入侵检测设备安全操作规程.docxVIP

入侵检测设备安全操作规程

一、适用范围与职责划分

本规程覆盖网络边界、核心业务区部署的所有网络型、主机型入侵检测/防御设备（以下简称IDS/IPS），是所有运维操作必须遵守的底线要求，未按规程执行导致的安全事件由操作人承担首要责任。

1.适用设备范围

?网络型入侵检测/防御设备（NIDS/NIPS）：部署于互联网边界、跨安全域交换区、核心服务器区前端的流量检测设备

?主机型入侵检测设备（HIDS）：部署于服务器、云主机上的Agent端检测程序，含EDR的入侵检测模块

?流量分析类检测设备（NTA）：基于全流量回溯分析的异常行为检测设备

2.职责边界

?安全运维岗（配置2人互备）：负责设备日常巡检、规则更新、故障处置、配置变更操作，对设备的检测有效性、运行稳定性直接负责

?安全主管：负责高危操作审批、配置变更复核、应急响应指挥，对操作的合规性承担管理责任

?第三方运维人员：必须持有企业颁发的临时运维权限，由内部安全运维人员全程陪同操作，禁止独立登录设备控制台，所有操作需提前报备

3.基础准入要求

?必须设置管理IP白名单，仅允许运维跳板机固定地址段访问设备管理端口，白名单外地址访问的丢包率设置为100%

?严禁将设备管理端口映射至公网（据行业测算，公网暴露的IDS/IPS管理端口72小时内遭遇暴力破解的概率超过60%，可导致设备被攻击者接管、篡改规则、关闭检测功