安全服务建议书SampleWord文件下载.docx

1、信息的完整性确定性：认证/防抵赖可追溯性：日志记录等2.3安全产品需求XXXIDC已有的安全产品是CA公司的EAC主机加固，EID的IDS，冰之眼扫描器。针对安全需求书中提到和比较急的安全需求，在附件中推荐了部分安全产品，主要用于系统安全加固、及时发现系统漏洞和对系统日志进行分析，产品如下：1）系统安全增强工具；2）安全审计中心；3）网络安全分析仪；4）日志分析中心。3安全服务内容3.1严密的安全体系针对IDC的特殊性，我公司建议从安全整体规划出发，建立一套完整、严密的安全服务体系，以便从统一安全策略出发，从上到下地严密控制可能产生的安全风险，在这套完整的安全体系下，您的网络的安全风险将是可见

2、的、可控的、可管理的，达到将风险降到最低的目的。3.2专业的安全服务信息安全一向是一个交互的过程，使用任何一种“静态”或者号称“动态”防X的产品都不能解决不断新出现的安全问题，所以我公司针对安全问题的特点，提供针对IDC的全面的安全服务。在IDC的环境中：系统的安全性和操作系统提供商和软件提供商非常有关，作为网络的使用者，必须时刻和各种软硬件厂商的安全部门联系，获得最新的安全报告。防火墙并不能保护一切网络资源。防火墙能够保护经过严格规则设定的网络资源不泄漏，以及可以拒绝绝大多数的端口扫描和Deny of Service（拒绝服务）攻击，但是传统的防火墙不能拒绝正当的连接中带的攻击行为以及来自内

3、部网的攻击。网络实时入侵探测软件的报警功能的局限性。目前任何一种网络实时入侵探测软件都不能截获局域网上100的数据包进行分析，因此存在着一定的漏报问题。人员的操作水平和系统的复杂性之间的差距。现有的系统管理员对目前先进、复杂的网络的管理能力有限。基于以上种种原因，我公司作为专业安全服务提供商，更专注于提供专业的安全咨询服务，我公司推出了系统安全服务，解决了日常运营维护中的系统安全问题对网络建设者和运营商的困扰。网络安全并不是按照说明书安装几个流行的网络安全产品就能解决问题的。它需要合适的安全体系和合理的安全产品组合，需要根据网络及网络用户的情况和需求规划、设计和实施一定的安全策略以及其他多种安

4、全服务。XXX公司的信息安全服务中的安全风险评估服务，包括资产鉴定、威胁评估、影响评估、脆弱性评估和风险鉴定。第一步是进行资产鉴定，确定哪些资产需要重点安全保护；第二步是针对需要重点安全保护的信息资产进行威胁评估、影响评估和脆弱性评估；第三步在上面两步的基础上进行风险等级，确定风险等级。建议XXXIDC对其系统进行全面的安全评估，但鉴于已明确决定具体的服务内容，并已有一定的安全基础，下面只针对脆弱性评估中的系统脆弱性评估进行描述，对环境脆弱性和管理脆弱性不做描述。为与贵公司保持概念上的一致，将系统脆弱性评估服务也称为安全审计服务。3.2.1安全审计服务网络安全和系统安全是一个不断发展的新事物，

5、从网络安全的技术构成上来说，黑客和系统管理员之间的斗争是一个时间和耐力的赛跑。网络系统的一处安全漏洞、系统管理员的机房管理制度以及流程上的一些疏漏就有可能成为网络安全的一个致命点。同时，随着时间的发展，本来相对安全的网络系统可能会出现新的安全问题，系统管理员有意或无意的对系统参数或网络结构的调整，也可能会带来新的安全问题。因此，如何在长期的运行维护过程中，保证客户的网络系统长期稳定的安全性，就显得极为重要。我公司日常安全审计服务是周期性评估服务，它面向防火墙、服务器、MAIL服务器、电子商务服务器、DNS服务器和其他更多的网络设备和主机系统。该服务利用各种方式来动态评估以上各种系统的安全状况。

6、该安全评估服务作为对现有安全措施的补充，以确认对网络安全控制的效力。3.2.1.1服务目标我公司日常安全审计服务的目标是，首先，通过对网络进行安全审计，得出整个网络安全状态的评估报告，找出网络的安全漏洞和隐患，并据此提出解决措施，进行安全项目的集成，以保障大型和复杂网络环境的网络安全；同时，在网络运行维护过程中，对系统进行日常的安全审计服务，动态监控整个系统的安全状况，以此不断解决新发现的安全问题。3.2.1.2服务内容与流程服务内容：1）从管理层次出发，制定切实可行的日常安全审计制度，其中包括：建立客户方与我公司日常安全审计的例行制度；明确定义日常安全审计服务实施的日程安排与计划；明确定义我

7、公司日常安全审计服务中涉及到的报告的形式及内容；明确定义日常安全审计服务所要达到的目标；2）从技术层次出发，建立标准的安全审计流程，明确定义安全审计所涉及的过程及技术要求，其中包括：建立详细完备的用户确认制度和签字验收制度；明确定义安全审计中扫描代价分析的方法与原则；明确定义安全审计中扫描工具选择的原则；明确定义安全审计中制定扫描方案的原则；明确定义安全审计中安全扫描的实施原则；明确定义安全审计中实际扫描的实施技术要求；明确定义安全审计中制定安全增强建议方案的原则；明确定义安全审计中安全修补方案制定的原则；明确定义安全审计中涉及到的安全修补的实施原则；明确定义安全审计中涉及到的安全修补的实施技

8、术要求；3）从用户需求、网络现状及以往安全审计结果出发，确定安全审计服务X围，其中包括：确定需要进行审计的网段、并对该网段系统运行情况分析，得出审计准备概要报告；在需要审计的网段内，确定需要进行安全审计的网络设备，并列出这些网络设备中需要审计的服务清单；对确定需要审计的网络设备进行扫描风险性评估；在需要审计的网段内，确定需要进行安全审计的主机系统，并列出这些主机系统中需要审计的服务清单；对确定需要审计的主机系统进行扫描风险性评估；在需要审计的网段内，确定需要进行安全审计的应用系统，并列出这些应用系统中需要审计的服务清单；对确定需要审计的应用系统进行扫描风险性评估；确定最终的安全扫描方案，包括需

9、要检查的项目，扫描的时间安排、从整体上进行的扫描风险评估及风险对策；向用户提交扫描方案，按照安全审计制度获得用户确认；4）根据扫描风险评估报告，选用安全扫描工具进行实际扫描分析比较各种安全扫描工具，得到各种安全扫描产品的优缺点比较表；根据最终的安全扫描方案，以及扫描风险评估，选定一个或多个合适的扫描工具；根据扫描方案中的检查项目，利用选定的扫描工具，按照扫描的具体时间安排，进行实际扫描的工作；对于实际扫描过程中出现的突发事件，采用扫描方案中的风险对策或临时制定的解决措施，及时、正确的给予解决，尽力确保不影响整个系统正常的运营维护；根据扫描工具得出的扫描结果，从网络系统、主机系统、应用系统以及数

10、据系统得出综合的扫描结果报告5）根据扫描结果报告提出系统安全的建议方案并设计安全解决方案根据综合的扫描结果报告，总结近期发生的安全事件，从管理层次角度上制定报告；根据综合的扫描结果报告，结合被审计系统的日志及其它信息，从技术层次上得出全网安全水平综合报告（包括：安全管理上的优点/缺点、各系统对攻击情况的防护能力、系统中存在的安全漏洞及其安全隐患以及安全事件列表等）；根据全网安全水平综合报告，在客户配合之下，对系统中存在的问题提出安全建议报告，并制定相应的动态安全解决方案；将安全事件报告、安全水平综合报告、安全建议报告及安全解决方案提交给用户，并确认；6）根据安全扫描报告、增强系统安全的建议方案

11、和上述制定的安全解决方案对系统进行安全修补，其中包括：安装系统补丁；停止不需要的服务；替换有问题的软件为同样功能、但更安全的软件；修改有安全问题的软件配置；修补结束，得出安全修补实施报告，提交给用户并确认；7）依照日常安全审计制度，定期的对系统进行上述的安全审计服务流程：日常安全审计服务（一）审计工作流程日常安全审计服务（二）修补工作流程安全审计服务文档流程3.2.1.3服务指标与服务承诺审计工作时间安排签订合同后10个工作日内第一次日常审计，之后每月同一时间进行审计（时间前后差距不超过3天，审计周期可根据客户要求调整）审计工作花费工时6台主机（网络设备）/每工作日（不含修补时间）提交审计报告

12、时限当次审计结束后2工作日内3.2.1.4我公司日常安全审计服务的优势周期性的检查和修补，使客户的网络安全状况始终保持在一个较高的水平。技术全面，使用多种审计工具和手工检查相结合，能够全面的检查出系统的安全隐患，比只使用扫描器检查更加全面。事先风险评价，在实施审计工作前谨慎的评价扫描工具可能带来的影响，并加以适当的调整以消除风险。完善的文档流程，工作的每一步骤都会提交相应的文档并由客户签字确认，以确保每一项工作对客户透明。详尽的审计和修补工作报告，以一致的、容易理解的方式报告结果，报告包括自动扫描工具数据和我公司安全专家对结果的分析以及我公司安全专家手工检查的结果。帮助客户制定完善的日常安全审

13、计制度，并辅以相应的现场培训，有助于进一步提高客户自身的安全水平。3.2.1.5本服务遵从的信息安全标准和规定中华人民XX国计算机信息系统安全保护条例中华人民XX国计算机信息网络国际联网管理暂行规定计算机信息网络国际联网安全保护管理办法中华人民XX国计算机信息网络国际联网管理暂行规定实施办法商用密码管理条例3.2.2紧急安全响应服务3.2.2.1服务简介在客户运行维护系统过程中，作为客户方的技术人员由于时间和精力的问题，常常对于这些紧急事件缺乏有效的处理，这样往往会对系统正常运转造成重大影响。如果用户选择了我公司的紧急响应服务，那么在服务期间，一旦客户系统发生紧急事件，我们就将派出专业安全工程

14、师，到现场快速响应安全事件，解决安全问题，并根据出现的问题及时调整安全策略，帮助用户在以后的维护中正确解决问题。3.2.2.2服务内容1故障情况通知及确定我公司对用户的紧急安全事件提供安全响应热线/手机和客户专用的Email联系方式。我公司将在接到用户紧急安全响应请求后的30分钟内，通过、专用Email或远程监测等多种方式，确定故障类型，定义故障等级。远程支持响应对于能够通过或网络方式远程支持解决的重要故障，我公司承诺在故障等级情况确定后尽快从远程帮助用户或由我公司从远程修复系统，解决故障，使故障造成的损失减小到最小。2现场支持响应在接到用户紧急安全响应请求后的30分钟内，在远程不能确定安全故

15、障类型或故障情况严重不能通过远程解决的严重故障情况下，我公司承诺安排至少两人以上的工程技术人员到达现场解决问题，到达现场时间为一小时（以交通工具到达时间为限）。3安全故障解决安全故障解决遵循以下流程：故障诊断，对故障情况作诊断，记录，分析；故障修复，尽可能减少用户安全故障造成的损失，并修复系统；系统清理，对安全故障发生的系统作系统完整性审计、系统安全检查、清理；系统防护，对安全故障发生过的系统增加、加强安全保护措施；证据收集，对由于安全故障造成的入侵记录、破坏情况、直接损失情况收集证据；我公司承诺在故障解决后的72小时内，安排专人从远程或本地跟踪客户系统运营情况，确保故障根本上得到解决。5紧急

16、响应服务结果报告针对在紧急安全响应服务的所遇到的安全问题、安全事故处理过程、处理结果，48小时内汇总形成紧急响应服务结果报告，提交给用户。3.2.2.3服务流程紧急安全响应服务流程图紧急响应工作流程3.2.2.4服务指标及服务承诺远程响应本地响应响应时间接到报告后30分钟内到达现场时间N/A接到报告1小时内派出工程师，在交通工具限制时间内到达解决问题时间依事故情况而定，通常不超过24小时文档提供响应处理文档与咨询支持文档跟踪服务1个月3个月3.2.2.5XXX公司紧急安全响应服务的优势迅速反应：接到用户申报安全事件后30分钟内，技术支持中心会尽快与客户建立联系，并指定专门工程师负责。高效解决：

17、工程师会高效投入确定事件、分析事件和解决事件的工作，并在24小时内通知用户安全事件诊断结果，并提供解决方案。对于购买了现场紧急安全响应的客户，可转入相应服务的流程。安全事件等级和问题自动升级：根据安全事件的性质和严重程度划分了事故等级，分别指定问题确诊时限，和提供解决方案的时限。安全事件确诊时限和超时上报程序如下： 事件级别确诊时限紧急事件严重事件一般事件1小时客户支持主管4小时技术支持经理12小时服务副总裁24小时总裁 服务副总裁紧急事件客户提供业务的系统由于安全原因崩溃、系统性能严重下降，已无法提供正常服务。本地区出口路由由于网络安全原因非正常中断，严重影响用户使用。公众服务由于安全原因停

18、止服务或者造成恶劣影响。严重事件重要应用如计费系统等由于安全事件出现问题，以致不能正常提供服务。部分服务由于安全原因中断，影响用户正常使用。一般事件由于安全原因系统出现故障，但不影响服务提供和用户正常使用。客户技术咨询、索取技术资料、技术支援等。紧急和严重事件的上报时限是按照每周七天、每天二十四小时计算，一般事件上报时限是按照标准工作时间计算。3.2.2.6本服务遵从的信息安全标准3.2.3路由器安全增强配置3.2.3.1服务简介我公司在工程实施中提供如下列表的路由器安全配置服务，目的是从全网角度考虑，在保证全网路由畅通的基础之上，通过安全配置路由器改进整个网络的安全性。在进行路由器安全配置的

19、安全服务中，我公司将根据客户的基本需求，结合全网路由情况及其安全问题，制定安全的路由器配置方案，并在实施过程中贯彻以下服务。3.2.3.2服务内容Global服务配置通过考察骨干节点上的骨干路由器配置情况，结合实际需求，打开某些必要的服务或是关闭一些不必要的服务。例如：no service fingerno service pad等Interface服务配置根据制定好的基本配置方案对路由器进行配置检查，删去某些不必要ip特性，诸如：no ip redirectsno ip drected-broadcastCDP配置根据ISP网络的特点，以及制定好的方案，配置路由器的CDP。Login Ban

20、ner配置修改login banner，隐藏路由器系统真实信息。Enable secret配置使用enable secret来加密secret口令。Nagle配置通过Nagle配置来提高安全性，也提高了路由器telnet session的性能。Ident配置通过ident配置来增加路由器安全性。超时配置配置VTY，Console的超时来增加系统访问安全性。访问控制配置通过配置VTY端口的Access List来增加系统访问的安全性。VTY访问配置配置VTY的访问方式，如SSH来增加系统访问的安全性。用户验证配置配置用户验证方式以增强系统访问的安全性。AAA方式配置配置AAA方式来增加用户访问安

21、全性。路由命令审计配置配置AAA命令记账来增强系统访问安全性。Ingress和Egress路由过滤在边界路由器上配置Ingress和EgressIngress和Egress包过滤通过配置Ingress包过滤防止非法IP地址接受；通过配置Egress包过滤防止非法IP地址传输，同时还将解决过滤规则和性能之间的平衡问题。Unicast RPF配置通过配置Unicast RPF，保护ISP的客户来增强ISP自身的安全性。服务提供Single Homed租用线客户、PSTN/ISDN/xDSL客户或是Multihomed租用线路客户的Unicast RPF配置。路由协议验证配置配置临近路由器验证协议，

22、以确保可靠性路由信息的交换，可以配置明文验证或是MD5验证，来加密。CAR配置配置路由器CAR功能以防止SMURF攻击。更多安全高级配置根据具体情况提供更多的高级安全配置3.2.3.3服务流程同上。3.2.4防火墙安全配置3.2.4.1服务简介我公司在工程实施中提供如下列表的防火墙安全配置服务，目的用于通过防火墙增强网络安全性。在进行防火墙安全配置的安全服务中，将根据客户的基本需求，结合全网实际情况，制定切实可行、安全高效的防火墙安全配置方案，然后在实施过程中贯彻以下服务。3.2.4.2服务内容防火墙安全配置防火墙配置检查检查防火墙的随机软硬件配置，软件版本，License是否符合购买要求。记

23、录防火墙的序列号，硬件模块数量，软件的版本和License，检查是否满足基本配置方案要求。防火墙基本安装配置安装防火墙，利用防火墙各种管理配置方式对防火墙进行管理以满足基本配置方案要求。防火墙自身安全性检查通过察看防火墙操作系统或通过硬件方式，以及察看公安部门及权威认证的证书或批文，了解防火墙自身安全性能。防火墙访问控制配置了解防火墙类型，检查防火墙包过滤功能、支持代理功能、全状态检测功能以及URL过滤功能，并根据防火墙基本配置方案进行访问控制配置。防火墙NAT方式配置根据制定的防火墙基本配置方案，配置防火墙的NAT方式、一对一NAT及其一对多NAT。防火墙透明方式配置测试防火墙是否支持透明方

24、式以及有无局限性，配置透明方式和NAT方式是否能够同时使用。防火墙系统管理配置检查防火墙系统管理的协议及安全性，并通过相应的系统管理界面，根据制定的防火墙基本配置方案对防火墙进行管理。防火墙软件升级配置检查防火墙升级方式及其可靠性，根据制定的防火墙基本配置方案，利用相应升级方式对防火墙进行软件升级。防火墙用户管理配置检查防火墙支持的用户管理方式，并根据制定的防火墙基本配置方案进行用户管理配置防火墙认证配置检查防火墙支持的认证方式，根据防火墙的认证方式及其实现制定的方案配置防火墙的用户认证，并从全网测试防火墙的认证。防火墙实时报警和入侵检测配置检查是否支持实时报警和入侵检测，根据防火墙增强配置方

25、案配置入侵检测及其实时报警的方式，检查报警响应时间，并模拟黑客对防火墙进行扫描，检查防火墙对入侵的检测能力及其实时报警能力。防火墙日志分析配置检查防火墙支持的日志功能，根据防火墙增强配置方案配置日志功能，配置日志服务器并对防火墙各种活动的日志情况进行相应的分析，得出日志分析报告。防火墙效率配置测试防火墙在不同规则集、不同服务流量及其VPN情况下的对网络服务性能的影响，并根据制定好的增强配置方案，调整防火墙配置，以提高防火墙的效率。防火墙防DoS攻击配置检查防火墙是否支持防止DoS攻击，如果支持，则根据制定好的增强配置方案配置防火墙的防DoS攻击功能，并模拟黑客对防火墙进行DoS攻击，检查防Do

26、S攻击的响应时间及效果。防火墙高可靠性测试了解防火墙是否支持高可靠性及其系统切换时间，按照制定的增强配置方案配置防火墙的主备方式；检查防火墙的负载平衡能力，分析所提供网络服务的流量情况，合理进行具有负载平衡能力的防火墙配置，以优化整个网络的性能。3.2.4.3服务流程3.2.5DNS应用系统安全配置3.2.5.1服务简介我公司在工程实施中提供DNS安全配置服务，目的是从全网安全角度考虑，在保证全网整体安全的基础之上，通过安全配置DNS提高公众服务系统的安全性。在进行DNS安全配置的安全服务中，我公司将根据客户的基本需求，结合业务情况及其安全问题，制定安全的DNS配置方案，并进行实施。3.2.5

27、.2服务内容限制域传输域传输一般在主备DNS服务器之间进行，通常会将整个域数据库完全复制传输，这就有可能给入侵者提供了解更多信息的途径。限制域传输，域传输可使入侵者获得较多的信息甚至内网拓扑结构。设置堆栈不可执行针对目前复杂的DNS版本，我们将针对各种平台的DNS服务，如saloris,aix,HP-UX等UNIX系统下的BIND进行限制堆栈使用，防止使用栈溢出的入侵手段配置主备服务器间认证主备服务器之间不设置认证，则可设立目标DNS服务器为主服务器，进行欺骗，获得整个DNS数据库。通过对服务器间通讯做验证，防止未授权的DNS服务器间通讯，泄露数据库信息。修改版本信息DNS版本信息有可能提供给入侵者有用的资料，通过修改避免信息泄露防止DNS欺骗选用交换技术，合理配置VLAN，隔离点播，防止DNS欺骗。禁止转发查询禁止转发查询。设置allow query使用allow query设置允许查询主机X围，确保DNS服务的设置重试查询次数设置合理的重试查询次数，避免被利用成为拒绝服务攻击工具。3.2.5.3服务流程3.2.6WEB应用系统安全配置3.2.6.1服务简介WEB服务在整网中属于关键应用，面向