信息安全咨询评估方案建议书

1、XX集团信息安全咨询评估服务方案建议书目录一?需求分析？错误! !未定义书签。1 1、1 1背景分析？错误! !未定义书签。1 1、2 2项目目标？错误! !未定义书签。1 1、3 3需求内容分析.错误! !未定义书签1 1、3、1 1技术风险评估需求分析？错误! !未定义书签。1 1、3、2 2管理风险评估需求分析？错误! !未定义书签。1、4 4时间进度需求？错误! !未定义书签。1 1、5考核要求？错误! !未定义书签。1 1、6 6服务支撑需求？错误! !未定义书签。 ?项目实施方案？错误! !未定义书签。2、 1 1技术安全风险评估 .错误! !未定义书签2、1 1、1 1资产评估？

2、错误! !未定义书签。2 2、1、2 2操作系统平台安全评估.错误! !未定义书签2 2、1、3 3网络安全评估？错误! !未定义书签。2 2、1 1、4渗透测试.错误! !未定义书签2 2、2 2管理风险评估.错误! !未定义书签2、2 2、1 1安全管理制度审计.错误! !未定义书签2 2、2 2、2 2业务流程管控安全评估 .错误! !未定义书签2、3 3评估工具. .错误! !未定义书签2 2、4 4形成报告？错误! !未定义书签。需求分析1.1背景分析XXXX得信息化建设正在朝着集中化与云化得方向发展，通过云计算技术得应用把原来分散于各医院与分支机构得业务系统进行整合，实现基于云平台

3、得业务 系统与数据集中部署，从而解决了长期存在得大量信息孤岛问题，降低珍贵医疗 数据与商业数据得流失风险，也为未来得集团医疗大数据分析与精准医疗服务打 下扎实得基础。从原来分散式得信息孤岛到现在得云化集中部署 ，xxxx得信息化环境正在发 生根本性得变化，带来节约人力成本、提高工作效率、减少管理漏洞、提高数据 准确性等诸多得好处。当前，国内外数据安全事件层出不穷 ，网络信息安全环境 日趋复杂, ,信息化环境得变化也同时带来了新得信息安全风险，总体来说包括以 下几个方面：一、实现系统与数据得集中化部署后，等于把原来分散得信息安全风险 也进行了集中，一旦发生信息安全事故，其影响将就是全局性得。比

4、如在原有得信息化环境下发生敏感数据泄漏， 其泄漏范围只限于个别 得医院或分支机构而现在一旦发生数据泄漏，泄漏范围会就是全集 团所有医院与分支机构，直接与间接得损失不可同日而语。二、云计算就是一种颠覆传统I I T架构得前沿技术，它可以增强协作，提 高敏捷性、可扩展性以及可用性。还可以通过优化资源分配、 提高计 算效率来降低成本。这也意味着基于传统I T T架构得信息安全技术与 产品往往不能再为云端系统与数据提供足够得防护能力 三、系统与数据得集中部署、云计算技术应用都要求建立可靠得信息安 全管理机制，改变原有得离散管理模型，从管理规范与工作流程上实 现与现有集中模式得对接，降低因管理不当导致得

5、信息安全风险。1 1、资产评估1.2项目目标对xxxx当前得信息化环境从管理与技术上进行充分得信息安全风险评估，并 依据风险评估结果制订相应得风险管控方案。具体建设内容包括：1、 豉术风险评估：1 1） 对现有得信息系统、机房及基础网络资产与网络拓扑、数据资产、特权账号资产等进行安全风险评估；2 2） 对核心业务系统进行 WEBWEB安全、数据安全、业务逻辑安全风险评估；3 3）对正在建设得云计算基础平台架构及承载得操作系统进行安全风险评估；4 4） 渗透模拟黑客可能使用得攻击技术与漏洞发现技术， 对业务系统进行授权 渗透测试，对目标系统进行深入得探测，以发现系统最脆弱得环节、可能被利用 得入

6、侵点以及现网存在得安全隐患。2 2、管理风险评估1 1） 采用调查访谈并结合实地考察得形式，对数据中心与核心系统得安全管理 制度进行疏理与安全风险评估；2 2） 对业务管控制度与流程进行安全风险评估，采用阅读流程资料与相关人员 访谈得形式了解业务与系统内控制度与实现得业务流程，试用流程中涉及得软件,察瞧各个业务控制点就是否都得到有效得实施， 各个接口得处理就是否妥当， 监督检查办法就是否健全；3 3、 信息安全风险管控方案其于上述风险评估结果，针对具体得安全漏洞与风险设计管控方案，包括但 不限于安全漏洞加固方案、信息安全管理规范优化提升方案、信息安全防护技术 解决方案等。1.3需求内容分析1.

7、3.1技术风险评估需求分析本项目对技术风险评估得内容要求主要就是：资产评估对象不仅包括设备设施等物理资产，同时也包括敏感数据、特权账 号等信息资产，其评估步骤如下：第一步: :通过资产识别，对重要资产做潜在价值分析，了解其资产利用、维 护与管理现状，并提交资产清单；第二步：通过对资产得安全属性分析与风险评估， 明确各类资产具备得保护 价值与需要得保护层次，从而使企业能够更合理得利用现有资产，更有效地进行 资产管理，更有针对性得进行资产保护，最具策略性得进行新得资产投入。2 2、操作系统平台安全评估针对资产清单中重要与核心得操作系统平台进行安全评估，完整、全面地发现系统主机得漏洞与安全隐患。3

8、3、网络拓扑、网络设备安全评估针对资产清单中边界网络设备与部分核心网络设备，结合网络拓扑架构，分析存在得网络安全隐患。4 4、应用系统安全评估（渗透测试）：通过模拟黑客可能使用得攻击技术与漏洞发现技术，对X XX集团授权渗透测 试得目标系统进行深入得探测，以发现系统最脆弱得环节、可能被利用得入侵点 以及现网存在得安全隐患，并指导进行安全加固。1.3.21.3.2管理风险评估需求分析1、安全管理制度审计：通过调研重要与核心资产管理、关键业务及数据、相关系统得基本信息、现 有得安全措施等情况，并了解目前XXXX集团所实施得安全管理流程、制度与策略， 分析目前XXXX集团在安全管理上存在得不合理制度

9、或漏洞。2 2、 业务管控安全评估：通过调研业务系统内控制度与实现得业务流程，试用流程中涉及得软件，察瞧各个业务控制点就是否都得到有效得实施，各个接口得处理就是否妥当，监督检查办法就是否健全，从而改进内控制度与业务流程得合理性与数据流得安全 性。1.4时间进度需求项目得时间需按照整体时间要求完成全部工作，并且需提交阶段性工作成果。1.5考核要求XXXX集团将对项目得交付成果与执行过程中得质量进行考核，考核结果将作为最终结算得依据。考核办法将由 X XX集团与项目服务提供方共同协商制定1.6服务支撑需求本项目得服务供应方需与 XXXX集团项目组成员组成项目团队，并且共同完成 该项目所有工作。项目

10、团队采取紧密沟通得方式，分为每周例会定期沟通与重大问题共同讨论 得沟通方式。该项目得办公时间为5 5天* 8 8小时/ /周；值班电话须7 7天* * 2 4小时/ /周保持通 话畅通。交付成果需求本项目在开展过程中需进行日报、周报、月报等相关工作计划与总结得提交， 并根据实际工作内容及时提交相应工作成果及报告 二项目实施方案2.1技术安全风险评估2.1.1资产评估保护资产免受安全威胁就是安全工程实施得根本目标。要做好这项工作，首先需要详细了解资产分类与管理得详细情况。项目名称资产识别简要描述米集资产信息，进行资产分类，划分资产重要级别；达成目标米集资产信息，进行资产分类，划分资产重要级别；

11、进一步明确评估得范围与重点；主要内容米集资产信息，获取资产清单；进行资产分类划分；确定资产得重要级别；实现方式填表式调查资产调查表，包含计算机设备、通讯设备、存储及保障设备、？ 信息、软件等。交流? ? 审阅已有得针对资产得安全管理规章、制度；? ? 与高级主管、业务人员、网络管理员（系统管理员）等进 行交流。工作条件1-1-2人工作环境，2 2台Winin200200 0 PC,PC,电源与网络环境，客户人员与 资料配合工作结果资产类别、资产重要级别；参加人员依据现场状况，由X XX集团提供现有资产清单，并由全体评估人员 在XXXX相关技术与管理人员得配合下进行资产分类调查 . .项目名称风

12、险评估简要描述:评估资产得安全等级与应给予得安全保护等级达成目标评估资产得安全等级；评估资产应给予得安全保护等级；主要内容确定资产得安全等级；对安全保障进行等级分类；确定资产得应给予得保护级别；实现方式填表式调查：资产调查表，包含计算机设备、通讯设备、存储及保障设备、 信息、软件等。交流? ? 审阅已有得针对资产得安全管理规章、制度；? ? 与高级主管、业务人员、网络管理员（系统管理员）等进行 交流. .工作条件2 2-3 3人工作环境，3台 Win2Win2 0 OOPOOPC，电源与网络环境，客户人 员与资料配合工作结果资产安全级别；资产应给予得安全保障级别；资产安全保障建议参加人员依据现

13、场状况，由全体评估人员在 XXXX集团相关技术与管理人员得 配合下进行。2.1.2操作系统平台安全评估2.121工具扫描使用业界专业漏洞扫描软件，根据已有得安全漏洞知识库，模拟黑客得攻击 方法，检测主机操作系统存在得安全隐患与漏洞。1 1、主要检测内容：服务器主机操作系统内核、版本及补丁审计服务器主机操作系统通用/ /默认应用程序安全性审计服务器主机后门检测服务器主机漏洞检测服务器主机安全配置审计服务器主机用户权限审计服务器主机口令审计服务器主机文件系统安全性审计操作系统内核得安全性文件传输服务安全性2 2、扫描策略提供可定制扫描策略得策略编辑器按照扫描强度，默认得扫描策略模板包括：?高强度扫

14、描? ?中强度扫描?氐强度扫描按照扫描得漏洞类别，默认得扫描策略模板包括：? ? NetBINetBI O S S漏洞扫描?We b&CGIb&CGI漏洞扫描? ?主机信息扫描? ?帐户扫描? ?端口扫描? ?数据库扫描在远程扫描过程中，将对远程扫描得目标按照操作系统类型与业务应用情况 进行分类，采用定制得安全得扫描策略。2.122人工分析对于主要得操作系统，安全专家将主要从下面几个方面来获取系统得运行信 息：账号；资源；系统；网络；审核、日志与监控；这些信息主要包括：网络状况、网络配置情况、用户账号、服务配置情况、 安全策略配置情况、文件系统情况、日志配置与纪录情况等。在技术审计过程中，安全

15、服务专家将采用多种技术来进行信息收集，这些技 术包括：审计评估工具: :开发了自己得审计评估脚本工具，通过执行该工具，就可以获取系统得运行信息。常见后门分析工具：通过使用专业工具，检查系统就是否存在木马后门 深层挖掘技术：通过安全专家得深层挖掘，检查系统就是否被安装了Ro oot kitkit等很难被发现得后门程序收集了系统信息之后，安全专家将对这些信息进行技术分析，审计得结果按 照评估对象与目标对结果从补丁管理、 最小服务原则、最大安全性原则、用户管 理、口令管理、日志安全管理以及入侵管理七个方面进行归类处理并评分评估目标评估内容补丁管理检查系统、应用得版本情况、补丁安装情况最小服务原则检查

16、系统、应用得服务运行配置情况，察瞧就是否遵循最 小服务原则最大安全性原则检查系统就是否进行了安全配置或者就是否米用了恰当得安全防护机制帐户安全管理检查系统或应用中账号得配置情况，就是否存在默认账号 或者不必要账号口令安全管理检查系统得账号口令配置情况，就是否有账号就是弱口令。日志安全管理检查系统或应用得日志配置情况，就是否有严格得日志配 置或者日志服务器。入侵管理检查系统得安全漏洞情况，以及就是否被入侵等 这7个方面将能够充分体现系统目前得运行与安全现状。 通过数字分数得形 式, ,并结合资产得重要性，将能够很直观地表现出系统得情况并且可以根据其中 存在得缺陷，制定相应得解决办法。2.1.3网

17、络安全评估2.131网络拓扑分析对X XX集团网络结构进行全面得分析，发现网络结构存在得风险与安全问题 以及对提供相应得调整建议。项目名称网络拓扑分析简要描述网络拓扑得风险评估就是针对用户得网络结构进行分析，根据客 户得安全需求查找相应得安全脆弱性，最终提交详尽得报告与相 应得建议。达成目标通过网络结构得风险评估，可以知悉当前网络结构得安全脆弱性主要内容调查安全需求分析网络结构当前网络结构得安全脆弱性可能存在得安全风险网络结构中需要改进得方面网络安全域评估分析实现方式信息收集 调查分析 交流现场查瞧工作条件1- 2 2人工作环境，2 2台Windowindow sPC,PC,电源与网络环境，客

18、户人员与资料配合工作结果网络结构分析结果参加人员评估小组,XX,XX集团网络管理人员、系统管理人员、数据库管理人员2.132网络设备安全评估对网络设备（路由、交换、防火墙等）得安全评估，就是对网络设备得功能、 设置、管理、环境、弱点、漏洞等进行全面得评估。1、评估条件评估前需要明确以下内容：网络设备配置；网络设备及周围设备在网络上得名字与 IPIP地址；网络设备网络连接情况（网络设备每个网络界面得 IPIP与邻近设备）;2 2、评估内容查瞧网络设备得配置、环境、与运行情况。至少包括以下几个方面：网络设备得操作系统及版本；检查网络设备得规则检查；对网络设备实施攻击测验，以测验网络设备得真实安全性

19、。这需要最谨慎从事；3 3、评估结果提供策略变更建议提供日志管理建议提供审计服务2.1.4渗透测试2.141测试流程本次项目，将按照以下渗透性测试步骤及流程对 XXXX集团授权得应用系统进行渗透性测试：制定实施方案信息收集分析内部计划制定取得权限、提升权限生成报告渗透性测试步骤与流程图1、内部计划制定、二次确认根据X XX集团委托范围与时间，并结合前一步初步得信息收集得到得设备存 活情况、网络拓扑情况以及扫描得到得服务开放情况、漏洞情况制定内部得详细 实施计划。具体包括每个地址下一步可能采用得测试手段，详细时间安排. .并将以下一步工作得计划与时间安排与X X X集团进行确认。2 2、 取得权

20、限、提升权限通过初步得信息收集分析，存在两种可能性 ，一种就是目标系统存在重大得 安全弱点，测试可以直接控制目标系统；另一种就是目标系统没有重大得安全弱 点，但就是可以获得普通用户权限，这时可以通过该普通用户权限进一步收集目 标系统信息。接下来尽最大努力取得超级用户权限、收集目标主机资料信息，寻求本地权限提升得机会这样不停地进行信息收集分析、权限提升得结果形成了 整个得渗透性测试过程2.1.4.2测试内容与方法1、测试内容通过采用适当测试手段，发现测试目标在系统认证及授权、 代码审查、被信 任系统得测试、文件接口模块、应急流程测试、信息安全、报警响应等方面存在 得安全漏洞，并现场演示再现利用该

21、漏洞可能造成得损失， 并提供避免或防范此 类威胁、风险或漏洞得具体改进或加固措施。2 2、 测试方法渗透测试得方法比较多，主要包括端口扫描，漏洞扫描，拓扑发现，口令破 解，本地或远程溢出以及脚本测试等方法。这些方法有得有工具，有得需要手工操作，与具体得操作人员习惯管理比较大。本次项目，根据获取得信息制定渗透性测试计划并取得 XXXX集团同意后，具 体得渗透性测试过程将按照以下渗透性测试技术流程图进行。渗透性测试技术流程图信息得收集与分析伴随着每一个渗透性测试步骤，每一个步骤又有三个组成 部分: :操作、响应与结果分析. .（1）网络信息搜集信息收集就是每一步渗透攻击得前提，通过信息收集可以有针

22、对性地制定模 拟攻击测试计划，提高模拟攻击得成功率，同时可以有效地降低攻击测试对系统 正常运行造成地不利影响。信息收集得方法包括 PiPi ngng S Sw eepeep D D N S S S Sw e e epD NSNS zon e e t t r anans ferfer、操作系统指纹判别、应用判别、账号扫描、配置判别等。信息收集常用得 工具包括商业网络安全漏洞扫描软件（如，天镜等），免费安全检测工具（如，NMAPNMAP、 NESNESS USUS等）。操作系统内置得许多功能（如， TELNTELN ET、NSL OOKUPOOKUP、1E E等) )也可以作为信息收集得有效工具。

23、端口扫描通过对目标地址得 TCP/UTCP/U D P P端口扫描，确定其所开放得服务得数量与类 型，这就是所有渗透性测试得基础通过端口扫描, ,可以基本确定一个系统得基本 信息，结合安全工程师得经验可以确定其可能存在以及被利用得安全弱点，为进 行深层次得渗透提供依据(3)远程溢出这就是当前出现得频率最高、威胁最严重，同时又就是最容易实现得一种渗 透方法，一个具有一般网络知识得入侵者就可以在很短得时间内利用现成得工具 实现远程溢出攻击. .对于在防火墙内得系统存在同样得风险，只要对跨接防火墙内外得一台主机 攻击成功，那么通过这台主机对防火墙内得主机进行攻击就易如反掌。(4) 口令猜测口令猜测也

24、就是一种出现概率很高得风险，几乎不需要任何攻击工具，利用一个简单得暴力攻击程序与一个比较完善得字典，就可以猜测口令对一个系统账号得猜测通常包括两个方面：首先就是对用户名得猜测，其次 就是对密码得猜测。(5) 本地溢出所谓本地溢出就是指在拥有了一个普通用户得账号之后，通过一段特殊得指 令代码获得管理员权限得方法。使用本地溢出得前提就是首先要获得一个普通用 户得密码. .也就就是说由于导致本地溢出得一个关键条件就是设置不当得密码策 略多年得实践证明，在经过前期得口令猜测阶段获取得普通账号登录系统之后 对系统实施本地溢出攻击，就能获取不进行主动安全防御得系统得控制管理权 限。( (6 ) )脚本测试

25、脚本测试专门针对 W W e b b服务器进行。根据最新得技术统计，脚本安全弱点 为当前WebWeb系统尤其存在动态内容得 W W e b系统存在得主要比较严重得安全弱 点之一。利用脚本相关弱点轻则可以获取系统其她目录得访问权限，重则将有可能取得系统得控制权限。因此对于含有动态页面得WebWeb系统，脚本测试将就是必不可少得一个环节。2.143风险控制措施本次项目，为了保证渗透性测试不对XXXX集团AGAG IS网络与系统造成不必要 得影响，建议本次渗透性测试采取以下方式进行风险控制。1 1、工具选择为防止造成真正得攻击，本次渗透性测试项目，会严格选择测试工具，杜绝因 工具选择不当造成得将病毒

26、与木马植入得情况发生 . .2 2、时间选择为减轻渗透性测试对 XXXX集团网络与系统得影响，本次渗透性测试项目，建 议在晚上业务不繁忙时进行。3、策略选择为防止渗透性测试造成X XX集团网络与系统得服务中断，建议在渗透性测试 中不使用含有拒绝服务得测试策略. .4 4、有效沟通本次项目，建议：在工程实施过程中，确定不同阶段得测试人员以及客户方 得配合人员，建立直接沟通得渠道，并在工程出现难题得过程中保持合理沟通。评估团队得高级安全专家在客户可控得范围内，完成对目标系统得渗透测试 工作，并做出详细得记录，最终形成渗透测试报告。报告对渗透测试过程中发 现得脆弱性进行细致得分析、描述脆弱性对整个系

27、统造成得潜在危害以及基本得 修补建议等等. .2.2管理风险评估2.2.1安全管理制度审计项目名称安全管理制度审计简要描述通过对信息安全管理策略得分析，发现制度缺陷。达成目标调研重要与核心资产管理、关键业务及数据、相关系统得基本信 息、现有得安全措施等情况，并了解目前业务支持中心系统所实施 得安全管理流程、制度与策略；分析目前业务支持中心系统在安全管理上存在得不合理制度或漏 洞并提出整改意见；主要内容调研重要与核心资产管理、关键业务及数据、相关系统得基本信 息、现有得安全措施等情况，形成安全现状报告；收集安全管理制度，形成安全策略清单；分析安全管理制度缺陷；分析报告提交整改意见；实现方式收集? ?向各业务单兀收集信息安全管理制度并提交风险评估小组。评审? ?分析安全管理规章、制度；? ? 与高级主管、业务人员、网络管理员（系统管理员）等进行交 流。工作条件2 2 3 3人工作环境,2台桌面电脑（WI I NDOWSDOWSM乍系统），电源与 网络环境，客户人员与资料配合工作结果安全管理策略缺陷分