江蘇IT系統安全應急預案1目的隨著著公司信息化建設的發展，IT系統的安全性也越發重要，需要全方面加強信息安全性的建設，確保系統不受到來自內部和外部的攻擊，實現對非法入侵的安全審計與跟蹤，確保業務應用和數據的安全性。同時還必須建立起一套完善、可行的應急解決規章制度，在出現重大狀況后能及時響應，盡最大可能減少損失。2公司系統架構和現狀2.1IT應用系統架構公司的IT系統以總公司為中心，各分支機構通過租用專用線路或VPN同總公司連通，在各分支機構內部也建立較完善的多級綜合網絡，涉及中心支公司、支公司、出單點等等。在網絡上運行著下列系統：視頻會議系統各分公司之間、分公司與總公司之間、各辦事處與公司之間進行的網絡視頻會議。（二）辦公自動化系統輔助公司日常辦公的系統，如OA\ERP，實現公司上下級之間的公文與協同工作信息傳遞。（三）郵件系統公司的內部及外部郵箱系統，為公司內、外部信息交流提供方便、快捷的通道。2.2系統安全隱患由于公司的系統是多應用、多連接的平臺，本身就可能存在著難于察覺的安全隱患，同時又面臨來自各方面的安全威脅，這些威脅既可能是惡意的攻擊，又可能是某些員工無心的過失。下面從網絡系統、操作系統與數據庫、數據以及管理等方面進行描述：（一）網絡與公司各級網絡進行互聯的外部網絡顧客及Internet黑客對各級單位網絡的非法入侵和攻擊；公司內部各級單位網絡互相之間的安全威脅，例如某個分支單位網絡中的人員對網絡中核心服務器的非法入侵和破壞；在各級單位網絡中，對于核心的生產業務應用和辦公應用系統而言，可能會受到局域網上某些無關顧客的非法訪問。（二）操作系統與數據庫操作系統與數據庫都存在一定的安全缺點或者后門，很容易被攻擊者用來進行非法的操作；系統管理員經驗局限性或者工作疏忽造成的安全漏洞，也很容易被攻擊者運用；系統正當顧客特別是擁有完全操作權限的特權顧客的誤操作可能造成系統癱瘓、數據丟失等狀況。（三）網絡應用網絡上多數應用系統采用客戶/服務器體系或衍生的方式運行，對應用系統訪問者的控制手段與否嚴密將直接影響到應用本身的安全性；由于實現了Internet接入，各級單位的計算機系統遭受病毒感染的機會也更大，且很容易通過文獻共享、電子郵件等網絡應用快速蔓延到整個公司網絡中；網絡顧客自行指定IP地址而產生IP地址沖突，將造成業務系統的UNIX小型機服務器自動宕機。（四）數據數據存儲和傳輸所依賴的軟、硬件環境遭到破壞，或者操作系統顧客的誤操作，以及數據庫顧客在解決數據時的誤操作，都會使嚴重威脅數據的安全。（五）管理如果缺少嚴格的公司安全管理，信息系統所受到的安全威脅即使是多個安全技術手段也無法抵抗。在充足認識到確保核心業務和應用有效運轉的前提下，公司已經采用了一定的方法，如運用操作系統和應用系統本身的功效進行顧客訪問控制，建立容錯和備份機制，采用數據加密等。但是這些方法所能提供的安全功效和安全保護范疇都非常有限，為了在不停發展變化著的網絡計算環境中保護公司信息系統的安全，特制訂了IT系統重大事件應急方案。3IT系統重大事件的界定IT系統的脆弱性體現在諸多方面，小到短暫的電力局限性或磁盤錯誤，大到設備的毀壞或火災等等。諸多系統弱點能夠在組織風險管理控制過程中通過技術的、管理的或操作的辦法消除，但理論上是不可能完全消除全部的風險。為了能更加好的制訂針對IT系統重大事件的應急方案，必須先對全部可能發生的重大事件進行具體的描述和定義。下面將從IT系統有關聯的電源、網絡、主機及存儲設備、數據庫、病毒、信息中心機房等多個方面進行闡明。3.1電源電源是IT系統最基礎的部分，也是最容易受到外界干擾的部分之一。在既能確保公司系統平穩運行，又能確保核心或重要設備安全的前提下，根據現在配備的UPS電源的實際狀況，將電源事件分為三個層次：普通性電源事件：停電時間在1小時以內的（涉及1小時）；需關注電源事件：停電時間在2小時以內的（涉及2小時）；親密關注電源事件：停電時間在2小時以上的。3.2網絡網絡是IT系統及網絡客戶進行通訊的通道，也是最容易受到外界干擾或攻擊的部分之一。現在總公司重要對各地分公司到總公司的網絡線路進行管控，而公司又是采用數據集中的運行模式，鑒于這種狀況，將網絡事件分為三個層次：普通性網絡事件：樓層交換機出現異常，或局域網絡中斷時間在5分鐘以內的（涉及5分鐘）；需關注網絡事件：主交換機、防火墻、上網設備出現異常，或局域網絡中斷時間在30分鐘以內的（涉及30分鐘），廣域網絡中斷時間在5分鐘以內的（涉及5分鐘）；親密關注網絡事件：主干交換機、核心路由器、VPN設備出現異常，或廣域網絡中斷時間在30分鐘以上的。3.3主機及存儲設備主機及存儲設備是IT系統運行的核心和核心，也是相對脆弱的部分，對工作環境的規定是相稱高的，任何外部的變化都可能造成這些設備出現異常。根據出現的異常狀況，將主機及存儲設備事件分成三個層次：普通性事件：非系統核心進程或文獻系統出現異常，不影響生產系統運行的；需關注事件：根文獻系統或生產系統所在的文獻系統的磁盤空間將滿/已滿或系統核心進程異常，即將影響或已經影響生產系統運行的；主機或存儲設備的磁盤異常并發出警告的；親密關注事件：主機宕機；存儲設備不能正常工作的；主機與存儲設備中斷連接的；主機性能嚴重減少，影響終端顧客運行的；系統顧客誤操作造成重要文獻丟失的。3.4數據庫數據庫是存儲公司經營信息的核心部分，由于數據庫是建立在主機及存儲設備上的應用，任何主機及存儲設備的變化都會對數據庫產生或大或小的影響，同時數據庫也是公司各個層面顧客的使用對象，顧客對數據的操作可能造成不可預料的影響。根據數據庫對外界操作的反映，將數據庫事件分為兩個層次：普通事件：不影響大量顧客或應用系統正常運行的警告或錯誤報告；重要事件：數據庫的系統表空間將滿/已滿的；業務系統表空間將滿/已滿的；數據庫網絡監視進程終止運行的；數據庫內部數據組織出現異常的；數據庫顧客誤操作造成數據丟失的；數據庫核心進程異常；數據庫性能嚴重減少，影響終端顧客運行；數據庫宕機。3.5電腦病毒由于Internet接入，員工從Internet上進行下載或者接受郵件，都有感染病毒的可能性。某些病毒帶有極大的危害性和極快的傳輸速度，從而可能造成在公司內部的病毒大范疇傳輸。針對病毒在公司內部的傳輸范疇或危害程度，分為三個層次：普通性事件：獨立的病毒感染，并沒有傳輸和造成損失的；親密關注事件：病毒小范疇傳輸，并造成一定損失，但不是重大損失的；嚴重關注事件：病毒大范疇傳輸，并造成重大損失的；3.6其它事件信息中心機房其它影響IT系統運行的因素可能會產生某些忽然事件，重要有下列某些方面：（一）空調工作異常，造成機房溫度過高；（二）空調防水保護出現異常造成滲水；（三）發生火災；（四）粉塵造成主機或存儲設備異常的。4信息系統重大事件的應急方案根據上節對IT系統重大事件的界定，公司已經建立了一套完整的應急方案，在硬件方面采用雙機熱備機制，同時加強日常的系統監控，保持完整的數據備份，及時進行災難恢復，和儲藏必要的系統備件等多個技術和辦法。下面按照IT系統有關聯的電源、網絡、主機及存儲設備、數據庫、電腦病毒等多個方面進行闡明。4.1電源機房采用UPS為重要設備進行供電，為了應對重大突發事件，采用下列了手段：（一）加強UPS的維護，確保UPS的正常工作;（二）在必要狀況下，交流輸入供電系統采用雙路市電供電和發電機聯合供電，確保市電使長久停電,UPS仍能正常供電；（三）直流輸入方面，采用公用一組電池組的設計，配備長達48小時的后備電池,并提供交流輸入瞬變或市電與發電機供電切換時的短時供電；（四）根據停電時間的長短，依次公布普通性告知、較緊急告知和緊急告知給有關部門和機構；（五）停電發生后，及時聯系設備部門和供電部門。4.2網絡（一）核心路由器做雙以太口綁定，如一端口發生故障，自動切換到VPN備份線路接入主機系統，直到修復使用正常，同時由網絡集成商提供技術和備件支持，一旦出現緊急故障，1小時趕到現場解決故障；（二）到分支機構專線采用2M數字線路，如2M數字線路發生故障斷開則自動切換到VPN備份線路接入主機系統，直到專線修復則使用正常2M線路通信；（三）對于網絡核心設備出現重大故障，盡快理解狀況，分析問題和提出應急解決方案，做好現場應急解決，立刻告知網絡集成服務商到現場解決，主干交換機由網絡集成商提供技術和備件支持，一旦出現緊急故障，1小時內趕到現場解決故障；（四）為避免核心路由器或主干交換機發生故障后無法解決問題，在必要狀況下，配備一臺備用路由器和主干交換機，配備接口與核心路由器和主干交換機相似，一旦出現故障，能在十分種內進行更換；（五）在網絡入口處檢查網絡通訊，根據設定的安全規則，在保護內部網絡安全的前提下，保障內外網絡通訊，實現了內部網絡與外部網絡有效的隔離，全部來自外部網絡的訪問請求都要通過防火墻的檢查，內部網絡的安全將會得到確保。具體有：1、設立源地址過濾，回絕外部非法IP地址，有效避免了外部網絡上與業務無關的主機的越權訪問；2、防火墻只保存有用的WEB服務和郵件服務，將其它不需要的服務關閉，將系統受攻擊的可能性減少到最小程度，使黑客無機可乘；3、防火墻制訂訪問方略，只有被授權的外部主機能夠訪問內部網絡的有限IP地址，確保外部網絡只能訪問內部網絡中的必要資源，與業務無關的操作將被回絕；4、全方面監視外部網絡對內部網絡的訪問活動，并進行具體的統計，及時分析得出可疑的攻擊行為；5、網絡的安全方略由防火墻集中管理，使黑客無法通過更改某一臺主機的安全方略來達成控制其它資源訪問權限的目的；6、設立地址轉換功效，使外部網絡顧客不能看到內部網絡的構造，使黑客攻擊失去目的。4.3主機、存儲設備及數據庫為確保生產系統穩定運行，主機與存儲系統保持7X24小時的可用。為應對可能發生的重大事件或突發事件，采用下列方法：（一）在接到緊急停電告知后30-40分鐘內按照先數據庫、次主機、最后存儲設備的次序停止全部系統運行，在必要的狀況下，須拔掉全部電源插頭；（二）采用雙機熱備技術，在其中一臺主機出現異常時，及時進行切換；（三）采用硬盤、磁帶庫等設備作好日常數據備份；（四）如果發生誤刪除操作系統文獻，立刻進行文獻系統恢復（必須有備份）；（五）如果發生誤刪除數據，立刻進行數據庫恢復（必須有備份）；（六）如果文獻系統空間不夠，造成系統不能正常運行，立刻進行文獻系統擴展。（七）如果數據庫表空間局限性，立刻進行表空間擴展，同時可能還進行文獻系統擴展；（八）在必要狀況下，建立異地數據備份中心，以保持數據安全性。（九）出現重大故障，盡快理解狀況，分析問題和提出應急解決方案，做好現場應急解決，立刻告知系統服務商到現場解決，并由系統服務商提供備件增援。4.4電腦病毒為避免電腦病毒在公司內部的傳輸，反毒和信息安全應按照“整體防御，整體解決”的原則實施，采用多個手段和產品來切斷電腦病毒的傳輸“通道”。具體方法以下：（一）配備公司級網絡版殺毒軟件，在公司總部、分公司、營業部全部聯網的PC機、PC服務器上安裝病毒/郵件防火墻，布署統一的公司網絡防毒系統，實現反毒分級防備和集中安全管理；（二）在公司總部和分公司配備防毒