中国移动公司终端安全控制与审计建议方案-北信源武汉分公司-20140719

标题移动公司终端安全控制与审计建议方案内容VRV中移动信息安全建设必要性怎样进行信息安全建设中移动终端安全与审计建议方案参考标准网络与信息安全的重要性网络与信息都是资产，具有不可或缺的重要价值；网络与信息安全是企业运营与发展的基础和核心；网络与信息安全是保证网络品质、保障客户利益的基础；中移动的网络与信息安全同时也是国家安全的需要安全需求来源系统化的安全评估法律法规行政条例合同约束客户承诺运营管理的目标和策略结合经验教训和技术发展，通过安全评估分析公司网络和信息资产所面临的威胁，存在的薄弱点和安全事件发生的可能性，并估计可能对公司造成的各种直接的和潜在的影响。中国移动及其合作伙伴、承包商、服务提供商必需遵守的法律法规、行政条例和合同约束，以及公司对客户的服务承诺。中移动公司关于企业运营管理所指定的目标和策略安全事件凸显信息安全瓶颈利用维测服务器漏洞侵入系统并植入恶意程序，造成话费损失，破坏企业形象第三方人员通过维护帐号，通过VPN远程修改或者查询业务系统，非法牟利终端漏洞未及时修复，被境外间谍利用，窃取内部资料的典型案例系统管理员权限过大，缺乏有效审计及告警措施相关行业政策和法规要求中国移动作为在美国证券交易市场上市的海外发行人，各省市移动作为中国移动的子分公司，需要满足《萨班斯法案》的相关安全审计要求。随着网络安全风险的日益加大，国家对防范网络安全风险非常重视，为了促进信息安全工作的有效开展，信息化领导小组颁发了《关于加强信息安全保障工作的意见》，对我国信息安全保障工作做出原则性、战略性的规定，提出进行等级化保护的明确要求。内容VRV中移动信息安全建设必要性怎样进行信息安全建设中移动终端安全与审计建议方案参考标准安全体系与安全策略网络与信息安全体系（NISS）总纲操作手册流程、细则现有规范国内外标准合作方经验安全评估结果技术管理安全技术安全设备网络业务应用组织人员信息资产物理环境运营维护访问控制系统开发业务保障安全审计具体实施检查考核效果评估信息安全实施步骤安全现状评估安全方案设计安全方案实施安全运维管理评估设计实施运维安全需求评估安全风险评估物理与环境安全通信和运营管理网络和访问控制系统开发安全软件维护安全终端主机安全无线网……安全策略制订安全标准、规章、程序企业安全框架结构安全解决方案设计访问控制网络安全终端安全数据加密防病毒/内容安全安全管理……业务持续性计划与灾难恢复策略安全方案选择安全产品选择安全产品实施访问控制网络安全数据加密防病毒/内容安全安全管理备份/存储/容灾……安全培训安全产品培训安全技术培训安全运维服务安全扫描安全检查渗透测试安全加固安全审计、IDS安全应急响应安全预警……安全培训安全产品培训安全技术培训安全管理培训安全认证培训安全风险评估参考标准ISO/IEC17799:2005BS7799PartI：最佳实践PartII：体系规范ISO/IEC13335AS/NZS4360SSE-CMM安全风险评估实施风险评估准备资产识别威胁识别脆弱性识别已有安全措施确认风险分析确定评估目标、评估范围、组件评估团队、系统调研、确定评估依据对目标资产进行分类、资产赋值并且划分资产重要性等级针对可能出在的威胁进行分类并且进行威胁赋值从技术层面和管理层面对资产存在的脆弱性进行识别评估已有安全措施是否可以降低系统的脆弱性，确认是否保留已有安全措施计算安全风险发生的可能性、风险等级等内容VRV中移动信息安全建设必要性怎样进行信息安全建设中移动终端安全与审计建议方案参考标准方案提纲中移动终端安全与审计建设需求背景中移动终端安全风险分析与评估资产识别威胁识别脆弱性识别终端安全风险管理建议解决方案需求背景网络与信息安全不仅仅是企业或个人的问题，而是一个国家问题，“棱镜门”事件后凸显信息安全的重要性，同时也折射出我国信息安全的薄弱。党和国家针对网络与信息安全高度重视，并且成立网络和信息安全领导小组，同时在“十二五”规划和十八届三中全会的重要决议中对信息安全做了重要阐述。中移动作为在美上市企业，需要遵从“萨班斯法案”中关于企业内部相关安全审计的要求，同时作为国资委下属企业，有义务履行党和国家关于信息安全建设的相关法律和法规。终端安全作为信息安全的组成部分具有举足轻重的地位，据国外知名媒体报道，全世界每20秒就会产生一次信息系统入侵事件，而99%的安全管理问题，来自于信息终端。终端安全风险评估-资产识别按性质和用途分类按照系统类型分类按照接入方式分类生产终端、办公终端、业务终端、开发测试终端和临时接入终端Windows终端、linux终端、移动操作系统终端、其它操作系统有线专网接入、无线接入、远程VPN拨号接入等按照终端合规方式合规终端、违规终端终端资产重要性等级资产类型重要性等级定义生产终端很高放置在机房、监控室内或公司其它场所，用于网络和系统日常维护和监控的终端，安全属性遭破坏将带来非常严重损失。办公终端高员工个人使用的访问企业信息网和业务支撑网各类系统和应用的终端，安全属性遭破坏后将带来比较严重的损失业务终端高放置于公司营业或客服场所内，访问业务支撑网特定应用的业务操作终端，安全属性遭破坏后将带来比较严重的损失开发测试终端中长期驻场（进驻本公司）进行运维支撑和业务支撑的第三方厂家人员，安全属性遭破坏后将带来中等程度损失临时接入终端中临时来访的第三方人员需要接入中国移动网络的终端，安全属性破坏后将带来中等程度损失终端安全风险评估-威胁识别终端安全威胁识别种类描述恶意代码和病毒利用终端安全漏洞植入病毒、木马、恶意代码、间谍软件或者窃听软件，破坏企业信息的机密性、完整性，严重的影响信息系统的完整性（涉及生产、办公终端）恶意攻击利用终端密码脆弱性获取终端使用权限或者采用欺骗手段模拟合规终端获取系统权限（涉及生产、办公及业务终端）系统管理员越权或滥用权限系统管理员利用自身的超级权限，或者采用一些手段获取超级权限对业务系统进行非授权操作（涉及生产终端）内部人员主动泄密内部人员通过互联网、移动存储介质等方式将内部重要信息泄露（涉及生产、办公终端）内部人员被动泄密内部人员因安全意识不足，被其它人员盗用终端使用权限而泄密（例如：离开电脑未锁屏，涉及生产办公终端）终端安全风险评估-威胁识别终端安全威胁识别种类描述第三方人员越权操作第三方人员利用自己所掌握的系统权限，绕过审计，违规篡改业务系统信息以获利（涉及开发测试终端）临时接入人员泄密临时接入人员利用内部终端漏洞，例如网络共享、远程桌面等访问权限获取内部信息形成泄密一机多用情况一台电脑同时带双网卡或者使用无线网卡等方式，内网终端违规连接外网，造成内网信息泄密外来移动介质随意接入泄密对移动介质使用缺乏管理，随意接入，造成重要信息泄露违规软件安装违规安装企业或者国家相关部门禁止安装的软件，带来法律风险的同时引入病毒或者木马程序。终端安全风险评估-脆弱性识别终端脆弱性识别种类描述操作系统漏洞关键高危系统漏洞未及时更新，给黑客、木马等带来可乘之机防毒软件未安装防毒软件未安装或者病毒库未及时更新，当病毒发作时未及时发现或者清除，有可能造成其它内网终端感染。远程连接开启生产终端、办公终端、业务终端开启远程连接，可能被其它工作人员或者临时接入人员获得终端使用权限，造成资料泄密终端弱口令终端未配置口令或者口令较弱，容易被人破解，获取终端使用权限主机共享开放终端开放共享目录，有可能被其它或者外来人员利用，获取资料guest帐户开启开放guest用户容易造成其它人员使用guest用户登录终端硬件资产鉴权缺失硬件资产可能被使用者更换配置，造成企业和国有资产损失终端安全风险评估-脆弱性识别终端脆弱性识别种类描述软件资产鉴权缺失企业禁止安装的软件、必须安装的软件缺乏有效的鉴权管理，软件使用混乱终端操作审计缺失终端对文件的拷贝、删除、修改等审计缺失，内部人员可随意将内部文件带出移动介质操作审计缺失移动介质随意接入，对移动介质的使用情况缺乏审计，无法及时发现违规操作终端访问业务系统鉴权缺失终端在不安全配置情况下、未通过身份鉴权以及缺乏审核机制的情况下访问业务系统，造成业务系统呈现在不安全的状态下终端访问业务系统审计缺失终端访问业务系统，针对业务系统进行配置，存在无审计或者漏审计的情况，出现事故无法定位，无法及时告警无线终端接入管控缺失无线终端只要通过企业WIFI认证就可以接入到办公区域，由于WIFI共用密码特性，使得WIFI单一密码认证存在风险，对WIFI接入的外来用户缺乏审核机制办公域终端安全管理建议解决方案边界整合是终端安全管理实施的必要条件生产域开发测试域业务域边界整合终端安全管理技术体系生产终端办公终端业务终端开发测试终端临时接入终端生产区域办公区域开发测试区域业务区域访问控制终端安全配置终端安全审计访问控制策略实施模型各级系统管理员、系统审核员终端NAC设备或系统访问目的对象NAC身份鉴权安全配置鉴权生产区域办公区域开发测试区域业务区域终端类型、终端使用者、接入域、接入目的、访问对象终端访问控制安全域划分终端类型访问控制域生产终端只允许访问生产域中的生产系统、应用和设备办公终端允许访问企业信息网中的系统和应用，受限访问业务支撑网中特定的系统和应用业务终端允许受限访问业务支撑网中特定的系统和应用开发测试终端只允许访问开发测试域，受限访问相关的技术支持和服务网站，不允许访问除此以外的任何域外环境临时接入终端原则上只允许接入办公域，如需接入其它域则必须经过流程审批，审批通过后方可接入，在接入生产域和业务域时必须由本公司相关接口人全程陪同终端访问控制鉴权安全基础鉴权所有终端接入网络之前必须安装终端安全管理客户端软件，接受终端安全管理平台的管理和监控，未安装该客户端的终端不得接入中国移动网络。身份鉴权（可选）安全配置鉴权终端接入网络必须接受终端安全策略检查并通过终端接入安全认证，未通过认证接入的终端无法访问任何系统、应用和设备。终端接入网络之前可选择对终端进行身份鉴权认证，未通过身份鉴权的终端无法访问任何系统、应用以及设备。终端安全配置策略实施模型资产管理存储介质管理补丁分发管理其它安全策略管理终端安全客户端代理程序终端安全管理及策略服务器终端安全登录管理终端安全登录管理第一、二、三、四类终端必须设置屏幕保护程序（自助业务终端除外），屏保启动等待时间应小于10分钟，在恢复操作系统界面时应采用帐号口令保护方式。双重认证安全登录管理USBKey与操作系统不同权限用户绑定；USBKey登录权限划分管理USBKey拔除实时锁屏管理，屏保锁屏管理，注销锁屏管理；USBKey用户登录情况审计管理禁用安全模式登录；资产管理硬件资产管理软件资产管理禁止终端使用者擅自拆装终端设备，自行添加、拆除或更换硬件。生产终端和第三类业务终端上不允许安装与系统设备维护、应用操作无关的软件，第二类办公终端上不允许安装和工作无关的软件（如游戏软件）硬件资产自动登记硬件资产查询硬件资产违规统计硬件资产违规告警软件资产自动登记软件资产查询软件安装白名单管理软件安装黑名单管理软件资产违规统计软件资产违规报警存储介质管理存储介质接入认证存储介质读写控制存储介质分区管理存储介质加密控制内、外网使用控制指定文件审计管理介质使用审计管理其它USB介质识别生产终端和业务终端不得私自连接、装配刻录光驱、磁带机、移动硬盘、闪存盘等移动存储设备，需要进行数据交换时必须使用专用移动存储介质，严禁使用个人移动存储介质，专用移动存储介质须由专人保管并确保信息安全。终端设备送修时必须拆除硬盘或者不可恢复的删除与公司相关的数据资料，若因硬盘损坏而送修，则维修期间应有本公司终端维护人员在场。软件消除硬件消除消磁消除粉碎消除形态：光盘或者U盘擦除方式：内容擦除，擦除后硬盘可再次使用优势：可按分区擦除劣势：不可擦除系统分区，速度慢形态：专用硬件设备擦除方式：内容擦除，擦除后硬盘可再次使用优势：擦除速度快劣势：不可按分区擦除形态：专用硬件设备擦除方式：硬盘消磁，擦除后硬盘不可再次使用优势：擦除速度快劣势：存储介质摧毁形态：专用硬件设备擦除方式：物理粉碎，擦除后硬盘不可再次使用优势：速度快劣势：存储介质摧毁补丁分发管理其它安全策略管理禁止双网卡连接：所有终端都不允许以双网卡（包括有线网卡和无线网卡）的方式连接相同或者不同的网络。第一类生产终端和第三类业务终端不得私自连接、装配刻录光驱、磁带机、移动硬盘、闪存盘等移动存储设备。违规外联告警硬件管理策略具有双网卡终端连外网告警自动禁用双网卡、关机、断网等驱动层禁用光驱、USB口驱动层禁用无线网卡、3G网卡、智能手机连接上网等安全审计实施模型主机审计网络审计业务审计终端层网络层业务层数据库审计运维审计系统（堡垒机）内外网行为审计主机监控审计主机审计网络审计网络行为审计基于源、目的、端口的行为审计（生产网、办公网）基于网络会话的审计和回放（生产网、办公网）外网文件聊天、文件传输等行为审计（办公网、临时接入终端）邮件外发审计（办公网、临时接入终端）基于URL的访问