日志管理办法.doc

XXXXXX 日志管理办法 文档信息文档信息 基本信息基本信息 文档名称文档名称日志管理办法保密级别保密级别内部 文档编号文档编号 XX ISMS III 08 牵头部门牵头部门信息安全领导小组 分发范围分发范围 版本修订版本修订 生效日期生效日期 版本版本 号号 版本说明版本说明制作制作复审复审批准批准 2016 1 11 0 初稿 目录目录 1 总则总则 4 1 1 目的 4 1 2 适用范围 4 2 组织及职责组织及职责 4 3 日志管理细则日志管理细则 4 3 1 日志分类 4 3 2 日志管理策略 6 3 3 日志检查 6 4 相关文件相关文件 7 5 附则附则 7 日志管理办法 第 4 页 1 总则总则 1 1 目的目的 为规范管理 XXXXXX 以下简称 XX 全部已投产业务系统的主机设备以 及网络设备所产生的系统日志 重要应用日志 确保各类日志的及时 完全归 档 及时发现设备与系统的故障 提高信息系统的可靠性 特制订本管理办法 1 21 2 适用范围适用范围 本规定适用于 XX 所有内设机构 2 组织及职责组织及职责 科技资源和信息管理部 科技资源和信息管理部 a 负责信息管理部所管辖范围内的信息系统日志的维护和管理工作 b 对负责范围内的可疑日志进行分析 处理 c 在负责的业务环境和信息安全需求发生重大变化时 对本管理办法进行 检查和更新 d 根据检查要求定期检查和评估本管理办法的执行情况 3 日志管理细则日志管理细则 记录日志的系统必须保持时钟信息与公司的时钟同步服务器同步 信息系 统维护人员每月检查时间同步是否正常并予以记录 3 1 日志分类日志分类 日志的分类包括 操作系统日志 应用系统日志 数据库日志 网络设备 日志管理办法 第 5 页 日志和信息安全设备日志 每一类日志记录中都必须记录以下基本内容 事件 发生的日期和时间 事件描述 操作者信息 成功和失败操作 操作系统日志还应记录以下信息 操作系统的启动 关闭信息 用户登录 退出信息 特殊权限使用 系统运行状态信息 包括报警 故障信息 主机系统服务或配置变更信息 应用系统日志还应记录以下信息 应用系统的启动 关闭信息 关键模块的启动 关闭信息 用户的登录 退出信息 用户的关键操作信息 如修改密码 应用系统运行状态信息 包括报警 故障信息 服务和配置参数的变更信息 数据库日志还应记录以下信息 数据库系统的启动 关闭信息 用户的登录 退出信息 用户的关键操作信息 如添加或删除数据库 数据库运行状态信息 包括报警 故障信息 网络设备日志还应记录以下信息 设备的启动 关闭信息 用户登录 退出信息 端口变化信息 设备运行状态信息 包括报警 故障信息 信息安全设备日志还应记录以下信息 设备的启动 关闭信息 用户登录 退出信息 端口变化信息 日志管理办法 第 6 页 信息安全事件信息 如病毒爆发 攻击事件 设备运行状态信息 包括报警 故障信息 3 2 日志管理策略日志管理策略 信息系统和 IT 设备的维护人员应按照以上要求制定日志管理策略 日 志内容至少可以保存半年 所有的操作活动都必须被记入日志 不得停用日志服务 信息系统和 IT 设备的维护人员应每周对所管理的信息系统产生的相关 日志进行检查 对日志中的错误或可疑项进行记录 如发现可疑的日志 记录事件或无法分析判断 应提交至信息中心进行分析处理 处理结果 应补充记录到日志检查记录中 日志文件应集中管理并加以保护 应设置日志文件访问控制权限 防止 未授权的访问篡改 日志信息的收集与调查请参照 信息安全事件管理办法 内部审计部门需每季度组织对各系统的日志配置策略和日志检查记录等 进行审计 对各系统管理员和系统操作员的活动记录日志每月进行审计 3 3 日志检查日志检查 内部审计部门负责组织检查以下内容 任务任务 编号编号 检查点检查点检查内容检查内容检查方法检查方法检查周期检查周期 1 审计日志 记录用户活动和信息安 全事件的日志 并按照 约定的期限进行保留 查阅周期备份 的审计日志 每季度 每 月 日志管理办法 第 7 页 2 时钟同步 公司内或统一安全域内 的所有相关信息处理设 施的时钟应按照约定的 正确时间源保持同步 随机抽查 5 台 网络设备 5 台服务器 对 其时间一致性 比较 每月 3 故障日志 记录并分析错误日志 并采取适当的措施 查阅故障日志 及跟踪处理