安全日常运维管理v3.ppt

安全日常运维管理 中国移动网络与信息安全系列培训教材 12 课程内容 介绍安全日常运维的帐号口令权限 规则 管理等知识介绍安全预警防范 安全事件防护等知识讲解服务与端口 安全补丁的管理流程和升级等知识讲解终端安全管理 数据备份 恢复的过程和步骤介绍移动存储介质的管理要求 技术手段管理介绍保障安全日常运维管理执行的有效措施 目录 第一章安全运维管理体系分析第二章帐户口令管理第三章安全预警第四章服务与端口第五章安全补丁第六章终端管理第七章数据备份第八章介质管理第九章保障措施 第一章安全运维管理体系分析 目录 1 1安全日常运维管理的必要性 why 1 2安全运维管理的技术支撑体系 1 3安全运维管理遵循的PDCA周期 1 4安全日常运维管理的目标 1 1为什么要进行安全日常运维管理 IT系统是否能够正常运行直接关系到业务或生产是否能够正常运行 但IT管理人员经常面临的问题是 网络变慢了 设备发生故障 应用系统运行效率很低 IT系统的任何故障如果没有及时得到妥善处理都将会导致很大的影响 甚至会造成可怕的经济损失 但是什么原因导致IT系统屡出问题 是产品 技术 还是缺乏有效的 系统化的安全运维管理 随着电信IT系统的发展 业务应用的持续增加 其IT基础设施的架构越来越复杂 单纯凭某个工具或某个人不可能有效地保护自己的整体网络安全 信息安全作为一个整体 需要把安全过程中的有关各层次的安全产品 分支机构 运营网络 管理维护制度等纳入一个紧密的统一安全管理平台 系统 中 才能有效地保障企业的网络和信息安全 IT环境的复杂性 使更多的安全威胁被揭示出来 很多企业尝试通过部署 最佳 安全产品来保护自己 比如防病毒网关 防火墙 入侵防护系统 VPN 访问控制 身份认证等 在这种极度复杂的情况下 需要的是一个集成的解决方案 使得企业能够收集 关联和管理来自异类源的大量安全事件 实时监控和做出响应 需要的是能够轻松适应环境增长和变化的管理体系 需要的就是企业完整的安全管理平台解决方案 1 1为什么要进行安全日常运维管理 问题到底在哪里 管理层有点生气 安全管理 技术人员如何管理复杂的网络环境 业务系统 技术人员天天忙于安全救火 我们已经尽力了 是管理有问题吗 领导 怎么还不能保证IT系统的正常运行 IT部门怎么管理的 明天给我一份详细的设备列表和运维报告 制定一份合理的安全运维管理制度 基于前述及多方面的原因 决定了我们面对IT系统不仅需要安全产品和技术 也需加强安全运行 维护 管理 更需深入了解 熟悉掌握安全运维管理的相关知识 1 1为什么要进行安全日常运维管理 结论 所谓安全日常运维管理 是指单位IT部门采用相关的方法 手段 技术 制度 流程和文档等 对IT运行环境 如硬软件环境 网络环境等 IT业务系统和IT运维人员进行的综合管理 1 1什么是安全日常运维管理 狭义的定义 安全日常运维管理支撑平台架构图 流程管理 技术管理 安全运维管理框架 安全运维管理框架 设备管理 安全管理机构设置 安全管理制度 人员安全管理 应用服务管理 人员配置岗位培训 数据存储容灾管理 安全事件处置和应急预案 安全评估和持续改进 监督检查 业务管理 省公司实现安全监控和基础维护 在总部建立集中的安全技术支撑队伍 围绕 积极预防 及时发现 积极响应 确保恢复 四个环节 形成分层 闭环的维护体系 锻造一支专业的网络与信息安全队伍 安全监控和基础维护 安全技术支撑 发现D 恢复R 预防P 响应R 策略 运维 安全运行维护体系 案例素材 制定网络和系统层面的整体安全技术保护方案和技术规范 逐步实现安全自评估 全面掌握安全风险 提供重大安全预警信息发布和解决方案 协调响应网络层面的各类重大安全事件 对各类安全事件有关数据进行综合分析 形成安全运行分析报告 对生产层面的安全策略进行集中控制 跟踪研究各种安全问题和技术 收集各种基础信息资源 安全监控和基础维护 安全技术支撑 总部集中的安全技术支撑体系 进行7 24小时的日常安全安全事件监测 负责受理安全投诉 对安全事件进行收集汇总 进行事件预处理 系统日常口令维护 加载安全补丁和梳理服务端口等实施各类安全设备和配套管理设备的日常维护 实施一般安全预警和安全应急事件的处理 落实系统自身安全应急预案 并参加安全应急演练 安全监控和基础维护 安全技术支撑 省公司各专业安全监控和基础维护 安全目标遵循的PDCA执行过程 PLAN 安全目标要求 安全现状安全计划 建设 维护 Do 安全项目建设安全维护作业1 更新资产补丁 拓扑 服务等状态2 安全事件通报 3 安全加固4 更新安全现状和安全目标要求差距5 其他 Check 日常安全检查周期性安全评估1 检查安全目标要求的完成状态2 评估安全状况 资产状态 弱点状态 3 安全现状是否符合可控安全环境 Action 调整安全目标要求规划安全项目绩效考核各部门 安全管理员 安全运维管理需遵循PDCA执行过程 在相关安全产品 技术支撑体系下实现 安全工作的目标 安全工作的目的就是为了在安全法律 法规 政策的支持与指导下 通过采用合适的安全技术与安全管理措施 完成下述网络与信息安全的保障任务 就是保障IT系统的正常运行 能做到 安全运维管理目标 实时告知 有效处理 预知故障 预警 响应 联动 恢复 安全运维 有序管理 即在故障发生之前发现异常情况 合理化判断是否有故障迹像 即在第一时间将故障情况通知相关的管理人员 即在规定的时间内处理故障 遵循标准规范 操作流程等 逐步实现运维电子化 全面流程化 贯穿于下述4个过程中 高效管理能力全面运维能力安全保护能力隐患发现能力应急响应能力快速恢复能力 日常安全运维管理的目标 可总结为六句话 第二章帐号口令管理 目录 SECURITYtechnology 帐号口令有多么重要 为什么有这么多人钟情于窃取帐号口令 攻击者窃取帐号有着非法的目的 意图 恶意毁坏操作等行为 他们或以出名 或以炫耀技术为目的 而目前 窃取帐号的行为都与窃取商业机密和机密信息 数据 经济利益相关 大都有着利益化的倾向犯罪行为 看我怎么窃取你的口令 休想 有本事来试试 帐户安全 帐户被盗类型 2 1职责定义 负责审批 登记备案用户权限 并进行定期审计 负责发起和审核员工帐号的创建 变更和撤消 业务系统或者网络设备的负责部门负责业务系统和网络设备的维护工作 帐号的具体生成 变更和删除的操作 2 2口令 帐号和权限管理 从IT管理角度 系统管理员 超级用户 普通帐号 第三方用户帐号 安全审计员帐号 2 3帐号管理 防火墙的3个账号 帐号管理基本要求 基本要求 保障等级一需要遵守的规范 保障等级二需要遵守的规范 保障等级三需要遵守的规范 保障等级四需要遵守的规范 保障等级五需要遵守的规范 中国移动帐号口令管理办法 管理流程 创建用户帐号 变更用户 撤销用户 定期复审 帐号管理流程 授权 帐号创建 权限变更 冻结 撤消 帐号管理贯穿的五个过程 2 4口令管理 口令设置原则 1 口令必须具有足够的长度和复杂度 使口令难于被猜测口令在一定时间或次数内不能循环使用不同帐号的口令应当不同 并且没有直接联系 以保证不可由一个帐号的口令推知其它帐号的口令同一帐号前后两个口令之间的相同部分应当尽量减少 减低由前一个口令分析出后一个口令的机会口令不应当取过于简单的字符串 如电话号码 使用者的姓名 宠物 生日或其倒序 6位字符都相同 6位连续字符等易于猜测的信息开户时设定的初始口令必须是随机产生的口令 而不能是相同或者有规律的口令 口令设置原则 2 所有系统管理员级别的口令 例如root enable NTadministrator DBA等 在没有使用增强口令的情况下 必需按照较短周期进行更改 例如每三个月更换一次 应该注意关键性帐号信息的定期行备份 用户所使用的任何具备系统超级用户权限 包括并不限于系统管理员帐号和有sodu权限帐号 帐号口令必需和这个用户其他帐号的口令均不相同 如果有双要素认证机制 则以上的要求和下面关于强口令选择的要求可以不考虑 口令不能在电子邮件或者其他电子方式下以明文方式传输 当使用SNMP时 communicationstring不允许使用缺省的Public Private和system等 并且该communicationstring不应该和系统的其他口令相同 应该尽量使用SNMPv2以上的版本 口令设置最低标准 1 如果技术上支持 口令至少要有6位长口令必须是字母和非字母的组合口令第1位和最后1位至少应包含1个非数字字符与前次口令比较 在任何位置不能有超过3个字符连续相同口令不能包含超过2个连续相同的字符用户名不能作为口令一部分与前4次相同的口令不能重复使用口令不能被共享除非每个口令的行为都能被区分对于级别要求很高的系统 普通用户口令要求8位以上 口令设置最低标准 2 管理员 超级用户帐号最近20个口令不可重复 口令的长度不可小于7位 口令中必须包含大写字母 小写字母和数字中的两类 口令中同一个符号不得多于2次 且不得有1个以上的字符出现两次 前后2个口令中相同位置的字符相同的不得多于2个 口令不得有明显的意义修改帐号的使用人应当定期修改帐号口令 修改口令的间隔应小于本标准的相关规定 对于本标准没有规定的用户 其间隔应当小于6个月不同用户的修改口令的最大间隔为 1 普通帐号应当小于6个月2 管理员帐号和超级管理员帐号应当小于3个月匿名用户帐号可以不修改口令 2 5权限管理 概述 帐号和口令管理包括基于帐号的操作或访问控制权限的管理 帐号是作为访问的主体 而基于帐号进行操作的目标就是访问的客体 通常这个客体被当成为资源 对资源的访问控制权限的设定依不同的系统而不同 从移动帐号管理的角度 可以进行基于角色的访问控制权限的设定 即对资源的访问控制权限是以角色或组为单位进行授予 根据工作需要确定最小权限 对帐号的授权 应以其能进行系统管理 操作的最小权限进行授权 比如这个帐号作为系统帐号只能进行数据备份的操作 那就只授权其可以进行数据备份操作的命令 别的诸如进行系统网络状态监控的命令则不授权其可以进行 对于授权 应该支持一定的授权粒度控制 从而控制用户的访问对象和访问行为 保证用户的最小授权 建立基于角色的权限体系 案例素材 2 6帐号口令审计管理 概述 帐号口令管理的执行情况 在很大程度上取决于帐号口令审查的监督力度 在公司内部推行帐号口令管理制度的很大一部分工作需要通过不断的监督 审查再配合相关的奖惩规定来保证 因此完善的帐号口令审查制度对于整个帐号口令管理至关重要 本章内容主要从帐号口令审查宏观方面提出一些要求和建议 各网络和业务系统可以根据各自的业务和风险情况制定详细的操作细则 帐号审查通用要求 1 对于保障等级一 二类帐号的普通用户 可以根据实际情况决定是否进行定期审查对于保障等级一 二类帐号的超级用户 定期审查的时间间隔不超过六个月对于保障等级三 四类帐号的普通用户 定期审查的时间间隔不超过三个月对于保障等级三 四类帐号的超级用户 定期审查的时间间隔不超过一个月对于保障等级五类帐号的所有用户 定期查的时间间隔不超过一个月任何变化发生后应进行审查 如 发生非法入侵 人员变动等 对于审查过程中出现的多余 闲置或非法的帐户 应及时予以冻结或删除对核查中发现的问题 应督促相关人员采取必要措施予以纠正通用原则对于已经实施集中认证系统 审计的主要工作是对于认证和授权的日志进行检查 审核是否有非法登陆事件 是否有越权使用的行为等 帐号审查通用要求 2 对于操作系统级的帐号口令审计分为两种 第一种可以设置帐号登陆和权限使用事件的追踪 这种帐号口令的审计也是对系统日志和防火墙等访问控制设备日志的审计 对于不能实现帐号登录和权限追踪的系统 需要人工进行审计 应该根据业务系统的属性制定详细的审计checklist 由专门的安全组织进行定期或者不定期的帐号随机抽查审计对于应用系统的帐号审计工作也是参照操作系统的分类进行处理对于网络设备的帐号审计工作 由于大部分的设备帐号都是没有日志记录的 所以主要审计方式是人工审计 由专门的信息安全组织根据设备的风险等级规定审计的频度和审计的checklist 审计checklist的内容主要依据审计对象的帐号口令管理规定制作 审计的关键点是帐号口令的复杂度 权限 更改的要求等等在制作审计checklist设计的时候 需要区别不同业务系统不同级别帐号的差异 对于关键业务系统和关键帐号的审计频度和审计的内容要求更加严格审计的结果应该和奖惩规定挂钩 对于多次审计不合格或者优秀的员工和分公司要按照奖惩规定进行相应的奖惩专门的信息安全部门或者组织应该对审计的结果定期进行公布 力争将审计的威慑力逐步提高 让帐号使用者提高安全使用帐号口令的意识 帐号审查通用要求 3 帐号口令审计流程设计建议 帐号口令的审计流程以业务系统的风险等级做为差异定制 针对不同的风险等级制定不同的审计checklist 帐号口令的审计可以结合现有的IT技术 尽可能通过日志文件等方式进行审计 但是有部分系统没法提供电子审计对象 对于高风险等级的系统 必须制定替代的审计方法 包括手工的方法 第三章 安全预警 目录 4 3 1什么是安全预警 3 2预警和预防机制 3 3应急响应 3 4网络故障应急处理流程 安全预警的必要性 所有的安全威胁都有可能以攻击 入侵 渗透 影响 控制和破坏网络信息系统作为主要手段 因此 对来自网上的破坏活动的监控 预警与审计 是防范的先决条件 是构筑信息安全环境重要而必不可少的环节网络与信息基础设施的重要性 决定了入侵检测 监控 安全预警的必要性 当我们需像雷达来保卫领空一样地需要预警来保卫网络与信息系统时 那么我们就会认为雷达和安全预警同样重要 什么是安全预警 就是主动的发现网络与信息安全的潜在风险 事件 告警信息等 改被动响应处理故障为提前发现 预警 预知 能避免一些安全问题的发生 或通过预警及时解决可能出现的问题安全预警需与安全监控 入侵检测 应急响应各个阶段相结合 实现网络与信息融合的安全保障 安全预警只是主动性安全风险管理的一部分 安全预警的几个重要因素 选择和建立一套安全预警系统的重要因素 一个是及时性 警报不管是对安全漏洞 安全威胁 还是是恶意代码 信息发布要及时 第二是准确性 现在安全报警的来源很多 但有些信息的来源未必可靠 所以准确性不是很高 准确性不高的安全预警信息可能会起到与期望的效果相反的结果 第三是针对性 现在全球每天所发送的安全威胁信息是大量的 这些信息如果不经过分析 就不能被用来防御所面临的威胁 因此其可利用价值是很低的 预警和预防机制 网络安全事件分级信息监测与报告预警预防行动预警支持系统 统一预警 在综合风险评估的基础上 根据资产 域风险的状况 对资产评级 并将最后的量化风险归结到5个风险级别 红色 表示安全域处于高风险状态 需要立即进行处理 橙色 表示安全域处于较高风险状态 需要及时进行处理 黄色 表示安全域面临一定的风险 需要关注 蓝色 表示安全域处于较为安全的状态 绿色 表示资产几乎未受到任何威胁 处于安全状况 可不考虑 网络安全事件分级网络安全事件可根据危害和紧急程度分为 四级 一般 三级 预警 二级 报警 一级 紧急 四种 分别对应 蓝 黄 橙 红 四种颜色标记 预警和预防机制 信息监测与报告各公司应每天做好省网骨干路由器和核心交换机等设备的异常监控 包括访问日志和流量信息 并注意保存三个月 日志管理与关联性分析 建立专用的日志服务器将日常运维设施的日志进行综合关联性分析结合安全事件特征 从日志里判断出各种潜在要发生的安全事件 及时进行预防 信息监测与报告 信息上报各省公司每月9日以前向集团公司上报省网月度安全事件处理报告 各省公司每年12月底前向集团公司上报省网年度网络安全分析报告 预警预防行动发生或可能发生三级以上互联网网络安全事件情况时 各省公司接收到集团公司发来的有关安全事件预警信息和处理方法及时通知有关用户 应急响应 应急处理流程 三级 预警安全事件的应急响应二级 报警安全事件的应急响应一级 紧急安全事件的应急响应 信息共享 信息上报时间要求信息共享的方式信息共享的保障制度 应急响应 更深层次的内容 请参见广西移动兄弟公司编写的 安全应急响应 课程 信息共享 信息上报时间要求在发生或可能发生三级 预警安全事件的情况下 应在24小时内向集团公司上报相关信息 二级 报警安全事件情况应在8小时内上报 一级 紧急安全事件情况应在1小时内上报 信息共享 信息共享的方式 1 三级 预警安全事件使用EOMS或电子邮件通报 上报 并使用电话确认对方收到 2 二级以上安全事件必须先通过电话通报 上报 同时通过EOMS或电子邮件通报 上报 并使用电话确认对方收到 3 根据情况及时整理补充正式的公文通报 上报各省公司对其相关用户的通报方式自定 总结及评估 安全事件应急处理结束后 各省公司及时对本次安全事件发生的原因 事件规模进行调查 估算事件损失后果 对应急处理手段效果和后续风险进行评估 总结应急处理的经验教训并提出改进建议 于应急处置结束后一个月内向集团公司上报相关的总结评估报告 第四章服务和端口 目录 4 1什么是服务 端口 4 2网络服务控制 什么是端口 端口是计算机与外部通信的途径 没有它 计算机便又聋又哑 在网络技术中 端口 Port 有多种意思 指集线器 交换机 路由器的端口指的是连接其他网络设备的接口 如RJ 45端口 Serial端口等 我们一般所指的端口不是指物理意义上的端口 而是特指TCP IP协议中的端口 是逻辑意义上的端口 那么TCP IP协议中的端口指的是什么 如果把IP地址比作一间房子 端口就是出入这间房子的门 真正的房子只有几个门 但是一个IP地址的端口可以有65536个之多 端口是通过端口号来标记的 端口号只有整数 范围是从0到65535 案例素材 端口的分类 从端口的分配来看 端口被分为固定端口和动态端口两大类 一些教程还将极少被用到的高端口划分为第三类 私有端口 固定端口 0 1023 使用集中式管理机制 即服从一个管理机构对端口的指派 这个机构负责发布这些指派 由于这些端口紧绑于一些服务 所以我们会经常扫描这些端口来判断对方是否开启了这些服务 如TCP的21 ftp 80 http 139 netbios UDP的7 echo 69 tftp 等等一些大家熟知的端口 动态端口 1024 49151 这些端口并不被固定的捆绑于某一服务 操作系统将这些端口动态的分配给各个进程 同一进程两次分配有可能分配到不同的端口 不过一些应用程序并不愿意使用操作系统分配的动态端口 他们有其自己的 商标性 端口 如oicq客户端的4000端口 木马冰河的7626端口等都是固定而出名的 端口的分类 1 按照协议类型分类 端口被分为TCP端口和UDP端口两类 虽然他们都用正整数标识 但这并不会引起歧义 比如TCP的80端口和UDP的80端口 因为数据报在标明端口的同时 还将标明端口的类型 端口都有确切的定义 对应着相应的服务 每一个打开的端口 都代表一个系统服务 例如 80端口就代表Web服务 21对应着FTP 25对应着SMTP 110对应着POP3等 动态端口 从1024到65535 当你需要与别人通信时 Windows会从1024起 在本机上分配一个动态端口 如果1024端口未关闭 再需要端口时就会分配1025端口供你使用 依此类推 但是有个别的系统服务会绑定在1024到49151的端口上 例如3389端口 远程终端服务 从49152到65535这一段端口 通常没有捆绑系统服务 允许Windows动态分配给你使用 什么是服务 系统服务 操作系统包括许多组件 系统服务就是这些组件之一 特定计算机所需的系统服务或者由操作系统在启动期间自动启动 或者根据需要在典型操作期间启动 例如 在运行WindowsServer2003EnterpriseEdition的计算机上 一些可用的系统服务包括服务器服务 后台打印程序服务以及万维网发布服务 每个系统服务都有一个友好的服务名称和一个服务名称 服务也指 操作系统提供的某项功能 或打开 关闭的进程服务 什么是服务 TCP IP协议规定 电脑有256 256 65536 个端口 这些端口可分为TCP端口和UDP端口两种 端口提供的服务列表 参见下述网址 列表1 常用的端口服务列表 制定并实施有效的安全控制措施 保护网络与信息系统的远程诊断 操作 维护 管理端口 服务进程等 防止未经授权或非法的访问 并记录访问日志 安全控制措施 网络服务的安全性 公司应只允许提供必需的 经过批准的 可确保安全 的网络服务 所有网络服务都应有清晰的安全属性描述 并明确对应的值 例如 WEB中的HTTP协议是否采用SSL加密 公司必须保留对网络服务的访问日志 并根据信息的密级确定日志的具体内容 例如 针对低密级信息 可只保留失败访问记录 而针对高密级信息时 必须同时保留失败访问记录和成功访问记录 允许外部用户到Web服务器的向内连接请求 允许Web服务器到外部用户的向外答复 允许外部SMTP服务器向内部邮件服务器的向内连接请求 允许内部邮件服务器向外部SMTP服务器的向外答复 允许内部邮件服务器向外DNS查询 允许到内部邮件服务器的向内的DNS答复 允许内部主机的向外TCP连接 允许对请求主机的向内TCP答复 路由器对内部网重要服务器进行访问限制 WINDOWS服务 卸载不需要的服务开始 设置 控制面板 添加 删除程序 Windows组件 卸载不需要的服务避免未知漏洞给主机带来的风险 WINDOWS服务 第五章安全补丁 目录 5 1安全补丁概述 5 2企业补丁管理的流程与架构 5 3补丁安装和操作 为什么需要安全补丁 信息系统的基础构成是PC 网络 业务系统等 随着病毒和漏洞的结合 CodeRed Nimda SQLSlammer Blaster蠕虫 僵尸 漏洞等对网络甚至经济都造成了严重的影响 这些漏洞造成的危害 是利用了操作系统或者应用程序 设备的漏洞 而消除漏洞的常规办法就是安装补丁 解决好补丁问题相当于给企业网络安全上了一道防火墙 但在一个大中型企业中 PC机数目众多 应用软件复杂 补丁的安装不是一件容易的事情 如何有效安装补丁 管理好补丁也是企业IT运维管理的重要内容之一 安全补丁的现状分析 现状分析 要在一个企业中做好补丁管理工作 首先需要分析信息资产 IT系统环境 IT网络环境和信息资产重要等级 以便下一步有针对性地跟踪企业所需要的补丁和要采取的措施 企业补丁管理的流程与架构 补丁管理流程 客户端的软件更新 服务器的软件更新 网络设备ios更新 企业补丁管理的流程与架构 安全补丁分发步骤 安全补丁分发管理 补丁导入 导出管理 补丁库分类管理 补丁分发策略管理 补丁检测控制管理 补丁分发流量均衡 补丁自动闭环测试 终端补丁查询管理 文件分发控制管理 补丁加固流程 补丁安装和操作 检测内容 使用WindowsUpdate在线更新工具 点击 开始 WindowsUpdate 直接连接到微软的WindowsUpdate网站 对于没有与Internet相连的终端 可以安装最新版本含有漏洞检测工具的软件 如安全卫士360等 在命令行方式转到安装目录下 输入hfnetchk exe 回车即可 建议操作 根据使用 检测内容 中提到的补丁测试方法 对系统进行全面的测试 然后根据实际结果确定更新系统的哪些补丁程序 下载完毕后 双击补丁程序 按照安装过程给出的提示 一步一步进行 安装结束后 重新启动系统即可 操作结果 Windows 网络设备的补丁是系统安全中重要组成部分 通常情况下安装补丁不会对系统造成任何不良的影响 但存在补丁与应用系统冲突的可能 造成业务中断 必须做好系统备份和打补丁前的测试工作 另外服务器安装补丁最好选择在业务不繁忙时间段进行 注意 在安装系统补丁的过程中不能够使系统断电或非正常安装完毕而重新启动系统 这样可能会造成系统不能正常启动的严重后果 第六章终端管理 目录 6 1终端管理面临的问题 6 2终端安全管理的解决方案 6 3终端安全管理的发展趋势 终端带来的网络安全和管理问题 网络病毒传播问题网络隔离度保障问题网络客户端补丁自动分发和管理问题客户端应用软件管理问题客户端移动存储设备入网监控问题客户端涉密信息审计问题客户端安全策略统一监控管理问题网管远程屏幕监视和远程协助问题非正常客户端阻断入网问题客户端硬件资源管理问题 终端管理的矛盾 客户端 安全 管理作为制约网络安全的瓶颈 消耗了绝大部分网管人员的精力 而随着网络的不断扩大和应用的不断拓展 客户端管理的矛盾还将会日益突出 终端安全管理的内容有哪些 终端安全管理 桌面安全模块 桌面运维管理模块 桌面补丁分发管理模块 终端安全管理的三个主要模块 桌面安全模块 桌面安全模块 终端非法接入管理 非法外联监控模块 软件黑白名单管理 终端统一安全策略 终端杀毒软件管理 终端统一防火墙 终端密码策略管理 终端注册表审核管理 终端权限变化管理 终端安全审计监控管理 终端可疑通讯监控 USB等移动设备接入监控 桌面运维管理模块 桌面运维管理模块 设备资产管理 终端软件资源管理 终端流量统计管理 服务器运维管理 终端消息通知管理 IP地址绑定管理 终端脚本控制管理 网络IP资源管理 终端桌面控制管理 远程呼叫帮助体系 补丁分发管理模块 桌面补丁分发管理模块 补丁导入 导出管理 补丁库分类管理 补丁分发策略管理 补丁检测控制管理 补丁分发流量均衡 补丁自动闭环测试 终端补丁查询管理 文件分发控制管理 终端管理技术的发展趋势 1 目前 内网安全的需求有两大趋势 一是终端的合规性管理 即终端安全策略 文件策略和系统补丁的统一管理 二是内网的业务行为审计 即从传统的安全审计或网络审计 向对业务行为审计的发展 这两个方面都非常重要 内网安全未来的趋势是SCM SecurityComplianceManagement 安全合规性管理 从被动响应到主动合规 从日志协议到业务行为审计 从单一系统到异构平台 从各自为政到整体运维是SCM的四大特点 精细化的内网管理可以使现有的内网安全达到真正的 可信 1 从被动响应到主动合规 通过规范终端行为 避免未知行为造成的损害 使IT管理部门将精力放在策略的制定和维护上 避免被动响应造成人力 物力的浪费和服务质量的下降 2 从日志协议审计到业务行为审计 传统的审计概念主要用于事后分析 而没有办法对业务行为的内容进行控制 SCM审计要求在合规行为下实现对业务内容的控制 实现对业务行为的认证 控制和审计 3 对于内网来说 尽管Windows一统天下 但是随着业务的发展 Unix Linux等平台也越来越多地出现在企业的信息化中 这要求内网安全管理实现从单一系统到异构平台的过渡 从而避免了由异构平台的不可管理引起的安全盲点的出现 终端管理技术的发展趋势 2 第七章数据备份 目录 7 1信息备份管理 7 2数据恢复 7 3备份合规性检查 信息备份管理程序 信息识别 内容 确定本部门 业务系统需要备份的电子数据 标准 识别重要的信息资产 或信息资产的子系统相关的数据 操作 收集需要备份的资产的相关信息 主要包括信息资产的名称 重要性 资产的保护级别等属性 填写 信息备份识别清单 需要检查的信息资产可能包括 生产机上运行的应用系统软件源代码 数据库结构 表结构 存储过程 视图 索引 函数等 业务运作数据 系统配置参数 日志文件 关键点 具体是否需要备份 还要看信息是否被损坏的威胁程度 特情处理 无法备份的信息 尽量多使用其复制件 而保存原件 制定备份计划 1 内容 填写 信息备份计划 标准 计划符合信息本身的特点 完整填写 信息备份计划 中的每一项 关键点 选择合适的备份方式与周期 特情处理 责任人没有足够的工具或条件可要求相关的工程师协助 制定备份计划 2 操作 根据资产识别的 信息备份识别清单 制定 信息备份计划 备份计划具体包括 确定备份周期 根据信息更新速度 易损坏程度 及备份媒体的有效期 确定备份周期 另外 在相关业务每次重大行动之前 以及每年年底的最后一天 也需要进行备份 备份介质类型 确定备份使用的媒体 一般是电子信息光碟 软盘 硬盘或磁带库 要同时考虑成本与可靠性 备份方式 一般要采用复制 双系统同步 转储 压缩复制等 备份工具 备份使用的工具 如光盘刻录机 复印机 软驱 压缩软件 磁带机 选择工具时 要确定在信息失效之前 对应的恢复工具可用 份数 确定备份的数量 一般信息备份一份即可 对于特别重要的信息需要备份多份 存放位置 备份信息一般应与原始信息尽量分开存放 要根据信息保密级别有相应的保密措施 责任人 确定备份的责任人 备份计划应提交给相关部门负责人 经部门负责人确认并批准后予以实施 实施备份计划 内容 执行 信息备份计划 的计划 标准 计划规定的周期与备份方式 操作 对于分散的信息整理 归类 执行备份程序 检查备份数据的可用性 清理过程中的临时数据 填写完整的 信息备份记录 关键点 信息备份要保证完整性 同时保证信息在备份过程中的保密 特情处理 如果是绝密信息 可通过特殊方式来进行处理 备份存放 内容 将备份的媒体存放在安全位置 标准 存放位置应符合软件管理程序的规定 操作 备份完毕 备份操作员需向部门负责人或备份管理人员提交备份结果 包括 备份使用的媒体 备份过程中的相关文件 如 备份记录文件 备份恢复工具或软件 备份恢复指导书等 将备份媒体保存到 信息备份计划 中指定的位置 一般要按时间顺序存放 媒体的存储主要考虑以下几个方面 对业务影响重大的关键备份媒体要异地存储 以避免主要场地发生灾难时损坏备份媒体 比如可保存到银行保险柜中 一般的备份媒体或数据可保存在信息中心的防磁柜中 涉及公司秘密的备份信息或保密性十分重要的备份信息 备份应通过加密方法进行保护 分配专人 如设备管理员 对备份媒体进行管理 对备份媒体的访问进行控制 关键点 存储场地的物理环境等因素要符合备份媒体的存储条件 备份测试 内容 对备份的信息 定期抽样检查与测试 标准 每种媒体类型 一次抽检二个以上 操作 要定期测试备份媒体 以确保当需要应急使用时 可以依靠这些备份媒体来恢复数据 恢复程序应定期检查和测试 以确保有效 并能在合理的恢复时间内完成 关键点 本次抽检时 要选择与上次抽检不同的媒体 备份恢复 内容 在原始数据不可用时 用备份数据恢复原始数据 标准 恢复后的数据能正常实现原有功能 操作 当重要信息被篡改 破坏或丢失时 使用备份数据恢复信息 当存在多份备份时 应根据需要选择合适的备份 备份信息使用前 应检查备份信息的完整性和可用性 关键点 备份媒体使用完毕 应按规定安全返还到备份地点 特情处理 如果备份信息不可用 要有相应的处理计划 数据恢复 数据恢复程序 备份合规性检查 备份合规性检查 备份合规性检查 检查项应提供自动备份机制实现数据实时本地和异地备份 应提供恢复数据的功能 应提供重要网络设备 通信线路和服务器的硬件冗余 应提供重要业务系统的本地和异地系统级热备份 应提供自动机制在灾难发生时实现自动业务切换和恢复 备份合规性检查 检查方式访谈 检查 测试 检查对象系统管理员 网络管理员 安全员 数据库管理员 操作系统 网络设备 数据库管理系统 业务系统 业务系统设计 验收文档 备份合规性检查 检查实施可访谈网络管理员 询问信息系统中的网络设备是否提供自动备份机制对重要信息进行本地和异地备份功能 是否提供重要网络设备 通信线路和服务器的硬件冗余 是否提供自动机制在灾难发生时实现自动业务切换和恢复的功能 可访谈系统管理员 询问信息系统中的操作系统是否提供自动备份机制对重要信息进行本地和异地备份功能 是否提供自动机制在灾难发生时实现自动业务切换和恢复的功能 可访谈数据库管理员 询问信息系统中的数据库管理系统是否提供自动备份机制对重要信息进行本地和异地备份功能 是否提供重要业务系统的本地和异地系统级热备份 是否提供自动机制在灾难发生时实现自动业务切换和恢复的功能 备份合规性检查 检查实施应检查设计 验收文档 查看其是否有关于重要业务系统的本地和异地系统级热备份的描述 是否有关于在灾难发生时业务自动切换和恢复的功能的描述 应检查操作系统 网络设备 数据库管理系统 业务系统 查看其是否配备重要业务系统的本地和异地系统级热备份 配置是否正确 应检查重要网络设备 通信线路和服务器是否提供硬件冗余 应检查重要业务系统是否配备了本地系统级热备份的功能 是否配备自动机制在灾难发生时实现自动业务切换和恢复功能 应测试重要业务系统 验证其本地系统级热备份功能是否有效 在灾难发生时自动业务切换和恢复功能是否有效 数据备份 技术的发展趋势 IPSAN技术将来占据多半江山 目前的存储介质 解决方案 备份机制将会有很大的变化 老牌的EMC IBM HP DELL CISCO H3C厂商于2005年左右提供IPSAN产品 华为与SYMANTEC在成都成立合资公司华赛公司 专注安全存储解决方案 其核心产品为IPSAN产品 任正非亲任CEO 第八章存储备份介质管理 8 1移动存储介质面临的管理问题 8 2移动存储介质的管理目标 8 3移动存储介质的管理制度 目录 8 4移动存储介质管理系统的产品技术 移动存储介质面临的问题 以USB盘 移动硬盘为代表的无保护移动存储介质的出现 在极大的方便了数据交换 提高了数据存储便利性的同时也带来了极大的数据移动通道安全风险 面临问题如下 如何有效解决移动存储介质随意接入问题 如何有效解决移动存储介质丢失出现的信息泄密问题 如何有效解决移动存储介质使用跟踪和日志审计问题 如何有效解决移动存储介质分区管理提高使用率问题 如何有效解决指定设备读取指定移动存储介质问题 如何有效解决移动存储介质外带随意使用问题 如何有效解决病毒 恶意代码通过移动存储介质传播问题 如何有效解决移动存储介质中个人信息和企业信息混乱问题 移动存储介质的管理应该与时俱进 制定移动存储介质的管理制度 提高责任意识 明确规定移动存储介质的标识 技术手段 使用 借用 维修 报废 登记 责任界定 违规处分等各环节的程序和操作规范 做到具体责任落实到人 有据可查 有证可质 改进监督检查方式 以管理制度为基础 依靠产品技术强化移动介质的使用和管理 移动存储介质的管理要求 目标 主要应用电子标识技术对系统内USB存储介质统一标识管理 对接入系统的所有USB介质全程控制监管 实现USB移动存储介质管理的 五不 原则 进不来 禁用外来介质 出不去 内部介质外部禁用 防破坏 读不懂 数据加密 无权限不可读 改不了 内部介质信息不可篡改 走不脱 操作有记录 事后可审计 相对的解释 移动存储介质的管理制度 加强教育培训 增强责任意识建立规章制度 规范使用管理采取切实措施 加强移动存储介质的使用管理 提高计算机管理和运用水平改进监督检查方式管理制度对移动存储介质的标识 使用 借用 维修 报废 登记 责任界定 违规处分等应该做出明确的规定 涉密移动存储介质的管理 遵循 统一购置 统一标识 嵌入ID 统一备案 跟踪管理 的原则 严格控制发放范围 移动存储介质管制度参考 中国移动通信集团有限公司移动存储介质管理暂行办法 从总则 配发 使用 保存 维修销毁 罚则内容方面做了详细规定 移动存储介质管理系统 产品技术 系统管理构架 移动存储管理系统采用B S与C S相结合的管理构架 支持多级级联模式 服务端制订统一的策略 分发给客户端执行 具有USB标签制作工具 能够对移动存储介质进行保护和加密 对移动存储设备进行使用范围授权 访问控制等综合的管理 移动存储管理系统可以将整个移动存储介质划分成任意两部分容量的交换区和保护区 保护区需要通过密码认证才可以访问 系统以数据为中心 用户作为数据的使用者 主机作为数据的存储者 移动存储介质作为数据的迁移者 在系统范围内均赋予唯一的标识 三者进行相互认证 只有经认证和授权成功后 才保证合法的用户在合法的机器上访问合法存储介质上的数据 并形成详尽的日志供审计 移动存储介质管理系统 移动存储设备接入管理移动存储设备标签认证管理移动存储数据读写控制管理移动存储设备分区管理移动存储设备的加密管理指定设备读写指定移动存储设备的访问控制管理移动存储设备使用行为审计管理 移动存储介质管理系统的功能 第九章安全日常运维管理的保障措施 目录 9 1完善网络与信息安全管理机构建设 9 2安全管理机制的制定与完善 9 3制定管理制度 9 4用技术手段保障管理的有效性 9 5加强培训以保障管理机制执行 9 6绩效考核体系 建立网络安全保障管理机构 1 无论什么样先进的网络安全保障系统 使用者 控制者最终都是人 所以做好网络安全保障首要的事情是建立网络安全管理机构 以领导 协调网络与信息安全保障工作和处理应急响应事件 各省公司安全管理机构建设情况各异 省公司需逐步完善和加强此方面的建设 需求分析 只有明了IT系统的安全需求才能有针对性地构建适合于自己的安全体系结构 正确的安全分析需求是保证网络系统安全的根源 风险管理 风险管理是对需求分析结果中存在的威胁和业务需求进行风险评估 以可以接受的投资 进行最大限度的网络安全防范工作 安全管理机制的制定和完善 2 制定安全防范策略 根据组织和部门的安全防范需求和风险评估的结论 制定切实可行的计算机网络安全防范策略 定期安全审核 安全审核的首要任务是审核组织的安全策略是否被有效地和正确地执行 因为网络安全防范是一个动态的过程 安全的需求可能会发生变化 为了在安全需求发生变化时