XXX安全服务方案.doc

.受控：C级项目编号：DPtech-YNDW-AQFW-2017XXX安全服务方案杭州迪普科技股份有限公司Hangzhou DPTech Technologies Co., Ltd年 月目 录1项目概述62遵循原则63推荐服务内容74服务详细介绍84.1网站安全监控84.1.1服务简介94.1.2服务功能114.1.3服务特点144.1.4输出成果154.2渗透测试服务154.2.1测试方法164.2.2测试内容174.2.3实施步骤184.2.4输出成果214.2.5服务收益214.3网络安全评估214.3.1评估内容224.3.2评估方法264.3.3实施步骤284.3.4输出成果384.4安全巡检服务384.4.1服务内容384.4.2输出成果394.4.3服务收益394.4.4服务频率394.5安全加固服务404.5.1加固内容404.5.2加固流程424.5.3输出成果464.5.4服务收益474.5.5服务频率474.6应急响应服务474.6.1服务内容484.6.2输出成果494.6.3服务收益494.6.4服务频率504.7新系统入网安全评估504.7.1评估内容514.7.2输出成果524.7.3服务收益534.7.4服务频率534.8安全攻防演练培训534.8.1培训课程544.8.2培训流程614.8.3培训考核624.8.4培训优势624.9重要时期安全保障634.9.1现场值守634.9.2预案制定644.9.3应急处理644.9.4输出成果655服务配套工具656项目投资估算667项目管理方案677.1项目管理方法677.2组织结构图687.3项目沟通697.3.1日常沟通、记录和备忘录697.3.2报告697.3.3会议697.4项目实施质量保证707.4.1项目执行人员的质量职责717.4.2安全服务质量保证717.5系统安全及风险规避方案747.5.1项目实施工具747.5.2项目实施策略747.5.3项目实施中的配合758保密承诺768.1保密协议768.1.1保密协议的必要性768.1.2保密条款768.1.3违约责任778.2项目实施人员专项保密承诺788.2.1保密承诺的必要性788.2.2保密内容和范围788.2.3保密责任789迪普科技简介799.1公司介绍799.2服务资质809.2.1国内最高的信息安全服务二级资质809.2.2中国通信企业协会风险评估资质829.2.3ISO 27001信息安全管理体系认证839.2.4国家信息安全漏洞库支撑单位849.2.5中国互联网网络安全威胁治理联盟成员单位849.2.6ISO9001认证859.2.7ISO14001认证869.2.8部分漏洞提交证明869.3服务优势889.3.1信息安全监管机构高度认可889.3.2强大的漏洞挖掘研究能力889.3.3专业的安全咨询服务团队889.3.4国家重大会议活动首选安全保障团队891 项目概述近年来，随着棱镜门事件的爆发，网络和信息安全受到前所未有的关注。2014年中央网络安全和信息化领导小组的成立，习近平主席“没有网络安全就没有国家安全”等指示的提出，无不表明网络与信息安全工作已经上升至国家战略安全层面。在这种形势下，网络安全的重要性被提到了前所未有的高度。在XXX中，如果网络和业务系统被黑客攻击，页面被得法自发、敏感信息被窃取，其影响将难以估计。同时，2017.6.1既将实行的网络安全法中，规定将对出现安全事件的组织负责人进行处罚。随着安全技术的发展，各行业的网络和业务系统，必将成为黑客或反动势力的攻击目标。种种迹象表明，如果网络和业务系统存在安全漏洞，将非常容易导致被攻击者非法入侵，并对敏感数据进行非法窃取、篡改、删除等操作。编写本方案的目的，是希望通过迪普科技长期从事网络安全、网站安全、安全服务工作的经验，以及对黑客攻击过程的深入理解，为XXX的网络和业务系统提供全方位的安全防护建议，并为XXX的安全运行保驾护航。2 遵循原则本次为XXX提供的安全服务，全程遵循以下原则。l 先进性原则安全服务和形成的规划方案，在路线上应与业界的主流发展趋势相一致，保证依据此方案进行安全防护的XXX具备先进性。l 标准性原则安全服务和产品的选择，按照国家安全管理、安全控制、安全规程为参考依据。l 实用性原则具备多层次、多角度、全方位、立体化的安全保护功能。各种安全技术措施尽显其长，相互补充。当某一种或某一层保护失效时，其它仍可起到保护作用。l 可控性原则安全服务和安全规划的技术和解决方案，涉及的工程实施应具有可控性。l 系统性、均衡性、综合性研究原则安全服务从全系统出发，综合分析各种安全风险，采取相应的安全措施，并根据风险的大小，采取不同强度的安全措施，提供具有最优的性能价格比的安全解决方案。l 可行性、可靠性原则技术和解决方案，需在保证网络和业务系统正常运转的前提下，提供最优安全保障。l 可扩展性原则良好的可扩展性，能适应安全技术的快速发展和更新，能随着安全需求的变化而变化，充分保证投资的效益。3 推荐服务内容根据国家监管机构要求以及XXX安全需求，我们推荐以下服务内容。序号服务内容服务描述服务方式1网站安全监控对XXX指定的网站进行7*24小时安全监控，并提供监控日报、周报、月报，在网站出现异常情况时（被攻击、篡改、挂马），进行实时告警。远程2渗透测试服务通过人工方式，模拟黑客攻击方法，对XXX的网站进行非破坏性质的安全测试，查找应用层面漏洞并给出对应的修复建议。远程/现场3网络安全评估评估XXX的网络拓扑架构、安全域规划、边界防护、安全防护措施、核心设备安全配置、设备脆弱性等，从而全面评估网络的安全现状，查找安全隐患。现场4安全巡检服务定期对XXX的业务系统进行安全漏洞检测、基线配置核查、安全日志审计，评估业务系统的安全现状，如果存在安全风险，则提供对应的整改建议。现场5安全加固服务对安全巡检发现的漏洞进行修复、配置隐患进行优化的过程。加固内容包括但不限于系统补丁、防火墙、防病毒、危险服务、共享、自动播放、密码安全。远程/现场6应急响应服务当XXX的网站或服务器遭受黑客入侵攻击时，第一时间对入侵事件进行分析、检测、抑制、处理，查找入侵来源并恢复系统正常运行。远程/现场7新系统入网安全评估在新系统入网前，对其进行全面的安全评估，包括渗透测试、漏洞检测、基线核查，评估新系统的安全状况，查找不符合安全要求的配置项以及安全风险点。远程/现场8安全攻防演练培训为XXX提供一个理论结合实际、可以实战演练、场景真实逼真的安全攻防培训，从而真正提升受训人员的安全技术和实际动手能力。现场9重要时期安全保障在重要时期（如重大会议、重大节假日），我司派出安全攻防经验丰富的安全专家，进驻用户现场，对业务系统进行现场安全值守和保障。现场4 服务详细介绍下面，对每项服务内容，进行详细说明。4.1 网站安全监控随着互联网技术的快速发展，网站攻击的门槛不断降低。各类型网站受到的安全威胁越来越多，为形象、各Web应用系统的正常使用。应实现以下基本安全需求: l 监控网站页面内容完整、不被篡改；l 监控网站存在的SQL注入、XSS、非法访问、信息泄露等应用层漏洞，从而提前解决潜在风险；l 监控网站，防止网站挂马而导致的客户满意度损失；l 监控网站是否存在敏感信息，对于网站的敏感信息内容自行配制告警功能，方便管理者及时了解到发生的安全事件，可根据量化的标准，对网站的安全事件严重程度进行不同形式的告警，杜绝可能存在的政治风险和声誉损失；l 监控网站是否被钓鱼，导致相关的名誉损失。 4.1.1 服务简介WEB网站安全监控平台安全监控系统是迪普科技根据“云”的理念研发出的一款全天候Web监测系统。WEB网站安全监控平台监控系统基于PAAS（Platform-AsA-Service）模式，通过部署于各信息节点的监测引擎对客户指定的网站（WEB应用）进行可用率和站点安全性检测，以保障客户网站业务持续性，从而向客户提供网站安全的保障。4.1.2 服务功能 被动防御被动防御主要提供如下服务：l 网站异常推送无需时时刻刻紧盯着网站，也无需改变任何网络的部署，也不需专门的人员进行安全设备维护及分析日志，一旦Web出现任何异常行为，迪普科技WEB网站安全监控平台会自动把异常推送到云端，然后在云端进行分析检测。您完全不用担心找不到异常的解决办法，WEB网站安全监控平台会帮你完成这一系列繁杂的任务。l 预警服务每一个用户所发生的异常行为都会在推送到云端分析结束后保留在云端特征库中，一旦该异常再次发生，异常比对后，云端几乎可无间隔预警。也就是说我们的用户越多，WEB网站安全监控平台全方位立体式的监控就越完善，您的网站也越加安全。l 专业团队Web异常原因根据系统环境，人员等各种因素各式各样。在遇到云端无法解决的情况下，我们专业团队会在第一时间通知您，并提供解决方案。l 系统报表每日监测后网站性能等监测指标都可以随时生成相应的报表，方便您的查阅。您无需在去找人进行参数整理等重复性工作，解决大量的人力重复劳动。 主动扫描主动扫描主要提供如下服务：l 网站性能监控性能监控主要对服务器性能、网站访问可用率、延迟、故障时间的一个持续评测。是主动扫描中基础模块之一，它能更准确的让您清楚每天网站运行的状态。检测功能：n 有效的监测网站实时的可用率，更加直观的表现出网站的性能；n 统计网站的故障时间，可有效的查出故障时间段，针对性解决网站故障；n 网站性能分析，根据监测结果智能分析出网站可能出现的异常情况。l 网站篡改检测网站防线攻破后，入侵者会对网站的页面内容进行篡改，发布一些危害网站正常运行的言论，从对网站形象带来巨大负面影响。检测功能:n 有效防止挂黑链，避免影响网站优化，导致排名下降；n 及时发现留后门，预防网站二次入侵；n 第一时间发现恶意修改的虚假信息，避免误导用户；n 时刻检测恶意代码植入，避免网站被杀软警报屏蔽；n 避免主页被篡改，减少声誉损失，避免网站服务中断。l 网站挂马监控挂马检测模块采用大规模、分布式、动态行为检测和静态检测相结合的挂马识别方式，能够准确判断出网站的挂马页面，并及时发出警报，可以有效维护网站安全和利益。同时，通过高级木马检测服务，用户可指定监控间隔周期、监控页面深度、报警方式等参数，更好的满足用户需求。检测功能:n 检测iframe框架挂马，让您及时清理，避免成为木马散布点；n 检测script挂马，避免通过script的调用来挂马；n 检测图片伪装挂马，让您及时处理，避免网页被杀软报警；n 检测网页漏洞，让您及时修复，预防被挂马；n 实时监控网站挂马情况，让您及时处理挂马问题。l 网站敏感词监控敏感词监控主要是针对网站敏感词的一个检测过滤，它能准确的检测出你在其管理平台中设立的敏感词。一旦发现存在某个页面中，WEB网站安全监控平台会主动提醒您。检测功能:n 检测网页源码中敏感词出现；n 检测数据库中敏感词出现；n 统计敏感词出现次数，定位到具体代码数据。l 网跨站钓鱼检测跨站钓鱼检测模块通过静态分析技术与虚拟机沙箱行为检测技术相结合，对网站进行跨站钓鱼检测，能在最快的时间内完成跨站检测。检测功能：n 检测iframe框架跨站钓鱼；n 检测script跨站钓鱼，避免通过script的调用来跨站钓鱼；n 检测img跨站钓鱼；n 对页面的中的链接域名进行监测，保障用户访问的域名正确性。4.1.3 服务特点 易操作用户只需要登录我们的平台，在其授权管理后，设置网站所需要监控的项目。迪普科技本着“以人为本”理念，在产品设计时非常注重用户体验，您只需要简单的几步操作既可完成整个网站的监控。同时产品中拥有丰富的帮助文档，即使您没有接触过类似产品，在帮助文档的指引下也可以顺利的完成操作。可以在管理平台中根据您设置对网站安全情况进行日报、周报、月报的报告通告，并通过邮件及时通知您。 智能管理l 主动扫描模式，被动防御模式主动扫描模式可主动更深入的测查出网站所存在的安全隐患，可主动发现各种网页挂马、敏感词的出现、以及网站实时性能的一个总体分析。您可随意调整扫描模式，达到预期效果。被动防御模式可全天候监测网站异常，并在异常出现第一时间预警通您。l 节省投资与管理成本提供365*7*24全天候的在线木马监测服务，让您的站点每一分钟都在监控中。 大大节省您在安全设备采购的投资，并且您无需亲自动手操作各种安全设备，避免在使用设备过程中的繁琐，节省您的时间和精力。l 订阅故障统计报告站点安全情况可根据用户需求进行订阅，让用户能够了解到行业内、地域内站点的安全情况，及时做好维护升级，避免不必要的损失。4.1.4 输出成果网站安全监控的输出成果如下：l XXX网站安全监控周报l XXX网站安全监控月报4.2 渗透测试服务渗透测试服务，是在XXX授权的前提下，以模拟黑客攻击的方式，对XXX网站的安全漏洞、安全隐患进行全面检测，最终目标是查找网站的安全漏洞、评估网站的安全状态、提供漏洞修复建议。在渗透过程中，我们会采用业界领先的漏洞检测技术、攻击技术、攻击工具和迪普安全团队编写的脚本。过程分为四步：计划与准备、信息收集、实施渗透、输出报告。计划与准备阶段主要是根据网站反馈的内容制定项目实施方案与计划；信息收集与实施渗透是项目的实施阶段，输出报告主要是汇总和评估项目中发现的安全威胁，并输出文档。123 测试方法我司提供的渗透测试服务，采用的测试方法如下。l 信息搜集信息探测阶段包括信息收集，端口、服务扫描，计算机漏洞检测，此阶段主要做渗透前的踩点用。使用工具：l Maltego ，搜集管理员email、tel、常用id，网络拓扑等l Nmap ，端口、服务扫描，弱口令破解，系统信息探测l X-scan ，端口、服务扫描，弱口令破解，系统信息探测l P0f ，系统识别l Appscan ，Web漏洞检测程序l WVS ，Web漏洞检测程序l W3AF ，Web漏洞检测程序l Scanner1000 ，迪普科技开发的漏洞检测产品，支持系统漏洞检测，Web漏洞检测等一系列功能l 端口扫描 通过对目标地址的TCP/UDP端口扫描，确定其所开放的服务的数量和类型，这是所有渗透测试的基础。通过端口扫描，可以基本确定一个系统的基本信息，结合安全工程师的经验可以确定其可能存在以及被利用的安全弱点，为进行深层次的渗透提供依据。 l 口令猜测 口令猜测也是一种出现概率很高的风险，几乎不需要任何攻击工具，利用一个简单的暴力攻击程序和一个比较完善的字典，就可以猜测口令。 对一个系统账号的猜测通常包括两个方面：首先是对用户名的猜测，其次是对密码的猜测。 l 脚本测试 脚本测试专门针对Web服务器进行。根据最新的技术统计，脚本安全弱点为当前Web系统尤其存在动态内容的Web系统存在的主要比较严重的安全弱点之一。利用脚本相关弱点轻则可以获取系统其他目录的访问权限，重则将有可能取得系统的控制权限。因此对于含有动态页面的Web系统，脚本测试将是必不可少的一个环节。 l Hydra ，暴力破解工具，支持Samba, FTP, POP3, IMAP, Telnet, HTTP Auth, LDAP, NNTP, MySQL, VNC, ICQ, Socks5, PCNFS, Cisco等多种协议的暴力破解l Metasploit ，溢出程序利用平台l 菜刀 ，Webshell功力工具l Pwdump7 ，读取系统HASHl Cain ，内网sniffer工具l Disniff ，linux下嗅探工具l 人工渗透人工渗透，主要针对系统的业务逻辑漏洞进行安全测试，利用业务逻辑漏洞查找可准确、切实的找出业务中存在的安全隐患，避免被恶意用户利用，对系统造成重大损失。4.2.2 测试内容对XXX网站的渗透测试，除使用产品和工具扫描外，更重要的需要进行人工渗透，渗透内容包括但不限于以下项，且需要对发现的漏洞进行验证和利用。序号渗透测试大项渗透测试小项1配置管理备份测试、HTTP方法测试、传输安全2身份鉴别用户注册、账户权限、账户枚举、弱口令3认证授权认证绕过、目录遍历、授权绕过、权限提升4会话管理超时测试、会话管理绕过测试、会话令牌泄露测试、跨站点请求伪造CSRF测试5输入验证SQL注入、代码注入、命令执行注入、跨站脚本XSS6错误处理错误码分析、栈追踪分析7业务逻辑数据验证、请求伪造、完整性、次数限制、上传测试4.2.3 实施步骤根据黑客入侵的过程，并结合渗透测试的要求，我司渗透测试的实施步骤如下。 计划与准备阶段1) 工作目标计划与准备阶段，需要明确渗透测试的实施范围与测试对象，制定实施方法与方案，并制定详细的实施计划，为渗透测试的顺利进行，作重要准备。渗透测试的实施，将按照方案和计划进行。2) 工作内容计划与准备阶段的工作，主要是对渗透测试实施举行研讨会，讨论渗透测试操作思路，说明渗透测试的实施范围和测试对象，然后根据研讨内容制定相应得实施方案与计划。由领导审核批准实施方案与计划，项目组根据实际情况的需要，会对实施方案与计划进行一定的调整。3) 实施计划序号任务名称工作内容计划时间1渗透测试研讨会讨论渗透测试的工作思路，说明测试范围、测试目标对象、实施方式以及实施人员和大致的时间计划2制定渗透测试实施方案与计划根据研讨会的讨论内容，制定相应的渗透测试实施方案和实施计划3提交渗透测试实施方案与计划提交渗透测试实施方案与计划4审核与确认渗透测试实施方案与计划项目组提交渗透测试实施方案与计划，由领导进行审核确认，提出相应的意见与建议5修正实施方案与计划根据领导审核意见和建议，对实施方案与计划进行相应的修正 信息收集阶段1) 工作目标信息收集是所有入侵攻击的前奏和基础。通过信息收集分析，攻击者可以有针对性地制定入侵攻击的方法策略，提高入侵的成功率、减小暴露或被发现的机率。因此以模拟黑客攻击方式进行的渗透测试，也以信息收集为第一个实施的阶段过程。2) 工作内容信息收集阶段的工作内容是对目标所在的整个IP网段进行扫描探测与手工查阅。通过对目标地址的TCP/UDP端口扫描，确定其所开放的服务的数量和类型，这是所有渗透性测试的基础。通过信息探测漏洞检测，可以基本确定一个系统的基本信息，结合安全工程师的经验可以确定其可能存在以及被利用的安全弱点，为进行深层次的渗透提供依据。并且用手工的方式对应用、网页等内容进行一些信息查看。3) 实施计划序号任务名称工作内容计划时间1渗透测试变更流程与变更操作根据渗透测试的需要，进行相应的变更2信息收集阶段实施操作按照实施方案，进行信息收集阶段实施操作 渗透实施阶段 输出报告阶段1) 工作目标本阶段为根据渗透测试得出的结果，进行汇总分析，输出渗透测试报告。2) 工作内容编写、整理渗透测试报告。3) 实施计划序号任务名称工作内容计划时间1编写渗透测试报告对渗透测试得出的结果进行分析，并输出报告4.2.4 输出成果渗透测试的输出成果如下：l XXX渗透测试服务报告l XXX渗透测试服务复测报告4.2.5 服务收益对网站进行渗透测试，可为XXX带来如下收益：l 评估网站中存在的安全隐患、安全隐患； l 发现网站存在的深层次安全隐患； l 验证网站现有安全措施的防护强度； l 评估网站被入侵的可能性，并在入侵者发起攻击前封堵可能被利用的攻击途径。4.3 网络安全评估网络安全评估是对网络和业务系统的安全漏洞、安全隐患、安全风险，进行探测、识别、控制、消除的全过程，它从风险管理角度，运用科学的方法和手段，系统地分析网络与应用系统所面临的威胁及其存在的脆弱性，评估安全事件一旦发生可能造成的危害程度，提出有针对性的抵御威胁的防护对策和整改措施。网络安全评估的内容，包括网络拓扑架构、安全域规划、边界防护、安全防护措施、核心设备安全配置、设备脆弱性等，从而全面评估网络的安全现状，查找安全隐患。4.3.1 评估内容 资产评估概述信息资产的识别可以确定评估的对象，是整个安全服务工作的基础。并且，本阶段可以帮助XXX实现信息资产识别和整理，完成一份完整和最新的信息资产清单，对XXX的信息资产管理工作会有所帮助。目标完成一份完整和最新的信息资产清单。过程描述首先识别信息资产，完成所有重要信息资产的清单。按照资产性质和业务类型等可以分成若干资产类，一般分为数据，软件，服务，硬件，设备和文档等。根据不同的项目目标与项目特点，重点识别的资产类别会有所不同，在通常的项目中，一般数据、软件和服务为重点。 架构安全评估概述对网络结构，逻辑网络结构及网络的关键设备进行评估，发现存在的安全性方面的问题。结合业务体系、系统体系等结构的检查逻辑网络，由什么物理网络组成以及网络的关键设备的位置所在对于保持网络的安全是非常重要的。另外，鉴定关键网络拓扑，对于成功地实施一个基于网络的风险管理方案是非常关键的。基本信息包括网络带宽，协议，硬件（例如：交换机，路由器等）Internet接入，地理分布方式和网络管理。目标发现网络结构存在的安全性问题。过程描述1.网络拓扑分析拓扑结构合理性分析，可扩展性分析，例如网络中重要节点的链路是否有冗余。2.安全域评估对XXX网络进行全面了解，查看安全域是否有划分，安全域的划分是否合理，安全域间是否有相应的安全防护措施，并提出对应的改进方案。对于信息系统的安全，除了自身的安全检测外，还需要考虑与其他系统进行对接的接口安全，即边界安全。划分安全域并对其进行安全防护，将有效保障系统与对接系统的安全。所以，安全域评估是架构评估中的重中之重，我司将对XXX的安全域进行详细的分析与划分，并提出对应的措施，以保障对接应用系统的边界安全，有效保障应用系统的安全运行。3.边界接入评估对边界接入进行全面调研分析，对各种接入情况进行安全风险评估，与非信任网络间互访的安全管理，提出改进方案。边界接入评估，也能有效促进系统与其他系统的对接接口安全。4.访问控制情况调查评估在相关的网络隔离点，是否有恰当的访问控制规则设立，是否被有效的执行。5.接入/连接方式的安全性评估各个接入节点部分是否具备安全措施保障，是否被正确配置和执行。6.信任网络之间的安全性评估信任网络或者不信任网络之间是否有控制，控制本身带来的安全程度以及是否有可以绕过控制的途径。7.网络架构管理评估网络体系架构是如何进行管理的，是否有良好的机制和制度保障网络架构本身不被改变，没有非法的不符合安全策略的架构改变。8.网络设备认证管理评估是否有集中的设备认证管理机制，是否被正确的配置和执行。9.网络的高可用性和可靠性评估网络建设中是否良好的考虑了网络的高可用性和可靠性问题，是否被正确使用和良好的配置，是否有机制保障不被修改。 配置安全评估概述对网络及安全设备的配置进行检查，对IP地址分配是否正确、VLAN划分是否合理，路由协议、安全策略是否合理等多方面进行分析，网络配置是整个网络安全的基础。目标发现网络设备配置存在的不合理及安全性问题。过程描述1.路由协议评估分析所采用的路由协议，是否存在配置漏洞，冗余路由配置情况，路由协议的信任关系问题。2.安全策略评估分析配置中是否采用安全相关配置，系统的安全策略是否存在，以及是否和业务系统相互吻合。 3.协议选择评估对网络管理相关协议的分析整理；对业务应用相关协议的分析整理。XXX业务系统本身业务服务所采用的相关协议，以及由此而带来的相关的网络支撑设备。4.访问控制情况调查评估在相关的网络隔离点，是否有恰当的访问控制规则设立，是否被有效的执行。5.VLAN划分评估分析XXX网络中VLAN划分是否合理，相应设备上的VLAN配置是否正确，IP地址是否分配正确。6.安全配置均衡性分析安全配置本身是否具有不合理的配置或者弱点存在。7.网络的高可用性和可靠性评估网络建设中是否良好的考虑了网络的高可用性和可靠性问题，是否被正确使用和良好的配置，是否有机制保障不被修改。 设备漏洞扫描概述为了充分了解XXX当前网络存在的安全隐患，采用迪普综合漏洞评估扫描工具对XXX的网络进行全面扫描，检查其网络设备的弱点，识别被入侵者用来非法进入网络的漏洞。目标通过对XXX的网络设备的扫描，发现目前XXX网络设备存在的技术性安全漏洞。同时，也为安全加固工作提供依据。过程描述首先，确定扫描范围，主要针对重要信息资产和抽样网段。然后提交扫描方案和扫描申请，明确扫描执行人员和时间安排。采用迪普综合漏洞评估扫描工具对网络进行全面扫描，检查其网络设备的弱点，识别被入侵者用来非法进入网络的漏洞。4.3.2 评估方法l 资料收集现状资料收集是现状调研重要的信息来源。项目组向业务管理部门和信息系统的负责人收集了网络拓扑图、IP地址规划表、设备配置等资料，为全面评估XXX三套网络的安全状况提供了数据依据。l 现场访谈项目组对XXX三套网络的维护人员，进行了现场访谈。针对访谈对象在信息安全管理和执行信息安全控制中所扮演的角色，有重点的了解了信息安全管理现状及信息安全基础设施建设情况。通过现场访谈，项目组能够获取三套网络安全现状的第一手资料，并可验证之前收集到的资料，从而提高其准确度和完整性。l 现场勘查对用户网络进行现场检查，查找可能存在的安全隐患和漏洞，如物理机房安全评估，安全意识标语检查等。l 调研问卷给用户单位员工下发信息安全调查问卷，根据员工填写的结果，了解用户网络安全意识、安全方针、安全培训、安全应急等情况。l 漏洞扫描漏洞扫描是指使用基于网络的安全弱点扫描工具，根据其内置的漏洞测试方法、扫描策略，从网络中对扫描对象进行一系列的安全检查，从而发现可能存在的安全漏洞、安全隐患。使用漏洞扫描工具可以实现远程自动化扫描，降低安全评估的工作量，并能根据需求输出评估结果或者报表。在对三套网络进行安全评估时，我们采用我司自己的漏洞扫描系统，对网络设备、安全设备进行漏洞扫描，能够有效评估XXX三套的安全状况。l 综合分析综合分析，是指对上述所有方法获得的相关信息，以及发现被评估对象所存在的安全缺陷和风险，进行综合分析。评估人员分析和整理通过上述过程中所收集的各项信息，查找系统及相关的评估对象之间的相互关联、相互配合中所存在的缺陷和安全风险，并与安全管理人员核实所收集的信息是否真实反映了网络的真实安全情况，核实有疑问的信息。4.3.3 实施步骤安全风险评估项目的流程，一般划分为5个阶段：项目计划-资料收集-现场评估-数据分析-评估报告，如下。现场评估数据分析评估报告明确评估范围和目标制定项目计划、计划讨论项目计划资产赋值、漏洞扫描控制台审计、安全访谈渗透测试、数据流分析弱点分析、威胁分析可能性分析、影响分析风险识别弱点评估报告风险评估报告安全修复建议资料收集资产调查表、网络拓扑安全调研表、其他信息具体实施步骤如下： 风险评估准备n 确定风险评估目标明确开展本次风险评估所期望获得的目标。n 确定风险评估范围明确本次风险评估的具体范围，避免后期不必要的工作的开展。n 组建项目实施团队组建风险评估实施团队，包括项目经理、实施工程师、质量监督人员在内，实施团队提前准备好评估所需要的表格、文档、检测工具等各项准备工作。n 进行项目系统调研系统调研为风险评估依据和方法的选择、评估内容的实施奠定基础，调研内容包括：a) 业务战略及管理制度b) 主要的业务功能和要求c) 网络结构与网络环境，包括内部连接和外部连接d) 系统边界e) 主要的硬件、软件f) 数据和信息g) 其他n 制定风险评估方案指定风险评估方案，用于指导实施工作的开展，内容包括（但不仅限于）：a) 团队组织：包括评估团队成员、组织结构、角色、责任等内容b) 工作计划：包括工作内容，工作形式，工作成果等内容c) 项目进度：项目实施的时间进度安排 资产识别n 资产分类资产被划分为不同的类别，在进行评估时可根据不同的资产分类使用不同的评估策略。依据资产的使用特点及部署方式，可将资产分为以下几个类别：l 主机设备包括各类服务器、工作站、PC机等。主要针对主机设备上安装的操作系统（如AIX、WINDOWS）、数据库系统（如ORACLE、DB2）、应用服务软件（如IIS、APACHE）及相关的配置信息进行评估。l 网络设备包括路由器、交换机、四层交换设备、拨号设备等各种网络设备。评估时主要对这些网络设备的配置、部署方式、拓扑结构等方面进行分析。l 安全产品包括各种安全设备，如防火墙、入侵检测系统（IDS）、入侵防御系统（IPS）、安全审计系统、漏洞扫描系统、防病毒系统、安全隔离系统、防拒绝服务攻击设备、VPN等安全设备及产品。评估时主要分析安全设备的配置参数及自身的安全性。l 应用系统 包括组织的核心业务和办公系统，如业务管理系统、财务管理系统、办公自动化系统等。n 资产调研资产调查利用了资产调查表，包括资产名称、硬件型号、IP地址、操作系统及版本、应用程序及版本、部署位置、管理人员等信息。资产属性说 明资产名称记录该资产的名称用途描述描述该资产的主要功能及用途硬件型号资产的具体型号，如CISCO 6509IP地址资产的IP地址IP数量该资产同时具备的IP地址数量操作系统及版本填写设备的OS或IOS版本号，如windows 2000 server应用程序及版本填写该资产上运行的应用程序，包括数据库和应用软件安装地点填写该资产所属的地理位置所属业务填写该资产所属的业务所属系统填写该资产所属的系统管理员填写该资产的管理员备注其他需说明的问题，例如是否采用双机热备n 资产赋值通过分析资产的各种属性，进而对资产进行安全价值分析。资产赋值是为资产及其支撑的业务系统从安全角度量化价值的行为。资产的价值可以从保密性、完整性、可用性等角度衡量。可参考的资产赋值方法，如下表所示。级别定义保密性( C )完整性( I )可用性( A )5属于绝密信息，完全不允许泄漏，只有组织高层可以接触完全不允许出现变更，必须采用实时检测机制基本不允许中断，可靠性达到99.9999%4属于机密信息，不允许泄漏，组织中层以上可以接触不允许出现变更，应采用实时检测机制可短时间中断，可靠性达到99.99%3属于秘密信息，不允许泄漏，业务相关人员可以接触不允许出现变更，应采用检测机制中断时间小于1天，可靠性达到99.9%2属于内部信息，组织内部人员可以接触，可小范围公开允许出现小范围的不一致，并在短时间内更正中断时间小于1天，可靠性达到99%1属于公开信息基本没有要求，不一致时可在一定时间内更正对故障时间基本没有要求 威胁识别n 威胁分类依据下表分类标准对威胁进行分类。种类威胁子类软硬件故障设备硬件故障、传输设备故障、存储媒体故障、系统软件故障、应用软件故障、数据库软件故障等物理环境影响断电、静电、灰尘、潮湿、温度、虫害、电磁干扰、火灾、地震等无作为或操作失误维护错误、操作失误等管理不到位管理制度和策略不完善、管理规程缺失、职责不明确等恶意代码病毒、木马、蠕虫、恶意软件等越权或滥用非授权访问网络资源、非授权访问系统资源、滥用权限非正常修改系统配置等网络攻击网络探测和信息采集、漏洞探测、嗅探等物理攻击物理接触、物理破坏、盗窃等泄密内部信息泄露、外部信息泄露等篡改篡改网络配置信息、篡改系统配置信息等抵赖原发抵赖、接受抵赖、第三方抵赖等n 威胁赋值根据经验或有关统计来判断威胁出现的频率，从以下三个方面来考虑：a) 以往安全事件报告中出现过的威胁及其频率的统计；b) 实际环境中通过检测工具以及各种日志发现的威胁及其频率的统计；c) 近一两年来国际组织发布的对于整个社会或特定行业的威胁及其频率统计，以及发布的威胁预警。对威胁出现的频率进行等级量化处理，不同等级分别代表威胁出现的频率高低，等级数值越大，威胁出现的频率越高。等级标识定义5很高出现频率很高，或在大多数情况下几乎不可避免；或可证实经常发生过4高出现频率较高，或在大多数情况下很有可能发生，或可以证实多次发生过3中等出现的频率中等，或在某种情况下可能会发生，或被正式曾经发生过2低出现的频率较小，或一般不太可能发生；或没有被证实发生过1很低威胁几乎不可能发生 脆弱性识别n 脆弱性识别类型识别对象识别内容技术脆弱性物理环境从机房场地、防火、配电、防静电、电磁防护等方面识别网络结构从网络结构设计、边界防护、外部访问控制策略、内部访问控制策略、网络设备安全配置等方便识别系统软件从补丁安装、物理保护、用户账户、口令策略、资源共享、事件审计、访问控制等方面识别应用中间件从协议安全、交易完整性、数据完整性等方面识别应用系统从审计机制、审计存储、访问控制策略、数据完整性、通信、鉴别机制、密码保护等方面进行识别管理脆弱性技术管理从物理和环境安全、通信与操作管理、访问空知、系统开发与维护、业务连续性等方面进行识别组织管理从策略安全、组织安全、资产分类与控制、人员安全、符合性等方面进行识别n 脆弱性赋值等级标识定义5很高如果被威胁利用，将对资产造成完全损害4高如果被威胁利用，将对资产造成重大损害3中等如果被威胁利用，将对资产造成一般损害2低如果被威胁利用，将对资产造成较小损害1很低如果被威胁利用，将对资产造成的损害可以忽略 已有安全措施确认对已有的安全措施进行确认，包括预防性安全措施及保护性安全措施。 风险分析我司的风险定义及风险分类方法主要参考ISO 17799：2005，个别分类的名称进行了调整，风险级别定义标准参考ISO 13335，风险计算矩阵参考AS/NZS 4360：2004。根据ISO 13335的定义，风险指的是特定威胁利用某一资产或一组资产的脆弱性，从而对组织产生损害的可能性。因此，为了确定风险级别，首先需要创建不同级别影响（损害）和可能性的定义，然后基于不同级别的影响和可能性定义，创建不同级别的风险定义。l 影响级别定义根据我司的最佳实践，最终确定影响级别定义如下：影响级别影响描述5因缺乏相应的措施，导致该风险发生时，对XXX的业务及运营具有极其严重的影响。4因缺乏相应的措施，导致该风险发生时，对XXX的业务及运营具有严重的影响。3因缺乏相应的措施，导致该风险发生时，对XXX的业务及运营具有一定的影响。2因缺乏相应的措施，导致该风险发生时，对XXX的业务及运营具有轻微影响。1因缺乏相应的措施，导致该风险发生时，对XXX的业务及运营基本没有影响。l 可能性级别定义可能性级别定义如下：可能性级别可能性描述5几乎肯定发生：预期在大多数情况下发生，不可避免；或者可以证实经常发生。4非常有可能发生：在大多数情况下，很有可能会发生；或者可以证实发生过。3发生的可能性较大：在某些情况下，很可能会发生。2有可能发生：在某种情况下或某个时间，可能会发生。1基本不可能发生：发生的可能性很小，不太可能。l 风险级别矩阵基于以上定义，创建的风险级别矩阵如下图所示。影响可能性123455中高高极高极高4中中高高极高3低低中高高2极低低低中高1极低极低低中高（来源参考：AS/NZS 4360: 2004）4.3.4 输出成果网络安全评估的输出成果如下：l XXX网络安全评估报告l XXX网络设备资产表l XXX网络设备漏洞扫描报告l XXX网络设备配置分析报告4.4 安全巡检服务信息安全是动态的，随着时间的变化会不断暴露出新的安全漏洞、恶意软件、攻击手段，新些将打打破现有信息安全的平衡。安全风险管理是一个持续性的过程，安全巡检服务是安全风险管理过程中的重要组成部分。迪普科技的安全巡检服务，是指定期对用户网站进行的安全检测，检测完成后提供全面的巡检服务报告，给出存在的安全风险并提供对应的修复建议。我们的安全巡检服务，包括安全漏洞评估、安全基线核查、安全日志审计。4.4.1 服务内容 安全漏洞评估采用迪普科技Scanner设备及国际上著名的漏洞扫描工具，对XXX网站进行漏洞扫描，查找网站上存在的安全漏洞，完成后给出详细的漏洞扫描报告，报告中包括漏洞修复建议。 安全基线核查采用迪普科技的Scanner设备，对XXX网站进行安全基线核查，查找网站操作系统层面的安全配置隐患、安全配置风险，完成后给出详细的安全基线核查报告，报告中包括安全配置建议。 安全日志审计对防火墙、IPS、WAF等产生的安全日志进行收集，综合对这些日志进行关联分析，从多个维度对目标的运行状态进行分析，得出一段时间内目标系统及相关设备的安全运行状态。4.4.2 输出成果安全巡检服务的主要输出成果如下：l XXX安全巡检服务报告l XXX网站漏洞扫描报告l XXX网站基线核查报告l XXX网站日志分析报告4.4.3 服务收益安全巡检服务，可为XXX带来如下收益：l 有效发现网站中存在的安全漏洞、安全配置隐患、安全风险，为安全加固提供事实依据。l 周期性检查，促进ISMS信息安全管理体系和PDCA在实际工作中的执行，确保设备和系统的持续、安全、稳定运行。4.4.4 服务频率对XXX网站的安全巡检，建设每季度1次，全年共4次。4.5 安全加固服务为了有效保障网络的安全运行，在对操作系统、数据库、中间件、网络设备、安全设备进行安全检测后，需要对发现的安全风险进行修复。安全加固服务，是指根据安全加固列表，对目标系统的安全漏洞对进行修复、配置隐患进行优化的过程。加固内容包括但不限于系统补丁、防火墙、防病毒、危险服务、共享、自动播放、密码安全。安全加固是保证设备和系统安全运行的关键防护措施，通常情况下，操作系统、数据库、中间件、网络设备、安全设备，都需要进行安全加固。4.5.1 加固内容 操作系统加固内容我司可进行安全加固的操作系统包括Windows、Linux、AIX、HP-Unix、Solaris。操作系统的加固内容如下表所示，详细的加固列表可参见我司的操作系统安全加固规范。序号加固大项加固小项1账号管理和认证授权账号、口令、授权、关机设置2协议安全配置IP协议安全、防火墙、SYN攻击防护3服务和共享配置系统服务、默认共享、共享权限4日志安全配置日志审核策略、日志文件设置5其它安全配置空闲超时设置、自动播放、启动项、数据执行保护 数据库安全加固我司可进行安全加固的数据库系统包括Oracle、SQL Server、DB2。数据库的加固内容如下表所示，详细的加固列表可参见我司的数据库安全加固规范。序号加固大项加固小项1账号管理和认证授权账号、口令2通信协议安全网络数据传输安全、信任IP设置3日志安全配置数据库审核策略、数据库日志文件设置4其它安全配置连接超时设置、监听器密码 中间件安全加固我司可进行安全加固的中间件系统包括Tomcat、Apache、WebLogic、WebSphere。中间件系统的加固