大型运维环境实施安全加固经验谈.pdfVIP

大型运维环境实施安全加固经验谈 2006-8-5 Coolc Email: eanalysis AT Homepage:/coolc 前言 2 背景 2 内容 2 困难 2 思路 2 准备阶段 3 人员准备 3 宣讲和破冰 3 实施和尝试 4 全面展开 5 重点关注 6 项目收尾完结 7 总结 8 附录 8 前言 安全加固在安全甚至运维领域，已经是一个大家都不再感到陌生的名字了。相当多的安 全甚至集成公司，都会再项目工程中提供此类服务。Coolc 从事工作以来，也大大小小的实 施了相当多次的安全加固工作，最近完成了一个大型运维环境的加固工作，积累了一些经验， 现在记录下来与大家分享。 因为所属工作的原因，coolc 不会透露具体的操作的技术细节，这点还希望大家能见谅， 但是 Coolc 会更多的阐述记录在项目操作中框架性思维和理念，同大家分享我的收获和经 验。 背景 本次项目之所能称之为大型项目，主要是基于如下几个特点。 l 涉及的主机众多，总体主机数量在万台以上。 l 涉及业务情况复杂、数量众多，其中重点大业务有数百个，而旗下子业务更为种类繁多。 l 业务多为在线业务，对于中断的容忍度很低。 l 涉及部门多，光运维层面的部门会涉及 10 余个左右，横向沟通成本较大。 内容 困难 l 选用何种层面的加固技术，是系统层？应用配置层？IDS 配合 iptables 联动？抑或是 kernel patch？ l 涉及的主机多为在线业务，如何保证平滑切换。 l 横跨多个部门，如何协调各个部门的人力资源具有相当难度。 l 安全加固本身是叫好不叫座的东西，在完成项目后如何体现安全加固的效果？ l 在自身进行了大量技术考量后，如何向技术部门验证你的说法，得到一线运维部门的支 持？ 思路 1. 争取运维线的上下层支持和理解。 2. 充分准备，数据支撑，取得认可。 3. 自动化部署，减轻工作量和误操作。 4. 充分考虑回退和规避运维风险。 5. 以点带面，分步骤部署。 准备阶段 安全加固项目的准备阶段主要的工作内容为， l 确定项目组成和成员的职责 l 内容宣讲，介绍加固项目的工作内容。 l 了解安全需求，打消存在的顾虑，争取配合和支持。 l 对加固内容进行测试，后续工程中需要配合工具和文档进行准备。 人员准备 人员准备可讲的东西不多，从这次操作中较多的体会是，项目组中最好能配备一个具有 编写脚本能力的人，减小大规模主机部属时碰到的巨大工作量。其次，人员不在于多，PM 的沟通能力要很强，具有较强的破冰和应变能力。项目组能够阶段性引入实施部门的 Teamleader ，在实施时会极大地提高执行力。 宣讲和破冰 在安全项目中，最常见的问题就是实施方和相关的配合人员，因关注点不同而导致的分 歧。项目中安全人员关注的是如何按时完成项目，保证自身的安全项目内容得以实现。而参 与实施配合得人员关注点主要集中在。 l 加固是否会影响业务系统的正常运行。 l 加固是否会带来业务上的中断。 l 加固是否会给系统带来性能上的影响。 l 加固实施是否会带来大量的工作量和挤占大量的时间。 l 加固后运维工作是否会在操作上十分不便。 l 加固后的主机是否会会在安全上和现有水平相比，有很大提升。 此时整个项目的主要矛盾是相关人员对加固没有了解，不清楚项目可能会带来哪些 “利”、“弊。 因此需要通过会议等方式，向各个部门的Leader ，骨干进行加固方面的知识介绍和内 容宣讲。 首先，为了验证自身说法的科学性，前期测试需要通过数据证明各种影响的具体数