安全服务技术方案.doc

精选范本 供参考 密密 级 商密级 商密 文档编号 文档编号 安全服务技术方案安全服务技术方案 2020 智恒联盟智恒联盟 精选范本 供参考 联系信息联系信息 公司名称 北京智恒联盟科技有限公司 服务电话 TEL 400 6765 208 电子信箱 sales 传真 010 62218321 8045 支持邮箱 support 文档信息文档信息 文档名称 安全服务技术方案 保密级别 商密 文档版本编号 V1 0 文档管理编号 制作人 蒋勇 制作日期 2011 年 版权声明版权声明 版权所有 2006 2011 北京智恒联盟科技有限公司 本文中出现的任何文字叙述 文档格式 插图 照片 方法 过程等内容 除另有特别注明 版权均属北京智恒联盟科技有限公司 简称智恒联盟 所有 受到有 关产权及版权法保护 任何个人 机构未经北京智恒联盟科技有限公司的书面授权许可 不得以任何方式 复制或引用本文件的任何片断 版本变更记录版本变更记录 时间 版本 说明 修改人 2011 年 3 月 V1 0 初始版本 蒋勇 精选范本 供参考 目目 录录 1安全评估服务安全评估服务 4 1 1安全评估内容 4 1 2人工评估 4 1 3工具评估 5 1 3 1工具评估的原理 6 1 3 2扫描评估的必要性 6 1 3 3制定确切的扫描评估方案保证 6 1 3 4对现有信息系统资源的影响 7 1 4安全评估风险规避措施 7 1 4 1系统备份与恢复措施 7 1 4 2扫描风险应对措施 7 1 5工作安排 8 1 6服务周期 8 2安全加固安全加固 8 2 1安全加固内容 8 2 2安全加固流程 8 2 3安全加固步骤 10 2 4安全加固风险规避措施 11 2 5工作安排 12 2 6服务周期 12 3紧急响应服务紧急响应服务 12 3 1服务内容 12 3 2服务流程 14 3 3服务方式 14 4安全通告服务安全通告服务 15 4 1服务内容 15 4 2服务流程 16 4 3服务方式 16 4 4服务周期 16 精选范本 供参考 1 安全评估安全评估服务服务 1 1安全评估内容安全评估内容 目前针对公司安全评估的内容是依据公司现有的系统进行物理环境 主机 网络 应 用系统和管理进行安全评估 采用工具扫描和人工评估两种相结合的方式 了解分析公司 的安全现状 物理环境评估 采用人工评估方式 通过调查和访谈了解分析公司网络系统物理环境现状 主机评估 采用工具扫描和人工评估两种方式 对公司主机进行评估 网络评估 采用人工评估的方式 对公司网络设备单点和网络拓扑架构进行评估 应用评估 通过人工评估的方式 对公司应用系统进行威胁建模 对应用系统和数据库进行 评估 管理评估 通过人工评估的方式 对公司信息安全组织 策略和运行方式进行评估 1 2人工评估人工评估 工具扫描因为其固定的模板 适用的范围 特定的运行环境 以及它的缺乏智能性等 诸多因素 因而有着很大的局限性 而人工评估与工具扫描相结合 可以完成许多工具所 无法完成的事情 从而得出全面的 客观的评估结果 人工评估在本项目中主要是依靠联想信息安全具有丰富经验的安全专家 通过针对不 同的系统采用安全项检查 日志检查等方式 对系统和无法用工具扫描的系统进行人工检 查和分析 在人工评估过程中 根据联想最新的安全项检查核对表内容 逐项检查系统的各项配 置和运行状态 核对表内容根据最新漏洞发现 客户不同的系统和运行环境 以及联想的 经验知识库而制定 对系统层面进行如下几个方面的检查 精选范本 供参考 确认系统是否已被入侵过 检查可能存在的后门 系统补丁 系统账号 文件系统 网络及服务 系统配置文件 NFS 或其它文件系统共享 审计及日志 系统备份及恢复 应用系统 其它 对应用层面进行如下几个方面的检查 使用普通输入验证将导致跨站点脚本 XSS SQL 植入和缓冲溢出攻击 通 过未加密的网络链路传输验证证书或验证 cookies 这将导致证书捕获或会话拦截 使用简单的密码和帐户策略 将导致未经授权的访问 无法确保应用程序配置管理方面的安全 包括管理界面 以纯文本方式存储配置私秘 例如连接字符串和服务帐户证书 使用超权限进程和服务帐户 使用不安全的数据访问代码技术 可以增加由 SQL 植入引起的威胁 使用简单的或自定义的加密措施无法充分确保密钥的安全 依赖于 Web 浏览器传输集成参数 例如 格式字段 查询设置 cookie 数据和 HTTP 标题 使用不安全的异常处理 可以导致拒绝服务攻击和对攻击者有用的系统级详细资 料的泄漏 不充分的审核与日志检查 1 3工具评估工具评估 为了充分了解公司的安全现状及其安全威胁 因此需要利用基于各种评估侧面的评估 工具对评估对象进行扫描评估 扫描评估的结果将作为整个评估内容的一个重要参考依据 在本项目中 我们采用的工具是业内领先的 Nessus 漏洞扫描系统 精选范本 供参考 1 3 1工具评估的原理工具评估的原理 扫描评估主要是根据已有的安全漏洞知识库 模拟黑客的攻击方法 检测网络协议 网络服务 网络设备 应用系统等各种信息资产所存在的安全隐患和漏洞 扫描的方式采 用网络扫描 网络扫描主要依靠带有安全漏洞知识库的网络安全扫描工具对信息资产进行基于安全 扫描 其特点是能对被评估目标进行覆盖面广泛的安全漏洞查找 并且评估环境与被评估 对象在线运行的环境完全一致 能较真实地反映服务器系统 网络设备 应用系统所存在 的安全问题和面临的安全威胁 1 3 2扫描评估的必要性扫描评估的必要性 利用安全扫描评估工具扫描网络中的核心服务器及重要的网络设备 包括服务器 路 由器 交换机 防火墙等 以对网络设备进行安全漏洞检测和分析 对识别出的能被入侵 者利用来非法进入网络或者非法获取信息资产的漏洞 提醒安全管理员 及时完善安全策 略 降低安全风险 现代操作系统 应用系统 网络设备代码数量巨大 由成百上千工程师的共同设计编 制 很难避免产生安全漏洞 随着及计算机技术的发展 这些系统的功能越来越强大 但 配置越来越复杂 面对横跨多种平台 不同版本 不同种类的操作系统和应用系统 系统 管理员显得力不从心 经常会造成配置上失误 产生安全问题 系统安全漏洞涉及口令设 置 文件权限 账户管理 组管理 系统配置等 基于服务器 主机 风险评估技术 主 要检查系统本身固有的安全漏洞和系统文件的不安全配置 数据的授权 认证和完整性 并指示用户如何修补漏洞以使系统安全风险降到最小 1 3 3制定确切的扫描评估方案保证制定确切的扫描评估方案保证 为将扫描评估对信息系统的影响减低到最小 并取得较好的扫描评估效果 在扫描之 前制定符合实际需要的扫描评估方案显得十分重要 方案将从工具选择 评估对象选择 评估时间 评估人员 报告数据形式 系统备份和风险规避和应对等方面来保证扫描评估 的可靠运行 扫描结果输出扫描结果输出 在对系统进行安全扫描之后 将根据不同的类型给出下列几种类型的报告输出 操作系统扫描安全扫描和评估记录 这些报告输出将作为系统评估服务的一个重要来源和依据 精选范本 供参考 1 3 4对现有信息系统资源的影响对现有信息系统资源的影响 操作系统扫描评估操作系统扫描评估 操作系统扫描评估以网络为基础进行 扫描控制台通过网络对被评估对象进行安全评 估 因此这种扫描方式主要消耗一定的网络带宽资源 并对被评估的对象消耗很小一部分 的网络连接的资源 对于其他的资源没有特殊的要求 实际的使用情况表明 网络扫描对 网络资源和被评估系统的资源占用在 3 5 之间 并且可以通过修改 配置一定的扫描策 略来使这些资源消耗降低至最小 1 4安全评估风险规避措施安全评估风险规避措施 1 4 1系统备份与恢复措施系统备份与恢复措施 为防止在评估过程中出现的异常的情况 联想建议所有被评估系统均应在被评估之前为防止在评估过程中出现的异常的情况 联想建议所有被评估系统均应在被评估之前 作一次完整的系统备份或者关闭正在进行的操作 以便在系统发生灾难后及时恢复 作一次完整的系统备份或者关闭正在进行的操作 以便在系统发生灾难后及时恢复 操作系统类 操作系统类 停止前台的应用操作 制作系统应急盘 对系统信息 注册表 sam 文 件 etc 中的配置文件以及其他含有重要系统配置信息和用户信息的目录和文件进行备份 并应该确保备份的自身安全 应用系统类应用系统类 停止应用系统的运行 然后对系统进行数据转储 并妥善保护好备份数 据 同时对系统的配置信息和用户信息进行备份 1 4 2扫描风险应对措施扫描风险应对措施 扫描过程中尽量避免使用含有拒绝服务类型的扫描方式 而主要采用人工检查的方法 来发现系统可能存在的拒绝服务漏洞 扫描方式的选取原则基于对各种扫描器的性能和风险的分析 对于采用工具扫描 主 要占用网络系统带宽资源 可以通过线程 并发数限制控制在 5 以内 和被评估系统的 小部分 5 的资源 在扫描过程中如果出现被评估系统没有响应的情况 应当立即停止扫描工作 与公司 配合人员一起分析情况 在确定原因后 并正确恢复系统 采取必要的预防措施 比如调 整扫描策略等 后 才可以继续进行 精选范本 供参考 1 5工作安排工作安排 根据公司的安全服务项目要求 联想每 6 个月为公司提供一次安全评估服务 旨在发 现在系统运行的过程中是否有新的风险出现 确定如何修补的方案 本项服务采用本地服 务方式 公司的系统管理员可以采用已有的漏洞评估工具进行定期评估 然后收集评估信息作 为记录 联想的评估顾问会在每 6 个月进行一次整体评估 然后对照日常记录 并结合上 一次系统评估加固的结果对服务器进行周期性安全检查和安全性提高 有紧急需求时联想可随时安排到现扬针对网络信息系统整体或部分的进行评估 1 6服务周期服务周期 服务周期 每年 2 次 评估时间 每次 1 2 周 不超过 1 个月 2 安全加固安全加固 2 1安全加固内容安全加固内容 联想为公司提供的安全加固根据安全评估的结果 对公司主机 网络 应用系统进行 安全加固 提交主机加固报告 网络加固报告和应用系统加固报告 2 2安全加固流程安全加固流程 精选范本 供参考 系统加固方案 风险规避方案 提交实施申请方案 公司确认 修改方案 实施加固 新加固方案 系统加固 1同期记录现场培训 二次评估确认 加固报告 启用风险规避方案 恢复 加固异常 继续加固 放弃加固 一切正常 安全加固流程图 系统安全加固的基本流程如下图所示 上图中 系统加固 的主要内容如下图所示 具体针对公司的系统加固内容在下面的内容进行讨论 系统加固 精选范本 供参考 安装安全补丁 安全配置 安全机制 文件系统 用户管理 网络及服务 其它配置文件 加密通信 数字签名 日志 备份 访问控制 安全设备策略定制 资料文档 现状记录及备份 2 3安全加固步骤安全加固步骤 准备工作准备工作 仔细分析评估结果 确认加固方案 准备加固工具准备加固工具 操作时要边记录边操作 尽量防止可能出现的误操作 收集系统信息收集系统信息 加固之前收集所有的系统信息和用户服务需求 收集所有应用和服务软件信息 做好 加固前预备工作 做好备份工作做好备份工作 系统加固之前 先对系统做完全备份 加固过程可能存在任何不可遇见的风险 当加 固失败时 可以恢复到加固前状态 加固系统加固系统 按照系统加固核对表 逐项按顺序执行操作 复查配置复查配置 对加固后的系统 全部复查一次所作加固内容 确保正确无误 应急恢复应急恢复 当出现不可预料的后果时 首先使用备份恢复系统提供服务 同时及时解决问题 精选范本 供参考 2 4安全加固风险规避措施安全加固风险规避措施 为保证客户业务系统的正常运行 加固过程中对客户业务系统造成的异常情况降到最 低点 应对加固对象运行的操作系统和应用系统进行调研 制定合理的 复合系统特性的 加固方案 并且加固方案 内容和步骤详见系统加固报告文档 应通过可行性论证并得到 具体的验证 实施严格按照加固方案所确定内容和步骤进行 确保每一个操作步骤都对客 户在线系统没有损害 另外为了防止在加固过程中出现异常情况 防止加固对系统造成损害 保证业务系统 在诸如此类的灾难发生后能及时的恢复与运转 确保客户业务系统的正常运行或异常情况 的发生降到最低点 建议客户采用以下几点规避措施 模拟环境模拟环境 用户所提供的模拟环境 可以对加固方案进行验证 证明此次加固方案对客户在线业 务系统是没有损害 模拟环境要求系统环境 操作系统 数据库系统 与在线系统完全一 样 应用系统也同在线系统版本相同 数据可以是最近一次的全备份 系统备份系统备份 全备份 用一盘磁带对整个系统进行完全备份 包括系统和数据 这种备份方式的好 处就是很直观 容易被人理解 而且当发生数据丢失时 只要用一盘磁带 即灾难发生前 的备份磁带 就可以恢复丢失的数据 不足之处 如果需要备份的数据量相当大 备份所 需时间较长 增量备份 就是每次备份的数据只是相对于上一次备份后新增加的和修改过的数据 这种备份的优点很明显 没有重复的备份数据 即节省了磁带空间 又缩短了备份的时间 但它的缺点在于当发生灾难时 恢复数据比较麻烦 并且这种备份的可靠性也最差 差分备份 每次备份的数据是相对于上一次全备份之后增加的和修改过的数据 差分 备份在避免了另外两种策略缺陷的同时 又具有了它们的所有优点 文件系统备份 对主机系统而言 要进行文件系统的备份 客户应根据具体需求对此 次加固过程中可能所产生的不稳定情况制定良好的备份策略 从而确保业务系统的正常稳 定运行 无论采用何种备份方式 系统备份的数据已进行了有效验证和妥善保管 冗于备份冗于备份 系统的所有模块均可以进行冗余分布式配置 每个功能模块均可安装在单独的服务器上 安装相同模块的服务器之间互为备份 多个模块之间相互协作 发挥整体性能 多模块分离保证了系统不会因为任一单一模块的问题而出现全局故障 精选范本 供参考 恢复恢复 恢复总是与一定类型的失效相对应的 在系统加固过程中如果出现被加固系统没有响 应的情况 安全顾问立即停止加固工作 与客户配合工作人员一起分析情况 在确定原因 后 由客户或客户系统提供商对系统进行正确恢复 按照以下的步骤进行恢复 记录系统故障现象和信息 以备分析 根据用户所采用的备份方式进行系统恢复 保证系统最短时间内恢复运行 恢复完毕后 建议用户进行重新备份并查找系统故障原因并记录 如果遇到无法解决问题 应由双方项目组工作人员共同协商解决 根据恢复类型和环境的不同 恢复所需的时间也各不相同 2 5工作安排工作安排 根据公司的安全服务项目要求 联想每 6 个月为公司提供一次安全加固服务 旨在针 对评估中发现的风险 确定如何修补的方案 联想于每次安全评估一周内进行安全加固服 务 本项服务采用本地服务方式 有紧急需求时联想可随时安排到现扬针对网络信息系统整体或部分的进行评估 2 6服务周期服务周期 服务周期 每年 2 次 在评估工作完成后 1 周内开始 评估时间 每次 1 周左右 不超过 2 周 3 紧急响应服务紧急响应服务 3 1服务内容服务内容 紧急事件响应 是当安全威胁事件发生后迅速采取的措施和行动 其目的是最快速恢 复系统的保密性 完整性和可用性 阻止和降低安全威胁事件带来的严重性影响 紧急事件主要包括 病毒和蠕虫事件 黑客入侵事件 误操作或设备故障事件 但通常在事件爆发的初始很难界定具体是什么 所以 通常又通过安全威胁事件的影 精选范本 供参考 响程度来分类 单点损害 只造成独立个体的不可用 安全威胁事件影响弱 局部损害 造成某一系统或一个局部网络不可使用 安全威胁事件影响较高 整体损害 造成整个网络系统的不可使用 安全威胁事件影响高 当入侵或者破坏发生时 对应的处理方法主要的原则是首先保护或恢复计算机 网络 服务的正常工作 然后再对入侵者进行追查 因此对于客户紧急事件响应服务主要包括准 备 识别事件 判定安全事件类型 抑制 缩小事件的影响范围 解决问题 恢复以及 后续跟踪 准备工作 准备工作 建立客户事件档案 与客户就故障级别进行定义 准备安全事件紧急响应服务相关资源 为一个突发事件的处理取得管理方面支持 组建事件处理队伍 1 10 人 提供易实现的初步报告 制定一个紧急后备方案 随时与管理员保持联系 识别事件识别事件 在指定时间内指派安全服务小组去负责此事件 事件抄送专家小组 初步评估 确定事件来源 注意保护可追查的线索 诸如立即对日志 数据进行备份 应该保存在磁带上 或其它不联机存储设备 联系客户系统的相关服务商厂商 缩小事件的影响范围缩小事件的影响范围 确定系统继续运行的风险如何 决定是否关闭系统及其它措施 客户相关工作人员与本公司相关工作人员保持联系 协商 根据需求制定相应的应急措施 解决问题解决问题 事件的起因分析 事后取证追查 后门检查 漏洞分析 提供解决方案 精选范本 供参考 结果提交专家小组审核 后续工作后续工作 检查是不是所有的服务都已经恢复 攻击者所利用的漏洞是否已经解决 其发生的原因是否已经处理 保险措施 法律声明 手续是否已经归档 应急响应步骤是否需要修改 生成紧急响应报告 拟定一份事件记录和跟踪报告 事件合并 录入专家信息知识库 3 2服务流程服务流程 联想安全事件紧急响应的基本流程如下 联想安全服务客户服务中心提供 7 24 小时的远程紧急紧急响应服务和本地现场紧急响 应服务 公司可以根据网络管理员或系统管理员的初步判断认为和安全事件相关 通过电 话或其他通讯手段咨询联想信息安全应急响应服务人员 服务人员根据客户信息提供远程 应急响应支持服务 在客户和联想信息安全服务人员同时确认需要现场紧急响应服务 联 想在约定时间内派出现场紧急响应人员 解决问题 每次紧急响应后提交 紧急响应事件分析报告 3 3服务方式服务方式 联想信息安全紧急响应服务方式分为远程紧急响应和现场紧急响应 远程紧急响应安 全服务方式可以分为以下几种 7 24 小时电话支持服务 精选范本 供参考 传真支持服务 E MAIL 支持服务 其他 远程紧急响应在响应请求发出 1 小时内会指派专业技术人员处理 并同时承诺 无论 能否解决问题每天均返回处理 应急响应事件跟踪简报 直到本次响应服务被客户确认关 闭 本地紧急响在响应请求发出后 指派专业技术人员到达应急响应现场 西藏分公司也 应在 24 小时内 协助公司系统运维人员处理应急响应事件 直至本次响应服务被客户人 员关闭 并提交 紧急响应事件分析报告 紧急响应事件分析报告 内容包括 事故原因分析 已造成的影响 处理办法 处 理结果 预防和改进建议 4 安全通告服务安全通告服务 4 1服务内容服务内容 联想具有一批专业的安全服务队伍 非常注重对最新安全技术及安全信息的发现和追 踪 并通过服务的平台与客户及时交流 帮助客户保持领先的安全理念和技术 联想会为 公司提供定期的安全信息通告服务 安全信息中会包括最新的安全公告 病毒信息 漏洞 信息等内容 建议公司在内部网站设置安全信息发布内容 及时为公司局域网内部的工作人员提供 安全信息和安全工具 联想会协助公司人员 为这一网