信息安全运维方案广东移动

《信息安全运维方案广东移动》由会员分享，可在线阅读，更多相关《信息安全运维方案广东移动（46页珍藏版）》请在装配图网上搜索。

1、安全运维实施方案安全运维实施方案安全运维的重要性 随着信息安全管理体系和技术体系在企业领域的信息安全建设中不断推进， 占信息系统生命周期 70%- 80%的信息安全运维体系的建设已经越来越被广大用 户重视。尤其是随着信息系统建设工作从大规模建设阶段逐步转型到“建设和 运维”并举的发展阶段，运维人员需要管理越来越庞大的 IT 系统这样的情况下， 信息安全运维体系建设已经被提到了一个空前的高度上。运维服务的发展趋势对于企业的安全运维服务管理的发展， 通常可以将其分 为五个阶段：混乱、被动、主动、服务和价值阶段。1. 在混乱阶段：没有建立综合支持中心，没有用户通知机制；2. 在被动阶段：是开始关注事

2、件的发生和解决，关注信息资产，拥有了统 一的运维控制台和故障记录和备份机制；3. 在主动阶段：建立了安全运行的定义，并将系统性能，问题管理、可用 性管理、自动化与工作调度作为重点；4. 在服务阶段，已经可以支持任务计划和服务级别管理；5. 在价值阶段， 实现性能、安全和核心应用的紧密结合， 体现价值之所在。安全运维的定义通常安全运维包含两层含义：1. 是指在运维过程中对网络或系统发生病毒或黑客攻击等安全事件进行定位、防护、排除等运维动作，保障系统不受内、外界侵害2. 对运维过程中发生的基础环境、网络、安全、主机、中间件、数据库乃至 核心应用系统发生的影响其正常运行的事件（包含关联事件）通称为安

3、全 事件，而围绕安全事件、运维人员和信息资产， 依据具体流程而展开监控、 告警、响应、评估等运行维护活动，称为安全运维服务。目前，大多数企业还停留在被动的、传统意义上的安全运维服务，这样安全 运维服务存在以下弊端：1. 出现故障纵有众多单一的厂商管理工具，但无法迅速定位安全事件，忙于 “救火”，却又不知火因何而“着” 。时时处于被动服务之中，无法提供量 化的服务质量标准。2. 企业的信息系统管理仍在依靠各自的“业务骨干”支撑，缺少相应的流程 和知识积累，过多依赖于人。3. 对安全事件缺少关联性分析和评估分析，并且没有对安全事件定义明确的 处理流程，更多的是依靠人的经验和责任心，缺少必要的审核和

4、工具的支 撑。正是因为目前运维服务中存在的弊端，深信通公司依靠长期从事应用平台信息 系统运维服务的经验，同时结合信息安全保障体系建设中运维体系建设的要求， 遵循 ITIL （最佳实践指导）、ISO/IEC 27000 系列服务标准、以及中国移动广 东公司管理支撑系统 SOA规范等相关标准，建立了一整套完善和切实可行的 信息安全运维服务管理的建设方案。深信通安全运维五大架构体系建立安全运维监控中心基于关键业务点面向业务系统可用性和业务连续性进行合理布控和监测， 以 关键绩效指标指导和考核信息系统运行质量和运维管理工作的实施和执行，深信通帮助用户建立全面覆盖信息系统的监测中心，并对各类事件做出快速

5、、准确的定位和展现。实现对信息系统运行动态的快速掌握，以及运行维护管理过 程中的事前预警、事发时快速定位。其主要包括：1. 集中监控：采用开放的、遵循国际标准的、可扩展的架构，整合各类监 控管理工具的监控信息，实现对信息资产的集中监视、查看和管理的智 能化、可视化监控系统。 监控的主要内容包括： 基础环境、 网络、通信、 安全、主机、中间件、数据库和核心应用系统等。2. 综合展现：合理规划与布控，整合来自各种不同的监控管理工具和信息 源，进行标准化、归一化的处理，并进行过滤和归并，实现集中、综合 的展现。3. 快速定位和预警：经过同构和归并的信息，将依据预先配置的规则、事 件知识库、关联关系进

6、行快速的故障定位，并根据预警条件进行预警。 建立安全运维告警中心基于规则配置和自动关联，实现对监控采集、同构、归并的信息的智能关联 判别，并综合的展现信息系统中发生的预警和告警事件，帮助运维管理人员快 速定位、排查问题所在。同时， 告警中心提供多种告警响应方式， 内置与事件响应中心的工单和预案 处理接口，可依据事件关联和响应规则的定义，触发相应的预案处理，实现运 维管理过程中突发事件和问题处理的自动化和智能化。其中只要包括：事件基础库维护：是事件知识库的基础定义，内置大量的标准事件，按事件 类型进行合理划分和维护管理，可基于事件名称和事件描述信息进行归一化处 理的配置，定义了多源、异构信息的同

7、构规则和过滤规则。智能关联分析：借助基于规则的分析算法，对获取的各类信息进行分析，找 到信息之间的逻辑关系，结合安全事件产生的网络环境、资产重要程度，对安 全事件进行深度分析，消除安全事件的误报和重复报警。综合查询和展现： 实现了多种视角的故障告警信息和业务预警信息的查询和 集中展现。告警响应和处理：提供了事件生成、过滤、短信告警、邮件告警、自动派发 工单、启动预案等多种响应方式，内置监控界面的图形化告警方式；提供了与 事件响应中心的智能接口，可基于事件关联响应规则自动生成工单并触发相应 的预案工作流进行处理。建立安全运维事件响应中心借鉴并融合了 ITIL （信息系统基础设施库） /ITSM（

8、 IT 服务管理）的先进管 理规范和最佳实践指南，借助工作流模型参考等标准，开发图形化、可配置的 工作流程管理系统， 将运维管理工作以任务和工作单传递的方式， 通过科学的、 符合用户运维管理规范的工作流程进行处置，在处理过程中实现电子化的自动 流转，无需人工干预，缩短了流程周期，减少人工错误，并实现对事件、问题 处理过程中的各个环节的追踪、监督和审计。其中包括：图形化的工作流建模工具： 实现预案建模的图形化管理， 简单易用的预案流 程的创建和维护，简洁的工作流仿真和验证。可配置的预案流程： 所有运维管理流程均可由用户自行配置定义， 即可实现 ITIL/ITSM 的主要运维管理流程， 又可根据用

9、户的实际管理要求和规范， 配置个 性化的任务、事件处理流程。智能化的自动派单： 智能的规则匹配和处理， 基于用户管理规范的自动处理， 降低事件、任务发起到处理的延时，以及人工派发的误差。全程的事件处理监控： 实现对事件响应处理全过程的跟踪记录和监控， 根据ITIL 管理建议和用户运维要求，对事件处理的响应时限和处理时限的监督和催 办。事件处理经验的积累： 实现对事件处理过程的备案和综合查询， 帮助用户在处理事件时查找历史处理记录和流程，为运维管理工作积累经验。建立安全运维审核评估中心该中心提供对信息系统运行质量、 服务水平、运维管理工作绩效的综合评估、 考核、审计管理功能。其中包括：评估：遵循

10、国际和工业标准及指南建立平台的运行质量评估框架， 通过评估模型使用户了解运维需求、认知运行风险、采取相应的保护 和控制，有效的保证信息系统的建设投入与运行风险的平衡，系统地 保证信息化建设的投资效益，提高关键业务应用的连续性。考核：是为了在评价过程中避免主观臆断和片面随意性，应实现工作量、工 作效率、处理考核、状态考核等功能。审计： 是以跨平台多数据源信息安全审计为框架， 以电子数据处理审计为基 础的信息审计系统。主要包括：系统流程和输入输出数据以及数据接口的完整 性、合规性、有效性、真实性审计。以信息资产管理为核心IT 资产管理是全面实现信息系统运行维护管理的基础，提供的丰富的 IT 资 产

11、信息属性维护和备案管理，以及对业务应用系统的备案和配置管理基于关键业务点配置关键业务的基础设施关联， 通过资产对象信息配置丰富 业务应用系统的运行维护内容，实现各类 IT 基础设施与用户关键业务的有机结 合，以及全面的综合监控。这其中包括：综合运行态势： 是全面整合现有各类设备和系统的各类异构信息， 包括网络 设备、安全设备、应用系统和终端管理中各种事件，经过分析后的综合展现界 面，注重对信息系统的运行状态、综合态势的宏观展示。系统采集管理：以信息系统内各种 IT 资源及各个核心业务系统的监控管理 为主线，采集相关异构监控系统的信息，通过对不同来源的信息数据的整合、 同构、规格化处理、规则匹配

12、，生成面向运行维护管理的事件数据，实现信息 的共享和标准化。系统配置管理： 从系统容错、 数据备份与恢复和运行监控三个方面着手建立 自身的运行维护体系，采用平台监测器实时监测、运行检测工具主动检查相结 合的方式，构建一个安全稳定的系统。安全管理原则1. 深信通负责业务支撑中心的安全、保密管理工作，遵守南方基地已有各 项安全规定，以此为基础制定详细的安全管理实施办法 ，并采取适当 措施保证有关措施的有效执行。2. 深信通定期检查安全、保密规定的执行情况；3. 深信通定期组织系统病毒检查，并对此负责；4. 深信通及时向信息技术中心反映存在的安全隐患。保密原则1. 深信通严格遵守南方基地各项安全保密

13、制度，加强服务工程师的保密意 识，制定有效的管2. 深信通整理措施和技术措施， 防止重要数据、 文件、资料的丢失及泄漏。3. 深信通有关计费清单、用户资料、业务数据、重要文件等均属机密，不 得任意抄录、复制及带出机房，也不得转告与工作无关的人员。4. 机房内重要文件、数据的销毁，应全部送入碎纸机，不得任意丢弃。5. 安全保密工作深信通安排专人负责，定期向信息技术中心提交安全工 作报告。硬件层安全运维机房安全运维基础网络安全运维人员管理安全运维应用层安全运维1. 对于南方基地管理支撑应用的帐户，必需遵循南方基地管理支撑系统帐号 密码管理办法（ V2.0 ），并结合实际情况，补充并完善相关管理办法

14、。2. 系统用户帐号原则上不允许存在共享帐号，所有帐号必须明确至个人；由于 系统特殊原因必须使用共享帐号的情况下，系统必须制订对共享帐号的审核 授权流程，明确共享帐号的有效期以及使用帐号人员资料。3. 用户帐号原则上采用用户中文名称的汉语拼音，当遇到用户的中文汉语拼音 相同时，系统将为重复的帐号后加上顺序号， 如此类推，如：liming , liming2 liming3 ，liming5 顺序号将避开数字 4。4. 各系统用户数据属性应包括用户中文姓名和用户中文 ID ，原则上用户中文ID 就是用户姓名，当不同用户具有相同中文名称时，系统除了按 2、3 的命 名规范为其分配用户帐号外，用户中

15、文 ID 后面加上与帐号一致的后缀。而 用户的中文名后面不加顺序号。如：5. 公司6. 姓名7. 中文ID8. 帐号9. 邮件10. 省公 司11.李明12.李明13.liming14. 清远移动15.黎明16.黎明17.liming218.liming219. 深圳公司20.李明21.李明322.liming323. 图 错误！文档中没有指定样式的文字。 -1 帐号说明24. 测试人员和代维人员帐号：各系统测试人员和代维人员帐号原则上应以该系 统的英文缩写作为前缀加上用户名称的汉语拼音生成。25. 各系统用户密码长度不得低于 6 位；不得采用弱密码（弱密码定义参见南 方基地管理支撑系统帐号密

16、码管理办法 ）；最少每 90 天必须强制用户更改密码；并不得使用 5 次以内重复的密码；登录系统时，如重复尝试 3次不成功，则系统暂停该帐号登录功能26. 园区信息化系统安全体系27系统平台管理28. 检查点29. 检查要求30. 交付物31. 日常维护32.核心系统及关键服务器定义33. 需对关键系统和服 务器有清晰的定义 （如 DNS/DHC、P防 病毒等影响全网层 面的服务器、承载重 要业务或包含敏感 信息的系统等）34. 核心业务、关键服务器列表35. 应急 与演 练36. 园区信息化系统和 关键服务器需有详 尽故障应急预案37. 应急预案38.应定期进行相关应急演练，并形成演练 报告

17、，保证每年所有 的平台和关键服务 器都至少进行一次 演练39. 应急演练报告40. 根据应急演练结果更新应急预案， 并保 留更新记录， 记录至 少保留 3 年41. 应急预案更新 记录，预案版 本记录43.系统所涉及不同层 面（如系统的重要 性、操作系统 / 数据 库）应当制定数据的 备份恢复以及备份 介质管理制度44. 备份管理制度，包括备份策略管理制度与备份介质管理制度45.系统所涉及不同层46. 备份管理制面应根据业务要求度，包括备份制定数据的本地和策略管理制度异地备份 （存放） 策与备份介质管略理制度47.相关人员对本地和48. 策略审核表，异地备份策略的结加入备份管理果进行每季度审核

18、制度49. 备份的数据进行恢复性测试，确保数据的可用性，每年不少50. 备份恢复应急 演练记录42.备份管理于一次51.相关人员对备份介 质的更换记录进行 每半年审核52. 备份介质更换记录表，加入备份管理制度53.相关人员对备份介 质的销毁记录进行 每半年审核54. 备份介质销毁记录表，加入备份管理制度55.故障管理56.各地市需制定相应 的园区信息化系统 及服务器故障处理 流程57. 故障处理流程58.系统中发现的异常 情况由系统维护人 员根据相关流程在 规定时间内处理59. 故障处理流程60. 故障处理完成后必 须留有相应的故障 处理记录61. 故障处理报告62.上线63. 为保障设备接

19、入网络的安全性，设备上64.1 、企业网接入管理线前必须安装防病 毒系统及更新操作 系统补丁，并对设备 进行进行安全扫描 评估，针对安全漏洞 进行安全加固66.为避免系统上线对 其它系统和设备造 成影响，发布前必须 对系统应用站点、 数 据库、后台服务、网 络端口进行安全评 估。系统投入正式运 营前必须在测试环 境中对系统进行模 拟运行一周以上69. 系统上线之后如需 对系统进行功能更 新，必须由系统管理 员或系统管理员指 定专门维护人员进 行更新操作， 严格按管理办法65.2 、接入记录67.1 、应用系统接入申请流程68.2 、接入记录70.1 、应用系统更新申请流程71.2 、更新记录照

20、公司安全管理规范执行72.Web应用应根据业务 需求与安全设计原 则进行安全编码 , 合 理划分帐号权限， 确 保用户帐号密码安 全 , 加强敏感数据安 全保护，提供详细的 日志73.1 、中国移动门 户网站安全技 术规范 V1.0_20 101229_1832_ （全部合订）74.2 、根据规范对 开发规范进行 修正，用户名 密码的管理要 求、敏感数据 的管理要求、 系统日志的开 发要求75.3 、现有应用的 安全检查78. 扫描记录与扫描结果报告77.定期进行服务器漏76.漏洞洞扫描，并根据漏洞与防扫描报告封堵高危病毒漏洞，每季度至少对所有服务器扫描一次79. 需建立统一的 WSUS 服务

21、器，并每季度对 关键服务器进行高 危漏洞升级， 并留有 升级记录80.1 、WSUS服务 器中的关键更 新的补丁清 单，每个月 1 份81.2 、应用服务器 端每次更新的 补丁清单82. 任何终端必须安装 正版防病毒软件， 且 保证 90%以上病毒库 最新（五日以内）83. 防病毒检查记录84. 每周检查防病毒软 件隔离区， 排除病毒 威胁85. 防病毒检查记录86.核心系统和关87.在操作系统层、 数据 库层、应用层建立日 志记录功能， 日志记88.1 、操作系统层日志策略录中保存 1 年的内 容，日志安全记录能 够关联操作用户的 身份89.2 、数据库日志 策略90.3 、应用层日志 要求

22、加入开发 规范中91.操作系统日志中需记录“账户管理”“登 录事件”“策略更改” “系统事件”等内容92. 操作系统层日志策略93. 操作行为记录需进行定期审计94.数据库层日志需记 录每次数据库操作 的内容95. 数据库日志策略96. 应用层日志需记录 每次应用系统出错 的信息97. 应用层日志要 求加入开发规 范中98.检查关键错误日志、 应用程序日志中的 关键错误记录， 保证键服务器日志审计日志审核正常99. 关键访问与操作应 立即启用日志记录 功能，避免因日志记 录不全，造成入侵后 无法被追踪的问题100. 信息发布管 理101. 每天检查平台短 信发送、接收的可用 性102. 每天短

23、信检查记录103. 短信必须设置关 键字过滤，每个月进 行关键字更新， 并检 查其有效性104. 短信关键字更新记录， 有效性检查记 录105. 信息防泄密106. 需对所有园区信 息化系统、应用系统 的核心信息进行清 晰的界定，核心信息 包括但不限于涉及 客户资料、客户账户 信息、客户密码、操 作记录107. 应用系统 - 核心信息矩阵 图109. 应用系统 核心信息管理 制度114. 1、账号管理办法115. 2、账号申请表108. 需对核心信息设定保密措施110. 对核心信息的操 作进行特殊监控， 并 留下记录113. 服务器上任何账 号必须有审批人员 审核确认111. 访问控制112.

24、 账号密码管理116. 所有系统和服务 器上账号必须每季 度进行审核117. 账号审核表118. 密码复杂度要求：121. 1、密码修改记录表122. 2、历史密码记录表119. 一静态密码：密码应至少每 90 天 进行更新，密码长度 应至少 6 位或以上， 密码应由大小写字 母、数字或标点符号129. 应用层的漏洞扫描，实现对南方基地园区信息化系统上的所有系统进行 安全扫描， 做好应用防护，防止出现 SQL 注入、网页后门程序、跨站脚本 等重大安全漏洞，避免因 2 应用系统自身漏洞造成敏感信息泄露的安全问题；130. 服务器报警策略131. 报警策略管理是防止集群中的服务器某个压力值过高或者

25、过低而造成集 群性能的降低，通过报警策略的设定，管理可以及时的察觉每个服务器的故 障并进行及时修正，保证集群最有效的工作状态。管理员可以根据服务器的不同应用，通过报警策略的类型、极限参数和警告内容的设置，将报警策略赋予服务器，并产生报警日志。132. 用户密码策略133. 密码策略用于应用接入平台用户身份模块中用户账户。它确定用户账户密码设置，例如：密码复杂度、密码历史等设置。134. 用户安全策略135. 用户安全策略用于应用接入平台权限设置。它确定用户身份权限设置， 例如：能访问服务器的那个磁盘，此用户身份能运行那个业务程序等设置。136. 访问控制策略137. 管理员通过访问控制策略来限

26、定用户和客户端计算机以及时间等因素的绑定来实现用户安全访问应用程序的设置。138. 时间策略139. 通过对访问该应用程序及使用的用户身份进行时间限制，从而提升对发 布的应用程序的访问安全，使其只能在特定时间与被确认身份的用户身份所 使用。防止被恶意用户不正当的访问。1.1.1 备份安全指遵照相关的数据备份管理规定，对园区信息化系统及其产品的数据信息进行备份和还原操作。根据园区信息化系统及其产品的数据重要性和应用类别，把需要备份的数据分为数据库、系统附件、应用程序 三部分。1. 每周检查 NBU备份系统期备份结果检查， 处理相关问题。 备份系统状态、 备份策略检查，对备份策略以及备份状态检查以

27、及调优，主要服务器变更、 应用统一接入等1.1.2 防病毒安全1. 导出防病毒安全检查报告、对有风险和中毒的文件与数据进行检查2. 对病毒分析处理3. 定期检测病毒，防止病毒对系统的影响1.1.3 系统安全1. 定期修改系统 Administrator 密码：主要修改 AD、Cluster 、服务器密码；2. 安装操作系统补丁，系统重启，应用系统检查测试3. 数据库的账号、密码管理，保证数据库系统安全和数据安全4. 对系统用户的系统登录、使用情况进行检查，对系统日志进行日常审计1.1.4 主动安全1. 监控 Agent 的配置与管理，对端对端监控产生检查结果核实，处理相应 问题2. 园区信息化

28、所有系统需有详尽故障应急预案3. 应定期进行相关应急演练，并形成演练报告，保证每年所有的平台和关 键服务器都至少进行一次演练4. 根据应急演练结果更新应急预案，并保留更新记录，记录至少保留 3 年1.1.5 系统及网络安全1. 流量分析( netscount )深信通根据南方基地的安全及分析需求， 提供 netscount 分析服务支撑，对各系统性能提供全面分析。并提供优化建议及方案。2. 应用分析（ splunk ）深信通根据南方基地的园区信息化系统安全， 建立 splunk 的日志分析服 务，并针对日志进行全面分析。对系统的安全、保障提供优化建议及优化方 案。3. 提供流量分析和应用分析提

29、供 10 个以上的专题分析报告，并根据报告提 供具体的实施方案及优化手段。4. 根据优化建议及方案对平台及网络进行安全整改，以全面提升平台的性 能、安全，解决瓶颈。1.1.6 防篡改防攻击1. 网页文件保护，通过系统内核层的文件驱动，按照用户配置的进程及路 径访问规则设置网站目录、文件的读写权限，确保网页文件不被非法篡改。2. 网络攻击防护， Web核心模块对每个请求进行合法性检测， 对非法请求或 恶意扫描请求进行屏蔽，防止 SQL注入式攻击。3. 集中管理，通过管理服务器集中管理多台服务器， 监测多主机实时状态， 制定保护规则。4. 安全网站发布，使用传输模块从管理服务器的镜像站点直接更新受

30、保护 的网站目录，数据通过 SSL加密传输，杜绝传输过程的被篡改的可能。5. 网站备份还原，通过管理控制端进行站点备份及还原。6. 网页流出检查，在请求浏览客户端请求站点网页时触发网页流出检查，对被篡改的 网页进行实时恢复，再次确保被篡改的网页不会被公众浏览。7. 实时报警， 系统日志，手机短信， 电子邮件多种方式提供非法访问报警。8. 管理员权限分级，可对管理员及监控端分配不同的权限组合。9. 日志审计，提供管理员行为日志，监控端保护日志查询审计。10. 对站点主机进行监控，对 CPU，内存，流量的作统计，以便实时监控站点 服务器的运作情况。11. 站点系统账号监控，对站点服务器的账号进行监

31、控，对账号的修改，添 加等改动有阻拦和日志记录及报警，使站点服务器更加安全。1.1.7 合理授权1. 合理授权的定义：合理授权是指对 IT 管理支撑应用系统及其相关资源的访 问设定严格的授权审批机制，确保 IT 管理支撑应用系统的安全性。2. 为了保证南方基地 IT 管理支撑应用系统的安全性，确保相关 IT 资源的访问 经过合理授权，所有 IT 管理支撑应用系统及其相关资源的访问必须遵照申 请 评估 授权 的合理授权管理流程。3. 需要合理授权的 IT 资源包括但不局限于应用系统的测试环境、程序版本管 理服务器、正式环境（包括应用服务器和数据服务器等） 。4. 申请：由访问者（一般是应用开发商

32、、应用系统管理员等）提交书面的访问 申请表（书面访问申请表，包括但不局限于纸质、 Word文档以及电子邮件等） ， 提交安全管理员 （一般是系统管理员或者专职的安全管理员） 进行风险评估。5. 评估：安全管理员对接到的访问申请书进行风险评估，并根据访问者及被访问 IT 资源的具体情况，进行灵活处理。6. 授权：在访问申请表通过安全风险评估后，安全管理员会对访问者进行合理 授权。原则上，对程序版本管理服务器和正式环境的访问申请，安全管理员 必需根据有关管理流程给出正式授权，以满足安全审计的要求。7. 各系统超级管理员帐号的分配，必须由系统负责人员提出书面申请，申请内 容应包括系统名称、 帐号、帐

33、号有效期、帐号使用负责人、 帐号权限等内容， 由部门副经理或以上的管理人员进行审核批准后，超级管理员帐号方可生效。8. 系统超级管理员密码设置应符合本管理办法中用户密码管理的相关规则；各 系统应最少每 90 天对超级管理员帐号进行审查，并且将审查结果写入书面 记录，由部门副经理或以上管理人员审核存档。9. 各应用层超级管理员帐号的分配，必须由系统负责人员提出书面申请，申请 内容应包括应用系统名称、帐号、帐号有效期、帐号使用负责人、帐号权限 等内容，由部门副经理或以上的管理人员进行审核批准后，超级管理员帐号 方可生效。10. 应用层超级管理员密码设置应符合本管理办法中用户密码管理的相关规则； 各

34、系统应最少每 90 天对超级管理员帐号进行审查，并且将审查结果写入书 面记录，由部门副经理或以上管理人员审核存档。11. 为了保证帐号安全管理，各系统应最少每 90 天对本系统涉及的帐号（包括 各类管理员帐号和普通用户帐号）进行检查，对已经超过有效期的帐号进行 清理，对不符合管理规范的帐号进行补充授权与审批。12. 各系统私有测试帐号和代维人员帐号：由各系统管理员自行管理。13. 关于帐号申请、授权、登记、变更等管理表格详见附件八帐号管理相关表 格1.1.8 安全隔离14. 安全隔离的定义：安全隔离是指对 IT 应用系统的相关数据（包括应用系统 的程序代码、数据文件等）进行逻辑隔离、物理隔离等

35、，以确保应用系统的 安全性。如果开发商在开发、维护合作过程当中可能接触到我公司的敏感数 据，必须与南方基地签订安全保密协议。15. 对安全等级为机密的 IT 应用系统（包括但不局限于企业内部的机密档案信 息等），我们需要对它的有关数据进行物理隔离，以提高应用系统的安全防 范能力；对安全等级为秘密的 IT 应用系统以及应用系统的基础数据（如综 合应用平台的基础数据、组织架构等） ，需要进行逻辑隔离。系统应用层面 的访问必须通过帐号进行访问，系统的帐号及口令管理参照本规定的帐号管 理部分。16. 应用系统管理员或者专职的安全管理员应根据具体应用系统的数据的敏感 度制定相应的安全隔离措施，具体措施包

36、括但不限于访问控制列表、安全加 固、文件系统权限设定等。1.1.9 安全审计17. 安全审计的定义：安全审计是指出于安全考虑，通过对 IT 应用系统的异动 记录、操作过程、数据转换等进行详细记录， 为事后的侦察和取证提供依据。18. 安全审计的范围：我们需要对一些重要的具有较高安全风险的操作进行安全 审计，操作系统层、应用系统层以及数据库层的所有重要操作，特别是管理 层认定对财务报表有关的操作留有系统日志。系统日志由系统主管部门根据 风险和重要性的原则确定检查内容（如超级管理员的帐户登陆操作、正式环 境的访问、数据转换的操作活动、版本升级的操作活动、补丁升级操作活动 等等）负责每月进行审核。系

37、统所需的自动或手动批处理作业应制定作业安 排计划，留有电子或纸质文档操作说明。自动批处理作业应在系统中留有运 行日志记录，手工批处理作业的执行结果由批处理操作人员负责检察确认。 只有授权的系统维护人员可以在系统中维护作业安排计划或安排手工作业 安排计划，批处理计划上线前都必需通过测试，并由相关人员签字审批。19. 安全审计的管理流程：每年至少举行一次全范围的安全审计活动，具体操作 可以结合管理支撑系统的年终巡检等活动，由南方基地管理信息部根据实际 情况自行决定。20. 统一用户管理的安全审计： 用户帐户信息（包括组织单元属性、 岗位属性等） 是所有应用系统最基础的数据，用户帐户所对应的应用系统

38、访问权限（这里 特指是否对应用系统具有访问权限，而不考虑在应用系统本身的具体授权） 是安全管理的重要内容，因此原则上需要对用户的异动信息及应用系统访问 权限进行安全审计，以提高整个 IT 管理支撑应用系统的安全性。21. 安全审计的目的：在指定周期内对信息系统的系统（操作系统、数据库）用 户、系统管理员、应用层面的用户、系统批处理任务等涉及财务报表的操作 进行安全审计。22. 流程：23. 图 信息系统安全审计流程24. 说明：系统安全审计由各系统安全审计员发起，本流程涉及角色为：安全审 计员、安全管理员、应用管理员以及各系统使用相关部门。25. 工具：附件九帐号清单审核表 、附件十系统权限，

39、用户责任权限矩阵 表、附件十一系统安全审计报告 。26. 统一用户管理的安全审计：用户帐户信息（包括组织单元属性、岗位角色属 性等）是所有应用系统最基础的数据，用户帐户所对应的应用系统访问权限 （这里特指是否对应用系统具有访问权限，而不考虑在应用系统本身的具体 授权）是安全管理的重要内容，因此原则上需要对用户的异动信息及应用系 统访问权限进行安全审计，以提高整个 IT 应用系统的安全性。当南方基地 或业务发生重大变更或半年时，系统主管部门应组织各使用系统的部门对系 统用户的访问权限清单进行审阅，以合理确保用户在系统中的权限与其职责 相符；操作系统、数据库层超级用户的账号 （ 比如根用户，系统管

40、理员，批 处理用户账号，数据库管理员 ） 、预设的用户帐号、第三方人员帐号的授权 应具备书面审批记录表格，各责任部门负责人或第三方人员对其进行复核签 字确认，并根据审阅结果对多余或不恰当的账号进行调整。27. 版本管理的安全审计：需要对所有 IT 应用系统的源代码、运行代码、配置文件、数据库文件等的版本变更过程进行安全审计。1.1.10 系统扫描分析1.1.11 系统扫描深信通为了深化自身服务能力，自购了相关扫描工具如：1. 系统维护工具：天镜脆弱性扫描与管理系统、 Microsoft Baseline SecurityAnalyzer 2.22. 系统基线扫描工具：绿盟的基线扫描3. 应用维

41、护工具： IBM Rational AppScan 、NBSI_3.0、微软 Web压力测试工具 (Microsoft Web Application Stress Tool)4. 以满足南方基地和系统的安全需要：5. 以下对系统扫描工作 GFI LANguard 进行阐述1. 系统安全扫描工作 GFI LANguardGFI LANguard 功能：扫描、检查、评估并帮助修补安全网络漏洞。管理整个网络部署与管理补丁和服务程序包， 自动检查并删除未经 授权的应用程序。可以扫描识别出多种主流防毒软件安装及病毒库更新情况。拥有强大的报告系统， 能够对服务器的安全策略和整体系统环境做 出来安全评定。

42、提供一个完整的网络拓扑。整个网络安全历史记录。完整的文本搜索。修复中心控制台。 支持虚拟主机的扫描。GFI LANguard 优势GFI LANguard 可以在几分钟内完成几百甚至上千的电脑的扫描，不止支持 Microsoft 系统还支持 Linux 、Unix 操作系统、 路由器、 交 换机和无线设备等系统的漏洞扫描， 能够检查工作站中不必要的共 享、开放端口和未用帐号。GFI LANguard 集成了 1000 多款安全软件的信息，能集中管理整个 网络部署的服务及安装程序， 并可以集中分发安装用户所需的应用 程序，可以自动检查并删除未经授权的应用程序，对Windows 操作系统进行统一的

43、补丁更新管理， 可以一次性得到各台服务器上需要 安装补丁列表，并批量进行安装。支持报警功能，告知用户什么时 候有产品的更新。 LANguard 都将通知管理员， 具体类型分为： 防病 毒、防间谍、防火墙、防钓鱼、备份客户端等。 LANguard2011 能报 告他们的状态并提示任何需要注意的潜在问题。LANguard 可以扫描识别出多种主流防毒软件安装及病毒库更新情 况，并生成报告告之用户及时更新病毒库或者提醒用户安装杀毒软 件。GFI LANguard 加入了一个功能强大、可以互动的全新仪表盘。它能 根据安全审计信息给出现有网络安全的一个概要， 连同一份网络变 化情况的所有历史记录。它还能在

44、问题出现时触发安全报警器。用 丰富的报告系统， 来显示用户的网络状况， 可以用来分析网络漏洞， 识别问题，预防故障的产生，可以通过 LANguard 查看整个网络拓扑信息，来查看系统状态、软件版本，及硬件概况来帮助行政部门。LANguard 支持针对单个目标扫描或者地址段甚至整域扫描， 并生成 用户报告。该报告包括系统状态，软件详细，端口的使用及补丁的 状态及硬件概况。客户端程序也可以定时自动上传客户机状态到 LANguard 服务器。只要一打开 LANguard 程序 , 管理员就有一份完全 且即时的网络安全状况列表。 所有的报告将基于所扫描电脑的当前 状态，而不是某些特定的安全检查。 这些

45、报告可以导出为 PDF、HTML、 XLS、XLSX、RTF和 CVS文件， 同时可以通过计划任务发送到特定邮 箱。这些模板报告可以自定义，还能加上自定义的 logo 。GFI LANguard 可以帮助用户快速找到他们想要的信息。 查找网络扫 描结果简单地就像上网搜索一样，查找到的结果将指向相关项。用 户不仅可以查找现在和以往的事件日志， 还能对特定的产品的漏洞、 已安装的程序，和未打的补丁进行搜索。同时，用户还能保存、打 印、查询这些扫描报告。GFI LANguard 修复中心控制台可以从一个中央位置修复漏洞， 并监 控修复任务的状态，并浏览所有已执行修复任务的历史记录。GFI LANgu

46、ard 支持虚拟环境的扫描， 可以检测到被扫描电脑上的虚 拟主机，这样管理员可以更好地全览虚拟环境架构。图 GFI 扫描报告1.1.12 分析报告1. 服务器基本健康性分析服务器能正常启动与运行 服务与应用程序能正常启动与运行 客户端能正常地连接和访问网络服务与应用程序 Event Logs 中的关键错误日志 应用程序日志中的关键错误记录 各逻辑磁盘空间使用和剩余状况图 基本健康分析服务器性能分析内存Memory Available MbytesMemory Pages/sec处理器Processor %Processor Time Processor Interrupts/sec Syste

47、m Processor Queue Length System Context Switches/Sec 磁盘PhysicalDisk % Disk TimePhysicalDisk Avg. Disk Queue LengthPhysicalDisk Disk Reads/secPhysicalDisk Disk Writes/sec网络Network Interface Bytes Total/secNetwork Interface Bytes Sent/secNetwork Interface Bytes Received/sec 图 服务器性能分析服务器安全性检查Windows Se

48、rvice Pack 是否最新 操作系统补丁是否最新 是否安装防病毒软件并保持更新 未更新的安全修补程序 高安全风险漏洞 注册表安全风险漏洞 密码策略审核策略 自动加载的程序 开放的 TCP端口 图服务器安全性报告总体评估总体结论 服务器基本健康状态结论 服务器性能结论 服务器安全性结论图 总结安全应急响应深信通“安全应急响应”服务向客户公司提供必须的资源来完善 安全防护，抵抗攻击，进行安全修复，并减少未来安全漏洞产生的可 能性。安全响应服务提供了快捷的服务支持和724 的紧急响应服务，保证网络安全无忧，预防危险发生。在目前 IT 运维服务领域上， 深信通的安全响应是同行业中出类拔 萃的，提供

49、计算机反击、事故反应、诉讼支持等咨询顾问服务。无论 相关数据以任何形式存在或栖身与任何地方， 使用专用的工具和方法， 我们的专家能够发现并抽取相关的有害数据，我们的专家队伍拥有多 种专业技能，包括攻击识别、反击技术、介质取证、安全修复，这一 切都将成为企业的强大的后盾。紧急响应服务种类包括以下几个方面入侵调查 当入侵事件正在发生或已经发生，深信通安全专家协助客户进行事件 调查、 保存证据、查找后门、追查来源等，同时提供事件处理报告以及后续 的安全状况跟踪。主机、网络异常响应 当主机或者网络异常事件正在发生或已经发生，深信通安全专家协助 客户进 行事件调查、保存证据、查找问题的原因、追查来源等，

50、同时提供事 件处理报告以及后续的安全状况跟踪。其他紧急事件只有出现了上述严重影响网络、主机正常运行的安全事件才启用紧急 响应服务，其他日常安全事件均属于安全咨询及日常安全事件处理服 务范围。安全应急响应服务也可以帮助客户公司预防未来的攻击，高 效地进行攻击发生时和事后的调查及收取攻击证据等工作，为起诉罪 犯提供法律依据。作为一个规范的信息安全运维服务商，深信通有一 整套紧急响应机制，同时也具备处理各种紧急事件经验的工程师。我 们把安全应急服务分为三等，具体请参见下表：服务等级服务内容适用对象一级基本的反应策略与流程 58 小时事件响应、 处理及恢复服务 电话、传真、 email 技术支持 24

51、 小时内现场技术 支持事故处理报告日常运营期间，不 影响用户业务的普 通安全事件处理二级完整的反应策略与流程724 小时事件响应、处理及 恢复服务电话、传真、 email 技术支持4 小时内现场技术支持事故处理报告节假日期间，较为严重的安全事故三级完整的反应策略与流程重大事件、节假日724 小时事件响应、应急响期间，用户业务重应、处理及恢复服务要性、时效性很强，电话、传真、 email 技术支持发生严重影响用户2 小时内现场技术支持业务开展，需要立安全专家现场守候服务 事故处理报告 安全突发事故反应预演 两周内跟踪服务即解决的突发事故应急响应流程遇到安全事件的发生， 一般应该及时采取汇报机制。

52、 参考要求如下：1. 任何系统用户发现系统运行可疑现象后，立即报告本部门安全 保密管理员；2. 安全保密管理员应尽可能采取相应措施保护现场，并在 1 小时 内向应急响应小组进行报告，同时报本部门安全主管领导，召 集安全应急服务厂商；3. 应急响应小组和安全服务厂商应在 2 小时内确定现象的性质， 并采取措施， 收集现场数据， 避免严重安全后果的发生， 同时， 对于安全事故，要上报信息安全领导小组；4. 安全保密领导小组根据事故的性质，向相应的国家主管部门进 行报告。汇报完毕，将事故定性之后，接到上级指示，对于被破坏的系统 和数据，采取可行的措施进行恢复，使之重新正常运行。安全紧急响 应服务内容

53、如下：服务确认临时支持账号远程紧急响应本地紧急响应响应情况简报 紧急响应服务报告 事故跟踪分析报告 具体流程如下：对于每一个安全事件的处理， 可以参照如上图所示的安全事故应急 响应处理流程，具体流程包括：1、记录系统安全事件， 记录事件的每一环节， 包括事件的时间、 地点 要 打印拷贝、记录拷贝时间、记录对话内容，并尽可能采用自动化的记 录方法。2、系统安全事件核实与判断 核实系统安全事件真实性 判断系统安全事件类型和范围 判断系统安全事件危害性 确定事件的威胁级别3、系统安全事件现场处理方案选择克制态度紧急消除紧急恢复切换监视跟踪查证辅助代码开发报警权力机关的反击4、系统安全事件处理服务和过

54、程， 系统安全事件处理过程本身需要工 具，需要专门处理安全事件的服务和过程。 这些过程包括： 拷贝过程、 监视过程、跟踪过程、报警过程、通报过程、对话过程、消除过程、 恢复过程和其它过程等。5、系统安全事件后处理，包括事件后消除、弥补系统脆弱性、分析原 因、总结教训、完善安全策略、服务和过程。风险控制 风险控制的目标：风险的事前识别、分析和定位，从而制定相关的风 险应对策略，减低风险对项目产生的影响。风险控制的原则：对于高风险（即高频度、影响大）的风险要尽量进 行规避，对低风险进行管理、分析和识别。为规避风险， 运维人员应定期进行风险检控， 制定风险评估管理计划， 提交运维管理员进行审批，并召

55、集人员进行风险评估。跟踪风险，风险随着时间在变化，原则上定期进行风险跟踪并按照变 化情况修改风险列表。需要对风险进行控制。运维人员将已经消失的风险放入数据库作为过 期的风险，围绕它的所有流程和过程均被保留。图 9.4-1 应急演练管理方法制度办法参照广东移动运维的管理制度，如图所示图 9.4-2 平台运维管理制度风险评估 根据运维情况，结合运维管理制度、平台基础架构，做出风险评估， 如表 4-10 所示。图 9.4-3 风险评估表应急预案 根据第二步做出的风险评估，针对技术相关核心问题，制定园区信息 化系统相关应急预案。应急演练 根据第三步制定的应急预案，为了提升运维的安全可靠实施，进行周 期

56、的应急演练。应急演练完成后，对演练结果进行学习，从而发现新的不足，达到持 续改进的目的。全省知识总结和分享1.1.13 运维知识总结分享 深信通除了南方基地本身的知识积累外，同时还利用和横向运维的优 势，自 2011 年七月以来，每月都会总结日常碰到的技术和管理难题， 深信通会组织相关技术和管理人才深度分析解决处理相关问题，同时 每月分享给全省用户，以下是 7 月以来所有的研究主题：Web网站常见三种漏洞及解决办法 2013 年 1 月 自建系统转维相关交接体系与过程管理 2013 年 2 月 自动化运维之监控工具 2013 年 03 月IIS 应用程序池的深入解析 2013 年 04 月Hy

57、per-V 实用配置及管理工具汇总 2013 年 05 月 补丁安全引发的思考 2013 年 06 月Weblogic 服务器的性能调试优化方案 2013 年 07 月SQL Server 2008 日常管理之备份与恢复 2013 年 08 月 配置管理软件基于 linux 环境下的软件信息收集 -2013 年 09 月 IT 运维自动化 - 自动化事件、故障处理 -2013 年 10 月 以下是有关九月份配置管理软件基于 linux 环境下的软件信息收集的知识分享您好！周期性地进行操作系统软件信息统计， 可以帮助您掌握软件 使用的最新状态。 最近， 深信通服务人员在通过对配置管理产品 试验研

58、究时发现通过配置管理无法默认通过指定代理， 收集操作 系统环境下的绿色安装软件信息，譬如目前我们常用到的 tomcat 、 oracle 等一系列软件信息，最终形成在信息统计上的 遗漏。 针对上述问题， 深信通服务人员此次将以收集 Linux 系统 底下 tomcat 、nginx 、oracle 为例与大家分享通过配置管理收集 Linux 环境下绿色软件安装信息收集的相关维护经验。本期内容 主要由以下几点展开：1、编写收集软件信息脚本2、创建数据库交换表3、写入配置管理主数据库表格数据 我们在编写前认识一下配置管理软件运行基本原理： 通常配 置管理主要通过主控制台以及产品本身所公开的基于控制

59、台自 带的服务代理， 来定期收集操作系统的软件信息， 通过代理的方 式对操作系统的已写入系统注册表的相关软件信息进行统计， 并 定期以数据形式写入到配置管理主数据库， 再在主控制台形成统 一展示。了解完这一点我们就可以开始手动对 Linux 系统底下的绿 色软件进行信息收集。首先我们通过编写 Shell 脚本获取软件信息， 该脚本可以收 集 tomcat 、 nginx 、 oracle 这三款软件指定的一些信息，比如软 件的安装日期、 路径和版本信息等， 然后将这些信息写入指定的 文档中。注： 1、此方法需要确保需要收集信息的软件处于运行状态。 2、所编写脚本需要扫描服务器内存。息数影响管理

60、软 数据，我们需要生成一个临时表来进行数据存放与比对， 的临时表作用如下：? 将收集的软件信息数据保存至临时交换表；? 获取当前配置管理软件计数，确保不出现重复；? 同步这些软件信息到配置管理软件的软件资产表；? 清除交换表的信息； 如附件二：创建数据库交换表创建脚本件主所生成将前面步骤 1： FindApp 脚本所生成的 sql 语句在配置管理 软件主数据库执行。 我们就可以通过配置管理主控制台正常的显 示相关软件信息。至此，我们就完成了通过手工编辑的方式实现配置管理对Linux 操作系统底下 tomcat 、nginx 、 oracle 软件信息收集的全 部过程。注：该脚本已通过优化，可以

61、实现配置管理的主数据与临时表所 生成数据进行比对，并增加了回滚处理机制。建议在写入数据前 还是对配置管理主数据进行一次完整备份，确保数据应急处理。再强大的软件在面对各种不同需求的同时都会存在或多或 少的欠缺。 深入的了解软件的运行原理， 以及通过专业的技术能 力进行探索研发， 可以更进一步满足我们对工作中不同需求的要 求。注意和免责声明：本文所述内容实验环境主要基于微软SCCM 2012，可能在不同软件及其他版本间存在一定差异。相关软件操作设置请在专业服务人员指导下实施。关于信息的一致性： 如果本邮件内提到的其他第三方官方网站说明内容和本邮件中 的内容不一致，请以其他第三方官方网站内容为准。图 知识分享 9 月主题1.1.14 深信通独有的知识沉淀和分享的系统 图 KM 知识管理系统