信息安全运维方案

信息安全运维方案安全运维实施方案安全运维实施方案安全运维的重要性随着信息安全管理体系和技术体系在公司领域的信息安全建设中不停推动,占信息系统生命周期70%-80%的信息安全运维体系的建设已经越来越被广大顾客重视。特别是随着信息系统建设工作从大规模建设阶段逐步转型到”建设和运维”并举的发展阶段,运维人员需要管理越来越庞大的IT系统这样的状况下,信息安全运维体系建设已经被提到了一种空前的高度上。运维服务的发展趋势对于公司的安全运维服务管理的发展,普通能够将其分为五个阶段:混乱、被动、主动、服务和价值阶段。在混乱阶段:没有建立综合支持中心,没有顾客告知机制;在被动阶段:是开始关注事件的发生和解决,关注信息资产,拥有了统一的运维控制台和故障统计和备份机制;在主动阶段:建立了安全运行的定义,并将系统性能,问题管理、可用性管理、自动化与工作调度作为重点;在服务阶段,已经能够支持任务计划和服务级别管理;在价值阶段,实现性能、安全和核心应用的紧密结合,体现价值之所在。安全运维的定义普通安全运维包含两层含义:是指在运维过程中对网络或系统发生病毒或黑客攻击等安全事件进行定位、防护、排除等运维动作,保障系统不受内、外界侵害。对运维过程中发生的基础环境、网络、安全、主机、中间件、数据库乃至核心应用系统发生的影响其正常运行的事件(包含关联事件)通称为安全事件,而围绕安全事件、运维人员和信息资产,根据具体流程而展开监控、告警、响应、评定等运行维护活动,称为安全运维服务。目前,大多数公司还停留在被动的、传统意义上的安全运维服务,这样安全运维服务存在下列弊端:出现故障纵有众多单一的厂商管理工具,但无法快速定位安全事件,忙于”救火”,却又不知火因何而”着”。时时处在被动服务之中,无法提供量化的服务质量原则。公司的信息系统管理仍在依靠各自的”业务骨干”支撑,缺少对应的流程和知识积累,过多依赖于人。对安全事件缺少关联性分析和评定分析,并且没有对安全事件定义明确的解决流程,更多的是依靠人的经验和责任心,缺少必要的审核和工具的支撑。正是由于目前运维服务中存在的弊端,深信通公司依靠长久从事应用平台信息系统运维服务的经验,同时结合信息安全保障体系建设中运维体系建设的规定,遵照ITIL(最佳实践指导)、ISO/IEC27000系列服务原则、以及<中国移动广东公司管理支撑系统SOA规范>等有关原则,建立了一整套完善和切实可行的信息安全运维服务管理的建设方案。深信通安全运维五大架构体系建立安全运维监控中心基于核心业务点面对业务系统可用性和业务持续性进行合理布控和监测,以核心绩效指标指导和考核信息系统运行质量和运维管理工作的实施和执行,深信通协助顾客建立全方面覆盖信息系统的监测中心,并对各类事件做出快速、精确的定位和呈现。实现对信息系统运行动态的快速掌握,以及运行维护管理过程中的事前预警、事发时快速定位。其重要涉及:集中监控:采用开放的、遵照国际原则的、可扩展的架构,整合各类监控管理工具的监控信息,实现对信息资产的集中监视、查看和管理的智能化、可视化监控系统。监控的重要内容涉及:基础环境、网络、通信、安全、主机、中间件、数据库和核心应用系统等。综合呈现:合理规划与布控,整合来自多个不同的监控管理工具和信息源,进行原则化、归一化的解决,并进行过滤和归并,实现集中、综合的呈现。快速定位和预警:通过同构和归并的信息,将根据预先配备的规则、事件知识库、关联关系进行快速的故障定位,并根据预警条件进行预警。建立安全运维告警中心基于规则配备和自动关联,实现对监控采集、同构、归并的信息的智能关联鉴别,并综合的呈现信息系统中发生的预警和告警事件,协助运维管理人员快速定位、排查问题所在。同时,告警中心提供多个告警响应方式,内置与事件响应中心的工单和预案解决接口,可根据事件关联和响应规则的定义,触发对应的预案解决,实现运维管理过程中突发事件和问题解决的自动化和智能化。其中只要涉及:事件基础库维护:是事件知识库的基础定义,内置大量的原则事件,按事件类型进行合理划分和维护管理,可基于事件名称和事件描述信息进行归一化解决的配备,定义了多源、异构信息的同构规则和过滤规则。智能关联分析:借助基于规则的分析算法,对获取的各类信息进行分析,找到信息之间的逻辑关系,结合安全事件产生的网络环境、资产重要程度,对安全事件进行深度分析,消除安全事件的误报和重复报警。综合查询和呈现:实现了多个视角的故障告警信息和业务预警信息的查询和集中呈现。告警响应和解决:提供了事件生成、过滤、短信告警、邮件告警、自动派发工单、启动预案等多个响应方式,内置监控界面的图形化告警方式;提供了与事件响应中心的智能接口,可基于事件关联响应规则自动生成工单并触发对应的预案工作流进行解决。建立安全运维事件响应中心借鉴并融合了ITIL(信息系统基础设施库)/ITSM(IT服务管理)的先进管理规范和最佳实践指南,借助工作流模型参考等原则,开发图形化、可配备的工作流程管理系统,将运维管理工作以任务和工作单传递的方式,通过科学的、符合顾客运维管理规范的工作流程进行解决,在解决过程中实现电子化的自动流转,无需人工干预,缩短了流程周期,减少人工错误,并实现对事件、问题解决过程中的各个环节的追踪、监督和审计。其中涉及:图形化的工作流建模工具:实现预案建模的图形化管理,简朴易用的预案流程的创立和维护,简洁的工作流仿真和验证。可配备的预案流程:全部运维管理流程均可由顾客自行配备定义,即可实现ITIL/ITSM的重要运维管理流程,又可根据顾客的实际管理规定和规范,配备个性化的任务、事件解决流程。智能化的自动派单:智能的规则匹配和解决,基于顾客管理规范的自动解决,减少事件、任务发起到解决的延时,以及人工派发的误差。全程的事件解决监控:实现对事件响应解决全过程的跟踪统计和监控,根据ITIL管理建议和顾客运维规定,对事件解决的响应时限和解决时限的监督和催办。事件解决经验的积累:实现对事件解决过程的备案和综合查询,协助顾客在解决事件时查找历史解决统计和流程,为运维管理工作积累经验。建立安全运维审核评定中心该中心提供对信息系统运行质量、服务水平、运维管理工作绩效的综合评定、考核、审计管理功效。其中涉及:评定:遵照国际和工业原则及指南建立平台的运行质量评定框架,通过评定模型使顾客理解运维需求、认知运行风险、采用对应的保护和控制,有效的确保信息系统的建设投入与运行风险的平衡,系统地确保信息化建设的投资效益,提高核心业务应用的持续性。考核:是为了在评价过程中避免主观臆断和片面随意性,应实现工作量、工作效率、解决考核、状态考核等功效。审计:是以跨平台多数据源信息安全审计为框架,以电子数据解决审计为基础的信息审计系统。重要涉及:系统流程和输入输出数据以及数据接口的完整性、合规性、有效性、真实性审计。以信息资产管理为核心IT资产管理是全方面实现信息系统运行维护管理的基础,提供的丰富的IT资产信息属性维护和备案管理,以及对业务应用系统的备案和配备管理。基于核心业务点配备核心业务的基础设施关联,通过资产对象信息配备丰富业务应用系统的运行维护内容,实现各类IT基础设施与顾客核心业务的有机结合,以及全方面的综合监控。这其中涉及:综合运行态势:是全方面整合现有各类设备和系统的各类异构信息,涉及网络设备、安全设备、应用系统和终端管理中多个事件,通过分析后的综合呈现界面,重视对信息系统的运行状态、综合态势的宏观展示。系统采集管理:以信息系统内多个IT资源及各个核心业务系统的监控管理为根本,采集有关异构监控系统的信息,通过对不同来源的信息数据的整合、同构、规格化解决、规则匹配,生成面对运行维护管理的事件数据,实现信息的共享和原则化。系统配备管理:从系统容错、数据备份与恢复和运行监控三个方面着手建立本身的运行维护体系,采用平台监测器实时监测、运行检测工具主动检查相结合的方式,构建一种安全稳定的系统。安全管理原则深信通负责业务支撑中心的安全、保密管理工作,恪守南方基地已有各项安全规定,以此为基础制订具体的<安全管理实施方法>,并采用合适方法确保有关方法的有效执行。深信通定时检查安全、保密规定的执行状况;深信通定时组织系统病毒检查,并对此负责;深信通及时向信息技术中心反映存在的安全隐患。保密原则深信通严格恪守南方基地各项安全保密制度,加强服务工程师的保密意识,制订有效的管深信通整顿方法和技术方法,避免重要数据、文献、资料的丢失及泄漏。深信通有关计费清单、顾客资料、业务数据、重要文献等均属机密,不得任意抄录、复制及带出机房,也不得转告与工作无关的人员。机房内重要文献、数据的销毁,应全部送入碎纸机,不得任意丢弃。安全保密工作深信通安排专人负责,定时向信息技术中心提交<安全工作报告>。硬件层安全运维机房安全运维基础网络安全运维人员管理安全运维应用层安全运维对于南方基地管理支撑应用的帐户,必须遵照<南方基地管理支撑系统帐号密码管理方法(V2.0)>,并结合实际状况,补充并完善有关管理方法。系统顾客帐号原则上不允许存在共享帐号,全部帐号必须明确至个人;由于系统特殊因素必须使用共享帐号的状况下,系统必须制订对共享帐号的审核授权流程,明确共享帐号的使用期以及使用帐号人员资料。顾客帐号原则上采用顾客中文名称的汉语拼音,当碰到顾客的中文汉语拼音相似时,系统将为重复的帐号后加上次序号,如这类推,如:liming,liming2,liming3,liming5……次序号将避开数字‘4’。各系统顾客数据属性应涉及顾客中文姓名和顾客中文ID,原则上顾客中文ID就是顾客姓名,当不同顾客含有相似中文名称时,系统除了按2、3的命名规范为其分派顾客帐号外,顾客中文ID背面加上与帐号一致的后缀。而顾客的中文名背面不加次序号。如:公司姓名中文ID帐号邮件省公司李明李明liming清远移动拂晓拂晓liming2深圳公司李明李明3liming3图STYLEREF2\s7.1SEQ图\*ARABIC\s21帐号阐明测试人员和代维人员帐号:各系统测试人员和代维人员帐号原则上应以该系统的英文缩写作为前缀加上顾客名称的汉语拼音生成。各系统顾客密码长度不得低于6位;不得采用弱密码(弱密码定义参见<南方基地管理支撑系统帐号密码管理方法>);最少每90天必须强制顾客更改密码;并不得使用5次以内重复的密码;登录系统时,如重复尝试3次不成功,则系统暂停该帐号登录功效。园区信息化系统安全体系系统平台管理检查点检查规定交付物日常维护核心系统及核心服务器定义需对核心系统和服务器有清晰的定义(如DNS/DHCP、防病毒等影响全网层面的服务器、承载重要业务或包含敏感信息的系统等)核心业务、核心服务器列表应急与演习园区信息化系统和核心服务器需有详尽故障应急预案应急预案应定时进行有关应急演习,并形成演习报告,确保每年全部的平台和核心服务器都最少进行一次演习应急演习报告根据应急演习成果更新应急预案,并保存更新统计,统计最少保存3年应急预案更新统计,预案版本统计备份管理系统所涉及不同层面(如系统的重要性、操作系统/数据库)应当制订数据的备份恢复以及备份介质管理制度备份管理制度,涉及备份方略管理制度与备份介质管理制度系统所涉及不同层面应根据业务规定制订数据的本地和异地备份(寄存)方略备份管理制度,涉及备份方略管理制度与备份介质管理制度有关人员对本地和异地备份方略的成果进行每季度审核方略审核表,加入备份管理制度备份的数据进行恢复性测试,确保数据的可用性,每年不少于一次备份恢复应急演习统计有关人员对备份介质的更换统计进行每六个月审核备份介质更换统计表,加入备份管理制度有关人员对备份介质的销毁统计进行每六个月审核备份介质销毁统计表,加入备份管理制度故障管理各地市需制订对应的园区信息化系统及服务器故障解决流程故障解决流程系统中发现的异常状况由系统维护人员根据有关流程在规定时间内解决故障解决流程故障解决完毕后必须留有对应的故障解决统计故障解决报告上线管理为保障设备接入网络的安全性,设备上线前必须安装防病毒系统及更新操作系统补丁,并对设备进行进行安全扫描评定,针对安全漏洞进行安全加固1、公司网接入管理方法

2、接入统计为避免系统上线对其它系统和设备造成影响,公布前必须对系统应用站点、数据库、后台服务、网络端口进行安全评定。系统投入正式运行前必须在测试环境中对系统进行模拟运行一周以上1、应用系统接入申请流程

2、接入统计系统上线之后如需对系统进行功效更新,必须由系统管理员或系统管理员指定专门维护人员进行更新操作,严格按照公司安全管理规范执行1、应用系统更新申请流程

2、更新统计Web应用应根据业务需求与安全设计原则进行安全编码,合理划分帐号权限,确保顾客帐号密码安全,加强敏感数据安全保护,提供具体的日志1、中国移动门户网站安全技术规范V1.0_20101229_1832_(全部合订)

2、根据规范对开发规范进行修正,顾客名密码的管理规定、敏感数据的管理规定、系统日志的开发规定

3、现有应用的安全检查漏洞与防病毒定时进行服务器漏洞扫描,并根据漏洞扫描报告封堵高危漏洞,每季度最少对全部服务器扫描一次扫描统计与扫描成果报告需建立统一的WSUS服务器,并每季度对核心服务器进行高危漏洞升级,并留有升级统计1、WSUS服务器中的核心更新的补丁清单,每月1份

2、应用服务器端每次更新的补丁清单任何终端必须安装正版防病毒软件,且确保90%以上病毒库最新(五日以内)防病毒检查统计每七天检查防病毒软件隔离区,排除病毒威胁防病毒检查统计核心系统和核心服务器日志审计在操作系统层、数据库层、应用层建立日志统计功效,日志统计中保存1年的内容,日志安全统计能够关联操作顾客的身份1、操作系统层日志方略

2、数据库日志方略

3、应用层日志规定加入开发规范中操作系统日志中需统计”账户管理””登录事件””方略更改””系统事件”等内容操作系统层日志方略操作行为统计需进行定时审计数据库层日志需统计每次数据库操作的内容数据库日志方略应用层日志需统计每次应用系统出错的信息应用层日志规定加入开发规范中检查核心错误日志、应用程序日志中的核心错误统计,确保日志审核正常核心访问与操作应立刻启用日志统计功效,避免因日志统计不全,造成入侵后无法被追踪的问题信息公布管理每天检查平台短信发送、接受的可用性每天短信检查统计短信必须设立核心字过滤,每月进行核心字更新,并检查其有效性短信核心字更新统计,有效性检查统计信息防泄密需对全部园区信息化系统、应用系统的核心信息进行清晰的界定,核心信息涉及但不限于涉及客户资料、客户账户信息、客户密码、操作统计应用系统-核心信息矩阵图需对核心信息设定保密方法应用系统核心信息管理制度对核心信息的操作进行特殊监控,并留下统计访问控制账号密码管理服务器上任何账号必须有审批人员审核确认1、账号管理方法

2、账号申请表全部系统和服务器上账号必须每季度进行审核账号审核表密码复杂度规定:

一．静态密码:密码应最少每90天进行更新,密码长度应最少6位或以上,密码应由大小写字母、数字或标点符号等字符构成,五次内不能重复

二．动态密码。1、密码修改统计表

2、历史密码统计表远程访问不得有互联网远程维护的访问方式。现场检查MDCN网系统的远程访问只能通过省公司的SSLVPN或IBMVPN,不得在市公司层面存在互联网以VPN等形式的远程访问现场检查应用安全应用层的漏洞扫描,实现对南方基地园区信息化系统上的全部系统进行安全扫描,做好应用防护,避免出现SQL注入、网页后门程序、跨站脚本等重大安全漏洞,避免因2应用系统本身漏洞造成敏感信息泄露的安全问题;服务器报警方略报警方略管理是避免集群中的服务器某个压力值过高或者过低而造成集群性能的减少,通过报警方略的设定,管理能够及时的察觉每个服务器的故障并进行及时修正,确保集群最有效的工作状态。管理员能够根据服务器的不同应用,通过报警方略的类型、极限参数和警告内容的设立,将报警方略赋予服务器,并产生报警日志。顾客密码方略密码方略用于应用接入平台顾客身份模块中顾客账户。它拟定顾客账户密码设立,例如:密码复杂度、密码历史等设立。顾客安全方略顾客安全方略用于应用接入平台权限设立。它拟定顾客身份权限设立,例如:能访问服务器的那个磁盘,此顾客身份能运行那个业务程序等设立。访问控制方略管理员通过访问控制方略来限定顾客和客户端计算机以及时间等因素的绑定来实现顾客安全访问应用程序的设立。时间方略通过对访问该应用程序及使用的顾客身份进行时间限制,从而提高对公布的应用程序的访问安全,使其只能在特定时间与被确认身份的顾客身份所使用。避免被恶意顾客不正当的访问。备份安全指遵照有关的数据备份管理规定,对园区信息化系统及其产品的数据信息进行备份和还原操作。根据园区信息化系统及其产品的数据重要性和应用类别,把需要备份的数据分为数据库、系统附件、应用程序三部分。每七天检查NBU备份系统期备份成果检查,解决有关问题。备份系统状态、备份方略检查,对备份方略以及备份状态检查以及调优,重要服务器变更、应用统一接入等防病毒安全导出防病毒安全检查报告、对有风险和中毒的文献与数据进行检查对病毒分析解决定时检测病毒,避免病毒对系统的影响系统安全定时修改系统Administrator密码:重要修改AD、Cluster、服务器密码;安装操作系统补丁,系统重启,应用系统检查测试数据库的账号、密码管理,确保数据库系统安全和数据安全对系统顾客的系统登录、使用状况进行检查,对系统日志进行日常审计主动安全监控Agent的配备与管理,对端对端监控产生检查成果核算,解决对应问题园区信息化全部系统需有详尽故障应急预案应定时进行有关应急演习,并形成演习报告,确保每年全部的平台和核心服务器都最少进行一次演习根据应急演习成果更新应急预案,并保存更新统计,统计最少保存3年系统及网络安全流量分析(netscount)深信通根据南方基地的安全及分析需求,提供netscount分析服务支撑,对各系统性能提供全方面分析。并提供优化建议及方案。应用分析(splunk)深信通根据南方基地的园区信息化系统安全,建立splunk的日志分析服务,并针对日志进行全方面分析。对系统的安全、保障提供优化建议及优化方案。提供流量分析和应用分析提供10个以上的专项分析报告,并根据报告提供具体的实施方案及优化手段。根据优化建议及方案对平台及网络进行安全整治,以全方面提高平台的性能、安全,解决瓶颈。防篡改防攻击网页文献保护,通过系统内核层的文献驱动,按照顾客配备的进程及途径访问规则设立网站目录、文献的读写权限,确保网页文献不被非法篡改。网络攻击防护,Web核心模块对每个请求进行正当性检测,对非法请求或恶意扫描请求进行屏蔽,避免SQL注入式攻击。集中管理,通过管理服务器集中管理多台服务器,监测多主机实时状态,制订保护规则。安全网站公布,使用传输模块从管理服务器的镜像站点直接更新受保护的网站目录,数据通过SSL加密传输,杜绝传输过程的被篡改的可能。网站备份还原,通过管理控制端进行站点备份及还原。网页流出检查,在请求浏览客户端请求站点网页时触发网页流出检查,对被篡改的网页进行实时恢复,再次确保被篡改的网页不会被公众浏览。实时报警,系统日志,手机短信,电子邮件多个方式提供非法访问报警。管理员权限分级,可对管理员及监控端分派不同的权限组合。日志审计,提供管理员行为日志,监控端保护日志查询审计。对站点主机进行监控,对CPU,内存,流量的作统计,方便实时监控站点服务器的运作状况。站点系统账号监控,对站点服务器的账号进行监控,对账号的修改,添加等改动有阻拦和日志统计及报警,使站点服务器更加安全。合理授权合理授权的定义:合理授权是指对IT管理支撑应用系统及其有关资源的访问设定严格的授权审批机制,确保IT管理支撑应用系统的安全性。为了确保南方基地IT管理支撑应用系统的安全性,确保有关IT资源的访问通过合理授权,全部IT管理支撑应用系统及其有关资源的访问必须遵照申请→评定→授权的合理授权管理流程。需要合理授权的IT资源涉及但不局限于应用系统的测试环境、程序版本管理服务器、正式环境(涉及应用服务器和数据服务器等)。申请:由访问者(普通是应用开发商、应用系统管理员等)提交书面的访问申请表(书面访问申请表,涉及但不局限于纸质、Word文档以及电子邮件等),提交安全管理员(普通是系统管理员或者专职的安全管理员)进行风险评定。评定:安全管理员对接到的访问申请书进行风险评定,并根据访问者及被访问IT资源的具体状况,进行灵活解决。授权:在访问申请表通过安全风险评定后,安全管理员会对访问者进行合理授权。原则上,对程序版本管理服务器和正式环境的访问申请,安全管理员必须根据有关管理流程给出正式授权,以满足安全审计的规定。各系统超级管理员帐号的分派,必须由系统负责人员提出书面申请,申请内容应涉及系统名称、帐号、帐号使用期、帐号使用负责人、帐号权限等内容,由部门副经理或以上的管理人员进行审核同意后,超级管理员帐号方可生效。系统超级管理员密码设立应符合本管理方法中顾客密码管理的有关规则;各系统应最少每90天对超级管理员帐号进行审查,并且将审查成果写入书面统计,由部门副经理或以上管理人员审核存档。各应用层超级管理员帐号的分派,必须由系统负责人员提出书面申请,申请内容应涉及应用系统名称、帐号、帐号使用期、帐号使用负责人、帐号权限等内容,由部门副经理或以上的管理人员进行审核同意后,超级管理员帐号方可生效。应用层超级管理员密码设立应符合本管理方法中顾客密码管理的有关规则;各系统应最少每90天对超级管理员帐号进行审查,并且将审查成果写入书面统计,由部门副经理或以上管理人员审核存档。为了确保帐号安全管理,各系统应最少每90天对本系统涉及的帐号(涉及各类管理员帐号和普通顾客帐号)进行检查,对已经超出使用期的帐号进行清理,对不符合管理规范的帐号进行补充授权与审批。各系统私有测试帐号和代维人员帐号:由各系统管理员自行管理。有关帐号申请、授权、登记、变更等管理表格详见附件八<帐号管理有关表格>安全隔离安全隔离的定义:安全隔离是指对IT应用系统的有关数据(涉及应用系统的程序代码、数据文献等)进行逻辑隔离、物理隔离等,以确保应用系统的安全性。如果开发商在开发、维护合作过程当中可能接触到我公司的敏感数据,必须与南方基地订立安全保密合同。对安全等级为机密的IT应用系统(涉及但不局限于公司内部的机密档案信息等),我们需要对它的有关数据进行物理隔离,以提高应用系统的安全防备能力;对安全等级为秘密的IT应用系统以及应用系统的基础数据(如综合应用平台的基础数据、组织架构等),需要进行逻辑隔离。系统应用层面的访问必须通过帐号进行访问,系统的帐号及口令管理参考本规定的帐号管理部分。应用系统管理员或者专职的安全管理员应根据具体应用系统的数据的敏感度制订对应的安全隔离方法,具体方法涉及但不限于访问控制列表、安全加固、文献系统权限设定等。安全审计安全审计的定义:安全审计是指出于安全考虑,通过对IT应用系统的异动统计、操作过程、数据转换等进行具体统计,为事后的侦察和取证提供根据。安全审计的范畴:我们需要对某些重要的含有较高安全风险的操作进行安全审计,操作系统层、应用系统层以及数据库层的全部重要操作,特别是管理层认定对财务报表有关的操作留有系统日志。系统日志由系统主管部门根据风险和重要性的原则拟定检查内容(如超级管理员的帐户登陆操作、正式环境的访问、数据转换的操作活动、版本升级的操作活动、补丁升级操作活动等等)负责每月进行审核。系统所需的自动或手动批解决作业应制订作业安排计划,留有电子或纸质文档操作阐明。自动批解决作业应在系统中留有运行日志统计,手工批解决作业的执行成果由批解决操作人员负责检察确认。只有授权的系统维护人员能够在系统中维护作业安排计划或安排手工作业安排计划,批解决计划上线前都必须通过测试,并由有关人员签字审批。安全审计的管理流程:每年最少举办一次全范畴的安全审计活动,具体操作能够结合管理支撑系统的年终巡检等活动,由南方基地管理信息部根据实际状况自行决定。统一顾客管理的安全审计:顾客帐户信息(涉及组织单元属性、岗位属性等)是全部应用系统最基础的数据,顾客帐户所对应的应用系统访问权限(这里特指与否对应用系统含有访问权限,而不考虑在应用系统本身的具体授权)是安全管理的重要内容,因此原则上需要对顾客的异动信息及应用系统访问权限进行安全审计,以提高整个IT管理支撑应用系统的安全性。安全审计的目的:在指定周期内对信息系统的系统(操作系统、数据库)顾客、系统管理员、应用层面的顾客、系统批解决任务等涉及财务报表的操作进行安全审计。流程:图9.1.4-1信息系统安全审计流程阐明:系统安全审计由各系统安全审计员发起,本流程涉及角色为:安全审计员、安全管理员、应用管理员以及各系统使用有关部门。工具:附件九<帐号清单审核表>、附件十<系统权限,顾客责任权限矩阵表>、附件十一<系统安全审计报告>。统一顾客管理的安全审计:顾客帐户信息(涉及组织单元属性、岗位角色属性等)是全部应用系统最基础的数据,顾客帐户所对应的应用系统访问权限(这里特指与否对应用系统含有访问权限,而不考虑在应用系统本身的具体授权)是安全管理的重要内容,因此原则上需要对顾客的异动信息及应用系统访问权限进行安全审计,以提高整个IT应用系统的安全性。当南方基地或业务发生重大变更或六个月时,系统主管部门应组织各使用系统的部门对系统顾客的访问权限清单进行审视,以合理确保顾客在系统中的权限与其职责相符;操作系统、数据库层超级顾客的账号(例如根顾客,系统管理员,批解决顾客账号,数据库管理员)、预设的顾客帐号、第三方人员帐号的授权应含有书面审批统计表格,各责任部门负责人或第三方人员对其进行复核签字确认,并根据审视成果对多出或不恰当的账号进行调节。版本管理的安全审计:需要对全部IT应用系统的源代码、运行代码、配备文献、数据库文献等的版本变更过程进行安全审计。系统扫描分析系统扫描深信通为了深化本身服务能力,自购了有关扫描工具如:系统维护工具:天镜脆弱性扫描与管理系统、MicrosoftBaselineSecurityAnalyzer2.2系统基线扫描工具:绿盟的基线扫描应用维护工具:IBMRationalAppScan、NBSI_3.0、微软Web压力测试工具(MicrosoftWebApplicationStressTool)以满足南方基地和系统的安全需要:下列对系统扫描工作GFILANguard进行论述系统安全扫描工作GFILANguardGFILANguard功效:扫描、检查、评定并协助修补安全网络漏洞。管理整个网络布署与管理补丁和服务程序包,自动检查并删除未经授权的应用程序。能够扫描识别出多个主流防毒软件安装及病毒库更新状况。拥有强大的报告系统,能够对服务器的安全方略和整体系统环境做出来安全评定。提供一种完整的网络拓扑。整个网络安全历史统计。完整的文本搜索。修复中心控制台。支持虚拟主机的扫描。GFILANguard优势GFILANguard能够在几分钟内完毕几百甚至上千的电脑的扫描,不止支持Microsoft系统还支持Linux、Unix操作系统、路由器、交换机和无线设备等系统的漏洞扫描,能够检查工作站中不必要的共享、开放端口和未用帐号。GFILANguard集成了1000多款安全软件的信息,能集中管理整个网络布署的服务及安装程序,并能够集中分发安装顾客所需的应用程序,能够自动检查并删除未经授权的应用程序,对Windows操作系统进行统一的补丁更新管理,能够一次性得到各台服务器上需要安装补丁列表,并批量进行安装。支持报警功效,告知顾客什么时候有产品的更新。LANguard都将告知管理员,具体类型分为:防病毒、防间谍、防火墙、防钓鱼、备份客户端等。LANguard能报告她们的状态并提示任何需要注意的潜在问题。LANguard能够扫描识别出多个主流防毒软件安装及病毒库更新状况,并生成报告告之顾客及时更新病毒库或者提示顾客安装杀毒软件。GFILANguard加入了一种功效强大、能够互动的全新仪表盘。它能根据安全审计信息给出现有网络安全的一种概要,连同一份网络变化状况的全部历史统计。它还能在问题出现时触发安全报警器。用丰富的报告系统,来显示顾客的网络状况,能够用来分析网络漏洞,识别问题,防止故障的产生,能够通过LANguard查看整个网络拓扑信息,来查看系统状态、软件版本,及硬件概况来协助行政部门。LANguard支持针对单个目的扫描或者地址段甚至整域扫描,并生成顾客报告。该报告涉及系统状态,软件具体,端口的使用及补丁的状态及硬件概况。客户端程序也能够定时自动上传客户机状态到LANguard服务器。只要一打开LANguard程序,管理员就有一份完全且即时的网络安全状况列表。全部的报告将基于所扫描电脑的目前状态,而不是某些特定的安全检查。这些报告能够导出为PDF、HTML、XLS、XLSX、RTF和CVS文献,同时能够通过计划任务发送到特定邮箱。这些模板报告能够自定义,还能加上自定义的logo。GFILANguard能够协助顾客快速找到她们想要的信息。查找网络扫描成果简朴地就像上网搜索同样,查找到的成果将指向有关项。顾客不仅能够查找现在和以往的事件日志,还能对特定的产品的漏洞、已安装的程序,和未打的补丁进行搜索。同时,顾客还能保存、打印、查询这些扫描报告。GFILANguard修复中心控制台能够从一种中央位置修复漏洞,并监控修复任务的状态,并浏览全部已执行修复任务的历史统计。GFILANguard支持虚拟环境的扫描,能够检测到被扫描电脑上的虚拟主机,这样管理员能够更加好地全览虚拟环境架构。图9.2.1-1GFI扫描报告分析报告服务器基本健康性分析服务器能正常启动与运行服务与应用程序能正常启动与运行客户端能正常地连接和访问网络服务与应用程序EventLogs中的核心错误日志应用程序日志中的核心错误统计各逻辑磁盘空间使用和剩余状况图9.2.2-1基本健康分析服务器性能分析内存Memory\AvailableMbytesMemory\Pages/sec解决器Processor\%ProcessorTimeProcessor\Interrupts/secSystem\ProcessorQueueLengthSystem\ContextSwitches/Sec磁盘PhysicalDisk\%DiskTimePhysicalDisk\Avg.DiskQueueLength PhysicalDisk\DiskReads/sec PhysicalDisk\DiskWrites/sec网络NetworkInterface\BytesTotal/secNetworkInterface\BytesSent/secNetworkInterface\BytesReceived/sec图9.2.2-2服务器性能分析服务器安全性检查WindowsServicePack与否最新操作系统补丁与否最新与否安装防病毒软件并保持更新 未更新的安全修补程序高安全风险漏洞注册表安全风险漏洞密码方略审核方略自动加载的程序开放的TCP端口图9.2.2-3服务器安全性报告总体评定总体结论服务器基本健康状态结论服务器性能结论服务器安全性结论图9.2.2-4总结安全应急响应深信通”安全应急响应”服务向客户公司提供必须的资源来完善安全防护,抵抗攻击,进行安全修复,并减少将来安全漏洞产生的可能性。安全响应服务提供了快捷的服务支持和7×24的紧急响应服务,确保网络安全无忧,防止危险发生。在目前IT运维服务领域上,深信通的安全响应是同行业中出类拔萃的,提供计算机反击、事故反映、诉讼支持等咨询顾问服务。无论有关数据以任何形式存在或栖身与任何地方,使用专用的工具和办法,我们的专家能够发现并抽取有关的有害数据,我们的专家队伍拥有多个专业技能,涉及攻击识别、反击技术、介质取证、安全修复,这一切都将成为公司的强大的后盾。紧急响应服务种类涉及下列几个方面入侵调查当入侵事件正在发生或已经发生,深信通安全专家协助客户进行事件调查、保存证据、查找后门、追查来源等,同时提供事件解决报告以及后续的安全状况跟踪。主机、网络异常响应当主机或者网络异常事件正在发生或已经发生,深信通安全专家协助客户进行事件调查、保存证据、查找问题的因素、追查来源等,同时提供事件解决报告以及后续的安全状况跟踪。其它紧急事件只有出现了上述严重影响网络、主机正常运行的安全事件才启用紧急响应服务,其它日常安全事件均属于安全咨询及日常安全事件解决服务范畴。安全应急响应服务也能够协助客户公司防止将来的攻击,高效地进行攻击发生时和事后的调查及收取攻击证据等工作,为起诉罪犯提供法律根据。作为一种规范的信息安全运维服务商,深信通有一整套紧急响应机制,同时也含有解决多个紧急事件经验的工程师。我们把安全应急服务分为三等,具体请参见下表:服务等级服务内容合用对象一级基本的反映方略与流程5×8小时事件响应、解决及恢复服务电话、传真、email技术支持24小时内现场技术支持事故解决报告日常运行期间,不影响顾客业务的普通安全事件解决二级完整的反映方略与流程7×24小时事件响应、解决及恢复服务电话、传真、email技术支持4小时内现场技术支持事故解决报告节假日期间,较为严重的安全事故三级完整的反映方略与流程7×24小时事件响应、应急响应、解决及恢复服务电话、传真、email技术支持2小时内现场技术支持安全专家现场守候服务事故解决报告安全突发事故反映预演两周内跟踪服务重大事件、节假日期间,顾客业务重要性、时效性很强,发生严重影响顾客业务开展,需要立刻解决的突发事故应急响应流程碰到安全事件的发生,普通应当及时采用报告机制。参考规定以下:任何系统顾客发现系统运行可疑现象后,立刻报告本部门安全保密管理员;安全保密管理员应尽量采用对应方法保护现场,并在1小时内向应急响应小组进行报告,同时报本部门安全主管领导,召集安全应急服务厂商;应急响应小组和安全服务厂商应在2小时内拟定现象的性质,并采用方法,收集现场数据,避免严重安全后果的发生,同时,对于安全事故,要上报信息安全领导小组;安全保密领导小组根据事故的性质,向对应的国家主管部门进行报告。报告完毕,将事故定性之后,接到上级批示,对于被破坏的系统和数据,采用可行的方法进行恢复,使之重新正常运行。安全紧急响应服务内容以下:服务确认临时支持账号远程紧急响应本地紧急响应响应状况简报紧急响应服务报告事故跟踪分析报告具体流程以下:对于每一种安全事件的解决,能够参考如上图所示的安全事故应急响应解决流程,具体流程涉及:1、统计系统安全事件,统计事件的每一环节,涉及事件的时间、地点。要打印拷贝、统计拷贝时间、统计对话内容,并尽量采用自动化的统计办法。2、系统安全事件核算与判断核算系统安全事件真实性判断系统安全事件类型和范畴判断系统安全事件危害性拟定事件的威胁级别3、系统安全事件现场解决方案选择克制态度紧急消除紧急恢复切换监视跟踪查证辅助代码开发报警权力机关的反击4、系统安全事件解决服务和过程,系统安全事件解决过程本身需要工具,需要专门解决安全事件的服务和过程。这些过程涉及:拷贝过程、监视过程、跟踪过程、报警过程、通报过程、对话过程、消除过程、恢复过程和其它过程等。5、系统安全事件后解决,涉及事件后消除、弥补系统脆弱性、分析因素、总结教训、完善安全方略、服务和过程。风险控制风险控制的目的:风险的事前识别、分析和定位,从而制订有关的风险应对方略,减低风险对项目产生的影响。风险控制的原则:对于高风险(即高频度、影响大)的风险要尽量进行规避,对低风险进行管理、分析和识别。为规避风险,运维人员应定时进行风险检控,制订风险评定管理计划,提交运维管理员进行审批,并召集人员进行风险评定。跟踪风险,风险随着时间在变化,原则上定时进行风险跟踪并按照变化状况修改风险列表。需要对风险进行控制。运维人员将已经消失的风险放入数据库作为过期的风险,围绕它的全部流程和过程均被保存。图9.4-1应急演习管理办法制度方法参考广东移动运维的管理制度,如图所示图9.4-2平台运维管理制度风险评定根据运维状况,结合运维管理制度、平台基础架构,做出风险评定,如表4-10所示。图9.4-3风险评定表应急预案根据第二步做出的风险评定,针对技术有关核心问题,制订园区信息化系统有关应急预案。应急演习根据第三步制订的应急预案,为了提高运维的安全可靠实施,进行周期的应急演习。应急演习完毕后,对演习成果进行学习,从而发现新的局限性,达成持续改善的目的。全省知识总结和分享运维知识总结分享深信通除了南方基地本身的知识积累外,同时还运用和横向运维的优势,自七月以来,每月都会总结日常碰到的技术和管理难题,深信通会组织有关技术和管理人才深度分析解决解决有关问题,同时每月分享给全省顾客,下列是7月以来全部的研究主题:Web网站常见三种漏洞及解决方法—1月自建系统转维有关交接体系与过程管理—2月自动化运维之监控工具—03月IIS应用程序池的进一步解析—04月Hyper-V实用配备及管理工具汇总—05月补丁安全引发的思考—06月Weblogic服务器的性能调试优化方案—07月SQLServ