网络入侵检测设备操作规程

网络入侵检测设备操作规程一、适用范围与职责边界本规程仅覆盖企业各场景下网络入侵检测系统（NIDS）、入侵防御系统（NIPS）的全生命周期标准化操作，明确各岗位权限边界是避免越权操作、配置失效、责任无法追溯的核心前提。1.适用范围本规程适用于企业总部、各分支机构部署的硬件型、虚拟化型NIDS/NIPS设备，覆盖核心交换区、DMZ区、服务器区、办公网出口、分支机构专线入口的所有检测节点，所有操作必须符合《中华人民共和国网络安全法》《网络安全等级保护基本要求》（GB/T22239-2019）中入侵检测相关条款要求。2.岗位权限划分◦安全运维岗（需持有CISP/等保运维专项资质）：负责设备配置变更、规则升级、深度告警分析、故障处置，持有设备超级管理员权限，全企业配置该权限的人员不得超过2名；◦网络值班岗：负责7*24小时告警监控、初判、工单转派、日常巡检，持有只读+告警确认权限，严禁修改任何设备配置、规则参数；◦安全主管：负责重大告警处置审批、配置变更复核、月度审计报告审批，持有操作日志审计权限，无配置修改权限；◦第三方运维人员：必须经安全主管审批后，由安全运维岗全程陪同操作，仅开放对应操作的临时最小权限，操作全程录屏，操作结束10分钟内收回临时权限，严禁第三方人员持有长期账号。二、设备接入与初始化配置设备接入阶段的配置错误是后续漏报、误报、网络中断的核心诱因，必须严格按照部署场景匹配参数，禁止使用默认配置直接上线。1.部署模式选择◦优先采用旁路镜像部署NIDS：核心交换区、核心服务器区的检测节点优先选择旁路镜像模式，仅做流量检测不干预业务流量，镜像流量需覆盖对应区域全量南北向、东西向流量，镜像口配置为仅收不发模式；◦在线串联部署NIPS仅适用于DMZ区、互联网出口等需要主动阻断攻击的场景：NIPS上线前必须先在旁路模式运行72小时，经统计误报率低于0.1%、无业务阻断误判记录后，方可切换为在线串联模式；◦严禁未经过旁路验证直接将NIPS串入核心业务链路，否则误拦截将直接导致核心业务中断。2.基础配置要求（所有节点必须满足）◦管理口配置：必须划分独立安全管理VLAN，管理IP严禁映射至公网，管理员密码长度不低于12位，包含大小写字母、数字、特殊字符，每90天强制更换，密码不得与其他业务系统复用；◦流量端口配置：旁路部署时需开启流量完整性校验，单端口丢包率超过1%时必须调整镜像端口带宽或拆分检测流量；在线部署时必须开启硬件Bypass功能——设备断电、系统宕机时Bypass模块会直接导通两端物理端口，链路切换时间≤50ms，避免单设备故障导致整条业务链路中断，两端端口双工模式、速率必须与对接交换机端口强制一致，禁止开启自协商；◦规则初始化：上线前必须关闭所有与本单位业务无关的检测规则（如非工业场景关闭工控协议检测规则、非物联网场景关闭IoT设备检测规则）——无关规则会占用15%~30%的设备检测性能，同时会大幅提升误报概率，导致值班岗被无效告警干扰遗漏真实攻击；启用符合等保三级要求的入侵特征库、WEB攻击特征库、僵木蠕特征库，初始规则动作统一设置为“告警”，不得直接设置为“阻断”；◦时间配置：必须配置企业内部核心NTP服务器为时间同步源，设备时间误差不得超过1秒，避免告警时间与其他安全设备日志时间不一致影响溯源。三、日常运维与巡检操作日常巡检的核心目标是提前发现设备运行异常、规则失效问题，而非事后补录台账，所有巡检项必须量化可验证，禁止“设备运行正常”类模糊记录。1.每日巡检（网络值班岗每日9:00前完成，节假日由值班人员执行）巡检项及阈值要求：设备CPU利用率≤70%（连续10分钟超过85%必须触发异常告警）、内存利用率≤75%、流量接收丢包率≤0.5%、当日告警总量波动不超过前7日均值的±50%、特征库版本发布时间距当前不超过7天，巡检结果填入《NIDS/NIPS日常巡检表》（附件1），异常项15分钟内转派安全运维岗。2.每周运维（安全运维岗每周五18:00前完成）◦清理超过30天的无效测试告警，复核本周误报规则并添加白名单，白名单必须备注对应IP、业务用途、有效期，永久白名单必须经安全主管书面审批；◦检查硬盘存储空间，日志存储分区剩余空间低于20%时，自动将最早的日志转存至企业统一日志审计平台，日志留存时间必须符合《中华人民共和国网络安全法》要求，留存时长不短于6个月，严禁提前删除或覆盖原始日志；◦测试在线NIPS设备的Bypass功能有效性：模拟设备断电，验证业务链路导通时间≤50ms，测试时间选择业务低峰期，测试前通知业务部门做好准备。3.月度升级与审计（安全运维岗每月最后1个工作日完成）◦特征库升级：升级官方发布的正式稳定版本，严禁升级beta测试版规则；升级前必须全量备份当前配置与规则库，备份文件加密存储至独立备份服务器；升级后验证20分钟无异常告警、无业务阻断方可结束，若升级后出现大面积误报立刻回退至上一版本；◦审计操作日志：排查所有管理员的操作记录，重点检查未授权配置修改、异常登录行为——同一账号10分钟内连续3次登录失败必须锁定账号，排查是否为暴力破解攻击；◦导出当月所有高危、严重告警记录，形成月度入侵检测分析报告，内容包含攻击类型统计、源IP地域分布、处置完成率、待整改风险点，报安全主管审批。4.备份管理设备配置必须设置每周自动备份策略，备份文件加密存储至独立备份服务器，保留周期不低于1年；每季度开展1次配置恢复演练，验证备份文件可用性，演练时间控制在30分钟内，不得影响正常业务。四、告警分级与处置流程告警处置必须按照等级匹配响应时效，避免过度响应消耗运维资源，同时杜绝高危告警漏判导致的入侵事件扩散，所有处置动作必须全程留痕可追溯。1.告警分级标准与响应要求告警等级判定标准响应时效启动权限一级（严重）检测到勒索病毒加密行为、核心服务器被植入Webshell/后门、域控服务器爆破成功、核心业务系统SQL注入成功、大批量内网主机横向移动值班岗发现后5分钟内通报安全运维岗+安全主管，无需审批先开展初步阻断值班岗可触发通报，安全运维岗可直接执行紧急处置二级（高危）端口扫描行为、弱口令爆破尝试、SQL注入/XSS攻击尝试、可疑木马流量、内网主机外联已知恶意IP10分钟内转派安全运维岗，30分钟内完成初判值班岗转派，安全运维岗可直接处置无需事前审批三级（一般）低频ICMP探测、常规搜索引擎爬虫访问、低危规则匹配的无实质危害行为每周批量复核1次值班岗可批量确认留存记录2.分等级处置流程◦一级告警处置：①10分钟内提取告警源IP、目的IP、攻击特征，源IP为外部公网IP的立刻在边界防火墙临时封禁该/32主机位，严禁随意封禁大段IP导致正常业务被拦截；源IP为内网终端的立刻断开该终端网络连接，通知终端运维岗开展排查；②30分钟内回溯该IP近7天的所有访问日志，排查是否存在横向移动、数据外发记录；③2小时内形成初步处置报告，涉及100条以上用户数据泄露的必须同步上报合规部门；④处置完成后连续7天监控该网段，确认无异常复发方可解除封禁。◦二级告警处置：①30分钟内完成告警真实性研判，排除误报（如合规漏洞扫描器的扫描行为、运维人员的合法渗透测试）；②确认为真实攻击的，对源IP做临时访问限制，跟踪攻击频次，若同一源IP24小时内攻击超过10次，升级为一级告警处置；③误报的标注误报原因，加入有效期不超过30天的白名单，同步优化检测规则避免重复误报；④每日汇总二级告警处置情况，报安全主管。◦三级告警处置：每周批量复核时，筛选连续7天出现的同一源IP持续性探测行为，升级为二级告警处置。3.漏报处置发现漏报事件（已确认发生入侵但设备未产生对应告警），必须在1小时内提取攻击流量PCAP包，一方面临时添加自定义检测规则覆盖该攻击特征，48小时内验证规则有效性；另一方面同步提交厂商技术支持申请特征库更新，漏报事件必须记入月度安全报告。五、配置变更操作规范配置变更无审批、无验证是导致业务中断、检测失效的主要人为风险，所有配置操作必须遵循“备份-审批-验证-回退”的闭环流程，严禁随意在线调整规则。1.变更分级与审批要求◦重大变更：包括切换NIPS部署模式（旁路转在线）、批量调整规则动作（告警转阻断）、升级设备系统版本、修改流量接口配置。需提前3个工作日提交变更申请，附变更方案、回退方案、业务影响评估，经安全主管、对应业务部门负责人双审批后方可操作；操作窗口必须选择业务低峰期（凌晨0:00-4:00），操作时安排网络岗、业务岗联合值守，出现业务中断立刻执行回退，回退操作必须在10分钟内完成。◦一般变更：包括单条规则加白、单个IP封禁、特征库小版本升级、告警阈值微调。需提前1个工作日报安全主管审批，操作前备份当前配置，操作后验证30分钟无异常即可结束。◦紧急变更：发生正在进行的勒索病毒扩散、核心系统入侵等紧急场景，安全运维岗可先执行阻断操作，操作后1个工作日内补填变更审批单，说明紧急处置原因。2.操作禁令◦严禁在业务高峰期（9:00-18:00）开展任何配置变更操作（紧急处置除外），若确需在高峰期调整配置，必须先在测试环境验证配置无影响，经CIO审批后方可操作；◦严禁删除任何已处置的告警日志、操作日志，日志篡改行为按企业信息安全红线规定追责；◦严禁将生产环境设备的规则全局设置为“全阻断”模式，避免误拦合法业务流量。六、故障处置与应急响应设备故障直接导致入侵检测盲区，必须按照故障影响范围启动对应级别的响应，最短时间恢复检测能力，避免盲区期间的入侵行为漏过。1.故障分级与处置要求◦一级故障：设备宕机、在线NIPSBypass失效导致业务中断、核心节点设备流量检测中断超过10分钟。值班岗发现后立刻通知安全运维岗、网络岗、安全主管启动一级应急：①在线设备故障导致业务中断的，第一时间将设备两端网线直连切换至物理直通状态，5分钟内恢复业务链路；②宕机设备优先尝试重启恢复，重启后导入最近一次备份配置，验证流量检测正常；③若硬件故障无法启动，立刻调用备用设备替换，备用设备必须提前预装最新配置与规则库，替换上线时间不超过2小时；④故障期间（从设备故障到恢复检测的全时段），必须在边界防火墙临时开启IPS检测功能，核心服务器区开启HIDS高频监控弥补NIDS盲区，故障恢复后回溯盲区时段的全量流量日志，排查是否有入侵行为。◦二级故障：单检测节点丢包率超过5%、特征库升级失败、管理员账号异常锁定、存储分区满导致日志无法写入。安全运维岗接报后1小时内到场处置，4小时内恢复正常，处置期间调整相邻节点的检测范围覆盖该节点流量，留存故障处置记录。◦三级故障：单条规则失效、控制台界面显示异常、单端口流量统计错误。安全运维岗接报后4小时内响应，24小时内修复，不影响整体检测能力。2.故障复盘所有故障处置完成后3个工作日内，必须形成故障分析报告，明确故障根因、整改措施、预防方案，避免同类故障重复发生；若故障为设备性能不足导致（如流量超过设备额定检测带宽导致CPU持续过载），必须在1个月内完成设备扩容或流量拆分。七、账号与权限管理权限过度发放、账号共用是操作无法追溯、内部违规操作的核心风险源，必须严格遵循最小权限原则，实现所有操作可追溯到具体自然人。1.账号实名要求：所有设备账号必须对应具体工作人员，严禁多人共用一个管理员账号；临时账号必须设置有效期（最长不超过7天），到期自动禁用；2.权限分离要求：超级管理员账号仅由指定的2名安全运维岗人员持有，审计账号由安全主管持有，值班岗仅持有只读与告警确认权限，严禁给值班岗、第三方人员开放配置修改、规则调整权限；3.登录安全要求：所有设备登录必须开启双因素认证（密码+硬件令牌/企业微信二次验证），仅允许安全管理VLAN的IP段访问设备管理口，其他IP段访问一律阻断；连续180天未登录的账号自动禁用；4.离岗回收要求：人员岗位调整或离职时，必须在办理离岗手续当天收回其所有设备权限，修改对应账号密码，严禁离岗后保留账号访问权限。附件1：NIDS/NIPS日常巡检表巡检日期CPU利用率（%）内存利用率（%）端口丢包率（%）硬盘剩余空间（%）特征库发布日期当日高危告警数Bypass功能状态NTP同步状态异常说明巡检人签字附件2：入侵告警处置工单告警ID告警等级告警时间源IP/归属目的IP/业务系统攻击类型研判结果（真实攻击/误报）处置措施处置完成时间处置人签字复核人签字附件3：配置变更