【導(dǎo)讀】終端安全管理體系設(shè)計開發(fā)與建設(shè)

　　

【正文】 檢測是否已安裝，是否已運行，并且檢測終端安裝使用的殺毒軟件是否符合要求；對于日常工作的必須軟件，檢查是否正常安裝，沒有安裝必須軟件的終端及時安裝；同時，要求能夠檢查終端是否含有禁止安裝使用的軟件。 在配套軟件使用管理要求中，應(yīng)以防病毒軟件的管理為主。第一步，通過終端安全防護平臺檢測終端是否已安裝了殺毒軟件，包括已安裝殺毒軟件版本庫是否最新等；第二步，檢測終端是否已運行了殺毒軟件，更進一步的可以檢測終端是否已運行了指定的殺毒軟件（如瑞星等）；同時可以根據(jù)兩步檢測的結(jié)果，對終端進行控制。 終端環(huán)境安全 配套軟件 補丁管理 本地 管轄范圍 是否安裝 是否運行 已安裝 未安裝 殺毒軟件 文件 /進程 按補丁級別和管理部門進行百分比統(tǒng)計 合規(guī)性審查 IP/MAC 地址 管理 登記管理 綁定策略 網(wǎng)絡(luò)環(huán)境 軟端口管理 32 對于殺毒軟件的安裝運行情況，作為界定終端合規(guī)性的依據(jù)之一，也可以統(tǒng)計未運行殺毒軟件或未運行指定殺毒軟件的終端情況。 要求投標(biāo)方根據(jù)殺毒軟件的安裝和運行情況分別界定終端的合規(guī)性。 2. 終端及網(wǎng)絡(luò)運行管理 終端及網(wǎng)絡(luò)運行管理要求 能夠?qū)K端及網(wǎng)絡(luò)運行狀況 實施全網(wǎng)監(jiān)控 ，實時了解網(wǎng)絡(luò)動態(tài)并及時解決問題，主要包括 IP/MAC 地址管理，終端軟端口的管理。 3. 終端補丁管理 終端 補丁 管理要求 可為 內(nèi)網(wǎng)終端 系統(tǒng) 自動檢測安裝與未安裝補丁， 自動下載并安裝補丁、指定補丁安裝、及時更新 補丁 庫等，避免因病毒侵襲及應(yīng)用系統(tǒng)漏洞而導(dǎo)致?lián)p失。 對于已安裝補丁和未安裝補丁的情況，應(yīng)分別可以按照補丁的級別，根據(jù)管理部門進行百分比統(tǒng)計分析；在整個行業(yè)內(nèi)，能夠依據(jù)各個不同區(qū)域之間的百分比，計算總的平均值。 終端安全風(fēng)險管理需求 風(fēng)險評估是以安全 設(shè)計與 建設(shè)為出發(fā)點，它的重要意 義就在于改變傳統(tǒng)的以技術(shù)驅(qū)動為導(dǎo)向的安全體系結(jié)構(gòu)設(shè)計及詳細安全方案制定 ；而風(fēng)險管理則 可以及時發(fā)現(xiàn)風(fēng)險，然后進一步識別風(fēng)險，得到 不同級別的 風(fēng)險清單，之后利用已有知識或 技術(shù)手段 降低風(fēng)險 。 終端安全風(fēng)險管理為整個終端安全防護的核心部分，也是終端安全管理平臺所展示的核心部分，應(yīng)包括終端涉及到的所有風(fēng)險和風(fēng)險的管控。按照不同的風(fēng)險類別進行劃分，可分為四類： 運行安全類、信息安全類、資產(chǎn)使用生命周期管理類和系統(tǒng)管理員審計類 。因為風(fēng)險的類別不同，相應(yīng)風(fēng)險所帶來的潛在威脅也不一樣，根據(jù)風(fēng)險的類別，潛在的威脅以及具體事件的性質(zhì) ，給予不同安全等級的處理。 涉及終端安全風(fēng)險管理的部分內(nèi)容需要針對終端中所保存心的重要程度區(qū)分管理，可將目前我單位內(nèi)文件分為重要文件和非重要文件，管理過程中需要針對存有重要文件的終端進行管理，要求投標(biāo)方根據(jù)文件的重要性，分別針對所有相關(guān)的風(fēng)險管理內(nèi)容提供不同的管控要求，如共享目錄、移動存儲介質(zhì)、文檔加33 密等，在涉及到防泄密管理時，要求從總體上提供多層防護體系，加強縱深防護。 要求依據(jù)相關(guān)風(fēng)險管理與評估標(biāo)準(zhǔn)，針對本項目進行詳細的風(fēng)險及風(fēng)險管理描述，進行詳細的風(fēng)險管控體系描述 。 要求對本項目涉及的風(fēng)險點進行分級分 類管理體系描述，對不同的風(fēng)險點進行級別定級、風(fēng)險描述、如何處置和應(yīng)對相應(yīng)的風(fēng)險，以及不同風(fēng)險之間的關(guān)聯(lián)關(guān)系 。 要求對風(fēng)險全過程管理體系描述和要求。 要求對本項目中的重要風(fēng)險系統(tǒng)管控和行業(yè)實時集中監(jiān)控進行描述。 要求對本項目中設(shè)計的風(fēng)險預(yù)警系統(tǒng)內(nèi)容和對應(yīng)預(yù)警方式（含終端和服務(wù)器，包括信息、圖形、聲音、郵件、短信平臺等多種方式）體系描述和要求。 運行安全管理 運行安全管理的范圍包括整個行業(yè)內(nèi)所有接入內(nèi)網(wǎng)的桌面終端的運行情況。管理的內(nèi)容涉及到影響網(wǎng)絡(luò)和終端自身基本運行狀態(tài)等類型的安全事件。根據(jù)事件影響的對象區(qū)別，可 分為 網(wǎng)絡(luò)運行安全和終端運行安全 兩個方面。 運行安全管理還應(yīng)包含一些既會影響到網(wǎng)絡(luò)運行安全，也會影響到終端自身運行安全的風(fēng)險事件，如 IP 地址篡改行為等。運行安全管理要求在日常工作的運行過程中，確保整個網(wǎng)絡(luò)和終端自身的安全性和穩(wěn)定性。重點在于，既能將運行的資源限制在可控的范圍內(nèi)，還能夠?qū)`規(guī)的終端安全行為進行記錄，確保在發(fā)生安全事件后能夠及時找到故障點，解決問題并恢復(fù)正常使用。 1. 網(wǎng)絡(luò)運行安全 ? 終端流量監(jiān)控要求 終端網(wǎng)絡(luò)流量監(jiān)控要求能夠采集終端網(wǎng)卡的流入量、流出量，并識別產(chǎn)生流量的進程或者服務(wù)名，并分別計算出這些 進程當(dāng)前實時的連接數(shù)、連接狀態(tài)、一段時間內(nèi)的流量總數(shù)；流量控制應(yīng)能夠?qū)⒔K端的上傳下載流量能夠通過分別設(shè)置閥值的方式，限制其保持在閥值以下。 終端網(wǎng)絡(luò)流量 日志分析是了解網(wǎng)絡(luò)安全狀況的重要途徑 ，主要日志應(yīng)包括終端對象、終端流入量、終端流出量、產(chǎn)生流量的進程名或服務(wù)名、連接數(shù)、連接狀態(tài)等，根據(jù)日志 確定網(wǎng)絡(luò) 中終端流量使用情況 ，通過 流量控制 ，解決 流量 問題 。 ? 內(nèi)嵌防火墻管理要求 34 終端統(tǒng)一防火墻管理要求能夠?qū)K端的 IP 訪問、端口訪問、協(xié)議訪問等進行限制，使終端僅能訪問指定的合法 IP、端口和使用允許的協(xié)議來進行訪問，這些 IP、端口、協(xié)議均可由管理員具體設(shè)置。 針對專用的重要（敏感）信息終端，應(yīng)嚴格限制其來自于網(wǎng)絡(luò)的各種訪問，要求投標(biāo)方根據(jù)存有 重要（敏感）信息 的終端的管控要求，設(shè)計具體管控要求。 ? IP/MAC 地址篡改監(jiān)控要求 IP/MAC 地址管理要求能夠采集終端 IP/MAC 地址信息，應(yīng)可以通過將終端現(xiàn)有 IP 地址與其 MAC 地址進行綁定，對終端 IP 隨意篡改情況進行監(jiān)控。通過設(shè)置，客戶端程序應(yīng)可以將 IP 地址自動恢復(fù)為綁定時的狀態(tài)。 該項應(yīng)能夠?qū)π袠I(yè)內(nèi)網(wǎng)不同類別的終端系統(tǒng)實施地址綁定：一類是對IP/MAC 綁定沒有要求的設(shè)備，這類設(shè)備不 啟用 IP/MAC 地址綁定功能。若終端因?qū)嶋H情況，需要解除綁定時，要求投標(biāo)方設(shè)計一套完整的流程化管理體系，包括終端提交申請，相關(guān)人員審核，領(lǐng)導(dǎo)批準(zhǔn)并通過策略反饋，以及全過程中的后臺審計，設(shè)計流程時要求提供應(yīng)急方案，如管理員或?qū)徟I(lǐng)導(dǎo)不能及時批復(fù)的情況下應(yīng)如何應(yīng)對等等。示例如下： 網(wǎng)絡(luò)運行安全示意圖 要求據(jù)上所述，對運行安全管理和信息安全防護體系進行描述。 2. 終端運行安全 終端運行安全包括的內(nèi)容為終端自身的基本運行狀況的安全事件。示例如網(wǎng)絡(luò)運行安全 流量監(jiān)控 內(nèi)嵌防火墻 IP/MAC地址綁定管理 流量控制 流量采集 IP 訪問控制 端口訪問控制 協(xié)議訪問控制 流入、流出量采集 產(chǎn)生流量的進程或服務(wù)名 采集進程的連接數(shù)和發(fā)包數(shù) IP/MAC 地址對應(yīng)登記 通過 IP、端口、協(xié)議黑白名單限制終端訪問網(wǎng)絡(luò) 策略綁定管理 設(shè)置上傳下載閥值，限制終端流量 35 下： 終端運行安全示意圖 ? 進程服務(wù)管理要求 進程服務(wù)管理應(yīng)能夠采集終端運行的所有進程及服務(wù)： ① 通過黑名單的方式判斷終端是否運行了違規(guī)進程或服務(wù)，并對違規(guī)進程或服務(wù)進行自動處理，將被自動結(jié)束且無法再次運行；如果違規(guī)進程或服務(wù)因加載了驅(qū)動或其他原因而無法被正常結(jié)束，可通過斷開終端網(wǎng)絡(luò)方式進行臨時處理并及時通知管理員。②通過白名單方式判斷終端是否沒有運行必須運行的進程或服務(wù)，對白名單中存在而終端卻沒有運行的進程和服務(wù)，能夠自動調(diào)用對應(yīng)的文件以促使其正常運行。 ? 進程運行統(tǒng)計 要求 進程運行情況統(tǒng)計要求能夠采集全網(wǎng)終端運行過的進程信息。包括該進程首次在哪一臺終端運行、進程在該終端上的路徑、進程運行時間、該進程在全網(wǎng)累終端運行安全 進程 /服務(wù)管理 資源使用情況 共享目錄管理 設(shè)置服務(wù)黑白名單 設(shè)置進程黑白名單 監(jiān)控 cpu 使用率 監(jiān)控內(nèi)存使用率 采集終端的共享目錄 監(jiān)控進程運行情況 監(jiān)控服務(wù)運行情況 監(jiān)控硬盤使用情況 記錄當(dāng)前產(chǎn)生最高使用率的進程或服務(wù)名稱 操作系統(tǒng)用戶權(quán)限管理 監(jiān)控終端操作系統(tǒng)的用戶權(quán)限變更情況 用戶（組）權(quán)限變更 用戶增加 /減少 用戶組增加 /減少 只讀 /讀寫 默認 /非默認共享 采集全網(wǎng)終端運行過的所有進程 首次運行的時間 在全網(wǎng)內(nèi)的運行次數(shù) 首次運行的終端 進程運行情況統(tǒng)計 其他管理 僅允許使用指定共享 36 計被運行的次數(shù)、哪些終端運行過該進程等信息。 ? 終端資源使用管理要求 終端資源使用情況管理要求能夠采集終端 CPU 使用率、內(nèi)存使用率、硬盤使用情況，同時記錄下使用率最高的進程或服務(wù)名稱，并可以對這些使用情況設(shè)置閥值，對超過閥值的終端，進行報警，方便管理員及時處理安全隱患。 上述內(nèi)容要求可以提供給終端安全管理平臺的信息包括終端資源使用違規(guī)事件的類型、資源使用違規(guī)事件的具體描 述、違規(guī)事件發(fā)生的時間、違規(guī)終端IP 地址、終端使用人姓名、部門名稱等。 ? 共享目錄管理要求 共享目錄管理要求能夠采集終端設(shè)置了哪些共享目錄，管理員可以統(tǒng)一關(guān)閉終端的默認共享，也可以針對單臺終端關(guān)閉特定的共享目錄。 ? 操作系統(tǒng)用戶權(quán)限管理要求 終端操作系統(tǒng)用戶權(quán)限管理要求能夠?qū)K端操作系統(tǒng)的管理員權(quán)限進行監(jiān)控，發(fā)現(xiàn)管理員權(quán)限發(fā)生變化后，審計變化的發(fā)生時間。 要求投標(biāo)方根據(jù)敏感信息的管控要求，設(shè)計并提供共享目錄的具體管理要求。 信息安全管理 信息安全管理類的范圍涉及到內(nèi)網(wǎng)中數(shù)據(jù)的所有安全風(fēng)險。根據(jù)安全風(fēng)險的類別劃分 ，其內(nèi)容主要包含 邊界安全管理和信息防擴散 兩個部分，其中網(wǎng)絡(luò)邊界安全又分為網(wǎng)絡(luò)違規(guī)內(nèi)聯(lián)和違規(guī)外聯(lián)，信息防擴散分為文件傳輸管理和移動存儲介質(zhì)管理，要求內(nèi)網(wǎng)中的數(shù)據(jù)均運行在可知、可管、可控的有效范圍內(nèi)，確保內(nèi)網(wǎng)數(shù)據(jù)的安全性，重點在于，即使通過各種合法或非法的手段，導(dǎo)致內(nèi)網(wǎng)中的數(shù)據(jù)離開了內(nèi)網(wǎng)，也要形成相應(yīng)的審計記錄，以便于在安全事件發(fā)生后，有據(jù)可查，有據(jù)可依。 1. 邊界安全管理 邊界信息安全管理須遵循專網(wǎng)專用，專人專用的原則，其范圍主要涉及到內(nèi)網(wǎng)網(wǎng)絡(luò)的邊界管理。邊界安全管理的內(nèi)容要求包括三個大類：違規(guī)內(nèi)聯(lián)、違規(guī)外聯(lián)和漫 游管理。要求所有內(nèi)網(wǎng)終端正常工作時，僅能訪問內(nèi)網(wǎng)，且只有內(nèi)網(wǎng)終端37 可訪問內(nèi)網(wǎng)，所有內(nèi)網(wǎng)終端形成了固定的內(nèi)網(wǎng)網(wǎng)絡(luò)邊界。 在邊界安全管理中，違規(guī)內(nèi)聯(lián)要求能夠管理所有非內(nèi)網(wǎng)終端試圖接入內(nèi)網(wǎng)的行為；違規(guī)外聯(lián)要求能夠管理監(jiān)控所有內(nèi)網(wǎng)終端試圖接入或訪問非內(nèi)網(wǎng)（包括互聯(lián)網(wǎng)和其他網(wǎng)絡(luò)）的行為；漫游管理要求能夠針對行業(yè)內(nèi)網(wǎng)終端離開本地內(nèi)網(wǎng)，接入行業(yè)內(nèi)其他單位內(nèi)網(wǎng)的漫游行為。示例如下： 邊界安全管理示意圖 要求對終端入網(wǎng)合法性和合規(guī)性安全管控體系進行描述。 要求對終端準(zhǔn) 入控制認證和使用可靠性保證體系進行描述。 要求對使用者風(fēng)險行為管理、取證、輔助行政管理（含風(fēng)險行為策略制定）體系進行描述。 要求對第三方人員自帶終端入網(wǎng)安全訪問控制及信息安全審計體系進行描述。 2. 信息防擴散管理 信息防擴散類的管理范圍主要涉及到內(nèi)網(wǎng)中的所有數(shù)據(jù)的傳輸行為，內(nèi)容要求能夠包括文件傳輸（輸出）行為、移動存儲介質(zhì)使用管理和文檔加密三個部分。要求內(nèi)網(wǎng)中重要數(shù)據(jù)的傳輸行為和移動存儲介質(zhì)的使用行為都在可知、可管、可控的范圍內(nèi)，達到信息擴散的透明化，可管理化，若存在超出指定范圍的數(shù)據(jù)傳輸，或數(shù)據(jù)傳輸行為存在數(shù) 據(jù)外泄的可能性時，則需要對該類行為進行監(jiān)控管理。 邊界安全 違規(guī)內(nèi)聯(lián) 違規(guī)外聯(lián) 內(nèi)部 外部 本地 違規(guī)外聯(lián) 下級違規(guī)外聯(lián) 終端級 網(wǎng)絡(luò)級 識別接入終端的身份 漫游管理 終端源服務(wù)器 目的地服務(wù)器 獲取終端漫游狀態(tài) 識別漫游設(shè)備 預(yù)設(shè)安全策略 準(zhǔn)入控制自由認證 自動接管 38 信息防擴散管理的重點在于如何保證內(nèi)網(wǎng)中的重要數(shù)據(jù)的安全性，確保重要數(shù)據(jù)只能在特定的、安全的網(wǎng)絡(luò)范圍內(nèi)傳輸，其關(guān)鍵點在于，即使終端通過合法手段或者非法手段將文件通過各種辦法，導(dǎo)致文件離開了其安全的網(wǎng)絡(luò)范圍，也要提供相應(yīng)的審計記錄，便于事后審查事件發(fā)生的源頭。示例如下： 信息防擴散管理示意圖 要針對信息防擴散管理體系的的要求和其中具體風(fēng)險點的需要進一步展開作詳細描述。 要求對內(nèi)網(wǎng)信息防外泄體系進行描述， 如何防止內(nèi)網(wǎng)重要信息不會通過文件傳輸、移動介質(zhì)，以及數(shù)據(jù)加密等方式泄漏。 要求對重要信息網(wǎng)內(nèi)防擴散和網(wǎng)外使用安全防護審計體系進行描述，如何對相應(yīng)的行為進行審計和追查。 （敏感信息）的管理 對于系統(tǒng)中被界定為重要的文件（敏感信息，包括終端生成信息、終端外來信息、重要信息系統(tǒng)終端備份信息），如何通過有效的手段加強對這類文件的管信息防擴散 文件傳輸行為 移動存儲介質(zhì) 文件打印 郵件輸出 網(wǎng)絡(luò)共享輸出 網(wǎng)站訪問 管理員操作記錄 介質(zhì)使用情況 標(biāo)簽授權(quán) 標(biāo)簽清除 插入 /拔出 文件操作 考慮行業(yè)內(nèi)授權(quán)