三同步中涉及的日常安全工作.ppt

三同步中涉及的日常安全工作 中国移动通信集团吉林有限公司 培训对象与人员能力要求 系统维护人员 安全管理人员课时安排 60分钟培训目标 一 理解网络安全工作三同步的重要性 二 了解工程 维保等合同签署安全条款的要求 三 了解工程设备安全验收入网工作要求与内容四 清楚系统版本入网FOA测试工作要求与内容 五 了解设备相关安全要求规范 目录 第一章网络安全三同步工作综述第二章工程合同中安全条款签署第三章工程阶段设备入网安全验收第四章现网系统版本升级中FOA安全部分测试第五章相关设备的通用安全要求 第一章网络安全三同步工作综述 1 1本章摘要 1 3网络安全三同步的重要性 1 2网络安全三同步介绍 网络安全三同步介绍 本章摘要 本章主要介绍了什么是网络安全三同步 为什么要做好网络安全三同步 日常维护中涉及哪些网络安全三同步工作 同步规划 围绕信息系统完整的生命周期展开 不同阶段不同的安全工作内容 同步运行 同步建设 1 通过安全日常运维工作 持续保持系统安全防护水平 2 通过版本入网安全管理 促进设备安全功能的提高 在新业务规划的环节同步纳入安全要求 明确对通用的业务安全要求 并与研究院等相关单位的合作 在新业务规范中同步增加安全要求 各省要对本省自有的新业务系统同步明确安全要求 1 通过合同条款落实系统集成商 厂商的责任 避免乙方后期配合工作不积极而无据可依的问题 2 加强系统入网安全验收 和工程期间安全管理 确保只有符合安全要求的系统才能上线 网络安全三同步介绍 网络安全三同步介绍 通过合同条款落实系统集成商 厂商的责任 避免无法律依据可依的问题 确保只有符合安全要求的系统才能上线 8 重点安全要求落实情况与高风险问题自查整改完成情况分析 在项目规划 建设环节强化落实安全要求 避免设备带病入网 是做好后续安全维护工作的基础 也是保证系统安全防护能力的第一重要控制点 系统本身 在安全设计上存在缺陷 设备上线前未达到相关的安全配置要求 上线后 整改影响系统的安全运行后期整改 投入大 耗时 耗力 网络安全三同步的重要性 9 高风险问题共60个 全国31个公司 整改率排名最低的10个问题如下 合并相同问题后 剩余9项 网络安全三同步的重要性 第二章工程合同中安全条款签署 2 1工程合同签署安全条款的要求 2 3工程合同签署信息通用安全责任 2 2工程合同签署保密条款 工程合同签署安全条款的要求 所有新签合同以附件形式补充 保密协议 明确中国移动与合同乙方的安全保密责任 在新签合同中以合同附件形式增加 中国移动通用网络与信息安全责任条款 明确乙方在工程建设和售后服务中应遵循的安全管理和技术要求 强化安全验收 确保落实合同相关要求在工程建设部门 维护管理部门统一组织的验收工作中 由相关网络和系统维护部门在落实安全同步对乙方设备安全配置 安全补丁加载 乙方书面说明材料提供等情况实施核查工作 确保合同相关安全条款全部得到落实 网通 2009 349号关于在工程及售后服务等合同中增加并落实相关安全要求的通知 工程合同签署安全条款的要求 工程期间网络信息安全管理规定为强化工程期间网络信息安全管理工作 保障网络 系统 安全运行 特制定本规定 工程周期根据时间进度划分为工程初期 工程建设阶段 工程验收阶段 工程性质分为在网系统扩容工程 包括系统改造 新入网系统工程 负责督察工程建设合作单位 工程建设的各合作方 包括系统开发商 集成商 施工单位 设计单位 监理单位等 签署并遵守 中国移动工程及售后服务合同保密协议 没有签署 保密协议 的合作单位要及时补签 工程合同签署安全条款的要求 合同分类 14 系统基本信息系统业务描述设备清单机房电源规划网络拓扑图IP地址系统负责部门和负责人集成商等基本信息安全基础信息表 通用安全要求4A管理帐号权限角色审计日志的管理日志内容日志查询统计日志存储与转发 通用安全要求 续 接口安全端口管理补丁管理网络结构方案一级系统安全模型二级及以上系统安全模型系统安全方案应用安全方案业务安全方案网络安全方案数据信息安全方案数据存储安全数据传输安全数据安全等级的变更数据访问安全数据备份和恢复终端安全方案 工程及开发过程中的安全要求项目在规划及建设阶段的安全管理项目的过程控制代码开发要求开发文件的保护部署及维护过程中的安全要求系统安装及部署系统维护集成商安全资质要求集成商公司安全资质要求集成商项目组人员配置要求 14 系统基本信息系统业务描述设备清单机房电源规划网络拓扑图IP地址系统负责部门和负责人集成商等基本信息安全基础信息表 通用安全要求4A管理帐号权限角色审计日志的管理日志内容日志查询统计日志存储与转发 通用安全要求 续 接口安全端口管理补丁管理网络结构方案一级系统安全模型二级及以上系统安全模型系统安全方案应用安全方案业务安全方案网络安全方案数据信息安全方案数据存储安全数据传输安全数据安全等级的变更数据访问安全数据备份和恢复终端安全方案 工程及开发过程中的安全要求项目在规划及建设阶段的安全管理项目的过程控制代码开发要求开发文件的保护部署及维护过程中的安全要求系统安装及部署系统维护集成商安全资质要求集成商公司安全资质要求集成商项目组人员配置要求 工程合同签署安全条款的要求 主要内容 工程合同签署信息通用安全责任 乙方应保证本工程新增设备符合中国移动 中国移动设备通用安全功能和配置规范 规定的安全配置要求 遵守中国移动相关安全管理规定要求乙方应保证本工程新增的IT设备安装操作系统 应用软件已经发布的所有安全补丁 关闭与业务无关端口 无关进程和服务 按照最小化的原则进行授权 并无重大安全漏洞 后门或者感染病毒 乙方提供的应用软件中账号所使用的口令应便于在维护中定期修改并已加密方式保存 不可固化在软件里 在工程实施期间 甲方有权通过安全扫描软件或者人工评估等手段 对本期工程新增设备和应用软件进行检查 并给出评估结果 一旦发现有重大安全漏洞 后门或者病毒感染 由乙方进行立即修补 清除或者采用其他手段消除安全问题 对于违反本规定导致的一切问题 由乙方负全部责任 工程合同签署保密条款 乙方在中国移动通信有限公司 或中国移动通信集团XX有限公司 实施XX系统工程规划 或工程设计 工程建设 设备调测与维护 服务支持 合作运营等 期间 乙方人员需要使用甲方网络与业务发展情况 网络拓扑 设备信息 XX系统账号 用户数据和信息等 双方就前述事宜中所涉及的保密信息达成以下一致 第三章工程阶段设备入网安全验收 3 1本章摘要 3 3安全验收管理 3 4系统管理员与入网安全验收工作 3 2安全入网验收的必要性 工程阶段设备入网安全验收 本章摘要 本章主要介绍设备入网安全验收的重要性 以及安全验收涉及的相关工作和规范要求 以及系统管理员如何做好入网安全验收工作 安全入网验收的必要性 了解设备的安全合规性 降低设备带病入网 促进建设环节加强设备安全 安全入网验收的必要性 设备安全合规 根据设定的安全标准 通过设备入网安全验收清晰了解到目前设备所处的安全水平和存在的安全隐患 MicrosoftTaskScheduler远程任意代码执行漏洞 精确扫描MS04 022 KB841873 Messenger服务远程堆溢出漏洞 MS03 043 KB82803 微软DCOM接口缓冲区溢出漏洞 MS03 026 MS03 03 部分SMB用户存在薄弱口令Oracletnslsnr没有设置口令目标主机没有安装MS04 011 KB835732补丁MSSQLServer默认及易猜测账号存在弱口令MicrosoftWindowsNTIISMDACRDS远程命令执行漏洞IIS5 0 WebDAV远程缓冲区溢出 MS03 007 安全入网验收的必要性 促进建设环节加强设备安全 通过安全验收强制把安全意识有效的传递到开发厂商 让其重视安全 只有在源头开始重视安全 业务系统的安全正常更能得到保障 在运维阶段安全维护的成本就更低 安全入网验收的必要性 降低设备带病入网 经新入网安全验收后 新业务系统安全风险明显降低 1 高风险漏洞数加固前后对比 2 中风险漏洞数加固前后对比 3 配置不符合项加固前后对比 安全验收管理 安全入网验收工作内容 检查依据 中国移动防火墙安全功能及配置规范 检查标准 已按照最小化权限的原则配置防护墙策略 不存在不明策略输出文档 安全域检查报告 检查依据 中国移动安全域管理办法 中国移动支撑系统安全域划分与边界整合技术要求 和 中国移动防火墙部署总体技术要求 检查标准 检查域拓扑 安全域内资产情况 VLAN访问控制策略 边界互联情况 确保符合要求输出文档 安全域检查报告 检查依据 中国移动帐号口令管理办法 检查标准 设备的帐号长度复杂度 密码策略等安全策略符合要求输出文档 帐号安全检查报告 检查依据 中国移动服务与端口管理办法 检查标准 所有必须开放的端口其对应的应用软件和功用必须列表登记 不允许存在非必要的开放端口 输出文档 服务端口检查报告 检查标准 检查windows设备是否已经安装指定授权的防病毒软件 并且检查病毒库是否已更新到最新 输出文档 防病毒软件检查报告 检查标准 检查设备的系统层 数据库和应用层是否已用户越权访问 用户权限升级 更改口令 新建用户 非正常时间登陆 多次错误登陆 审计策略更改或其他异常事件提供审计功能 输出文档 系统天志安全检查报告 检查标准 不允许存在已被CVE定义的高风险漏洞和中风险漏洞 输出文档 漏洞扫描检查报告 检查依据 中国移动操作系统安全功能及配置规范 中国移动数据库安全功能及配置规范 中国移动路由器安全功能及配置规范 中国移动防火墙安全功能及配置规范 等规范要求检查标准 检查设备的安全配置是否已符合输出文档 安全配置检查报告 检查依据 帐号口令管理办法 检查标准 设备的帐号口令符合复杂度要求输出文档 弱口令检查报告 检查标准 WEB网站不存在深层次安全问题 如缓冲区溢出 跨站脚本攻击 SQL注入等编程漏洞和通信协议中存在的漏洞等输出文档 渗透测试报告 安全验收管理 适用范围与验收执行 安全验收范围设备新入网设备扩容入网设备调整进入所指 设备 包括通信网 业务网和各支撑系统的IT设备 安全验收执行部门职能 审核 确认验收工单 拟定验收方案核查入网验收材料是否真实 是否符合安全验收标准按入网验收工单的设备清单进行安全检查输出安全验收报告 提出入网意见督促安全验收需求部门对遗留问题进行整改 安全验收管理 安全入网验收流程 安全验收管理 基本检查信息 安全验收管理 基本检查信息 安全验收管理 基本检查信息 安全验收管理 检查结果 系统管理员与入网安全验收工作 安全责任分配的基本原则是 谁主管 谁负责 每项网络与信息资产 根据资产归属确定 责任人 安全入网验收是确保业务系统安全的第一道防线 直接影响业务系统上线后的安全性 需要系统管理员积极配合 将安全工作往前移 将安全隐患消灭自萌芽状态 从参加业务规化 建设过程环节做起学习入网安全验收流程 促进安全要求落地提出验收手段改进建议 提高验收效率坚持正确应用规范 推动规范落地加强安全培训 提高安全验收能力 系统管理员与入网安全验收工作 验收经验 第四章现网系统版本升级中FOA安全部分测试 4 1本章摘要 4 3版本入网申请安全部分要求 4 4FOA现场测试安全部分要求 4 2设备版本入网的安全管理 本章节主要介绍了现网设备版本升级入网中涉及的网络安全管理要求 以及入网申请材料与FOA现场测试报告材料中网络安全部分材料的示例 以及在现场FOA测试中的注意事项 本章摘要 设备版本入网的安全管理 设备入网管理流程 设备入网管理流程入网管理流程是中国移动网络设备软件版本 含软件补丁 硬件的入网认证流程 包括在网通信网络设备 IT等设备 本流程主要受理厂家提交的入网申请 并在内部根据运维管理的需要进行各项入网的认证和审核 相关结果反馈各厂家 形成一定的闭环管理 入网管理流程主要通过对各类软件变更的规范化管理 进一步加强对网络软件的集中 统一管理 确保入网的设备或版本满足运行维护的需要 设备入网管理流程关键点 流程适用的业务包括网络设备软件版本 软件补丁 硬件的入网认证 IT设备软 硬件的入网认证 流程包括入网申请 入网测试 入网认证发布三个阶段 监控点有 受理 认证测试 审核 发布 设备版本入网的安全管理 综述 设备版本入网安全管理综述版本入网安全管理是完善现有入网管理内容的一部分 是落实三同步的一项具体措施 入网中的安全部分所处的流程环节与总体入网管理流程保持一致 安全内容部分是根据安全特点和相关安全管理要求针对入网环节的要求 通过版本入网安全管理 在入网申请环节要求设备原厂在实验室首先进行安全功能与通用安全补丁兼容性测试 同时提交合规账号 端口进程等基础信息 在FOA现场测试环节配合省公司开展安全功能 通用安全补丁兼容性测试 管控平台 端口进程 合规账号 防护措施是否正常应用等项目的检查 进而促进设备安全功能的提高 与安全补丁及时加载的实现 设备版本入网的安全管理 流程 版本入网申请安全部分要求 申请要求 版本入网申请要求 由系统厂家发起提交 新系统 全新硬件平台 初次入网 必须按照通用系统及平台原厂发布的最新安全补丁信息 在实验室对相关通用平台和软件进行补丁加载后 再实施相关业务的测试 并提交相关测试情况 存量系统软件版本升级或者补丁 必须按照通用系统及平台原厂发布的最新安全补丁信息 在实验室对相关通用平台和软件进行补丁加载后 再实施相关业务的测试 并提交相关测试情况 如果因现网系统暂时未能实施的 需要做出详细说明和计划 版本入网申请安全部分要求 申请材料 版本入网申请材料要求 由系统厂家提交 1 针对WLAN设备按照 中国移动WLAN设备通用安全功能测试规范V2 进行实验室测试与现场FOA测试 并提供测试结果 有对应测试记录表 2 针对路由器 交换机等设备按照 中国移动路由交换设备安全功能测试规范V1 1 进行实验室测试与现场FOA测试 并提供测试结果 有对应测试记录表 3 针对防火墙设备按照 中国移动防火墙功能和配置规范 做出应答和测试 4 其他设备按照 中国移动设备通用安全功能测试规范V2 0 进行实验室测试与现场FOA测试 并提供测试结果 有对应测试记录表 版本入网申请安全部分要求 提交注意事项 版本入网申请材料要求 由系统厂家提交 材料提交注意事项 详细参见附件中 入网申请厂家提交安全部分材料 文件夹 1 附加材料文档清单列表 材料1 XX系统安全相关基础信息列表 材料2 XX系统通用安全功能测试记录表V2 1 厂家提交 材料2 XX系统WLAN通用安全功能测试记录表V2 厂家提交 或 材料2 XX系统路由交换设备安全功能测试记录表 厂家提交 均使用相关系统安全功能规范测试记录表做为反馈表 防火墙设备按照 中国移动防火墙功能和配置规范 做出应答 材料3 XX系统安全补丁说明附件及安全补丁测试报告 材料4 XX系统FOA安全测试方案初稿 此方案是初稿 详细可在FOA测试省公司制定本次安全测试实施方案时 根据现网情况协商制定 2 实验室测试与现场测试均按照对应的测试规范实施测试和记录 3 安全补丁按照 材料3XX系统安全补丁说明附件及安全补丁测试报告 格式提供实验室安全补丁测试情况 和现场测试方案 版本入网申请安全部分要求 免测情况 版本入网申请材料要求 由系统厂家提交 三 可免测试情况和提交说明方式1 相同系统软件版本的设备安全功能测试已在前期FOA测试并通过 可用前期测试结果做为本次测试结果 可用前期测试结果做为本次测试申请内容 同时在EMOS工单系统中说明 在FOA测试任务下发省移动公司后 FOA测试省公司需要对前期的测试情况进行验证 2 每次均需要对照现网与通用系统原厂发布的安全补丁信息进行比照 并针对增量部分测试安全补丁 无增量安全补丁 可以在本测试周期内不在进行试验室测试 但仍需要在安全补丁材料里说明安全补丁对比情况 3 针对端口进程 合规账号 日志 管控平台接入 防护手段正常应用等方便不能免测 4 填写 XX系统安全测试免测情况说明 附件 版本入网申请安全部分要求 相关文件 FOA现场测试安全部分要求 工单文件 FOA现场测试工作与测试结果反馈不规范 为了提高FOA现场测试工作的效率与效果 总部网络部对前期入网安全要求进行了修订完善 强调了省公司FOA现场安全设备功能测试 安全补丁加载测试等安全测试工作 JT 001 110214 00004 2011 02 16 工单主题 关于加强执行中国移动新系统与版本入网测试 安全部分 要求与FOA现场测试工作的通知 FOA现场测试安全部分要求 入网申请材料查看 在接收到本次FOA测试工单时 应认真查看工单中的 入网申请厂家提交安全部分材料 相关附件材料 按照 FOA现场测试省公司总结提交部分 文件夹中 XX厂家XX系统XX公司XX地点FOA安全部分测试情况报告 中的相关任务与负责本次FOA测试的系统负责厂家充分沟通 完成本次FOA测试安全部分的具体测试方案 在现网FOA测试前 FOA测试执行省公司要充分了解本次测试申请厂家的实验室测试情况 充分核实厂家实验室环境和现网环境的异同 以便制订妥当的测试步骤和应急措施 在测试前FOA执行省公司应熟悉测试步骤和FOA测试方案 测试方案应包括对入网安全配置情况的检查与安全策略实施效果的测试 FOA现场测试安全部分要求 测试注意事项 FOA测试任务人员或测试小组中 应将本系统归属维护业务维护单位的网络安全管理员 业务室或班组的网络安全管理员 纳入其中 负责组织本次FOA测试安全方案编制 测试执行指导与测试总结审核 FOA测试省公司应严格按照通用设备 WLAN设备 路由与交换设备等设备相对应的安全要求测试规范 进行设备安全测试并记录 FOA测试省公司应按照进行安全补丁测试与结果反馈 FOA测试省公司应验证厂家入网申请时提交的端口服务进程 账号 日志等情况进行测试 并反馈结果 FOA测试省公司应测试本系统网络管控平台接入方案的相关内容 可从连通性测试 登录验证两方面测试 记录并反馈结果 FOA现场测试安全部分要求 测试报告要求 填写 XX厂家XX系统版本号XX公司XX地点FOA安全部分测试情况报告 如 华为WAP系统版本号江苏南京FOA安全部分测试情况报告 与 材料1 XX厂家XX系统XX公司XX地点FOA安全补丁测试报告 现场公司提交 FOA现场测试完成后 在提交总结材料前 首先发本地安全管理员审核通过后 再提交最终材料反馈总部 涉及设备通用功能免测时 可将上次该设备经过测试 通过并签字的通用功能安全测试记录做为本次安全功能测试记录 其他均不涉及免测 针对测试未通过 或不涉及的项目 要在具体的测试结果原因中详细说明具体情况 和厂家的后期改造计划 FOA现场测试安全部分要求 相关