事件影响围的更新而重新评估通知细则。第三十二条经过审批的配置变更或布局变更， 配置管理维护单位管理层应根据影响围及通知细则提前发布变更通知，以便受影响管理能够及时与可能影响到的有关各联系确认，并提前通知有关各预先做好准备。第三十三条为减少配置变更与布局变更对正常业务和工作的影响，变更实施应尽量安排在业务、工作的空闲时段进行。第七节定期审阅第三十四条技术的进步或系统、 设备的升级可能引起配置基准的改变。信息技术处应根据设备或系统的升级情况决定是否更新配置基准。维护单位应定期对各类配置对象的配置基准进行评估(每年一次 ) ，形成配置基准评估表并提交管理层审阅

11、。第三十五条若需发生配置基准的变更行为则应按照配置变更申请、审批流程执行。配置管理员在填写配置变更申请时，应详细说明该配置变更属配置基准的变更。配置基准的变更必需经过测试成功后可实施。第三十六条为了防止配置管理人员有意或无意的对软、硬件的配置、基础架构z.布局的非法更改， 应建立对配置清单、基础架构布局文档、配置变更记录、布局变更记录的年审机制， 该年审工作应由配置监管人员执行。配置监管人应根据相关文档对真实情况进行检查，确保实际情况与相关文档的记录一致。第三十七条配置监管人员进行年审工作后应填写基础架构变更年审表，该年审表应说明相关文档与实际情况是否相符。若实际情况与相关文档不一致则应说明发

12、生的原因与处理结果。第八节文档保存第三十八条在基础架构配置与变更管理过程中产生的所有文档，包括配置基准、配置清单、基础架构布局相关文档 、配置变更申请、审批表、布局变更申请、审批表、配置变更记录表、布局变更记录表、基础架构变更年审表 、配置基准评估表等均应该由配置管理单位指定专人进行统一管理，保留工作痕迹。第九节附则第三十九条本制度由省公司信息技术处负责解释和修订。第四十条本制度自发布之日起开始执行。z.附件一配置变更申请、审批流程配置变更申请、审批流程申请人需求方管理层配置管理员变更方管理层开始否否填写配置变需求方管理层配置变更方管更申请、审批是制定变更计划审批？理层审批？表否是配置变更申结

13、束请、审批表z.附件二配置变更管理流程变更管理流程变更管理员需求申请人.监管人开始测试报告变更记录表是否是初始配置管理层是否要求做测试？是在测试环境中对配置变更计划进行测试是否通过测试？是根据计划在生产环境中实施变更变更记录表根据配置基是准实施初始否配置否是否通过运行测试与安全检查？需求方申请是人签字确认否否修改配置否变更计划否与配置基准一致吗？是是否有申请人签字？是结束在变更记录中签字确认是配置相关文档是否一致？是需求方申请人签字确认变更计划是否经过审批？否配置变更申请、审批流程z.附件三配置变更申请、审批表姓名部门处室设备名称设备编号有效期至变更需求栏*申请填写*变更类型平台软件数据库操作

14、系统路由策略安全策略补丁 / 升级其它CPU存硬盘备份电源HBA 卡网卡光驱硬件设施磁带机网络设备接口模块其它变更原因：变更容：申请单位审批人：结论：审批时间：变更分析栏*变更填写*配置计划：管理员：时间：影响围：管理员：时间：z.变更实施时间：通知发布时间：通知发布对象：配置单位审批人：结论：审批时间：附件四布局变更申请、审批表姓名部门处室截止日期变更需求栏*申请填写*变更类别：设备增减设备迁移线路调整拓扑变化停电检修其它变更原因：变更容：申请单位审批人：结论：时间：变更分析栏*变更填写*布局变更计划：管理员：时间：z.影响围：管理员：时间：变更实施时间：通知发布时间：通知发布对象：变更单位

15、审批人：结论：时间：z.附件五配置变更记录表编号：设备编号：变更时间：管理员：变更类型数据库操作系统路由策略安全策略补丁 /升级硬件资源其它变更结论结论：申请人：时间：配置变更审阅变更审批审批表的（或附件）测试情况若存在测试，提供测试报告的（或附件），否则无。变更后文档配置清单或设备维护档案的（或附件）审核结论：监管人：审核时间：附件六布局变更记录表编号：结构文档号：变更时间：管理员：变更类型设备增减设备迁移线路调整拓扑变化停电检修其它变更结论结论：申请人：时间：配置变更审阅变更审批审批表的（或附件）测试情况若存在测试，提供测试报告的（或附件），否则无。变更后文档布局文档的（或附件）审核结论：

16、监管人：审核时间：z.附件七基础架构变更年审表变更对象变更类型审阅结论审阅时间监管人z.附件八配置基准一、路由器配置基准：1、关闭不必要的服务fingerbootptcp-small-serversudp-small-serversno ip proxy-arpno ip http server2、远程访问的安全使用 SSH 式提供远程访问。在vty 线路上不提供 telnet协议的传输，路由器允终端闲置的时间设置为5 分钟。3、口令加密使用 service password-encryption启用口令加密。使用 enable secret设置特权模式的访问口令。4、snmp 的安全删除 p

17、ublic访问串。用访问控制列表限制使用snmp 的围。5、端口的安全在不可靠接口上输入no ip unreachables停止发送 icmp 不可达信息，避z.免路由器被 DOS 攻击。在不可靠接口上应关闭CDP 协议，关闭反向路由设置。6、访问控制列表使用访问控制列表技术进行访问控制，只允指定的IP 地址围访问。7、日志设置外部的 syslog 日志服务器。在网络设备上将日志发往该服务器，日志级别不低于notification。8、AAA设置外在的 AAA 服务器。通过该服务提供以下功能：认证 authentication，即确定访问者的身份。 路由器的控制台登录和远程登录都要使用AAA

18、提供的认证服务。在 AAA 服务器上为系统管理员和系统操作员分别设置用户账号。授权 authorization，对不同的访问者授予不同的访问权限。系统管理员账号可以执行修改设备配置的命令，而系统操作员只能执行查看设备状态的命令。记帐 accounting，记录访问者对网络设备进行的操作。9、路由协议网络设备上配置动态路由协议时要使用该路由协议所支持的最高级报文认证。见下表：路由协议认证式RIPMD5OSPFMD5EIGRPMD5z.IS-ISMD5BGPMD5二、防火墙配置基准：1、防火墙的缺省包过滤规则为允，在调试过程完成，测试结束后，一定要将防火墙的默认允，改为禁止。2、若防火墙的默认规则

19、为全通的规则，请删除默认的安全规则， 然后按照网络实际环境配置相应的安全规则，并且尽量不要设置地址和服务有ANY的规则，3、为了有效保护网与防火墙自身的抗攻击能力，可以打开防火墙的抗攻击功能，（建议在网络流量大的情况下不会开此功能，会影响网络的处理速度）4、为了有效的保护部的网络地址，并解决网络地址不足的问题，请尽量使用防火墙的功能，把网的ip 地址转换成防火墙的公网地址后再访问外部网络。5、为了保证防火墙本身的主机安全， 不要随意开启防火墙的远程管理功能，建议使用WEB+HTTPS+ 密钥等有效的管理法。6、为了分析防火墙的数据包记录日志，应将防火墙的包过滤日志信息记录下来，用于对事件分析。

20、三、数据库配置基准：1、对于特权用户组的管理：由于特权用户组的账户，如GID=0,可以进入超级用户所建立的用户组可z.写文件。未经可的用户持有GID=0，会增加敏感系统配置文件被更改或删除的风险。在 Informix数据库的管理中， Informix用户组里的用户能够对数据库服务器空间进行管理，因此我们建议对Informix用户组的授权进行限制，只有被合理授权过的用户才能属于此用户组；2、对于 dba 权限的限制由于 informix数据库没有专门的用户账号管理的容，所以是通过数据库授权赋予操作系统账号对数据库的存取权限的法来对Informix数据库进行访问，存在三个存取级别，dba ，res

21、ource ，connect 。拥有 dba 权限的用户能够对数据库进行操作，因此不能合理赋予数据库用户的权限必将带来较大的风险。因此我们建议对数据库用户的权限进行限制，只有被合理授权过的用户才能拥有dba 权限。系统中没有创建通用的用户/ 功能 ID 。同一个用户不能同时登陆多次。供应商使用的用户ID 已被删除或禁用。3、对于 Informix的重要文件的保护Informix的重要文件包括系统文件、安装文件以及数据库文件等，此类文件的未经可访问会对数据真实性、有效性以及保密性带来风险。因此我们建议限制应用程序文件的访问，只有informix用户组的用户才应该有读、写、执行权限，其他用户有只读

22、权限；4、明确的职责分工建议将 Informix中操作与审计责任进行职责划分，即由不同的用户担任，实施明确的职责分工，例如制定用户组将DBSSO (databasesecurityofficer)和 DBAO(databaseauditofficer) 进行执行职责划分； （如：$INFORMAIXDIR/dbssodir/seccfg文件中 ixuser=*表示没有制定用户z.组）安全管理员应该安排各种不同的角色对数据库进行管理。应该为不同类别的管理员分派不同的角色。可以通过以下命令分派角色：create rolerolename ;通过以下命令为对象进行特权授权：grant privile

23、ge name on tablename to rolename;通过以下命令为账号分配角色：grantrolename to username;安全管理员应该为“Process”账号分配角色。每一种“Process”账号应该分配特定的角色。可以通过以下命令创建角色：create rolerolename ;可以通过以下命令为系统和对象建立特权：grant privilege name on tablename to rolename;可以通过以下命令为账号分配角色：grant rolename to username;安全管理员应该为用户分配角色。每一种不同类别的用户应该分配不同的角色。可以

24、通过以下命令分配角色：CREATE ROLE rolename;通过以下命令为系统和对象分配特权：GRANT privilegename ON tablename TO rolename;可以通过以下命令为用户分配角色：GRANT rolename TO username;z.5、权限访问控制建议妥善赋予数据库对象的访问权限，不然会带来较大的风险，因此需要确认客户已经限制了数据库对象的访问权限，即将systabauth系统表中的 tabauth列设为小写字母，表示不具备数据库对象的访问权限；建议将系统表 sysprocauth中的 procauth列设置为小写字母“即e限”，制被授权人持有对存

25、储过程和触发器的执行权，以借此来授予他人该权限；建议为数据库的应用程序文件进行合理的用户权限设置，确认只有组用户才拥有对数据库的应用程序文件进行读和运行的权限。6、系统安全设置在 Informix 中没有关于如下面的固有控制，因此必须在操作系统层面对以下面进行控制：a. 最小密码长度；b. 保证用户使用非空的密码，且密码具备一定的复杂程度；c. 强迫用户在特定时间后更改密码；d. 如果连续几次失败登陆后， 自动将账号锁死。 关于失败登陆的记录应该在操作系统层面被记录，并有系统管理员定期进行审阅这些记录，查看是否存在异常；e. 安全管理员应该与系统管理员和数据库管理员一起决定， 在对系统进行管理

26、过程中应该使用哪些服务/ 设施 (例如 isql,) ，不需要的服务/ 设施应该及时删除。且应该对这些需要的服务 / 设施进行安全面的考虑，确认只有授权的人员可以使用这些服务 / 设施。安全管理员应该定期审阅谁曾经访问过功能比较大的服务 / 设施，确定是否该访问z.是必需的。一般的，如下文件不应该是所有用户都可执行的：? onstat - 显示共享的存储和服务空间的统计数据；? oncheck 检查并修订磁盘空间；? onmode 变更一个 IDS 服务空间的操作模式；? onlog 逻辑日志调试工具；? oninit 初始化并启动数据库空间；?onspaces 配置数据库space 和 ch

27、unk ；? onparms 设置日志。7、安全监控面系统管理员应该建立警报策略，以确保在出现以下事件时能够及时通知操作人员或数据库管理员：? 创建表失败（ Table failure ）；?创建索引失败（ Index failure）；?二进制大对象失败（Blob failure ）；?Chunk 离线， mirror处于激活状态： %ld (Chunk is off-line, mirror isactive: %ld (chunk number)；?数据库空间离线（ DBSpace is off-line）；?部子系统失败（ Internal Subsystem failure）；?数据

28、库服务空间初始化失败（ Database server initialization failure）；?物理修复失败（ Physical Restore failed）；?物理恢复失败（ Physical Recovery failed）；z.?物理恢复失败（ Logical Recovery failed）；?不能打开 Chunk （ Cannot open Chunk: %s (pathname)）；?不能打开数据库空间（Cannot open Dbspace: %s (dbspace name) ；）?性能提升（ Performance Improvement possible）；?

29、数据库失败（ Database failure. ）；?可用很高的数据复制失败（ High-availability data-replication failure.）；?档案文件异常（ Archive aborted）；?日志备份异常（ Log Backup aborted）；?逻辑日志满了需要备份（ Logical Logs are full - Backup is needed）；?数据库服务空间资源溢出（ Database server resource overflow）；?长期交易检查（ Long Transaction detected）；?逻辑日志完成（ Logical Lo

30、g Complete）；?不能分配存储空间（ Unable to Allocate Memory）。b.启动事件日志 （例如对于关键数据库表的访问的审计痕迹）。每天对事件日志进行审阅。c.数据库管理员应该定期监控数据库。（可以通过使用onstat ，或者oncheck、onlog等命令）? 检查消息日志： 一些至关重要的信息可能来自消息日志，如防火墙的安装，逻辑日志的备份，或者服务器崩溃。? 检察系统状况 ( 存，硬盘和输入输出利用率 ): 系统状况体现了系统活动状态，例如显示资源缺乏或一般的性能统计。通过检查系统状况，可以帮助确定引起系统问题的性能因素。? 检查输入输出队列活动： 如果系统中

31、产生了输入输出队列，就会有传输的瓶颈。当数据从物理磁盘之间传输过程中不能达到预期的传输速度就会产生传输队列。可以通过使用onstat -g ioq命令为每一个虚拟处理器（VP ）监控这些队z.列。该命令的输出结果显示了每一个能够进行异步传输的VP 的传输请求队列的统计结果。该结果中有两个重要的列：len 和 maxlen 。 Len 是指当前队列的长度， maxlen是指在服务器开启后或上一次onstatz 操作后的最大队列长度。如果 maxlen是两位数，传输请求就需要排队，这样就会引起性能的降低。? 检查 CPU 队列活动： 如果用户线程需要排队通过CPU 的虚拟处理器处理，就会出现 CP

32、U 的瓶颈。当准备运行一个线程时，所有的CUP 虚拟处理器都在执行其他的线程， 就会产生 CPU 队列 ,。这种队列可以通过以下命令来监控onstat -grea 。该命令的运行结果显示所有准备启动的，但是需要排队等候执行的用户的线程。四、操作系统配置基准：UNIX 系统：1 、系统闲置时间设置: 建议针对 IBM AIX 、 HPUX 小型机操作系统的和服务器 SCO UNIX系统中设定统一的系统进程最大闲置时间，并对最大闲置时间的大小做出规定： TIMEOUT / TMOUT100 ，用户 GID100 ，小于 100 的保留给系统使用；? 通用账号应被禁用；? 不使用的默认系统账号应禁用

33、；? 无需授权的账号不允被使用；? 已离职的员工账号及时删除或禁用；? 第三服务商技术支持账号应禁用，仅在需要时临时开启；?控制 shadow password文件的访问权限；? 新账号应有唯一的初始密码，第一次使用新账号时应立即修改该密码，密码以安全式发布；? 密码应不易猜测，具有一定复杂度z.? 密码组成：a.4 = maxage= 1c.Minalpha= 1d.Minother= 1e.mindiff= 1f.maxrepeats = 23 、超级用户账号管理：?只有 root UID =0；? root 的路径不能包括当前的工作目录；? 应该限制 root 用户的远程登录；? 组的特

34、权用户（ GID=0 ）应被适当查看；? 只允前台 （ console ）进行 root 登录， root 用户的登录应包含以下命令行：telnet = false； rlogin = false。4 、Unix操作系统配置管理：?对于 Umask的控制，建议设置为027 ；? 限制 SUID 和 SGID 程序的使用；?所有的 shell 都必须在 /etc/shells文件中列出；?建议操作系统为所有world-writeable的目录都设置粘贴位(“ T” ) ；?建议只有root用户才有权使用at 或 batch命令；? crontab 命令的权限只授权给必须使用该命令的用户；?在 /

35、etc/ftpusers文件中加入允使用ftp 得用户列表；? 不要通过 hosts.equiv 文件来建立信任；? 建立定期对重要文件权限进行检查的机制；z.? 建议检查所有的网络服务配置，所有不必要的网络服务配置从/etc/inetd.conf文件中删除；? 除非必须，否则建议移除所有以r 开头的命令和以 .rhosts 结尾的文件；?只在需要的情况下开启telnet daemon；? 禁止后台程序 finger 的使用；? 检查本机是否真的需要 ftp 服务，如果不需要，应禁止使用这个服务? 禁止后台程序 tftp 、rexec 的使用；? 禁止 UUCP 协议的使用；?系统中同磁盘、存储、磁带和网络文件要设置为644 ；?下列文件的权限位将为555(r-x r-x r-x:)，以保护下列系统程序：- /usr/sbin/mount- /usr/sbin/acct/acctcom- /usr/sbin/login? 下列文件的访问级别存在适