IT运维信息安全解决方案.docx

IT运维信息安全解决方案1142020年5月29日文档仅供参考8.3 IT运维信息安全解决方案8.3.1安全运维的重要性随着信息安全管理体系和技术体系在企业领域的信息安全建设中不断推进,安全运维占信息系统生命周期70% - 80%的信息,而且安全运维体系的建设已经越来越被广大用户重视。特别是随着信息系统建设工作从大规模建设阶段逐步转型到”建设和运维”并举的发展阶段,运维人员需要管理越来越庞大的IT系统这样的情况下,信息安全运维体系的建设已经被提到了一个空前的高度上。它不但单单是一个体系的建设,更是IT系统管理中的夯实基础。运维服务的发展趋势对于企业的安全运维服务管理的发展,一般能够将其分为混乱阶段、被动阶段、主动阶段、服务阶段和价值阶段这五个阶段。1、在混乱阶段:运维服务没有建立综合的支持中心,也没有用户通知机制;2、在被动阶段:运维服务开始关注事件的发生和解决,也开始关注信息资产,拥有了统一的运维控制台和故障记录和备份机制;3、在主动阶段:运维服务建立了安全运行的定义,并将系统性能,问题管理、可用性管理、自动化与工作调度作为重点;4、在服务阶段,运维服务工作中已经能够支持任务计划和服务级别管理;5、在价值阶段,运维服务实现了性能、安全和核心几大应用的紧密结合,体现其价值所在。8.3.2信息安全的概念8.3.2.1信息安全定义 信息安全的概念在二十世纪经历了一个漫长的历史阶段,90年代以来得到了深化。进入21世纪后,随着信息技术的不断发展,信息安全问题也日显突出。如何确保信息系统的安全已经成为了全社会关注的问题。国际上对于信息安全问题的研究起步较早,投入力度大,已取得了许多成果,并得以推广应用。中国当前也已有一批专门从事信息安全基础研究、技术开发与技术服务工作的研究机构与高科技企业,形成了中国信息安全产业的雏形。 关于信息安全的定义也有很多,国内学者与国外学者、不同的社会组织也给出了不同的定义。 国内学者的定义:”信息安全保密内容分为:实体安全、运行安全、数据安全和管理安全四个方面。” 中国”计算机信息系统安全专用产品分类原则”中的定义是:”涉及实体安全、 运行安全和信息安全三个方面。” 中国相关立法给出的定义是:”保障计算机及其相关的和配套的设备、设施(网络)的安全,运行环境的安全,保障信息安全,保障计算机功能的正常发挥,以维护计算机信息系统的安全”。这里面涉及了物理安全、运行安全与信息安全三个层面。 国家信息安全重点实验室给出的定义是:”信息安全涉及到信息的机密性、完整性、可用性、可控性。综合起来说,就是要保障电子信息的有效性。” 英国BS7799信息安全管理标准给出的定义是:”信息安全是使信息避免一系列威胁,保障商务的连续性,最大限度地减少商务的损失,最大限度地获取投资和商务的回报,涉及的是机密性、完整性、可用性。” 美国国家安全局信息保障主任给出的定义是:”因为术语信息安全一直仅表示信息的机密性,在国防部我们用信息保障来描述信息安全,也叫IA。它包含5种安全服务,包括机密性、完整性、可用性、真实性和不可抵赖性。” 国际标准化委员会给出的定义是:”为数据处理系统而采取的技术的和管理的安全保护,保护计算机硬件、软件、数据不因偶然的或恶意的原因而遭到破坏、更改、显露”。8.3.1.2信息安全的目标 机密性 Confidentiality 完整性 Integrity 可用性 Availability 可控性 controllability 真实性 Authenticity 不可否认性 Non-repudiation8.3.1.3信息安全范围 帐号口令管理 系统基线配置安全管理 系统漏洞安全管理 终端安全管理 安全审计管理 客户信息安全管理 业务安全管理 安全检查与维护作业8.3.2 安全运维的定义一般安全运维包含两层含义:一是指在运维过程中对网络或系统发生病毒或黑客攻击等安全事件进行定位、防护、排除等运维动作,保障系统不受内、外界侵害。二是指对运维过程中发生的基础环境、网络、安全、主机、中间件、数据库乃至核心应用系统发生的影响其正常运行的事件(包含关联事件)通称为安全事件,而围绕安全事件、运维人员和信息资产,依据具体流程而展开监控、告警、响应、评估等运行维护活动,称为安全运维服务。当前,大多数企业还停留在被动的、传统意义上的安全运维服务,这样安全运维服务存在着以下弊端:1)、出现故障纵有众多单一的厂商管理工具,但无法迅速定位安全事件,忙于”救火”,却又不知火因何而”着”。时时处于被动服务之中,无法提供量化的服务质量标准。2)、企业的信息系统管理仍在依靠各自的”业务骨干”支撑,缺少相应的流程和知识积累,过多依赖于人。3)、对安全事件缺少关联性分析和评估分析,而且没有对安全事件定义明确的处理流程,更多的是依靠人的经验和责任心,缺少必要的审核和工具的支撑。正是因为当前运维服务中存在的弊端,XX股份有限公司依靠长期从事应用平台信息系统运维服务的经验,同时结合信息安全保障体系建设中运维体系建设的要求,遵循ITIL(最佳实践指导)、ISO/IEC 27000系列服务标准、以及等相关标准,建立了一整套完善和切实可行的信息安全运维服务管理的建设方案。8.3.3 XX股份运维五大架构体系8.3.3.1建立安全运维监控中心基于关键业务点面向业务系统可用性和业务连续性进行合理布控和监测,以关键绩效指标指导和考核信息系统运行质量和运维管理工作的实施和执行,XX股份帮助用户建立全面覆盖信息系统的监测中心,并对各类事件做出快速、准确的定位和展现。实现对信息系统运行动态的快速掌握,以及运行维护管理过程中的事前预警、事发时快速定位。其主要包括:1、集中监控:采用开放的、遵循国际标准的、可扩展的架构,整合各类监控管理工具的监控信息,实现对信息资产的集中监视、查看和管理的智能化、可视化监控系统。监控的主要内容包括:基础环境、网络、通信、安全、主机、中间件、数据库和核心应用系统等。2、综合展现:合理规划与布控,整合来自各种不同的监控管理工具和信息源,进行标准化、归一化的处理,并进行过滤和归并,实现集中、综合的展现。3、快速定位和预警:经过同构和归并的信息,将依据预先配置的规则、事件知识库、关联关系进行快速的故障定位,并根据预警条件进行预警。8.3.3.2 建立安全运维告警中心基于规则配置和自动关联,实现对监控采集、同构、归并的信息的智能关联判别,并综合的展现信息系统中发生的预警和告警事件,帮助运维管理人员快速定位、排查问题所在。同时,告警中心提供了多种告警响应方式,内置与事件响应中心的工单和预案处理接口,可依据事件关联和响应规则的定义,触发相应的预案处理,实现运维管理过程中突发事件和问题处理的自动化和智能化。关于事件基础库维护:它是事件知识库的基础定义,内置大量的标准事件,按事件类型进行合理划分和维护管理,可基于事件名称和事件描述信息进行归一化处理的配置,定义了多源、异构信息的同构规则和过滤规则。关于智能关联分析:它是借助基于规则的分析算法,对获取的各类信息进行分析,找到信息之间的逻辑关系,结合安全事件产生的网络环境、资产重要程度,对安全事件进行深度分析,消除安全事件的误报和重复报警。关于综合查询和展现:它实现了多种视角的故障告警信息和业务预警信息的查询和集中展现。关于告警响应和处理:它提供了事件生成、过滤、短信告警、邮件告警、自动派发工单、启动预案等多种响应方式,内置监控界面的图形化告警方式;提供了与事件响应中心的智能接口,可基于事件关联响应规则自动生成工单并触发相应的预案工作流进行处理。8.3.3.3 建立安全运维事件响应中心借鉴并融合了ITIL(信息系统基础设施库)/ITSM(IT服务管理)的先进管理规范和最佳实践指南,借助工作流模型参考等标准,开发图形化、可配置的工作流程管理系统,将运维管理工作以任务和工作单传递的方式,经过科学的、符合用户运维管理规范的工作流程进行处理,在处理过程中实现电子化的自动流转,无需人工干预,缩短了流程周期,减少人工错误,并实现对事件、问题处理过程中的各个环节的追踪、监督和审计。其中包括以下五大方面:1.图形化的工作流建模工具:实现预案建模的图形化管理,简单易用的预案流程的创立和维护,简洁的工作流仿真和验证。2可配置的预案流程:所有运维管理流程均可由用户自行配置定义,即可实现ITIL/ITSM的主要运维管理流程,又可根据用户的实际管理要求和规范,配置个性化的任务、事件处理流程。3.智能化的自动派单:智能的规则匹配和处理,基于用户管理规范的自动处理,降低事件、任务发起到处理的延时,以及人工派发的误差。4.全程的事件处理监控:实现对事件响应处理全过程的跟踪记录和监控,根据ITIL管理建议和用户运维要求,对事件处理的响应时限和处理时限的监督和催办。5.事件处理经验的积累:实现对事件处理过程的备案和综合查询,帮助用户在处理事件时查找历史处理记录和流程,为运维管理工作积累经验。8.3.3.4 建立安全运维审核评估中心安全运维审核评估中心具有对信息系统运行质量、服务水平、运维管理工作绩效的综合评估、考核、审计管理三大功能。1.评估功能:遵循国际和工业标准及指南建立平台的运行质量评估框架,经过评估模型使用户了解运维需求、认知运行风险、采取相应的保护和控制,有效的保证信息系统的建设投入与运行风险的平衡,系统地保证信息化建设的投资效益,提高关键业务应用的连续性。2.考核功能:在评价过程中避免主观臆断和片面随意性,能够实现工作量、工作效率、处理考核、状态考核等的一种客观评价功能。3.审计功能:是以跨平台多数据源信息安全审计为框架,以电子数据处理审计为基础的信息审计系统。主要包括:系统流程和输入输出数据以及数据接口的完整性、合规性、有效性、真实性审计。8.3.3.5 以信息资产管理为核心 IT资产管理是全面实现信息系统运行维护管理的基础,提供的丰富的IT资产信息属性维护和备案管理,以及对业务应用系统的备案和配置管理。基于关键业务点配置关键业务的基础设施关联,经过资产对象信息配置丰富业务应用系统的运行维护内容,实现各类IT基础设施与用户关键业务的有机结合,以及全面的综合监控。这其中包括:综合运行态势:是全面整合现有各类设备和系统的各类异构信息,包括网络设备、安全设备、应用系统和终端管理中各种事件,经过分析后的综合展现界面,注重对信息系统的运行状态、综合态势的宏观展示。系统采集管理:以信息系统内各种IT资源及各个核心业务系统的监控管理为主线,采集相关异构监控系统的信息,经过对不同来源的信息数据的整合、同构、规格化处理、规则匹配,生成面向运行维护管理的事件数据,实现信息的共享和标准化。系统配置管理:从系统容错、数据备份与恢复和运行监控三个方面着手建立自身的运行维护体系,采用平台监测器实时监测、运行检测工具主动检查相结合的方式,构建一个安全稳定的系统。8.3.3.6 安全管理原则1)、XX股份有限公司负责业务支撑中心的安全、保密管理工作,遵守南方基地已有各项安全规定,以此为基础制定详细的,并采取适当措施保证有关措施的有效执行。2)、XX股份有限公司定期检查安全、保密规定的执行情况;3)、XX股份有限公司定期组织系统病毒检查,并对此负责;4)、XX股份有限公司及时向信息技术中心反映存在的安全隐患。8.3.3.7保密原则1)、XX股份严格遵守南方基地各项安全保密制度,加强服务工程师的保密意识,制定有效的管理制度。2)、XX股份整理措施和技术措施,防止重要数据、文件、资料的丢失及泄漏。3)、XX股份有关计费清单、用户资料、业务数据、重要文件等均属机密,不得任意抄录、复制及带出机房,也不得转告与工作无关的人员。4)、机房内重要文件、数据文件的销毁方式为文件送入碎纸机,不得随意丢弃。5)、安全保密工作XX股份安排专人负责,定期向XX信息技术中心提交。8.3.4 信息安全的要求8.3.4.1帐号口令管理 账号口令管理要求按照”谁主管,谁负责”原则,业务系统责任部门负责按照本办法管理公司内部人员及第三方协维人员在系统应用层的帐号。由公司各部门分别维护管理操作系统层和应用层的系统,并分别作为各层帐号的管理部门。各层帐号管理部门各自负责本部门职责层面内的帐号审批及授权管理,推动制定帐号审批流程、表格模版等并落实责任人,监督落实帐号申请表、用户帐号登记表的维护管理。各层帐号管理部门各自负责本部门职责层面内的帐号审批、创立及删除、权限管理以及口令管理要求执行情况审核机制,接受定期审核。用户需按照帐号审批流程向各责任部门申请所需帐号、修改权限或者撤销帐号。在帐号审批成功并创立后,应对帐号口令进行定期修改。并应做到严格保护帐号口令,不得故意泄露,否则需承担由此导致安全问题的责任。 帐号管理人员逻辑分类岗位职责涉及相关记录部门负责人1、需对相关授权表进行审批授权签字,每季度需复核审批;2、需对员工变动情况进行审批;3、需对远程维护接入申请进行审批系统层/应用层超级管理员:1、 系统层超级管理员:按各系统进行设置2、 应用层超级管理员:按业务应用管理进行设置系统/应用程序最高权限管理员,负责管理所辖系统的帐号分配和管理,需要部门负责人对其进行授权。系统层超级管理员、应用层超级管理员需由部门领导分别进行授权,不同系统能够兼任。系统层/应用层普通用户:系统维护、应用操作执行人员,为普通维护人员及第三方人员,只能申请自身帐号进行操作,不能进行帐号分配管理。安全管理员、安全审计员: 负责所辖各系统及设备的信息安全管理工作。每月检查信息安全管理的执行情况,汇总安全分析报告;与系统层超级管理员、应用层管理员需职责分离。 超级管理员帐号管理流程管理流程管理要求开 始申请人填写YN审批并授权NY对系统超级管理员清单每季度进行复核并签字确认。Y授权有效期内各业务系统层/应用层超级管理员由申请人填写。部门经理审批并进行授权。授权有效期内,部门经理对超级管理员的清单进行复核并签字确认。 内部帐号创立/变更流程管理流程管理要求开 始申请人填写YN申请人部门负责人审核NY系统管理员在系统中创立帐号或进行权限修改。系统责任部门负责人书面审批Y内部员工需要增加帐号或进行权限变更时,由申请人填写。提交所在部门负责人进行权限职责相容性审核。申请部门完成审核后,转发系统责任部门负责人进行书面审批。书面审批经过,由系统超级管理员在系统中创立帐号或进行权限修改。 第三方帐号管理流程管理流程管理要求开 始和第三方厂商签订安全保密协议。Y合作引入部门填写YY系统管理员在系统中创立帐号或进行权限修改。系统责任部门负责人书面审批NNY部门负责人审核如存在第三方公司人员需要建立帐号的情况,应和第三方厂商签订相关的安全保密协议。保密协议应注明拥有帐号列表及相关保密责任,以合理确保第三方厂商能够执行中国移动的安全管理要求和职责不相容要求。第三方公司需要增加普通帐号或进行权限变更时,由合作引入部门填写。提交所在部门负责人进行权限职责相容性审核。申请部门完成审核后,转发系统责任部门负责人进行书面审批后。系统超级管理员在系统中创立帐号或进行权限修改。 系统预设帐号管理流程管理流程管理要求开 始对接口程序、脚本或相关设置进行加密保存,禁止使用简单密码。N系统管理员提交预设帐号清单及使用人员清单。系统责任部门负责人对预设帐号清单每季度进行复核并签字确认。YY系统责任部门负责人进行书面审批授权。对于部分因系统、接口原因在系统中预设的用户帐号,系统责任部门应对接口程序、脚本或相关设置进行加密保存,禁止使用简单密码。因系统原因不能进行加密保存的,系统管理员需提交预设帐号清单及使用人员清单。系统责任部门负责人进行书面审批授权。系统责任部门负责人每季度进行复核签字确认,如发现多余或不恰当的账号应进行及时调整。8.3.4.2系统基线配置安全管理 基线配置安全要求依据等管理规范与要求,公司各业务平台操作系统、数据库、服务器中间件、帐号权限分配与配置策略、防火墙需按照该规范进行配置。定期组织相关检查人员按时对各业务系统进行安全基线配置检查,对检查中存在风险的系统发出整改通知书,督促其及时进行整改,并根据整改反馈进行复查,对业务系统上线前进行基线配置安全检查工作,存在有安全风险的系统必须进行限期整改,验收合格后才能上线。 基线配置安全检查流程管理流程管理要求开 始信息安全管理部门发起基线配置安全检查(复查)流程Y各业务系统负责人协调人员进行现场配合存在风险的系统根据整改通知进行整改加固YY信息安全管理部门按工作计划发起基线安全检查流程并OA通知具体系统负责人 各系统责任人收到OA邮件后,协调安排配合人员进行现场配合信息安全管理部门根据检查结果,对存在风险的系统发出整改通知,系统责任人收到整改通知后安排对风险进行整改加固,并反馈整改情况,信息安全管理部门收到反馈结果组织复查。8.3.4.3系统漏洞安全管理 系统漏洞安全要求定期对公司各生产系统进行操作系统、数据库、中间件、Web网站等进安全漏洞检查,对检查中存在漏洞的系统发出整改通知书,督促其及时进行整改,并根据整改反馈进行复查,对业务系统上线前进行系统漏洞安全检查工作,存在有安全风险的系统必须进行整改验收后才能上线。 系统漏洞安全检查流程管理流程管理要求开 始信息安全管理部门发起系统漏洞安全检查(复查)流程Y各业务系统负责人协调人员进行现场配合存在风险的系统根据整改通知进行整改加固YY信息安全管理部门按工作计划发起系统漏洞安全检查流程并OA通知具体系统负责人 各系统责任人收到OA邮件后,协调安排配合人员进行现场配合信息安全管理部门根据检查结果,对存在漏洞的系统发出整改通知,系统责任人收到整改通知后安排对风险进行整改加固,并反馈整改情况,信息安全管理部门收到反馈结果组织复查。8.3.4.4终端安全管理 终端安全管理要求终端安全策略配置项应满足以下要求:1).终端统一命名,统一采用”公司+人员姓名”中文方式。2).系统标准化管理,统一使用正版软件,禁止安装盗版。3).密码策略,按照公司帐号管理办法设置复杂度策略。4).配置帐户锁定策略,要求设置锁定次数为5次以下。5).禁用匿名访问网络。6).设置系统屏保密码,同时设定10分钟以内的锁定策略。7).审计策略,开启所有审计策略。8).要求安装杀毒软件并及时进行病毒库更新。9).要求统一安装公司采购的终端监控软件。 终端安全配置检查流程管理流程管理要求开 始信息安全管理部门发起终端安全检查(复查)流程Y各部门员工(含合作伙伴)配合进行安全检查对存在不合规的终端进行设置,以满足安全管理要求YY信息安全管理部门按工作计划发起办公终端安全检查流程并OA通知具体检查部门 各部门员工(含合作伙伴)配合进行终端安全检查。 检查人员对存在不合规项的终端进行设置,以满足安全管理要求。8.3.4.5安全审计管理 安全审计管理要求事件日志记录:将来自不同区域、不同设备、不同系统的日志信息集中起来,集中分析处理,创立记录异常事件和安全相关事件的审计日志并按照协商认可的保留期限将其保留一段时间。1).审计日志必须至少包含4W(who/when/where /what)要素:用户ID或帐号。操作日期和时间。终端标识或位置。用户所进行的操作。系统的成功访问和拒绝访问的记录。数据与其它资源的成功访问和拒绝访问记录。2).日志审计类型网络类日志(鉴权平台、网络设备日志)主机类日志(主机本身日志)应用类日志(交换机、智能网等应用系统日志)安全类日志(IDS、防火墙等)3).所有特权操作新帐户的创立。用户权限升级、口令更改。配置的更改。系统文件的删除。系统启动和停止。I/O 设备连接/分离。端口开启进程启动等4).对应记录用户 ID。地址:包括目标IP和源IP重要事件的日期和时间。事件类型。所访问的文件或资源。所用程序/实用程序。所进行的操作或操作结果。 安全审计流程工作流程工作要求/标准岗位职责 开 始安全监控F 各业务系统安全监控审计人员监控系统中产生的事件F 系统管理员F 负责系统的日常监控维护和日志分析检测到需及时处理安全事件F 当检测到需处理事件时应及时进行处理F 系统管理员F 安全管理员F 发现安全事件时,系统管理员经过任务工单向安全管理员及时汇报;F 安全管理员接到事件报告时,要及时进行分析定性,决定后续处理措施。实时处理F 联系设备厂商、服务厂商,及时对事件进行分析处理,处理内容包括:确定危险程度,实施控制措施,恢复系统,确定来源,收集数据取证等。F 如果事件对网络或系统造成重大影响,应启动事后分析流程。F 厂商人员、服务商(如需要);F 系统管理员;F 安全管理员F 如有必要,系统管理员负责通知厂商、服务商到场F 厂商、服务商如接到安全事件通知,需及时到场,将分析结果和处理建议提交安全管理员;F 安全管理员需审核厂商提交的安全事件处理建议;重大安全事件需及时向上级管理人员汇报;F 系统管理员配合厂商进行安全建议的实施。存档F 填写存档。报告应包含已经采取的防护措施的详细情况和其它任何经验教训(例如用来预防相同或类似事件再次发生的进一步防护措施)F 厂商人员、服务商F 系统管理员F 安全管理员F 处理人员需填写F 安全管理员需审核并签署处理结果结 束8.3.4.6客户信息安全管理 客户信息安全管理要求各系统管理员应明确识别各系统中存储、传输的客户有关信息,并具体标注需要保护的客户信息类型,对于各相关系统中的客户信息,未经授权许可不得查询,更不能用于公司合法运营之外的其它商业用途。禁止在相关系统中运行与业务无关的其它程序,特别是可能自动获取用户资料的程序。按照最小化原则配置账户权限,保证对客户信息的访问不得超过本身工作范围。对于访问相关系统的用户,能直接获得客户信息的,必须经过授权,未经授权的用户不得访问该系统。对涉及客户信息相关操作,严格按照要求执行,对业务系统涉及客户身份资料、位置信息、通话详单、充值记录等高价值信息的高风险操作纳入金库管控。各系统在信息获取、处理、存储、消除各环节保护客户信息的完整性、保密性、可用性,具备但不限于如下功能:1).客户信息存储时应具备相应的安全要求,包括存储位置、存储方式等,对于重要的客户信息,应根据系统实际情况提供必要的加密手段。2).应具备完善的权限管理策略,支持权限最小化原则、合理授权,对不能支持此原则的系统,应减少掌握该权限的人员数量,并加强人员管理。3).具备完整的用户访问、处理、删除客户信息的操作记录能力,以备审计。 新建系统必须满足本要求,对于不支持本要求的已建系统,应根据实际情况在系统升级中进行改造。4).在传输客户信息时,经过不安全网络的(例如INTERNET网),需要对传输的客户信息提供加密和完整性校验8.3.4.7业务安全管理加强业务内容安全监控,加强对业务内容源引入、内容提供/发布、内容传播等环节的审核和监控,并建立和完善内容安全事件的应急处理机制,确保业务内容提供的健康、合法。提高业务计费安全控制,加强对业务计费流程的梳理,严防计费问题的出现。针对WAP、WWW、短信等不同业务订购方式,分别采用有效手段,防止业务计费点被套用;确保建立和完善业务信息费异常监控技术手段,及时发现计费安全问题;对代收费业务应进行定期拨测,发现问题及时处理。增强业务系统外部接口安全防护,高度重视与外部系统有交互接口的业务平台的安全风险,确保交互协议设计的安全可靠。加强对外部交互协议与接口的拨测,及时发现存在的安全问题。在业务系统建设过程中应在业务系统与外部平台之间规划部署防火墙、流量监控等安全管控措施。完善业务使用流程和制度相关自,加强对业务订购、业务认证、业务使用、业务退订等各环节流程的审核和监控,及时发现安全问题。对业务订购、变更、退订要提供准确的核实和确认机制,对业务认证要重点关注敏感认证数据加密、认证算法强度和认证失败次数控制等。加强对互联网营销渠道的安全监控,采取黑白名单、动态码验证等技术手段防止营销渠道恶意盗链,建立完善的拨测机制,监控违规情况。针对第三方营销渠道,禁止层层转包,并定期进行营销规范性拨测,发现违规情况及时处理。业务平台运维从系统、人员、第三方管理等方面,加强业务平台的运维安全管控,防止业务运维中出现安全隐患。增强业务系统自身的访问控制,严格限制运维人员的帐号、权限,确保权限、角色相符合;加强对运维人员的安全意识和技能培训,提高安全运维能力。 8.3.4.8安全检查与维护作业按照规范要求,定期进行信息安全检查,形成汇报材料并进行内部通报。检查应包括但不限于以下内容,1).每月进行1次检查生产终端及网络接入情况。2).平均每2个月完成1次全量的系统漏洞扫描,而且完成系统帐号弱口令安全检查工作。3).每月完成1次全量Web漏洞扫描,每半月完成1次重要Web网站漏洞扫描。4).针对割接变更的业务系统,每月进行1检查安全基线配置情况。5).每月出具1次安全审计月报。6).每季度定期抽检要害人员保密协议、第三方保密协议、信息安全承诺书、要害人员保密协议签署备案情况。7).每季度定期抽检业务系统业务流程制定与执行、信息发布与审核等情况。8).每季度定期抽检新建系统上线安全验收情况。9).针对重大专项安全保障工作,根据专项工作的具体要求,信息安全组负责制定专项的安全保障工作安排,其中包括:内容安全保障、业务安全保障、系统与网络安全保障、客户信息安全保障、第三方保障,并组织基地各部门开展各项安全检查工作。8.3.5 IT运维服务范围 IT运维是IT管理的核心和重点部分,也是内容最多、最繁杂的部分,该阶段主要用于IT部门内部日常运营管理,涉及的对象分成两大部分,即IT业务系统和运维人员,可细分为八个子系统: 设备管理:对网络设备、主机、存储、操作系统运行状况进行监控 应用/服务管理对各种应用支持软件如数据库、中间件、群件以及各种通用或特定服务的监控管理,如邮件系统、DNS、Web等的监控与管理 数据/存储/容灾管理对系统和业务数据进行统一存储、备份和恢复 业务管理对企业自身核心业务系统运行情况的监控与管理 目录/内容管理主要对于企业需要统一发布或因人定制的内容管理和对公共信息的管理 资产管理管理企业中各IT系统的资源资产情况,这些资源资产能够是物理存在的,也能够是逻辑存在的,并能够与企业的财务部门进行数据交互 信息安全管理当前信息安全管理主要依据的国际标准是ISO17799,该标准涵盖了信息安全管理的十大控制方面,36个控制目标和127种控制方式,如企业安全组织方式、资产分类与控制、人员安全、物理与环境安全、通信与运营安全、访问控制、业务连续性管理等 日常工作管理主要用于规范和明确运维人员的岗位职责和工作安排、提供绩效考核量化依据、提供解决经验与知识的积累与共享手段8.3.6 IT运维与信息安全的关系信息安全是IT运维的重要组成模块,对于某些行业是关键模块 IT运维旨在谋求安全性与方便性 信息安全保障着价值 信息安全正在创造价值信息安全与IT运维共有一个衡量标尺:组织业务目标 业务需求驱动信息安全与IT运维需求 信息安全与IT运维方案要适应业务流程 信息安全与IT运维方案要支撑业务的可持续发展 业务目标的调整驱使安全与IT运维的调整 投资与企业战略、风险状况密切相关信息安全贯穿了IT运维整个生命周期 信息安全与IT运维都是一个过程,而不是一次事件 每个IT运维流程都影响着安全的一个或者多个目标(C.I.A) 失去信息安全的IT运维是失败的运维 信息安全的成熟度模型与IT运维的标杆管理是吻合的IT运维与信息安全的融合 信息安全公司试水运维,安全产品强化管理、监控功能,支持IT运维 运维支持类产品引入安全概念、集成安全技术 信息安全融入IT运维流程中 相关标准的认证工作能够同时进行(ISO 0/270001)IT运维的趋势彰示着安全的未来 IT运维的标准化符合安全的”纵深防御”的理念 IT运维的流程化提高了安全的可管理性,为改进安全工作提供条件 IT运维的自动化减少了人为失误,降低了安全的成本8.3.7云计算信息安全云计算是一种基于Internet的新兴应用计算机技术,在信息行业的发展中占据着重要的位置,它为互联网用户提供了安全可靠地服务和计算能力。其信息安全问题不但仅是云计算所要解决的首要问题,也是决定云计算的发展前景的关键性因素。8.3.7.1云计算的特征云计算是在分布式计算、网格计算、并行计算等发展的基础上提出的一种计算模型,它面正确是超大规模的分布式环境,核心是提供数据存储和网络服务。它具有如下一些特点: 较高的可靠性云计算采用了计算节点同构可互换、数据多副本容错等分支,因此与本地计算机相比,其可靠性更高。 大规模性由具备一定规模的多个结点组成,系统规模能够无限大。 高度的可扩展性可用即插即用的方式方便、快速地增加和减少资源,可扩展性和弹性比较高。 资源共享性提供一种或多种形式的计算或存储能力资源池,如物理服务器,虚拟机,事物和文件处理能力或任务进程。 动态分配实现资源的自动分配管理,包括资源即时监控和自动调度等,并能够提供使用量监控和管理。 跨地域能够将分布于多个物理地点的资源进行整合,提供统一的资源共享,并能在各物理地点间实现负载均衡。另外,由于云计算具有低廉的成本及广阔的应用空间,不断吸引着电信运营商和制造商的关注。如中国三大电信运营商纷纷开展了云计算的研究和试验工作,构建中国IT支撑云、业务云、公众服务云,为社会提供基于云计算的IT服务。然而,在云计算应用发展中面临着诸多挑战,如标准化问题、网络带宽问题、安全风险问题,其中安全问题被认为是最大的挑战之一,对于云计算的商业模式能否成功起着至关重要的影响。云计算安全出了传统IT架构中的信息安全风险外,还包括虚拟化、多租户技术带来的新的业务风险,导致信息安全风险复杂度升高。8.3.7.2云计算九大安全威胁CSA(Cloud Security Alliance,云计算安全联盟)列出了云计算领域的9个安全威胁。 1.数据泄露为了表明数据泄露对企业的危害程度,CSA在报告中提到了一篇研究文章,该文章描述了黑客如何利用边信道(Side-Channel)时间信息,经过侵入一台虚拟机来获取同一服务器上的其它虚拟机所使用的私有密钥。不过,其实不怀好意的黑客未必须要如此煞费苦心,就能确保这种攻击得逞。要是多租户云服务数据库设计不当,哪怕某一个用户的应用程序只存在一个漏洞,都能够让攻击者获取这个用户的数据,而且还能获取其它用户的数据。要应对数据丢失和数据泄露方面的威胁,难就难在其有可能造成”拆东墙补西墙”般的效果。CSA报告认为:”你落实到位的措施可能能够缓解一种威胁,可是会加大遭遇另一种威胁的风险。”用户能够对数据进行加密,以减小泄露的风险,不过一旦用户丢失了加密密钥,就再也无法查看数据了。反过来说,如果用户决定对数据进行异地备份以减小数据丢失风险,却就又加大了数据泄露的几率。 2.数据丢失CSA认为,云计算环境的第二大威胁是数据丢失。用户有可能会眼睁睁地看着那些宝贵数据消失得无影无踪,可是却对此毫无办法。不怀好意的黑客会删除攻击对象的数据。粗心大意的服务提供商或者灾难(如大火、洪水或地震)也可能导致用户的数据丢失。让情况更为严峻的是,要是用户丢失了加密密钥,那么对数据进行加密的行为反而会给用户带来麻烦。报告特别指出,数据丢失带来的问题不但仅可能影响企业与客户之间的关系。按照法规,企业必须存储某些数据存档以备核查,然而这些数据一旦丢失,企业由此有可能陷入困境,遭到政府的处罚。 3.数据劫持第三大云计算安全风险是账户或服务流量被劫持。CSA认为,云计算在这方面增添了一个新的威胁。如果黑客获取了企业的登录资料,其就有可能窃听相关活动和交易,并操纵数据、返回虚假信息,将企业客户引到非法网站。报告表示:”你的账户或服务实例可能成为攻击者新的大本营。她们进而会利用你的良好信誉,对外发动攻击。”要抵御这种威胁,关键在于保护好登录资料,以免被偷窃。CSA认为:”企业应考虑禁止用户与服务商之间共享账户登录资料。企业应该尽量采用安全性高的双因子验证技术。” 4.不安全的接口第四大安全威胁是不安全的接口(API)。IT管理员们会利用API对云服务进行配置、管理、协调和监控。API对一般云服务的安全性和可用性来说极为重要。企业