业务系统评估工作方法及流程v1Word格式.docx

1、章新斌审 核:批 准:会 签:标准化:版本控制版本日期参与人员更新说明2005.3.22创建、修改1需要完成的工作和完成工作的方式1.1业务系统评估的目标全方位的提供一个业务系统中的安全可见性, 包括 1业务系统的功能 组成 流程中安全的设计和实现 2已采取的安全措施3 仍存在的风险4提供的解决方案1.2业务系统的划分 一个公司的业务通常可以划分为几个主要的业务系统,如移动可以划分为网管 BOSS OA等,网管又可以划分为短信 gprs 智能 彩铃 等,但主要还是按照功能来划分.工作方式 : 专家经验（对行业的了解） 公司高层领导的访谈和会议1.3业务系统的定义 介绍包括:功能 流程业务的功能

2、介绍:如gprs（general package radio service）业务系统完成的功能为:1使用无线网络完成数据分组的传输,2业务系统的维护,3计费数据的产生和发送.工作方式: 厂商介绍 文档收集（厂商） 专家经验（对系统的了解）1.4业务系统的范围的确定 一个业务系统范围的确定就要根据其功能及组成,具体到相关部门的具体单元（如网络设备 主机 应用程序 维护人员 管理人员）, 依据和业务系统联系的紧密性而划分到那个业务系统如gprs系统:（跨部门 浦东 运维中心 钦州 数据中心 和多个厂商 爱立信 nokia） 如短信系统: 短信中心 短信网管 各类短信网关 划为一个业务系统? 人员

3、的协调? 会议包括公司中层领导和系统维护人员 资料收集（厂商 客户） 评估确认 行业性的问题如gprs的用户认证方式, 是否是行业标准?1.5和其他业务系统的相关性分析:业务系统的接口分析: 如gprs业务系统的接口有: 到 ss7（七号信令网） cmnet 计费 的接口接口的明确定义: 计费信息是采用什么样的方式发送给boss的 , 分组数据是如何转发到cmnet的.业务系统和其他业务系统共享资源:共享通讯子网 如共享一个核心交换机 共享一个维护人员 接口方式和共享方式 的信任关系 可能会带来的风险厂商介绍 会议:公司中层领导和系统维护人员 资料收集（厂商 客户）专家经验（对系统的了解） 评

4、估确认1.6安氏业务系统评估方法介绍 分层的方法将业务系统分为业务系统=支撑系统+应用系统+数据流+操作+管理支撑系统为 通信子网和主机 层 和其他部分如ss7 （和以前的安全评估兼容,并为以后保留一定的可扩展性） 是确定范围 相关性的关键应用系统为 应用系统的开发过程 应用系统体系结构,在设计和实现中对安全性的考虑 应用系统在支撑系统上的实现 确定接口的关键数据流分析 数据流在支撑系统 应用系统 上 如何 产生 传输 处理 保存 共享 销毁的, 在设计和实现中对安全性的考虑 确定接口的关键操作+管理 各类规章制度是否健全 , 是否按照规章制度执行 1.6.1支撑系统的评估1.6.1.1业务系

5、统的物理拓扑图确认gprs的接口 共享 和内部结构（具体到每一条链路?） 资料收集（客户） 专家确认1.6.1.2业务系统的逻辑拓扑图如gprs业务系统通常划为3个vlan:分组数据转发 , 计费 ,维护 , 在具体实现时可能就会划分为更多的vlan , 如果有路由通过划分为不同的子网和路由来确定1.6.1.3主机的评估评估信息必须准确完整,包括拓扑图中的每一台设备?（如果没有做过可以启动一个新的主机评估项目）1.6.2应用系统评估1.6.2.1应用系统的开发应用系统生命周期 开发文档 测试文档 实现文档 等的确认 厂商介绍 资料收集（厂商） 专家确认 1.6.2.2应用系统的体系结构 体系结

6、构介绍, 可分成多少个组件应用系统设计和实现时对安全性的考虑: 认证 访问控制 审计 加密设计: 认证信息以明文的形式保存在主机中实现: 西门子gprs维护主机使用的web存在问题1.6.2.3应用系统的实现应用系统在支撑系统中的分布,使用的进程 端口 用户 （需要的进程端口用户）当一台主机存在风险时,我们就能知道风险对应用系统的影响从而推出对业务系统的影响如gprs业务系统中的一台ftp服务器受到入侵会造成的影响,不会影响到计费,因为是独立网段, 但如果和dns服务器在一个网段,作为跳板攻击dns服务器,使得sgsn 就会得不到ggsn的ip 就中断了数据分组的传输. 厂商介绍 资料收集（厂

7、商 客户） 专家确认1.6.3数据流程的评估数据流 : 主要数据流 辅助数据流如gprs业务系统: 分组数据的转发数据流计费数据流?cg 如何采集计费信息 并发送给 boss维护数据流?数据在何处 产生 传输 处理 保存 共享 销毁在设计和实现中对安全性的考虑, 如计费信息数据流的输入是否进行过确认和审计 ,传输使用了加密?保存（保存1年,对存储介质的保护） 1.6.4操作和管理各类管理文档的收集: 维护管理规定 ,应急响应流程已往的事件处理记录 值班日志 资料收集（客户） 专家确认 bs7799 的安全管理资产的管理 配置管理 变更管理 发布管理1.7已有的安全措施已有的安全措施 : 安区域

8、的划分 部署了防火墙 IDS 杀毒软件 补丁管理软件 统一的认证, 其具体设计和实现, 以及具体对支撑系统 应用系统 数据流 操作 管理 的保护和支持. 厂商介绍 资料收集（厂商 客户） 专家确认 1.8依然存在的风险1.9解决方案2完成工作的方式 顺序 风险控制方法 2.1工作方式和要完成的工作:会议: 业务系统的划分 业务系统的范围的确定 和其他业务系统的相关性分析 包括启动会议 例会 等厂商介绍: 业务系统的定义,介绍包括:功能 流程 应用系统的体系结构资料收集（厂商）: 应用系统的开发 应用系统的体系结构 应用系统的实现 数据流程资料收集（客户）: 物理拓扑图 逻辑拓扑图 主机的评估 操作和管理 已有的安全措施专家确认: 使用多种方法对收集到的信息进行分析检查并确认评估确认: 通过使用上述多种方式收集信息 并深入分析后得到2.2工作顺序第一阶段 项目启动和准备阶段第二阶段 项目定义和蓝图阶段第三阶段 安全评估阶段第四阶段 全网评估综合分析和输出阶段2.3风险控制对客户和厂商 配合的要求可能会出现的问题, 资料收集中出现问题, 导致不能进行专家确认, 如无法提供确切的 物理拓扑图 逻辑拓扑图 应用系统在支撑系统的实现 如何处理?如何维护客户的商业机密?由于业务系统的规模和复杂性 对业务系统评估 周期 成本 的控制