《安全服务技术方案(14页).doc》由会员分享，可在线阅读，更多相关《安全服务技术方案(14页).doc（13页珍藏版）》请在taowenge.com淘文阁网|工程机械CAD图纸|机械工程制图|CAD装配图下载|SolidWorks_CaTia_CAD_UG_PROE_设计图分享下载上搜索。
1、安安全服务技术方案全服务技术方案密密级：商密级：商密文档编号：文档编号：联系信息联系信息公司名称：北京智恒联盟科技有限公司服务电话（TEL）：400-6765-208电子信箱：传真：010-62218321-8045支持邮箱：文档信息文档信息文档名称：安全服务技术方案保密级别：商密文档版本编号：V1.0文档管理编号：制作人：蒋勇制作日期：2011 年版权声明版权声明 版权所有 2006-2011 北京智恒联盟科技有限公司。本文中出现的任何文字叙述、文档格式、插图、照片、方法、过程等内容，除另有特别注明，版权均属北京智恒联盟科技有限公司(简称智恒联盟)所有，受到有关产权及版权法保护。任何个人、机
2、构未经北京智恒联盟科技有限公司的书面授权许可，不得以任何方式复制或引用本文件的任何片断。版本变更记录版本变更记录时间版本说明修改人2011 年 3 月V1.0初始版本蒋勇目目录录1安全评估服务.21.1安全评估内容.21.2人工评估.21.3工具评估.31.3.1工具评估的原理.41.3.2扫描评估的必要性.41.3.3制定确切的扫描评估方案保证.41.3.4对现有信息系统资源的影响.51.4安全评估风险规避措施.51.4.1系统备份与恢复措施.51.4.2扫描风险应对措施.51.5工作安排.61.6服务周期.62安全加固.62.1安全加固内容.62.2安全加固流程.62.3安全加固步骤.62
3、.4安全加固风险规避措施.72.5工作安排.82.6服务周期.93紧急响应服务.93.1服务内容.93.2服务流程.10安全服务技术方案安全服务技术方案 2022 智恒联盟智恒联盟-第 2 页3.3服务方式.114安全通告服务.114.1服务内容.114.2服务流程.124.3服务方式.124.4服务周期.121 安全评估服务安全评估服务1.1安全评估内容安全评估内容目前针对公司安全评估的内容是依据公司现有的系统进行物理环境、主机、网络、应用系统和管理进行安全评估，采用工具扫描和人工评估两种相结合的方式，了解分析公司的安全现状。物理环境评估采用人工评估方式，通过调查和访谈了解分析公司网络系统物
4、理环境现状。主机评估采用工具扫描和人工评估两种方式，对公司主机进行评估。网络评估采用人工评估的方式，对公司网络设备单点和网络拓扑架构进行评估。应用评估通过人工评估的方式，对公司应用系统进行威胁建模，对应用系统和数据库进行评估。管理评估通过人工评估的方式，对公司信息安全组织、策略和运行方式进行评估。1.2人工评估人工评估工具扫描因为其固定的模板，适用的范围，特定的运行环境，以及它的缺乏智能性等诸多因素，因而有着很大的局限性；而人工评估与工具扫描相结合，可以完成许多工具所无法完成的事情，从而得出全面的、客观的评估结果。人工评估在本项目中主要是依靠联想信息安全具有丰富经验的安全专家，通过针对不同的系
5、统采用安全项检查、日志检查等方式，对系统和无法用工具扫描的系统进行人工检查和分析。在人工评估过程中，根据联想最新的安全项检查核对表内容，逐项检查系统的各项配置-第 3 页和运行状态。核对表内容根据最新漏洞发现、客户不同的系统和运行环境、以及联想的经验知识库而制定。对系统层面进行如下几个方面的检查：确认系统是否已被入侵过检查可能存在的后门系统补丁系统账号文件系统网络及服务系统配置文件NFS 或其它文件系统共享审计及日志系统备份及恢复应用系统其它对应用层面进行如下几个方面的检查：使用普通输入验证将导致跨站点脚本(XSS)、SQL 植入和缓冲溢出攻击。通过未加密的网络链路传输验证证书或验证 cook
6、ies，这将导致证书捕获或会话拦截。使用简单的密码和帐户策略，将导致未经授权的访问。无法确保应用程序配置管理方面的安全，包括管理界面。以纯文本方式存储配置私秘，例如连接字符串和服务帐户证书。使用超权限进程和服务帐户。使用不安全的数据访问代码技术，可以增加由 SQL 植入引起的威胁。使用简单的或自定义的加密措施无法充分确保密钥的安全。依赖于 Web 浏览器传输集成参数，例如，格式字段、查询设置、cookie 数据和HTTP 标题。使用不安全的异常处理，可以导致拒绝服务攻击和对攻击者有用的系统级详细资料的泄漏。不充分的审核与日志检查。1.3工具评估工具评估为了充分了解公司的安全现状及其安全威胁，因
7、此需要利用基于各种评估侧面的评估工具对评估对象进行扫描评估，扫描评估的结果将作为整个评估内容的一个重要参考依据。在-第 4 页本项目中，我们采用的工具是业内领先的 Nessus 漏洞扫描系统。1.3.1工具评估的原理工具评估的原理扫描评估主要是根据已有的安全漏洞知识库，模拟黑客的攻击方法，检测网络协议、网络服务、网络设备、应用系统等各种信息资产所存在的安全隐患和漏洞。扫描的方式采用网络扫描。网络扫描主要依靠带有安全漏洞知识库的网络安全扫描工具对信息资产进行基于安全扫描，其特点是能对被评估目标进行覆盖面广泛的安全漏洞查找，并且评估环境与被评估对象在线运行的环境完全一致，能较真实地反映服务器系统、
8、网络设备、应用系统所存在的安全问题和面临的安全威胁。1.3.2扫描评估的必要性扫描评估的必要性利用安全扫描评估工具扫描网络中的核心服务器及重要的网络设备，包括服务器、路由器、交换机、防火墙等，以对网络设备进行安全漏洞检测和分析，对识别出的能被入侵者利用来非法进入网络或者非法获取信息资产的漏洞，提醒安全管理员，及时完善安全策略，降低安全风险。现代操作系统，应用系统，网络设备代码数量巨大，由成百上千工程师的共同设计编制，很难避免产生安全漏洞。随着及计算机技术的发展，这些系统的功能越来越强大，但配置越来越复杂。面对横跨多种平台、不同版本、不同种类的操作系统和应用系统，系统管理员显得力不从心，经常会造
9、成配置上失误，产生安全问题。系统安全漏洞涉及口令设置、文件权限、账户管理、组管理、系统配置等。基于服务器（主机）风险评估技术，主要检查系统本身固有的安全漏洞和系统文件的不安全配置，数据的授权，认证和完整性，并指示用户如何修补漏洞以使系统安全风险降到最小。1.3.3制定确切的扫描评估方案保证制定确切的扫描评估方案保证为将扫描评估对信息系统的影响减低到最小，并取得较好的扫描评估效果，在扫描之前制定符合实际需要的扫描评估方案显得十分重要，方案将从工具选择、评估对象选择、评估时间、评估人员、报告数据形式、系统备份和风险规避和应对等方面来保证扫描评估的可靠运行。扫描结果输出扫描结果输出：在对系统进行安全
10、扫描之后，将根据不同的类型给出下列几种类型的报告输出：-第 5 页操作系统扫描安全扫描和评估记录这些报告输出将作为系统评估服务的一个重要来源和依据。1.3.4对现有信息系统资源的影响对现有信息系统资源的影响操作系统扫描评估操作系统扫描评估操作系统扫描评估以网络为基础进行，扫描控制台通过网络对被评估对象进行安全评估，因此这种扫描方式主要消耗一定的网络带宽资源，并对被评估的对象消耗很小一部分的网络连接的资源，对于其他的资源没有特殊的要求。实际的使用情况表明，网络扫描对网络资源和被评估系统的资源占用在 3%-5%之间，并且可以通过修改、配置一定的扫描策略来使这些资源消耗降低至最小。1.4安全评估风险
11、规避措施安全评估风险规避措施1.4.1系统备份与恢复措施系统备份与恢复措施为防止在评估过程中出现的异常的情况，联想建议所有被评估系统均应在被评估之前为防止在评估过程中出现的异常的情况，联想建议所有被评估系统均应在被评估之前作一次完整的系统备份或者关闭正在进行的操作，以便在系统发生灾难后及时恢复。作一次完整的系统备份或者关闭正在进行的操作，以便在系统发生灾难后及时恢复。操作系统类操作系统类：停止前台的应用操作，制作系统应急盘，对系统信息，注册表，sam 文件，/etc 中的配置文件以及其他含有重要系统配置信息和用户信息的目录和文件进行备份，并应该确保备份的自身安全。应用系统类应用系统类：停止应用
12、系统的运行，然后对系统进行数据转储，并妥善保护好备份数据。同时对系统的配置信息和用户信息进行备份。1.4.2扫描风险应对措施扫描风险应对措施扫描过程中尽量避免使用含有拒绝服务类型的扫描方式，而主要采用人工检查的方法来发现系统可能存在的拒绝服务漏洞。扫描方式的选取原则基于对各种扫描器的性能和风险的分析：对于采用工具扫描，主要占用网络系统带宽资源（可以通过线程、并发数限制控制在 5%以内）和被评估系统的小部分(5%)的资源。在扫描过程中如果出现被评估系统没有响应的情况，应当立即停止扫描工作，与公司配合人员一起分析情况，在确定原因后，并正确恢复系统，采取必要的预防措施（比如调整扫描策略等）后，才可以
13、继续进行。-第 6 页1.5工作安排工作安排根据公司的安全服务项目要求，联想每 6 个月为公司提供一次安全评估服务，旨在发现在系统运行的过程中是否有新的风险出现，确定如何修补的方案。本项服务采用本地服务方式。公司的系统管理员可以采用已有的漏洞评估工具进行定期评估，然后收集评估信息作为记录，联想的评估顾问会在每 6 个月进行一次整体评估，然后对照日常记录，并结合上一次系统评估加固的结果对服务器进行周期性安全检查和安全性提高。有紧急需求时联想可随时安排到现扬针对网络信息系统整体或部分的进行评估。1.6服务周期服务周期服务周期：每年 2 次；评估时间：每次 12 周，不超过 1 个月。2 安全加固安
14、全加固2.1安全加固内容安全加固内容联想为公司提供的安全加固根据安全评估的结果，对公司主机、网络、应用系统进行安全加固。提交主机加固报告、网络加固报告和应用系统加固报告。2.2安全加固流程安全加固流程系统安全加固的基本流程如下图所示：上图中“系统加固”的主要内容如下图所示，具体针对公司的系统加固内容在下面的内容进行讨论：系统加固2.3安全加固步骤安全加固步骤准备工作准备工作仔细分析评估结果，确认加固方案。准备加固工具准备加固工具-第 7 页操作时要边记录边操作，尽量防止可能出现的误操作。收集系统信息收集系统信息加固之前收集所有的系统信息和用户服务需求，收集所有应用和服务软件信息，做好加固前预备
15、工作。做好备份工作做好备份工作系统加固之前，先对系统做完全备份。加固过程可能存在任何不可遇见的风险，当加固失败时，可以恢复到加固前状态。加固系统加固系统按照系统加固核对表，逐项按顺序执行操作。复查配置复查配置对加固后的系统，全部复查一次所作加固内容，确保正确无误。应急恢复应急恢复当出现不可预料的后果时，首先使用备份恢复系统提供服务，同时及时解决问题。2.4安全加固风险规避措施安全加固风险规避措施为保证客户业务系统的正常运行，加固过程中对客户业务系统造成的异常情况降到最低点，应对加固对象运行的操作系统和应用系统进行调研，制定合理的、复合系统特性的加固方案，并且加固方案（内容和步骤详见系统加固报告
16、文档）应通过可行性论证并得到具体的验证，实施严格按照加固方案所确定内容和步骤进行，确保每一个操作步骤都对客户在线系统没有损害。另外为了防止在加固过程中出现异常情况，防止加固对系统造成损害，保证业务系统在诸如此类的灾难发生后能及时的恢复与运转，确保客户业务系统的正常运行或异常情况的发生降到最低点，建议客户采用以下几点规避措施：模拟环境模拟环境用户所提供的模拟环境，可以对加固方案进行验证，证明此次加固方案对客户在线业务系统是没有损害。模拟环境要求系统环境（操作系统、数据库系统）与在线系统完全一样，应用系统也同在线系统版本相同，数据可以是最近一次的全备份。系统备份系统备份全备份：用一盘磁带对整个系统
17、进行完全备份，包括系统和数据。这种备份方式的好处就是很直观，容易被人理解。而且当发生数据丢失时，只要用一盘磁带（即灾难发生前的备份磁带），就可以恢复丢失的数据。不足之处：如果需要备份的数据量相当大，备份所需时间较长。增量备份：就是每次备份的数据只是相对于上一次备份后新增加的和修改过的数据。这-第 8 页种备份的优点很明显：没有重复的备份数据，即节省了磁带空间，又缩短了备份的时间。但它的缺点在于当发生灾难时，恢复数据比较麻烦。并且这种备份的可靠性也最差。差分备份：每次备份的数据是相对于上一次全备份之后增加的和修改过的数据。差分备份在避免了另外两种策略缺陷的同时，又具有了它们的所有优点。文件系统备
18、份：对主机系统而言，要进行文件系统的备份。客户应根据具体需求对此次加固过程中可能所产生的不稳定情况制定良好的备份策略，从而确保业务系统的正常稳定运行。无论采用何种备份方式，系统备份的数据已进行了有效验证和妥善保管。冗于备份冗于备份系统的所有模块均可以进行冗余分布式配置每个功能模块均可安装在单独的服务器上安装相同模块的服务器之间互为备份多个模块之间相互协作，发挥整体性能多模块分离保证了系统不会因为任一单一模块的问题而出现全局故障恢复恢复恢复总是与一定类型的失效相对应的。在系统加固过程中如果出现被加固系统没有响应的情况，安全顾问立即停止加固工作，与客户配合工作人员一起分析情况，在确定原因后，由客户
19、或客户系统提供商对系统进行正确恢复。按照以下的步骤进行恢复：记录系统故障现象和信息，以备分析。根据用户所采用的备份方式进行系统恢复，保证系统最短时间内恢复运行。恢复完毕后，建议用户进行重新备份并查找系统故障原因并记录。如果遇到无法解决问题，应由双方项目组工作人员共同协商解决。根据恢复类型和环境的不同，恢复所需的时间也各不相同。2.5工作安排工作安排根据公司的安全服务项目要求，联想每 6 个月为公司提供一次安全加固服务，旨在针对评估中发现的风险，确定如何修补的方案。联想于每次安全评估一周内进行安全加固服务，本项服务采用本地服务方式。有紧急需求时联想可随时安排到现扬针对网络信息系统整体或部分的进行
20、评估。-第 9 页2.6服务周期服务周期服务周期：每年 2 次；（在评估工作完成后 1 周内开始）评估时间：每次 1 周左右，不超过 2 周。3 紧急响应服务紧急响应服务3.1服务内容服务内容紧急事件响应，是当安全威胁事件发生后迅速采取的措施和行动，其目的是最快速恢复系统的保密性、完整性和可用性，阻止和降低安全威胁事件带来的严重性影响。紧急事件主要包括：病毒和蠕虫事件黑客入侵事件误操作或设备故障事件但通常在事件爆发的初始很难界定具体是什么。所以，通常又通过安全威胁事件的影响程度来分类：单点损害：只造成独立个体的不可用，安全威胁事件影响弱。局部损害：造成某一系统或一个局部网络不可使用，安全威胁事
21、件影响较高。整体损害：造成整个网络系统的不可使用，安全威胁事件影响高。当入侵或者破坏发生时，对应的处理方法主要的原则是首先保护或恢复计算机、网络服务的正常工作；然后再对入侵者进行追查。因此对于客户紧急事件响应服务主要包括准备、识别事件（判定安全事件类型）、抑制（缩小事件的影响范围）、解决问题、恢复以及后续跟踪。准备工作准备工作：建立客户事件档案与客户就故障级别进行定义。准备安全事件紧急响应服务相关资源为一个突发事件的处理取得管理方面支持组建事件处理队伍（1-10 人）提供易实现的初步报告制定一个紧急后备方案随时与管理员保持联系-第 10 页识别事件识别事件在指定时间内指派安全服务小组去负责此事
22、件事件抄送专家小组初步评估，确定事件来源注意保护可追查的线索，诸如立即对日志、数据进行备份（应该保存在磁带上或其它不联机存储设备）联系客户系统的相关服务商厂商缩小事件的影响范围缩小事件的影响范围确定系统继续运行的风险如何，决定是否关闭系统及其它措施客户相关工作人员与本公司相关工作人员保持联系、协商根据需求制定相应的应急措施解决问题解决问题事件的起因分析事后取证追查后门检查漏洞分析提供解决方案结果提交专家小组审核后续工作后续工作检查是不是所有的服务都已经恢复攻击者所利用的漏洞是否已经解决其发生的原因是否已经处理保险措施，法律声明/手续是否已经归档应急响应步骤是否需要修改生成紧急响应报告拟定一份事
23、件记录和跟踪报告事件合并/录入专家信息知识库3.2服务流程服务流程联想安全事件紧急响应的基本流程如下：联想安全服务客户服务中心提供 7*24 小时的远程紧急紧急响应服务和本地现场紧急响应服务，公司可以根据网络管理员或系统管理员的初步判断认为和安全事件相关，通过电话或其他通讯手段咨询联想信息安全应急响应服务人员，服务人员根据客户信息提供远程应急-第 11 页响应支持服务，在客户和联想信息安全服务人员同时确认需要现场紧急响应服务，联想在约定时间内派出现场紧急响应人员，解决问题。每次紧急响应后提交紧急响应事件分析报告。3.3服务方式服务方式联想信息安全紧急响应服务方式分为远程紧急响应和现场紧急响应。
24、远程紧急响应安全服务方式可以分为以下几种：7*24 小时电话支持服务；传真支持服务EMAIL 支持服务其他远程紧急响应在响应请求发出 1 小时内会指派专业技术人员处理，并同时承诺：无论能否解决问题每天均返回处理 应急响应事件跟踪简报，直到本次响应服务被客户确认关闭。本地紧急响在响应请求发出后，指派专业技术人员到达应急响应现场（西藏分公司也应在 24 小时内），协助公司系统运维人员处理应急响应事件，直至本次响应服务被客户人员关闭，并提交紧急响应事件分析报告。紧急响应事件分析报告内容包括：事故原因分析、已造成的影响、处理办法、处理结果、预防和改进建议。4 安全通告服务安全通告服务4.1服务内容服务
25、内容联想具有一批专业的安全服务队伍，非常注重对最新安全技术及安全信息的发现和追踪，并通过服务的平台与客户及时交流，帮助客户保持领先的安全理念和技术。联想会为公司提供定期的安全信息通告服务。安全信息中会包括最新的安全公告，病毒信息，漏洞信息等内容。建议公司在内部网站设置安全信息发布内容，及时为公司局域网内部的工作人员提供安全信息和安全工具。联想会协助公司人员，为这一网站提供相关的安全信息。安全通告服务以邮件、电话、走访等方式，将安全技术和安全信息及时传递给客户。安全信息邮件列表包含以下几个方面的内容：业界动态业界动态-第 12 页安全界的新闻大事，新技术发展动态。国家安全政策及法律法规国家安全政
26、策及法律法规安全不仅表现在技术层面，还必须符合国家政策、法律、行业规范等。联想将收集整理这方面的信息，从更广泛的领域帮助客户提升安全水平。漏洞信息漏洞信息将各种操作系统、应用、设备等的最新安全漏洞进行通告，包括漏洞的威胁、影响的平台及修补步骤。如果联想安全顾问判断为严重漏洞，会在线通知用户并给出相应解决措施，然后联想安全顾问将直接到用户现场进行修补。安全产品评测信息安全产品评测信息安全离不开有效的安全工具，国内外权威的评测机构定期对安全产品进行综合评测，并发布评测报告。联想将整理此类信息，帮助客户了解安全产品的优劣，为客户选择安全产品提供有效的依据。病毒信息病毒信息联想会跟踪最新的病毒信息，不
27、仅会在每周以周报的方式汇总本周爆发的流行病毒，同时也会以最快的速度（24 小时内）通告严重病毒和重大病毒，以及相应的解决措施。安全预警安全预警联想会根据业界的安全动态分析可能对网络或系统造成严重影响的安全漏洞和重大病毒，会根据公司的情况及时做好安全预警工作，并提供相应的解决措施。4.2服务流程服务流程4.3服务方式服务方式邮件通知：由联想信息安全客户服务代表负责。不定期/定期发送邮件到客户指定邮箱。在线通告：当出现重要信息时，联想信息安全客户服务代表将直接电话通知客户指定的联系人。走访：联想信息安全客户服务代表通过电话、邮件或传真与客户确认走访时间、内容，客户需指定走访联系人。4.4服务周期服务周期服务周期：安全周报每周一次；重大漏洞信息、病毒信息不定期进行；其他方式例如在线通告、走访会不定期进行。