【文章內容簡介】 lopment Tools、Oracle Enterprise Management Center 等，針對 INFORMIX，有 DBACCESS 等管理工具企業(yè)應用的這些遠程配置管理工具，可以直接遠程登錄應用，管理和配置應用，實現(xiàn)配置的遠程修改及變更。但是運維管理的遠程操作是把雙刃劍，為我們工作帶來便利、節(jié)省成本的同時，又隱藏著巨大的人為操作風險，越權操作、誤操作、惡意操作時有發(fā)生。如何提高系統(tǒng)運維管理水平，滿足相關標準要求，跟蹤主機設備、服務器、數(shù)據庫等重要資源上用戶操作行為，降低運維成本，提供控制和審計依據，實現(xiàn)運維操作的規(guī)范化管理及風險防范與規(guī)避，已經成為每一位企業(yè)管理者需要認真考慮和面臨的管理上的問題。 安全管理需求分析“三分技術、七分管理”更加突出的是管理層面在安全體系中的重要性。除了技術管理措施外，安全管理是保障安全技術手段發(fā)揮具體作用的最有效手段，建立健全安全管理體系不但是國家等級保護中的要求，也是作為一個安全體系來講，不可或缺的重要組成部分。安全管理體系依賴于國家相關標準、行業(yè)規(guī)范、國際安全標準等規(guī)范和標準來指導，形成可操作的體系。主要包括：? 安全管理制度? 安全管理機構? 人員安全管理? 系統(tǒng)建設管理? 系統(tǒng)運維管理根據等級保護的要求在上述方面建立一系列的管理制度與操作規(guī)范，并明確執(zhí)行。 整改建議安全風險名稱 風險描述 所需產品網絡結構安全 網絡結構需要具備一定的冗余性，帶寬能夠滿足業(yè)務高峰時期數(shù)據交換需求。提供產品都應滿足網絡結構安全需求核心采取雙鏈路冗余配置互聯(lián)網 DDOS專業(yè)防護針對規(guī)模的 DDOS 攻擊,流量行,應用型攻擊,進行專業(yè)清洗,形成報表AntiDDoS 設備邊界訪問控制 對于各類邊界最基本的安全需求就是訪問控制， 防火墻.. . . ..學習參考（醫(yī)保） 對進出安全區(qū)域邊界的數(shù)據信息進行控制，阻止非授權及越權訪問。邊界訪問控制（Inter出口）對于各類邊界最基本的安全需求就是訪問控制，對進出安全區(qū)域邊界的數(shù)據信息進行控制，阻止非授權及越權訪問。防火墻/上網行為管理入侵攻擊風險 通過安全措施，要實現(xiàn)主動阻斷針對信息系統(tǒng)的各種攻擊，如病毒、木馬、間諜軟件、可疑代碼、端口掃描、DoS/DDoS 等，實現(xiàn)對網絡層以及業(yè)務系統(tǒng)的安全防護，保護核心信息資產的免受攻擊危害。入侵防御系統(tǒng)惡意代碼攻擊風險網絡邊界處病毒、蠕蟲、木馬等惡意代碼泛濫，導致核心資產收到嚴重威脅。防毒墻/防火墻帶 UTM功能運維風險 面對系統(tǒng)和網絡安全性、IT 運維管理和 IT 內控外審的挑戰(zhàn)，管理人員需要有效的技術手段，按照行業(yè)標準進行精確管理、事后追溯審計、實時監(jiān)控和警報。如何提高系統(tǒng)運維管理水平，滿足相關標準要求，防止黑客的入侵和惡意訪問，跟蹤服務器上用戶行為，降低運維成本，提供控制和審計依據，已經成為越來越困擾這些企業(yè)的問題。運維審計系統(tǒng)安全管理風險 “三分技術、七分管理”更加突出的是管理層面在安全體系中的重要性。除了技術管理措施外，安全管理是保障安全技術手段發(fā)揮具體作用的最有效手段，建立健全安全管理體系不但是國家等級保護中的要求，也是作為一個安全體系來講，不可或缺的重要組成部分。終端安全管理系統(tǒng)TSM、網管軟件、制定管理制度根據《國家信息化領導小組關于加強信息安全保障工作的意見》 （中辦發(fā)[2022]27 號） （以下簡稱 27 號文件）的精神，按照《信息系統(tǒng)安全保障評估框架》 （GB/T 20274—2022） 、 《信息安全管理實用規(guī)則 》 （GB/T 19716—2022）等有關標準要求，本《指南》提出了以策略為核心，管理體系、技術體系和運維體系共同支撐的行業(yè)信息安全保障體系框架。.. . . ..學習參考行政執(zhí)法和城管行業(yè)信息安全保障體系框架在安全策略方面，應依據國家信息安全戰(zhàn)略的方針政策、法律法規(guī)、制度，按照行業(yè)標準規(guī)范要求，結合自身的安全環(huán)境，制訂完善的信息安全策略體系文件。信息安全策略體系文件應覆蓋信息安全工作的各個方面，對管理、技術、運維體系中的各種安全控制措施和機制的部署提出目標和原則。在管理體系方面，應按照 27 號文件的有關要求，將“安全策略”提出的目標和原則形成具體的、可操作的信息安全管理制度，組建信息安全組織機構，加強對人員安全的管理，提高全行業(yè)的信息安全意識和人員的安全防護能力，形成一支過硬的信息安全人才隊伍。在技術體系方面，應按照 P2DR2 模型，通過全面提升信息安全防護、檢測、響應和恢復能力，保證信息系統(tǒng)保密性、完整性和可用性等安全目標的實現(xiàn)。在運維體系方面，應制訂和完善各種流程規(guī)范，制訂階段性工作計劃，開展信息安全風險評估，規(guī)范產品與服務采購流程，同時堅持做好日常維護管理、應急計劃和事件響應等方面的工作，以保證安全管理措施和安全技術措施的有效執(zhí)行。國家信息安全系統(tǒng)級保護基本要求框架，參見下圖：.. . . ..學習參考《基本要求》在整體框架結構上以三種分類為支撐點，自上而下分別為：類、控制點和項。其中，類表示《基本要求》在整體上大的分類，其中技術部分分為：物理安全、網絡安全、主機系統(tǒng)安全、應用安全和數(shù)據安全等 5 大類，管理部分分為：安全管理機構、安全管理制度、人員安全管理、系統(tǒng)建設管理和系統(tǒng)運維管理等 5 大類，一共分為 10 大類?？刂泣c表示每個大類下的關鍵控制點，如物理安全大類中的“物理訪問控制”作為一個控制點。而項則是控制點下的具體要求項，如“機房出入應有專人負責，進入的人員登記在案。 ”本方案中也是通過安全技術體系建設、安全管理體系建設兩套安全體系統(tǒng)進行規(guī)劃建設。在規(guī)劃、建設、使用、維護整個信息系統(tǒng)的過程中，本方案將主要遵循統(tǒng)一規(guī)劃、分步實施、立足現(xiàn)狀、節(jié)省投資、科學規(guī)范、嚴格管理的原則進行安全體系的整體設計和實施，并充分考慮到先進性、現(xiàn)實性、持續(xù)性和可擴展性。第三級基本要求物理安全網絡安全主機安全應用安全第一級基本要求第二級基本要求第四級基本要求第五級基本要求數(shù)據安全及備份恢復技術要求 管理要求安全管理制度安全管理機構人員安全管理系統(tǒng)建設管理系統(tǒng)運維管理.. . . ..學習參考具體體現(xiàn)為：1) 符合性原則：信息安全保障體系建設要符合國家的有關法律法規(guī)和政策精神，以及行業(yè)有關制度和規(guī)定，同時應符合有關國家技術標準，以及行業(yè)的技術標準和規(guī)范。2) 需求、風險、代價平衡的原則對任何網絡，絕對安全難以達到，也不一定是必要的。應對一個網絡進行實際分析(包括任務、性能、結構、可靠性、可用性、可維護性等)，并對網絡面臨的威脅及可能承擔的風險進行定性與定量相結合的分析，然后制定規(guī)范和措施，確定安全策略。3) 綜合性、整體性原則安全模塊和設備的引入應該體現(xiàn)系統(tǒng)運行和管理的統(tǒng)一性。一個完整的系統(tǒng)的整體安全性取決于其中安全防范最薄弱的一個環(huán)節(jié)，必須提高整個系統(tǒng)的安全性以及系統(tǒng)中各個部分之間的嚴密的安全邏輯關聯(lián)的強度，以保證組成系統(tǒng)的各個部分協(xié)調一致地運行。4) 易操作性原則安全措施需要人為去完成，如果措施過于復雜，對人的要求過高，本身就降低了安全性。5) 設備的先進性與成熟性安全設備的選擇，既要考慮其先進性，還要考慮其成熟性。先進意味著技術、性能方面的優(yōu)越，而成熟性表示可靠與可用。6) 無縫接入安全設備的安裝、運行，應不改變網絡原有的拓撲結構，對網絡內的用戶應是透明的，不可見的。同時，安全設備的運行應該不會對網絡傳輸造成通信“瓶頸” 。7) 可管理性與擴展性安全設備應易于管理，而且支持通過現(xiàn)有網絡對網上的安全設備進行安全的統(tǒng)一管理、控制，能夠在網上監(jiān)控設備的運行狀況，進行實時的安全審計。8) 保護原有投資的原則.. . . ..學習參考在進行信息系統(tǒng)安全體系建設時，除了要按照國家信息安全等級保護相關要求外，還外遵循行政執(zhí)法行業(yè)的相關信息安全保障體系統(tǒng)建設框架的要求，充分考慮原有投資，要充分利用先行系統(tǒng)系統(tǒng)已有的建設基礎進行規(guī)劃.9) 綜合治理信息安全體系統(tǒng)建設是一個系統(tǒng)工程，信息網絡安全同樣也絕不僅僅是一個技術問題，各種安全技術應該與運行管理機制、人員的思想教育與技術培訓、安全法律法規(guī)建設相結合，從社會系統(tǒng)工程的角度綜合考慮。數(shù)據中心互聯(lián)網接入區(qū)是數(shù)據中心的Inter出口，直接面對外部風險，安全需求比較迫切，互聯(lián)網接入區(qū)一般會部署面向客戶的業(yè)務前端系統(tǒng)，比如：業(yè)務前置機、WEB服務器，DNS服務器，F(xiàn)TP服務器，EMAIL服務器等，互聯(lián)網接入區(qū)需要考慮的安全問題主要有：? DDoS防護：DDoS全稱分布式拒絕服務，以癱瘓網絡服務為直接目的，以耗盡網絡設施性能為手段，利用網絡中分布的傀儡主機向目標設施發(fā)送惡意攻擊流量。DDoS 攻擊流量大且難以溯源，導致無法準確防范。其簡單的工作原理和攻擊方式導致大量的不法之徒可以輕易的掌握某種DDoS 攻擊技術。DDoS攻擊在當今社會呈現(xiàn)愈演愈烈之勢，是數(shù)據中心可用性的頭號威脅。? 訪問控制：數(shù)據中心作為內部網絡，對外呈現(xiàn)相關服務，大部分業(yè)務處理在內部網絡完成，對于外網來說，數(shù)據中心內部網絡是黑盒，所以需要對外網的訪問進行訪問控制。? 安全接入：作為數(shù)據中心連接Inter的唯一出口，需要部署VPN接入設備，滿足客戶和外出員工的遠程安全接入等需要。? 業(yè)務系統(tǒng)安全：DMZ區(qū)會部署可供外網訪問的業(yè)務系統(tǒng)，這些業(yè)務服務器平臺一般基于通用操作系統(tǒng)，比如windows，linux等等，未知的操作系統(tǒng)漏洞會經常會被黑客利用；而且針對Web業(yè)務，Email業(yè)務等出現(xiàn)了新的基于應用層的攻擊方式，這些攻擊常常會導致業(yè)務故障，數(shù)據泄露或篡改等問題。基于以上幾點，互聯(lián)網接入區(qū)安全方案的部署架構如下圖所示：.. . . ..學習參考圖 421 互聯(lián)網接入區(qū)安全設計? 第一道安全防御，AntiDDoS檢測及防護：旁路或直路部署專業(yè)的AntiDDOS設備，提供流量型攻擊防護，有效保護服務器免受DDOS攻擊。? 第二道安全防御，域間訪問控制：直路部署防火墻，進行域間訪問控制，對不同安全域的業(yè)務進行有效的隔離和防護，并且也可以提供NAT、AV、IPSec、IPS等功能。? 第三道安全防御，遠程接入安全：旁路部署SSL VPN設備，對遠程接入的用戶提供認證、授權和數(shù)據加密傳輸功能。? 第四道安全防御，應用層檢測防護：前幾道防御系統(tǒng)主要是針對網絡層的保護，屬于邊界安全防護；但針對業(yè)務系統(tǒng)的攻擊，比如，通過SQL注入、跨站腳本等方式攻擊網站；修改網站文件，造成組織的信譽損失；加載網馬等惡意軟件，轉而攻擊訪問的客戶端等，邊界防火墻已經無法滿足要求了，需要部署基于應用層檢測的IPS/IDS或WAF系統(tǒng)。WAF部署在web服務器群的入口，對訪問web系統(tǒng)的網絡流量進行實時檢測。 抵御web應用攻擊，防網站掛馬，防緩沖區(qū)攻擊，防ddos攻擊，防sql注入等。.. . . ..學習參考1) 內網出口防火墻防火墻采用直路部署在核心交換機的外部，也可以做旁路部署，推薦直路推薦采用雙機熱備的部署方式為保證數(shù)據傳輸?shù)乃矫苄?，可以在兩端防火墻上啟用IPSec VPN為防止病毒等惡意軟件和代碼的傳播可以在防火墻上啟用IPS，AV等安全防護功能。2) 內網核心防火墻? 基于安全區(qū)域的隔離防火墻的安全隔離是基于安全區(qū)域，這樣的設計模型為用戶在實際使用防火墻的時候提供了十分良好的管理模型。防火墻提供了基于安全區(qū)域的隔離模型，每個安全區(qū)域可以按照網絡的實際組網加入任意的接口，因此統(tǒng)一安全網關的安全管理模型是不會受到網絡拓撲的影響。? 可管理的安全區(qū)域業(yè)界很多防火墻一般都提供受信安全區(qū)域（trust） 、非受信安全區(qū)域（untrust） 、非軍事化區(qū)域（DMZ）三個獨立的安全區(qū)域，這樣的保護模型可以適應大部分的組網要求，但是在一些安全策略要求較高的場合，這樣的保護模型還是不能滿足要求。防火墻提供四個安全區(qū)域：trust、untrust、DMZ、local，在提供三個最常用的安全邏輯區(qū)域的基礎上還新