安全運維實施方案第1章、 安全運維實施方案1.1 安全運維的重要性隨著信息安全管理體系和技術體系在企業領域的信息安全建設中不斷推進，占信息系統生命周期70% - 80%的信息安全運維體系的建設已經越來越被廣大用戶重視。尤其是隨著信息系統建設工作從大規模建設階段逐步轉型到“建設和運維”并舉的發展階段，運維人員需要管理越來越龐大的IT系統這樣的情況下，信息安全運維體系建設已經被提到了一個空前的高度上。運維服務的發展趨勢對于企業的安全運維服務管理的發展，通常可以將其分為五個階段：混亂、被動、主動、服務和價值階段。1. 在混亂階段：沒有建立綜合支持中心，沒有用戶通知機制；2. 在被動階段：是開始關注事件的發生和解決，關注信息資產，擁有了統一的運維控制臺和故障記錄和備份機制；3. 在主動階段：建立了安全運行的定義，并將系統性能，問題管理、可用性管理、自動化與工作調度作為重點；4. 在服務階段，已經可以支持任務計劃和服務級別管理；5. 在價值階段，實現性能、安全和核心應用的緊密結合，體現價值之所在。1.2 安全運維的定義通常安全運維包含兩層含義：1. 是指在運維過程中對網絡或系統發生病毒或黑客攻擊等安全事件進行定位、防護、排除等運維動作，保障系統不受內、外界侵害。2. 對運維過程中發生的基礎環境、網絡、安全、主機、中間件、數據庫乃至核心應用系統發生的影響其正常運行的事件（包含關聯事件）通稱為安全事件，而圍繞安全事件、運維人員和信息資產，依據具體流程而展開監控、告警、響應、評估等運行維護活動，稱為安全運維服務。目前，大多數企業還停留在被動的、傳統意義上的安全運維服務，這樣安全運維服務存在以下弊端：1. 出現故障縱有眾多單一的廠商管理工具，但無法迅速定位安全事件，忙于“救火”，卻又不知火因何而“著”。時時處于被動服務之中，無法提供量化的服務質量標準。2. 企業的信息系統管理仍在依靠各自的“業務骨干”支撐，缺少相應的流程和知識積累，過多依賴于人。3. 對安全事件缺少關聯性分析和評估分析，并且沒有對安全事件定義明確的處理流程，更多的是依靠人的經驗和責任心，缺少必要的審核和工具的支撐。正是因為目前運維服務中存在的弊端，深信通公司依靠長期從事應用平臺信息系統運維服務的經驗，同時結合信息安全保障體系建設中運維體系建設的要求，遵循ITIL（最佳實踐指導）、ISO/IEC 27000系列服務標準、以及中國移動廣東公司管理支撐系統SOA規范等相關標準，建立了一整套完善和切實可行的信息安全運維服務管理的建設方案。1.3 深信通安全運維五大架構體系1.3.1 建立安全運維監控中心基于關鍵業務點面向業務系統可用性和業務連續性進行合理布控和監測，以關鍵績效指標指導和考核信息系統運行質量和運維管理工作的實施和執行，深信通幫助用戶建立全面覆蓋信息系統的監測中心，并對各類事件做出快速、準確的定位和展現。實現對信息系統運行動態的快速掌握，以及運行維護管理過程中的事前預警、事發時快速定位。其主要包括：1. 集中監控：采用開放的、遵循國際標準的、可擴展的架構，整合各類監控管理工具的監控信息，實現對信息資產的集中監視、查看和管理的智能化、可視化監控系統。監控的主要內容包括：基礎環境、網絡、通信、安全、主機、中間件、數據庫和核心應用系統等。2. 綜合展現：合理規劃與布控，整合來自各種不同的監控管理工具和信息源，進行標準化、歸一化的處理，并進行過濾和歸并，實現集中、綜合的展現。3. 快速定位和預警：經過同構和歸并的信息，將依據預先配置的規則、事件知識庫、關聯關系進行快速的故障定位，并根據預警條件進行預警。1.3.2 建立安全運維告警中心基于規則配置和自動關聯，實現對監控采集、同構、歸并的信息的智能關聯判別，并綜合的展現信息系統中發生的預警和告警事件，幫助運維管理人員快速定位、排查問題所在。同時，告警中心提供多種告警響應方式，內置與事件響應中心的工單和預案處理接口，可依據事件關聯和響應規則的定義，觸發相應的預案處理，實現運維管理過程中突發事件和問題處理的自動化和智能化。其中只要包括：事件基礎庫維護：是事件知識庫的基礎定義，內置大量的標準事件，按事件類型進行合理劃分和維護管理，可基于事件名稱和事件描述信息進行歸一化處理的配置，定義了多源、異構信息的同構規則和過濾規則。智能關聯分析：借助基于規則的分析算法，對獲取的各類信息進行分析，找到信息之間的邏輯關系，結合安全事件產生的網絡環境、資產重要程度，對安全事件進行深度分析，消除安全事件的誤報和重復報警。綜合查詢和展現：實現了多種視角的故障告警信息和業務預警信息的查詢和集中展現。告警響應和處理：提供了事件生成、過濾、短信告警、郵件告警、自動派發工單、啟動預案等多種響應方式，內置監控界面的圖形化告警方式；提供了與事件響應中心的智能接口，可基于事件關聯響應規則自動生成工單并觸發相應的預案工作流進行處理。1.3.3 建立安全運維事件響應中心借鑒并融合了ITIL（信息系統基礎設施庫）/ITSM（IT服務管理）的先進管理規范和最佳實踐指南，借助工作流模型參考等標準，開發圖形化、可配置的工作流程管理系統，將運維管理工作以任務和工作單傳遞的方式，通過科學的、符合用戶運維管理規范的工作流程進行處置，在處理過程中實現電子化的自動流轉，無需人工干預，縮短了流程周期，減少人工錯誤，并實現對事件、問題處理過程中的各個環節的追蹤、監督和審計。其中包括：圖形化的工作流建模工具：實現預案建模的圖形化管理，簡單易用的預案流程的創建和維護，簡潔的工作流仿真和驗證。可配置的預案流程：所有運維管理流程均可由用戶自行配置定義，即可實現ITIL/ITSM的主要運維管理流程，又可根據用戶的實際管理要求和規范，配置個性化的任務、事件處理流程。智能化的自動派單：智能的規則匹配和處理，基于用戶管理規范的自動處理，降低事件、任務發起到處理的延時，以及人工派發的誤差。全程的事件處理監控：實現對事件響應處理全過程的跟蹤記錄和監控，根據ITIL管理建議和用戶運維要求，對事件處理的響應時限和處理時限的監督和催辦。事件處理經驗的積累：實現對事件處理過程的備案和綜合查詢，幫助用戶在處理事件時查找歷史處理記錄和流程，為運維管理工作積累經驗。1.3.4 建立安全運維審核評估中心該中心提供對信息系統運行質量、服務水平、運維管理工作績效的綜合評估、考核、審計管理功能。其中包括：評估：遵循國際和工業標準及指南建立平臺的運行質量評估框架，通過評估模型使用戶了解運維需求、認知運行風險、采取相應的保護和控制，有效的保證信息系統的建設投入與運行風險的平衡，系統地保證信息化建設的投資效益，提高關鍵業務應用的連續性。考核：是為了在評價過程中避免主觀臆斷和片面隨意性，應實現工作量、工作效率、處理考核、狀態考核等功能。審計：是以跨平臺多數據源信息安全審計為框架，以電子數據處理審計為基礎的信息審計系統。主要包括：系統流程和輸入輸出數據以及數據接口的完整性、合規性、有效性、真實性審計。1.3.5 以信息資產管理為核心 IT資產管理是全面實現信息系統運行維護管理的基礎，提供的豐富的IT資產信息屬性維護和備案管理，以及對業務應用系統的備案和配置管理。基于關鍵業務點配置關鍵業務的基礎設施關聯，通過資產對象信息配置豐富業務應用系統的運行維護內容，實現各類IT基礎設施與用戶關鍵業務的有機結合，以及全面的綜合監控。這其中包括：綜合運行態勢：是全面整合現有各類設備和系統的各類異構信息，包括網絡設備、安全設備、應用系統和終端管理中各種事件，經過分析后的綜合展現界面，注重對信息系統的運行狀態、綜合態勢的宏觀展示。系統采集管理：以信息系統內各種IT資源及各個核心業務系統的監控管理為主線，采集相關異構監控系統的信息，通過對不同來源的信息數據的整合、同構、規格化處理、規則匹配，生成面向運行維護管理的事件數據，實現信息的共享和標準化。系統配置管理：從系統容錯、數據備份與恢復和運行監控三個方面著手建立自身的運行維護體系，采用平臺監測器實時監測、運行檢測工具主動檢查相結合的方式，構建一個安全穩定的系統。1.4 安全管理原則1. 深信通負責業務支撐中心的安全、保密管理工作，遵守南方基地已有各項安全規定，以此為基礎制定詳細的安全管理實施辦法，并采取適當措施保證有關措施的有效執行。2. 深信通定期檢查安全、保密規定的執行情況；3. 深信通定期組織系統病毒檢查，并對此負責；4. 深信通及時向信息技術中心反映存在的安全隱患。1.5 保密原則1. 深信通嚴格遵守南方基地各項安全保密制度，加強服務工程師的保密意識，制定有效的管2. 深信通整理措施和技術措施，防止重要數據、文件、資料的丟失及泄漏。3. 深信通有關計費清單、用戶資料、業務數據、重要文件等均屬機密，不得任意抄錄、復制及帶出機房，也不得轉告與工作無關的人員。4. 機房內重要文件、數據的銷毀，應全部送入碎紙機，不得任意丟棄。5. 安全保密工作深信通安排專人負責，定期向信息技術中心提交安全工作報告。1.6 硬件層安全運維1.6.1 機房安全運維1.6.2 基礎網絡安全運維1.7 人員管理安全運維1.8 應用層安全運維1. 對于南方基地管理支撐應用的帳戶，必需遵循南方基地管理支撐系統帳號密碼管理辦法（V2.0），并結合實際情況，補充并完善相關管理辦法。2. 系統用戶帳號原則上不允許存在共享帳號，所有帳號必須明確至個人；由于系統特殊原因必須使用共享帳號的情況下，系統必須制訂對共享帳號的審核授權流程，明確共享帳號的有效期以及使用帳號人員資料。3. 用戶帳號原則上采用用戶中文名稱的漢語拼音，當遇到用戶的中文漢語拼音相同時，系統將為重復的帳號后加上順序號，如此類推，如：liming , liming2 , liming3，liming5順序號將避開數字4。4. 各系統用戶數據屬性應包括用戶中文姓名和用戶中文ID，原則上用戶中文ID就是用戶姓名，當不同用戶具有相同中文名稱時，系統除了按2、3的命名規范為其分配用戶帳號外，用戶中文ID后面加上與帳號一致的后綴。而用戶的中文名后面不加順序號。如： 5. 公司6. 姓名7. 中文ID8. 帳號9. 郵件10. 省公司11. 李明12. 李明13. liming14. 15. 清遠移動16. 黎明17. 黎明18. liming219. 20. 深圳公司21. 李明22. 李明323. liming324. 25. 圖 1.81 帳號說明26. 測試人員和代維人員帳號：各系統測試人員和代維人員帳號原則上應以該系統的英文縮寫作為前綴加上用戶名稱的漢語拼音生成。27. 各系統用戶密碼長度不得低于6位；不得采用弱密碼（弱密碼定義參見南方基地管理支撐系統帳號密碼管理辦法）；最少每90天必須強制用戶更改密碼；并不得使用5次以內重復的密碼；登錄系統時，如重復嘗試3次不成功，則系統暫停該帳號登錄功能。28. 園區信息化系統安全體系29. 系統平臺管理30. 檢查點31. 檢查要求32. 交付物33. 日常維護34. 核心系統及關鍵服務器定義35. 需對關鍵系統和服務器有清晰的定義（如DNS/DHCP、防病毒等影響全網層面的服務器、承載重要業務或包含敏感信息的系統等）36. 核心業務、關鍵服務器列表37. 應急與演練38. 園區信息化系統和關鍵服務器需有詳盡故障應急預案39. 應急預案40. 應定期進行相關應急演練，并形成演練報告，保證每年所有的平臺和關鍵服務器都至少進行一次演練41. 應急演練報告42. 根據應急演練結果更新應急預案，并保留更新記錄，記錄至少保留3年43. 應急預案更新記錄，預案版本記錄44. 備份管理45. 系統所涉及不同層面（如系統的重要性、操作系統/數據庫）應當制定數據的備份恢復以及備份介質管理制度46. 備份管理制度，包括備份策略管理制度與備份介質管理制度47. 系統所涉及不同層面應根據業務要求制定數據的本地和異地備份（存放）策略48. 備份管理制度，包括備份策略管理制度與備份介質管理制度49. 相關人員對本地和異地備份策略的結果進行每季度審核50. 策略審核表，加入備份管理制度51. 備份的數據進行恢復性測試，確保數據的可用性，每年不少于一次52. 備份恢復應急演練記錄53. 相關人員對備份介質的更換記錄進行每半年審核54. 備份介質更換記錄表，加入備份管理制度55. 相關人員對備份介質的銷毀記錄進行每半年審核56. 備份介質銷毀記錄表，加入備份管理制度57. 故障管理58. 各地市需制定相應的園區信息化系統及服務器故障處理流程59. 故障處理流程60. 系統中發現的異常情況由系統維護人員根據相關流程在規定時間內處理61. 故障處理流程62. 故障處理完成后必須留有相應的故障處理記錄63. 故障處理報告64. 上線管理65. 為保障設備接入網絡的安全性，設備上線前必須安裝防病毒系統及更新操作系統補丁，并對設備進行進行安全掃描評估，針對安全漏洞進行安全加固66. 1、企業網接入管理辦法2、接入記錄67. 為避免系統上線對其它系統和設備造成影響，發布前必須對系統應用站點、數據庫、后臺服務、網絡端口進行安全評估。系統投入正式運營前必須在測試環境中對系統進行模擬運行一周以上68. 1、應用系統接入申請流程2、接入記錄69. 系統上線之后如需對系統進行功能更新，必須由系統管理員或系統管理員指定專門維護人員進行更新操作，嚴格按照公司安全管理規范執行70. 1、應用系統更新申請流程2、更新記錄71. Web應用應根據業務需求與安全設計原則進行安全編碼,合理劃分帳號權限，確保用戶帳號密碼安全,加強敏感數據安全保護，提供詳細的日志72. 1、中國移動門戶網站安全技術規范V1.0_20 101229_1832_(全部合訂)2、根據規范對開發規范進行修正，用戶名密碼的管理要求、敏感數據的管理要求、系統日志的開發要求3、現有應用的安全檢查73. 漏洞與防病毒74. 定期進行服務器漏洞掃描，并根據漏洞掃描報告封堵高危漏洞，每季度至少對所有服務器掃描一次75. 掃描記錄與掃描結果報告76. 需建立統一的WSUS服務器，并每季度對關鍵服務器進行高危漏洞升級，并留有升級記錄77. 1、WSUS服務器中的關鍵更新的補丁清單，每個月1份2、應用服務器端每次更新的補丁清單78. 任何終端必須安裝正版防病毒軟件，且保證90%以上病毒庫最新（五日以內）79. 防病毒檢查記錄80. 每周檢查防病毒軟件隔離區，排除病毒威脅81. 防病毒檢查記錄82. 核心系統和關鍵服務器日志審計83. 在操作系統層、數據庫層、應用層建立日志記錄功能，日志記錄中保存1年的內容，日志安全記錄能夠關聯操作用戶的身份84. 1、操作系統層日志策略2、數據庫日志策略3、應用層日志要求加入開發規范中85. 操作系統日志中需記錄“賬戶管理”“登錄事件”“策略更改”“系統事件”等內容86. 操作系統層日志策略87. 操作行為記錄需進行定期審計88.89. 數據庫層日志需記錄每次數據庫操作的內容90. 數據庫日志策略91. 應用層日志需記錄每次應用系統出錯的信息92. 應用層日志要求加入開發規范中93. 檢查關鍵錯誤日志、應用程序日志中的關鍵錯誤記錄，保證日志審核正常94.95. 關鍵訪問與操作應立即啟用日志記錄功能，避免因日志記錄不全，造成入侵后無法被追蹤的問題96.97. 信息發布管理98. 每天檢查平臺短信發送、接收的可用性99. 每天短信檢查記錄100. 短信必須設置關鍵字過濾，每個月進行關鍵字更新，并檢查其有效性101. 短信關鍵字更新記錄，有效性檢查記錄102. 信息防泄密103. 需對所有園區信息化系統、應用系統的核心信息進行清晰的界定，核心信息包括但不限于涉及客戶資料、客戶賬戶信息、客戶密碼、操作記錄104. 應用系統-核心信息矩陣圖105. 需對核心信息設定保密措施106. 應用系統核心信息管理制度107. 對核心信息的操作進行特殊監控，并留下記錄108. 訪問控制109. 賬號密碼管理110. 服務器上任何賬號必須有審批人員審核確認111. 1、賬號管理辦法2、賬號申請表112. 所有系統和服務器上賬號必須每季度進行審核113. 賬號審核表114. 密碼復雜度要求：一靜態密碼：密碼應至少每90天進行更新，密碼長度應至少6位或以上，密碼應由大小寫字母、數字或標點符號等字符組成，五次內不能重復二動態密碼。115. 1、密碼修改記錄表2、歷史密碼記錄表116. 遠程訪問117. 不得有互聯網遠程維護的訪問方式。118. 現場檢查119. MDCN網系統的遠程訪問只能通過省公司的SSL VPN或IBM VPN，不得在市公司層面存在互聯網以VPN等形式的遠程訪問120. 現場檢查121.122.123. 應用安全124. 應用層的漏洞掃描，實現對南方基地園區信息化系統上的所有系統進行安全掃描， 做好應用防護，防止出現 SQL 注入、網頁后門程序、跨站腳本等重大安全漏洞，避免因2應用系統自身漏洞造成敏感信息泄露的安全問題；125. 服務器報警策略126. 報警策略管理是防止集群中的服務器某個壓力值過高或者過低而造成集群性能的降低，通過報警策略的設定，管理可以及時的察覺每個服務器的故障并進行及時修正，保證集群最有效的工作狀態。管理員可以根據服務器的不同應用，通過報警策略的類型、極限參數和警告內容的設置，將報警策略賦予服務器，并產生報警日志。127. 用戶密碼策略128. 密碼策略用于應用接入平臺用戶身份模塊中用戶賬戶。它確定用戶賬戶密碼設置，例如：密碼復雜度、密碼歷史等設置。129. 用戶安全策略130. 用戶安全策略用于應用接入平臺權限設置。它確定用戶身份權限設置，例如：能訪問服務器的那個磁盤，此用戶身份能運行那個業務程序等設置。131. 訪問控制策略132. 管理員通過訪問控制策略來限定用戶和客戶端計算機以及時間等因素的綁定來實現用戶安全訪問應用程序的設置。133. 時間策略134. 通過對訪問該應用程序及使用的用戶身份進行時間限制，從而提升對發布的應用程序的訪問安全，使其只能在特定時間與被確認身份的用戶身份所使用。防止被惡意用戶不正當的訪問。1.8.1 備份安全指遵照相關的數據備份管理規定，對園區信息化系統及其產品的數據信息進行備份和還原操作。根據園區信息化系統及其產品的數據重要性和應用類別，把需要備份的數據分為數據庫、系統附件、應用程序三部分。1. 每周檢查NBU備份系統期備份結果檢查，處理相關問題。備份系統狀態、備份策略檢查，對備份策略以及備份狀態檢查以及調優，主要服務器變更、應用統一接入等1.8.2 防病毒安全1. 導出防病毒安全檢查報告、對有風險和中毒的文件與數據進行檢查2. 對病毒分析處理3. 定期檢測病毒，防止病毒對系統的影響1.8.3 系統安全1. 定期修改系統Administrator密碼：主要修改AD、Cluster、服務器密碼；2. 安裝操作系統補丁，系統重啟，應用系統檢查測試3. 數據庫的賬號、密碼管理，保證數據庫系統安全和數據安全4. 對系統用戶的系統登錄、使用情況進行檢查，對系統日志進行日常審計1.8.4 主動安全1. 監控Agent的配置與管理，對端對端監控產生檢查結果核實，處理相應問題2. 園區信息化所有系統需有詳盡故障應急預案3. 應定期進行相關應急演練，并形成演練報告，保證每年所有的平臺和關鍵服務器都至少進行一次演練4. 根據應急演練結果更新應急預案，并保留更新記錄，記錄至少保留3年1.8.5 系統及網絡安全1. 流量分析（netscount）深信通根據南方基地的安全及分析需求，提供netscount分析服務支撐，對各系統性能提供全面分析。并提供優化建議及方案。2. 應用分析（splunk）深信通根據南方基地的園區信息化系統安全，建立splunk的日志分析服務，并針對日志進行全面分析。對系統的安全、保障提供優化建議及優化方案。3. 提供流量分析和應用分析提供10個以上的專題分析報告，并根據報告提供具體的實施方案及優化手段。4. 根據優化建議及方案對平臺及網絡進行安全整改，以全面提升平臺的性能、安全，解決瓶頸。1.8.6 防篡改防攻擊1. 網頁文件保護，通過系統內核層的文件驅動，按照用戶配置的進程及路徑訪問規則設置網站目錄、文件的讀寫權限，確保網頁文件不被非法篡改。2. 網絡攻擊防護，Web核心模塊對每個請求進行合法性檢測，對非法請求或惡意掃描請求進行屏蔽，防止SQL注入式攻擊。3. 集中管理，通過管理服務器集中管理多臺服務器，監測多主機實時狀態，制定保護規則。4. 安全網站發布，使用傳輸模塊從管理服務器的鏡像站點直接更新受保護的網站目錄，數據通過SSL加密傳輸，杜絕傳輸過程的被篡改的可能。5. 網站備份還原，通過管理控制端進行站點備份及還原。6. 網頁流出檢查，在請求瀏覽客戶端請求站點網頁時觸發網頁流出檢查，對被篡改的網頁進行實時恢復，再次確保被篡改的網頁不會被公眾瀏覽。7. 實時報警，系統日志，手機短信，電子郵件多種方式提供非法訪問報警。8. 管理員權限分級，可對管理員及監控端分配不同的權限組合。9. 日志審計，提供管理員行為日志，監控端保護日志查詢審計。10. 對站點主機進行監控，對CPU，內存，流量的作統計，以便實時監控站點服務器的運作情況。11. 站點系統賬號監控，對站點服務器的賬號進行監控，對賬號的修改，添加等改動有阻攔和日志記錄及報警，使站點服務器更加安全。1.8.7 合理授權1. 合理授權的定義：合理授權是指對IT管理支撐應用系統及其相關資源的訪問設定嚴格的授權審批機制，確保IT管理支撐應用系統的安全性。2. 為了保證南方基地IT管理支撐應用系統的安全性，確保相關IT資源的訪問經過合理授權，所有IT管理支撐應用系統及其相關資源的訪問必須遵照申請 評估 授權 的合理授權管理流程。3. 需要合理授權的IT資源包括但不局限于應用系統的測試環境、程序版本管理服務器、正式環境（包括應用服務器和數據服務器等）。4. 申請：由訪問者（一般是應用開發商、應用系統管理員等）提交書面的訪問申請表（書面訪問申請表，包括但不局限于紙質、Word文檔以及電子郵件等），提交安全管理員（一般是系統管理員或者專職的安全管理員）進行風險評估。5. 評估：安全管理員對接到的訪問申請書進行風險評估，并根據訪問者及被訪問IT資源的具體情況，進行靈活處理。6. 授權：在訪問申請表通過安全風險評估后，安全管理員會對訪問者進行合理授權。原則上，對程序版本管理服務器和正式環境的訪問申請，安全管理員必需根據有關管理流程給出正式授權，以滿足安全審計的要求。7. 各系統超級管理員帳號的分配，必須由系統負責人員提出書面申請，申請內容應包括系統名稱、帳號、帳號有效期、帳號使用負責人、帳號權限等內容，由部門副經理或以上的管理人員進行審核批準后，超級管理員帳號方可生效。8. 系統超級管理員密碼設置應符合本管理辦法中用戶密碼管理的相關規則；各系統應最少每90天對超級管理員帳號進行審查，并且將審查結果寫入書面記錄，由部門副經理或以上管理人員審核存檔。9. 各應用層超級管理員帳號的分配，必須由系統負責人員提出書面申請，申請內容應包括應用系統名稱、帳號、帳號有效期、帳號使用負責人、帳號權限等內容，由部門副經理或以上的管理人員進行審核批準后，超級管理員帳號方可生效。10. 應用層超級管理員密碼設置應符合本管理辦法中用戶密碼管理的相關規則；各系統應最少每90天對超級管理員帳號進行審查，并且將審查結果寫入書面記錄，由部門副經理或以上管理人員審核存檔。11. 為了保證帳號安全管理，各系統應最少每90天對本系統涉及的帳號（包括各類管理員帳號和普通用戶帳號）進行檢查，對已經超過有效期的帳號進行清理，對不符合管理規范的帳號進行補充授權與審批。12. 各系統私有測試帳號和代維人員帳號：由各系統管理員自行管理。13. 關于帳號申請、授權、登記、變更等管理表格詳見附件八帳號管理相關表格1.8.8 安全隔離14. 安全隔離的定義：安全隔離是指對IT應用系統的相關數據（包括應用系統的程序代碼、數據文件等）進行邏輯隔離、物理隔離等，以確保應用系統的安全性。如果開發商在開發、維護合作過程當中可能接觸到我公司的敏感數據，必須與南方基地簽訂安全保密協議。15. 對安全等級為機密的IT應用系統（包括但不局限于企業內部的機密檔案信息等），我們需要對它的有關數據進行物理隔離，以提高應用系統的安全防范能力；對安全等級為秘密的IT應用系統以及應用系統的基礎數據（如綜合應用平臺的基礎數據、組織架構等），需要進行邏輯隔離。系統應用層面的訪問必須通過帳號進行訪問，系統的帳號及口令管理參照本規定的帳號管理部分。16. 應用系統管理員或者專職的安全管理員應根據具體應用系統的數據的敏感度制定相應的安全隔離措施，具體措施包括但不限于訪問控制列表、安全加固、文件系統權限設定等。1.8.9 安全審計17. 安全審計的定義：安全審計是指出于安全考慮，通過對IT應用系統的異動記錄、操作過程、數據轉換等進行詳細記錄，為事后的偵察和取證提供依據。18. 安全審計的范圍：我們需要對一些重要的具有較高安全風險的操作進行安全審計，操作系統層、應用系統層以及數據庫層的所有重要操作，特別是管理層認定對財務報表有關的操作留有系統日志。系統日志由系統主管部門根據風險和重要性的原則確定檢查內容（如超級管理員的帳戶登陸操作、正式環境的訪問、數據轉換的操作活動、版本升級的操作活動、補丁升級操作活動等等）負責每月進行審核。系統所需的自動或手動批處理作業應制定作業安排計劃，留有電子或紙質文檔操作說明。自動批處理作業應在系統中留有運行日志記錄，手工批處理作業的執行結果由批處理操作人員負責檢察確認。只有授權的系統維護人員可以在系統中維護作業安排計劃或安排手工作業安排計劃，批處理計劃上線前都必需通過測試，并由相關人員簽字審批。19. 安全審計的管理流程：每年至少舉行一次全范圍的安全審計活動，具體操作可以結合管理支撐系統的年終巡檢等活動，由南方基地管理信息部根據實際情況自行決定。20. 統一用戶管理的安全審計：用戶帳戶信息（包括組織單元屬性、崗位屬性等）是所有應用系統最基礎的數據，用戶帳戶所對應的應用系統訪問權限（這里特指是否對應用系統具有訪問權限，而不考慮在應用系統本身的具體授權）是安全管理的重要內容，因此原則上需要對用戶的異動信息及應用系統訪問權限進行安全審計，以提高整個IT管理支撐應用系統的安全性。21. 安全審計的目的：在指定周期內對信息系統的系統（操作系統、數據庫）用戶、系統管理員、應用層面的用戶、系統批處理任務等涉及財務報表的操作進行安全審計。22. 流程：23.24. 圖 9.1.4-1信息系統安全審計流程25. 說明：系統安全審計由各系統安全審計員發起，本流程涉及角色為：安全審計員、安全管理員、應用管理員以及各系統使用相關部門。26. 工具：附件九帳號清單審核表、附件十系統權限，用戶責任權限矩陣表、附件十一系統安全審計報告。27. 統一用戶管理的安全審計：用戶帳戶信息（包括組織單元屬性、崗位角色屬性等）是所有應用系統最基礎的數據，用戶帳戶所對應的應用系統訪問權限（這里特指是否對應用系統具有訪問權限，而不考慮在應用系統本身的具體授權）是安全管理的重要內容，因此原則上需要對用戶的異動信息及應用系統訪問權限進行安全審計，以提高整個IT應用系統的安全性。當南方基地或業務發生重大變更或半年時，系統主管部門應組織各使用系統的部門對系統用戶的訪問權限清單進行審閱，以合理確保用戶在系統中的權限與其職責相符；操作系統、數據庫層超級用戶的賬號(比如根用戶，系統管理員，批處理用戶賬號，數據庫管理員)、預設的用戶帳號、第三方人員帳號的授權應具備書面審批記錄表格，各責任部門負責人或第三方人員對其進行復核簽字確認，并根據審閱結果對多余或不恰當的賬號進行調整。28. 版本管理的安全審計：需要對所有IT應用系統的源代碼、運行代碼、配置文件、數據庫文件等的版本變更過程進行安全審計。1.8.10 系統掃描分析1.8.11 系統掃描深信通為了深化自身服務能力，自購了相關掃描工具如：1. 系統維護工具：天鏡脆弱性掃描與管理系統、Microsoft Baseline Security Analyzer 2.22. 系統基線掃描工具：綠盟的基線掃描3. 應用維護工具：IBM Rational AppScan、NBSI_3.0、微軟Web壓力測試工具(Microsoft Web Application Stress Tool)4. 以滿足南方基地和系統的安全需要：5. 以下對系統掃描工作GFI LANguard進行闡述1. 系統安全掃描工作GFI LANguard GFI LANguard功能： 掃描、檢查、評估并幫助修補安全網絡漏洞。 管理整個網絡部署與管理補丁和服務程序包，自動檢查并刪除未經授權的應用程序。 可以掃描識別出多種主流防毒軟件安裝及病毒庫更新情況。 擁有強大的報告系統，能夠對服務器的安全策略和整體系統環境做出來安全評定。 提供一個完整的網絡拓撲。 整個網絡安全歷史記錄。 完整的文本搜索。 修復中心控制臺。 支持虛擬主機的掃描。GFI LANguard優勢 GFI LANguard可以在幾分鐘內完成幾百甚至上千的電腦的掃描，不止支持Microsoft系統還支持Linux、Unix 操作系統、路由器、交換機和無線設備等系統的漏洞掃描，能夠檢查工作站中不必要的共享、開放端口和未用帳號。 GFI LANguard集成了1000多款安全軟件的信息，能集中管理整個網絡部署的服務及安裝程序，并可以集中分發安裝用戶所需的應用程序，可以自動檢查并刪除未經授權的應用程序，對Windows操作系統進行統一的補丁更新管理，可以一次性得到各臺服務器上需要安裝補丁列表，并批量進行安裝。支持報警功能，告知用戶什么時候有產品的更新。LANguard都將通知管理員，具體類型分為：防病毒、防間諜、防火墻、防釣魚、備份客戶端等。LANguard2011能報告他們的狀態并提示任何需要注意的潛在問題。 LANguard可以掃描識別出多種主流防毒軟件安裝及病毒庫更新情況，并生成報告告之用戶及時更新病毒庫或者提醒用戶安裝殺毒軟件。 GFI LANguard加入了一個功能強大、可以互動的全新儀表盤。它能根據安全審計信息給出現有網絡安全的一個概要，連同一份網絡變化情況的所有歷史記錄。它還能在問題出現時觸發安全報警器。用豐富的報告系統，來顯示用戶的網絡狀況，可以用來分析網絡漏洞，識別問題，預防故障的產生， 可以通過LANguard查看整個網絡拓撲信息，來查看系統狀態、軟件版本，及硬件概況來幫助行政部門。 LANguard支持針對單個目標掃描或者地址段甚至整域掃描，并生成用戶報告。該報告包括系統狀態，軟件詳細，端口的使用及補丁的狀態及硬件概況。客戶端程序也可以定時自動上傳客戶機狀態到LANguard服務器。只要一打開LANguard程序,管理員就有一份完全且即時的網絡安全狀況列表。所有的報告將基于所掃描電腦的當前狀態，而不是某些特定的安全檢查。這些報告可以導出為PDF、HTML、XLS、XLSX、RTF和CVS文件，同時可以通過計劃任務發送到特定郵箱。這些模板報告可以自定義，還能加上自定義的logo。 GFI LANguard可以幫助用戶快速找到他們想要的信息。查找網絡掃描結果簡單地就像上網搜索一樣，查找到的結果將指向相關項。用戶不僅可以查找現在和以往的事件日志，還能對特定的產品的漏洞、已安裝的程序，和未打的補丁進行搜索。同時，用戶還能保存、打印、查詢這些掃描報告。 GFI LANguard修復中心控制臺可以從一個中央位置修復漏洞，并監控修復任務的狀態，并瀏覽所有已執行修復任務的歷史記錄。 GFI LANguard支持虛擬環境的掃描，可以檢測到被掃描電腦上的虛擬主機，這樣管理員可以更好地全覽虛擬環境架構。圖 9.2.1-1GFI掃描報告1.8.12 分析報告1. 服務器基本健康性分析n 服務器能正常啟動與運行n 服務與應用程序能正常啟動與運行n 客戶端能正常地連接和訪問網絡服務與應用程序n Event Logs中的關鍵錯誤日志n 應用程序日志中的關鍵錯誤記錄n 各邏輯磁盤空間使用和剩余狀況圖 9.2.2-1基本健康分析2. 服務器性能分析n 內存l Memory Available Mbytesl Memory Pages/secn 處理器l Processor %Processor Timel Processor Interrupts/secl System Processor Queue Lengthl System Context Switches/Secn 磁盤l PhysicalDisk % Disk Timel PhysicalDisk Avg. Disk Queue Lengthl PhysicalDisk Disk Reads/secl PhysicalDisk Disk Writes/secn 網絡l Network Interface Bytes Total/secl Network Interface Bytes Sent/secl Network Interface Bytes Received/sec圖 9.2.2-2服務器性能分析3. 服務器安全性檢查n Windows Service Pack是否最新n 操作系統補丁是否最新n 是否安裝防病毒軟件并保持更新n 未更新的安全修補程序n 高安全風險漏洞n 注冊表安全風險漏洞 n 密碼策略n 審核策略n 自動加載的程序n 開放的TCP端口圖9.2.2-3服務器安全性報告4. 總體評估n 總體結論n 服務器基本健康狀態結論n 服務器性能結論n 服務器安全性結論圖 9.2.2-4總結1.9 安全應急響應深信通“安全應急響應”服務向客戶公司提供必須的資源來完善安全防護，抵抗攻擊，進行安全修復，并減少未來安全漏洞產生的可能性。安全響應服務提供了快捷的服務支持和724的緊急響應服務，保證網絡安全無憂，預防危險發生。在目前IT運維服務領域上，深信通的安全響應是同行業中出類拔萃的，提供計算機反擊、事故反應、訴訟支持等咨詢顧問服務。無論相關數據以任何形式存在或棲身與任何地方，使用專用的工具和方法，我們的專家能夠發現并抽取相關的有害數據，我們的專家隊伍擁有多種專業技能，包括攻擊識別、反擊技術、介質取證、安全修復，這一切都將成為企業的強大的后盾。緊急響應服務種類包括以下幾個方面1.9.1 入侵調查當入侵事件正在發生或已經發生，深信通安全專家協助客戶進行事件調查、保存證據、查找后門、追查來源等，同時提供事件處理報告以及后續的安全狀況跟蹤。1.9.2 主機、網絡異常響應當主機或者網絡異常事件正在發生或已經發生，深信通安全專家協助客戶進行事件調查、保存證據、查找問題的原因、追查來源等，同時提供事件處理報告以及后續的安全狀況跟蹤。1.9.3 其他緊急事件只有出現了上述嚴重影響網絡、主機正常運行的安全事件才啟用緊急響應服務，其他日常安全事件均屬于安全咨詢及日常安全事件處理服務范圍。安全應急響應服務也可以幫助客戶公司預防未來的攻擊，高效地進行攻擊發生時和事后的調查及收取攻擊證據等工作，為起訴罪犯提供法律依據。作為一個規范的信息安全運維服務商，深信通有一整套緊急響應機制，同時也具備處理各種緊急事件經驗的工程師。我們把安全應急服務分為三等，具體請參見下表：服務等級服務內容適用對象一級基本的反應策略與流程58小時事件響應、處理及恢復服務電話、傳真、email技術支持24小時內現場技術支持事故處理報告日常運營期間，不影響用戶業務的普通安全事件處理二級完整的反應策略與流程724小時事件響應、處理及恢復服務電話、傳真、email技術支持4小時內現場技術支持事故處理報告節假日期間，較為嚴重的安全事故三級完整的反應策略與流程724小時事件響應、應急響應、處理及恢復服務電話、傳真、email技術支持2小時內現場技術支持安全專家現場守候服務事故處理報告安全突發事故反應預演兩周內跟蹤服務重大事件、節假日期間，用戶業務重要性、時效性很強，發生嚴重影響用戶業務開展，需要立即解決的突發事故1.9.4 應急響應流程遇到安全事件的發生，一般應該及時采取匯報機制。參考要求如下：1. 任何系統用戶發現系統運行可疑現象后，立即報告本部門安全保密管理員；2. 安全保密管理員應盡可能采取相應措施保護現場，并在1小時內向應急響應小組進行報告，同時報本部門安全主管領導，召集安全應急服務廠商；3. 應急響應小組和安全服務廠商應在2小時內確定現象的性質，并采取措施，收集現場數據，避免嚴重安全后果的發生，同時，對于安全事故，要上報信息安全領導小組；4. 安全保密領導小組根據事故的性質，向相應的國家主管部門進行報告。匯報完畢，將事故定性之后，接到上級指示，對于被破壞的系統和數據，采取可行的措施進行恢復，使之重新正常運行。安全緊急響應服務內容如下：服務確認臨時支持賬號遠程緊急響應本地緊急響應響應情況簡報緊急響應服務報告事故跟蹤分析報告具體流程如下：對于每一個安全事件的處理，可以參照如上圖所示的安全事故應急響應處理流程，具體流程包括：1、記錄系統安全事件，記錄事件的每一環節，包括事件的時間、地點。要打印拷貝、記錄拷貝時間、記錄對話內容，并盡可能采用自動化的記錄方法。2、系統安全事件核實與判斷l 核實系統安全事件真實性l 判斷系統安全事件類型和范圍l 判斷系統安全事件危害性l 確定事件的威脅級別3、系統安全事件現場處理方案選擇l 克制態度l 緊急消除l 緊急恢復l 切換l 監視l 跟蹤l 查證輔助代碼開發l 報警l 權力機關的反擊4、系統安全事件處理服務和過程，系統安全事件處理過程本身需要工具，需要專門處理安全事件的服務和過程。這些過程包括：拷貝過程、監視過程、跟蹤過程、報警過程、通報過程、對話過程、消除過程、恢復過程和其它過程等。5、系統安全事件后處理，包括事件后消除、彌補系統脆弱性、分析原因、總結教訓、完善安全策略、服務和過程。1.10 風險控制風險控制的目標：風險的事前識別、分析和定位，從而制定相關的風險應對策略，減低風險對項目產生的影響。風險控制的原則：對于高風險（即高頻度、影響大）的風險要盡量進行規避，對低風險進行管理、分析和識別。為規避風險，運維人員應定期進行風險檢控，制定風險評估管理計劃，提交運維管理員進行審批，并召集人員進行風險評估。跟蹤風險，風險隨著時間在變化，原則上定期進行風險跟蹤并按照變化情況修改風險列表。需要對風險進行控制。運維人員將已經消失的風險放入數據庫作為過期的風險，圍繞它的所有流程和過程均被保留。圖9.4-1應急演練管理方法 制度辦法參照廣東移動運維的管理制度，如圖所示圖 9.4-2平臺運維管理制度 風險評估根據運維情況，結合運維管理制度、平臺基礎架構，做出風險評估，如表4-10所示。圖 9.4-3風險評估表 應急預案根據第二步做出的風險評估，針對技術相關核心問題，制定園區信息化系統相關應急預案。 應急演練根據第三步制定的應急預案，為了提升運維的安全可靠實施，進行周期的應急演練。應急演練完成后，對演練結果進行學習，從而發現新的不足，達到持續改進的目的。1.11 全省知識總結和分享1.11.1 運維知識總結分享深信通除了南方基地本身的知識積累外，同時還利用和橫向運維的優勢，自2011年七月以來，每月都會總結日常碰到的技術和管理難題，深信通會組織相關技術和管理人才深度分析解決處理相關問題，同時每月分享給全省用戶，以下是7月以來所有的研究主題： Web網站常見三種漏洞及解決辦法2013年1月