安全运维实施预案

1、53/53安全运维实施方案安全运维实施方案安全运维的重要性随着信息安全治理体系和技术体系在企业领域的信息安全建设中不断推进，占信息系统生命周期70% - 80%的信息安全运维体系的建设差不多越来越被宽敞用户重视。尤其是随着信息系统建设工作从大规模建设时期逐步转型到“建设和运维”并举的进展时期，运维人员需要治理越来越庞大的IT系统如此的情况下，信息安全运维体系建设差不多被提到了一个空前的高度上。运维服务的进展趋势关于企业的安全运维服务治理的进展，通常能够将其分为五个时期：混乱、被动、主动、服务和价值时期。在混乱时期：没有建立综合支持中心，没有用户通知机制；在被动时期：是开始关注事件的发生和解决，

2、关注信息资产，拥有了统一的运维操纵台和故障记录和备份机制；在主动时期：建立了安全运行的定义，并将系统性能，问题治理、可用性治理、自动化与工作调度作为重点；在服务时期，差不多能够支持任务打算和服务级不治理；在价值时期，实现性能、安全和核心应用的紧密结合，体现价值之所在。安全运维的定义通常安全运维包含两层含义：是指在运维过程中对网络或系统发生病毒或黑客攻击等安全事件进行定位、防护、排除等运维动作，保障系统不受内、外界侵害。对运维过程中发生的基础环境、网络、安全、主机、中间件、数据库乃至核心应用系统发生的阻碍其正常运行的事件（包含关联事件）通称为安全事件，而围绕安全事件、运维人员和信息资产，依据具体

3、流程而展开监控、告警、响应、评估等运行维护活动，称为安全运维服务。目前，大多数企业还停留在被动的、传统意义上的安全运维服务，如此安全运维服务存在以下弊端：出现故障纵有众多单一的厂商治理工具，但无法迅速定位安全事件，忙于“救火”，却又不知火因何而“着”。时时处于被动服务之中，无法提供量化的服务质量标准。企业的信息系统治理仍在依靠各自的“业务骨干”支撑，缺少相应的流程和知识积存，过多依靠于人。对安全事件缺少关联性分析和评估分析，同时没有对安全事件定义明确的处理流程，更多的是依靠人的经验和责任心，缺少必要的审核和工具的支撑。正是因为目前运维服务中存在的弊端，深信通公司依靠长期从事应用平台信息系统运维

4、服务的经验，同时结合信息安全保障体系建设中运维体系建设的要求，遵循ITIL（最佳实践指导）、ISO/IEC 27000系列服务标准、以及中国移动广东公司治理支撑系统SOA规范等相关标准，建立了一整套完善和切实可行的信息安全运维服务治理的建设方案。深信通安全运维五大架构体系建立安全运维监控中心基于关键业务点面向业务系统可用性和业务连续性进行合理布控和监测，以关键绩效指标指导和考核信息系统运行质量和运维治理工作的实施和执行，深信通关心用户建立全面覆盖信息系统的监测中心，并对各类事件做出快速、准确的定位和展现。实现对信息系统运行动态的快速掌握，以及运行维护治理过程中的事前预警、事发时快速定位。其要紧

5、包括：集中监控：采纳开放的、遵循国际标准的、可扩展的架构，整合各类监控治理工具的监控信息，实现对信息资产的集中监视、查看和治理的智能化、可视化监控系统。监控的要紧内容包括：基础环境、网络、通信、安全、主机、中间件、数据库和核心应用系统等。综合展现：合理规划与布控，整合来自各种不同的监控治理工具和信息源，进行标准化、归一化的处理，并进行过滤和归并，实现集中、综合的展现。快速定位和预警：通过同构和归并的信息，将依据预先配置的规则、事件知识库、关联关系进行快速的故障定位，并依照预警条件进行预警。建立安全运维告警中心基于规则配置和自动关联，实现对监控采集、同构、归并的信息的智能关联判不，并综合的展现信

6、息系统中发生的预警和告警事件，关心运维治理人员快速定位、排查问题所在。同时，告警中心提供多种告警响应方式，内置与事件响应中心的工单和预案处理接口，可依据事件关联和响应规则的定义，触发相应的预案处理，实现运维治理过程中突发事件和问题处理的自动化和智能化。其中只要包括：事件基础库维护：是事件知识库的基础定义，内置大量的标准事件，按事件类型进行合理划分和维护治理，可基于事件名称和事件描述信息进行归一化处理的配置，定义了多源、异构信息的同构规则和过滤规则。智能关联分析：借助基于规则的分析算法，对猎取的各类信息进行分析，找到信息之间的逻辑关系，结合安全事件产生的网络环境、资产重要程度，对安全事件进行深度

7、分析，消除安全事件的误报和重复报警。综合查询和展现：实现了多种视角的故障告警信息和业务预警信息的查询和集中展现。告警响应和处理：提供了事件生成、过滤、短信告警、邮件告警、自动派发工单、启动预案等多种响应方式，内置监控界面的图形化告警方式；提供了与事件响应中心的智能接口，可基于事件关联响应规则自动生成工单并触发相应的预案工作流进行处理。建立安全运维事件响应中心借鉴并融合了ITIL（信息系统基础设施库）/ITSM（IT服务治理）的先进治理规范和最佳实践指南，借助工作流模型参考等标准，开发图形化、可配置的工作流程治理系统，将运维治理工作以任务和工作单传递的方式，通过科学的、符合用户运维治理规范的工作

8、流程进行处置，在处理过程中实现电子化的自动流转，无需人工干预，缩短了流程周期，减少人工错误，并实现对事件、问题处理过程中的各个环节的追踪、监督和审计。其中包括：图形化的工作流建模工具：实现预案建模的图形化治理，简单易用的预案流程的创建和维护，简洁的工作流仿真和验证。可配置的预案流程：所有运维治理流程均可由用户自行配置定义，即可实现ITIL/ITSM的要紧运维治理流程，又可依照用户的实际治理要求和规范，配置个性化的任务、事件处理流程。智能化的自动派单：智能的规则匹配和处理，基于用户治理规范的自动处理，降低事件、任务发起到处理的延时，以及人工派发的误差。全程的事件处理监控：实现对事件响应处理全过程

9、的跟踪记录和监控，依照ITIL治理建议和用户运维要求，对事件处理的响应时限和处理时限的监督和催办。事件处理经验的积存：实现对事件处理过程的备案和综合查询，关心用户在处理事件时查找历史处理记录和流程，为运维治理工作积存经验。建立安全运维审核评估中心该中心提供对信息系统运行质量、服务水平、运维治理工作绩效的综合评估、考核、审计治理功能。其中包括：评估：遵循国际和工业标准及指南建立平台的运行质量评估框架，通过评估模型使用户了解运维需求、认知运行风险、采取相应的爱护和操纵，有效的保证信息系统的建设投入与运行风险的平衡，系统地保证信息化建设的投资效益，提高关键业务应用的连续性。考核：是为了在评价过程中幸

10、免主观臆断和片面随意性，应实现工作量、工作效率、处理考核、状态考核等功能。审计：是以跨平台多数据源信息安全审计为框架，以电子数据处理审计为基础的信息审计系统。要紧包括：系统流程和输入输出数据以及数据接口的完整性、合规性、有效性、真实性审计。以信息资产治理为核心 IT资产治理是全面实现信息系统运行维护治理的基础，提供的丰富的IT资产信息属性维护和备案治理，以及对业务应用系统的备案和配置治理。基于关键业务点配置关键业务的基础设施关联，通过资产对象信息配置丰富业务应用系统的运行维护内容，实现各类IT基础设施与用户关键业务的有机结合，以及全面的综合监控。这其中包括：综合运行态势：是全面整合现有各类设备

11、和系统的各类异构信息，包括网络设备、安全设备、应用系统和终端治理中各种事件，通过分析后的综合展现界面，注重对信息系统的运行状态、综合态势的宏观展示。系统采集治理：以信息系统内各种IT资源及各个核心业务系统的监控治理为主线，采集相关异构监控系统的信息，通过对不同来源的信息数据的整合、同构、规格化处理、规则匹配，生成面向运行维护治理的事件数据，实现信息的共享和标准化。系统配置治理：从系统容错、数据备份与恢复和运行监控三个方面着手建立自身的运行维护体系，采纳平台监测器实时监测、运行检测工具主动检查相结合的方式，构建一个安全稳定的系统。安全治理原则深信通负责业务支撑中心的安全、保密治理工作，遵守南方基

12、地已有各项安全规定，以此为基础制定详细的安全治理实施方法，并采取适当措施保证有关措施的有效执行。深信通定期检查安全、保密规定的执行情况；深信通定期组织系统病毒检查，并对此负责；深信通及时向信息技术中心反映存在的安全隐患。保密原则深信通严格遵守南方基地各项安全保密制度，加强服务工程师的保密意识，制定有效的管深信通整理措施和技术措施，防止重要数据、文件、资料的丢失及泄漏。深信通有关计费清单、用户资料、业务数据、重要文件等均属机密，不得任意抄录、复制及带出机房，也不得转告与工作无关的人员。机房内重要文件、数据的销毁，应全部送入碎纸机，不得任意丢弃。安全保密工作深信通安排专人负责，定期向信息技术中心提

13、交安全工作报告。硬件层安全运维机房安全运维基础网络安全运维人员治理安全运维应用层安全运维关于南方基地治理支撑应用的帐户，必需遵循南方基地治理支撑系统帐号密码治理方法（V2.0），并结合实际情况，补充并完善相关治理方法。系统用户帐号原则上不同意存在共享帐号，所有帐号必须明确至个人；由于系统专门缘故必须使用共享帐号的情况下，系统必须制订对共享帐号的审核授权流程，明确共享帐号的有效期以及使用帐号人员资料。用户帐号原则上采纳用户中文名称的汉语拼音，当遇到用户的中文汉语拼音相同时，系统将为重复的帐号后加上顺序号，如此类推，如：liming , liming2 , liming3，liming5顺序号将避

14、开数字4。各系统用户数据属性应包括用户中文姓名和用户中文ID，原则上用户中文ID确实是用户姓名，当不同用户具有相同中文名称时，系统除了按2、3的命名规范为其分配用户帐号外，用户中文ID后面加上与帐号一致的后缀。而用户的中文名后面不加顺序号。如： 公司姓名中文ID帐号邮件省公司李明李明liming HYPERLINK mailto:liming liming清远移动拂晓拂晓liming2 HYPERLINK mailto:liming2 liming2深圳公司李明李明3liming3 HYPERLINK mailto:liming3 liming3图 STYLEREF 2 s 7.1 SEQ 图

15、 * ARABIC s 2 1 帐号讲明测试人员和代维人员帐号：各系统测试人员和代维人员帐号原则上应以该系统的英文缩写作为前缀加上用户名称的汉语拼音生成。各系统用户密码长度不得低于6位；不得采纳弱密码（弱密码定义参见南方基地治理支撑系统帐号密码治理方法）；最少每90天必须强制用户更改密码；并不得使用5次以内重复的密码；登录系统时，如重复尝试3次不成功，则系统暂停该帐号登录功能。园区信息化系统安全体系系统平台治理检查点检查要求交付物日常维护核心系统及关键服务器定义需对关键系统和服务器有清晰的定义（如DNS/DHCP、防病毒等阻碍全网层面的服务器、承载重要业务或包含敏感信息的系统等）核心业务、关键

16、服务器列表应急与演练园区信息化系统和关键服务器需有详尽故障应急预案应急预案应定期进行相关应急演练，并形成演练报告，保证每年所有的平台和关键服务器都至少进行一次演练应急演练报告依照顾急演练结果更新应急预案，并保留更新记录，记录至少保留3年应急预案更新记录，预案版本记录备份治理系统所涉及不同层面（如系统的重要性、操作系统/数据库）应当制定数据的备份恢复以及备份介质治理制度备份治理制度，包括备份策略治理制度与备份介质治理制度系统所涉及不同层面应依照业务要求制定数据的本地和异地备份（存放）策略备份治理制度，包括备份策略治理制度与备份介质治理制度相关人员对本地和异地备份策略的结果进行每季度审核策略审核表

17、，加入备份治理制度备份的数据进行恢复性测试，确保数据的可用性，每年许多于一次备份恢复应急演练记录相关人员对备份介质的更换记录进行每半年审核备份介质更换记录表，加入备份治理制度相关人员对备份介质的销毁记录进行每半年审核备份介质销毁记录表，加入备份治理制度故障治理各地市需制定相应的园区信息化系统及服务器故障处理流程故障处理流程系统中发觉的异常情况由系统维护人员依照相关流程在规定时刻内处理故障处理流程故障处理完成后必须留有相应的故障处理记录故障处理报告上线治理为保障设备接入网络的安全性，设备上线前必须安装防病毒系统及更新操作系统补丁，并对设备进行进行安全扫描评估，针对安全漏洞进行安全加固1、企业网接

18、入治理方法2、接入记录为幸免系统上线对其它系统和设备造成阻碍，公布前必须对系统应用站点、数据库、后台服务、网络端口进行安全评估。系统投入正式运营前必须在测试环境中对系统进行模拟运行一周以上1、应用系统接入申请流程2、接入记录系统上线之后如需对系统进行功能更新，必须由系统治理员或系统治理员指定专门维护人员进行更新操作，严格按照公司安全治理规范执行1、应用系统更新申请流程2、更新记录Web应用应依照业务需求与安全设计原则进行安全编码,合理划分帐号权限，确保用户帐号密码安全,加强敏感数据安全爱护，提供详细的日志1、中国移动门户网站安全技术规范V1.0_20 101229_1832_(全部合订)2、依

19、照规范对开发规范进行修正，用户名密码的治理要求、敏感数据的治理要求、系统日志的开发要求3、现有应用的安全检查漏洞与防病毒定期进行服务器漏洞扫描，并依照漏洞扫描报告封堵高危漏洞，每季度至少对所有服务器扫描一次扫描记录与扫描结果报告需建立统一的WSUS服务器，并每季度对关键服务器进行高危漏洞升级，并留有升级记录1、WSUS服务器中的关键更新的补丁清单，每个月1份2、应用服务器端每次更新的补丁清单任何终端必须安装正版防病毒软件，且保证90%以上病毒库最新（五日以内）防病毒检查记录每周检查防病毒软件隔离区，排除病毒威胁防病毒检查记录核心系统和关键服务器日志审计在操作系统层、数据库层、应用层建立日志记录

20、功能，日志记录中保存1年的内容，日志安全记录能够关联操作用户的身份1、操作系统层日志策略2、数据库日志策略3、应用层日志要求加入开发规范中操作系统日志中需记录“账户治理”“登录事件”“策略更改”“系统事件”等内容操作系统层日志策略操作行为记录需进行定期审计数据库层日志需记录每次数据库操作的内容数据库日志策略应用层日志需记录每次应用系统出错的信息应用层日志要求加入开发规范中检查关键错误日志、应用程序日志中的关键错误记录，保证日志审核正常关键访问与操作应立即启用日志记录功能，幸免因日志记录不全，造成入侵后无法被追踪的问题信息公布治理每天检查平台短信发送、接收的可用性每天短信检查记录短信必须设置关键

21、字过滤，每个月进行关键字更新，并检查其有效性短信关键字更新记录，有效性检查记录信息防泄密需对所有园区信息化系统、应用系统的核心信息进行清晰的界定，核心信息包括但不限于涉及客户资料、客户账户信息、客户密码、操作记录应用系统-核心信息矩阵图需对核心信息设定保密措施应用系统核心信息治理制度对核心信息的操作进行专门监控，并留下记录访问操纵账号密码治理服务器上任何账号必须有审批人员审核确认1、账号治理方法2、账号申请表所有系统和服务器上账号必须每季度进行审核账号审核表密码复杂度要求：一静态密码：密码应至少每90天进行更新，密码长度应至少6位或以上，密码应由大小写字母、数字或标点符号等字符组成，五次内不能

22、重复二动态密码。1、密码修改记录表2、历史密码记录表远程访问不得有互联网远程维护的访问方式。现场检查MDCN网系统的远程访问只能通过省公司的SSL VPN或IBM VPN，不得在市公司层面存在互联网以VPN等形式的远程访问现场检查应用安全应用层的漏洞扫描，实现对南方基地园区信息化系统上的所有系统进行安全扫描， 做好应用防护，防止出现 SQL 注入、网页后门程序、跨站脚本等重大安全漏洞，幸免因2应用系统自身漏洞造成敏感信息泄露的安全问题；服务器报警策略报警策略治理是防止集群中的服务器某个压力值过高或者过低而造成集群性能的降低，通过报警策略的设定，治理能够及时的察觉每个服务器的故障并进行及时修正，

23、保证集群最有效的工作状态。治理员能够依照服务器的不同应用，通过报警策略的类型、极限参数和警告内容的设置，将报警策略给予服务器，并产生报警日志。用户密码策略密码策略用于应用接入平台用户身份模块中用户账户。它确定用户账户密码设置，例如：密码复杂度、密码历史等设置。用户安全策略用户安全策略用于应用接入平台权限设置。它确定用户身份权限设置，例如：能访问服务器的那个磁盘，此用户身份能运行那个业务程序等设置。访问操纵策略治理员通过访问操纵策略来限定用户和客户端计算机以及时刻等因素的绑定来实现用户安全访问应用程序的设置。时刻策略通过对访问该应用程序及使用的用户身份进行时刻限制，从而提升对公布的应用程序的访问

24、安全，使其只能在特定时刻与被确认身份的用户身份所使用。防止被恶意用户不正当的访问。备份安全指遵照相关的数据备份治理规定，对园区信息化系统及其产品的数据信息进行备份和还原操作。依照园区信息化系统及其产品的数据重要性和应用类不，把需要备份的数据分为数据库、系统附件、应用程序三部分。每周检查NBU备份系统期备份结果检查，处理相关问题。备份系统状态、备份策略检查，对备份策略以及备份状态检查以及调优，要紧服务器变更、应用统一接入等防病毒安全导出防病毒安全检查报告、对有风险和中毒的文件与数据进行检查对病毒分析处理定期检测病毒，防止病毒对系统的阻碍系统安全定期修改系统Administrator密码：要紧修改

25、AD、Cluster、服务器密码；安装操作系统补丁，系统重启，应用系统检查测试数据库的账号、密码治理，保证数据库系统安全和数据安全对系统用户的系统登录、使用情况进行检查，对系统日志进行日常审计主动安全监控Agent的配置与治理，对端对端监控产生检查结果核实，处理相应问题园区信息化所有系统需有详尽故障应急预案应定期进行相关应急演练，并形成演练报告，保证每年所有的平台和关键服务器都至少进行一次演练依照顾急演练结果更新应急预案，并保留更新记录，记录至少保留3年系统及网络安全流量分析（netscount）深信通依照南方基地的安全及分析需求，提供netscount分析服务支撑，对各系统性能提供全面分析。

26、并提供优化建议及方案。应用分析（splunk）深信通依照南方基地的园区信息化系统安全，建立splunk的日志分析服务，并针对日志进行全面分析。对系统的安全、保障提供优化建议及优化方案。提供流量分析和应用分析提供10个以上的专题分析报告，并依照报告提供具体的实施方案及优化手段。依照优化建议及方案对平台及网络进行安全整改，以全面提升平台的性能、安全，解决瓶颈。防篡改防攻击网页文件爱护，通过系统内核层的文件驱动，按照用户配置的进程及路径访问规则设置网站目录、文件的读写权限，确保网页文件不被非法篡改。网络攻击防护，Web核心模块对每个请求进行合法性检测，对非法请求或恶意扫描请求进行屏蔽，防止SQL注入

27、式攻击。集中治理，通过治理服务器集中治理多台服务器，监测多主机实时状态，制定爱护规则。安全网站公布，使用传输模块从治理服务器的镜像站点直接更新受爱护的网站目录，数据通过SSL加密传输，杜绝传输过程的被篡改的可能。网站备份还原，通过治理操纵端进行站点备份及还原。网页流出检查，在请求扫瞄客户端请求站点网页时触发网页流出检查，对被篡改的网页进行实时恢复，再次确保被篡改的网页可不能被公众扫瞄。实时报警，系统日志，手机短信，电子邮件多种方式提供非法访问报警。治理员权限分级，可对治理员及监控端分配不同的权限组合。日志审计，提供治理员行为日志，监控端爱护日志查询审计。对站点主机进行监控，对CPU，内存，流量

28、的作统计，以便实时监控站点服务器的运作情况。站点系统账号监控，对站点服务器的账号进行监控，对账号的修改，添加等改动有阻拦和日志记录及报警，使站点服务器更加安全。合理授权合理授权的定义：合理授权是指对IT治理支撑应用系统及其相关资源的访问设定严格的授权审批机制，确保IT治理支撑应用系统的安全性。为了保证南方基地IT治理支撑应用系统的安全性，确保相关IT资源的访问通过合理授权，所有IT治理支撑应用系统及其相关资源的访问必须遵照申请 评估 授权 的合理授权治理流程。需要合理授权的IT资源包括但不局限于应用系统的测试环境、程序版本治理服务器、正式环境（包括应用服务器和数据服务器等）。申请：由访问者（一

29、般是应用开发商、应用系统治理员等）提交书面的访问申请表（书面访问申请表，包括但不局限于纸质、Word文档以及电子邮件等），提交安全治理员（一般是系统治理员或者专职的安全治理员）进行风险评估。评估：安全治理员对接到的访问申请书进行风险评估，并依照访问者及被访问IT资源的具体情况，进行灵活处理。授权：在访问申请表通过安全风险评估后，安全治理员会对访问者进行合理授权。原则上，对程序版本治理服务器和正式环境的访问申请，安全治理员必需依照有关治理流程给出正式授权，以满足安全审计的要求。各系统超级治理员帐号的分配，必须由系统负责人员提出书面申请，申请内容应包括系统名称、帐号、帐号有效期、帐号使用负责人、帐

30、号权限等内容，由部门副经理或以上的治理人员进行审核批准后，超级治理员帐号方可生效。系统超级治理员密码设置应符合本治理方法中用户密码治理的相关规则；各系统应最少每90天对超级治理员帐号进行审查，同时将审查结果写入书面记录，由部门副经理或以上治理人员审核存档。各应用层超级治理员帐号的分配，必须由系统负责人员提出书面申请，申请内容应包括应用系统名称、帐号、帐号有效期、帐号使用负责人、帐号权限等内容，由部门副经理或以上的治理人员进行审核批准后，超级治理员帐号方可生效。应用层超级治理员密码设置应符合本治理方法中用户密码治理的相关规则；各系统应最少每90天对超级治理员帐号进行审查，同时将审查结果写入书面记

31、录，由部门副经理或以上治理人员审核存档。为了保证帐号安全治理，各系统应最少每90天对本系统涉及的帐号（包括各类治理员帐号和一般用户帐号）进行检查，对差不多超过有效期的帐号进行清理，对不符合治理规范的帐号进行补充授权与审批。各系统私有测试帐号和代维人员帐号：由各系统治理员自行治理。关于帐号申请、授权、登记、变更等治理表格详见附件八帐号治理相关表格安全隔离安全隔离的定义：安全隔离是指对IT应用系统的相关数据（包括应用系统的程序代码、数据文件等）进行逻辑隔离、物理隔离等，以确保应用系统的安全性。假如开发商在开发、维护合作过程当中可能接触到我公司的敏感数据，必须与南方基地签订安全保密协议。对安全等级为

32、机密的IT应用系统（包括但不局限于企业内部的机密档案信息等），我们需要对它的有关数据进行物理隔离，以提高应用系统的安全防范能力；对安全等级为秘密的IT应用系统以及应用系统的基础数据（如综合应用平台的基础数据、组织架构等），需要进行逻辑隔离。系统应用层面的访问必须通过帐号进行访问，系统的帐号及口令治理参照本规定的帐号治理部分。应用系统治理员或者专职的安全治理员应依照具体应用系统的数据的敏感度制定相应的安全隔离措施，具体措施包括但不限于访问操纵列表、安全加固、文件系统权限设定等。安全审计安全审计的定义：安全审计是指出于安全考虑，通过对IT应用系统的异动记录、操作过程、数据转换等进行详细记录，为事后

33、的侦察和取证提供依据。安全审计的范围：我们需要对一些重要的具有较高安全风险的操作进行安全审计，操作系统层、应用系统层以及数据库层的所有重要操作，特不是治理层认定对财务报表有关的操作留有系统日志。系统日志由系统主管部门依照风险和重要性的原则确定检查内容（如超级治理员的帐户登陆操作、正式环境的访问、数据转换的操作活动、版本升级的操作活动、补丁升级操作活动等等）负责每月进行审核。系统所需的自动或手动批处理作业应制定作业安排打算，留有电子或纸质文档操作讲明。自动批处理作业应在系统中留有运行日志记录，手工批处理作业的执行结果由批处理操作人员负责检察确认。只有授权的系统维护人员能够在系统中维护作业安排打算

34、或安排手工作业安排打算，批处理打算上线前都必需通过测试，并由相关人员签字审批。安全审计的治理流程：每年至少进行一次全范围的安全审计活动，具体操作能够结合治理支撑系统的年终巡检等活动，由南方基地治理信息部依照实际情况自行决定。统一用户治理的安全审计：用户帐户信息（包括组织单元属性、岗位属性等）是所有应用系统最基础的数据，用户帐户所对应的应用系统访问权限（那个地点特指是否对应用系统具有访问权限，而不考虑在应用系统本身的具体授权）是安全治理的重要内容，因此原则上需要对用户的异动信息及应用系统访问权限进行安全审计，以提高整个IT治理支撑应用系统的安全性。安全审计的目的：在指定周期内对信息系统的系统（操

35、作系统、数据库）用户、系统治理员、应用层面的用户、系统批处理任务等涉及财务报表的操作进行安全审计。流程：图 9.1.4-1信息系统安全审计流程讲明：系统安全审计由各系统安全审计员发起，本流程涉及角色为：安全审计员、安全治理员、应用治理员以及各系统使用相关部门。工具：附件九帐号清单审核表、附件十系统权限，用户责任权限矩阵表、附件十一系统安全审计报告。统一用户治理的安全审计：用户帐户信息（包括组织单元属性、岗位角色属性等）是所有应用系统最基础的数据，用户帐户所对应的应用系统访问权限（那个地点特指是否对应用系统具有访问权限，而不考虑在应用系统本身的具体授权）是安全治理的重要内容，因此原则上需要对用户

36、的异动信息及应用系统访问权限进行安全审计，以提高整个IT应用系统的安全性。当南方基地或业务发生重大变更或半年时，系统主管部门应组织各使用系统的部门对系统用户的访问权限清单进行批阅，以合理确保用户在系统中的权限与其职责相符；操作系统、数据库层超级用户的账号(比如根用户，系统治理员，批处理用户账号，数据库治理员)、预设的用户帐号、第三方人员帐号的授权应具备书面审批记录表格，各责任部门负责人或第三方人员对其进行复核签字确认，并依照批阅结果对多余或不恰当的账号进行调整。版本治理的安全审计：需要对所有IT应用系统的源代码、运行代码、配置文件、数据库文件等的版本变更过程进行安全审计。系统扫描分析系统扫描深

37、信通为了深化自身服务能力，自购了相关扫描工具如：系统维护工具：天镜脆弱性扫描与治理系统、Microsoft Baseline Security Analyzer 2.2系统基线扫描工具：绿盟的基线扫描应用维护工具：IBM Rational AppScan、NBSI_3.0、微软Web压力测试工具(Microsoft Web Application Stress Tool)以满足南方基地和系统的安全需要：以下对系统扫描工作GFI LANguard进行阐述系统安全扫描工作GFI LANguard GFI LANguard功能：扫描、检查、评估并关心修补安全网络漏洞。治理整个网络部署与治理补丁和服务

38、程序包，自动检查并删除未经授权的应用程序。能够扫描识不出多种主流防毒软件安装及病毒库更新情况。 拥有强大的报告系统，能够对服务器的安全策略和整体系统环境做出来安全评定。提供一个完整的网络拓扑。整个网络安全历史记录。完整的文本搜索。修复中心操纵台。支持虚拟主机的扫描。GFI LANguard优势GFI LANguard能够在几分钟内完成几百甚至上千的电脑的扫描，不止支持Microsoft系统还支持Linux、Unix 操作系统、路由器、交换机和无线设备等系统的漏洞扫描，能够检查工作站中不必要的共享、开放端口和未用帐号。 GFI LANguard集成了1000多款安全软件的信息，能集中治理整个网络

39、部署的服务及安装程序，并能够集中分发安装用户所需的应用程序，能够自动检查并删除未经授权的应用程序，对Windows操作系统进行统一的补丁更新治理，能够一次性得到各台服务器上需要安装补丁列表，并批量进行安装。支持报警功能，告知用户什么时候有产品的更新。LANguard都将通知治理员，具体类型分为：防病毒、防间谍、防火墙、防钓鱼、备份客户端等。LANguard2011能报告他们的状态并提示任何需要注意的潜在问题。 LANguard能够扫描识不出多种主流防毒软件安装及病毒库更新情况，并生成报告告之用户及时更新病毒库或者提醒用户安装杀毒软件。 GFI LANguard加入了一个功能强大、能够互动的全新

40、仪表盘。它能依照安全审计信息给出现有网络安全的一个概要，连同一份网络变化情况的所有历史记录。它还能在问题出现时触发安全报警器。用丰富的报告系统，来显示用户的网络状况，能够用来分析网络漏洞，识不问题，预防故障的产生，能够通过LANguard查看整个网络拓扑信息，来查看系统状态、软件版本，及硬件概况来关心行政部门。LANguard支持针对单个目标扫描或者地址段甚至整域扫描，并生成用户报告。该报告包括系统状态，软件详细，端口的使用及补丁的状态及硬件概况。客户端程序也能够定时自动上传客户机状态到LANguard服务器。只要一打开LANguard程序,治理员就有一份完全且即时的网络安全状况列表。所有的报

41、告将基于所扫描电脑的当前状态，而不是某些特定的安全检查。这些报告能够导出为PDF、HTML、XLS、XLSX、RTF和CVS文件，同时能够通过打算任务发送到特定邮箱。这些模板报告能够自定义，还能加上自定义的logo。 GFI LANguard能够关心用户快速找到他们想要的信息。查找网络扫描结果简单地就像上网搜索一样，查找到的结果将指向相关项。用户不仅能够查找现在和以往的事件日志，还能对特定的产品的漏洞、已安装的程序，和未打的补丁进行搜索。同时，用户还能保存、打印、查询这些扫描报告。 GFI LANguard修复中心操纵台能够从一个中央位置修复漏洞，并监控修复任务的状态，并扫瞄所有已执行修复任务

42、的历史记录。GFI LANguard支持虚拟环境的扫描，能够检测到被扫描电脑上的虚拟主机，如此治理员能够更好地全览虚拟环境架构。图 9.2.1-1GFI扫描报告分析报告服务器差不多健康性分析服务器能正常启动与运行服务与应用程序能正常启动与运行客户端能正常地连接和访问网络服务与应用程序Event Logs中的关键错误日志应用程序日志中的关键错误记录各逻辑磁盘空间使用和剩余状况图 9.2.2-1差不多健康分析服务器性能分析内存Memory Available MbytesMemory Pages/sec处理器Processor %Processor TimeProcessor Interrupts

43、/secSystem Processor Queue LengthSystem Context Switches/Sec磁盘PhysicalDisk % Disk TimePhysicalDisk Avg. Disk Queue LengthPhysicalDisk Disk Reads/secPhysicalDisk Disk Writes/sec网络Network Interface Bytes Total/secNetwork Interface Bytes Sent/secNetwork Interface Bytes Received/sec图 9.2.2-2服务器性能分析服务器安全

44、性检查Windows Service Pack是否最新操作系统补丁是否最新是否安装防病毒软件并保持更新未更新的安全修补程序高安全风险漏洞注册表安全风险漏洞 密码策略审核策略自动加载的程序开放的TCP端口图9.2.2-3服务器安全性报告总体评估总体结论服务器差不多健康状态结论服务器性能结论服务器安全性结论图 9.2.2-4总结安全应急响应深信通“安全应急响应”服务向客户公司提供必须的资源来完善安全防护，抵抗攻击，进行安全修复，并减少以后安全漏洞产生的可能性。安全响应服务提供了快捷的服务支持和724的紧急响应服务，保证网络安全无忧，预防危险发生。在目前IT运维服务领域上，深信通的安全响应是同行业中

45、出类拔萃的，提供计算机反击、事故反应、诉讼支持等咨询顾问服务。不管相关数据以任何形式存在或栖身与任何地点，使用专用的工具和方法，我们的专家能够发觉并抽取相关的有害数据，我们的专家队伍拥有多种专业技能，包括攻击识不、反击技术、介质取证、安全修复，这一切都将成为企业的强大的后盾。紧急响应服务种类包括以下几个方面入侵调查当入侵事件正在发生或差不多发生，深信通安全专家协助客户进行事件调查、保存证据、查找后门、追查来源等，同时提供事件处理报告以及后续的安全状况跟踪。主机、网络异常响应当主机或者网络异常事件正在发生或差不多发生，深信通安全专家协助客户进行事件调查、保存证据、查找问题的缘故、追查来源等，同时

46、提供事件处理报告以及后续的安全状况跟踪。其他紧急事件只有出现了上述严峻阻碍网络、主机正常运行的安全事件才启用紧急响应服务，其他日常安全事件均属于安全咨询及日常安全事件处理服务范围。安全应急响应服务也能够关心客户公司预防以后的攻击，高效地进行攻击发生时和事后的调查及收取攻击证据等工作，为起诉罪犯提供法律依据。作为一个规范的信息安全运维服务商，深信通有一整套紧急响应机制，同时也具备处理各种紧急事件经验的工程师。我们把安全应急服务分为三等，具体请参见下表：服务等级服务内容适用对象一级差不多的反应策略与流程58小时事件响应、处理及恢复服务电话、传真、email技术支持24小时内现场技术支持事故处理报告

47、日常运营期间，不阻碍用户业务的一般安全事件处理二级完整的反应策略与流程724小时事件响应、处理及恢复服务电话、传真、email技术支持4小时内现场技术支持事故处理报告节假日期间，较为严峻的安全事故三级完整的反应策略与流程724小时事件响应、应急响应、处理及恢复服务电话、传真、email技术支持2小时内现场技术支持安全专家现场守候服务事故处理报告安全突发事故反应预演两周内跟踪服务重大事件、节假日期间，用户业务重要性、时效性专门强，发生严峻阻碍用户业务开展，需要立即解决的突发事故应急响应流程遇到安全事件的发生，一般应该及时采取汇报机制。参考要求如下：任何系统用户发觉系统运行可疑现象后，立即报告本部

48、门安全保密治理员；安全保密治理员应尽可能采取相应措施爱护现场，并在1小时内向应急响应小组进行报告，同时报本部门安全主管领导，召集安全应急服务厂商；应急响应小组和安全服务厂商应在2小时内确定现象的性质，并采取措施，收集现场数据，幸免严峻安全后果的发生，同时，关于安全事故，要上报信息安全领导小组；安全保密领导小组依照事故的性质，向相应的国家主管部门进行报告。汇报完毕，将事故定性之后，接到上级指示，关于被破坏的系统和数据，采取可行的措施进行恢复，使之重新正常运行。安全紧急响应服务内容如下：服务确认临时支持账号远程紧急响应本地紧急响应响应情况简报紧急响应服务报告事故跟踪分析报告具体流程如下：关于每一个

49、安全事件的处理，能够参照如上图所示的安全事故应急响应处理流程，具体流程包括：1、记录系统安全事件，记录事件的每一环节，包括事件的时刻、地点。要打印拷贝、记录拷贝时刻、记录对话内容，并尽可能采纳自动化的记录方法。2、系统安全事件核实与推断核实系统安全事件真实性推断系统安全事件类型和范围推断系统安全事件危害性确定事件的威胁级不3、系统安全事件现场处理方案选择克制态度紧急消除紧急恢复切换监视跟踪查证辅助代码开发报警权力机关的反击4、系统安全事件处理服务和过程，系统安全事件处理过程本身需要工具，需要专门处理安全事件的服务和过程。这些过程包括：拷贝过程、监视过程、跟踪过程、报警过程、通报过程、对话过程、

50、消除过程、恢复过程和其它过程等。5、系统安全事件后处理，包括事件后消除、弥补系统脆弱性、分析缘故、总结教训、完善安全策略、服务和过程。风险操纵风险操纵的目标：风险的事前识不、分析和定位，从而制定相关的风险应对策略，减低风险对项目产生的阻碍。风险操纵的原则：关于高风险（即高频度、阻碍大）的风险要尽量进行规避，对低风险进行治理、分析和识不。为规避风险，运维人员应定期进行风险检控，制定风险评估治理打算，提交运维治理员进行审批，并召集人员进行风险评估。跟踪风险，风险随着时刻在变化，原则上定期进行风险跟踪并按照变化情况修改风险列表。需要对风险进行操纵。运维人员将差不多消逝的风险放入数据库作为过期的风险，

51、围绕它的所有流程和过程均被保留。图9.4-1应急演练治理方法 制度方法参照广东移动运维的治理制度，如图所示图 9.4-2平台运维治理制度风险评估依照运维情况，结合运维治理制度、平台基础架构，做出风险评估，如表4-10所示。图 9.4-3风险评估表应急预案依照第二步做出的风险评估，针对技术相关核心问题，制定园区信息化系统相关应急预案。应急演练依照第三步制定的应急预案，为了提升运维的安全可靠实施，进行周期的应急演练。应急演练完成后，对演练结果进行学习，从而发觉新的不足，达到持续改进的目的。全省知识总结和分享运维知识总结分享深信通除了南方基地本身的知识积存外，同时还利用和横向运维的优势，自2011年七月以来，每月都会总结日常碰到的技术和治理难题，深信通会组织相关技术和治理人才深度分析解决处理相关问题，同时每月分享给全省用户，以下是7月以来所有的研究主题：Web网站常见三种漏洞及解决方法2013年1月自建系统转维相关交接体系与过程治理2013年2月自动化运维之监控工具2013年03月IIS应用程序池的深入解析2013年04月Hyper-V有用配置及治理工具汇总2013年05月补丁安全引发的考虑2