安全服务实施方案

安全服务实施方案1.概述(1)根据系统的安全保护等级选择基本安全措施，设计安全标准必须达到等级保护相关等级的基本要求，并依据风险分析的结果进行补充和调整必要的安全措施；(2)指定和授权专门的部门对信息系统的安全建设进行总体规划，制定近期和远期的安全建设工作计划；(3)应根据信息系统的等级划分情况，统一考虑安全保障体系的总体安全策略、安全技术框架、安全管理策略、总体建设规划和详细设计方案，并形成配套文件；(4)应组织相关部门和有关安全技术专家对总体安全策略、安全技术框架、安全管理策略、总体建设规划、详细设计方案等相关配套文件的合理性和正确性进行论证和审定，并且经过批准后，才能正式实施；(5)根据等级测评、安全评估的结果定期调整和修订总体安全策略、安全技术框架、安全管理策略、总体建设规划、详细设计方案等相关配套文件；系统根据“一个中心”管理下的“三重保护”体系框架进行设计，构建安全机制和策略，形成定级系统的安全保护环境。该环境共包括四部分：安全计算环境、安全区域边界、安全通信网络和安全管理中心。2．设计要求和分析主要针对以下四个方面进行设计：2.1安全计算环境设计(1)用户身份鉴别应支持用户标识和用户鉴别。(2)自主访问控制在安全策略控制范围内，使用户对其创建的对象具有访问操作权限，这个权限可以根据用户进行授权。可以具体到针对被访问对象的具体操作。(3)标记和强制访问控制可以对访问者和被访问者在身份鉴别的基础上进行安全标记，实现对主体访问客体的操作进行控制。(4)系统安全审计对访问行为进行完整的审计，审计的内容包括访问对象、被访问对象，访问的行为、时间等内容。(5)用户数据完整性保护采用备份、HASH方法对数据的完整性进行保护，防止被篡改。(6)用户数据保密性保护采用密码等技术支持的保密性保护机制，对在安全计算环境中存储和处理的用户数据进行保密性保护。(7)客体安全重用客体安全重用即指被访问对象不应保留访问对象的特征，避免由于不同访问对象的访问而造成访问对象之间信息的泄露。(8)程序可信执行保护采用可信计算技术，保证程序执行过程是可信的。可信是个复杂的环节，但是我们可以在重点服务器计算环境内实现可信。对于(1),(2),(3),(4)的要求可以通过高强度的身份认证产品实现。(5),(6),(7)可以通过比较流行的敏感信息数据保护技术实现;(8)是一个复杂的要求，如何做到可信的环境也是一个复杂的命题，毕竟在多数情况下，我们的计算环境还是建立在一个开放的平台上进行建设。而且，从硬件开始至操作系统，基本都是国外的产品构成.可信执行保护只能在操作系统平台上实现，很难做到完全的可信。2.2安全区域边界设计(1)区域边界访问控制要求在区域边界进行控制，防止非授权访问。(2)区域边界包过滤要求在区域边界进行包过滤检测措施。(3)区域边界安全审计要求在区域边界进行安全审计措施，保证内外数据的审计。(4)区城边界完整性保护应在区域边界设置探测器，例如外接探测软件，探渊非法外联和人侵行为，并及时报告安全管理中心。2.3安全通信网络设计(1)通信网络安全审计在安全通信网络设置审计机制，由安全管理中心集中管理，并对确认的违规行为进行报警。(2)通信网络数据传输完轶性保护对网络传输数据进行完整性检验和保护。保证网络传输数据的安全性。(3)通信网络数据传输保密性保护对网络数据进行传输保密。(4)通信网络可信接人保护对通信网络采用可信接人保护。安全通信网络设计主要是针对通信网络的保密要求，采用网络加密技术可以实现所有要求，我们采用HTTPS技术实现对通信网络和数据的保护。2.4安全管理中心设计(1)系统管理系统可以对系统管理员的行为进行身份鉴别和授权，仅允许系统管理员访问特定的界面和特定的系统。在多数情况下，系统管理员可以分为网络管理员、主机管理员和存储管理员。网络管理员主要对网络设备进行策略配置。主机管理员主要对服务器操作系统进行管理和配置。多数情况下，主机管理员又分为PC服务器管理员和小型机管理员;存储管理员主要对存储设备进行维护和管理。(2)安全管理对安全管理员进行身份鉴别和授权。总所周知，安全管理员仅是对安全设备的管理，安全设备又涉及到了整个计算系统的各个方面，对安全管理员的管理也变得尤为重要，多数安全设备都具有LOG记录功能，同时提供了方便的接口可以进行授权管理。(3)审计管理根据信息安全等级保护三级要求对安全审计员进行身份鉴别和管理，安全审计员要和多种设备打交道，如何保证安全审计员的行为进行控制同样是一个复杂的要求。3．针对本单位的具体实践3.1安全计算环境建设公司信息系统部署于XXX云平台，云平台位于中国境内。XX云平台完成了网络安全等级保护测评（第三级），报告编号XXX。在XX云的基础上，基于XX云的能力和特性，配置开通高强度的多因子身份认证系统，采用该身份认证系统，可以实现用户身份鉴别、自主访问控制、标记和强制访问控制、系统安全审计等要求，采用基于代理技术的身份认证技术。除了以上功能外，还可以实现对访问过程的控制，保证请求的有效、请求过程的正确、数据格式的正确等等。除此之外，服务器还部署了主机安全管理系统，提供了下列能力：主机漏洞管理与NVD（美国漏洞数据库），CNVD（中国国家漏洞库）进行对接，并根据CVSS（通用漏洞评估方法）且结合企业自身安全风险进行计算和分析，得出准确的主机安全漏洞评估结果，并提供漏洞的应急响应及生命周期管理功能。安全基线管理根据操作系统、数据库、中间件、Kubernetes的安全要求，制定了符合等级保护2.0的安全基线，可对集群内的各项资产进行安全基线扫描，并提供安全基线生命周期管理功能。恶意代码检测具备勒索病毒、挖矿、蠕虫、DDoS，webshell等恶意代码检测能力，为企业安全筑起最后一道防线。入侵事件检测通过对主机的进程，文件进行监控，并结合威胁情报，发现各种远程命令漏洞利用，账号爆破，横向移动等入侵事件。文件完整性检测对主机关键文件进行监控，对文件的异常篡改进行告警；通过上述方案，有效保障了信息系统的计算环境安全。3.2安全区域边界建设信息系统系统部署于XX公有云平台，基于XX云的VPC技术进行严格的网络隔离，网络隔离策略分为应用子网、数据子网、安全子网等，通过服务器安全组策略实现网络区域隔离和端口级访问控制。区域边界部署了WAF、FLEET安全中心对网络攻击行为进行检测和报警。部署了堡垒机、XX云对象存储OSS、XX云SQL洞察对网络安全事件、重要用户行为进行安全审计和日志记录。WAF对流入数据进行攻击和恶意代码检溯，作为安全保护的第一道防线，在边界起到重要的作用。但是仅仅具有WAF是不够的，服务器部署了主机安全管理软件，做到全网统一策略，从而可以保证对流入的恶意代码进行实时查杀，且对入侵行为进行告警。3.3安全通信网络建设信息系统部署了WAF、堡垒机、FLEET云安全中心、FLEET主机安全管理系统、XX云对象存储OSS、XX云SQL洞察服务或设备对系统进行综合管控和安全防护，通过服务器安全组划分网络区域，重要网络区域未部署在网络边界处。采用HTTPS、SSH、RDP等方式建立安全通信连接。3.4安全管理中心建设本公司XX信息系统明确了不同安全管理岗位的职责。系统管理员、审计管理员、安全管理员通过堡垒机进行身份鉴别后开展安全管理工作，并通过堡垒机、XX云对象存储OSS、XX云SQL洞察对用户操作进行审计和日志记录。网络中划分出特定的安全管理区对网络中的安全设备进行集中管控，采用HTTPS、SSH等建立了安全的信息传输路径。通过XX云监控系统对安全设备和服务器等的运行状态进行集中监控，部署了堡垒机、XX云对象存储OSS、XX云SQL洞察对安全设备、服务器、数据库的审计数据进行收集汇总和集中分析，日志保存周期超过6个月，通过统一管理的FLEET安全中心、FLEET主机安全管理系统进行恶意代码的集中管理，部署了WAF、FLEET安全中心等设备或服务对网络中发生的主要安全事件进行识别和报警，并由安全管理员进行及时处理。使用FLEET安全管理中心，提供了以下能力。统一安全日志管理具备跨云，跨数据中心的安全日志/安全数据接入能力。支持UDP，TCP，SYSLOG，HTTP，SNMPTrap等协议，快速接入Linux日志，硬件防火墙，硬件WAF，硬件IPS/IDS，杀毒软件，网络设备等数百种设备或系统日志。用户可以通过安全管理中心强大的数据集成能力，打通分散的数据中心，云平台，安全设备的数据孤岛，为基于数据驱动的安全运维，安全防护打下坚实基础。安全大数据分析提供了实时安全分析和监控能力，基于流计算的复杂事件处理CEP，ComplexEventProcess）技术，可基于规则处理各种实时安全日志并从中发现安全威胁。也提供针对海量历史数据的回溯分析能力，且具有灵活的分析任务调度功能，可自动化的对各种数据指标进行分析，以发现复杂的，隐蔽的安全威胁。安全事件生命周期管理安全事件生命周期管理为企业提供了扁平化，跨部门，可审计的安全事件处置能力。通过该功能，可以让全工司的工程师参与安全事件的处理，贡献每一个工程师的力量来保障公司的安全性，即减轻了安全团队的工作量又提高了全公司人员对信息安全的参与度与重视程度。安全事件生命周期可对接各种来源的安全事件，同时，提供了事件分发，事件处理，事件验证和事件总结的全生命周期管理。3.5安全管理规范制定目前在业界内大多数用户也已经达成共识，单纯依靠技术不能解决所有的安全问题，必须配套相应的管理手段。安全管理规范是必要而且非常重要的辅助手段，根据实际的情况，采用系统管理员、安全管理员、安全审计员三权分立、互不兼任的原则，约束各个管理员的行为，同时配合门禁、