安全配置核查解决方案模版-V1.0.doc

启明星辰安全配置核查管理系统 解决方案模版 2014年5月 背景 近年来，从中央到地方各级政府的日常政务、以及各行业企业的业务开展对IT系统依赖度的不断增强，信息系统运维人员的安全意识和安全技能也在逐步提高。最直接的体现为——传统以安全事件和新兴安全技术为主要驱动的安全建设模式，已经逐渐演进为以业务安全需求为主要驱动的主动式安全建设模式。从典型的信息安全建设过程来看，是由业务需求导出的安全需求在驱动着安全建设的全过程。 而如何获取准确全面的安全需求以指导未来的安全建设并为业务发展服务，如何建立一套行之有效的风险控制与管理手段，是每一个信息化主管所面临的共同挑战。 而在XX（全文搜索，需要替换没目标行业）行业里，随着各类通信和IT设备采用通用操作系统、数据库，及各类设备间越来越多的使用IP协议进行通信，其网络安全问题更为凸出。为了维持XX的通信网、业务系统和支撑系统设备安全，必须从入网测试、工程验收和运行维护等，设备全生命周期各个阶段加强和落实安全要求。需要有一种方式进行风险的控制和管理。 需求分析 通过对安全事件的分析，发现安全事件主要由3个方面引起，安全漏洞方面、安全配置方面，以及异常事件等方面。安全配置通常都是由于人为的疏忽造成，主要包括了账号、口令、授权、日志、IP通信等方面内容，反映了系统自身的安全脆弱性。由安全配置的不足可能带来非常多的安全隐患，因此对安全配置进行有效的检查和加固成为整体安全体系建设中的重要一环。（安全漏洞和异常事件方面本文不做讨论） 安全基线研究 针对用户需求，可以采用安全基线的思想进行风险的控制和管理。 顾名思义，“安全基线借用基线概念。字典上对基线的解释是：一种在测量、计算或定位中的基本参照。如海岸基线，是水位到达的水位线。类比于“木桶理论”，可以认为安全基线是安全木桶的最短板，或者说，是最的安全要求。 第一层是业务层，这个层面中主要是根据不同业务系统的特性，定义不同安全防护的要求，是一个比较宏观的要求。形成基于某业务系统的风险管理系统。 第二层是功能架构层，将业务系统分解为相对应的应用系统、数据库、操作系统、网络设备、安全设备等不同的设备和系统类型，这些设备类型针对业务层定义的安全防护要求细化为此层不同模块应该具备的要求。即在技术手段上实现脆弱性、安全策略以及重要信息的监控。 第三层是系统实现层，将第二层模块根据业务系统的特性进一步分解，找到基准安全配置项和重要策略文件等，即建立安全基线弱点库。如将操作系统可分解为Windows、Linux等具体系统模块。这些模块中又具体的把第二层的安全防护要求细化到可执行和实现的要求，称为该业务系统的Windows安全基线、Linux安全基线等网元的安全基线。 下面以近期关注度比较高的WEB网站安全为例对模型的应用进行说明： 首先WEB网站要对用户提供服务 图3 配置核查控制图 项目概述 启明星辰安全配置核查管理系统，主要实现集中自动化的对目标区域中的主机设备、数据库、中间件、网络设备、防火墙等设备的配置进行安全检查，检查后自动生成符合情况报告，并对不符合项提出详细的改进方案。 支持型安全服务，主要提供安全告警、安全加固、安全咨询等专业安全服务，为该XX提供完善的网络设备安全风险管理，提高移动各中心对新业务系统上线、第三方系统接入和日常安全运维检查和加固的实际效果，有效降低安全风险的发生概率。 解决方案建议 基于该XX目前的网络系统现状和组织结构，计划采用多级部署安全配置核查管理系统分级部署在上级中心、下级XX中心和下级XX中心内，实现分权分区自动化的配置安全核查。同时，为了实现对第三方接入系统、临时测试系统的配置安全核查，以及满足不可达设备安全核查的要求，为各个中心配置一套分布式采集器，并且在上级XX部署一套管理中心作统一的数据收集、任务下发和管理。 通过该方案的部署实施，形成全部XX系统范围内各中心设备配置安全核查数据的汇总与分析能力。通过分析处理汇总的核查数据，形成全面的安全配置现状，利于有效利用资源，解决关键问题，降低系统的脆弱性，提高抗风险的能力。同时，也能周期性的根据XX公司的“安全运维要求”进行合规检查，促进上级安全检查的成果。 组网部署 图4 配置安全核查系统部署示意图（请根据情况裁剪） 配置安全核查系统的组网模式比较简单，可以将其旁路部署在既有网络中。管理员通过WEB页面登录系统下达核查任务，检查任务既可以远程执行也可以本地执行。 对于网络不可达的设备提供离线的脚本方式：配置核查管理系统实现按照设备类型的离线脚本核查方式，在系统中下载对应的离线脚本，也可以自定义核查内容来适应不同需求，将离线脚本拷贝到目标设备上运行，再将结果导入到系统即可，整改过程不修改目标设备任何配置，特点是不需要获得设备的登录信息即可完成配置核查信息的采集。离线脚本这种