信息安全保障体系设计

信息安全保障体系设计第1页/共115页安全威胁案例分析第2页/共115页案例的分析防火墙策略配置不合理主机弱口令严重溢出漏洞相互信任关系没有划分DMZ防火墙存在旁路缺乏紧急响应体系和机制拨号用户InternetDMZ区外部WWWDNSE-mail等代理服务器内部WWWDNSMailDateabse总公司用户分公司服务器分公司用户服务器分公司用户下属公司专线专线拨号用户Internet移动用户财务系统拨号用户没有完整的安全漏洞和风险评估机制没有设置网关层的防病毒用户单位版防病毒不理想没有安全管理制度没有对重要的设备进行安全加固对攻击行为和恶意操作不能够及时发现第3页/共115页深层原因分析问题产生的主要原因不清楚主要的安全问题和安全风险缺乏整体和良好的安全方案设计在安全制度规范、安全组织和运作流程方面存在缺欠第4页/共115页安全工程生命周期模型被忽略第5页/共115页如何解决这些问题？通过安全评估来清晰地了解当前的安全现状和面临的安全风险针对现状进行整体和良好的解决方案设计和规划建立安全策略和制度规范体系，健全安全管理体系建立合适的安全日常维护体系如何获得这些呢？通过专业的安全咨询和服务第6页/共115页信息安全保障体系设计第7页/共115页信息安全的两个方面面向数据和信息的安全通过安全服务，安全产品解决面向访问（人）的安全通过安全咨询解决第8页/共115页安全防御理论的发展数据传输加密密码与加密技术通讯保密安全防护保障体系静态安全防护网络隔离访问控制鉴别与认证安全审计强调管理深度多重防御策略，人，技术，操作动态安全第9页/共115页1、信息安全必须建立体系2、信息安全是长期的工作3、建立一级监控二级维护的体系4、安全项目需要以流程为核心5、重状态，轻过程；6、管理必须通过技术实现7、先控制后监控8、安全是动态平衡的，但要以不变应万变9、没有百分百安全，做到0损失0响应10、信息安全是12分的维护、7分的管理、3分的技术我们的安全理念第10页/共115页安全保障体系理念－等级化项目的主要环节的成果都进行等级化可以参照的主要安全标准等级安全保障强健性等级：IATFSML，安全保护技术等级：GB17859，过程安全等级：ISO15408/GB18336EAL工程成熟度等级：SSE-CMM，国家等级化评估标准第11页/共115页安全保障体系方法-等级化安全体系二安全对策框架一保护对象框架三威胁分析过程第12页/共115页保障体系理念－多重深度防护战略不仅关注安全属性，同时关注安全环节人，策略，技术，操作强调安全管理深度多重防护，防止单点失效风险管理和风险控制原则安全性与成本、效率之间平衡原则第13页/共115页安全保障体系模型深度安全防护战略组织体系技术体系运作体系保护区域边界深度防护目标区域检测&响应集中监控平台支持性基础设施信息安全保障体系策略体系网络基础构架设计和建设维护服务器安全基线第14页/共115页信息安全保障体系体系名称内容描述策略体系安全策略的开发建立，执行，审核修订等组织体系主要是管理体系。在组织体系中的主要工作是安全组织建设、第三方管理、外聘顾问、培训教育、资质认证等。技术体系鉴别和认证：多种鉴别和认证技术访问控制：主机，网络设备、安全域的隔离和划分，防火墙等内容安全：防病毒，可信信道等冗余和恢复：冗余备份，业务连续性等审计响应：统一时钟服务、日志监控、系统、入侵监测系统等运作体系主要是技术人员的运维体系。包括技术人员的组织建设、技术人员的工作内容，技术人员的工作考核。日常工作包括：资产鉴别、周期性风险评估、紧急响应体系、定期的评估加固、集中监控维护等。第15页/共115页安全策略体系第16页/共115页用户单位信息系统中的安全事故第17页/共115页人员安全管理信息系统的标准操作流程怎么做系统维护人员的权利和责任谁做技术人员和服务承包商的服务水平定量评估性能评估第18页/共115页安全策略体系第19页/共115页主策略国际/国家标准NIST顾问公司访谈结果技术体系管理体系安全技术安全设备业务安全技术人员组织信息资产物理环境运行维护访问控制系统开发业务保障安全审计操作手册流程、细则第一层第二层第三层第20页/共115页完善的用户单位安全策略体系安全域划分和安全等级映射物理管理策略人员安全策略网络安全策略系统安全策略应用安全策略日志审计策略备份恢复策略第21页/共115页第22页/共115页安全策略体系核心内容策略是用户单位核心第23页/共115页策略体系执行层次-落实责任

第24页/共115页策略宣贯的合理流程设计第25页/共115页安全策略执行方法流程分发安全策略安全策略培训安全策略考核安全策略执行跟踪第26页/共115页安全组织体系第27页/共115页安全组织体系构架设计第28页/共115页安全组织体系-工作职责1、工作职责分类2、总体职责3、安全管理职责4、信息安全连续性的职责5、安全审计职责6、安全事故处理职责7、安全项目申请职责第29页/共115页安全技术体系第30页/共115页信息技术体系-安全技术框架第31页/共115页信息技术体系-主要内容

项目、任务、工作鉴别和认证动态口令系统在高安全级别系统强制推行强认证资产鉴别和分类项目PKI体系可行性分析统一时钟服务访问控制网络拓扑结构/体系结构安全分析网络设备安全网络安全域的隔离和划分防火墙和网络隔离主机和网络设备安全基于WEB应用的访问控制审计跟踪日志监控系统入侵监测系统漏洞扫描系统用户网络行为监控响应和恢复备份和恢复业务连续性管理内容安全防病毒可信通道第32页/共115页鉴别和认证Login: JSMITHPasscode:2468723656PINTOKENCODE令牌码:每60秒变化一次唯一的64-bit种子内部电池与UCT时钟同步PASSCODE=+PINTOKENCODE第33页/共115页FirewallRASIntranetMainframeEnterpriseWeb动态身份认证将保护...ManagerAgentInternetAccessApplicationAccessDialUpAccessNTLANAccessInternetAgentWebServerWebPage第34页/共115页访问控制1业务系统安全域的划分2业务系统的网络结构3安全域之间的访问控制4业务系统的安全防护措施第35页/共115页安全域设计第36页/共115页安全域拓扑图第37页/共115页审计跟踪第38页/共115页审计跟踪-逻辑部署图第39页/共115页恢复和响应第40页/共115页应急处理的目标避免没有章法、可能造成灾难的响应。更快速和标准化的响应。确认或排除是否发生了紧急事件。使紧急事件对业务或网络造成的影响最小化。保护用户单位、组织的声誉和资产。教育高层管理人员。提供准确的报告和有价值的建议。第41页/共115页内容安全

针对文件系统和病毒防范的保护，结合TRIPWIRE，配置一套文件监控系统，一旦文件系统发生变化及时进行报警。第42页/共115页3确信是否有文件被改变磁盘中文件建立正常状态的基准快照1已知正常状态监控和基准的差异，快速通知和报告检测出的变化2报告出哪些文件被增加、删除和改变第43页/共115页安全技术体系核心思想1、技术体系的框架必须划分清楚2、技术体系设计必须与安全需求完全结合3、技术的实施需要分步骤、分区域的实施第44页/共115页信息安全运维体系第45页/共115页安全运维体系构架第46页/共115页安全运作体系-维护流程第47页/共115页如何建立安全保障体系

第48页/共115页Consulting安全咨询Implementation安全实施Management安全维护Education教育培训发现问题、提出问题防止问题、处理问题解决问题安全保障体系实施-工作分类第49页/共115页安全咨询资产界定风险评估制度制订解决方案制定发现问题提出问题第50页/共115页第51页/共115页风险评估基本流程资产识别与估价威胁评估弱点评估影响评估现有安全措施评估风险评估安全需求第52页/共115页风险评估工作内容安全扫描人工评估数据库评估渗透测试网络架构分析用户访谈问卷调查应用评估第53页/共115页信息安全解决方案规划项目紧迫性分析项目可实施性分析项目实施难易程度分析项目预期效果分析项目规划综合分析最终形成未来3年安全建设项目规划建议第54页/共115页安全保障系统项目规划示例第55页/共115页紧迫性×可实时性＋（难易程度＋预期效果）/2项目规划方法第56页/共115页编号项目名称优先级紧迫性可实施性难易程度预期效果1防火墙和网络隔侵监测系机安全12746230394漏洞扫描系统12743239425资产鉴别和分类项目12646220476制订最高安全方针12542236457策略的有效发布和执行12245216488落实安全责任文件12242230469紧急响应体系122442234510策略体系建立118422224511网络设备安全117402304412周期性风险评估服务项目116382384113防病毒116412333414聘请专业公司或者专家的作为顾问111342444215备份和恢复111402194216可信通道106352442717落实项目的安全审核工作105342383518全员网络安全教育102362164419定期的审查和修订94282364020日志监控系统92332183421网络安全域划分89322203022网络拓扑结构/体系结构安全分析77431343423在高安全级别系统强制推行强认证59281362624容灾59351143425统一时钟服务49181342726安全管理中心和网络安全平台29250124627用户网络行为监控242001037

第57页/共115页安全实施制度执行加固与优化产品选型产品配置解决问题制度培训第58页/共115页安全制度的执行辅导

协助有效的把筛选出来的制度根据步骤执行下去。主要步骤为：需要执行相关制度的人员进行培训同时进行考核使用现有的软件、设备和配置方法对制度的执行从技术上进行有效的监控采用二次开发的软件或免费产品实现技术上的监控辅导管理员监控相应制度的执行情况对员工执行制度的情况进行跟踪和违反制度的情况进行取证。第59页/共115页安全优化和加固第60页/共115页加固安全基线说明

在加固技术说明中，主要说明我们针对实际情况建立安全基线，我们根据操作系统/网络设备/网络构架/安全设备/应用程序建议相应的安全基线标准。第61页/共115页网络设备的安全基线安全基线加固的内容重要程度补丁加载IOS升级中服务与端口更改标准端口号码；关闭不必要的服务；高路由协议的安全性路由协议的安全性主要考虑路由认证、源地址路由检查和黑洞路由管理三个方面进行阐述。高鉴别认证网络管理员登入访问管理snmp协议的特征码的配置高高访问控制网段的访问控制列表及其管理中远程管理的访问控制（Telnet/SSH）高通过网络设备进行数据交换的访问控制中审计跟踪设备的登录信息审计设备异常事件审计SYSLOG服务器的设置日志分析内容的设计高内容安全telnet连接SSH加密高冗余与恢复核心设备和链路是否采用链路冗余对于IOS是否有合理的备份对于网络设备的配置文件是否存在备份高其他安全问题防DOS攻击高第62页/共115页防火墙设备加固基线安全基线加固的内容重要程度补丁加载IOS升级中（在防火墙设备稳定，同时没有大的漏洞时，不建议用户升级IOS）

鉴别认证管理员账号管理（更改系统初始帐号和密码，限制密码最短长度，限制登录尝试次数）高用户认证管理（本机认证和授权，RADIUS认证和授权）中访问控制限制对防火墙自身的访问高防火墙控制的策略进行分析和优化策略高限制ROOT登录高防火墙访问控制高审计跟踪开启SELF日志功能高配置Syslog服务器高日志内容的分析的设计高冗余与恢复防火墙配置文件的备份高防火墙的负载均衡中特定的安全配置防火墙的防攻击选项防火墙防攻击选项配置中，在防火墙性能允许的情况下我们建议可以适当的使用必要的防攻击选项。第63页/共115页Windows加固基线安全基线加固内容重要程度补丁加载漏洞补丁高服务与端口更改某些默认端口高根据实际情况关闭不必要的端口（135-139，IPC空连接）高鉴别认证用户帐号策略管理，普通用户权限管理高动态身份认证中访问控制域用户管理，域之间的信任关系高重要目录和文件的控制中系统操作权限的控制中审计跟踪应用日志/系统日志/安全日志高审核策略的设置高安全日志服务器配置，日志分析内容设计中内容安全防病毒产品设计高重要文件保护高存储控制中冗余和恢复操作系统备份中重要系统文件备份，注册表备份高服务器的负载均衡和容错中磁盘的Raid高其他安全问题Web功能的加固配置高IPStack的优化配置中注册表优化配置中第64页/共115页数据库系统安全基线的标准安全基线加固内容重要程度补丁升级补丁程序的升级高服务与端口更改远程连接的默认端口高鉴别认证删除或修改默认的用户和密码高访问数据库用户帐号和口令管理中访问控制远程管理访问控制高用户的数据库和数据表的访问控制中（这个需要移动和数据库厂商来实施更好）审计跟踪数据库日志审计策略的分析和配置高日志服务器配置中日志分析内容设计高内容安全传输过程加密高存储控制中冗余和恢复数据库的备份高其他安全问题防止DoS攻击（如OracleRedirect功能存在DoS的问题）高关闭Extproc功能高DBSNMP用户引起的安全隐患高第65页/共115页加固工具说明在本次项目中会使用到必要的加固工具微软基准安全分析器MBSACisco系统上RATSUnix系统的TCPWRAPPER，IPFilter，IPTable建立安全摘要Tripwire第66页/共115页微软基准安全分析器MBSA运行在Windows2000和WindowsXP平台上的单个可执行文件检查常见安全误设置和漏装补丁,服务包WindowsInternetInformationServer4.0andInternetInformationServer5.0SQL7.0andSQL2000桌面应用程序InternetExplorerOfficeOutlook™第67页/共115页微软基准安全分析器MBSA第68页/共115页Cisco评估工具RATS第69页/共115页安全产品选型目的：通过产品的性能、功能测试选择对于最合适的产品第70页/共115页产品选型的标准

防火墙防病毒入侵监测

Sniffer

备份进行功能、性能、强压测试，为选择最合适的产品第71页/共115页产品选型的标准1、选择哪类产品—以功能要求为主

2、选择哪家公司的产品—以公司实力为主

3、选择哪个型号的产品—以性能要求为主第72页/共115页产品选型的原则1、根据政府行业的选型要求；2、根据安全风险评估后的安全需求；3、根据实际的测试结果-功能、性能测试；第73页/共115页安全产品配置目的：提供最合理的产品安装位置和最佳的配置方案，把产品的功能和性能发挥到最佳防范状态第74页/共115页

提供专业的安全设备的安装和配置服务，防止因为设备产品安装的不规范和不合理造成安全威胁和网络性能下降。

因为安全设备的安装及使用区别于普通的操作系统和应用程序的安装和配置。如果安全设备的安装配置的不合理会造成安全设备不能真正的发挥安全保护的作用，严重的可能还会造成安全隐患，同时也会造成系统或网络性能的下降。所以，需要进行当前较为流行的安全设备的安全和配置服务。第75页/共115页使用动态身份认证保护远程访问的安全InternetMainframeEnterpriseWebFirewallRASManagerAgentSecureRemoteAccessAgentIntranet

对远程用户的强大的双元素验证

使用RADIUSandTACACS+进行集中管理和控制第76页/共115页Tripwire产品在用户单位中的部署InternetDMZExtranetIntranetDNSWebEmailFTPDB目录各部门的工作站应用市场财务人事办公客服工程文档研发决策TWTWTWTWTWTWTWTWTWTWTWTWTWTWTWTWTWTWTWTWTWTripwire系统完整性保护TWHP-UXSunSolarisNT/2000IBMAIXSGIIRIXDECUNIXLINUX保护的操作系统Internet服务Intranet服务企业办公自动化系统财务系统企业业务系统数据库应用各种桌面工作站保护的应用第77页/共115页Tripwire防蠕虫病毒策略监控$(WINNT)\system32中文件的变化；监控$(BOOTDRIVE)目录下文件的状态；对关键注册项的监控：

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WindowsNT\CurrentVersion\Windows HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion\Winlogon HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\lanmanserver HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced第78页/共115页

建立系统摘要第79页/共115页安全培训目的：提高员工的安全意识，提高IT人员的安全技能第80页/共115页

安全管理教育和培训普通员工安全基础培训普通员工安全制度培训

IT管理员安全技术培训

IT管理员安全工作职责培训用户单位管理人员安全管理能力培训安全技术培训安全理论基础培训安全策略安全审计

Unix系统安全管理

NT系统安全管理防火墙培训黑客理论&技术第81页/共115页安全维护防止问题处理问题安全集中监控平台网络设备集中监控服务器健康状态监控应用系统集中监控服务器访问操作监控数据库操作监控网络安全设备集中监控备份状态监控网络安全制度监控……日常监控工作监控集中监控平台定期风险评估定期优化加固及升级定期性能分析及优化安全技术更新制度更新…………制定紧急响应制度防病毒紧急响应系统菪机紧急响应黑客攻击紧急响应管理违规紧急响应灾难恢复紧急响应误操作紧急响应第82页/共115页建立集中监控平台第83页/共115页推出安全管理中心解决方案安全运行中心解决方案（SOC）替您解决种种烦恼建立以管理者和资产为核心的管理体系将所有安全产品和事件通过统一的界面联系起来提供智能，包括各种关联分析提供完善的安全功能，包括漏洞管理、威胁管理、知识管理、响应管理、配置管理第84页/共115页以安全资产为核心的管理系统系统管理员安全管理员负责人系统管理员负责人资产资产资产资产资产资产系统安全事件漏洞第85页/共115页安全管理中心体系架构第86页/共115页安全管理中心模块架构可定制界面安全处理核心角色管理系统维护资产管理集中监控平台框架威胁管理漏洞管理配置管理知识管理响应管理第87页/共115页资产管理库第88页/共115页

集中监控系统功能网络及安全集中监控系统网络安全设备网络设备存储设备服务器应用系统数据库系统网络安全制度路由器、交换机的访问日志IDS的报警信息备份完成情况路由器、交换机的Enable登入情况防火墙的非正常连接防病毒的报警和升级信息服务器性能检查服务器Admin和Root的登入信息服务器系统错误报警服务器应用错误报警二次开发的应用程序的错误报警用户单位用户重要应用的访问日志用户单位用户重要数据的访问日志用户单位用户重要数据的报警日志用户安全制度和策略违反情况报警用户网管监控人员处理故障能力信息第89页/共115页

集中监控系统界面第90页/共115页漏洞管理内置Scanner支持基于SOC界面的配置、升级、维护、扫描计划定制、数据自动进入数据库认证scanner：配置和驱动Scanner将漏洞扫描升级为基于资产的风险管理的概念，并且支持支持关联分析，使扫描结果更为有效支持scanner：手工导入支持其它扫描器扫描结果手工导入第91页/共115页事件管理利用wizard解决方案提供灵活的可定制的事件收集，支持可视化编写支持事件的高级处理，包括：数据过滤标准化数据合并分级实时数据关联支持将事件归纳到资产第92页/共115页一个工单的处理流程案例发现事件关联分析产生高级告警预备工单知识库资产库自动化的发现通过监控发现高级告警风险管理中心安全主管系统管理员创建/重新发送工单Email/短信通知接收工单处理事故汇报结果检查结果是否满意End否是第93页/共115页

决策系统-事故处理流程第94页/共115页Top10VulnerabilitiesofAttack第95页/共115页信息安全系统-SLA第96页/共115页

TOP10TypesofAttack第97页/共115页建立统一的日志管理和日志审计第98页/共115页日志统一管理系统日志统一管理系统进行网管系统主机日志的管理该系统通过syslog-ng方式实现对主机日志的收集