IT运维信息安全解决方案.docx
《IT运维信息安全解决方案.docx》由会员分享，可在线阅读，更多相关《IT运维信息安全解决方案.docx（60页珍藏版）》请在冰豆网上搜索。
IT运维信息安全解决方案
8.3IT运维信息安全解决方案
随着信息安全管理体系和技术体系在企业领域的信息安全建设中不断推进，安全运维占信息系统生命周期70%-80%的信息，并且安全运维体系的建设已经越来越被广大用户重视。
尤其是随着信息系统建设工作从大规模建设阶段逐步转型到“建设和运维”并举的发展阶段，运维人员需要管理越来越庞大的IT系统这样的情况下，信息安全运维体系的建设已经被提到了一个空前的高度上。
它不仅单单是一个体系的建设，更是IT系统管理中的夯实基础。
运维服务的发展趋势对于企业的安全运维服务管理的发展，通常可以将其分为混乱阶段、被动阶段、主动阶段、服务阶段和价值阶段这五个阶段。
1、在混乱阶段：
运维服务没有建立综合的支持中心，也没有用户通知机制；
2、在被动阶段：
运维服务开始关注事件的发生和解决，也开始关注信息资产，拥有了统一的运维控制台和故障记录和备份机制；
3、在主动阶段：
运维服务建立了安全运行的定义，并将系统性能，问题管理、可用性管理、自动化与工作调度作为重点；
4、在服务阶段，运维服务工作中已经可以支持任务计划和服务级别管理；
5、在价值阶段，运维服务实现了性能、安全和核心几大应用的紧密结合，体现其价值所在。
安全的概念
信息安全的概念在二十世纪经历了一个漫长的历史阶段，90年代以来得到了深化。
进入21世纪后，随着信息技术的不断发展，信息安全问题也日显突出。
如何确保信息系统的安全已经成为了全社会关注的问题。
国际上对于信息安全问题的研究起步较早，投入力度大，已取得了许多成果，并得以推广应用。
中国目前也已有一批专门从事信息安全基础研究、技术开发与技术服务工作的研究机构与高科技企业，形成了中国信息安全产业的雏形。
关于信息安全的定义也有很多，国内学者与国外学者、不同的社会组织也给出了不同的定义。
Ø国内学者的定义：
“信息安全保密内容分为：
实体安全、运行安全、数据安全和管理安全四个方面。
”
Ø我国“计算机信息系统安全专用产品分类原则”中的定义是：
“涉及实体安全、运行安全和信息安全三个方面。
”
Ø我国相关立法给出的定义是：
“保障计算机及其相关的和配套的设备、设施（网络）的安全，运行环境的安全，保障信息安全，保障计算机功能的正常发挥，以维护计算机信息系统的安全”。
这里面涉及了物理安全、运行安全与信息安全三个层面。
Ø国家信息安全重点实验室给出的定义是：
“信息安全涉及到信息的机密性、完整性、可用性、可控性。
综合起来说，就是要保障电子信息的有效性。
”
Ø英国BS7799信息安全管理标准给出的定义是：
“信息安全是使信息避免一系列威胁，保障商务的连续性，最大限度地减少商务的损失，最大限度地获取投资和商务的回报，涉及的是机密性、完整性、可用性。
”
Ø美国国家安全局信息保障主任给出的定义是：
“因为术语‘信息安全’一直仅表示信息的机密性，在国防部我们用‘信息保障’来描述信息安全，也叫‘IA’。
它包含5种安全服务，包括机密性、完整性、可用性、真实性和不可抵赖性。
”
Ø国际标准化委员会给出的定义是：
“为数据处理系统而采取的技术的和管理的安全保护，保护计算机硬件、软件、数据不因偶然的或恶意的原因而遭到破坏、更改、显露”。
Ø机密性Confidentiality
Ø完整性Integrity
Ø可用性Availability
Ø可控性controllability
Ø真实性Authenticity
Ø不可否认性Non-repudiation
安全范围
Ø帐号口令管理
Ø系统基线配置安全管理
Ø系统漏洞安全管理
Ø终端安全管理
Ø安全审计管理
Ø客户信息安全管理
Ø业务安全管理
Ø安全检查与维护作业
8.3.2安全运维的定义
通常安全运维包含两层含义：
一是指在运维过程中对网络或系统发生病毒或黑客攻击等安全事件进行定位、防护、排除等运维动作，保障系统不受内、外界侵害。
二是指对运维过程中发生的基础环境、网络、安全、主机、中间件、数据库乃至核心应用系统发生的影响其正常运行的事件（包含关联事件）通称为安全事件，而围绕安全事件、运维人员和信息资产，依据具体流程而展开监控、告警、响应、评估等运行维护活动，称为安全运维服务。
目前，大多数企业还停留在被动的、传统意义上的安全运维服务，这样安全运维服务存在着以下弊端：
1）、出现故障纵有众多单一的厂商管理工具，但无法迅速定位安全事件，忙于“救火”，却又不知火因何而“着”。
时时处于被动服务之中，无法提供量化的服务质量标准。
2）、企业的信息系统管理仍在依靠各自的“业务骨干”支撑，缺少相应的流程和知识积累，过多依赖于人。
3）、对安全事件缺少关联性分析和评估分析，并且没有对安全事件定义明确的处理流程，更多的是依靠人的经验和责任心，缺少必要的审核和工具的支撑。
正是因为目前运维服务中存在的弊端，XX股份有限公司依靠长期从事应用平台信息系统运维服务的经验，同时结合信息安全保障体系建设中运维体系建设的要求，遵循ITIL（最佳实践指导）、ISO/IEC27000系列服务标准、以及《中国移动广东公司管理支撑系统SOA规范》等相关标准，建立了一整套完善和切实可行的信息安全运维服务管理的建设方案。
8.3.3XX股份运维五大架构体系
8.3.3.1建立安全运维监控中心
基于关键业务点面向业务系统可用性和业务连续性进行合理布控和监测，以关键绩效指标指导和考核信息系统运行质量和运维管理工作的实施和执行，XX股份帮助用户建立全面覆盖信息系统的监测中心，并对各类事件做出快速、准确的定位和展现。
实现对信息系统运行动态的快速掌握，以及运行维护管理过程中的事前预警、事发时快速定位。
其主要包括：
1、集中监控：
采用开放的、遵循国际标准的、可扩展的架构，整合各类监控管理工具的监控信息，实现对信息资产的集中监视、查看和管理的智能化、可视化监控系统。
监控的主要内容包括：
基础环境、网络、通信、安全、主机、中间件、数据库和核心应用系统等。
2、综合展现：
合理规划与布控，整合来自各种不同的监控管理工具和信息源，进行标准化、归一化的处理，并进行过滤和归并，实现集中、综合的展现。
3、快速定位和预警：
经过同构和归并的信息，将依据预先配置的规则、事件知识库、关联关系进行快速的故障定位，并根据预警条件进行预警。
8.3.3.2建立安全运维告警中心
基于规则配置和自动关联，实现对监控采集、同构、归并的信息的智能关联判别，并综合的展现信息系统中发生的预警和告警事件，帮助运维管理人员快速定位、排查问题所在。
同时，告警中心提供了多种告警响应方式，内置与事件响应中心的工单和预案处理接口，可依据事件关联和响应规则的定义，触发相应的预案处理，实现运维管理过程中突发事件和问题处理的自动化和智能化。
关于事件基础库维护：
它是事件知识库的基础定义，内置大量的标准事件，按事件类型进行合理划分和维护管理，可基于事件名称和事件描述信息进行归一化处理的配置，定义了多源、异构信息的同构规则和过滤规则。
关于智能关联分析：
它是借助基于规则的分析算法，对获取的各类信息进行分析，找到信息之间的逻辑关系，结合安全事件产生的网络环境、资产重要程度，对安全事件进行深度分析，消除安全事件的误报和重复报警。
关于综合查询和展现：
它实现了多种视角的故障告警信息和业务预警信息的查询和集中展现。
关于告警响应和处理：
它提供了事件生成、过滤、短信告警、邮件告警、自动派发工单、启动预案等多种响应方式，内置监控界面的图形化告警方式；提供了与事件响应中心的智能接口，可基于事件关联响应规则自动生成工单并触发相应的预案工作流进行处理。
8.3.3.3建立安全运维事件响应中心
借鉴并融合了ITIL（信息系统基础设施库）/ITSM（IT服务管理）的先进管理规范和最佳实践指南，借助工作流模型参考等标准，开发图形化、可配置的工作流程管理系统，将运维管理工作以任务和工作单传递的方式，通过科学的、符合用户运维管理规范的工作流程进行处置，在处理过程中实现电子化的自动流转，无需人工干预，缩短了流程周期，减少人工错误，并实现对事件、问题处理过程中的各个环节的追踪、监督和审计。
其中包括以下五大方面：
1.图形化的工作流建模工具：
实现预案建模的图形化管理，简单易用的预案流程的创建和维护，简洁的工作流仿真和验证。
2．可配置的预案流程：
所有运维管理流程均可由用户自行配置定义，即可实现ITIL/ITSM的主要运维管理流程，又可根据用户的实际管理要求和规范，配置个性化的任务、事件处理流程。
3.智能化的自动派单：
智能的规则匹配和处理，基于用户管理规范的自动处理，降低事件、任务发起到处理的延时，以及人工派发的误差。
4.全程的事件处理监控：
实现对事件响应处理全过程的跟踪记录和监控，根据ITIL管理建议和用户运维要求，对事件处理的响应时限和处理时限的监督和催办。
5.事件处理经验的积累：
实现对事件处理过程的备案和综合查询，帮助用户在处理事件时查找历史处理记录和流程，为运维管理工作积累经验。
8.3.3.4建立安全运维审核评估中心
安全运维审核评估中心具有对信息系统运行质量、服务水平、运维管理工作绩效的综合评估、考核、审计管理三大功能。
1.评估功能：
遵循国际和工业标准及指南建立平台的运行质量评估框架，通过评估模型使用户了解运维需求、认知运行风险、采取相应的保护和控制，有效的保证信息系统的建设投入与运行风险的平衡，系统地保证信息化建设的投资效益，提高关键业务应用的连续性。
2.考核功能：
在评价过程中避免主观臆断和片面随意性，可以实现工作量、工作效率、处理考核、状态考核等的一种客观评价功能。
3.审计功能：
是以跨平台多数据源信息安全审计为框架，以电子数据处理审计为基础的信息审计系统。
主要包括：
系统流程和输入输出数据以及数据接口的完整性、合规性、有效性、真实性审计。
8.3.3.5以信息资产管理为核心
IT资产管理是全面实现信息系统运行维护管理的基础，提供的丰富的IT资产信息属性维护和备案管理，以及对业务应用系统的备案和配置管理。
基于关键业务点配置关键业务的基础设施关联，通过资产对象信息配置丰富业务应用系统的运行维护内容，实现各类IT基础设施与用户关键业务的有机结合，以及全面的综合监控。
这其中包括：
综合运行态势：
是全面整合现有各类设备和系统的各类异构信息，包括网络设备、安全设备、应用系统和终端管理中各种事件，经过分析后的综合展现界面，注重对信息系统的运行状态、综合态势的宏观展示。
系统采集管理：
以信息系统内各种IT资源及各个核心业务系统的监控管理为主线，采集相关异构监控系统的信息，通过对不同来源的信息数据的整合、同构、规格化处理、规则匹配，生成面向运行维护管理的事件数据，实现信息的共享和标准化。
系统配置管理：
从系统容错、数据备份与恢复和运行监控三个方面着手建立自身的运行维护体系，采用平台监测器实时监测、运行检测工具主动检查相结合的方式，构建一个安全稳定的系统。
8.3.3.6安全管理原则
1）、XX股份有限公司负责业务支撑中心的安全、保密管理工作，遵守南方基地已有各项安全规定，以此为基础制定详细的《安全管理实施办法》，并采取适当措施保证有关措施的有效执行。
2）、XX股份有限公司定期检查安全、保密规定的执行情况；
3）、XX股份有限公司定期组织系统病毒检查，并对此负责；
4）、XX股份有限公司及时向信息技术中心反映存在的安全隐患。
8.3.3.7保密原则
1）、XX股份严格遵守南方基地各项安全保密制度，加强服务工程师的保密意识，制定有效的管理制度。
2）、XX股份整理措施和技术措施，防止重要数据、文件、资料的丢失及泄漏。
3）、XX股份有关计费清单、用户资料、业务数据、重要文件等均属机密，不得任意抄录、复制及带出机房，也不得转告与工作无关的人员。
4）、机房内重要文件、数据文件的销毁方式为文件送入碎纸机，不得随意丢弃。
5）、安全保密工作XX股份安排专人负责，定期向XX信息技术中心提交《安全工作报告》。
8.3.4信息安全的要求
帐号口令管理
Ø账号口令管理要求
按照“谁主管，谁负责”原则，业务系统责任部门负责按照本办法管理公司内部人员及第三方协维人员在系统应用层的帐号。
由公司各部门分别维护管理操作系统层和应用层的系统，并分别作为各层帐号的管理部门。
各层帐号管理部门各自负责本部门职责层面内的帐号审批及授权管理，推动制定帐号审批流程、表格模版等并落实责任人，监督落实帐号申请表、用户帐号登记表的维护管理。
各层帐号管理部门各自负责本部门职责层面内的帐号审批、创建及删除、权限管理以及口令管理要求执行情况审核机制，接受定期审核。
用户需按照帐号审批流程向各责任部门申请所需帐号、修改权限或者撤销帐号。
在帐号审批成功并创建后，应对帐号口令进行定期修改。
并应做到严格保护帐号口令，不得故意泄露，否则需承担由此导致安全问题的责任。
Ø帐号管理人员逻辑分类
岗位
职责
涉及相关记录
部门负责人
1、需对相关授权表进行审批授权签字，每季度需复核审批；
2、需对员工变动情况进行审批；
3、需对远程维护接入申请进行审批
系统层/应用层超级管理员：
1、系统层超级管理员：
按各系统进行设置
2、应用层超级管理员：
按业务应用管理进行设置
系统/应用程序最高权限管理员，负责管理所辖系统的帐号分配和管理，需要部门负责人对其进行授权。
系统层超级管理员、应用层超级管理员需由部门领导分别进行授权，不同系统可以兼任。
系统层/应用层普通用户：
系统维护、应用操作执行人员，为普通维护人员及第三方人员，只能申请自身帐号进行操作，不能进行帐号分配管理。
安全管理员、安全审计员：
负责所辖各系统及设备的信息安全管理工作。
每月检查信息安全管理的执行情况，汇总安全分析报告；与系统层超级管理员、应用层管理员需职责分离。
Ø超级管理员帐号管理流程
管理流程
管理要求
申请人填写《超级管理员授权表》
Y
N
审批并授权
N
Y
Y
授权有效期内
各业务系统层/应用层超级管理员由申请人填写《系统超级管理员授权表》。
部门经理审批并进行授权。
授权有效期内，部门经理对超级管理员的清单进行复核并签字确认。
Ø内部帐号创建/变更流程
管理流程
管理要求
申请人填写《系统帐号创建/变更申请表》
Y
N
申请人部门负责人审核
N
Y
系统责任部门负责人
书面审批
Y
内部员工需要增加帐号或进行权限变更时，由申请人填写《系统帐号创建/变更申请表》。
提交所在部门负责人进行权限职责相容性审核。
申请部门完成审核后，转发系统责任部门负责人进行书面审批。
书面审批通过，由系统超级管理员在系统中创建帐号或进行权限修改。
Ø第三方帐号管理流程
管理流程
管理要求
和第三方厂商签订安全保密协议。
Y
合作引入部门填写《系统帐号创建/变更申请表》
Y
Y
系统责任部门负责人
书面审批
N
N
Y
部门负责人审核
如存在第三方公司人员需要建立帐号的情况，应和第三方厂商签订相关的安全保密协议。
保密协议应注明拥有帐号列表及相关保密责任，以合理确保第三方厂商能够执行中国移动的安全管理要求和职责不相容要求。
第三方公司需要增加普通帐号或进行权限变更时，由合作引入部门填写《系统帐号创建/变更申请表》。
提交所在部门负责人进行权限职责相容性审核。
申请部门完成审核后，转发系统责任部门负责人进行书面审批后。
系统超级管理员在系统中创建帐号或进行权限修改。
Ø系统预设帐号管理流程
管理流程
管理要求
对接口程序、脚本或相关设置进行加密保存，禁止使用简单密码。
N
系统管理员提交预设帐号清单及使用人员清单。
Y
Y
系统责任部门负责人进行书面审批授权。
对于部分因系统、接口原因在系统中预设的用户帐号，系统责任部门应对接口程序、脚本或相关设置进行加密保存，禁止使用简单密码。
因系统原因不能进行加密保存的，系统管理员需提交预设帐号清单及使用人员清单。
系统责任部门负责人进行书面审批授权。
系统责任部门负责人每季度进行复核签字确认，如发现多余或不恰当的账号应进行及时调整。
系统基线配置安全管理
Ø基线配置安全要求
依据《管理信息系统安全基线规范V2.0》等管理规范与要求，公司各业务平台操作系统、数据库、服务器中间件、帐号权限分配与配置策略、防火墙需按照该规范进行配置。
定期组织相关检查人员按时对各业务系统进行安全基线配置检查，对检查中存在风险的系统发出整改通知书，督促其及时进行整改，并根据整改反馈进行复查，对业务系统上线前进行基线配置安全检查工作，存在有安全风险的系统必须进行限期整改，验收合格后才能上线。
Ø基线配置安全检查流程
管理流程
管理要求
信息安全管理部门发起基线配置安全检查（复查）流程
Y
各业务系统负责人协调人员进行现场配合
存在风险的系统根据整改通知进行整改加固
Y
Y
信息安全管理部门按工作计划发起基线安全检查流程并OA通知具体系统负责人
各系统责任人收到OA邮件后，协调安排配合人员进行现场配合
信息安全管理部门根据检查结果，对存在风险的系统发出整改通知，系统责任人收到整改通知后安排对风险进行整改加固，并反馈整改情况，信息安全管理部门收到反馈结果组织复查。
系统漏洞安全管理
Ø系统漏洞安全要求
定期对公司各生产系统进行操作系统、数据库、中间件、Web网站等进安全漏洞检查，对检查中存在漏洞的系统发出整改通知书，督促其及时进行整改，并根据整改反馈进行复查，对业务系统上线前进行系统漏洞安全检查工作，存在有安全风险的系统必须进行整改验收后才能上线。
Ø系统漏洞安全检查流程
管理流程
管理要求
信息安全管理部门发起系统漏洞安全检查（复查）流程
Y
各业务系统负责人协调人员进行现场配合
存在风险的系统根据整改通知进行整改加固
Y
Y
信息安全管理部门按工作计划发起系统漏洞安全检查流程并OA通知具体系统负责人
各系统责任人收到OA邮件后，协调安排配合人员进行现场配合
信息安全管理部门根据检查结果，对存在漏洞的系统发出整改通知，系统责任人收到整改通知后安排对风险进行整改加固，并反馈整改情况，信息安全管理部门收到反馈结果组织复查。
终端安全管理
Ø终端安全管理要求
终端安全策略配置项应满足以下要求：
1）.终端统一命名，统一采用“公司+人员姓名”中文方式。
2）.系统标准化管理，统一使用正版软件，禁止安装盗版。
3）.密码策略，按照公司帐号管理办法设置复杂度策略。
4）.配置帐户锁定策略，要求设置锁定次数为5次以下。
5）.禁用匿名访问网络。
6）.设置系统屏保密码，同时设定10分钟以内的锁定策略。
7）.审计策略，开启所有审计策略。
8）.要求安装杀毒软件并及时进行病毒库更新。
9）.要求统一安装公司采购的终端监控软件。
Ø终端安全配置检查流程
管理流程
管理要求
信息安全管理部门发起终端安全检查（复查）流程
Y
各部门员工（含合作伙伴）配合进行安全检查
对存在不合规的终端进行设置，以满足安全管理要求
Y
Y
信息安全管理部门按工作计划发起办公终端安全检查流程并OA通知具体检查部门
各部门员工（含合作伙伴）配合进行终端安全检查。
检查人员对存在不合规项的终端进行设置，以满足安全管理要求。
安全审计管理
Ø安全审计管理要求
事件日志记录:
将来自不同区域、不同设备、不同系统的日志信息集中起来，集中分析处理，创建记录异常事件和安全相关事件的审计日志并按照协商认可的保留期限将其保留一段时间。
1）.审计日志必须至少包含4W（who/when/where/what）要素：
用户ID或帐号。
操作日期和时间。
终端标识或位置。
用户所进行的操作。
系统的成功访问和拒绝访问的记录。
数据与其它资源的成功访问和拒绝访问记录。
2）.日志审计类型
网络类日志（鉴权平台、网络设备日志）
主机类日志（主机本身日志）
应用类日志（交换机、智能网等应用系统日志）
安全类日志（IDS、防火墙等）
3）.所有特权操作
新帐户的创建。
用户权限升级、口令更改。
配置的更改。
系统文件的删除。
系统启动和停止。
I/O设备连接/分离。
端口开启
进程启动等
4）.对应记录
用户ID。
地址：
包括目标IP和源IP
重要事件的日期和时间。
事件类型。
所访问的文件或资源。
所用程序/实用程序。
所进行的操作或操作结果。
Ø安全审计流程
工作流程
工作要求/标准
岗位
职责
☞各业务系统安全监控审计人员监控系统中产生的事件
☞系统管理员
☞负责系统的日常监控维护和日志分析
☞当检测到需处理事件时应及时进行处理
☞系统管理员
☞安全管理员
☞发现安全事件时，系统管理员通过任务工单向安全管理员及时汇报；
☞安全管理员接到事件报告时，要及时进行分析定性，决定后续处理措施。
☞联系设备厂商、服务厂商，及时对事件进行分析处理，处理内容包括：
确定危险程度，实施控制措施，恢复系统，确定来源，收集数据取证等。
☞如果事件对网络或系统造成重大影响，应启动事后分析流程。
☞厂商人员、服务商（如需要）；
☞系统管理员；
☞安全管理员
☞如有必要，系统管理员负责通知厂商、服务商到场
☞厂商、服务商如接到安全事件通知，需及时到场，将分析结果和处理建议提交安全管理员；
☞安全管理员需审核厂商提交的安全事件处理建议；重大安全事件需及时向上级管理人员汇报；
☞系统管理员配合厂商进行安全建议的实施。
☞填写《事件分析处理记录》存档。
报告应包含已经采取的防护措施的详细情况和其他任何经验教训（例如用来预防相同或类似事件再次发生的进一步防护措施）
☞厂商人员、服务商
☞系统管理员
☞安全管理员
☞处理人员需填写《事件分析处理报告》
☞安全管理员需审核并签署处理结果
客户信息安全管理
Ø客户信息安全管理要求
各系统管理员应明确识别各系统中存储、传输的客户有关信息，并具体标注需要保护的客户信息类型，对于各相关系统中的客户信息，XX许可不得查询，更不能用于公司合法运营之外的其它商业用途。
禁止在相关系统中运行与业务无关的其它程序，尤其是可能自动获取用户资料的程序。
按照最小化原则配置账户权限，保证对客户信息的访问不得超过本身工作范围。
对于访问相关系统的用户，能直接获得客户信息的，必须经过授权，XX的用户不得访问该系统。
对涉及客户信息相关操作，严格按照《“金库模式”实施指导意见》要求执行，对业务系统涉及客户身份资料、位置信息、通话详单、充值记录等高价值信息的高风险操作纳入金库管控。
各系统在信息获取、处理、存储、消除各环节保护客户信息的完整性、保密性、可用性，具备但不限于如下功能：
1）.客户信息存储时应具备相应的安全要求，包括存储位置、存储方式等，对于重要的客户信息，应根据系统实际情况提供必要的加密手段。
2）.应具备完善的权限管理策略，支持权限最小化原则、合理授权，对不能支持此原则的系统，应减少掌握该权限的人员数量，并加强人员管理。
3）.具备完整的用户访问、处理、删除客户信息的操作记录能力，以备审计。
新建系统必须满足本要求，对于不支持本要求的已建系统，应根据实际情况在系统升级中进行改造。
4）.在传输客户信息时，经过不安全网络的（例如INTERNET网），需要对传输的客户信息提供加密和完整性校
升级会员 