安全配置核查解决方案模版-v1.pdfVIP

—传统以安全和新兴安全技术为主要驱动的安全建设模式，已经逐渐演进为以业务安全

需求为主要驱动的主动式安全建设模式。从典型的建设过程来看，是由业务需求导

出的安全需求在驱动着安全建设的全过程。

而如何获取准确全面的安全需求以指导未来的安全建设并为业务发展服务，如何建立一

套行之有效的风险控制与管理，是每一个信息化主管所的共同。

而在XX（全文搜索，需要替换没目标行业）行业里，随着各类通信和IT设备采用通用

操作系统、数据库，及各类设备间越来越多的使用IP协议进行通信，其问题更为凸

出。为了维持XX的通信网、业务系统和支撑系统设备安全，必须从入网测试、工程验收和

运行等，设备全生命周期各个阶段加强和安全要求。需要有式进行风险的控

制和管理。

二.需求分析

通过对安全的分析，发现安全主要由3个方面引起，安全方面、安全配置

方面，以及异常等方面。安全配置通常都是由于人为的疏忽造成，主要包括了账号、口

令、、日志、IP通信等方面内容，反映了系统自身的安全脆弱性。由安全配置的不足可

能带来非常多的安全隐患，因此对安全配置进行有效的检查和加固成为整体安全中

的重要一环。（安全和异常方面本文不做讨论）

三.安全基线研究

针对用户需求，可以采用安全基线的思想进行风险的控制和管理。

顾名思义，“安全基线”概念借用了传统的“基线”概念。字典上对“基线”的解释

是：一种在测量、计算或定位中的基本参照。如海岸基线，是水位到达的水位线。类比于“木

桶理论”，可以认为安全基线是安全木桶的最短板，或者说，是最基本的安全要求。

假如企业信息系统建立安全基线，如对每个网元、应用系统都定义安全基准点，

即设定满足最基本安全要求的条件，并在设备入网测试、工程验收和运行等设备全生命

周期各个阶段加强和安全基线要求，则可以进行风险的度量，做到风险可管。

安全基线模型以业务系统为，分为业务层、功能架构层、系统实现层三层架构：

1.第一层是业务层，这个层面中主要是根据不同业务系统的特性，定义不同安全防护

的要求，是一个比较宏观的要求。形成基于某业务系统的风险管理系统。

2.第二层是功能架构层，将业务系统分解为相对应的应用系统、数据库、操作系统、

网络设备、等不同的设备和系统类型，这些设备类型针对业务层定义的安

全防护要求细化为此层不同模块应该具备的要求。即在技术上实现脆弱性、安

全策略以及重要信息的。

3.第三层是系统实现层，将第二层模块根据业务系统的特性进一步分解，找到基准安

全配置项和重要策略文件等，即建立安全基线弱点库。如将操作系统可分解为

Windows、Linux等具体系统模块。这些模块中又具体的把第二层的安全防护要求

细化到可执行的要求，称为该业务系统的Windows安全基线、Linux安全基

线等网元的安全基线。

下面以近期关注度比较高的WEB安全为例对模型的应用进行说明：

首先WEB要对公众用户提供服务，存在互联网的接口，那么就会受到互联网中各

种，造成例如网页内容篡改、挂马等结果。在第一层业务需求中就定义需