一、技術(shù)運(yùn)維建設(shè)方案背景
伴隨著IT技術(shù)和業(yè)務(wù)的不斷發(fā)展，各種安全漏洞不斷涌現(xiàn)，運(yùn)維和安全兩大行業(yè)日益融合，人們對(duì)運(yùn)維安全的關(guān)注程度越來(lái)越高。技術(shù)運(yùn)維在安全技術(shù)操作方面，充分發(fā)揮各類安全裝備的價(jià)值，完善整個(gè)安全技術(shù)保障。
安全技術(shù)運(yùn)維工作包括每周的安全設(shè)備日志分析與處理，針對(duì)所有IT設(shè)備每月的漏洞掃描工作，針對(duì)網(wǎng)上辦事業(yè)務(wù)、網(wǎng)站業(yè)務(wù)、等業(yè)務(wù)系統(tǒng)每季度的滲透測(cè)試工作，針對(duì)新業(yè)務(wù)系統(tǒng)、新系統(tǒng)模塊或新IT設(shè)備的上線安全評(píng)估工作、針對(duì)信息系統(tǒng)的應(yīng)急響應(yīng)服務(wù)工作、針對(duì)信息安全預(yù)案的修編及年度演練工作、針對(duì)設(shè)備自身脆弱性的定期安全修補(bǔ)工作等。
二、方案功能設(shè)計(jì)
1、風(fēng)險(xiǎn)評(píng)估
針對(duì)單位的物理機(jī)房環(huán)境、網(wǎng)絡(luò)結(jié)構(gòu)、網(wǎng)絡(luò)服務(wù)、主機(jī)系統(tǒng)、中間件、數(shù)據(jù)庫(kù)系統(tǒng)、容災(zāi)系統(tǒng)及數(shù)據(jù)存儲(chǔ)安全、應(yīng)用系統(tǒng)、應(yīng)用代碼、安全系統(tǒng)、安全相關(guān)人員、處理流程、安全管理制度、安全策略等對(duì)象進(jìn)行評(píng)估，包括采用漏洞掃描、人工安全審計(jì)、滲透測(cè)試、代碼安全審計(jì)、客戶端測(cè)試等方法，深入且全面的掌握單位的安全現(xiàn)狀，為后續(xù)的持續(xù)安全改進(jìn)提供科學(xué)、詳細(xì)的依據(jù)。
2、建立安全風(fēng)險(xiǎn)模型
評(píng)估前建立安全風(fēng)險(xiǎn)模型，該模型必須包含但不限于以下要素：資產(chǎn)、影響、威脅、漏洞、安全控制、安全需求、安全風(fēng)險(xiǎn)，申請(qǐng)人應(yīng)詳細(xì)描述其風(fēng)險(xiǎn)模型的各個(gè)要素及之間的關(guān)系，并包括對(duì)威脅、漏洞、風(fēng)險(xiǎn)的等級(jí)劃分標(biāo)準(zhǔn)。安全評(píng)估必須按照分層的原則，包括但不限于以下對(duì)象：物理環(huán)境、網(wǎng)絡(luò)結(jié)構(gòu)、網(wǎng)絡(luò)服務(wù)、主機(jī)系統(tǒng)、數(shù)據(jù)、應(yīng)用系統(tǒng)、安全系統(tǒng)、安全相關(guān)人員、處理流程、安全管理制度、安全策略等。
3、信息資產(chǎn)評(píng)估
收集單位所有信息資產(chǎn)，包括所有的有形資產(chǎn)和無(wú)形資產(chǎn)，如服務(wù)器、網(wǎng)絡(luò)設(shè)備、存儲(chǔ)設(shè)備、應(yīng)用軟件、數(shù)據(jù)、人員、管理等。并對(duì)所有資產(chǎn)根據(jù)關(guān)鍵安全要素進(jìn)行賦值，為評(píng)估階段的風(fēng)險(xiǎn)計(jì)算和安全優(yōu)化階段的風(fēng)險(xiǎn)控制提供依據(jù)。
4、安全審計(jì)
對(duì)單位的服務(wù)器和網(wǎng)絡(luò)設(shè)備進(jìn)行安全審計(jì)。其中，服務(wù)器的安全審計(jì)包括操作系統(tǒng)安全（WINDOWS、LINUX、Solaris、AIX）審計(jì)和應(yīng)用軟件（如數(shù)據(jù)庫(kù)、IIS、APACHE、TOMCAT、WEBLOGIC）的安全審計(jì)。安全審計(jì)的每臺(tái)被審計(jì)設(shè)備也必須體現(xiàn)CIA三要素包含的安全性、完整性、可用性。
5、漏洞掃描
漏洞掃描針單位的主要以及IT設(shè)備（服務(wù)器，網(wǎng)絡(luò)設(shè)備，安全設(shè)備）以及新上線業(yè)務(wù)系統(tǒng)，得自身脆弱性進(jìn)行安全評(píng)估。掃描內(nèi)容包括端口掃描、系統(tǒng)掃描、漏洞掃描、數(shù)據(jù)庫(kù)等應(yīng)用軟件掃描等，完成后應(yīng)提供掃描報(bào)告，解決方案并對(duì)發(fā)現(xiàn)漏洞給予解決。
6、數(shù)據(jù)安全威脅分析
通過(guò)入侵檢測(cè)系統(tǒng)對(duì)單位信息安全所面臨的威脅進(jìn)行細(xì)致分析，并給出報(bào)告。報(bào)告必須包括網(wǎng)絡(luò)事件協(xié)議類型統(tǒng)計(jì)及對(duì)比餅圖、事件危險(xiǎn)級(jí)別統(tǒng)計(jì)及對(duì)比餅圖、事件攻擊類型統(tǒng)計(jì)及對(duì)比餅圖、信息安全性綜合分析等。
7、網(wǎng)絡(luò)結(jié)構(gòu)安全分析
為降低單位整體網(wǎng)絡(luò)安全風(fēng)險(xiǎn)、增強(qiáng)IT內(nèi)控的實(shí)效性、更清晰的評(píng)價(jià)和監(jiān)控現(xiàn)有安全狀況，需要對(duì)網(wǎng)絡(luò)結(jié)構(gòu)進(jìn)行分析，并結(jié)合業(yè)務(wù)情況進(jìn)行安全域的規(guī)劃設(shè)計(jì)。安全域設(shè)計(jì)需要現(xiàn)有網(wǎng)絡(luò)按照等級(jí)分為域、區(qū)、單元三個(gè)級(jí)別，描述安全域劃分步驟及邊界防護(hù)原則，對(duì)現(xiàn)有網(wǎng)絡(luò)結(jié)構(gòu)的每項(xiàng)不足之處提出可執(zhí)行的措施，并在安全優(yōu)化階段實(shí)施。
8、滲透測(cè)試服務(wù)
對(duì)所有業(yè)務(wù)應(yīng)用系統(tǒng)進(jìn)行滲透測(cè)試。
9、綜合風(fēng)險(xiǎn)分析
在對(duì)單位信息體系的各個(gè)層次進(jìn)行技術(shù)安全評(píng)估基礎(chǔ)上，綜合分析信息系統(tǒng)面臨的各方面威脅，依靠定量計(jì)算和定性分析結(jié)合的方式，計(jì)算出各方面的風(fēng)險(xiǎn)級(jí)別，并提出解決措施。
10、月度動(dòng)態(tài)安全評(píng)估
結(jié)合每月的安全運(yùn)維工作，隨時(shí)獲取信息系統(tǒng)安全要素的最新安全情況，監(jiān)控信息系統(tǒng)的最新安全動(dòng)態(tài)情況，并根據(jù)需要調(diào)整安全策略，確保應(yīng)對(duì)最新的安全威脅。
11、數(shù)據(jù)安全保護(hù)
對(duì)業(yè)務(wù)數(shù)據(jù)、數(shù)據(jù)庫(kù)系統(tǒng)提供實(shí)施保護(hù)技術(shù)服務(wù)，協(xié)助用戶對(duì)數(shù)據(jù)設(shè)計(jì)及數(shù)據(jù)庫(kù)漏洞進(jìn)行分析整改，對(duì)敏感數(shù)據(jù)進(jìn)行過(guò)濾規(guī)劃，對(duì)測(cè)試數(shù)據(jù)提供脫敏服務(wù)。
12、設(shè)備安全加固
安全整改加固工作對(duì)通過(guò)安全配置核查、漏洞掃描、滲透測(cè)試、策略分析等工作中發(fā)現(xiàn)的安全漏洞、安全弱點(diǎn)、安全風(fēng)險(xiǎn)，通過(guò)多方面的安全加固措施進(jìn)行修補(bǔ)；特別對(duì)問(wèn)題源頭進(jìn)行整改與加固，以最大限度的降低風(fēng)險(xiǎn)。
13、全事件處置
1）所有用戶均有責(zé)任報(bào)告自己發(fā)現(xiàn)的安全弱點(diǎn)和可疑事件，但任何情況下用戶均不應(yīng)嘗試驗(yàn)證弱點(diǎn)；
2）制定安全事件報(bào)告和處置管理制度，規(guī)定安全事件的現(xiàn)場(chǎng)處理、事件報(bào)告和后期恢復(fù)的管理職責(zé)；
3）分析信息系統(tǒng)的類型、網(wǎng)絡(luò)連接特點(diǎn)和信息系統(tǒng)用戶特點(diǎn)，了解本系統(tǒng)和同類系統(tǒng)已發(fā)生的安全事件，識(shí)別本系統(tǒng)需要防止發(fā)生的安全事件，事件可能來(lái)自攻擊、錯(cuò)誤、故障、事故或?yàn)?zāi)難；
4）根據(jù)國(guó)家相關(guān)管理部門對(duì)計(jì)算機(jī)安全事件等級(jí)劃分方法，根據(jù)安全事件在本系統(tǒng)產(chǎn)生的影響，將本系統(tǒng)計(jì)算機(jī)安全事件進(jìn)行等級(jí)劃分；
5）記錄并保存所有報(bào)告的安全弱點(diǎn)和可疑事件，分析事件原因，監(jiān)督事態(tài)發(fā)展，采取措施避免安全事件發(fā)生；
14、應(yīng)急預(yù)案管理
在統(tǒng)一的應(yīng)急預(yù)案框架下制定不同事件的應(yīng)急預(yù)案，應(yīng)急預(yù)案框架應(yīng)包括啟動(dòng)應(yīng)急預(yù)案的條件、應(yīng)急處理流程、系統(tǒng)恢復(fù)流程和事后教育和培訓(xùn)等內(nèi)容；對(duì)系統(tǒng)相關(guān)的人員進(jìn)行培訓(xùn)使之了解如何及何時(shí)使用應(yīng)急預(yù)案中的控制手段及恢復(fù)策略，對(duì)應(yīng)急預(yù)案的培訓(xùn)至少每年舉辦一次。
三、方案優(yōu)勢(shì)特點(diǎn)
1、技術(shù)優(yōu)勢(shì)
擁有跨行業(yè)、多領(lǐng)域的技術(shù)服務(wù)，對(duì)網(wǎng)絡(luò)結(jié)構(gòu)進(jìn)行分析，結(jié)合情況進(jìn)行安全域的規(guī)劃設(shè)計(jì)，提供全方位的安全運(yùn)維定制解決方案。
2、服務(wù)優(yōu)勢(shì)
提供定制化服務(wù)，包括體系結(jié)構(gòu)、產(chǎn)品、功能整合的安全運(yùn)維解決方案；通過(guò)7*24小時(shí)持續(xù)監(jiān)測(cè)、發(fā)現(xiàn)問(wèn)題、及時(shí)通報(bào)、協(xié)助處置等流程，為用戶提供專業(yè)、貼心的管家服務(wù)。
3、風(fēng)險(xiǎn)規(guī)避
隨時(shí)掌握網(wǎng)絡(luò)安全狀況，實(shí)現(xiàn)安全防范；主動(dòng)監(jiān)控安全事件，及時(shí)優(yōu)化網(wǎng)絡(luò)安全系統(tǒng)，幫助用戶實(shí)現(xiàn)從被動(dòng)反應(yīng)到主動(dòng)防御的轉(zhuǎn)換。