自动化安全基线指标解决方案.ppt

谢 谢！ 本文档所有权属于启明星辰泰合中心，请勿扩散此文档。谢谢。 有问题请联系产品经理：陈卓 chenzhuo@ * 教育行业的建设背景 第二部分，在教育行业大的背景之下呢，分析一下我们的销售机会，核心内容 第三部分，介绍一下教育行业的销售特点 最后，和大家分享我们案例 * 教育行业的建设背景 第二部分，在教育行业大的背景之下呢，分析一下我们的销售机会，核心内容 第三部分，介绍一下教育行业的销售特点 最后，和大家分享我们案例 * 基线是一个非常开放、广泛和宏观的概念。 涉及非常多的领域，例如：。。。。。 在众多的英文文档中，多以baseline出现。Baseline的中文意思是底线，或最低要求的意思。 * * NIST（National Institute of Standards and Technology）制定了FISMA的标准和法规 FISMA把责任分配到各种各样的机构上来确保联邦政府的数据安全。法案需要程序员和每个机构的头目对信息安全计划执行年度评论，目的是为了以一种低开销，及时和有效的方式来把风险控制在可接受的范围之内。国家标准和技术研究所(NIST)强调了要遵循FISMA的九步： 把要保护的信息进行分类 选择最小的底线控制-----Security control implementation 安全控制的实现 使用风险评估过程来重新修改控制 在系统安全计划中用文档把怎样控制描述出来 在合适的信息系统实施安全控制 一旦安全控制付诸于实施，评估安全控制的有效性 决定任务和商业案例的风险等级 赋予信息系统处理的权力 在一个持续的基础上监视安全控制 * * NIST:美国国家标准与科学技术研究所 SCAP最重要的两个贡献在于：1,NVD和NCP；2、工具化检查 * 因为目前NVD包含大量的数据，每天20个新漏洞，每年超过6000个，还有维护来自US CERT和MITRE的软件缺陷，其他的还有CVE/CCE/CPE/XCCDF/OVAL 所以NVD的作用就是收集漏洞、进行标准化的一个库； /home.cfm * * FDCC，在和客户沟通时，FDCC是很好的方向 * STIG：美国国防部配置基线要求 .1 Set GroupID： “设置组ID”属性也被称为“setgid”或“sgid。“类似于setuid属性,执行文件与setgid属性时,它继承的特权集团文件的所有者。因此,这是非常重要的,任何文件setgid位集是已知的来源和范围。 设置组ID时还有另一个函数应用到一个目录。新文件中创建一个目录和setgid位是家目录的组,而不是过程的组创建该文件。这可以简化使用的共享目录。setgid位传达没有额外的特权时,设置在一个目录中。 详情请参阅特定供应商的UNIX文档setgid。商业和政府供应的应用程序也可以为程序提供setgid位。如果是这样,那么供应商/支持者必须遵循指令。 * * 教育行业的建设背景 第二部分，在教育行业大的背景之下呢，分析一下我们的销售机会，核心内容 第三部分，介绍一下教育行业的销售特点 最后，和大家分享我们案例 * DISA Vulnerability Management System 自动检查工具Gold Disk * 系统安全运维是一个长期的有持续性的工作。如何准确的掌握系统安全的态势，了解系统安全变化的趋势，是系统安全运维的工作关键，也是系统安全运维的工作导向与参考。 建立系统安全基线是系统安全运维的第一步。通过建立设备自身的安全基线，掌握系统安全配置与重要信息，然后定期评估系统的配置变化情况，检查系统当前配置处在安全基线之上还是之下，来指导进一步的安全运维工作。 而建立安全基线最重要的原则是：围绕我们的业务系统，符合设备特点，适应系统特性，满足业务需求。通俗点就是围绕我们的业务系统，自定义我们的安全基线。 而那些不能够自定义安全基线的系统，只能提供千人一面的，不能适应您业务系统特点的低质量服务。 * * 基线的应用 * * 中国国家认证认可监督管理委员会信息中心 中国国家工信部传输所 中国信息安全认证中心 中国国务院国有资产监督管理委员会 * 为多家客户提供系统和数据库安全加固服务 XXX公司 …… 2014年启明星辰为x家客户提供了x次安全加固服务！ * 教育行业的建设背景 第二部分，在教育行业大的背景之下呢，分析一下我们的销售机会，核心内容 第三部分，介绍一下教育行业的销售特点 最后，和大家分享我们案例 * 两个方面： 1、要能通过基线指标达到自动化的要求 2、通过自动化的工具保证达到业务系统的基线要求，从而保证业务系统的正常运行 * 管理调度中心 提供网络方式的基线采集功能，管理调度中心本身是具备核查能力的，可将基线管理服务、单机代理、离