XXX电视台WEB系统安全建议方案.docVIP

XXX电视台WEB系统安全建议方案V1.0 北京启明星辰信息技术股份有限公司 Venus Information Technology 二零零九年十月 文档说明： 文档信息 文档名称 版本编号 保密级别 机密 扩散范围 启明星辰项目组 版本编号 创建日期 说明 1.0 2009-10-23 文档的创建 目录 1 总体说明 4 2 安全检测 5 2.1 资产调查 5 2.1.1 资产列表 5 2.1.2 业务关系 6 2.1.3 端口需求 6 2.2 重点主机审计 6 2.3 脆弱性扫描 7 2.3.1 应用平台层 7 2.3.2 应用层 8 3 安全防护 8 3.1 访问控制 8 3.1.1 防火墙策略 8 3.1.2 各主机访问控制 9 3.2 系统加固 9 3.2.1 安全配置 9 3.2.2 安全日志 9 3.3 入侵防御(IPS) 9 4 安全巡检 10 4.1 周期巡检 10 4.2 应急响应 10 4.3 安全报告 11  总体说明 本文档是根据启明星辰在网站及对外应用系统方面的防护经验，及XXX电视台计算机中心当前环境及时间要求，提出的安全防护措施意见稿。 总体建议分为三个部分工作，即前期安全检测、根据检测结果的加固措施和运行期间的巡检及安全应急响应。 安全检测部分的目标首先是确定工作范围，并通过检测了解各系统可能存在的风险点，本部分工作 安全防护部分根据前期安全检测发现的重点问题，进行系统安全加固，包括重点系统的安全配置、严格防火墙的访问控制策略、严格IPS的策略等，还需要开启各服务器的日志记录，以便发生问题时能够有效记录。 安全巡检主要在安全防护策略部署完成之后的运行期，周期性的对关键安全系统的日志、服务器的日志分析，得出阶段性安全情况，分析其中可能存在的问题，查找问题原因，修改不合适的安全策略，并汇总产生阶段性报告。 各部分包含工作主体如下图示意： 安全检测 资产调查 本部分主要目标是责任各方通过此步工作了解工作范围，清晰定义工作目标，并通过资产调查了解各业务系统单元的主要用途、安全属性，各业务系统之间的业务数据流，各业务系统的访问控制要求（如开放端口、开放源IP等）；此部分的清晰了解对于之后的安全加固和安全应急有及其重要的意义。 资产列表 获取资产信息列表，形如下图，详细内容见附件；需要将各资产的详细情况体现表格中 业务关系 列表说明各服务器之间业务关系，如A服务器为Web前台，B服务器为中间件，C服务器为数据库，ABC同时存在备份DEF等；了解清晰后绘制详细的数据流的走向关系图。 端口需求 之后要实施详细的访问控制细则，所以需要将所有应用的开关端口要求、访问源IP、时间要求等标识清晰。 重点主机审计 控制台审计/主机审计针对网络设备、主机、数据库进行。采用脚本工具或人工参照审计手册进行。审计手册通常以检查列表（Checklist）的形式存在，用于人工检查系统存在的各种安全弱点，它针对不同的系统列出待检查的条目，以保证人工审计结果数据的完备性。 控制台审计应包括操作系统控制台审计、数据库系统控制台审计等工作。控制台审计评估工具往往是针对各个系统由有攻防经验的评估人员开发的审计评估脚本工具进行，通过执行该工具，就可以获取系统的运行信息。 UNIX脚本一般都是一个单独的文件，利用一些系统命令收集一些安全相关的配置、日志和信息。而对Windows平台的审计，由于Windows系统本身命令功能有限，所以还要配合一些外部的工具，如TCP连接工具、注册表编辑工具等来完成。 利用控制台审计工具可以得到计算机基本信息（计算机名、操作系统版本信息、内存和CPU信息等）、本地网络配置信息、无线网络信息、路由信息、开启服务信息、用户帐号和口令信息、本机安全策略配置、域配置信息、远程连接信息、应用软件信息、注册表信息、日志记录和存放信息、磁盘信息、启动文件信息、邮件信息、聊天工具信息等内容。 脆弱性扫描 脆弱性扫描分为应用平台层面（操作系统、Web服务器、数据库）和应用层面（asp、php、jsp等代码漏洞）。 应用平台层 天镜 天镜网络漏洞扫描与评估系统包括了网络模拟攻击、漏洞检测、报告服务进程、提取对象信息、风险评估和安全建议等功能，帮助用户控制可能发生的安全事件，最大可能地消除安全隐患。该系统提供了十种缺省的扫描策略，可根据实际需求来选择合适的策略。天镜全面符合CNCVE标准，兼容CVE、BUGTRAQ等漏洞标准，具有强大的漏洞检测能力和检测效率、贴切用户需求的功能定义、灵活多样的检测方式、详尽的漏洞修补方案和友好的报表系统，并支持在线升级。 Nessus Nessus是一个网络安全评估软件，功能强大且更新极快。该系统被设计为客户机/服务器模式，服务器端负责进行安全检查，