安全集成方案

1 服务方案

1.1安全设备及工具

安全运维离不开安全设备，目前用户已经使用了一批安全设备，对于这些安全设备需要进行必要的运维服务，我们提供用户安全设备的硬件维保，软件升级，保证设备在服务周期内的安全平稳运行，提供维保产品的范围如下：

1.2运维服务要求

1.2.1日常巡检

日常巡检是设备运维的重要保障，可以及时发现不安全因素和事故隐患，检查监督安全规章制度的落实情况，同事还能有效的制止违章作业，防止事故的发生。

我们通过每周一次巡检设备的CPU,内存，健康状态，运行状态，备份设备配置等措施来保证设备安全平稳的运行，并且在巡检结束之后提供设备巡检报告，主要内容如下：

1.2.2攻击/病毒趋势分析

   对于WAF，NGAF,IPS每周导出安全报表，并由资深专家分析结果，为策略优化，制定针对性的防护策略提供依据，对于AV防病毒，每周导出安全报表，分析结果，对病毒防护策略提供指导依据。

1.2.3安全事件分析

  安全事件是指病毒爆发，服务器被攻击等事件。安全事件对企业用户的影响很大，可能会导致内部一些机密信息被黑客获取。通过安全设备上面的日志分析，我们可以对安全事件做到提前预警以及事后追踪。对于存在安全隐患的服务器，提供防护参考。

1.2.4设备可维护管理

我们拥有强大安全技术支持团队，可以对不同厂家的安全设备进行策略梳理与建议，

针对目前市场上越来越多的七层设备，我们技术支持团队可以协助客户定期检查规则库的版本，避免最新的攻击方式渗透到内网，充分发挥安全设备应有的价值。安全策略调整和实施完成后提供安全策略调整和实施服务过程的报告，包括安全策略调整和实施过程，记录所有操作和相应的目的以及调整和实施后的安全水平的提升说明。

1.2.5安全运维月报

安全运维月报，可以体现近一个月的总体安全状况，其中包含有设备日志的安全分析，安全事件的总结，安全建设的建议以及其他内容。我们提供资深专家对每月的汇总日志进行分析，找出安全短板，提供可落地的安全建议，帮助用户完善安全建设。

1.2.6设备软件版本升级

定期的版本升级可以更好的使用厂商提供的新功能，也会改进一些已知的BUG。某些设备依赖规则库工作，升级大版本之后可能会导致策略不可用，银基我们通过采用人工翻译，策略备份等方式来规避此类问题，前期会通过大量的策略梳理，挖掘客户的原始需求，并记录在案，提供策略重新制定的依据，版本升级前会制定备用方案，如果升级失败则立即回退，或者使用备用方案，保证业务的可持续性。

1.2.7应用上线配合

在新业务上线场景中，服务器分配的IP地址，操作系统都未在之前的防护列表中，极容易被病毒和其他攻击手段所攻击，我们提供每年6次的新业务场景下的策略配合调整服务。业务上线前在服务器端安装防病毒软件，如果业务是B/S架构的，需要对外发布应用，则制定相应的WAF策略，对非法上传，挂马，跨站脚本攻击等进行安全防护，同时对服务器进行漏洞扫描，在上线前进行安全补丁的安装。如果新业务是C/S架构的应用，在服务器端安装杀毒软件的同时，需要配置IPS策略，对APT攻击进行一些必要的防护，对僵尸网络进行封杀。

1.3安全支持服务

1.3.1审计支持

我司承诺会根据信息系统的功能和特点，做好运维过程的所有文档的记录和归档工作，包括各种形式的技术方案、图纸、工作汇报、服务总结等，按照相关要求装订成册或数据打包，提交给采购人主管信息部门,用户如遇到上级部门检查,或内部自查，我们承诺尽力协助客户提供运维日志以及其他文档，满足用户审计方面的合规需求。

1.3.2普通响应

  日常技术咨询及普通问题支持，包含用户在日常工作中遇到的技术难题以及其他咨询问题。银基我们工程师提供7*24小时的普通响应服务，针对技术难题组织专项团队及工程师进行问题梳理、分析。

技术咨询服务，从项目的制定、设计、实施直至建成，都是一项复杂的系统工程。要使整个项目建设在技术上、质量上、经济效益上、工期进度上和投资的控制上都能做到符合要求，实现预期的经济效果，首先要有正确的投资决策和一整套的科学管理方法，这就需要求助于技术咨询服务。

　　因为技术咨询能提供广泛的技术服务，其主要的服务内容有：

　　①提出研究规划，包括对项目的制定、可行性研究及评估等；

　　②安排项目设计；

　　③负责项目管理，在工程实施阶段，提供包括审查实施计划及程序检查、监督材料加工，对各种装置和设备在现场进行检查测试，并进行POC、上线等方面的指导。

1.3.3紧急响应

我们安全工程师快速响应并到达现场，协助进行安全事件的定位、分析及处理，直到安全事件排除。重大安全事件应急响应，本地专家2小时内到达现场，如事态严重总部专家24小时内到现场。对于影响业务的安全故障，在进行故障处理时，应先考虑业务恢复，然后再彻底解决故障。事件处理结束后，应出具《安全事件处理总结报告》，如应急工程师不能在时限内解决问题，则应调动安全专家协助解决。

在新的高中危漏洞披露发布2周内，能核查手段及解决方案。

我们安全将制定应急响应流程，要求应急响应时间控制在最小时间范围内。第一时间确定事件类型和攻击源，及时隔离攻击源，制止事件影响进一步恶化；尽快恢复系统的正常运行，或是最小限度的正常的运行；进行事件的追溯和取证；修复漏洞并持续监控。

1.3.3.1准备

为了更快速和有效进行应急响应，我们安全将准备相应的资源、工具，以及流程，下表列出了本公司进行安全事件应急相应的资源、工具：

Ø  安全事件应急相应相关信息

Ø  安全事件分析所需软件和硬件

Ø  其它资源

1.3.3.2安全事件的现象

通过某些迹象和先兆发现和预知很多安全事件。安全事件发生的迹象很多，常见的如：

Ø  网络入侵检测系统报警；

Ø  防病毒软件报警；

Ø  服务器宕机或者莫名其妙重新启动；

Ø  主机响应速度明显变慢；

Ø  收到威胁或者敲诈的电子邮件；

Ø  系统配置发生异常改动；

Ø  日志中出现大量的失败登录请求；

Ø  邮件系统管理员发现大量包含可以内容被反弹回来的邮件；

Ø  网络管理员发现异常的网络流量。

除了安全事件发生的异常迹象外，也可以通过某些攻击的先兆提前发现网络攻击，从而防患于未然，例如：

Ø  网络入侵检测系统发现很多主机对同一台系统进行端口扫描，这可能是分布式拒绝服务攻击的一个先兆。

Ø  系统日志出现大量失败登录日志；

Ø  WEB服务器日志发现大量异常的请求；

Ø  在一些安全网站上公布了某个漏洞及相关的攻击程序；

并非所有的攻击都有明显的先兆，有些高明的攻击行为可能毫无征兆或者攻击者会制造一些毫不相关的假象。

1.3.3.3安全事件分析建议

如果安全事件的迹象和先兆比较准确，那么进行安全事件的检测和分析就轻松多了，但是事实并非如此，例如：普通用户上报的大多数安全事件的现象都是错误的；入侵检测系统会产生大量的误报。以下建议有助于降低安全事件相应的难度，提高其有效性。

◆为系统建立基线数据库

基线控制是利用数据完整性检测工具对系统的变化进行监控。数据完整性检测工具根据管理员设置的一个配置文件对指定要监控的文件进行读取，对每个文件生成相应数字签名，并将这些结果保存在自己的数据库中。

当怀疑系统被入侵时，可由完整性检测工具根据先前生成的系统快照与当前系统地文件特征进行对比，如果文件被替换，则特征不匹配，管理员就明白系统不"干净"了。

◆理解正常的行为

要进行安全事件响应，首先要了解正常情况下网络、系统和应用的状态。对于网络、系统和应用缺乏清晰的了解将很难确定什么现象是正常的，什么现象是不正常的。

获得这些知识的一个重要方式是经常审计系统和应用的日志和安全日志。

◆使用集中的日志收集系统

在安全事件应急响应的过程中，需要对安全设备、网络设备、系统和应用的日志进行大量的关联分析，因此使用日志服务器集中保存各种日志信息是非常重要的。另外，集中保存日志还可以防止攻击者删除入侵痕迹。

◆灵活使用搜索引擎

搜索引擎，例如：www.google.com对于研究异常现象非常有帮助。例如，发现系统开放了22912端口，可以到www.google.com输入“TCP port 22912”，这样可以获得很多有用的信息。另外，直接把日志中的错误、报警信息使用google进行搜索也可以获得很多有帮助的信息。

◆使用sniffer收集数据

通常，日志等信息来源提供的数据细节太少，如果攻击来自于网络，使用sniffer进行网络侦听是获得信息最便捷的途径。如果没有sniffer，很多安全事件将无法处理。

◆建立诊断矩阵

诊断矩阵有助于对事件现象和事件的性质之间进行关联分析。例如，下面表格表示一些安全事件出现这些某些现象的可能性（高、中、低）。

培训内容包括但不限于信息安全模型、信息安全标准、操作系统安全、网络安全、信息安全工程、风险评估、信息安全管理、安全编程等。

1.3.4安全培训

1.3.4.1安全意识培训

信息安全意识培训主要目标是让员工了解信息安全的重要性，提高员工信息安全自我保护水平；通过介绍信息安全典型案例和攻击实例，提高对信息安全问题的警惕性；讲解信息安全国家政策和管理原则，建立“信息安全，人人有责”的观念；介绍信息安全基本防护技能，提升员工个人安全防护能力。

1.3.4.1.1培训对象

信息安全管理相关高层领导、安全管理人员、系统运维人员以及普通员工。

1.3.4.1.2培训目标

a)   了解信息安全的重要性；

b)   掌握使用过程中注意安全事项；

c)   掌握出现安全事件时一般处理流程；

d)   提升信息安全意识。

e)   提升员工个人安全防护能力。

1.3.4.1.2培训内容

（1）信息安全的基本概念

什么是信息安全，信息安全即信息本身的机密性（Confidentiality）、完整性（Integrity）和可用性（Availability）的保持，即防止未经授权使用信息、防止对信息的非法修改和破坏、确保及时可靠地使用信息。

（2）安全意识

安全意识就是能够认知可能存在的安全问题，明白安全事故对组织的危害，恪守正确的行为方式，并且清楚在安全事故发生时所应采取的措施。

（3）计算机病毒

什么是计算机病毒，计算机病毒的来源，如何防护计算机病毒。

（4）社会工程学

社会工程学是一种通过对受害者心理弱点、本能反应、好奇心、信任、贪婪等心理陷阱进行诸如欺骗、伤害等危害手段。社会工程学常见方式及如何防御。

（5）介质安全

介质安全与数据安全涉及哪些方面，移动介质带来的风险，如何进行介质安全管理。

（6）信息资产的保密

什么是资产，资产职责划分，资产管理策略。

（7）口令安全

为什么口令安全很重要，什么是脆弱的口令，如何设置强口令，选择易记强口令小窍门。

（8）计算机及网络访问安全

什么是计算机及网络安全访问安全，如何开展计算机及网络访问控制。

（9）工作环境

工作环境安全注意事项，从员工身边的小事讲起，比如应主动防止陌生人尾随进入办公区域、遇到陌生人,要上前主动询问、应将复印或打印的资料及时取走和禁止在公共场合谈论公司信息等等方面，信息安全就存在大家的身边。

（10）信息安全理念上的误区

主要针对信息安全就是防泄露、信息安全就是网络安全、信息安全就是防黑客、信息安全就是技术问题、信息安全就是一场运动和信息安全就是麻烦等理念误区进行讲解。

1.3.4.2安全技能培训

1.3.4.2.1培训对象

信息系统安全管理人员和运维人员

1.3.4.1.2培训阶段目标

●掌握UNIX和Windows操作系统安全基础和常见安全加固技术

●掌握常见的安全运维工具的使用；

1.3.4.1.3课程设计

1.4运维增值服务

1.4.1安全加固

1.4.1.1安全加固方式

●安全加固指导：系统完成应用安全评估后，安全评估机构向企业信息化部提供安全评估报告。如果存在安全风险和应用安全漏洞，则应提供安全加固指导手册，并现场指导完成安全加固。

                          针对所发现的漏洞，须能做到漏洞处置与管理闭环。

●远程支持：日常技术咨询与指导，以电话、邮件、传真等远程方式回答相关安全咨 询，协助解决安全问题。

●紧急现场支持：如发生黑客入侵、网络系统被恶意攻击造成业务中断等重大安全事件，高级技术专家须到现场分析安全事件发生的原因、协助恢复业务、撰写应急响应预案和技术材料等。

1.4.1.2安全加固内容

Ø  操作系统：所有操作系统的配置核查结果、问题清单、风险描述、整改建议、加固建议。

Ø  数据库：所有数据库的配置核查结果、问题清单、风险描述、整改建议、加固建议。

Ø  中间件：所有中间件的配置核查结果、问题清单、风险描述、整改建议、加固建议。

Ø  网络设备：所有网络设备的配置核查结果、问题清单、风险描述、整改建议、加固建议。

Ø  安全设备：所有安全设备的配置核查结果、问题清单、风险描述、整改建议、加固建议。

Ø  基础设施：所有基础设施的配置核查结果、问题清单、风险描述、整改建议、加固建议。

1.4.1.3加固实施流程

总体流程：

操作流程：

准备阶段：

Ø  协助相关人员进行加固对象资产信息确认

Ø  制定并与相关人员讨论确认加固方案（方法、风险、回退方案）

执行阶段：

Ø  加固操作执行期间提供技术支持建议

加固结果确认阶段：

Ø  提供技术支持建议，协助相关人员对加固后的系统运行状态、应用程序运行状态和业务运行状态进行测试

Ø  协助加固实施人员进行测试结果确认

1.4.1.4主机系统安全加固建议

按照系统安全配置基线和风险评估的结果作为安全加固的依据，对项目范围内的主机系统制定安全加固方案，并提供技术支持建议服务，防范安全风险。

我们安全将主要针对以下方面提供主机安全加固建议服务：

■操作系统

1.4.1.5数据库系统安全加固建议

■安全加固风险规避措施

为了保证业务系统的正常运行，加固过程中对信息系统造成的异常情况降到最低点，应对加固对象运行的操作系统和应用系统进行调研，制定合理的、符合系统特征的加固方案，并且加固方案应通过可行性论证并得到具体的验证，实施严格按照加固方案所确定内容和步骤进行，确保每一个操作步骤都对信息系统没有损害。

◆系统（网络）备份方式：

在加固前，应对加固设备进行全盘的备份。包括：

  -   采用磁带机或磁带库对OS、应用程序、数据进行备份；

  -   采用Ghost的方式对整个硬盘进行备份；

  -   对于数据库服务器，对数据库数据采用在线备份；

  -   对于网络设备，对于配置文件进行备份；

◆冗余备份方式：

在对重要的设备进行备份的同时，会根据现有的冗余设备，包括：四层交换机的负载均衡、网络线路的双链路、硬件设备的HA等进行调研，然后采取合理的备份方式，防止造成一个设备加固出现问题，造成整个业务的瘫痪。

◆恢复手段：

对于在加固前进行的备份内容，事先进行恢复的测试，同时设计恢复的流程，万一加固出现问题，能够根据流程在最快的时间内恢复正常业务。

◆加固测试

正式加固前，会进行备机的加固测试，以验证加固手册中的加固项。只有顺利通过加固测试，才会开始正式加固

◆正式加固的时间安排

- 加固实施时间尽量安排在晚上或系统空闲时进行；

- 加固实施时间可以在系统调优时进行，这样减少对系统的变更。

- 如果两台或多台主机采用了高可用性措施（HA），如双机热备、集群、负载均担，则可先加固部分（或备机），待加固确认正常后，再加固另外一部分（主备方式的情况，先把主备关系切换）；

◆人员安排

- 保证加固实施时系统维护人员在现场

- 支持厂商联系畅通

◆残留风险

实施安全加固需要关注三个残留风险：

- 冲突

策略实施与应用的冲突。考虑应用为主，有些策略可能不实施，尤其是对应用效率造成影响或者需要重新启动的一些安全策略。这样需要考虑使用附加手段或者制定流程以最终解决问题。

- 变更

在实施过程中，可能出现由于人员或者其他不可预知的原因造成对主机安全策略的修正。需要一种机制对主机安全策略变更进行控制。

- 失效

设备安全策略并不是一个永久性的设备安全建议原则，随着时间和技术的发展，策略本身将会部分失效。需要有一种机制对设备安全策略做审查，保证其有效性。

1.4.1.6中间件加固建议

1.4.1.7边界设备加固建议

边界设备安全策略是否符合以下原则：

Ø  安全策略遵循最小化原则，未经授权不得访问；

Ø  应能根据业务访问管理为数据流提供明确的允许/拒绝访问的能力，控制粒度精确为IP地址和端口级别；

Ø  设备禁止配置无用策略、重复策略、无效策略；

Ø  安全策略管理规范有效。

Ø  防护墙策略梳理审计

1.4.1.8网络设备加固建议

针对网络及安全设备的安全评估结果，制定安全加固方案，提供技术支持服务，协助相关运维人员执行安全加固实施。

■ 网络重点要明确网络边界，便于实现网络之间的有效隔离和访问控制。实现系统之间严格访问控制的安全互连，解决复杂系统的安全问题；同时通过网络安全设备的安全配置防护，强化相关的设备安全能力。

常见的网络设备安全加固主要针对以下方面进行：

常见的网络安全设备安全加固主要针对以下方面进行：

1.4.1.9加固复查

通过模拟黑客的复查方法，测试安徽移动的应用系统、主机系统等基础设备安全加固的效果，验证安全加固的效果。

主要通过3个层次进行安全复查：

Ø  层次一：通讯和服务（网络层）

该层次的安全问题主要体现在TCP/IP网络协议本身存在的一些漏洞。如Ping炸弹可使一台主机宕机、无需口令通过Rlogin以root身份登录到一台主机等，都是利用了TCP/IP协议本身的漏洞。

Ø  层次二：操作系统

这一层次的安全问题来自网络中采用的各种操作系统，如运行各种UNIX的操作系统。包括操作系统本身的配置不安全和可能驻留在操作系统内部的黑客程序等带来的威胁。

Ø  层次三：应用程序

该层次的安全威胁来自防火墙的配置、Web站点的服务、DNS服务、拨号服务及E_mail服务。

渗透测试层次

□我们安全职责

1．免费为客户进行复查，以确认相关漏洞得到有效修复。

2．就复查中发现的遗留漏洞进行相关答疑。

□安徽移动配合

提交简要修复方法说明和复查申请

1.4.1.9配合事项

在此项服务工作中，需安徽移动协调进行以下方面的配合工作：

Ø  相关应用系统开发人员、网络运维人员、系统运维人员、安全管理人员讨论和确定安全加固方案

Ø  组织、督促第三方应用系统开发商进行安全改造；

Ø  提供测试环境，进行相关加固的验证

Ø  配合加固项的测试工作

Ø  配合安全复查工作。

1.5服务保证

我们安全保证以上运维服务均实现：

○  7x24小时故障支持

○  30分钟故障响应

○  重大故障2小时内达到指定现场

2 服务原则

安全运维服务的方案设计与具体实施应满足以下原则：

2.1保密原则：

对服务的过程数据和结果数据严格保密，未经授权不得泄露给任何单位和个人，不得利用此数据进行任何侵害需求方网络的行为，否则需求方有权追究乙方的责任。

2.2标准性原则：

服务方案的设计与实施应依据国内或国际的相关标准进行；

2.3规范性原则：

服务提供商的工作中的过程和文档，具有严格的规范性，可以便于项目的跟踪和控制；

2.4可控性原则：

服务用的工具、方法和过程要在双方认可的范围之内，服务的进度要跟上进度表的安排，保证需求方对于服务工作的可控性；

2.5整体性原则：

服务的范围和内容应当整体全面，包括安全涉及的各个层面，避免由于遗漏造成未来的安全隐患；

2.6最小影响原则：

服务工作应尽可能小的影响系统和网络的正常运行，不能对现网的运行和业务的正常提供产生显著影响（包括系统性能明显下降、网络拥塞、服务中断，如无法避免出现这些情况应在应答书上详细描述）。

2.7服务整体要求：

运维服务重点关注因各设备运行故障导致用户系统信息泄露、篡改、非法传播的风险。特别需要关注对互联网开放应用的业务系统安全保障。

甲方设置专门的项目组配合本次项目实施的整个过程。

1、乙方应详细描述评估过程中评估人员的组成及各自职责的划分。乙方应配置有经验的评估人员进行本项目的评估工作，在应答文件中确定评估组织架构和人员，提供参与人员的详细简历；未经与需求方协商确认乙方不允许随意更换；乙方应确保选派高级咨询人员参与整个项目，确保项目的进度和质量。

2、本项目实施过程中所使用到的各种工具软硬件（如防护产品、漏洞扫描工具等）由乙方推荐，经甲方确认后由乙方提供并在评估中使用。

3、评估工具软件运行可能需要的硬件平台（如笔记本电脑、PC、工作站等）和操作系统软件等由乙方推荐，经甲方确认后由乙方提供并在评估中使用。

4、评估需要的运行环境（如场地、网络环境等）由甲方提供，乙方应详细描述甲方的运行环境的具体要求。