安全配置核查系统

安全配置核查系统ITIT网测试、工程验收和运行维护等设备全生命周期各个阶段加强和落实安全要求，同时需要设立满足安全要求的安全基准点。针对行业的业务系统建立安全检查点与操作指南的基准安全标准，则成为各个行业安全治理人员最为紧迫的事情。基准安全标准将形成针对不同系统的具体Checklist表格和操作指南，为标准化的技术安全操作供给了框架和标准。标准与安全基准点的出台让运维人员有了检查默认风险的标杆，但是面对网络中种类繁杂、数量众多的设备和软件，如何快速、有效的检查设备，又如何集中收集核查的结果，以及制作风险审核报告，并且最终识别那些与安全标准不符合的工程，以到达整改合规的要求，这些是网络运维人员面临的的难题。在此背景下，绿盟科技推出了专用检查工具——绿盟安全配置核查系〔NSFOCUSBenchmarkVerificationSystem，简称：NSFOCUSBVS〕系列产品。该产品基于绿盟科技多年安全效劳的积存，形成完中间件等多类设备及系统的安全配置加固建议，通过该学问库可以全面的指导IT承受机器语言，自动化的进展安全配置检查，从而节约传统的手动单点安全配置检查的时间，并避开传统人工检查方式所带来的失误风险，同时能够出具具体的检测报告。它可以大大提高您检查结果的准确性和合规性，节约您的时间本钱，让检查工作变得简洁。本文将包含以下内容：运维人员面临的挑战基线安全的争论安全基线的建立和应用绿盟安全配置核查系统运维人员面临的挑战随着业务不断进展，网络规模日益扩大，其生产、业务支撑系统的网络构造也变得越来越简单。其中，重要应用和效劳器的数量及种类日益增多，一旦发生维护人员误操作，或者承受一成不变的初始系统设置而无视了对于安全掌握的要求，就可能会极大的影响系统的正常运转。因此针对行业的业务系统建立安全检查点与操作指南的基准安全标准，则成为各个行业安全治理人员最为紧迫的事情。基准安全标准将形成针对不同系统的具体Checklist表格和操作指南，为标准化的技术安全操作供给了框架和标准。其应用范围格外广泛，主要包括业务系统的上线安全检查、第三方入网安全检查、合规安全检查〔上级检查〕、日常安全检查等。通过承受统一的安全配置标准来标准技术人员在各类系统上的日常操作，让运维人员有了检查默认风险的标杆，但是面对网络中种类繁却成为一个费时费力的事情：安全配置检查及问题修复都需人工进展，对检查人员的技能和阅历要求较高；做一次普及性的细致检查消耗时间较长，而假设改成抽查则检查的全面性就很差；自查和检查都需要登录系统进展，对象越多工作越繁琐，工作效率也不高；每项检查都要人工记录，稍有疏漏就需要重补测。……对自查或检查人员来说，需要花费大量的时间和精力来检查设备、收集数据、制作和审核风险报告，以识别各项不符合安全标准要求的系统。如何快速有效的在业务系统上实现上线安全检查、第三方入网安全检查、合规安全检查〔上级检查〕、日常安全检查等全方位设备检查，又如何集中收集核查的结果，以及制作风险审核报告，并且最终识别那些与安全标准不符合的工程，以到达整改合规的要求，这些是网络运维人员面临的的难题。基线安全的争论在争论和业务安全相结合的基准安全标准体系根底上，参考国内外的标准、标准，充分考虑了行业的现状和行业最正确实践，继承和吸取了国家等级保护、风险评估的阅历成果，形成了一套基于业务系统的基线安全模型，参见以下图：基线安全模型基线安全模型以业务系统为核心，分为业务层、功能架构层、系统实3层架构：第一层是业务层，这个层面中主要是依据不同业务系统的特性，定义不同安全防护的要求，是一个比较宏观的要求。/系统模块，这些模块针对业务层定义的安全防护要求细化为此层不同模块应当具备的要求。第三层是系统实现层，将其次层的模块依据业务系统的特性进一步分解，将操作系统分解为Windows、Solaris等系统模块，网络设备分解为华为路由器、Cisco路由器等系统模块。这些模块中又具体的把其次层的安全防护要求细化到可执行和实现的要求，称为Windows安全基线，华为路由器安全基线等。我们以移动运营商WAPWAP系统要对互联网用户供给效劳，因此存在互联网的链接，那么就会受到互联网中各种蠕虫的攻击威逼，那么我们在第一层中就定义需要防范蠕虫攻击的要求，这个蠕虫攻击的防护要求对于功能架构层的操作系统、网络设备、网络架构、安全设备等都存在可能的影响，因此在这些不同的模块中需要定义相对应的防范要求，而针对这些防范要求，如何来实现呢？这就需要定义全面、有效的第三层模块要求了，针对不同类型蠕虫病毒的威逼，在Windows、Solaris等系统的具体防范要求就不一样了，因此在第三层中就是针对各种安全威逼针对不同的模块定义不同的防护要求。安全基线的建立和应用建立安全基线首先需要对业务系统进展识别和梳理，然后结合基线安全模型分析业务系统的功能架构，再将功能架构细化到系统层面的不同模块。在此根底上，就是针对业务系统特性，分析可能存在的安全威逼，并将针对威逼的应对措施逐层分解到系统实现层。系统实现层中的安全基线要求主要是由安全漏洞方面、安全配置方面等检查项构成，这些检查项的掩盖面、有效性成为了基线安全实现的关键。基线安全的应用应用第三层面安全基线的要求，可以对目标业务系统开放合规性安全检查，以找出不符合的项，并选择和实施安全措施来掌握安全风险。安全配置：通常都是由于人为的疏忽造成，主要包括了账号、口令、IP通信等方面内容，反映了系统自身的安全脆弱性。安全配置方面与系统的相关性格外大，同一个配置项在不同业务环境中的安全配置要求是不一样的，如在WEB系统边界防火墙中需要开启通信，但一个WAP网关边界就没有这样的需求，因此在设计业务系统安全基线的时候，安全配置是一个关注的重点。安全漏洞：通常是系统自身的问题引起的安全风险，一般包括了登录漏洞、拒绝效劳漏洞、缓冲区溢出、信息泄漏、蠕虫后门、意外状况处置错误等，反映了系统自身的安全脆弱性。业务系统的安全基线建立起来之后，将形成针对不同系统的具体Checklist准。其应用范围格外广泛，主要包括业务系统的上线安全检查、第三方入网安全检查、合规安全检查〔上级检查〕、日常安全检查等。绿盟安全配置核查系统基于多年安全效劳的执着实践，绿盟科技形成了国内最完善的专业安全效劳体系和专业安全效劳方法论，制定了完善的安全配置检查点，同时结合用户对安全评估产品的实际应用需求，自主研发了绿盟安全配置核查系统〔NSFOCUSBenchmarkVerificationSystem，简称：NSFOCUSBVS〕。NSFOCUSBVS具备完善的安全配置学问库，通过该学问库可以全面的指导IT信息系统的安全配置及加固工作。特别是通过该产品能确性和合规性，节约您的时间本钱，让检查工作变得简洁，是您身边专业的“安全配置专家”。依托专业的NSFOCUS通过该学问库可以全面的指导IT信息系统的安全配置及加固工作；息重整化〔NSIP〕等多种领先技术，可以自动、高效、准确地觉察网络资产存在的安全配置问题；针对安全加固的特点，NSFOCUSBVS首创自动化的安全加固功能，可在安全配置检查完毕后，直接进展系统安全配置的加固；持续进展NSFOCUSBVS同时供给检查规章的持续更，为您供给最完备的自动化检查设备，降低风险本钱，保护您的投资。运行模式图产品体系构造NSFOCUSBVS是基于WEBSSL加密通道和系统WEBNSFOCUSBVS承受模块化设计，内部整体工作架构如以下图所示。整体模块图专用平台性。调度核心模块工作，包括判定主机存活状态、操作系统识别、模板解析匹配等。Checklist学问库Checklist调度核心模块和数据分析模块都依靠它进展工作。扫描结果库也是查询和分析结果的数据来源。数据分析模块源，是任务合并、分布式数据汇总之后的结果。配置模板库应的安全配置检查点，以及每项检查点的权重。WEB界面模块WEBWEB治理模块包含多个子模块共同完成用户的恳求，其主要子模块有：任务治理子模块——完成用户评估任务的治理工作。报表子模块——成扫描报表。用户治理子模块审计治理子模块由于一些系统或网络设置的缘由，而不能远程检查的目标系统〔如Windows系统〕，NSFOCUSBVS供给配套的本地执行工具，在待分析。扩展模块多类型设备检测扩展模块绿盟科技不断依据安全效劳的实践阅历，持续进展NSFOCUSBVS系统所能够检测的系统与设备范围。二次开发接口模块通过此接口NSFOCUSBVS可以与其他安全产品和治理平台进展联动，以便于统一的平台治理。产品特色权威、完备的Checklist学问库7年专业安全效劳方法论，制定了完善具体的安全配置检查点。在这个部门中，拥有多位PMPCISABS7799LAISO27001LACISSPCISPCCIE、CIW、COBIT、ITIL等国际/国内认证专家，他们不断在安全效劳实践中进展Checklist学问库的完善，并将这些学问库更到NSFOCUSBVS中。自定义安全配置检查工程通常网络环境的状况是，设备类型渐渐增多，各种效劳平台被应用，应用软件不断更升级，这些变化给安全配置检查带来肯定的困难。作为Checklist学问库的补充，NSFOCUSBVS供给自定义安全配置义安全配置检查模板。自定义安全配置检查的功能让安全治理员能够很好的适应网络状况义安全配置检查功能轻松实现。基于用户行为模式的治理架构作为用户体验性很强的产品，NSFOCUSBVS始终秉承“以人为本”户角度完善了很多治理功能。设计了“一键式”任务模式，承受自动化的数据收集、智能匹配检查标准、快速结果报表、科学分值评定等功能，最大限度的满足您的操作简易性和高效性的需求。NSFOCUSBVS承受B/SSSL加密通讯方式通过扫瞄器来远程进展治理。NSFOCUSBVS的专用硬件能够长期稳定包括：评估任务下发、扫描结果自动分析、处理和发送、系统检测插件的自动升级等。同时，系统支持多用户治理模式，能够对用户的权限做出严格的限制，并且供给了登录、操作和特别等日志审计功能，便利用户对系统的审计和治理。高效、智能的安全配置识别技术误风险。NSIP技术〔NSFOCUSIntelligentProfile，绿盟科技智能Profile信息识别技术在提高NSFOCUSBVS的评估速度和准确率方面都起到了很大的促进作用。NSIP技术就是承受多种技术通过不同途径收集目标系统的多种信息，这些信息就是目标系统的Profile，评估过程中，Profile不断地对中间的结果数据进展调整，保障了最终评估结果的准确性。基于实践的配置模板治理及展现的业务系统确定所需要进展评估的资产，并且划分资产的重要性。NSFOCUSBVS供给的“配置模板库”可依据用户的资产类型及其重要性会自动在其内部对目标评估系统建立基于时间和基于风险等多种安全评估模型。便利用户定义符合切身需求的安全配置检查项。多维、细粒度的统计分析NSFOCUSBVS不仅供给了常见的离线报表，还供给了强大的在线器”，它能够帮助客户更好地获得有效信息，生成基于不同角色、不站在公司决策层和网络部门治理人员的角度考虑报告的生成。NSFOCUSBVS从宏观和微观两个角度对风险进展了透彻地分析。状况；微观上，系统对每个信息都供给了具体的安全配置解决方案，某个配置的具体信息。NSFOCUSBVS从多个视角深刻反映网络的整体安全状况，还供给“历史数据搜寻”与任意扫描任务之间的“汇总查看”和“比照分析”功能，定和将来网络建设供给了强有力的决策支持。NSFOCUSBVS系统综述信息图典型应用方式目前用户网络环境中常见的网络拓扑构造有：总线拓扑、星形拓扑、树形拓扑和混合型拓扑。针对上述用户常见的网络拓扑，NSFOCUSBVS为用户“量身定做”了两种部署方式：独立式部署和分布式部署。独立式部署中小型网络中，由于其数据相对集中，并且网络拓扑构造较为简洁，式部署就是在网络中只部署一台NSFOCUSBVS设备，只需将其接司的整个网络地址。用户可以从任意地址登录