1、1内容说明1、案例介绍2、某电力行业安全评估标准3、安全保障体系设计4、信息安全保障体系设计案例2安全威胁案例分析安全威胁案例分析3防火墙策略配置不合理主机弱口令严重溢出漏洞相互信任关系没有划分DMZ防火墙存在旁路缺乏紧急响应体系和机制拨号用户拨号用户InternetInternetDMZDMZ区区外部外部 E-mailE-mail等等代理服务器代理服务器内部内部 Mail DateabseMail Dateabse总公司用户总公司用户分公司分公司.服务器服务器分公司用户分公司用户.服务器服务器分公司用户分公司用户.下属公司下属公司专线专线专线专线拨号用户拨号用户InternetInterne
2、t移动用户移动用户财务系统财务系统拨号用户拨号用户没有完整的安全漏洞和风险评估机制没有设置网关层的防病毒用户单位版防病毒不理想没有安全管理制度没有对重要的设备进行安全加固对攻击行为和恶意操作不能够及时发现4567信息安全保障体系设计8信息安全的两个方面 面向数据和信息的安全通过安全服务，安全产品解决 面向访问（人）的安全通过安全咨询解决9通讯保密通讯保密安全防护安全防护保障体系保障体系101、信息安全必须建立体系2、信息安全是长期的工作3、建立一级监控二级维护的体系4、安全项目需要以流程为核心5、重状态，轻过程；6、管理必须通过技术实现7、先控制后监控8、安全是动态平衡的，但要以不变应万变9、
3、没有百分百安全，做到0损失0响应10、信息安全是12分的维护、7分的管理、3分的技术11安全保障体系理念安全保障体系理念 项目的主要环节的成果都进行等级化项目的主要环节的成果都进行等级化 可以参照的主要安全标准等级可以参照的主要安全标准等级 安全保障强健性等级：安全保障强健性等级：IATF SML， 安全保护技术等级：安全保护技术等级：GB17859， 过程安全等级：过程安全等级：ISO15408/GB18336 EAL 工程成熟度等级：工程成熟度等级：SSE-CMM， 国家等级化评估标准国家等级化评估标准12安全保障体系方法安全保障体系方法-等级化安全体系等级化安全体系二二 安全对策框架安全
4、对策框架一一 保护对象框架保护对象框架三三 威胁分析过程威胁分析过程13保障体系理念保障体系理念 不仅关注安全属性，同时关注安全环节不仅关注安全属性，同时关注安全环节人，策略，技术，操作人，策略，技术，操作强调安全管理强调安全管理 深度多重防护，防止单点失效深度多重防护，防止单点失效风险管理和风险控制原则风险管理和风险控制原则 安全性与成本、效率之间平衡原则安全性与成本、效率之间平衡原则 14安全保障体系模型安全保障体系模型深度安全防护战略组织体系技术体系运作体系保保护护区区域域边边界界深度防护目标区域深度防护目标区域检测检测& &响应响应集中监控平台集中监控平台支持性支持性基础设施基础设施信
5、信息息安安全全保保障障体体系系策略体系15信息安全保障体系体系名称体系名称内容描述内容描述策略体系安全策略的开发建立，执行，审核修订等组织体系主要是管理体系。主要是管理体系。在组织体系中的主要工作是安全组织建设、第三方管理、外聘顾问、培训教育、资质认证等。技术体系鉴别和认证：多种鉴别和认证技术访问控制：主机，网络设备、安全域的隔离和划分，防火墙等内容安全：防病毒，可信信道等冗余和恢复：冗余备份，业务连续性等审计响应：统一时钟服务、日志监控、系统、入侵监测系统等运作体系主要是技术人员的运维体系主要是技术人员的运维体系。包括技术人员的组织建设、技术人员的工作内容，技术人员的工作考核。日常工作包括：
6、资产鉴别、周期性风险评估、紧急响应体系、定期的评估加固、集中监控维护等。16安全策略体系17用户单位信息系统中的安全事故18人员安全管理 信息系统的标准操作流程 怎么做 系统维护人员的权利和责任 谁做 技术人员和服务承包商的服务水平定量评估 性能评估19安全策略体系20主策略主策略国际国际/国家标准国家标准NIST顾问公司顾问公司访谈结果访谈结果技术体系技术体系管理体系管理体系安全技术安全技术安全设备安全设备业务安全技术业务安全技术人员组织人员组织信息资产信息资产物理环境物理环境运行维护运行维护访问控制访问控制系统开发系统开发业务保障业务保障安全审计安全审计操作手册操作手册流程、细则流程、细则
7、第一层第一层第二层第二层第三层第三层21完善的用户单位安全策略体系n安全域划分和安全等级安全域划分和安全等级映射映射n物理管理策略物理管理策略n人员安全策略人员安全策略n网络安全策略网络安全策略n系统安全策略系统安全策略n应用安全策略应用安全策略n日志审计策略日志审计策略n备份恢复策略备份恢复策略 2223安全策略体系核心内容策略是用户单位核心策略是用户单位核心24策略体系执行层次-落实责任 25策略宣贯的合理流程设计26安全策略执行方法流程 分发安全策略分发安全策略 安全策略培训安全策略培训 安全策略考核安全策略考核 安全策略执行跟踪安全策略执行跟踪27安全组织体系28安全组织体系构架设计2
8、9安全组织体系-工作职责1、工作职责分类2、总体职责3、安全管理职责4、信息安全连续性的职责5、安全审计职责6、安全事故处理职责7、安全项目申请职责30安全技术体系31信息技术体系-安全技术框架安全技术框架A Access Control访问控制C Content Security内容安全A Audit & Response审计响应R Redundant& Recovery冗余恢复I Identification& Authentication鉴别认证32信息技术体系-主要内容项目、任务、工作项目、任务、工作鉴别和认证动态口令系统在高安全级别系统强制推行强认证资产鉴别和分类项目PKI体系可行性
9、分析统一时钟服务访问控制网络拓扑结构/体系结构安全分析网络设备安全网络安全域的隔离和划分防火墙和网络隔离主机和网络设备安全基于WEB应用的访问控制审计跟踪日志监控系统入侵监测系统漏洞扫描系统用户网络行为监控响应和恢复备份和恢复业务连续性管理内容安全防病毒可信通道33鉴别和认证Login: Login: JSMITHJSMITHPasscode:Passcode: 24682468723656723656PINTOKENCODE令牌码令牌码: 每每 60秒变秒变化一次化一次唯一的唯一的 64-bit 种子种子内部电池内部电池与与 UCT时钟同时钟同步步PASSCODE=+PINTOKENCODE
10、34FirewallRASIntranetMainframeEnterpriseWeb动态身份认证将保护 .ManagerAgentInternetAgentWeb Server35访问控制1业务系统安全域的划分2业务系统的网络结构3安全域之间的访问控制4业务系统的安全防护措施36安全域设计37安全域拓扑图38审计跟踪39审计跟踪-逻辑部署图40恢复和响应41应急处理的目标避免没有章法、可能造成灾难的响应。更快速和标准化的响应。确认或排除是否发生了紧急事件。使紧急事件对业务或网络造成的影响最小化。保护用户单位、组织的声誉和资产。教育高层管理人员。提供准确的报告和有价值的建议。42内容安全 针对
11、文件系统和病毒防范的保护，结合TRIPWIRE，配置一套文件监控系统，一旦文件系统发生变化及时进行报警。433磁盘中文件1已知正常状态44安全技术体系核心思想1、技术体系的框架必须划分清楚2、技术体系设计必须与安全需求完全结合3、技术的实施需要分步骤、分区域的实施45信息安全运维体系46安全运维体系构架47安全运作体系-维护流程48如何建立安全保障体系49安全保障体系实施-工作分类50515253风险评估工作内容安全扫描人工评估数据库评估渗透测试网络架构分析用户访谈问卷调查应用评估54信息安全解决方案规划 项目紧迫性分析项目紧迫性分析 项目可实施性分析项目可实施性分析 项目实施难易程度分析项目
12、实施难易程度分析 项目预期效果分析项目预期效果分析 项目规划综合分析项目规划综合分析 最终形成未来最终形成未来3 3年安全建设项目规划建议年安全建设项目规划建议5556紧迫性紧迫性可实时性（难易程度预期效果）可实时性（难易程度预期效果）/2/2项目规划方法57编号项目名称优先级紧迫性可实施性难易程度预期效果1防火墙和网络隔离13045243372入侵监测系统13046238373主机安全12746230394漏洞扫描系统12743239425资产鉴别和分类项目12646220476制订最高安全方针12542236457策略的有效发布和执行12245216488落实安全责任文件122422304
13、69紧急响应体系122442234510策略体系建立118422224511网络设备安全117402304412周期性风险评估服务项目116382384113防病毒116412333414聘请专业公司或者专家的作为顾问111342444215备份和恢复111402194216可信通道106352442717落实项目的安全审核工作105342383518全员网络安全教育102362164419定期的审查和修订94282364020日志监控系统92332183421网络安全域划分89322203022网络拓扑结构/体系结构安全分析77431343423在高安全级别系统强制推行强认证59281362
14、624容灾59351143425统一时钟服务49181342726安全管理中心和网络安全平台29250124627用户网络行为监控2420010375859安全制度的执行辅导 协助有效的把筛选出来的制度根据步骤执行下去。主要步骤为：需要执行相关制度的人员进行培训同时进行考核使用现有的软件、设备和配置方法对制度的执行从技术上进行有效的监控采用二次开发的软件或免费产品实现技术上的监控辅导管理员监控相应制度的执行情况对员工执行制度的情况进行跟踪和违反制度的情况进行取证。60安全优化和加固61加固安全基线说明 在加固技术说明中，主要说明我们针对实际情况建立安全基线，我们根据操作系统/网络设备/网络构架
15、/安全设备/应用程序建议相应的安全基线标准。62网络设备的安全基线安全基线加固的内容重要程度补丁加载补丁加载IOS IOS 升级升级中中服务与端口服务与端口更改标准端口号码；更改标准端口号码；关闭不必要的服务；关闭不必要的服务；高高路由协议的安全性路由协议的安全性路由协议的安全性主要考虑路由认证、源地址路由检查和黑洞路由管路由协议的安全性主要考虑路由认证、源地址路由检查和黑洞路由管理三个方面进行阐述。理三个方面进行阐述。高高鉴别认证鉴别认证网络管理员登入访问管理网络管理员登入访问管理snmpsnmp协议的特征码的配置协议的特征码的配置高高高高访问控制访问控制网段的访问控制列表及其管理网段的访问
16、控制列表及其管理中中远程管理的访问控制（远程管理的访问控制（Telnet/SSHTelnet/SSH）高高通过网络设备进行数据交换的访问控制通过网络设备进行数据交换的访问控制中中审计跟踪审计跟踪设备的登录信息审计设备的登录信息审计设备异常事件审计设备异常事件审计SYSLOGSYSLOG服务器的设置服务器的设置日志分析内容的设计日志分析内容的设计高高内容安全内容安全telnettelnet连接连接SSHSSH加密加密高高冗余与恢复冗余与恢复核心设备和链路是否采用链路冗余核心设备和链路是否采用链路冗余对于对于IOSIOS是否有合理的备份是否有合理的备份对于网络设备的配置文件是否存在备份对于网络设备
17、的配置文件是否存在备份 高高 其他安全问题其他安全问题防防DOSDOS攻击攻击高高63防火墙设备加固基线安全基线加固的内容重要程度补丁加载补丁加载IOS IOS 升级升级中（在防火墙设备稳定，同时中（在防火墙设备稳定，同时没有大的漏洞时，不建议用户没有大的漏洞时，不建议用户升级升级IOS IOS ） 鉴别认证鉴别认证管理员账号管理（更改系统初始帐号和密码，限制密码最管理员账号管理（更改系统初始帐号和密码，限制密码最短长度，限制登录尝试次数）短长度，限制登录尝试次数）高高用户认证管理（本机认证和授权，用户认证管理（本机认证和授权，RADIUSRADIUS认证和授权）认证和授权）中中访问控制访问控
18、制限制对防火墙自身的访问限制对防火墙自身的访问高高防火墙控制的策略进行分析和优化策略防火墙控制的策略进行分析和优化策略高高限制限制ROOTROOT登录登录高高防火墙访问控制防火墙访问控制高高审计跟踪审计跟踪开启开启SELFSELF日志功能日志功能高高配置配置SyslogSyslog服务器服务器高高日志内容的分析的设计日志内容的分析的设计高高冗余与恢复冗余与恢复防火墙配置文件的备份防火墙配置文件的备份高高防火墙的负载均衡防火墙的负载均衡中中特定的安全配置特定的安全配置防火墙的防攻击选项防火墙的防攻击选项防火墙防攻击选项配置防火墙防攻击选项配置中，在防火墙性能允许的情况中，在防火墙性能允许的情况下
19、我们建议可以适当的使用必下我们建议可以适当的使用必要的防攻击选项。要的防攻击选项。 64Windows加固基线安全基线加固内容重要程度补丁加载补丁加载漏洞补丁漏洞补丁高高服务与端口服务与端口更改某些默认端口更改某些默认端口高高根据实际情况关闭不必要的端口（根据实际情况关闭不必要的端口（135-139135-139，IPCIPC空连接）空连接）高高鉴别认证鉴别认证用户帐号策略管理，普通用户权限管理用户帐号策略管理，普通用户权限管理高高动态身份认证动态身份认证中中访问控制访问控制域用户管理，域之间的信任关系域用户管理，域之间的信任关系高高重要目录和文件的控制重要目录和文件的控制中中系统操作权限的控
20、制系统操作权限的控制中中审计跟踪审计跟踪应用日志应用日志/ /系统日志系统日志/ /安全日志安全日志高高审核策略的设置审核策略的设置高高安全日志服务器配置，日志分析内容设计安全日志服务器配置，日志分析内容设计中中内容安全内容安全防病毒产品设计防病毒产品设计高高重要文件保护重要文件保护高高存储控制存储控制 中中冗余和恢复冗余和恢复操作系统备份操作系统备份中中重要系统文件备份，注册表备份重要系统文件备份，注册表备份高高服务器的负载均衡和容错服务器的负载均衡和容错中中磁盘的磁盘的RaidRaid高高其他安全问题其他安全问题WebWeb功能的加固配置功能的加固配置高高IP StackIP Stack的
21、优化配置的优化配置中中注册表优化配置注册表优化配置中中65数据库系统安全基线的标准安全基线加固内容重要程度补丁升级补丁升级补丁程序的升级补丁程序的升级高高服务与端口服务与端口更改远程连接的默认端口更改远程连接的默认端口高高鉴别认证鉴别认证删除或修改默认的用户和密码删除或修改默认的用户和密码高高访问数据库用户帐号和口令管理访问数据库用户帐号和口令管理中中访问控制访问控制远程管理访问控制远程管理访问控制高高用户的数据库和数据表的访问控制用户的数据库和数据表的访问控制中（这个需要移动和数据库厂商中（这个需要移动和数据库厂商来实施更好）来实施更好）审计跟踪审计跟踪数据库日志审计策略的分析和配置数据库日
22、志审计策略的分析和配置高高日志服务器配置日志服务器配置中中日志分析内容设计日志分析内容设计高高内容安全内容安全传输过程加密传输过程加密高高存储控制存储控制中中冗余和恢复冗余和恢复数据库的备份数据库的备份高高其他安全问题其他安全问题防止防止DoSDoS攻击（如攻击（如Oracle RedirectOracle Redirect功能存在功能存在DoSDoS的问的问题）题）高高关闭关闭ExtprocExtproc功能功能高高DBSNMPDBSNMP用户引起的安全隐患用户引起的安全隐患高高66加固工具说明在本次项目中会使用到必要的加固工具 微软基准安全分析器 MBSA Cisco系统上RATS Uni
23、x系统的TCPWRAPPER，IP Filter ，IP Table 建立安全摘要Tripwire67微软基准安全分析器 MBSA 运行在运行在Windows 2000 Windows 2000 和和 Windows XP Windows XP平台上的单个可执行平台上的单个可执行文件文件 检查常见安全误设置和漏装补丁检查常见安全误设置和漏装补丁, , 服务包服务包q Windows Windows q Internet Information Server 4.0 and Internet Internet Information Server 4.0 and Internet Informa
24、tion Server 5.0Information Server 5.0q SQL 7.0 and SQL 2000SQL 7.0 and SQL 2000q 桌面应用程序桌面应用程序 Internet ExplorerInternet Explorer OfficeOffice OutlookOutlook68微软基准安全分析器 MBSA69Cisco 评估工具RATS70安全产品选型安全产品选型目的：通过产品的性能、功能测试目的：通过产品的性能、功能测试选择对于最合适的产品选择对于最合适的产品71产品选型的标准 防火墙 防病毒 入侵监测 Sniffer 备份 进行功能、性能、强压测试，为
25、选择最合适的产品 72产品选型的标准 1、选择哪类产品以功能要求为主 2、选择哪家公司的产品以公司实力为主 3、选择哪个型号的产品以性能要求为主73产品选型的原则1、根据政府行业的选型要求；2、根据安全风险评估后的安全需求；3、根据实际的测试结果-功能、性能测试；74安全产品配置安全产品配置目的：提供最合理的产品安装位置目的：提供最合理的产品安装位置和最佳的配置方案，把产品的功能和最佳的配置方案，把产品的功能和性能发挥到最佳防范状态和性能发挥到最佳防范状态75 提供专业的安全设备的安装和配置服务，防止因为设备产品安装的不规范和不合理造成安全威胁和网络性能下降。 因为安全设备的安装及使用区别于普
26、通的操作系统和应用程序的安装和配置。如果安全设备的安装配置的不合理会造成安全设备不能真正的发挥安全保护的作用，严重的可能还会造成安全隐患，同时也会造成系统或网络性能的下降。所以，需要进行当前较为流行的安全设备的安全和配置服务。76使用动态身份认证保护远程访问的安全InternetMainframeEnterpriseWebFirewallRASManagerAgentAgentIntranet77Tripwire产品在用户单位中的部署InternetDMZExtranetIntranetDNSWebEmailFTPDB目录各部门的工作站应用市场财务人事办公客服工程文档研发决策TWTWTWTWT
27、WTWTWTWTWTWTWTWTWTWTWTWTWTWTWTWTWTripwire系统完整性保护TWHP-UXSunSolarisNT/2000IBMAIXSGIIRIXDECUNIXLINUX保护的操作系统Internet服务Intranet服务企业办公自动化系统财务系统企业业务系统数据库应用各种桌面工作站保护的应用78Tripwire防蠕虫病毒策略 监控$(WINNT)system32中文件的变化； 监控$(BOOTDRIVE)目录下文件的状态； 对关键注册项的监控：HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRunHKE
28、Y_LOCAL_MACHINESOFTWAREMicrosoftWindows NTCurrentVersionWindowsHKLMSOFTWAREMicrosoftWindows NTCurrentVersionWinlogonHKEY_LOCAL_MACHINESYSTEMCurrentControlSetServiceslanmanserverHKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionExplorerAdvanced79 建立系统摘要80安全培训安全培训目的：提高员工的安全意识，提高目的：提高员工的安全意识，提高IT人
29、员的安全技能人员的安全技能81 安全管理教育和培训 安全技术培训8283建立集中监控平台84推出安全管理中心解决方案 安全运行中心解决方案（SOC）替您解决种种烦恼 建立以管理者和资产为核心的管理体系 将所有安全产品和事件通过统一的界面联系起来 提供智能，包括各种关联分析 提供完善的安全功能，包括漏洞管理、威胁管理、知识管理、响应管理、配置管理85以安全资产为核心的管理系统系统管理员系统管理员安全管理员安全管理员负责人负责人系统管理员系统管理员负责人负责人资产资产资产资产资产资产资产资产资产资产资产资产系统系统安全事件安全事件漏洞漏洞86安全管理中心体系架构87安全管理中心模块架构可定制界面可
30、定制界面安全处理核心安全处理核心角角色色管管理理系系统统维维护护资资产产管管理理集中集中监控监控平台平台框架框架威胁威胁管理管理漏洞漏洞管理管理配置配置管理管理知识知识管理管理响应响应管理管理88资产管理库89路由器、交换机的访问日志路由器、交换机的访问日志IDS的报警信息的报警信息备份完成情况备份完成情况路由器、交换机的路由器、交换机的Enable登入情况登入情况防火墙的非正常连接防火墙的非正常连接防病毒的报警和升级信息防病毒的报警和升级信息服务器性能检查服务器性能检查服务器服务器Admin和和Root的登入信息的登入信息服务器系统错误报警服务器系统错误报警服务器应用错误报警服务器应用错误报
31、警二次开发的应用程序的错误报警二次开发的应用程序的错误报警用户单位用户重要应用的访问日用户单位用户重要应用的访问日志志用户单位用户重要数据的访问日用户单位用户重要数据的访问日志志用户单位用户重要数据的报警日用户单位用户重要数据的报警日志志用户安全制度和策略违反情况报警用户安全制度和策略违反情况报警用户网管监控人员处理故障能力信息用户网管监控人员处理故障能力信息9091漏洞管理 内置Scanner 支持基于SOC界面的配置、升级、维护、扫描计划定制、数据自动进入数据库 认证scanner：配置和驱动Scanner 将漏洞扫描升级为基于资产的风险管理的概念，并且支持支持关联分析，使扫描结果更为有效
32、 支持scanner：手工导入 支持其它扫描器扫描结果手工导入92事件管理 利用wizard解决方案提供灵活的可定制的事件收集，支持可视化编写 支持事件的高级处理，包括：数据过滤标准化数据合并分级实时数据关联 支持将事件归纳到资产93一个工单的处理流程案例发现事件关联分析产生高级告警预备工单知识库资产库自动化的发现自动化的发现通过监控发现高级告警风险管风险管理中心理中心安全主管系统管理员创建/重新发送工单Email/短信通知接收工单处理事故汇报结果检查结果是否满意End否是9495Top10 Vulnerabilities of Attack96信息安全系统-SLA0%20%40%60%80%
33、100%FATALCRITICALWARNINGMeet RequirementMissed Expectation97TOP 10 Types of Attack98建立统一的日志管理和日志审计99日志统一管理系统 日志统一管理系统进行网管系统主机日志的管理 该系统通过syslog-ng方式实现对主机日志的收集 可以通过该系统实现日志的集中存储、分析、管理，并提供了完善的报表、查询、维护功能，完全可以满足网管系统对集中日志管理功能的需求100日志统一管理流程日志采集日志采集日志规格化日志规格化日志分析日志分析日志数据库日志数据库网络设备网络设备其他设备其他设备防火墙防火墙操作系统操作系统用用
34、户户界界面面日志统一管理和审计日志统一管理和审计101维护紧急响应体系102安全事件响应流程设计安全事件响应流程设计103紧急响应汇报流程安全事故汇报流程安全事故汇报流程104应急处理的目标避免没有章法、可能造成灾难的响应。更快速和标准化的响应。确认或排除是否发生了紧急事件。使紧急事件对业务或网络造成的影响最小化。保护用户单位、组织的声誉和资产。教育高层管理人员。提供准确的报告和有价值的建议。105应急响应流程准备阶段106应急响应流程检测分析阶段调查调查事件起因分析和事件取证追查。系统后门检查、漏洞分析。数据收集、数据分析。107应急响应流程抑制、消除和恢复阶阶段抑制、消除和恢复抑制、消除和
35、恢复 恢复系统正常。确认系统是否已经完全恢复正常。修补系统漏洞，安全性增强。部署安全措施。设置过滤策略。及时对此设备进行及时对此设备进行调查，发现线索调查，发现线索108应急响应流程109防病毒紧急响应流程图110维护安全基线服务111维护安全基线 对所有设备的集中监控工作； 定期的安全审计； 定期的安全威胁分析； 资产的安全基线检查；112定期的安全审计防火墙的日志审计；防病毒日志审计；日志审计；集中监控平台的日志审计；系统摘要日志审计；主机安全日志审计；113定期的安全基线检查 主要对网络设备/系统/应用服务/业务软件/网络结构在加固项目中建立的安全基线进行定期的检查，查看是否存在安全基线下降的可能性。114p 经常不断地学习,你就什么都知道。你知道得越多,你就越有力量p Study Constantly, And You Will Know Everything. The More You Know, The More Powerful You Will Be写在最后115谢谢你的到来学习并没有结束，希望大家继续努力Learning Is Not Over. I Hope You Will Continue To Work Hard演讲人：XXXXXX 时 间：XX年XX月XX日
