安全服务建议书Sample.docx

安全服务建议书Sample.docx

《安全服务建议书Sample.docx》由会员分享，可在线阅读，更多相关《安全服务建议书Sample.docx（35页珍藏版）》请在冰豆网上搜索。

安全服务建议书Sample

XXXIDC

安全服务建议书

二○○三年四月

1公司简介

包含公司有关资质、奖励等

2XXXIDC安全服务需求

XXXIDC是7×24小时不间断运行的系统，为保证XXXIDC系统安全可靠地运行，保守企业和用户秘密，维护企业和用户的合法权益，应该具有极高的可靠性和良好的安全性。

通过完备的安全规X和策略建立一个配套的安全管理制度，利用业界最新的安全技术去建设一个环境安全和管理安全的安全体系，从而满足XXXIDC系统对安全的要求。

2.1网络拓扑图

2.2安全服务需求

经过与XXXIDC的多次交流，我公司理解的本次安全服务需求如下：

1）对10台服务器进行安全加固。

✓Linux6.21台，运行Apache、PHP、MySql;

✓Windows20009台；

上面有IIS6台，IDS（1台），DB（SQLServer2000）2套，网管软件一套，BackupServer1台。

2）安全审计的服务器数量30台

3）对IDC主机做日志搜集和分析的要求也不大，只要有储存，不需要分析。

4）IP规划中生产区和办公区没分开，共用一个网段。

5）人员规模在40人左右，有自己的安全管理制度，补丁更新及时。

6）备份系统为磁带库。

对安全服务比较明确的要求是，在安全审计报告方面及时、详细、重点突出；在平时的工作日志中要做到详细，有案可查。

XXXIDC系统的安全风险评估是针对已经建设的XXXIDC系统的策略、设计、和安全漏洞进行审计和检测。

主要考察其：

合理性：

人员配置、设备配备、制度建设和执行

可用性：

系统的管理、操作、维护性能

XX性：

数据信息的加密等保护措施

完整性：

信息的完整性

确定性：

认证/防抵赖

可追溯性：

日志记录等

2.3安全产品需求

XXXIDC已有的安全产品是CA公司的EAC主机加固，EID的IDS，冰之眼扫描器。

针对安全需求书中提到和比较急的安全需求，在附件中推荐了部分安全产品，主要用于系统安全加固、及时发现系统漏洞和对系统日志进行分析，产品如下：

1）系统安全增强工具；

2）安全审计中心；

3）网络安全分析仪；

4）日志分析中心。

3安全服务内容

3.1严密的安全体系

针对IDC的特殊性，我公司建议从安全整体规划出发，建立一套完整、严密的安全服务体系，以便从统一安全策略出发，从上到下地严密控制可能产生的安全风险，在这套完整的安全体系下，您的网络的安全风险将是可见的、可控的、可管理的，达到将风险降到最低的目的。

3.2专业的安全服务

信息安全一向是一个交互的过程，使用任何一种“静态”或者号称“动态”防X的产品都不能解决不断新出现的安全问题，所以我公司针对安全问题的特点，提供针对IDC的全面的安全服务。

在IDC的环境中：

Ø系统的安全性和操作系统提供商和软件提供商非常有关，作为网络的使用者，必须时刻和各种软硬件厂商的安全部门联系，获得最新的安全报告。

Ø防火墙并不能保护一切网络资源。

防火墙能够保护经过严格规则设定的网络资源不泄漏，以及可以拒绝绝大多数的端口扫描和DenyofService（拒绝服务）攻击，但是传统的防火墙不能拒绝正当的连接中带的攻击行为以及来自内部网的攻击。

Ø网络实时入侵探测软件的报警功能的局限性。

目前任何一种网络实时入侵探测软件都不能截获局域网上100％的数据包进行分析，因此存在着一定的漏报问题。

Ø人员的操作水平和系统的复杂性之间的差距。

现有的系统管理员对目前先进、复杂的网络的管理能力有限。

基于以上种种原因，我公司作为专业安全服务提供商，更专注于提供专业的安全咨询服务，我公司推出了系统安全服务，解决了日常运营维护中的系统安全问题对网络建设者和运营商的困扰。

网络安全并不是按照说明书安装几个流行的网络安全产品就能解决问题的。

它需要合适的安全体系和合理的安全产品组合，需要根据网络及网络用户的情况和需求规划、设计和实施一定的安全策略以及其他多种安全服务。

XXX公司的信息安全服务中的安全风险评估服务，包括资产鉴定、威胁评估、影响评估、脆弱性评估和风险鉴定。

第一步是进行资产鉴定，确定哪些资产需要重点安全保护；第二步是针对需要重点安全保护的信息资产进行威胁评估、影响评估和脆弱性评估；第三步在上面两步的基础上进行风险等级，确定风险等级。

建议XXXIDC对其系统进行全面的安全评估，但鉴于已明确决定具体的服务内容，并已有一定的安全基础，下面只针对脆弱性评估中的系统脆弱性评估进行描述，对环境脆弱性和管理脆弱性不做描述。

为与贵公司保持概念上的一致，将系统脆弱性评估服务也称为安全审计服务。

3.2.1安全审计服务

网络安全和系统安全是一个不断发展的新事物，从网络安全的技术构成上来说，黑客和系统管理员之间的斗争是一个时间和耐力的赛跑。

网络系统的一处安全漏洞、系统管理员的机房管理制度以及流程上的一些疏漏就有可能成为网络安全的一个致命点。

同时，随着时间的发展，本来相对安全的网络系统可能会出现新的安全问题，系统管理员有意或无意的对系统参数或网络结构的调整，也可能会带来新的安全问题。

因此，如何在长期的运行维护过程中，保证客户的网络系统长期稳定的安全性，就显得极为重要。

我公司日常安全审计服务是周期性评估服务，它面向防火墙、服务器、MAIL服务器、电子商务服务器、DNS服务器和其他更多的网络设备和主机系统。

该服务利用各种方式来动态评估以上各种系统的安全状况。

该安全评估服务作为对现有安全措施的补充，以确认对网络安全控制的效力。

3.2.1.1服务目标

我公司日常安全审计服务的目标是，首先，通过对网络进行安全审计，得出整个网络安全状态的评估报告，找出网络的安全漏洞和隐患，并据此提出解决措施，进行安全项目的集成，以保障大型和复杂网络环境的网络安全；同时，在网络运行维护过程中，对系统进行日常的安全审计服务，动态监控整个系统的安全状况，以此不断解决新发现的安全问题。

3.2.1.2服务内容与流程

服务内容：

1）从管理层次出发，制定切实可行的日常安全审计制度，其中包括：

●建立客户方与我公司日常安全审计的例行制度；

●明确定义日常安全审计服务实施的日程安排与计划；

●明确定义我公司日常安全审计服务中涉及到的报告的形式及内容；

●明确定义日常安全审计服务所要达到的目标；

2）从技术层次出发，建立标准的安全审计流程，明确定义安全审计所涉及的过程及技术要求，其中包括：

●建立详细完备的用户确认制度和签字验收制度；

●明确定义安全审计中扫描代价分析的方法与原则；

●明确定义安全审计中扫描工具选择的原则；

●明确定义安全审计中制定扫描方案的原则；

●明确定义安全审计中安全扫描的实施原则；

●明确定义安全审计中实际扫描的实施技术要求；

●明确定义安全审计中制定安全增强建议方案的原则；

●明确定义安全审计中安全修补方案制定的原则；

●明确定义安全审计中涉及到的安全修补的实施原则；

●明确定义安全审计中涉及到的安全修补的实施技术要求；

3）从用户需求、网络现状及以往安全审计结果出发，确定安全审计服务X围，其中包括：

●确定需要进行审计的网段、并对该网段系统运行情况分析，得出审计准备概要报告；

●在需要审计的网段内，确定需要进行安全审计的网络设备，并列出这些网络设备中需要审计的服务清单；

●对确定需要审计的网络设备进行扫描风险性评估；

●在需要审计的网段内，确定需要进行安全审计的主机系统，并列出这些主机系统中需要审计的服务清单；

●对确定需要审计的主机系统进行扫描风险性评估；

●在需要审计的网段内，确定需要进行安全审计的应用系统，并列出这些应用系统中需要审计的服务清单；

●对确定需要审计的应用系统进行扫描风险性评估；

●确定最终的安全扫描方案，包括需要检查的项目，扫描的时间安排、从整体上进行的扫描风险评估及风险对策；

●向用户提交扫描方案，按照安全审计制度获得用户确认；

4）根据扫描风险评估报告，选用安全扫描工具进行实际扫描

●分析比较各种安全扫描工具，得到各种安全扫描产品的优缺点比较表；

●根据最终的安全扫描方案，以及扫描风险评估，选定一个或多个合适的扫描工具；

●根据扫描方案中的检查项目，利用选定的扫描工具，按照扫描的具体时间安排，进行实际扫描的工作；

●对于实际扫描过程中出现的突发事件，采用扫描方案中的风险对策或临时制定的解决措施，及时、正确的给予解决，尽力确保不影响整个系统正常的运营维护；

●根据扫描工具得出的扫描结果，从网络系统、主机系统、应用系统以及数据系统得出综合的扫描结果报告

5）根据扫描结果报告提出系统安全的建议方案并设计安全解决方案

●根据综合的扫描结果报告，总结近期发生的安全事件，从管理层次角度上制定报告；

●根据综合的扫描结果报告，结合被审计系统的日志及其它信息，从技术层次上得出全网安全水平综合报告（包括：

安全管理上的优点/缺点、各系统对攻击情况的防护能力、系统中存在的安全漏洞及其安全隐患以及安全事件列表等）；

●根据全网安全水平综合报告，在客户配合之下，对系统中存在的问题提出安全建议报告，并制定相应的动态安全解决方案；

●将安全事件报告、安全水平综合报告、安全建议报告及安全解决方案提交给用户，并确认；

6）根据安全扫描报告、增强系统安全的建议方案和上述制定的安全解决方案对系统进行安全修补，其中包括：

●安装系统补丁；

●停止不需要的服务；

●替换有问题的软件为同样功能、但更安全的软件；

●修改有安全问题的软件配置；

●修补结束，得出安全修补实施报告，提交给用户并确认；

7）依照日常安全审计制度，定期的对系统进行上述的安全审计

服务流程：

日常安全审计服务

（一）审计工作流程

日常安全审计服务

（二）

修补工作流程

安全审计服务文档流程

3.2.1.3服务指标与服务承诺

审计工作时间安排

签订合同后10个工作日内第一次日常审计，之后每月同一时间进行审计（时间前后差距不超过3天，审计周期可根据客户要求调整）

审计工作花费工时

6台主机（网络设备）/每工作日（不含修补时间）

提交审计报告时限

当次审计结束后2工作日内

3.2.1.4我公司日常安全审计服务的优势

✓周期性的检查和修补，使客户的网络安全状况始终保持在一个较高的水平。

✓技术全面，使用多种审计工具和手工检查相结合，能够全面的检查出系统的安全隐患，比只使用扫描器检查更加全面。

✓事先风险评价，在实施审计工作前谨慎的评价扫描工具可能带来的影响，并加以适当的调整以消除风险。

✓完善的文档流程，工作的每一步骤都会提交相应的文档并由客户签字确认，以确保每一项工作对客户透明。

✓详尽的审计和修补工作报告，以一致的、容易理解的方式报告结果，报告包括自动扫描工具数据和我公司安全专家对结果的分析以及我公司安全专家手工检查的结果。

✓帮助客户制定完善的日常安全审计制度，并辅以相应的现场培训，有助于进一步提高客户自身的安全水平。

3.2.1.5本服务遵从的信息安全标准和规定

✓《中华人民XX国计算机信息系统安全保护条例》

✓《中华人民XX国计算机信息网络国际联网管理暂行规定》

✓《计算机信息网络国际联网安全保护管理办法》

✓《中华人民XX国计算机信息网络国际联网管理暂行规定实施办法》

✓《商用密码管理条例》

3.2.2紧急安全响应服务

3.2.2.1服务简介

在客户运行维护系统过程中，作为客户方的技术人员由于时间和精力的问题，常常对于这些紧急事件缺乏有效的处理，这样往往会对系统正常运转造成重大影响。

如果用户选择了我公司的紧急响应服务，那么在服务期间，一旦客户系统发生紧急事件，我们就将派出专业安全工程师，到现场快速响应安全事件，解决安全问题，并根据出现的问题及时调整安全策略，帮助用户在以后的维护中正确解决问题。

3.2.2.2服务内容

1．故障情况通知及确定

Ø我公司对用户的紧急安全事件提供安全响应热线/手机和客户专用的Email联系方式。

Ø我公司将在接到用户紧急安全响应请求后的30分钟内，通过、专用Email或远程监测等多种方式，确定故障类型，定义故障等级。

Ø远程支持响应

Ø对于能够通过或网络方式远程支持解决的重要故障，我公司承诺在故障等级情况确定后尽快从远程帮助用户或由我公司从远程修复系统，解决故障，使故障造成的损失减小到最小。

2．现场支持响应

在接到用户紧急安全响应请求后的30分钟内，在远程不能确定安全故障类型或故障情况严重不能通过远程解决的严重故障情况下，我公司承诺安排至少两人以上的工程技术人员到达现场解决问题，到达现场时间为一小时（以交通工具到达时间为限）。

3．安全故障解决

安全故障解决遵循以下流程：

Ø故障诊断，对故障情况作诊断，记录，分析；

Ø故障修复，尽可能减少用户安全故障造成的损失，并修复系统；

Ø系统清理，对安全故障发生的系统作系统完整性审计、系统安全检查、清理；

Ø系统防护，对安全故障发生过的系统增加、加强安全保护措施；

Ø证据收集，对由于安全故障造成的入侵记录、破坏情况、直接损失情况收集证据；

我公司承诺在故障解决后的72小时内，安排专人从远程或本地跟踪客户系统运营情况，确保故障根本上得到解决。

5．紧急响应服务结果报告

针对在紧急安全响应服务的所遇到的安全问题、安全事故处理过程、处理结果，48小时内汇总形成紧急响应服务结果报告，提交给用户。

3.2.2.3

服务流程

紧急安全响应服务流程图

紧急响应工作流程

3.2.2.4服务指标及服务承诺

远程响应

本地响应

响应时间

接到报告后30分钟内

接到报告后30分钟内

到达现场时间

N/A

接到报告1小时内派出工程师，在交通工具限制时间内到达

解决问题时间

依事故情况而定，通常不超过24小时

依事故情况而定，通常不超过24小时

文档提供

响应处理文档与咨询支持文档

响应处理文档与咨询支持文档

跟踪服务

1个月

3个月

3.2.2.5XXX公司紧急安全响应服务的优势

●迅速反应：

接到用户申报安全事件后30分钟内，技术支持中心会尽快与客户建立联系，并指定专门工程师负责。

●高效解决：

工程师会高效投入确定事件、分析事件和解决事件的工作，并在24小时内通知用户安全事件诊断结果，并提供解决方案。

对于购买了现场紧急安全响应的客户，可转入相应服务的流程。

●安全事件等级和问题自动升级：

根据安全事件的性质和严重程度划分了事故等级，分别指定问题确诊时限，和提供解决方案的时限。

安全事件确诊时限和超时上报程序如下：

事件级别

确诊时限

紧急事件

严重事件

一般事件

1小时

客户支持主管

4小时

技术支持经理

客户支持主管

12小时

服务副总裁

技术支持经理

客户支持主管

24小时

总裁

服务副总裁

技术支持经理

⏹紧急事件

●客户提供业务的系统由于安全原因崩溃、系统性能严重下降，已无法提供正常服务。

●本地区出口路由由于网络安全原因非正常中断，严重影响用户使用。

●公众服务由于安全原因停止服务或者造成恶劣影响。

⏹严重事件

●重要应用如计费系统等由于安全事件出现问题，以致不能正常提供服务。

●部分服务由于安全原因中断，影响用户正常使用。

⏹一般事件

●由于安全原因系统出现故障，但不影响服务提供和用户正常使用。

●客户技术咨询、索取技术资料、技术支援等。

⏹紧急和严重事件的上报时限是按照每周七天、每天二十四小时计算，一般事件上报时限是按照标准工作时间计算。

3.2.2.6本服务遵从的信息安全标准

✓《中华人民XX国计算机信息系统安全保护条例》

✓《中华人民XX国计算机信息网络国际联网管理暂行规定》

✓《计算机信息网络国际联网安全保护管理办法》

✓《中华人民XX国计算机信息网络国际联网管理暂行规定实施办法》

✓《商用密码管理条例》

3.2.3路由器安全增强配置

3.2.3.1服务简介

我公司在工程实施中提供如下列表的路由器安全配置服务，目的是从全网角度考虑，在保证全网路由畅通的基础之上，通过安全配置路由器改进整个网络的安全性。

在进行路由器安全配置的安全服务中，我公司将根据客户的基本需求，结合全网路由情况及其安全问题，制定安全的路由器配置方案，并在实施过程中贯彻以下服务。

3.2.3.2服务内容

Global服务配置

通过考察骨干节点上的骨干路由器配置情况，结合实际需求，打开某些必要的服务或是关闭一些不必要的服务。

例如：

noservicefinger

noservicepad等

Interface服务配置

根据制定好的基本配置方案对路由器进行配置检查，删去某些不必要ip特性，诸如：

noipredirects

noipdrected-broadcast

CDP配置

根据ISP网络的特点，以及制定好的方案，配置路由器的CDP。

LoginBanner配置

修改loginbanner，隐藏路由器系统真实信息。

`

Enablesecret配置

使用enablesecret来加密secret口令。

Nagle配置

通过Nagle配置来提高安全性，也提高了路由器telnetsession的性能。

Ident配置

通过ident配置来增加路由器安全性。

超时配置

配置VTY，Console的超时来增加系统访问安全性。

访问控制配置

通过配置VTY端口的AccessList来增加系统访问的安全性。

VTY访问配置

配置VTY的访问方式，如SSH来增加系统访问的安全性。

用户验证配置

配置用户验证方式以增强系统访问的安全性。

AAA方式配置

配置AAA方式来增加用户访问安全性。

路由命令审计配置

配置AAA命令记账来增强系统访问安全性。

Ingress和Egress路由过滤

在边界路由器上配置Ingress和Egress

Ingress和Egress包过滤

通过配置Ingress包过滤防止非法IP地址接受；通过配置Egress包过滤防止非法IP地址传输，同时还将解决过滤规则和性能之间的平衡问题。

UnicastRPF配置

通过配置UnicastRPF，保护ISP的客户来增强ISP自身的安全性。

服务提供SingleHomed租用线客户、PSTN/ISDN/xDSL客户或是Multihomed租用线路客户的UnicastRPF配置。

路由协议验证配置

配置临近路由器验证协议，以确保可靠性路由信息的交换，可以配置明文验证或是MD5验证，来加密。

CAR配置

配置路由器CAR功能以防止SMURF攻击。

更多安全高级配置

根据具体情况提供更多的高级安全配置

3.2.3.3服务流程

同上。

3.2.4防火墙安全配置

3.2.4.1服务简介

我公司在工程实施中提供如下列表的防火墙安全配置服务，目的用于通过防火墙增强网络安全性。

在进行防火墙安全配置的安全服务中，将根据客户的基本需求，结合全网实际情况，制定切实可行、安全高效的防火墙安全配置方案，然后在实施过程中贯彻以下服务。

3.2.4.2服务内容

防火墙安全配置

防火墙配置检查

检查防火墙的随机软硬件配置，软件版本，License是否符合购买要求。

记录防火墙的序列号，硬件模块数量，软件的版本和License，检查是否满足基本配置方案要求。

防火墙基本安装配置

安装防火墙，利用防火墙各种管理配置方式对防火墙进行管理以满足基本配置方案要求。

防火墙自身安全性检查

通过察看防火墙操作系统或通过硬件方式，以及察看公安部门及权威认证的证书或批文，了解防火墙自身安全性能。

防火墙访问控制配置

了解防火墙类型，检查防火墙包过滤功能、支持代理功能、全状态检测功能以及URL过滤功能，并根据防火墙基本配置方案进行访问控制配置。

防火墙NAT方式配置

根据制定的防火墙基本配置方案，配置防火墙的NAT方式、一对一NAT及其一对多NAT。

防火墙透明方式配置

测试防火墙是否支持透明方式以及有无局限性，配置透明方式和NAT方式是否能够同时使用。

防火墙系统管理配置

检查防火墙系统管理的协议及安全性，并通过相应的系统管理界面，根据制定的防火墙基本配置方案对防火墙进行管理。

防火墙软件升级配置

检查防火墙升级方式及其可靠性，根据制定的防火墙基本配置方案，利用相应升级方式对防火墙进行软件升级。

防火墙用户管理配置

检查防火墙支持的用户管理方式，并根据制定的防火墙基本配置方案进行用户管理配置

防火墙认证配置

检查防火墙支持的认证方式，根据防火墙的认证方式及其实现制定的方案配置防火墙的用户认证，并从全网测试防火墙的认证。

防火墙实时报警和

入侵检测配置

检查是否支持实时报警和入侵检测，根据防火墙增强配置方案配置入侵检测及其实时报警的方式，检查报警响应时间，并模拟黑客对防火墙进行扫描，检查防火墙对入侵的检测能力及其实时报警能力。

防火墙日志分析配置

检查防火墙支持的日志功能，根据防火墙增强配置方案配置日志功能，配置日志服务器并对防火墙各种活动的日志情况进行相应的分析，得出日志分析报告。

防火墙效率配置

测试防火墙在不同规则集、不同服务流量及其VPN情况下的对网络服务性能的影响，并根据制定好的增强配置方案，调整防火墙配置，以提高防火墙的效率。

防火墙防DoS攻击配置

检查防火墙是否支持防止DoS攻击，如果支持，则根据制定好的增强配置方案配置防火墙的防DoS攻击功能，并模拟黑客对防火墙进行DoS攻击，检查防DoS攻击的响应时间及效果。

防火墙高可靠性测试

了解防火墙是否支持高可靠性及其系统切换时间，按照制定的增强配置方案配置防火墙的主备方式；检查防火墙的负载平衡能力，分析所提供网络服务的流量情况，合理进行具有负载平衡能力的防火墙配置，以优化整个网络的性能。

3.2.4.3服务流程

同上。

3.2.5DNS应用系统安全配置

3.2.5.1服务简介

我公司在工程实施中提供DNS安全配置服务，目的是从全网安全角度考虑，在保证全网整体安全的基础之上，通过安全配置DNS提高公众服务系统的安全性。

在进行DNS安全配置的安全服务中，我公司将根据客户的基本需求，结合业务情况及其安全问题，制定安全的DNS配置方案，并进行实施。

3.2.5.2服务内容

限制域传输

域传输一般在主备DNS服务器之间进行，通常会将整个域数据库完全复制传输，这就有可能给入侵者提供了解更多信息的途径。

限制域传输，域传输可使入侵者获得较多的信息甚至内网拓扑结构。

设置堆栈不可执行

针对目前复杂的DNS版本，我们将针对各种平台的DNS服务，如saloris,aix,HP-UX等UNIX系统下的BIND进行限制堆栈使用，防止使用栈溢出的入侵手段

配置主备服务器间认证

主备服务器之间不设置认证，则可设立目标DNS服务器为主服务器，进行欺骗，获得整个DNS数据库。

通过对服务器间通讯做验证，防止未授权的DNS服务器间通讯，泄露数据库信息。

修改版本信息

DNS版本信息有可能提供给入侵者有用的资料，通过修改避免信息泄露

防止DNS欺骗

选用交换技术，合理配置VLAN，隔离点播，防止DNS欺骗。

禁止转发查询

禁止转发查询。

设置allowquery

使用allowquery设置允许查询主机X围，确保DNS服务的

设置重试查询次数

设置合理的重试查询次数，避免被利用成为拒绝服务攻击工具。

3.2.5.3服务流程

同上。

3.2.6WEB应用系统安全配置

3.2.6.1服务简介

WEB服务在整网中属于关键应用，面向