信息安全知识竞赛培训2011年集团规范

,移动集团技术规范和标准2011培训,主要技术规范及标准,中国移动网络与信息安全总纲中国移动支撑系统安全域划分与边界整合技术要求中国移动互联网网络安全应急处理预案中国移动帐号口令管理办法,网络与信息是否是资产,网络与信息都是资产，具有不可或缺的重要价值。无论对企业、国家还是个人，保证其安全性是十分重要的。,网络与信息安全的三个基本属性,机密性（Confidentiality）：确保网络设施和信息资源只允许被授权人员访问。根据信息的重要性和保密要求，可以分为不同密级，并具有时效性。完整性（Integrity）：确保网络设施和信息及其处理的准确性和完整性。可用性（Availability）：确保被授权用户能够在需要时获取网络与信息资产。,网络面临的典型威胁,未经授权的访问;信息在传送过程中被截获、篡改;黑客攻击;滥用和误用等。,中国移动网络与信息安全体系,中国移动网络与信息安全体系(NISS)由两部分组成，一部分是一系列安全策略和技术管理规范（第一、二层），另一部分是实施层面的工作流程（第三层）。,安全措施的选择原则,有效性。安全措施的实施必须能够确保风险被降低到可以接受的水平，达到期望的安全目标。可行性。安全措施必须在技术上是可操作的，可以实现的。某些安全措施不具备通用性，需要因地制宜的考虑具体实施环境。实际性。应从管理、财务等非技术因素详细分析待实施的安全措施，综合比较实施成本与由此减少的潜在损失，非经济因素也应考虑在内。,安全工作的八个方面,1、组织与人员2、网络与信息资产管理3、物理与环境安全4、通信与运营管理安全5、访问控制6、开发与维护7、安全事件响应与业务连续性8、安全审计,1、组织与人员,安全工作“三分靠技术，七分靠管理”，建立有效的组织机构是安全管理的基础。不健全的安全管理机制是网络与信息安全最大的薄弱点。安全责任分配的基本原则是“谁主管，谁负责”。公司拥有的每项网络与信息资产，必须根据资产归属确定“责任人”。“责任人”对资产安全保护负有完全责任。“责任人”可以是个人或部门，但“责任人”是部门时，应由该部门领导实际负责。,岗位职责描述应包含的内容,中国移动的岗位描述中都应明确包含安全职责，并形成正式文件记录在案。安全描述应包括落实安全政策的常规职责和保护具体资产或执行具体安全程序或活动的特定职责。,控制第三方访问所采取的措施,公司应与第三方公司法人签署保密协议，并要求其第三方个人签署保密承诺，此项工作应在第三方获得网络与信息资产的访问权限之前完成。实行访问授权管理，未经授权，第三方不得进行任何形式的访问。公司应加强第三方访问的过程控制，监督其活动及操作。公司应对第三方人员进行适当的安全宣传与培训第三方人员应佩带易于识别的标志，并在访问公司重要场所时有专人陪同。,人员考察,来自组织和个人的品格鉴定；学历和履历的真实性和完整性；学术及专业资格；身份查验。,劳动合同,劳动合同中应包含网络与信息安全条款，明确规定员工的安全责任和违约罚则。这些责任可延伸至公司场所以外和正常工作时间以外。必要时，这些责任应在雇用结束后延续一段特定的时间。,2、网络与信息资产管理,网络与信息资产责任制度资产清单资产责任制度：责任人的职责和权限、维护人的职责和权限资产安全等级及相应的安全要求信息的安全等级、标注及处置网络信息系统安全等级,3、物理与环境安全,物理与环境安全是保护网络基础设施、信息系统及存储媒介免受非法的物理访问、自然灾害和环境危害。安全区域：安全边界、出入控制、物理保护、安全区域工作规章制度、送货/装卸区与设备的隔离设备安全：设备安置及物理保护、电源保护、线缆安全、工作区域外设备的安全、设备处置与重用的安全存储媒介的安全：可移动存储媒介的管理、存储媒介的处置、信息处置程序、系统文档的安全通用控制措施：屏幕与桌面的清理、资产的移动控制,4、通信与运营管理安全,操作流程与职责：规范操作细则、设备维护、变更控制、安全事件响应程序、开发、测试与现网设备的分离系统的规划设计、建设和验收：系统规划和设计、审批制度、系统建设和验收、设备入网管理恶意软件的防护软件及补丁版本管理时钟和时间同步日常工作：维护作业计划管理、数据与软件备份、操作日志、日志审核、故障管理、测试制度、日常安全工作网络安全控制信息与软件的交换：信息与软件交换协议、交接过程中的安全、电子商务安全、电子邮件的安全、电子办公系统的安全、信息发布的安全、其他形式信息交换的安全,恶意软件的防护,恶意软件（如病毒、蠕虫、木马等）通常会造成设备损坏、数据丢失、系统崩溃或秘密泄露。为确保网络与信息安全，公司应从安全意识、合理的系统访问和变更管理控制这三个方面出发，加强用户教育，强化防范意识，并采取积极有效的检测和预防控制措施，以减少恶意软件入侵带来的风险。,软件及补丁版本管理,所有安全软件（如：安全访问软件、病毒防护软件、入侵检测软件等）应尽可能选择经实践验证稳定运行的版本，不应立即使用厂商发布的最新版本，但病毒代码库和系统漏洞库例外。,日常安全工作,日常安全工作包括安全预警、安全监控、安全设备维护、安全类统计分析（性能、日志、安全事件）等。公司应建立专职安全队伍从事日常的安全生产工作，并制定工作计划严格执行。,5、访问控制,网络访问控制：在公司网络与其他公司的网络，或者公共网络之间设置合适的接口；采取有效的用户和设备验证机制；控制用户访问信息服务。,5、访问控制,操作系统访问控制：验证用户身份，必要的话，还应进行终端或物理地点识别；记录所有系统访问日志；必要时，应能限制用户连接时间。,用户帐户检查间隔,用户账户的访问权限应至少每6个月检查一次，特殊功能账户应至少每3个月检查一次，超级账户应至少每1个月检查一次,6、开发与维护,网络与信息系统的安全控制或安全性是通过系统的开发设计予以实现的，在设计阶段采取控制措施远比在实施过程中或者实施结束之后落实控制措施更廉价。若在系统设计阶段未充分考虑系统的安全性，则系统本身就存在着先天不足。因此，公司应在网络基础设施、应用系统（包括为最终用户开发的程序）的开发与维护阶段，正确识别、确认、批准所有安全需求（包括备用安排，如手工方式），并将之文档化。,关于数字签名,公司在使用数据签名技术时，应注意以下事项：充分保护私钥的机密性，防止窃取者伪造密钥持有人的签名。采取保护公钥完整性的安全措施，例如使用公钥证书；确定签名算法的类型、属性以及所用密钥长度；用于数字签名的密钥应不同于用来加密内容的密钥；符合有关数字签名的法律法规。必要时，应在合同或协议中规定使用数字签名的相关事宜。,7、安全事件响应与业务连续性,安全事件及安全响应：及时发现与报告、分析、协调与处理、总结与奖惩业务连续性管理：建立业务连续性管理程序、业务连续性和影响分析、制定并实施业务连续性方案、业务连续性方案框架、维护业务连续性方案,8、安全审计,安全审计是从管理和技术两个方面检查公司的安全策略和控制措施的执行情况，发现安全隐患的过程。,主要技术规范及标准,中国移动网络与信息安全体系总纲（NISS）中国移动支撑系统安全域划分与边界整合技术要求（QB-W-001-2005）中国移动互联网网络安全应急处理预案中国移动帐号口令管理办法,什么是安全域,安全域，即网络安全域，是指同一系统内有相同的安全保护需求，相互信任，并具有相同的安全访问控制和边界控制策略的子网或网络，相同的网络安全域共享一样的安全策略。安全域是一个逻辑范围或区域，同一安全域中的信息资产具有相同或相近的安全属性,对于中国移动，各个支撑系统本身相当于一个安全域；而对于某一支撑系统，又可划分为集团公司层面、省公司层面、地市层面的安全子域；各安全子域进而可分为不同的安全区域。在安全域内部进一步划分安全区域时，如核心生产区、日常工作区、漫游区、DMZ区、第三方互联区等等，重点参考了IATF计算区域划分的理论，并考虑了不同区域和不同的威胁。,安全域、安全子域、安全区域,安全域划分的必要性各安全域的威胁等级分析支撑系统的保护等级分析：资产价值赋值、安全需求赋值、支撑系统的赋值安全域划分的原则：安全域划分的根本原则、安全域划分方法网络调整：广域网、局域网、终端各支撑系统的安全域划分：业务支撑系统的安全域划分、网管系统系统的安全域划分、企业信息化系统的安全域划分,安全域划分,威胁等级分析表,安全域划分的根本原则,业务保障原则：安全域方法的根本目标是能够更好的保障网络上承载的业务。在保证安全的同时，还要保障业务的正常运行和运行效率。结构简化原则：安全域划分的直接目的和效果是要将整个网络变得更加简单，简单的网络结构便于设计防护体系。比如，安全域划分并不是粒度越细越好，安全域数量过多过杂可能导致安全域的管理过于复杂和困难。等级保护原则：安全域的划分要做到每个安全域的信息资产价值相近，具有相同或相近的安全等级、安全环境、安全策略等。生命周期原则：对于安全域的划分和布防不仅仅要考虑静态设计，还要考虑不断的变化；另外，在安全域的建设和调整过程中要考虑工程化的管理。,根据安全域的划分原则，结合目前支撑系统的现状，需要从广域网、局域网、终端三个方面进行网络调整，实现支撑系统之间的有效隔离。,生产服务器：一般都是UNIX平台，资产价值最高，不直接连接外部网络，主要的安全需求是访问控制、帐号口令、权限管理和补丁的管理。维护终端：一般都是WINDOWS平台，维护管理人员可以直接操作，其用户接入的方式也不尽相同（本地维护终端、远程维护终端），面临着病毒扩散、漏洞补丁、误操作、越权和滥用等威胁，其安全需求是安全策略的集中管理、病毒检测（固定终端）、漏洞补丁等。,设备不同，安全需求不同（举例）,各支撑系统对外的边界整合与互联网的边界整合与合作伙伴的边界整合与第三方的边界整合各支撑系统之间的边界整合业务支撑系统的边界整合网管系统的边界整合企业信息化系统的边界整合,边界整合,（1）业务支撑系统在集团公司设置互联网出口，主要实现SP对帐系统的需求；在各省公司统一设置互联网出口，主要实现网上营业厅、网上联办营业厅的应用。（2）网管系统集团直接连接CMNet骨干网，实现IP综合网管数据采集和对网元进行管理的功能；在各省网管系统设置互联网出口，实现IP综合网管功能。（3）企业信息化系统集团公司直接连接CMNet，实现集团办公的上网需求，同时实现电子采购系统的应用需求；在各省企业信息化系统设置互联网出口，全省办公网通过部署在省公司的出口上网，严禁地市公司办公网私自就近接入CMNet网络，地市公司与省公司之间通过专线或者VPN连接。,各支撑系统与互联网边界整合（近期）,网管系统的边界整合，主要是在保障业务的同时对接口进行归并，减少接口数量。针对网管系统目前对外的互联接口，其互联边界整合为：网管系统内部的互联边界：集团公司省公司地市连接的互联；与移动内部其他系统，如业务支撑系统、企业信息化系统等的互联；与第三方（集成商、设备商）的互联；与CMNET的互联（IP数据网管系统、EOMS与短信网关的连接）。,网管系统的边界整合,主要技术规范及标准,中国移动网络与信息安全体系总纲（NISS）中国移动支撑系统安全域划分与边界整合技术要求中国移动互联网网络安全应急处理预案中国移动帐号口令管理办法,应急处理预案的目的、原则及编制依据,目的：建立健全中国移动互联网网络安全应急处理工作机制，提高互联网网络安全应急处理能力和水平，保障互联网网络安全。原则：互联网网络安全应急处理工作坚持统一领导、分工负责、及时预警、协作配合、快速处理、确保恢复的原则。编制依据：中华人民共和国电信条例、信息产业部互联网网络安全应急处理预案。,中国移动互联网网络安全应急组织机构,集团公司和各移动通信有限责任公司已成立网络与信息安全领导小组和网络与信息安全办公室，负责领导、组织、协调全集团网络与信息安全各方面工作。,网络与信息安全领导小组职责,贯彻国家有关方针政策，审定互联网安全事件应急响应相关政策及规定；启动/终止预案，并负责互联网网络安全应急工作的总体指挥和协调；根据上级部门指示，决策重大互联网安全事件的应急处理实施方案，并向上级部门汇报实施和进展情况。,互联网网络安全事件分级,互联网网络安全事件根据危害和紧急程度分为：“四级/一般”“三级/预警”“二级/报警”“一级/紧急”分别对应“蓝”、“黄”、“橙”、“红”四种颜色标记。,“一般”级别的互联网安全事件,发生未达到三级的一般性安全事件;出现新的漏洞，尚未发现利用方法或者被利用迹象；出现新的蠕虫/病毒或其他恶意代码，尚未证明可能造成严重危害。,“预警”级别的互联网安全事件,出现针对两个月内发布的可被利用侵入并控制主机（及网络设备）的主流操作系统和应用程序漏洞的攻击方法；有来自境外的网络性能明显下降的报警，并且其技术原因普遍适用于我国互联网的事件；在24小时内出现对超过100台以上的承担省际汇聚的骨干网路由器或交换机的非法登录尝试；导致某省两个以上地市网络瘫痪的事件；导致一个以上省网络出入口总流量在24小时内异常增加50的安全事件；通过CNCERT/CC的监测发现有一个以上互联单位的网络出现总流量或者某个协议数据流量异常的情况。,“报警”级别的互联网安全事件,出现一种新的利用主流操作系统和应用程序漏洞的网络蠕虫；蠕虫（或病毒）导致二级以上安全事件爆发并留下后门，其后一年内出现了针对该后门的攻击程序；有来自境外的网络瘫痪的报警，并且其技术原因普遍适用于我国互联网的事件；导致一个以上省网络瘫痪的安全事件；导致两个不同互联单位的省以上骨干网络总流量在24小时内异常增加50的安全事件；通过CNCERT/CC的监测发现有一个以上互联单位的网络出现总流量或者某个协议数据流量异常的情况；承担省际汇聚的骨干网网络设备超过5失去控制。,“紧急”级别的互联网安全事件,导致一个以上互联单位的网络瘫痪的安全事件；导致两个不同互联单位的省以上骨干网络瘫痪的安全事件，并且有其他互联单位相同的网络性能下降的报警，或者有境外网络遭遇相同故障而瘫痪的报警；通过CNCERT/CC的监测发现有两个以上的互联单位的网络出现总流量或者某个协议数据流量严重异常；承担省际汇聚的骨干网网络设备超过10失去控制。,信息监测,各移动通信有限责任公司每天中午12点以前采集其互联网前24小时内的下列运行状态信息，并上报CMCERT/CC：省网骨干路由器和核心交换机的访问日志（内容包括：设备所在地、路由器名称、IP地址、访问者、访问者IP地址、访问时间、访问成功与否）；骨干路由器的流量信息。,预警预防行动,各移动通信有限责任公司于每月15日前，向集团公司网络与信息安全办公室上报本网上月安全事件处理报告；于每年1月15日前，上报本网上一年网络安全事件分析报告。信息监测发现可能发生三级及以上互联网网络安全事件情况时，集团公司各相关部门和各移动通信有限责任公司应在12小时内向集团公司网络与信息安全办公室上报有关预警信息。,应急响应,分级响应程序应急处理流程三级/预警安全事件的应急响应二级/报警安全事件的应急响应一级/紧急安全事件的应急响应信息通报/上报信息通报/上报时间要求信息通报/上报的方式信息通报/上报的保障制度应急结束,特殊时期分级响应程序,在国内发生特别重大突发公共事件、以及召开重要会议、重大国事活动等特殊重要时期：没有发生三级以上重大互联网安全事件时，集团公司网络与信息安全办公室根据集团公司网络与信息安全领导小组的指示，通知集团公司各相关部门、各移动通信有限责任公司按照“三级/预警”级别安全事件的处理要求和流程做好应急准备；当发生或可能发生三级以上重大互联网安全事件时，各移动通信有限责任应根据本预案，按高一级级别安全事件的处理要求和流程进行各项应急处理。,各移动通信公司针对网络瘫痪事件的应急处理措施,立即组织力量全力抢修瘫痪网络，每小时向集团公司网络与信息安全办公室汇报抢修工作进展；立即组织力量分析网络瘫痪的原因和有效遏制手段，每小时向集团公司网络与信息安全办公室汇报分析工作进展；根据集团公司网络与信息安全办公室的指示，配合CMCERT/CC立即对省网采取相应的技术措施.,应急保障准备,应急预案应急队伍人员培训经费保障应急演练通信联络制度监督检查制度技术储备与保障,应急保障体系的通信联络制度,集团公司各相关部门和各移动通信有限责任公司必须明确安全事件应急处理的负责人、一般和紧急两级联系人，其中一般联系人用于日常的信息沟通，紧急联系人用于在紧急情况下的直接沟通；提供包括电话、传真和电子邮件等联系人的详细联系信息；联系人必须7X24小时可以联系到。联系人及联系方式发生变化的要提前1周上报集团公司网络与信息安全办公室。使用电子邮件沟通涉及具体安全事件的内容时应加密。,主要技术规范及标准,中国移动网络与信息安全体系总纲（NISS）中国移动支撑系统安全域划分与边界整合技术要求中国移动互联网网络安全应急处理预案中国移动帐号口令管理办法,帐号口令管理办法适用范围,本办法适用于DSMP系统、智能网系统、彩铃平台本办法适用于所有和上述系统相关的系统管理员、操作维护人员以及所有上述系统中存在的帐号和口令。,关于帐号,帐号指在系统内设定的可以访问本系统内部资源的ID。从管理系统的角度分类，帐号又可分为普通帐号、管理员帐号、超级管理员帐号等。普通帐号：普通帐号是用于维护或访问业务系统，实现日常业务操作的帐号，是最为常见的帐号类型。普通帐号又可分为两类：系统缺省普通帐号手工定义普通帐号管理员帐号：指在系统中具有较大的权限，对网络的运行和安全具有巨大影响的帐号，如系统管理员帐号或执行关键应用程序的帐号等。超级管理员帐号：指对系统具有超级权限的帐号，该帐号有权限对系统最核心的配置和信息进行检查和更改。超级管理员帐号又可分为两类：系统自带超级用户手工定义的超级用户,用户管理帐号管理系统要求帐号的设立原则帐号的使用原则超级管理员帐号操作系统普通用户帐号应用系统管理员帐号应用系统普通帐号口令管理权限管理,帐号、口令和权限管理要求,所有操作系统、业务系统、数据库、网络设备等均需要支持基于帐号的访问控制功能。所有需要使用口令的应用软件、业务软件都需要对口令文件提供妥善的保护。各系统应能保存有关安全内容的日志。该日志的保存期限应不小于30天。各系统应能自动拒绝创建不符合安全设置条件的帐号和口令。如系统本身无法实现该功能，系统管理员必须加强人工安全管理，保证不存在不符合安全设置条件的帐号和口令。,帐号管理的系统要求,任何帐号只限于申请帐号过程中所声明的使用人使用，禁止其他人使用此帐号。系统正式投入使用前，必须更改原来系统中的缺省帐号的所有口令，以保证正式环境的安全。帐号使用人在使用的过程中，不得使用帐号访问与自己工作无关的资源。系统管理员应定期对系统中的帐户进行审计，对不符合要求的帐号进行整改。,帐号的使用原则,操作系统普通用户帐号由具体使用人员向系统管理员申请，系统管理员对普通帐号统一进行管理、设置和分配。用户所在部门主管需对普通用户帐号申请进行审批，必须有正式的书面审批流程。操作系统普通用户帐号审批记录应编号、留档。操作系统普通用户帐号权限应基于“使用需要”，逐个事件进行授权，即以完成其工作职责的最低要求为依据，临时帐号应在完成特定任务后由系统管理员立即收回。系统管理员需通过安全途径将帐号初始口令告知用户，用户收到初始口令后，应在初次登陆系统时修改初始口令。操作系统普通用户帐号的撤销需用户主管或人力资源部门以书面方式发出帐号撤销通知，由系统管理员根据通知书撤销用户帐号。,操作系统普通用户帐号,应用系统普通用户帐号由具体使用人员向应用系统管理员申请，应用系统管理员对普通帐号统一进行管理、设置和分配。用户所在部门主管需对应用系统普通用户帐号申请进行审批，必须有正式的书面审批流程。应用系统普通用户帐号审批记录应编号、留档。应用系统普通用户帐号权限应基于“使用需要”，逐个事件进行授权，即以完成其工作职责的最低要求为依据，临时帐号应在完成特定任务后由应用系统管理员立即收回。应用系统管理员需通过安全途径将应用系统普通用户帐号初始口令告知用户，用户收到初始口令后，应在初次登陆系统时修改初始口令。应用系统普通用户帐号的撤销需用户主管或人力资源部门以书面方式发出帐号撤销通知，由系统管理员根据通知书撤销用户帐号。,应用系统普通帐号,口令应由不少于8位的大小写字母、数字以及标点符号等字符组成。帐号口令必须是在必要时间或次数内不循环使用。口令应在90天内至少更换一次，对重要设备和系统可采用一次性口令方式进行认证。口令设置不得使用最近5次以内重复的口令；口令重复尝试5次以后应暂停该帐号登录。各级口令保管落实到人，口令所有人须妥善保存，各级口令不得以任何形式明文存放