IT运维信息安全解决方案.docx

1、IT运维信息安全解决方案8.3 IT运维信息安全解决方案831安全运维的重要性随着信息安全管理体系和技术体系在企业领域的信息安全建设中不断推进，安全运维占信息系统生命周期 70% - 80%的信息，并且 安全运维体系的建设已经越来越被广大用户重视。 尤其是随着信息系 统建设工作从大规模建设阶段逐步转型到“建设和运维”并举的发 展阶段，运维人员需要管理越来越庞大的IT系统这样的情况下，信 息安全运维体系的建设已经被提到了一个空前的高度上。 它不仅单单是一个体系的建设，更是IT系统管理中的夯实基础。运维服务的发展趋势对于企业的安全运维服务管理的发展，通常 可以将其分为混乱阶段、被动阶段、主动阶段、

2、服务阶段和价值阶段 这五个阶段。1、 在混乱阶段：运维服务没有建立综合的支持中心，也没有用 户通知机制；2、 在被动阶段：运维服务开始关注事件的发生和解决，也开始 关注信息资产，拥有了统一的运维控制台和故障记录和备份机制；3、 在主动阶段：运维服务建立了安全运行的定义，并将系统性能，问题管理、可用性管理、自动化与工作调度作为重点；4、 在服务阶段，运维服务工作中已经可以支持任务计划和服务 级别管理；5、 在价值阶段，运维服务实现了性能、安全和核心几大应用的 紧密结合，体现其价值所在。832信息安全的概念8.321信息安全定义信息安全的概念在二十世纪经历了一个漫长的历史阶段， 90年代以来得到了

3、深化。进入21世纪后，随着信息技术的不断发展，信 息安全问题也日显突出。如何确保信息系统的安全已经成为了全社会 关注的问题。国际上对于信息安全问题的研究起步较早， 投入力度大, 已取得了许多成果，并得以推广应用。xx目前也已有一批专门从事 信息安全基础研究、技术开发与技术服务工作的研究机构与高科技企 业，形成了 xx信息安全产业的雏形。关于信息安全的定义也有很多，国内学者与国外学者、不同的社 会组织也给出了不同的定义。国内学者的定义：“信息安全保密内容分为：实体安全、运行安全、数据安全和管理安全四个方面。”我国“计算机信息系统安全专用产品分类原则”中的定义是：“涉及实体安全、运行安全和信息安全

4、三个方面。”我国相关立法给出的定义是：“保障计算机及其相关的和配套的 设备、设施（网络）的安全，运行环境的安全，保障信息安全， 保障计算机功能的正常发挥，以维护计算机信息系统的安全”。 这里面涉及了物理安全、运行安全与信息安全三个层面。国家信息安全重点实验室给出的定义是：“信息安全涉及到信息 的机密性、完整性、可用性、可控性。综合起来说，就是要保障 电子信息的有效性。”XXBS7799信息安全管理标准给出的定义是：“信息安全是使信息 避免一系列威胁，保障商务的连续性，最大限度地减少商务的损 失，最大限度地获取投资和商务的回报，涉及的是机密性、完整 性、可用性。”美国国家安全局信息保障主任给出的

5、定义是：“因为术语信息 安全一直仅表示信息的机密性，在国防部我们用信息保障 来描述信息安全，也叫 IA。它包含5种安全服务，包括机密 性、完整性、可用性、真实性和不可抵赖性。”国际标准化委员会给出的定义是：“为数据处理系统而采取的技 术的和管理的安全保护，保护计算机硬件、软件、数据不因偶然 的或恶意的原因而遭到破坏、更改、显露”。831.2信息安全的目标机密性 Co nfide ntiality 完整性In tegrity 可用性 Availability 可控性 con trollability 真实性 Authe nticity 不可否认性Non-repudiation831.3信息安全范

6、围 帐号口令管理 系统基线配置安全管理 系统漏洞安全管理 终端安全管理 安全审计管理 客户信息安全管理 业务安全管理 安全检查与维护作业832安全运维的定义通常安全运维包含两层含义：一是指在运维过程中对网络或系统发生病毒或黑客攻击等安全事件进行定位、防护、排除等运维动作，保障系统不受内、外界侵害二是指对运维过程中发生的基础环境、网络、安全、主机、中间 件、数据库乃至核心应用系统发生的影响其正常运行的事件（包含 xx事件）通称为安全事件，而围绕安全事件、运维人员和信息资产， 依据具体流程而展开监控、告警、响应、评估等运行维护活动，称为 安全运维服务。目前，大多数企业还停留在被动的、传统意义上的安

7、全运维服务, 这样安全运维服务存在着以下弊端：1） 、出现故障纵有众多单一的厂商管理工具，但无法迅速定位 安全事件，忙于“救火”，却又不知火因何而“着”。时时处于被动 服务之中，无法提供量化的服务质量标准。2） 、企业的信息系统管理仍在依靠各自的“业务骨干”支撑， 缺少相应的流程和知识积累，过多依赖于人3）、对安全事件缺少关联性分析和评估分析，并且没有对安全 事件定义明确的处理流程，更多的是依靠人的经验和责任心，缺少必 要的审核和工具的支撑。正是因为目前运维服务中存在的弊端，XX股份有限公司依靠长期 从事应用平台信息系统运维服务的经验，同时结合信息安全保障体系 建设xx体系建设的要求，遵循IT

8、IL （最佳实践指导）、ISO/IEC 27000 系列服务标准、以及中国移动 xx公司管理支撑系统SOA规范等 相关标准，建立了一整套完善和切实可行的信息安全运维服务管理的 建设方案。8.3.3 XX股份运维五大架构体系8.3.3.1 建立安全运维监控中心基于关键业务点面向业务系统可用性和业务连续性进行合理布 控和监测，以关键绩效指标指导和考核信息系统运行质量和运维管理 工作的实施和执行，XX股份帮助用户建立全面覆盖信息系统的监测 中心，并对各类事件做出快速、准确的定位和展现。实现对信息系统 运行动态的快速掌握，以及运行维护管理过程中的事前预警、事发时 快速定位。其主要包括：1、集中监控：采

9、用开放的、遵循国际标准的、可扩展的架构， 整合各类监控管理工具的监控信息，实现对信息资产的集中监视、查 看和管理的XX、可视化监控系统。监控的主要内容包括：基础环境、 网络、通信、安全、主机、中间件、数据库和核心应用系统等。2、 综合展现：合理规划与布控，整合来自各种不同的监控管理 工具和信息源，进行标准化、归一化的处理，并进行过滤和归并，实 现集中、综合的展现。3、 快速定位和预警：经过同构和归并的信息，将依据预先配置 的规则、事件知识库、xx关系进行快速的故障定位，并根据预警条 件进行预警。833.2 建立安全运维告警中心基于规则配置和自动xx，实现对监控采集、同构、归并的信息的 智能xx

10、判别，并综合的展现信息系统中发生的预警和告警事件，帮 助运维管理人员快速定位、排查问题所在。同时，告警中心提供了多种告警响应方式，内置与事件响应中心 的工单和预案处理接口，可依据事件 xx和响应规则的定义，触发相 应的预案处理，实现运维管理过程中突发事件和问题处理的自动化和 xx。关于事件基础库维护：它是事件知识库的基础定义，内置大量的 标准事件，按事件类型进行合理划分和维护管理， 可基于事件名称和 事件描述信息进行归一化处理的配置，定义了多源、异构信息的同构 规则和过滤规则关于智能XX分析：它是借助基于规则的分析算法，对获取的各 类信息进行分析，找到信息之间的逻辑关系，结合安全事件产生的网

11、络环境、资产重要程度，对安全事件进行 XX分析，消除安全事件的 误报和重复报警。关于综合查询和展现：它实现了多种视角的故障告警信息和业务预警信息的查询和集中展现。关于告警响应和处理：它提供了事件生成、过滤、短信告警、邮 件告警、自动派发工单、启动预案等多种响应方式，内置监控界面的 图形化告警方式；提供了与事件响应中心的智能接口，可基于事件 XX响应规则自动生成工单并触发相应的预案工作流进行处理。833.3 建立安全运维事件响应中心借鉴并融合了 ITIL （信息系统基础设施库）/ITSM（IT服务管理） 的先进管理规范和最佳实践指南， 借助工作流模型参考等标准，开发 图形化、可配置的工作流程管理

12、系统，将运维管理工作以任务和工作 单传递的方式，通过科学的、符合用户运维管理规范的工作流程进行 处置，在处理过程中实现电子化的自动流转，无需人工干预，缩短了 流程周期，减少人工错误，并实现对事件、问题处理过程中的各个环 节的追踪、监督和审计。其中包括以下五大方面：1.图形化的工作流建模工具：实现预案建模的图形化管理，简单 易用的预案流程的创建和维护，简洁的工作流仿真和验证。2.可配置的预案流程：所有运维管理流程均可由用户自行配置 定义，即可实现ITIL/ITSM的主要运维管理流程，又可根据用户的实 际管理要求和规范，配置个性化的任务、事件处理流程。3.xx的自动派单：智能的规则匹配和处理，基于

13、用户管理规范的 自动处理，降低事件、任务发起到处理的 xx，以及人工派发的误差。4.全程的事件处理监控：实现对事件响应处理全过程的跟踪记录 和监控，根据ITIL管理建议和用户运维要求，对事件处理的响应时 限和处理时限的监督和催办。5.事件处理经验的积累：实现对事件处理过程的备案和综合查询，帮助用户在处理事件时查找历史处理记录和流程， 为运维管理工作积累经验。833.4 建立安全运维审核评估中心安全运维审核评估中心具有对信息系统运行质量、服务水平、运 维管理工作绩效的综合评估、考核、审计管理三大功能。1.评估功能：遵循国际和工业标准及指南建立平台的运行质量评 估框架，通过评估模型使用户了解运维需

14、求、认知运行风险、采取相 应的保护和控制，有效的保证信息系统的建设投入与运行风险的平 衡，系统地保证信息化建设的投资效益，提高关键业务应用的连续性。2.考核功能：在评价过程中避免主观臆断和片面随意性，可以实 现工作量、工作效率、处理考核、状态考核等的一种客观评价功能。3审计功能：是以跨平台多数据源信息安全审计为框架，以电子 数据处理审计为基础的信息审计系统。 主要包括：系统流程和输入输 出数据以及数据接口的完整性、合规性、有效性、真实性审计。8.335 以信息资产管理为核心IT资产管理是全面实现信息系统运行维护管理的基础，提供的丰 富的IT资产信息属性维护和备案管理，以及对业务应用系统的备案

15、和配置管理。基于关键业务点配置关键业务的基础设施 xx，通过资产对象信息 配置丰富业务应用系统的运行维护内容，实现各类 IT基础设施与用 户关键业务的有机结合，以及全面的综合监控。这其中包括：综合运行态势：是全面整合现有各类设备和系统的各类异构信 息，包括网络设备、安全设备、应用系统和终端管理中各种事件，经 过分析后的综合展现界面，注重对信息系统的运行状态、综合态势的 宏观展示。系统采集管理：以信息系统内各种IT资源及各个核心业务系统 的监控管理为主线，采集相关异构监控系统的信息，通过对不同来源 的信息数据的整合、同构、规格化处理、规则匹配，生成面向运行维 护管理的事件数据，实现信息的共享和标

16、准化。系统配置管理：从系统容错、数据备份与恢复和运行监控三个方 面着手建立自身的运行维护体系，采用平台监测器实时监测、运行检 测工具主动检查相结合的方式，构建一个安全稳定的系统。833.6 安全管理原则1） 、XX股份有限公司负责业务支撑中心的安全、保密管理工作， 遵守南方基地已有各项安全规定， 以此为基础制定详细的安全管理 实施办法，并采取适当措施保证有关措施的有效执行。2） 、XX股份有限公司定期检查安全、保密规定的执行情况；3） 、XX股份有限公司定期组织系统病毒检查，并对此负责；4） 、XX股份有限公司及时向信息技术中心反映存在的安全隐患。8.3.3.7保密原则1） 、XX股份严格遵守

17、南方基地各项安全保密制度，加强服务工 程师的保密意识，制定有效的管理制度。2） 、XX股份整理措施和技术措施，防止重要数据、文件、资料 的丢失及泄漏。3） 、XX股份有关计费清单、用户资料、业务数据、重要文件等 均属机密，不得任意抄录、复制及带出机房，也不得转告与工作无关 的人员。4） 、机房内重要文件、数据文件的销毁方式为文件送入碎纸机， 不得随意丢弃。5） 、安全保密工作XX股份安排专人负责，定期向XX信息技术 中心提交安全工作报告。834信息安全的要求8.341帐号口令管理账号口令管理要求按照“谁主管，谁负责”原则，业务系统责任部门负责按照本办 法管理公司内部人员及第三方协维人员在系统应

18、用层的帐号。由公司各部门分别维护管理操作系统层和应用层的系统，并分别 作为各层帐号的管理部门。各层帐号管理部门各自负责本部门职责层面内的帐号审批及授权 管理，推动制定帐号审批流程、表格模版等并落实责任人，监督落实 帐号申请表、用户帐号登记表的维护管理。各层帐号管理部门各自负责本部门职责层面内的帐号审批、创建及删除、权限管理以及口令管理要求执行情况审核机制， 接受定期审核。用户需按照帐号审批流程向各责任部门申请所需帐号、修改权限或者撤销帐号。在帐号审批成功并创建后，应对帐号口令进行定期修 改。并应做到严格保护帐号口令，不得故意泄露，否则需承担由此导 致安全问题的责任。帐号管理人员逻辑分类岗位职责

19、涉及相关记录部门负责人1、 需对相关授权表进行审批 授权签字，每季度需复核审 批；2、 需对员工变动情况进行审 批；3、 需对远程维护接入申请进 行审批系统层/应用层超级管理员：1、 系统层超级管理员：按各 系统进行设置2、 应用层超级管理员：按业 务应用管理进行设置系统/应用程序最高权限管 理员，负责管理所辖系统的 帐号分配和管理，需要部门 负责人对其进行授权。系统层超级管理员、应用层 超级管理员需由部门领导分 别进行授权，不同系统可以 兼任。系统层/应用层普通用户：系统维护、应用操作执行人 员，为普通维护人员及第三 方人员，只能申请自身帐号 进行操作，不能进行帐号分 配管理。安全管理员、安

20、全审计员：负责所辖各系统及设备的信 息安全管理工作。每月检查 信息安全管理的执行情况， 汇总安全分析报告；与系统 层超级管理员、应用层管理 员需职责分离。超级管理员帐号管理流程管理流程管理要求各业务系统层/应用层超级管理员由申请人 填写系统超级管理员授权表。部门经理审批并进行授权。授权有效期内，部门经理对超级管理员的清 单进行复核并签字确认。内部帐号创建/变更流程第三方帐号管理流程内部员工需要增加帐号或进行权限变更时，由申请人填写系统帐号创建 /变更申请 表。提交所在部门负责人进行权限职责相容性 审核。申请部门完成审核后，转发系统责任 部门负 责人进行书面审批。书面审批通过，由系统超级管理员在

21、系统中 创建帐号或进行权限修改。系统预设帐号管理流程管理要求如存在第三方公司人员需要建立帐号的情 况，应和第三方厂商签订相关的安全保密协 议。保密协议应注明拥有帐号列表及相关保 密责任，以合理确保第三方厂商能够执行中 国移动的安全管理要求和职责不相容要求。第三方公司需要增加普通帐号或进行 权限变更时，由合作引入部门 填写系统帐 号创建/变更申请表。提交所在部门负责人进行权限职责相容性 审核。申请部门完成审核后，转发系统责任 部门负 责人进行书面审批后。系统超级管理员在系统中创建帐号或进行权限修改。对于部分因系统、接口原因在系统中预 设的用户帐号，系统责任 部门应对接口程 序、脚本或相关设置进行

22、加密保存，禁止使 用简单密码。因系统原因不能进行加密保存的，系统 管理员需提交预设帐号清单及使用人员清 单。系统责任部门负责人进行书面审批授 权。系统责任 部门负责人 每季度进行复核签字 确认，如发现多余或不恰当的账号应进行及 时调整。8.342系统基线配置安全管理基线配置安全要求依据管理信息系统安全基线规范 V2.0等管理规范与要求， 公司各业务平台操作系统、数据库、服务器中间件、帐号权限分配与 配置策略、防火墙需按照该规范进行配置。定期组织相关检查人员按时对各业务系统进行安全基线配置检 查，对检查中存在风险的系统发出整改 xx，督促其及时进行整改， 并根据整改反馈进行复查，对业务系统上线前

23、进行基线配置安全检查 工作，存在有安全风险的系统必须进行限期整改， 验收合格后才能上 线。基线配置安全检查流程V4信息安全管理部门发起基线配置安全检查（复查）流程1r各业务系统负责人协调人员进行现场配合Y1p存在风险的系统根据整改通知进行整改加固信息安全管理部门按工作计划发起基线安全检查流程并0A通知具体系统负责人各系统责任人收到0A邮件后，协调安 排配合人员进行现场配合信息安全管理部门根据检查结果，对存 在风险的系统发岀整改通知，系统责任人收 到整改通知后安排对风险进行整改加固， 并反馈整改情况，信息安全管理部门收到反馈 结果组织复查。8.343系统漏洞安全管理系统漏洞安全要求定期对公司各生

24、产系统进行操作系统、数据库、中间件、 Web网站等进安全漏洞检查，对检查中存在漏洞的系统发出整改 xx，督促其及时进行整改，并根据整改反馈进行复查，对业务系统上线前进行 系统漏洞安全检查工作，存在有安全风险的系统必须进行整改验收后 才能上线。系统漏洞安全检查流程T信息安全管理部门发起系统漏洞安全检查(复查)流程4r各业务系统负责人协调人员进行现场配合Y1T存在风险的系统根据整改通知进行整改加固信息安全管理部门按工作计划发起系统漏洞安全检查流程并 0A通知具体系统负责人各系统责任人收到0A邮件后，协调安 排配合人员进行现场配合信息安全管理部门根据检查结果，对存 在漏洞的系统发岀整改通知， 系统责

25、任人收 到整改通知后安排对风险进行整改加固， 并反馈整改情况，信息安全管理部门收到反馈 结果组织复查。8.344终端安全管理终端安全管理要求终端安全策略配置项应满足以下要求：1).终端统一命名，统一采用“公司+人员姓名”中文方式2).系统标准化管理，统一使用正版软件，禁止安装盗版。3).密码策略，按照公司帐号管理办法设置复杂度策略4).配置帐户锁定策略，要求设置锁定次数为 5次以下。5).禁用匿名访问网络。6).设置系统屏保密码，同时设定10分钟以内的锁定策略7).审计策略，开启所有审计策略。8).要求安装杀毒软件并及时进行病毒库更新。9).要求统一安装公司采购的终端监控软件。终端安全配置检查

26、流程管理要求管理流程信息安全管理部门发起终端安全检查（复查）流程信息安全管理部门按工作计划发起办公终端安全检查流程并 0A通知具体检查部门各部门员工（含合作伙伴）配合进行安全检查各部门员工（含合作伙伴）配合进行终 端安全检查。对存在不合规的终端进行设置，以满足安全管理要求检查人员对存在不合规项的终端进行设置，以满足安全管理要求。8.345安全审计管理安全审计管理要求事件XX记录：将来自不同区域、不同设备、不同系统的XX信息集 中起来，集中分析处理，创建记录异常事件和安全相关事件的审计 XX并按照协商认可的保留期限将其保留一段时间。1）.审计xx必须至少包含 4W（ who/when/where

27、 /what ）要素：用户ID或帐号。操作日期和时间。终端标识或位置。用户所进行的操作。系统的成功访问和拒绝访问的记录。数据与其它资源的成功访问和拒绝访问记录。2） .xx审计类型网络类XX （鉴权平台、网络设备XX）主机类XX （主机本身XX）应用类XX （交换机、智能网等应用系统XX）安全类XX （IDS、防火墙等）3） .所有特权操作新帐户的创建。用户权限升级、口令更改。配置的更改。系统文件的删除。系统启动和停止。I/O设备连接/分离。端口开启进程启动等4).对应记录用户ID。地址：包括目标IP和源IP重要事件的日期和时间。事件类型。所访问的文件或资源。所用程序/实用程序。所进行的操作或

28、操作结果安全审计流程工作流程工作要求/标准 岗位 职责（开始）各业务系统安全 系统管理员 负责系统的日常监控维监控审计人员监 护和日志分析控系统中产生的事件安全监控T当检测到需处理 系统管理员 发现安全事件时，系统事件时应及时进 安全管理员 管理员通过任务工单行处理 向安全管理员及时汇报；安全管理员接到事件报 告时，要及时进行分析 定性，决定后续处理措 施。检测到需及时处 理安全事件1联系设备厂商、服 厂商人员、服务商 如有必要，系统管理员务厂商，及时对事 （如需要）； 负责通知厂商、服务商件进行分析处理， 系统管理员； 到场处理内容包括：确 安全管理员 厂商、服务商如接到安定危险程度，实施

29、全事件通知，需及时到控制措施，恢复系 场，将分析结果和处理统，确定来源，收 建议提交安全管理员；集数据取证等。 安全管理员需审核厂商如果事件对网络 提交的安全事件处理或系统造成重大 建议；重大安全事件需影响，应启动事后 及时向上级管理人员分析流程。 汇报；系统管理员配合厂商进 行安全建议的实施。实时处理1F填写事件分析处 厂商人员、服务商 处理人员需填写事件理记录存档。报 系统管理员 分析处理报告告应包含已经米 安全管理员 安全管理员需审核并签取的防护措施的 署处理结果详细情况和其他 任何经验教训（例存档1工作流程工作要求/标准 岗位 职责如用来预防相同 或类似事件再次 发生的进一步防 护措施

30、）（ 结束）8.346客户信息安全管理客户信息安全管理要求各系统管理员应明确识别各系统中存储、传输的客户有关信息， 并具体标注需要保护的客户信息类型，对于各相关系统中的客户信 息，XXxx不得查询，更不能用于公司合法运营之外的其它商 业用途。禁止在相关系统中运行与业务无关的其它程序， 尤其是可能自动 获取用户资料的程序。按照最小化原则配置账户权限，保证对客户信息的访问不得超过 本身工作范围。对于访问相关系统的用户，能直接获得客户信息的， 必须经过授权，XX的用户不得访问该系统。对涉及客户信息相关操作，严格按照“金库模式”实施指导意 见要求执行，对业务系统涉及客户身份资料、位置信息、通话详单、 充值记录等高价值信息的高风险操作纳入金库管控。各系统在信息获取、处理、存储、消除各环节保护客户信息的完 整性、保密性、可用性，具备但不限于如下功能：1).客户信息存储时应具备相应的安全要求，包括存储位置、存 储方式等，对于重要的客户信息，应根据系统实际情况提供必要的 XX手段。2).应具备完善的权限管理策略，支持权限最小化原则、合理授 权，对不能支持此原则的系统，应减少掌握该权限的人员数量，并加 强人员管