【文章內(nèi)容簡介】 理人員有沒有嚴格地按照規(guī)范、規(guī)章去執(zhí)行，我們無從知道。當發(fā)生安全事件時無法進行責任鑒定和事件追溯。? 大型、異構(gòu)的網(wǎng)絡環(huán)境難于統(tǒng)一、準確的對用戶的行為進行審計和控制企業(yè)因為業(yè)務發(fā)展需要，不斷更新或升級網(wǎng)絡，從而造成自身用戶環(huán)境差異較大，整個網(wǎng)絡系統(tǒng)平臺參差不齊，在服務器端 Unix/Linux 和 Windows 操作系統(tǒng)共存形成異構(gòu)網(wǎng)絡，甚至于許多相異的網(wǎng)絡設(shè)備都具有不同安全設(shè)置，而至今還沒有一個即定的方法來解決這WORD 資料 下載可編輯 專業(yè)技術(shù)個問題。? 黑客對服務器的攻擊黑客攻擊對服務器所造成的破壞往往是不可估量的。黑客為了炫耀其高超的技術(shù)，或是為了謀取不正當?shù)睦?，都會妨害服務器的正常運行，修改服務器配置，破壞服務器的數(shù)據(jù)，嚴重影響服務器的正常運行，給企業(yè)和部門造成重大影響。? 木馬、間諜竊取機密數(shù)據(jù)針對中國的網(wǎng)絡間諜攻擊正變得越來越多，中國的國家安全從來沒有像現(xiàn)在這樣與網(wǎng)絡密切相關(guān)。目前境外有數(shù)萬個木馬控制端 IP 緊盯著中國大陸被控制的電腦，數(shù)千個僵尸網(wǎng)絡控制服務器也針對著大陸地區(qū)，甚至有境外間諜機構(gòu)設(shè)立數(shù)十個網(wǎng)絡情報據(jù)點，瘋狂采用“狼群戰(zhàn)術(shù)” 、 “蛙跳攻擊”等對我進行網(wǎng)絡竊密和情報滲透。中國是木馬、間諜戰(zhàn)的最大受害國。中國的互聯(lián)網(wǎng)正處在一個普及階段的大規(guī)模擴張時期，網(wǎng)絡安全比較脆弱，安全意識淡薄，缺乏真正有效的安全管理手段。而且，網(wǎng)絡管理、使用不規(guī)范，涉密電腦、非涉密電腦混雜使用，內(nèi)部工作網(wǎng)和外網(wǎng)沒有真正物理隔離，機密資料可以隨意接觸，隨便使用，安全漏洞百出。 關(guān)鍵服務器用戶操作管理風險分析? UNIX/LINUX 類字符操作系統(tǒng)，命令的復雜性、腳本的隱蔽性等等因素使的我們很難對用戶的行為做有效的深層審計1）用戶可能使用長命令、冷僻命令做一些非法操作，甚至將一些高危命令用 alias 命令以別名的方式去執(zhí)行，刻意避開一些簡單審計工具監(jiān)控。2）對于菜單式操作管理，由于技術(shù)上的難度，很少有審計工具可以做到完整的記錄和操作過程日志的回放。比如：AIX 中 SMITTY 命令操作、 INFORMIX DBACCESS 數(shù)據(jù)庫前端操作。3）別有用心的用戶，可能會將一些非法的命令操作編輯為 shell 腳本去執(zhí)行，達到逃避監(jiān)控的目的。? 圖形化界面中用戶操作的不透明性，使得事后審計難以進行RDP、X11 、VNC 等遠程圖形化窗口操作的不透明性，使得審計人員無法準確的對管理人員操作的審計，從而，對資源的濫用和泄露機密信息，以及管理維護的誤操作等問題的鑒定工作帶來了很大的困難。? 文件傳輸安全審計，是最讓信息主管頭疼的問題使用 FTP、TFTP 等工具進行的文件的上傳、下載操作是最容易引發(fā)資料泄密的方式之一。如果使用加密方式的 SFTP、SCP 等命令更是無法進行有效審計。? 服務器之間跳轉(zhuǎn)嵌套登錄操作當用戶已經(jīng)登錄到一臺服務器上操作之后，可能為了便捷不退出當前的系統(tǒng)而直接以SSH、RDP 等方式跳轉(zhuǎn)登錄到另外一臺服務器去做管理操作。? 基于網(wǎng)絡的 IDS/IPS 開始成熟，可以對部分明文協(xié)議進行審計，但面對加密協(xié)議WORD 資料 下載可編輯 專業(yè)技術(shù)卻無能為力為了遠程管理和維護的可靠性，SSH、RDP （遠程桌面的協(xié)議）等都是加密的通信協(xié)議，尤其是 RDP（Remote Desktop Protocol 遠程桌面協(xié)議）作為 Microsoft 公司的自有協(xié)議，并未公開其協(xié)議內(nèi)容。要審計這些加密的通信協(xié)議，還是要費一番功夫的。 數(shù)據(jù)庫敏感數(shù)據(jù)運維風險分析? 數(shù)據(jù)庫身份管理、權(quán)限管理混亂，數(shù)據(jù)庫業(yè)務賬號與運維賬號混亂，致使數(shù)據(jù)庫敏感數(shù)據(jù)泄密事件時常發(fā)生業(yè)務系統(tǒng)用戶常常通過數(shù)據(jù)庫運維管理工具，直接登錄數(shù)據(jù)庫后臺，查詢、修改甚至下載數(shù)據(jù)庫內(nèi)數(shù)據(jù)，致使企業(yè)敏感數(shù)據(jù)時常外泄，給企業(yè)造成重大經(jīng)濟損失。? 企業(yè)業(yè)務快速發(fā)展，企業(yè)數(shù)據(jù)庫規(guī)模越發(fā)龐大，審計人為非法操作，堪比大海撈針由于業(yè)務系統(tǒng)也要對數(shù)據(jù)庫進行大量正常的數(shù)據(jù)庫協(xié)議訪問，目前流行的數(shù)據(jù)庫協(xié)議審計系統(tǒng)無法區(qū)分正常數(shù)據(jù)庫業(yè)務行為和數(shù)據(jù)庫人為運維行為，造成“噪音”過多，致使要審計的數(shù)據(jù)庫非法操作行為， “淹沒”在大量正常的業(yè)務數(shù)據(jù)庫訪問審計數(shù)據(jù)中，數(shù)據(jù)庫審計系統(tǒng)形同虛設(shè)。? 數(shù)據(jù)庫后臺運維手段多樣，數(shù)據(jù)庫人為非法操作既可以在數(shù)據(jù)庫宿主系統(tǒng)上發(fā)生，也會通過數(shù)據(jù)庫遠程運維工具直接修改數(shù)據(jù)庫數(shù)據(jù)發(fā)生，有時甚至可以通過業(yè)務系統(tǒng)后門或者業(yè)務系統(tǒng)設(shè)計缺陷發(fā)生，給數(shù)據(jù)庫操作審計帶來巨大難題數(shù)據(jù)庫協(xié)議審計系統(tǒng)僅能部分解決數(shù)據(jù)庫遠程運維工具造成的運維風險，對數(shù)據(jù)庫宿主機上發(fā)生的數(shù)據(jù)庫直接修改行為，無能為力。? 數(shù)據(jù)庫中間件大量使用，給數(shù)據(jù)庫行為審計“雪上加霜”數(shù)據(jù)庫中間件通常采用固定的賬號登錄數(shù)據(jù)庫，無法區(qū)分數(shù)據(jù)庫操作行為真實操作者身份，操作者主體不明，針對數(shù)據(jù)操作者的行為審計和責任鑒定，也就失去了意義，沒有任何價值。“人機”運維操作行為風險綜合分析按照人機操作行為劃分，運維管理方式基本包含三大類：? 控制臺類：直接通過物理鍵盤、鼠標、監(jiān)視器進行操作，控制臺類人機行為控制可以通過 KVM Over IP 解決? 遠程終端訪問類：通過 TELNET、SSH、FTP、SFTP、RDP、VNC、X11 遠程登錄目標WORD 資料 下載可編輯 專業(yè)技術(shù)設(shè)備操作系統(tǒng)，在目標設(shè)備上，通過遠程訪問協(xié)議，操作目標設(shè)備? 各種應用的 B/S、C/S 管理配置客戶端，如針對 ORACLE 數(shù)據(jù)庫，有SQLPLUS、TOAD、PL/SQL Development Tools、Oracle Enterprise Management Center 等，針對 INFORMIX，有 DBACCESS 等管理工具企業(yè)應用的這些遠程配置管理工具，可以直接遠程登錄應用，管理和配置應用，實現(xiàn)配置的遠程修改及變更。但是運維管理的遠程操作是把雙刃劍，為我們工作帶來便利、節(jié)省成本的同時，又隱藏著巨大的人為操作風險，越權(quán)操作、誤操作、惡意操作時有發(fā)生。如何提高系統(tǒng)運維管理水平，滿足相關(guān)標準要求，跟蹤主機設(shè)備、服務器、數(shù)據(jù)庫等重要資源上用戶操作行為，降低運維成本，提供控制和審計依據(jù)，實現(xiàn)運維操作的規(guī)范化管理及風險防范與規(guī)避，已經(jīng)成為每一位企業(yè)管理者需要認真考慮和面臨的管理上的問題。 安全管理需求分析“三分技術(shù)、七分管理”更加突出的是管理層面在安全體系中的重要性。除了技術(shù)管理措施外，安全管理是保障安全技術(shù)手段發(fā)揮具體作用的最有效手段，建立健全安全管理體系不但是國家等級保護中的要求，也是作為一個安全體系來講，不可或缺的重要組成部分。安全管理體系依賴于國家相關(guān)標準、行業(yè)規(guī)范、國際安全標準等規(guī)范和標準來指導，形成可操作的體系。主要包括：? 安全管理制度? 安全管理機構(gòu)? 人員安全管理? 系統(tǒng)建設(shè)管理? 系統(tǒng)運維管理根據(jù)等級保護的要求在上述方面建立一系列的管理制度與操作規(guī)范，并明確執(zhí)行。 整改建議安全風險名稱 風險描述 所需產(chǎn)品網(wǎng)絡結(jié)構(gòu)安全 網(wǎng)絡結(jié)構(gòu)需要具備一定的冗余性，帶寬能夠滿足業(yè)務高峰時期數(shù)據(jù)交換需求。提供產(chǎn)品都應滿足網(wǎng)絡結(jié)構(gòu)安全需求核心采取雙鏈路冗余配置互聯(lián)網(wǎng) DDOS專業(yè)防護針對規(guī)模的 DDOS 攻擊,流量行,應用型攻擊,進行專業(yè)清洗,形成報表AntiDDoS 設(shè)備邊界訪問控制 對于各類邊界最基本的安全需求就是訪問控制， 防火墻WORD 資料 下載可編輯 專業(yè)技術(shù)（醫(yī)保） 對進出安全區(qū)域邊界的數(shù)據(jù)信息進行控制，阻止非授權(quán)及越權(quán)訪問。邊界訪問控制（Inter 出口）對于各類邊界最基本的安全需求就是訪問控制，對進出安全區(qū)域邊界的數(shù)據(jù)信息進行控制，阻止非授權(quán)及越權(quán)訪問。防火墻/上網(wǎng)行為管理入侵攻擊風險 通過安全措施，要實現(xiàn)主動阻斷針對信息系統(tǒng)的各種攻擊，如病毒、木馬、間諜軟件、可疑代碼、端口掃描、DoS/DDoS 等，實現(xiàn)對網(wǎng)絡層以及業(yè)務系統(tǒng)的安全防護，保護核心信息資產(chǎn)的免受攻擊危害。入侵防御系統(tǒng)惡意代碼攻擊風險網(wǎng)絡邊界處病毒、蠕蟲、木馬等惡意代碼泛濫，導致核心資產(chǎn)收到嚴重威脅。防毒墻/防火墻帶 UTM功能運維風險 面對系統(tǒng)和網(wǎng)絡安全性、IT 運維管理和 IT 內(nèi)控外審的挑戰(zhàn)，管理人員需要有效的技術(shù)手段，按照行業(yè)標準進行精確管理、事后追溯審計、實時監(jiān)控和警報。如何提高系統(tǒng)運維管理水平，滿足相關(guān)標準要求，防止黑客的入侵和惡意訪問，跟蹤服務器上用戶行為，降低運維成本，提供控制和審計依據(jù)，已經(jīng)成為越來越困擾這些企業(yè)的問題。運維審計系統(tǒng)安全管理風險 “三分技術(shù)、七分管理”更加突出的是管理層面在安全體系中的重要性。除了技術(shù)管理措施外，安全管理是保障安全技術(shù)手段發(fā)揮具體作用的最有效手段，建立健全安全管理體系不但是國家等級保護中的要求，也是作為一個安全體系來講，不可或缺的重要組成部分。終端安全管理系統(tǒng)TSM、網(wǎng)管軟件、制定管理制度 安全保障體系總體建設(shè)根據(jù)《國家信息化領(lǐng)導小組關(guān)于加強信息安全保障工作的意見》 （中辦發(fā)[2022]27 號） （以下簡稱 27 號文件）的精神，按照《信息系統(tǒng)安全保障評估框架》 （GB/T 20274—2022） 、 《信息安全管理實用規(guī)則 》 （GB/T 19716—2022）等有關(guān)標準要求，本《指南》提出了以策略為核心，管理體系、技術(shù)體系和運維體系共同支撐的行業(yè)信息安全保障體系框架。WORD 資料 下載可編輯 專業(yè)技術(shù)行政執(zhí)法和城管行業(yè)信息安全保障體系框架在安全策略方面，應依據(jù)國家信息安全戰(zhàn)略的方針政策、法律法規(guī)、制度，按照行業(yè)標準規(guī)范要求，結(jié)合自身的安全環(huán)境，制訂完善的信息安全策略體系文件。信息安全策略體系文件應覆蓋信息安全工作的各個方面，對管理、技術(shù)、運維體系中的各種安全控制措施和機制的部署提出目標和原則。在管理體系方面，應按照 27 號文件的有關(guān)要求，將“安全策略”提出的目標和原則形成具體的、可操作的信息安全管理制度，組建信息安全組織機構(gòu)，加強對人員安全的管理，提高全行業(yè)的信息安全意識和人員的安全防護能力，形成一支過硬的信息安全人才隊伍。在技術(shù)體系方面，應按照 P2DR2 模型，通過全面提升信息安全防護、檢測、響應和恢復能力，保證信息系統(tǒng)保密性、完整性和可用性等安全目標的實現(xiàn)。在運維體系方面，應制訂和完善各種流程規(guī)范，制訂階段性工作計劃，開展信息安全風險評估，規(guī)范產(chǎn)品與服務采購流程，同時堅持做好日常維護管理、應急計劃和事件響應等方面的工作，以保證安全管理措施和安全技術(shù)措施的有效執(zhí)行。國家信息安全系統(tǒng)級保護基本要求框架，參見下圖：WORD 資料 下載可編輯 專業(yè)技術(shù)《基本要求》在整體框架結(jié)構(gòu)上以三種分類為支撐點，自上而下分別為：類、控制點和項。其中，類表示《基本要求》在整體上大的分類，其中技術(shù)部分分為：物理安全、網(wǎng)絡安全、主機系統(tǒng)安全、應用安全和數(shù)據(jù)安全等 5 大類，管理部分分為：安全管理機構(gòu)、安全管理制度、人員安全管理、系統(tǒng)建設(shè)管理和系統(tǒng)運維管理等 5 大類，一共分為 10 大類。控制點表示每個大類下的關(guān)鍵控制點，如物理安全大類中的“物理訪問控制”作為一個控制點。而項則是控制點下的具體要求項，如“機房出入應有專人負責，進入的人員登記在案。 ”本方案中也是通過安全技術(shù)體系建設(shè)、安全管理體系建設(shè)兩套安全體系統(tǒng)進行規(guī)劃建設(shè)。 安全技術(shù)體系建設(shè) 建設(shè)方案設(shè)計原則在規(guī)劃、建設(shè)、使用、維護整個信息系統(tǒng)的過程中，本方案將主要遵循統(tǒng)一規(guī)劃、分步實施、立足現(xiàn)狀、節(jié)省投資、科學規(guī)范、嚴格管理的原則進行安全體系的整體設(shè)計和實施，并充分考慮到先進性、現(xiàn)實性、持續(xù)性和可擴展性。第三級基本要求物理安全網(wǎng)絡安全主機安全應用安全第一級基本要求第二級基本要求第四級基本要求第五級基本要求數(shù)據(jù)安全及備份恢復技術(shù)要求 管理要求安全管理制度安全管理機構(gòu)人員安全管理系統(tǒng)建設(shè)管理系統(tǒng)運維管理WORD 資料 下載可編輯 專業(yè)技術(shù)具體體現(xiàn)為：1) 符合性原則：信息安全保障體系建設(shè)要符合國家的有關(guān)法律法規(guī)和政策精神，以及行業(yè)有關(guān)制度和規(guī)定，同時應符合有關(guān)國家技術(shù)標準，以及行業(yè)的技術(shù)標準和規(guī)范。2) 需求、風險、代價平衡的原則對任何網(wǎng)絡，絕對安全難以達到，也不一定是必要的。應對一個網(wǎng)絡進行實際分析(包括任務、性能、結(jié)構(gòu)、可靠性、可用性、可維護性等)，并對網(wǎng)絡面臨的威脅及可能承擔的風險進行定性與定量相結(jié)合的分析，然后制定規(guī)范和措施，確定安全策略。3) 綜合性、整體性原則安