网络与信息安全管理中心安全值守技术方案

106/106技术建议书服务方案项目概况近几年来，信息安全的重要性逐步得到了各行业的广泛关注，国家相关部门也出台了多项政策、法规和标准，用以指导各行业的信息安全建设。由于信息安全相关的标准和法规相对抽象，加之信安中心承担了管理和生产职能，在突发事件处置等方面人员储备不足，受限于人员配置和资源问题，部分安全工作需要大量安全工具及专人参与。为保障中国公司结合自身情况制定长期、系统、有效的安全建设规划，提出驻场服务的需求。建设目标1、为安全工作开展提供高质量的安全保障服务。2、在发生网络调整，系统升级扩容，新系统上线等变更时，进行评估，给出明确的、可实施的安全建议及建设规划，配合相关安全工作开展。3、在日常工作中，协助安全人员开展定期的自查评估工作，设备或系统上线时，实施上线前的安全评估和反馈相关的制度、规范和流程的落实情况。4、保障日常工作中的网络安全。5、应急响应及安全事件分析。6、开展安全培训工作，提升相关人员的安全专业水平。7、对重要系统（网络安全整合平台）进行协助运维和推广。服务方法本次安全值守服务项目我们提供以下服务方法：日常安全工作常态化漏洞扫描，弱口令检查，web业务系统渗透测试及相关文档、总结撰写定期安全检查：全网扫描（范围）。根据目标主机数量制定扫描计划，每个月能保证至少完成一次对全部维护对象的安全扫描工作。出具安全扫描结果并和维护人员进行面对面沟通确认，督促维护人员进行整改和加固，加固结束后进行再次复查并出具复查报告，对于不能加固的漏洞提供安全解决建议。系统上线安全检查：对于新的业务系统上线前，值守人员配合完成上线设备的安全检查工作，安全检查包含以下几项工作：远程安全扫描通过使用现有远程安全评估系统对上线设备进行扫描，确保没有高、中等级的安全问题，对于低等级的安全问题，应确保该问题不会泄露设备敏感信息本地安全检查配合安全加固的checklist对上线设备进行检查，以确保上线设备已进行了必要的安全设置注：若已制定相关的安全准入规范，将使用提供的checklist替代的checklist远程渗透测试对复杂的应用系统，如：WEB系统，根据需求进远程渗透测试渗透测试概述渗透测试（PenetrationTest）是指是从一个攻击者的角度来检查和审核一个网络系统的安全性的过程。通常由安全工程师尽可能完整地模拟黑客使用的漏洞发现技术和攻击手段，对目标网络/系统/主机/应用的安全性作深入的探测，发现系统最脆弱的环节。渗透测试能够直观的让管理人员知道自己网络所面临的问题。作为一种专业的安全服务，类似于军队里的“实战演习”或者“沙盘推演”的概念，通过实战和推演，让清晰了解目前网络的脆弱性、可能造成的影响，以便采取必要的防范措施。渗透测试意义从渗透测试中，客户能够得到的收益至少有：协助发现组织中的安全短板一次渗透测试过程也就是一次黑客入侵实例，其中所利用到的攻击渗透方法，也是其它具备相关技能的攻击者所最可能利用到的方法；由渗透测试结果所暴露出来的问题，往往也是一个企业或组织中的安全最短木板，结合这些暴露出来的弱点和问题，可以协助企业有效的了解目前降低风险的最迫切任务，使在信息安全方面的有限投入可以得到最大的回报。作为信息安全状况方面的具体证据和真实案例渗透测试的结果可以作为向投资方或管理人员提供的信息安全状况方面的具体证据，一份文档齐全有效的渗透测试报告有助于IT组织管理者以案例的形式向相关人员直观展示目前企业或组织的安全现状，从而增强员工对信息安全的认知程度，提高相关人员的安全意识及素养，甚至提高组织在安全方面的预算。发现系统或组织里逻辑性更强、更深层次的弱点渗透测试和工具扫描可以很好的互相补充。工具扫描具有很好的效率和速度，但是存在一定的误报率和漏报率，并且不能发现高层次、复杂、并且相互关联的安全问题；渗透测试的价值直接依赖于实施者的专业技能和素养但是非常准确，可以发现系统和组织里逻辑性更强、更深层次的弱点。从整体上把握组织或企业的信息安全现状信息安全是一个整体工程，一个完整和成功的渗透测试案例可能会涉及系统或组织中的多个部门、人员或对象，有助于组织中的所有成员意识到自己所在岗位对系统整体安全的影响，进而采取措施降低因为自身的原因造成的风险，有助于内部安全的提升。渗透测试步骤渗透测试实际就是一个模拟黑客攻击的过程，因此其的实施过程也类似于一次完整的黑客攻击过程，我们将其划分为如下几个阶段：预攻击阶段（寻找渗透突破口）攻击阶段（获取目标权限）后攻击阶段（扩大攻击渗透成果）如下图：预攻击阶段预攻击阶段主要是为了收集获取信息，从中发现突破口，进行进一步攻击决策。主要包括网络信息，如网络拓补、IP及域名分布、网络状态等服务器信息，如OS信息、端口及服务信息、应用系统情况等漏洞信息，如跟踪最新漏洞发布、漏洞的利用方法等其利用到的方法及工具主要有：网络配置、状态，服务器信息PingTracerouteNslookupwhoisFingerNbtstat其它相关信息（如WEB服务器信息，服务器管理员信息等）google、yahoo、baidu等搜索引擎获取目标信息企业组织名称、个人姓名、电话、生日、身份证号码、电子邮件等等……（网站、论坛、社交工程欺骗）常规扫描及漏洞发现确认NMAP端口扫描及指纹识别利用各种扫描工具进行漏洞扫描（ISS、Nessus等）采用FWtester、hping3等工具进行防火墙规则探测采用SolarWind对网络设备等进行发现采用nikto、webinspect等软件对web常见漏洞进行扫描采用如AppDetectiv之类的商用软件对数据库进行扫描分析应用分析（web及数据库应用）采用WebProxy、SPIKEProxy、webscarab、ParosProxy、Absinthe等工具进行分析对Web服务进行分析检测用webscan、fuzzer进行SQL注入和XSS漏洞初步分析某些特定应用或程序的漏洞的手工验证检测（如sql注入、某些论坛网站的上传漏洞、验证漏洞，某些特定软件的溢出漏洞等）采用类似OScanner的工具对数据库进行分析用Ethereal抓包协助分析攻击阶段攻击阶段是渗透测试的实际实施阶段，在这一阶段根据前面得到的信息对目标进行攻击尝试，尝试获取目标的一定权限。在这一阶段，主要会用到以下技术或工具：账号口令猜解口令是信息安全里永恒的主题，在以往的渗透测试项目中，通过账号口令问题获取权限者不在少数。有用的账号口令除了系统账号如UNIX账号、Windows账号外，还包括一些数据库账号、WWW账号、FTP账号、MAIL账号、SNMP账号、CVS账号以及一些其它应用或者服务的账号口令。尤其是各个系统或者是应用服务的一些默认账号口令和弱口令账号。大多综合性的扫描工具都有相应的弱口令审核模块，此外，也可以采用Brutus、Hydra、溯雪等比较专业的账号猜解工具。缓冲区溢出攻击针对具体的溢出漏洞，可以采用各种公开及私有的缓冲区溢出程序代码进行攻击，如下图：基于应用服务的攻击基于web、数据库或特定的B/S或C/S结构的网络应用程序存在的弱点进行攻击，常见的如SQL注入攻击、跨站脚本攻击、一些特定网站论坛系统的上传漏洞、下载漏洞、物理路径暴露、重要文件暴露等均属于这一类型，特定的对象及其漏洞有其特定的利用方法，这里就不一一举例。后攻击阶段后攻击阶段主要是在达到一定的攻击效果后，隐藏和清除自己的入侵痕迹，并利用现有条件进一步进行渗透，扩大入侵成果，获取敏感信息及资源，长期的维持一定权限。这一阶段，一般主要进行3个工作：1）植入后门木或者键盘记录工具等，获得对对象的再一次的控制权在真实的黑客入侵事件中，这一步往往还要进行入侵行为的隐藏比如清楚日志、隐藏后门木马服务、修补对象漏洞以防止他人利用等，但在渗透测试实例中却不需要如此，往往需要保留对象相应的日志记录，可以作为渗透测试的相关证据和参考信息。2）获得对象的完全权限这一步主要以破解系统的管理员权限账号为主，有许多著名的口令破解软件，如L0phtCrack、JohntheRipper、Cain等可以帮助我们实现该任务。3）利用已有条件，进行更深入的入侵渗透测试在成功获取某个对象的一定权限后，就可以利用该成果，以此对象为跳板，进行进一步的入侵渗透。在这一步会重复预攻击阶段和攻击阶段的那些操作，因为前提条件的变化，可能实现许多先前不可能实现的渗透任务。此外，还这个阶段，还有一些有用的攻击方法也是比较有效的，比如Sniffer嗅探、跳板攻击、IP欺骗、ARP欺骗与MITM(中间人)攻击等，都可以帮我们实现某些特定渗透结果。渗透测试流程渗透测试与安全风险评估、安全加固等安全服务一样，在具体实施中都有可能带来一些负面风险，因此一个严格的有效的实施流程是保证渗透测试正常实施的关键，安全渗透测试服务严格遵循以下的项目实施流程：制定方案并获得授权合法性即客户书面授权委托并同意实施方案，这是进行渗透测试的必要条件。渗透测试首先必须将实施方法、实施时间、实施人员、实施工具等具体的实施方案提交给客户，并得到客户的书面委托和授权。实施方案大致包括下面几方面的内容：项目基本情况及目标介绍渗透测试实施方案及计划渗透测试成果的审核确认应该做到客户对渗透测试所有细节和风险的知晓、所有过程都在客户的控制下进行，这也是专业渗透测试服务与黑客攻击入侵的本质不同。信息收集分析信息收集是每一步渗透攻击的前提，通过信息收集寻找渗透测试的突破口并细化渗透测试方案，有针对性地制定模拟攻击测试计划。信息收集主要涉及如下内容：域名及IP分布网络拓补、设备及操作系统OS端口及服务情况应用系统情况最新漏洞情况其它信息（如服务器管理员的相关信息等）渗透测试方案细化根据预攻击阶段信息收集的结果，对渗透测试方案进行细化，主要是具体漏洞细节及针对这些漏洞的可能采用的测试手段，详细时间安排，以及可能带来的风险，需要客户配合或关注的地方等。方案细化后再次知会客户并取得客户同意授权才能进行下一步操作。渗透测试的实施在取得客户同意后，开始具体的实施过程，包括如下几方面内容：获得目标系统权限后门木马植入，保持控制权跳板渗透，进一步扩展攻击成果获取敏感信息数据或资源在实施过程中，特别提请注意的是采取的渗透测试技术及手段一定不能导致对象的业务中断和工作异常，必须对对象的状态进行实时监控，必要的情况下可以要求客户协助进行。渗透测试报告渗透测试之后，针对每个系统需要向客户提供一份渗透测试报告《相关系统网络渗透测试报告》，报告十分详细的说明渗透测试过程中的得到的数据和信息，并且将会详细的纪录整个渗透测试的全部操作。渗透测试报告应包含如下内容：渗透结论包括目标系统的安全状况、存在的问题、渗透测试的结果等渗透测试项目的介绍包括项目情况、时间、参与人员、操作地点等渗透测试过程包括渗透测试的各个实施阶段中的方法、工具、技术及其操作细节等渗透测试的证据渗透测试的一些过程及证明文件解决方案针对渗透测试中发现的问题给出对应的解决办法和建议附录部分渗透测试中的一些其它相关内容，如异常事件的记录和处理等三同步工作包括网络部、业务支撑与信息部，兼顾全部区公司新上线系统基线达标检查，新上线设备安全配置核查，各域新业务上线安全检查。新业务上线安全检查目标在新业务上线前，对相关的IT设备、业务系统应用进行安全检查，确保业务系统安全的入网上线，符合集团及上级机关的安全要求。新业务上线安全检查范围针对新系统/设备上线，提供安全检查技术服务，检查范围涵盖新系统/设备的以下方面：检查对象包括新业务系统的应用程序代码、承载新业务运行的IT设备，包括网络及安全设备、主机系统、数据库和中间件检查内容包含IT设备的安全基线配置、安全漏洞新业务上线安全检查内容需提供管理支撑系统上线前安全检查服务。对现有的核心系统新版本上线进行上线前安全检查：对管理支撑网所有涉及重要核心系统，包括：网络部、业务支撑与信息部，兼顾全部区公司新上线系统基线达标检查，新上线设备安全配置核查，各域新业务上线安全检查；对新上线的业务系统及新上线设备提供以下服务：安全漏洞检查，提供加固建议；安全配置合规检查，依据集团安全配置规范，并提供相关系统的针对性加固规范书；应用系统配置安全检查；新上线业务如有互联网IP，须在互联网渗透测试；新业务的安全域规划和边界访问控制策略；网络改造协助提供安全审计、建议和整改方案；新上线业务如有web网站，对网站程序全面检查，提供应用安全加固建议；安全运维执行运维作业计划1、定期巡检设备，每周一次。2、执行天、周、月作业计划。3、定期开展设备升级和安全加固工作。设备运行运维网络部、业务支撑与信息系统部安全设备运行运维，提供安全事态周，月，季度报表并汇总输出，分析安全事态提供决策依据，及时处理安全事件；安全漏洞监测及新漏洞通告服务，安全预警服务，应急演练，应对上级安全检查准备工作。1、安全集中整合平台（包括漏洞扫描器、防病毒和补丁、WEB安全监测系统、web防篡改、SOC、安全域网络设备）；2、垃圾短信拦截平台协助运维；3、重要系统IDS、流量清洗设备运维（IDS、CMENT、DNS、网厅）；4、僵木蠕系统监测等。设备运维目标及内容通过定期升级，对云定制化安全设备进行日常运维支撑，满足高可用、易用等使用要求。具体内容如下：按规定周期定期检查并总结设备规则版本及系统版本，并将规则版本升级至官方推荐版本、将系统版本（引擎版本）升级至官方推荐版本，并定期输出《安全设备版本运维记录》。定期进行安全设备状态检查、策略检查、接入检查、配置合规检查、配置备份、日志统计各项工作，并定期输出《安全设备运营运维记录》。结合云网络与业务特征优化安全设备告警监控指标和处理方法，指导针对云计算环境下出现的新类型安全事件的分析及解决，不定期输出《安全设备运营优化建议》。设备运维服务流程采用的服务方式为两种：一种为技术人员现场值守，另一种是定期巡检结合故障现场服务。技术人员现场值守运行运维服务的基本操作流程如下图所示：定期巡检结合故障现场运行运维服务的基本操作流程如下图所示：网络、安全系统运维从网络的连通性、网络的性能、网络的监控管理三个方面实现对网络系统的运维管理。网络、安全系统基本服务内容：序号服务模块内容描述1现场备件安装配合进行，按备件到达现场时间工程师到达现场2现场软件升级首先分析软件升级的必要性和风险，配合进行软件升级3现场故障诊断按服务级别：7×24小时5×8小时4电话远程技术支持7×24小时5问题管理系统对遇到的问题进行汇总和发布（1）现场技术人员值守根据的需求提供长期的现场技术人员值守服务，保证网络的实时连通和可用，保障接入交换机、汇聚交换机和核心交换机的正常运转。现场值守的技术人员每天记录网络交换机的端口是否可以正常使用，网络的转发和路由是否正常进行，交换机的性能检测，进行整体网络性能评估，针对网络的利用率进行优化并提出网络扩容和优化的建议。现场值守人员还进行安全设备的日常运行状态的监控，对各种安全设备的日志检查，对重点事件进行记录，对安全事件的产生原因进行判断和解决，及时发现问题，防患于未然。同时能够对设备的运行数据进行记录，形成报表进行统计分析，便于进行网络系统的分析和故障的提前预知。具体记录的数据包括：配置数据性能数据故障数据（2）现场巡检服务现场巡检服务是对客户的设备及网络进行全面检查的服务项目，通过该服务可使客户获得设备运行的第一手资料，最大可能地发现存在的隐患，保障设备稳定运行。同时，将有针对性地提出预警及解决建议，使客户能够提早预防，最大限度降低运营风险。巡检包括的内容如下：编号巡检内容1硬件运行状态检查项目单板状态检查电源模块状态检查风扇状态检查整机指示灯状态检查机框防尘网检查机房温度、湿度检查设备地线检查2软件运行情况检查项目设备运行情况检查网络报文分析设备对接运行状况检查路由运行情况检查3网络整体运行情况调查网络运行问题调查网络变更情况调查网络历史故障调查（3）网络运行分析与管理服务网络运行分析与管理服务是指技术服务工程师通过对网络运行状况、网络问题进行周期性检查、分析后，为客户提出指导性建议的一种综合性高级服务，其内容包括：服务内容服务优点向客户提供网络专家电话号码。保证重大问题第一连线至网络专家。网络专家组每周与客户进行不少于2小时的电话技术交流以最小成本保证及时解答客户关心的技术问题，并就某一领域技术问题展开深层次沟通。每月向客户提交CASE汇总分析报告，并可扩展到每年17次（月度、季度、年度）使客户了解网络历史故障情况以及故障预防建议，最大程度减少网络故障隐患，更高效的进行网络管理。（3）重要时刻专人值守服务保证重要时刻设备稳定运行对客户成功尤为关键，因此，可对客户提供重要时刻的专人现场值守支持，包括政府客户的重大会议期间、金融客户的年终结算日、运营商客户的生产网重大割接或其它任何客户认为可能对其业务运营产生重大影响的时刻。如需专人值守，客户需至少提前3周与授权服务商客户服务经理联系。对每位合约客户，授权服务商均需按事先合同约定提供专人值守服务。客户如需超出合同约定范围的更多值守支持，需额外支付相应人力和差旅费用。主机、存储系统运维提供的主机、存储系统的运维服务包括：主机、存储设备的日常监控，设备的运行状态监控，故障处理，操作系统运维，补丁升级等内容。主机存储系统基本服务内容：序号服务模块内容描述1现场备件安装配合进行。按备件到达现场时间工程师到达现场2补丁服务消除软件漏洞给系统带来的安全隐患，并对安装补丁所引起的系统连锁反应进行合理的平衡。3升级服务对系统进行软件或硬件的升级，以改进、完善现有系统或消除现有系统的漏洞。4现场故障诊断按服务级别：7×24小时5×8小时5电话远程技术支持7×24小时6问题管理系统对遇到的问题进行汇总和发布7系统优化对客户系统的括主机、存储设备、操作系统、提供优化服务。现场值守人员可进行监控管理的内容包括：CPU性能管理；内存使用情况管理；硬盘利用情况管理；系统进程管理；主机性能管理；实时监控主机电源、风扇的使用情况及主机机箱内部温度；监控主机硬盘运行状态；监控主机网卡、阵列卡等硬件状态；监控主机HA运行状况；主机系统文件系统管理；监控存储交换机设备状态、端口状态、传输速度；监控备份服务进程、备份情况（起止时间、是否成功、出错告警）；监控记录磁盘阵列、磁带库等存储硬件故障提示和告警，并及时解决故障问题；对存储的性能（如高速缓存、光纤通道等）进行监控。数据库系统运维提供的数据库运行运维服务是包括主动数据库性能管理，数据库的主动性能管理对系统运维非常重要。通过主动式性能管理可了解数据库的日常运行状态，识别数据库的性能问题发生在什么地方，有针对性地进行性能优化。同时，密切注意数据库系统的变化，主动地预防可能发生的问题。提供的数据库运行运维服务还包括快速发现、诊断和解决性能问题，在出现问题时，及时找出性能瓶颈，解决数据库性能问题，运维高效的应用系统。的数据库运行运维服务，主要工作是使用技术手段来达到管理的目标，以系统最终的运行运维为目标，提高的工作效率。具体数据库运行运维监控的基本服务内容包括：序号服务模块内容描述1数据库7*24电话支持服务每周7天，每天24小时支持中心电话，电子邮件答询，以满足业务发展的需要。产品技术专家直接同客户对话，帮助解决客户提出的疑难问题。根据问题的严重程度，将优先解决客户认为是关键而紧急的任务。对客户提出的一般性问题进行技术咨询、指导。定期的客户管理报告,避免问题再度发生。2数据库产品现场服务响应数据库宕机数据坏块影响业务不能进行的产品问题软件产品的更新及运维。3数据库产品系统健康检查对系统的配置及运作框架提出建议，以帮助您得到一个更坚强可靠的运作环境降低系统潜在的风险，包括数据丢失、安全漏洞、系统崩溃、性能降低及资源紧张检查并分析系统日志及跟踪文件，发现并排除数据库系统错误隐患检查数据库系统是否需要应用最新的补丁集检查数据库空间的使用情况协助进行数据库空间的规划管理检查数据库备份的完整性监控数据库性能确认系统的资源需求明确您系统的能力及不足优化Server的表现通过改善系统环境的稳定性来降低潜在的系统宕机时间4数据库产品性能调优分析的应用类型和行为评价并修改数据库的参数设置评价并调整数据库的数据分布评价应用对硬件和系统的使用情况，并提出建议利用先进的性能调整工具实施数据库的性能调整培训有关性能调整的概念提供完整的性能调整报告和解决方法中间件运维中间件管理是指对中间件的日常运维管理和监控工作，提高对中间件平台事件的分析解决能力，确保中间件平台持续稳定运行。中间件监控指标包括配置信息管理、故障监控、性能监控。执行线程：监控WebLogic配置执行线程的空闲数量。JVM内存：JVM内存曲线正常，能够及时的进行内存空间回收。JDBC连接池：连接池的初始容量和最大容量应该设置为相等，并且至少等于执行线程的数量，以避免在运行过程中创建数据库连接所带来的性能消耗。检查WEBLOG日志文件是否有异常报错如果有WEBLOG集群配置，需要检查集群的配置是否正常。运维服务管理制度服务时间接收服务请求和咨询：在5*8小时工作时间内设置由专人职守的热线电话，接听内部的服务请求，并记录服务台事件处理结果。在非工作时间设置有专人7*24小时接听的电话热线，用于解决内部的技术问题以及接听7*24小时机房监控人员的机房突发情况汇报。服务响应时间：故障级别响应时间故障解决时间I级：属于紧急问题；其具体现象为：系统崩溃导致业务停止、数据丢失。30分钟，30小时内提交故障处理方案1小时以内II级：属于严重问题；其具体现象为：出现部分部件失效、系统性能下降但能正常运行，不影响正常业务运作。30分钟，30小时内提交故障处理方案2小时以内III级：属于较严重问题；其具体现象为：出现系统报错或警告，但业务系统能继续运行且性能不受影响。30分钟，30小时内提交故障处理方案12小时以内IV级：属于普通问题；其具体现象为：系统技术功能、安装或配置咨询，或其他显然不影响业务的预约服务。30分钟，30小时内提交故障处理方案24天内技术支持人员在解决故障时，会最大限度保护好数据，做好故障恢复的文档，力争恢复到故障点前的业务状态。对于“系统瘫痪，业务系统不能运转”的故障级别，如果不能于1小时内解决故障，将在2小时内提出应急方案，确保业务系统的运行。故障解决后24小时内，提交故障处理报告。说明故障种类、故障原因、故障解决中使用的方法及故障损失等情况。行为规范（1）遵守的各项规章制度，严格按照相应的规章制度办事。（2）与运行运维体系其他部门和环节协同工作，密切配合，共同开展技术支持工作。（3）出现疑难技术、业务问题和重大紧急情况时，及时向负责人报告。（4）现场技术支持时要精神饱满，穿着得体，谈吐文明，举止庄重。接听电话时要文明礼貌，语言清晰明了，语气和善。（5）遵守保密原则。对被支持单位的网络、主机、系统软件、应用软件等的密码、核心参数、业务数据等负有保密责任，不得随意复制和传播。现场服务支持规范运维服务人员要做到耐心、细心、热心的服务。工作要做到事事有记录、事事有反馈、重大问题及时汇报。严格遵守工作作息时间，严格按照服务工作流程操作。现场支持工程师应着装整洁、言行礼貌大方，技术专业，操作熟练、严谨、规范；现场支持时必须遵守单位的相关规章制度。现场支持工程师在进行现场支持工作时必须在保证数据和系统安全的前提下开展工作。现场支持时出现暂时无法解决的故障或其他新的故障时，应告知并及时上报负责人，寻找其他解决途径。（4）故障解决后，现场支持工程师要详细记录问题的发生时间、地点、提出人和问题描述，并形成书面文档，必要时应向介绍故障出现的原因及预防方法和解决技巧。问题记录规范根据使用人员提出问题的类别，将问题分为咨询类问题和系统缺陷类问题二类：咨询类问题是指通过服务热线或现场解疑等方式能够当场解决提出的问题，具有问题解答直接、快速和实时的特点，该问题到现场支持人员处即可中止，对于该类问题的记录可使用咨询类问题记录模版进行记录。系统缺陷类问题是指使用人员提出的问题涉及到系统相应环节的确认修改，需要经过逐级提交、诊断、确认、处理和回复等环节，处理解决需要各外包服务项目组的分析确认，问题有解决方案后，将解决方案反馈给。具体提交流程如下：问题提交。应用信息系统的发现属于系统缺陷类的问题时，填写系统缺陷类问题提交单，提交服务支持人员。问题分析。服务支持接到提交的问题单，要组织相应人员对问题单中描述的问题进行分析研判，确定问题的类型(技术问题、业务问题或者操作问题)。属于技术问题，提交服务技术人员对存在的问题提出具体的处理意见和建议；属于业务问题，提交服务业务人员进行处理；属于操作问题，可安排相关人员对问题提出人进行解释，并将系统缺陷类问题提交单转为系统咨询类问题提交单。问题确认、解决。服务的技术人员和业务人员收到系统缺陷类问题提交单后，对提交的问题进行归类汇总和分析、确认。可以解决的，明确问题解决的具体处理建议和措施，经主管签字同意后，交实施人员进行解决方案的实施。服务人员确认是否解决，并将解决方法附在系统缺陷类问题提交单上反馈给问题提出人员。问题上报。服务人员收到经业务或技术人员确认的系统缺陷类问题提交单后，上报上级部门。（5）问题回复。服务人员根据提交的问题进行分析，制定解决方案并进行实施解决，同时做好变更记录。将解决方案汇总后及时向问题提交单位或问题交办客户作出回复，并将分析过程和问题产生原因一并提交。安全预警服务借助系统网络上已经部署的安全设备，进行安全检测分析，为保证业安全稳定运行，值守期间每天对设备策略日志进行实施观察并根据业务开展情况进行策略调整。安全运维监控中心

结合已有安全设备监控日志信息输出安全分析报告。安全预警通告由统一发出，现场值守人员在接收到安全通告后，对通告内容进行必要的关注，同时，结合资产信息表来确认哪些业务相关的系统可能面临安全威胁，对于此类业务系统，将通知其管理员加强关注并进行必要的修补。基于关键业务点面向业务系统可用性和业务连续性进行合理布控和监测，以关键绩效指标指导和考核信息系统运行质量和运维管理工作的实施和执行，使用全面覆盖信息系统的监测中心，并对各类事件做出快速、准确的定位和展现。实现对信息系统运行动态的快速掌握，以及运行运维管理过程中的事前预警、事发时快速定位。其主要包括：

1.

集中监控：采用开放的、遵循国际标准的、可扩展的架构，整合各类监控管理工具的监控信息，实现对信息资产的集中监视、查看和管理的智能化、可视化监控系统。监控的主要内容包括：基础环境、网络、通信、安全、主机、中间件、数据库和核心应用系统等。

2.

综合展现：合理规划与布控，整合来自各种不同的监控管理工具和信息源，进行标准化、归一化的处理，并进行过滤和归并，实现集中、综合的展现。

3.

快速定位和预警：经过同构和归并的信息，将依据预先配置的规则、事件知识库、关联关系进行快速的故障定位，并根据预警条件进行预警。安全运维告警中心

基于规则配置和自动关联，实现对监控采集、同构、归并的信息的智能关联判别，并综合的展现信息系统中发生的预警和告警事件，帮助运维管理人员快速定位、排查问题所在。

同时，告警中心提供多种告警响应方式，内置与事件响应中心的工单和预案处理接口，可依据事件关联和响应规则的定义，触发相应的预案处理，实现运维管理过程中突发事件和问题处理的自动化和智能化。其中只要包括：

事件基础库运维：是事件知识库的基础定义，内置大量的标准事件，按事件类型进行合理划分和运维管理，可基于事件名称和事件描述信息进行归一化处理的配置，定义了多源、异构信息的同构规则和过滤规则。

智能关联分析：借助基于规则的分析算法，对获取的各类信息进行分析，找到信息之间的逻辑关系，结合安全事件产生的网络环境、资产重要程度，对安全事件进行深度分析，消除安全事件的误报和重复报警。

综合查询和展现：实现了多种视角的故障告警信息和业务预警信息的查询和集中展现。

告警响应和处理：提供事件生成、过滤、短信告警、邮件告警、自动派发工单、启动预案等多种响应方式，内置监控界面的图形化告警方式；提供与事件响应中心的智能接口，可基于事件关联响应规则自动生成工单并触发相应的预案工作流进行处理。

安全运维事件响应中心

借鉴并融合了ITIL（信息系统基础设施库）/ITSM（IT服务管理）的先进管理规范和最佳实践指南，借助工作流模型参考等标准，实施图形化、可配置的工作流程管理系统，将运维管理工作以任务和工作单传递的方式，通过科学的、符合运维管理规范的工作流程进行处置，在处理过程中实现电子化的自动流转，无需人工干预，缩短了流程周期，减少人工错误，并实现对事件、问题处理过程中的各个环节的追踪、监督和审计。其中包括：

图形化的工作流建模工具：实现预案建模的图形化管理，简单易用的预案流程的创建和运维，简洁的工作流仿真和验证。

可配置的预案流程：所有运维管理流程均可由自行配置定义，即可实现ITIL/ITSM的主要运维管理流程，又可根据的实际管理要求和规范，配置个性化的任务、事件处理流程。

智能化的自动派单：智能的规则匹配和处理，基于管理规范的自动处理，降低事件、任务发起到处理的延时，以及人工派发的误差。

全程的事件处理监控：实现对事件响应处理全过程的跟踪记录和监控，根据ITIL管理建议和运维要求，对事件处理的响应时限和处理时限的监督和催办。

事件处理经验的积累：实现对事件处理过程的备案和综合查询，帮助在处理事件时查找历史处理记录和流程，为运维管理工作积累经验。安全运维审核评估中心

该中心提供对信息系统运行质量、服务水平、运维管理工作绩效的综合评估、考核、审计管理功能。其中包括：

评估：遵循国际和工业标准及指南平台的运行质量评估框架，通过评估模型使了解运维需求、认知运行风险、采取相应的保护和控制，有效的保证信息系统的建设投入与运行风险的平衡，系统地保证信息化建设的投资效益，提高关键业务应用的连续性。

考核：是为了在评价过程中避免主观臆断和片面随意性，应实现工作量、工作效率、处理考核、状态考核等功能。

审计：是以跨平台多数据源信息安全审计为框架，以电子数据处理审计为基础的信息审计系统。主要包括：系统流程和输入输出数据以及数据接口的完整性、合规性、有效性、真实性审计。以信息资产管理为核心

IT资产管理是全面实现信息系统运行运维管理的基础，提供的丰富的IT资产信息属性运维和备案管理，以及对业务应用系统的备案和配置管理。

基于关键业务点配置关键业务的基础设施关联，通过资产对象信息配置丰富业务应用系统的运行运维内容，实现各类IT基础设施与关键业务的有机结合，以及全面的综合监控。这其中包括：

综合运行态势：是全面整合现有各类设备和系统的各类异构信息，包括网络设备、安全设备、应用系统和终端管理中各种事件，经过分析后的综合展现界面，注重对信息系统的运行状态、综合态势的宏观展示。系统采集管理：以信息系统内各种IT资源及各个核心业务系统的监控管理为主线，采集相关异构监控系统的信息，通过对不同来源的信息数据的整合、同构、规格化处理、规则匹配，生成面向运行运维管理的事件数据，实现信息的共享和标准化。

系统配置管理：从系统容错、数据备份与恢复和运行监控三个方面着手自身的运行运维体系，采用平台监测器实时监测、运行检测工具主动检查相结合的方式，构建一个安全稳定的系统。应急响应演练人员支撑技术手段安全事件分类与定级安全事件发生后，建议由中国公司负责人对信息安全事件进行评估，确定信息安全事件的类别与级别。针对最常见的主流攻击手段，通过网络或其他技术手段，利用信息系统的配置缺陷、协议缺陷、程序缺陷或使用暴力攻击对信息系统实施攻击，并造成系统异常或对系统当前运行造成潜在危害的信息安全事件。共分成如下几类：拒绝服务攻击恶意代码非授权访问攻击不当应用根据安全事件的性质和严重程度划分等级，分别指定问题确诊时限，和提供解决方案的时限。安全事件分级定义如下：安全事件定级事件级别严重程度事件定义I轻微网络或业务系统出现故障，但暂时不影响业务系统的运行。II普通网络或业务系统出现异常，运行效率降低或出现错误。III严重网络或业务系统无法正常工作。IV紧急网络或业务系统中断或瘫痪。安全事件检测和分析介绍出现列举的四类安全事件，覆盖了常见的攻击手段和现象，客户可根据如下描述进行初步判断和分析，如现象和以下描述吻合应立即启动应急流程，并第一时间通知。拒绝服务攻击恶意代码非授权访问攻击不当应用应急启动应急启动，建议由中国公司安全运维小组发起，第一时间提供技术响应支持。5.12应急流程形成7×24小时应急响应机制（包括现场值守人员和远程后台支持团队），在接收到应急请求或者发生安全事件后，经过初步判断事件类别，通过现象分析、人员访谈取得应急请求或者安全事件的定位，同时分析原因，最终拿出解决方案并协助客户恢复业务和持续跟踪。应急响应时限一般需求响应，响应时限为24小时内；一般安全事件响应，响应时限为12小时内；重大安全事件响应，响应时限为2小时内；需要现场解决的必须保证1小时内到达现场。人员保障应急响应团队，从本地（包括驻场人员）、分支、总部三级，都有实现技术人员互备；支持人员拥有多年的安全行业从业经验，有比较丰富的安全事件处理经验；针对重大活动安保，专门在公司内部进行了流程梳理和相关团队人员的培训，确保协调一致、沟通的有效和及时。设备保障为中国公司预备了各安全设备，用于预防或应对信息安全突发事件。在本地为为此项目提供安全服务项目经验丰富的高级安全工程师3名，本地工程师按照要求远程或者现场及时准确的处理紧急安全事件，具体响应时间详见【应急响应事件时间】应急相应标准机制紧急响应服务服务流程如下所示：准备工作：客户事件档案与客户就故障级别进行定义准备安全事件紧急响服务相关资源为一个突发事件的处理取得管理方面支持组建事件处理队伍提供易实现的初步报告制定一个紧急后备方案随时与管理员保持联系识别事件：在指定时间内指派安全服务小组去负责此事件事件抄送专家小组初步评估，确定事件来源注意保护可追查的线索，诸如立即对日志、数据进行备份（该保存在磁带上或其它不联机存储设备）联系客户系统的相关服务商厂商缩小事件的影响范围：确定系统继续运行的风险如何，决定是否关闭系统及其它措施客户相关工作人员与本公司相关工作人员保持联系、协商根据求制定相的急措施解决问题：事件的起因分析事后取证追查后门检查漏洞分析提供解决方案结果提交专家小组审核后续工作：检查是不是所有的服务都已经恢复攻击者所利用的漏洞是否已经解决其发生的原因是否已经处理保险措施，法律声明/手续是否已经归档急响步骤是否要修改生成紧急响报告拟定一份事件记录和跟踪报告事件合并/录入专家信息知识库应急响应事件时间承诺提供运维服务的7×24小时电话响应和现场技术支持服务，包括对安全评估、渗透测试、安全加固等方面的支持和各种与相关的技术问题解答；提供故障诊断分析和解决方案；严重故障导致系统不能正常运行，最快在20分钟以内现场人员配合甲方完成故障处理工作。故障响应和解决时限：响应时间解决时限接到服务请求后5分钟内给予答复，15分钟内到达现场；20分钟内修复应急响应标准流程公司对所提供的安全应急响应服务制定了完善的应急流程，如果在系统运行过程中出现任何不可预知的安全事件，都要严格按照以下流程进行应急响应：安全应急事件处理如果在安全服务过程中出现一些不可预知的安全事件，则在事件处理完毕后出具相应的事件报告。应急响应服务内容针对信息系统提供最少4次/年的应急响应服务，在信息系统运行工作期间，若出现突发紧急事件（病毒爆发、严重攻击、信息外泄、网络入侵），安全应急人员迅速响应并进行有效处理，协助恢复业务系统，对发生的安全事件需编制分析报告及整改建议。系统运维不限于安全集中整合平台、安全域、垃圾短信拦截平台、IDS和流量清洗等系统运维概述系统运维工作在整个系统生命周期中常常被忽视。人们往往热衷于项目实施，当实施工作完成以后，多数情况下实施队伍被解散或撤走，而在系统开始运行后并没有配置适当的系统运维人员。这样，一旦系统发生问题或环境发生变化，最终将无从下手，这就是为什么有些信息系统在运行环境中长期与旧系统并行运行不能转换，甚至最后被废弃的原因。随着信息系统应用的深入，以及使用寿命的延长，系统运维的工作量将越来越大。系统运维的费用往往占整个系统生命周期总费用的60%以上，因此有人曾以浮在海面的冰山来比喻项目实施与运维的关系，项目实施工作如同冰山露出水面的部分，容易被人看到而得到重视，而系统运维工作如同冰山浸在水下部分，体积远比露出水面的部分大得多，但由于不易被人看到而常被忽视：从另一方面来看，相对具有“开创性”的项目实施来讲，系统运维工作属于“继承性”工作，挑战性不强，成绩不显著，使很多技术人员不安心于系统运维工作，这也是造成人们重视实施而轻视运维的原因。但系统运维是信息系统可靠运行的重要技术保障，必须给予足够的重视系统运维流程的每个运维请求都以书面形式的“运维申请报告”向运维管理员提出，对于纠错性运维，报告中必须完整描述出现错误的环境，包括输入数据、输出数据以及其他系统状态信息；对于适应性和完善性运维，应在报告中提出简要的需求规格说明书。运维管理员根据提交的申请，召集相关的系统管理员对运维申请报告的内容进行核实和评价。对于情况属实并合理的运维要求，应根据运维的性质、内容、预计工作量、缓急程序或优先级以及修改所响系统的运行，则应安排立即开始修改工作；如果运维不是很严重，可与其他运维项目结合起来从运维实施资源上统筹安排；对于适应性或完善性运维要求，高优先级的安排在运维计划中，优先级不高的可视为一个新的实施项目组织实施。运维计划的内容应包括：运维工作的范围、所需资源、确认的需求、运维费用、维修进度安排以及验收标准产生的变化结果等，编制运维报告，提交运维控制部门审批。运维控制部门从整个系统出发，从业务功能合理性和技术可行性两个方面对运维要求进行分析和审查，并对修改所产生的影响做充分的估计，对于不妥的运维要求在与协商的条件下予以修改或撤销。通过审批的运维报告，有运维管理员根据具体情况制定运维计划。对于纠错性运维，估计其缓急程度，如果运维十分紧急，严重影等。运维管理员将运维计划下达给系统管理员，有系统管理员安计划进行具体的修改工作。修改后应经过严格的测试，以验证运维工作的质量。测试通过后，再由和管理部门对其进行审核确认，不能完全满足运维要求的应返工修改。只有经过确认的运维成果才能对系统的相应文档进行更新，最后交付使用。系统运维之所有要按照严格的步骤进行，是为了防止未经允许的擅自修改系统，因为无论是直接找程序人还是程序人员自行修改程序，都将引起系统混乱，如出现不及时更新文档造成程序与文档不一致，多个人修改的结果不一致，以及缺乏全局考虑的局部修改等。当然运维审批过程的环节多也可能带来反应速度慢，因此当系统发生恶性或紧急故障时，也即出现所谓“救火”的运维要求是，需立即动用资源解决问题，以保证业务工作的连续进行。为了评价运维的有效性，确定系统的质量，记载系统所经历过的运维内容，应将运维工作的全部内容以文档的规范化形式记录下来，主要包括运维对象、规模、语言、运行和错误发生的情况，运维所进行的修改情况，以及运维所付出得代价等，作为项目实施文档的一部分，形成历史资料，以便于日后备查。运维旧意味着对系统进行修改，修改对于系统来讲有一些副作用，即由于修改而出现错误或其他不合要求的行为，这种副作用主要来自3个方面：第一对源代码的修改可能会引入新的错误，一般可以通过回归测试发现这类副作用；第二，对数据结构进行修改，如局部或全局变量的重新定义，文件格式的修改等，可能会带来数据的不匹配等错误，在修改时必须参照系统文件中关于数据结构的详细描述和模块间的数据交叉引用表，以防局部的修改影响全局的整体作用；第三，任何对源程序的修改，如不能对相应的文档进行更新，造成源程序与文档的不一致，必将给今后的应用和运维工作造成混乱。在系统运维中，应该注意以上3个问题，以避免修改带来的副作用。另外，在安排系统运维人员工作时应注意，不仅要使每个人员的运维职责明确，而且对每一个子系统或模块至少应安排两个人可以进行运维工作，这样可以避免系统运维工作对某个人的过分依赖，防止由于工作调动等原因，使运维工作受到影响，应尽量保持运维人员队伍的稳定性，在系统运行尚未暴露出问题时，运维人员应着重于熟悉掌握系统的有关文档，了解功能的程序实现过程，一旦运维要求提出后，他们就应快速高质量地完成运维工作。最后，应注意系统运维的限度问题。系统运维是在原有系统的基础上进行修改，调整和完善。使系统能够不断适应新环境、新需要。但一个系统终会有生命周期结束的时候，当对系统的修改不再奏效，或修改的困难很多且工作量很大、花费过大，以及改进、完善的内容远远超出原系统的设计要求时，就应提出研制新系统的要求，从而开始一个新的系统生命周期。系统运维的内容系统运维是面向系统中各个构成因素的，按照运维对象不同，系统运维的内容可分为以下几类：（1）系统应用程序运维。应用软件运维是系统运维的最主要内容。它是指对相应的应用程序及有关文档进行的修改和完善。系统的业务处理过程是通过应用程序的运行而实现的，一旦程序发生问题或业务发生变化，就必然地引起程序的修改和调整，因此系统运维的主要活动是对程序进行运维。（2）数据运维。数据库是支撑业务运作的基础平台，需要定期检查运行状态。业务处理对数据的需求是不断发生变化的，除了系统中主体业务数据的定期正常更新外，还有许多数据需要进行不定期的更新，或随环境或业务的变化而进行调整，以及数据内容的增加、数据结构的调整。此外，数据的备份与恢复等，都是数据运维的工作内容。（3）代码运维。代码运维是指对原有的代码进行的扩充、添加或删除等运维工作。随着系统应用范围的扩大，应用环境的变化，系统中的各种代码都需要进行一定程度的增加、修改、删除，以及设置新的代码。（4）硬件设备运维。主要就是指对主机及外设的日常运维和管理，如机器部件的清洗、润滑，设备故障的检修，易损部件的更换等，这些工作都应由专人负责，定期进行，以保证系统正常有效地工作。（5）机构和人员的变动。信息系统是人机系统，人工处理也占有重要地位，人的作用占主导地位。为了使信息系统的流程更加合理，有时涉及到机构和人员的变动。这种变化往往也会影响对设备和程序的运维工作。系统运维的类型系统运维的重点是系统应用软件的运维工作，按照软件运维的不同性质划分为下述4种类型：（1）纠错性运维。由于系统测试不可能揭露系统存在的所有错误，因此在系统投入运行后频繁的实际应用过程中，就有可能暴露出系统内隐藏的错误。诊断和修正系统中遗留的错误，就是纠错性运维。纠错性运维时在系统运行中发生异常或故障时进行的，这种错误往往是遇到了从未用过的输入数据组合或是在与其他部分接口处产生的，因此只是在某些特定的情况下发生。有些系统运行多年以后才暴露出在项目实施中遗留的问题，这是不足为奇的。（2）适应性运维。适应性运维时为了使系统适应环境的变化而进行的运维工作。一方面计算机科学技术迅速发展，硬件的更新周期越来越短，新的操作系统和原来操作系统的新版本不断推出，外部设备和其他系统部件经常有所增加和修改，这就是必然要求信息系统能够适应新的软硬件环境，以提高系统的性能和运行效率；另一方面，信息系统的使用寿命在延长，超过了最初实施这个系统时应用环境的寿命，即应用对象也在不断发生变化，机构的调整，管理体制的改变、数据与信息需求的变更等都将导致系统不能适应新的应用环境。如代码改变、数据结构变化、数据格式以及输入/输出方式的变化、数据存储介质的变化等，都将直接影响系统的正常工作。因此有必要对系统进行调整，使之适应应用对象的变化，满足的需求。（3）完善性运维。在系统的使用过程中，往往要求扩充原有系统的功能，增加一些在软件需求规范书中没有规定的功能与性能特征，以及对处理效率和编写程序的改进。例如，有时可将几个小程序合并成一个单一的运行良好的程序，从而提高处理效率；增加数据输出的图形方式；增加联机在线帮助功能；调整界面等。尽管这些要求在原来项目实施的需求规格说明书中并没有，但要求在原有系统基础上进一步改善和提高；并且随着对系统的使用和熟悉，这种要求可能不断提出。为了满足这些要求而进行的系统运维工作就是完善性运维。（4）预防性运维。系统运维工作不应总是被动地等待提出要求后才进行，应进行主动的预防性运维，即选择那些还有较长使用寿命，目前尚能正常运行，但可能将要发生变化或调整的系统进行运维，目的是通过预防性运维为未来的修改与调整奠定更好的基础。例如，将目前能应用的报表功能改成通用报表生成功能，以应付今后报表内容和格式可能的变化，根据对各种运维工作分布情况的统计结果，一般纠错性运维占21%，适应性运维工作占25%，完善性运维达到50%，而预防性运维以及其他类型的运维仅占4%，可见系统运维工作中，一半以上的工作室完善性运维。系统运维注意事项运维的背景（1）系统的当前情况（2）运维对象。（3）运维工作的复杂性与规模。运维工作的影响（1）对新系统目标的影响。（2）对当前工作进度的影响。（3）对本系统其它部分的影响。（4）对其他系统的影响。资源要求（1）对运维提出的时间要求。（2）运维所需费用（并与不进行运维所造成的损失比是否合算）。（3）运维所需的工作人员重大节日安全保障全年节假日的安全保障，节日期间进行安全监测并提供监控日志，确保重要系统安全运行1、安全预警、重要会议7*24监测、僵尸程序处置跟进；2、定期（周、月）开展WEB站点、重要系统自扫描，每季度实现全网系统扫描（具体扫描工作由专业人士完成，重点是统计分析）；3、工程建设系统三同步入网扫描和验收工作。在重大节日前和重要活动前进行一次系统的安全检查（漏洞、弱口令、web脆弱性）。节假日期间每天统计和分析当天监控日志，发送日报。每隔一小时观察关键的对外的业务系统平台，如网上营业厅系统等，利用测试号进行业务功能测试。重大节日安全保障目标重大节日安全保障范围承载信息系统管理部核心业务系统的基础IT设备，包括主机、数据库、中间件和各类网络设备，如路由器、交换机、负载均衡设备等。包括信息系统管理部各类安全防护系统，如防病毒系统、赛门铁克等。重大节日安全保障内容事前服务：在重大活动开始之前完成对服务范围内的系统进行全面安全检查，并进行提供安全优化加固的建议。事中值守：在重大活动期间提供增强的安全运维服务，包括至少额外增派一名经验丰富的专家进行现场值守；安全职守时间，自重大活动前1周到重大活动结束；应按日和周提供《系统安全运行报告》，前一日和周的系统遭受攻击情况、应急处理情况等进行总结报告；事后服务：应在活动结束后1周内提供《重大节日安全保障服务报告》，对重大活动之前的安全检查、期间的安全值守情况等进行总结。安全加固服务网络安全管控平台、合规平台、安全集中整合平台、安全域、垃圾短信拦截平台、IDS、防病毒和流量清洗等系统的主机操作系统安全加固实施工作。加固方法确定本项服务是首次安全增强服务中对于应用系统安全的实现部分，也是整个项目中关键环节，本项服务的质量直接影响到本次评估范围内所有设备的安全性。安全加固流程

网络优化方案及系统加固方案网络优化方案及系统加固方案根据加固规范及系统特点生成风险规避方案提交实施申请方案与用户确认HYPERLINK\l"系统加固1"系统加固1同期记录现场培训二次评估确认加固报告启用风险规避方案/恢复加固异常继续加固修改方案放弃加固实施加固新加固方案一切正常安全加固流程图系统加固安装安全补丁安装安全补丁安全配置安全机制文件系统用户管理安全加固步骤准备工作一人操作，一人记录，尽量防止可能出现的误操作。收集系统信息加固之前收集所有的系统信息和服务需求，收集所有应用和服务软件信息，做好加固前预备工作。做好备份工作系统加固之前，先对系统做完全备份。加固过程可能存在任何不可遇见的风险，当加固失败时，可以恢复到加固前状态。加固系统按照系统加固核对表，逐项按顺序执行操作。复查配置对加固后的系统，全部复查一次所作加固内容，确保正确无误。应急恢复当出现不可预料的后果时，首先使用备份恢复系统提供服务，同时与总部安全专家小组取得联系，寻求帮助，解决问题。实施验证加固实施工程师在按照上述加固操作细节执行完毕后，由运维人员对主机上承载的业务进行验证，确认加固操作安全可靠，并对业务的正常运行无任何影响。加固验证按照整个的加固流程，在这个加固操作执行完毕后，由安全评估商对所加固的系统进行二次评估，从而对系统的安全现状进行再次评估，也是对安全加固操作的一个有效的确认。而对与有些为加固的系统以及系统中未执行的加固项，都会在加固最终的实施报告中予以体现。补丁管理在补丁发布后，值守人员需代拟定一份补丁安全通告，该通告用于通过邮件、工单等形式下发给相关管理员，用于告知补丁升级情况，安全通告符合甲方规范和管理流程。服务流程项目时间安排根据此次项目服务内容、特殊要求和服务期限等制定如下项目进度计划以供项目工作的开展。

实施人员简历分工界面项目组织服务项目部：项目总体指挥，人力资源宏观调配项目小组之间的沟通和协调项目进度、工程质量总体控制和宏观指导；重要阶段评审和考核；对项目出现的重大问题进行协调和指导。项目咨询顾问及经验总结项目实施组：负责日常安全运维；保证项目按时和按照一定的质量标准完成；详细记录项目的实施记录，形成必要的工程文档；及时上报项目中出现的问题，并在获得指示后解决问题；负责对进行安全技术、管理等方面的培训。详细记录日常安全势态，并形成安全态势分析报告；现场协助客户处理平时运维工作中遇到的安全问题；按时提交服务报告。质量监督组：对项目组服务质量进行监督、考查；负责阶段性地对项目质量进行考核和跟踪对项目组文档规范贯彻进行督促、检查；检查结果提交考核部门，作为项目组绩效考评重要依据。技术支撑组：编写、制定项目技术方案；提供高端技术咨询服务；应急响应处理服务支援；现场紧急安全事件处理；协助进行安全态势分析；提交相关技术报告和安全建议。项目组织人员角色建议成立相关的组织时，考虑针对不同角色定义相关责任人，并且建议至少有2名人员全程介入项目。下表是对客户方项目组角色和职责要求：高层管理人员具有对商务、技术及所有相关部门进行协调和最终决策的人员项目经理协调实施方和客户之间工作进程和人员之间协调的工作商务负责人对所有商务人员具有管理权限的人员.技术负责人对所有信息技术人员具有管理权限的人员日常事务联系人协助实施方顾问人员提供各种帮助和服务的人员，如办公用具、食宿安排等。安全顾问客户方聘请的其他项目安全顾问采购人员硬件采购人员，软件采购人员，服务采购人员律师和实施方公司的律师一起，确保项目各方面的法律符合性实施人员公司应用项目实施人员硬件运维人员对公司计算机及相关设备的运维人员网络运维人员对公司的内部网及广域网进行配置及运维的人员系统运维人员对公司应用系统,数据库系统,操作系统进行运维的人员第三方应用项目实施人员为客户方提供应用项目实施的第三方人员第三方信息系统运维人员为客户方提供信息系统运维的第三方人员安全管理人员对客户方的信息系统进行安全管理的人员安全文档运维人员对所有相关的文档进行整理和管理的人员项目办公环境相对独立的办公环境，可以容纳十个人或以上；有两条以上的电话线，并且其中至少有一条具有长途权限；可以较方便的接入Internet；同时提供一个保险柜，用于保存工作中的各类过程文档，以防止丢失；提供相关网络设备和电缆，可供在办公环境中组成局域网；提供一台打印机，以便文档的输出。审计顾问访谈在项目实施过程中，提出书面的问题调查清单，由顾问进行问题讲解，和客户方相关人员共同回答，并询问相关背景和相关证据，详细了解了其职责范围内的安全现状。针对不同部门和人员的职责，需要安排不同部门和不同人员回答，可能涉及到几个部门和人员清单如下：序号安全内容回答人员1安全策略管理层2安全组织管理层3人员安全管理层或人力资源部人员4资产管理负责资产管理管理人员资金资产处负责资产人员5日常运行管理运维人员或运行运维处负责6物理和环境安全负责机房管理人员7业务系统软件实施软件实施部门或外包软件实施负责人员8访问控制技术人员9审计和跟踪技术人员10响应和恢复技术人员11内容安全技术人员12业务连续性规划管理层资料文档信息资产清单信息资产清单中主要包括服务器，安全设备，网络设备、应用软件、业务系统等资产类型，需按照清单要求提供相关资产的详细信息。安全策略文档策略文档的搜集范围包括信息安全相关的策略、规定、流程、指南、通知、条例、处理办法等等任何正式成文的内容。这些文档可以是已经正式发布的，也可以是正在编制和修改的。可能会有的文档示例如下：编号资料名称1故障处理管理办法.doc2软件版本管理办法.doc3割接入网审批制度.doc4外来人员进入机房注意事项.doc5值班与交接班制度.doc6安全保密规定.doc7机房管理要求.doc8运维规则.doc9请示报告制度.doc10申告管理.doc11运行运维管理规程.doc12系统运维流程系列文件13岗位职责定义系列文件14策略纲要15技术规范16体系框架17通信要害安全管理规定18职工违纪惩处实施细则网络系统信息主要包括网络拓扑结构、业务系统拓扑结构文件、业务简要流程等网络及业务相关的说明文件。现有安全文档列出信息资产已经具有的安全措施、有效的安全服务和安全控制手段。项目设备本次安全服务项目实施过程中将会使用漏洞评估系统、渗透测试系统等，其中漏洞评估系统及渗透测试系统等由提供，施工时将由实施人员带入现场，客户方提供必要接口即可。工具详细说明代码审计工具代码审计的系统原理静态源代码审计是近年被人提及较多的软件应用安全解决方案之一。它是指在软件项目中，程序员在写好源代码后，无经过编译器编译，而直接使用一些审计工具对其进行审计，找出代码当中存在的一些安全漏洞的解决方案。这个方案的优点在于，无进行编译、也无去搭建运行环境，就可以对程序员所写的源代码进行审计。可以节省大量的人力和时间成本，提高实施效率，并且能够发现很多靠人力无法发现的安全漏洞，站在黑客的角度上去审查程序员的代码，大大降低项目中的安全风险，提高软件质量。在静态源代码审计技术上，现在被普遍应用的是第一代和第二代技术。系统功能特性和性能指标软件功能分类1.管理应用：接受客户端扫描和查询请求，规则自定义，集中式提供企业级的、角色和团队管理、权限管理、扫描结果管理、扫描调度和自动化管理、扫描资源管理、查询规则管理、扫描策略管理、更新管理、报表管理。2.扫描引擎：执行具体扫描（分布式扫描和并行扫描），接受管理应用的扫描任务，并将扫描的结果存放在数据库，供管理应用查询和管理。3.客户端：管理应用的瘦客户端，可以允许多个客户端在局域网内按照所赋予的权限和级别执行相应的代码扫描和结果审查及管理。4.web客户端：Webservice用于公司局域网或者外部网络采用webbrowser或者IDE实施插件使用扫描服务。5.Web浏览器、Eclipse和VisualStudioPlugin：客户端，用于公司局域网或者外部Internet网络采用webbrowser或者IDE实施插件使用扫描服务、管理扫描结果。功能模块1.管理应用：接受客户端扫描和查询请求，规则自定义，集中式提供企业级的、角色和团队管理、权限管理、扫描结果管理、扫描调度和自动化管理、扫描资源管理、查询规则管理、扫描策略管理、更新管理、报表管理。2.扫描引擎：执行具体扫描（分布式扫描和并行扫描），接受管理应用的扫描任务，并将扫描的结果存放在数据库，供管理应用查询和管理。3.客户端：管理应用的瘦客户端，可以允许多个客户端在局域网内按照所赋予的权限和级别执行相应的代码扫描和结果审查及管理。4.Web客户端：Webservice用于公司局域网或者外部网络采用webbrowser或者IDE实施插件使用扫描服务。5.Web浏览器、Eclipse和VisualStudioPlugin：客户端，用于公司局域网或者外部Internet网络采用webbrowser或者IDE实施插件使用扫描服务、管理扫描结果。功能列表1.管理应用：接受客户端扫描和查询请求，规则自定义，集中式提供企业级的、角色和团队管理、权限管理、扫描结果管理、扫描调度和自动化管理、扫描资源管理、查询规则管理、扫描策略管理、更新管理、报表管理。2.扫描引擎：执行具体扫描（分布式扫描和并行扫描），接受管理应用的扫描任务，并将扫描的结果存放在数据库，供管理应用查询和管理。3.客户端：管理应用的瘦客户端，可以允许多个客户端在局域网内按照所赋予的权限和级别执行相应的代码扫描和结果审查及管理。4.Web客户端：Webservice用于公司局域网或者外部网络采用webbrowser或者IDE实施插件使用扫描服务。5.Web浏览器、Eclipse和VisualStudioPlugin：客户端，用于公司局域网或者外部Internet网络采用webbrowser或者IDE实施插件使用扫描服务、管理扫描结果。功能描述源代码安全漏洞的扫描、结果分析和管理源代码技术和逻辑缺陷调查、分析及规则自定义。扫描团队和权限管理扫描自动化及任务调度管理私有/公有虚拟云服务软件和安装所在硬件设备对照表。组件要求操作系统WindowsXP32/64-bitWindows732/64-bitWindows2003Server32/64-bitWindows2008Server32/64-bitWindows2012Server64-bit浏览器InternetExplorer7InternetExplorer8InternetExplorer9Safari6Chrome24Firefox18支持的Eclipse版本Eclipse3.5.2Eclipse3.6.2Eclipse3.7.2Eclipse4.2.2支持的VisualStudio版本VisualStudio2005VisualStudio2008Visualstudio2010Visualstudio2012内存[1]最小值：Express

版本：512MB所有其他版本：1GB建议：Express

版本：1GB所有其他版本：至少

4GB

并且应该随着数据库大小的增加而增加，以便确保最佳的性能。处理器速度最小值：x86

处理器：1.0GHzx64

处理器：1.4GHz建议：2.0GHz

或更快处理器类型x64

处理器：AMDOpteron、AMDAthlon64、支持

IntelEM64T

的

IntelXeon、支持

EM64T

的

IntelPentiumIVx86

处理器：PentiumIII

兼容处理器或更快软件的体系结构关键技术第二代的静态源代码扫描技术。这种技术可简单的理解为，把代码劈开，把待分析的代码及代码之间的关系以对象的方式存放在内存中，同时也使用了一种可以接受的算法在有效的时间里描绘出应用的路径图形，并采用了一种特殊的查询语言CxQL来查找安全问题，每一个查询语句就针对一类安全漏洞问题，因此几乎可以达到完美的结果,消除了误报(falsepositive)扫描和分析的输入数据是软件源代码，不是二进制代码，因此不需要进行代码构建或者编译，也不需要提供任何代码依赖的库。只需要上传源代码，或设定自动扫描时间，就可以定期收到扫描分析结果。代码甚至不需要被正确编译或链接。因此，可以在软件项目的实施生命周期中任何一个给定时间点运行扫描并生成安全报告。从而保证代码安全漏洞和质量缺陷一产生就可以被识别，尽早修复，降低软件安全和质量缺陷修复的成本。工具特点操作系统独立代码审计不依赖于特定操作系统，只在在企业范围内部署一台审计服务器，就可以审计其它操作项目实施环境下的代码，包括但不限于如下操作系统Windows、Linux、AIX，HP-Unix,MacOS,Solaris,无在每种平台安装相应的版本,节约相关平台的软硬件成本。

编译器独立、实施环境独立，搭建测试环境简单快速且统一由于采用了独特的虚拟编译器技术，代码审计不需要依赖编译器和实施环境，无为每种实施语言的代码安装编译器和测试环境，只要通过客户端、浏览器、实施环境服务插件登录到管理应用Application服务器，提供本地代码审计代码的目录、远程代码目录、和版本管理代码目录（Subversion、CVS，ClearCase即可，审计代码无通过编译过程。搭建测试环境快速简单，无像其它的静态分析工具，在相应的操作系统上安装相应的工具软件包，安装众多实施工具和代码依赖的第三方库及软件包、安全服务代码通过编译，方可进行测试。安装一次，即可审计Java代码、C/C++代码、.NET代码JSP、JavaSript、VBSript、.、C#、ASP.net、VB.Net、VB6、、ASP、Perl、ApexVisualForce,Android、OWASPESAPI、MISRA、和Objective-C(iOS)…等各种语言代码，并且不管这些代码是在windows平台、Linux平台或者其它平台的。

工具学习、培训和使用的成本少，最小化影响实施进度由于编译器、操作系统和实施环境独立，使用者无去学习每种平台下如何去编译代码，安全服务代码、如何审计测试代码，无去看每种平台下繁琐的使用手则。因为该服务只要提供源代码即可审计，并给出精确的审计结果。低误报该产品企业服务在审计过程中全面分析应用的所有路径和变量。准确的分析结果，验证可能的风险是否真正导致安全问题，自动排除噪音信息，审计结果几乎就是最终的分析结果，其误报率（FalsePositive）几乎为零。极大的减少了审计分析的人工劳动成本，极大的节省了代码审计的时间，为实施团队赢得更多的实施时间。安全漏洞覆盖面广且全面(低漏报)数以百计的安全漏洞检查适合任于何组织，支持最新的OWASP、CWE、SANS、PCI、SOX等国际权威组织对软件安全漏洞的定义。漏洞覆盖面广，安全检查全面，其自定义查询语言CxQL可以让灵活制定要的代码规则，极大的丰富组织特定的代码安全和代码质量的要。安全查询规则清晰且完全公开实现规则定义清晰，并完全公开所有规则的定义和实现让清楚知道工具如何去定义风险、如何去查找风险，透明各种语言风险。让知道工具已经做了那些工作，没有做那些该工作。而不是给一个黑匣子，无法了解工具的细节和缺陷，无法在代码审计过程中规避工具的风险（比如漏报和误报），比如利用人工或者其它手段查找工具不能定位的问题。安全规则自定义简单高效由于公开了所有规则实现的细节和语法，可以快速修改规则或者参考已有的规则语句自定义自己要规则，规则学习，定义简单高效。能快速实现组织软件安全策略。可以累积试验室的安全研究成果,把实验室的成果转换成查询规则,然后用自动化的方式去验证试验室的安全知识对实际系统的应用情况.审计性能10万行代码审计时间在10~30分钟不等，视代码复杂度和硬件配置而不同。安全规则自定义简单高效由于公开了所有规则实现的细节和语法，可以快速修改规则或