设为首页收藏本站
切换到窄版

 找回密码
 立即注册
搜索
热搜: 活动 交友 discuz
Nmaps Club»论坛 › Pentests Wiki › Wiki › 护网 › [14351] 2019-07-15_等保2.0安全管理中心要求解读 ...
返回列表 发新帖
查看: 1|回复: 0

[14351] 2019-07-15_等保2.0安全管理中心要求解读

[复制链接]
s7ckTeam

6万

主题

-6万

回帖

-58

积分

管理员

积分
-58
发表于 5 天前 | 显示全部楼层 |阅读模式
2019-07-15_等保2.0安全管理中心要求解读 等 保 2 . 0 安 全 管 理 中 心 要 求 解 读 默 安 科 技 宇 宸   F r e e B u f   2 0 1 9 - 0 7 - 1 5 等 保 等 保 2 . 0 的 核 心 的 核 心 今 年 今 年 5 月 ， 随 着 《 信 息 安 全 技 术 网 络 安 全 等 级 保 护 基 本 要 求 》 （ 月 ， 随 着 《 信 息 安 全 技 术 网 络 安 全 等 级 保 护 基 本 要 求 》 （ G B T 2 2 2 3 9 - 2 0 1 9 ） 的 公 布 ， 宣 告 等 保 ） 的 公 布 ， 宣 告 等 保 2 . 0 时 代 正 时 代 正 式 开 启 ， 并 将 于 式 开 启 ， 并 将 于 2 0 1 9 年 年 1 2 月 月 1 日 正 式 实 施 。 也 就 意 味 着 ， 到 今 年 年 底 ， 所 有 的 信 息 系 统 ， 只 要 对 外 的 ， 就 要 做 日 正 式 实 施 。 也 就 意 味 着 ， 到 今 年 年 底 ， 所 有 的 信 息 系 统 ， 只 要 对 外 的 ， 就 要 做 定 级 备 案 ， 对 于 重 要 系 统 同 时 还 要 定 为 关 键 信 息 基 础 设 施 ， 在 等 保 之 上 还 要 满 足 《 关 键 信 息 基 础 设 施 安 全 保 护 定 级 备 案 ， 对 于 重 要 系 统 同 时 还 要 定 为 关 键 信 息 基 础 设 施 ， 在 等 保 之 上 还 要 满 足 《 关 键 信 息 基 础 设 施 安 全 保 护 条 例 》 的 要 求 。 而 等 保 中 新 增 的 个 人 信 息 保 护 中 ， 也 要 满 足 《 互 联 网 个 人 信 息 安 全 保 护 指 引 》 的 要 求 ， 对 于 漏 条 例 》 的 要 求 。 而 等 保 中 新 增 的 个 人 信 息 保 护 中 ， 也 要 满 足 《 互 联 网 个 人 信 息 安 全 保 护 指 引 》 的 要 求 ， 对 于 漏 洞 也 应 参 考 《 网 络 安 全 漏 洞 管 理 规 定 》 要 求 。 洞 也 应 参 考 《 网 络 安 全 漏 洞 管 理 规 定 》 要 求 。 标 准 的 东 西 其 实 不 是 硬 性 规 定 ， 其 具 备 灵 活 性 ， 同 样 一 条 标 准 可 以 通 过 不 同 方 式 来 实 现 ， 完 全 可 以 结 合 企 业 自 身 环 境 特 点 来 应 对 ， 我 一 直 以 来 的 原 则 是 做 好 安 全 的 过 程 中 顺 便 将 合 规 一 起 做 掉 ， 而 不 是 为 了 应 付 检 查 而 被 动 的 去 对 标 标 准 做 合 规 。 而 且 ， 做 安 全 也 不 要 太 局 限 于 技 术 层 面 ， 管 理 其 实 更 为 重 要 ， 这 就 是 为 何 等 保 中 有 技 术 也 有 管 理 的 原 因 。 国 家 网 络 安 全 工 作 规 划 是 ： 一 个 中 心 ， 三 重 防 护 一 个 中 心 ， 三 重 防 护 。 对 应 到 等 2 中 即 安 全 管 理 中 心 、 安 全 通 信 网 络 、 安 全 区 域 边 界 、 安 全 管 理 中 心 、 安 全 通 信 网 络 、 安 全 区 域 边 界 、 安 全 计 算 环 境 安 全 计 算 环 境 （ 物 理 环 境 安 全 属 于 独 立 科 目 ） ， 此 外 网 安 法 中 要 求 系 统 建 设 必 须 做 到 三 同 步 ， 即 同 步 规 划 、 同 步 建 同 步 规 划 、 同 步 建 设 、 同 步 使 用 设 、 同 步 使 用 。 网 络 安 全 三 同 步 网 络 安 全 三 同 步 《 网 安 法 》 第 三 十 三 条 规 定 ： 建 设 关 键 信 息 基 础 设 施 应 当 确 保 其 具 有 支 持 业 务 稳 定 、 持 续 运 行 的 性 能 ， 并 保 证 安 全 技 术 措 施 同 步 规 划 、 同 步 建 设 、 同 步 使 用 。 同 步 规 划 同 步 规 划 在 业 务 规 划 的 阶 段 ， 应 当 同 步 纳 入 安 全 要 求 ， 引 入 安 全 措 施 。 如 同 步 建 立 信 息 资 产 管 理 情 况 检 查 机 制 ， 指 定 专 人 负 责 信 息 资 产 管 理 ， 对 信 息 资 产 进 行 统 一 编 号 、 统 一 标 识 、   统 一 发 放 ， 并 及 时 记 录 信 息 资 产 状 态 和 使 用 情 况 等 安 全 保 障 措 施 。 同 步 建 设 同 步 建 设 在 项 目 建 设 阶 段 ， 通 过 合 同 条 款 落 实 设 备 供 应 商 、 厂 商 和 其 他 合 作 方 的 责 任 ， 保 证 相 关 安 全 技 术 措 施 的 顺 利 准 时 建 设 。 保 证 项 目 上 线 时 ， 安 全 措 施 的 验 收 和 工 程 验 收 同 步 ， 外 包 开 发 的 系 统 需 要 进 行 上 线 前 安 全 检 测 ， 确 保 只 有 符 合 安 全 要 求 的 系 统 才 能 上 线 。 同 步 使 用 同 步 使 用 安 全 验 收 后 的 日 常 运 营 维 护 中 ， 应 当 保 持 系 统 处 于 持 续 安 全 防 护 水 平 ， 且 运 营 者 每 年 对 关 键 信 息 基 础 设 施 需 要 进 行 一 次 安 全 检 测 评 估 。 本 文 主 要 针 对 本 文 主 要 针 对 “ 一 个 中 心 ， 三 重 防 护 一 个 中 心 ， 三 重 防 护 ” 中 的 中 心 ， 聊 聊 这 个 概 念 以 及 相 应 的 要 求 。 中 的 中 心 ， 聊 聊 这 个 概 念 以 及 相 应 的 要 求 。 安 全 管 理 中 心 安 全 管 理 中 心 本 控 制 项 为 等 级 保 护 标 准 技 术 部 分 核 心 ， 名 称 虽 然 看 着 像 管 理 ， 但 实 际 归 为 技 术 部 分 。 本 项 主 要 包 括 系 统 管 理 、 审 计
管 理 、 安 全 管 理 和 集 中 管 控 四 个 控 制 点 ， 其 中 的 集 中 管 控 可 以 说 是 重 中 之 重 ， 主 要 都 是 围 绕 它 来 展 开 的 。 标 准 原 文 标 准 原 文 8 . 1 . 5   安 全 管 理 中 心 安 全 管 理 中 心 8 . 1 . 5 . 1   系 统 管 理 系 统 管 理 a )   应 对 系 统 管 理 员 进 行 身 份 鉴 别 ， 只 允 许 其 通 过 特 定 的 命 令 或 操 作 界 面 进 行 系 统 管 理 操 作 ， 并 对 这 些 操 作 进 行 审 计 ； b )   应 通 过 系 统 管 理 员 对 系 统 的 资 源 和 运 行 进 行 配 置 、 控 制 和 管 理 ， 包 括 用 户 身 份 、 系 统 资 源 配 置 、 系 统 加 载 和 启 动 、 系 统 运 行 的 异 常 处 理 、 数 据 和 设 备 的 备 份 与 恢 复 等 。 8 . 1 . 5 . 2   审 计 管 理 审 计 管 理 a )   应 对 审 计 管 理 员 进 行 身 份 鉴 别 ， 只 允 许 其 通 过 特 定 的 命 令 或 操 作 界 面 进 行 安 全 审 计 操 作 ， 并 对 这 些 操 作 进 行 审 计 ； b )   应 通 过 审 计 管 理 员 对 审 计 记 录 应 进 行 分 析 ， 并 根 据 分 析 结 果 进 行 处 理 ， 包 括 根 据 安 全 审 计 策 略 对 审 计 记 录 进 行 存 储 、 管 理 和 查 询 等 。 8 . 1 . 5 . 3   安 全 管 理 安 全 管 理 a )   应 对 安 全 管 理 员 进 行 身 份 鉴 别 ， 只 允 许 其 通 过 特 定 的 命 令 或 操 作 界 面 进 行 安 全 管 理 操 作 ， 并 对 这 些 操 作 进 行 审 计 ； b )   应 通 过 安 全 管 理 员 对 系 统 中 的 安 全 策 略 进 行 配 置 ， 包 括 安 全 参 数 的 设 置 ， 主 体 、 客 体 进 行 统 一 安 全 标 记 ， 对 主 体 进 行 授 权 ， 配 置 可 信 验 证 策 略 等 。 8 . 1 . 5 . 4   集 中 管 控 集 中 管 控 a )   应 划 分 出 特 定 的 管 理 区 域 ， 对 分 布 在 网 络 中 的 安 全 设 备 或 安 全 组 件 进 行 管 控 ； b )   应 能 够 建 立 一 条 安 全 的 信 息 传 输 路 径 ， 对 网 络 中 的 安 全 设 备 或 安 全 组 件 进 行 管 理 ； c )   应 对 网 络 链 路 、 安 全 设 备 、 网 络 设 备 和 服 务 器 等 的 运 行 状 况 进 行 集 中 监 测 ； d )   应 对 分 散 在 各 个 设 备 上 的 审 计 数 据 进 行 收 集 汇 总 和 集 中 分 析 ， 并 保 证 审 计 记 录 的 留 存 时 间 符 合 法 律 法 规 要 求 ； e )   应 对 安 全 策 略 、 恶 意 代 码 、 补 丁 升 级 等 安 全 相 关 事 项 进 行 集 中 管 理 ； f )   应 能 对 网 络 中 发 生 的 各 类 安 全 事 件 进 行 识 别 、 报 警 和 分 析 。 主 要 的 检 查 点 包 括 ： 系 统 、 审 计 、 安 全 管 理 。 主 要 的 检 查 点 包 括 ： 系 统 、 审 计 、 安 全 管 理 。 为 何 将 这 三 部 分 放 到 一 起 来 说 ？ 从 标 准 的 要 求 项 可 以 看 出 ， 描 述 基 本 一 致 ， 只 是 针 对 三 个 岗 位 来 说 的 ， 这 里 的 三 个 岗 位 并 不 是 网 络 安 全 中 常 说 的 三 员 ， 这 里 没 有 加 入 网 络 管 理 员 ， 而 是 把 审 计 管 理 员 加 了 进 来 ， 可 以 看 出 国 标 对 审 计 的 重 视 程 度 。 系 统 管 理 员 身 份 鉴 别 （ 也 适 用 于 审 计 和 安 全 管 理 员 ） ， 说 起 来 可 以 是 大 事 也 可 以 是 小 事 ， 标 准 没 具 体 说 要 如 何 来 鉴 别 ， 按 照 对 标 准 的 理 解 来 看 ， 最 起 码 要 做 到 的 就 是 双 因 子 验 证 ， 这 是 最 基 本 的 ， 也 就 是 说 账 户 密 码 方 式 算 一 种 （ 也 可 以 像 手 机 这 种 针 对 唯 一 设 备 的 随 机 验 证 码 ） 、 堡 垒 机 算 一 种 、 4 A 认 证 授 权 算 一 种 、 指 纹 和 面 部 等 生 物 识 别 算 一 种 、 声 控 、 身 份 密 钥 （ 可 插 拔 U - K e y 或 是 卡 片 ） 算 一 种 ， 诸 如 此 类 的 选 其 中 两 种 组 合 都 可 以 。 但 是 跳 板 机 登 陆 后 再 用 管 理 员 身 份 登 录 系 统 ， 这 种 不 算 双 因 素 ， 这 是 同 一 种 鉴 别 方 式 用 了 两 次 ， 不 要 混 淆 双 因 素 的 含 义 。 系 统 管 理 员 系 统 管 理 员 的 权 限 控 制 ， 这 里 只 说 技 术 层 面 不 展 开 讲 流 程 管 理 的 内 容 。 要 求 只 允 许 特 定 的 命 令 或 操 作 界 面 来 管 理 ， 并
对 操 作 进 行 审 计 。 两 点 要 求 ， 至 于 特 定 命 令 这 条 ， 理 解 有 些 出 入 ， 也 许 适 用 一 些 定 制 化 的 自 研 系 统 ， 不 过 这 里 用 的 是 或 ， 也 就 是 说 只 要 有 后 台 登 录 界 面 供 管 理 员 登 录 ， 不 要 随 便 就 能 进 入 后 台 即 可 ， 而 且 管 理 员 所 有 操 作 都 要 记 录 ， 可 以 查 询 。 此 外 的 一 项 要 求 ， 则 是 对 于 系 统 的 一 些 关 键 性 操 作 （ 参 考 原 文 ） ， 都 要 由 系 统 管 理 员 来 操 作 ， 也 就 是 只 有 管 理 员 有 权 限 做 这 些 操 作 ， 而 且 管 理 员 一 般 只 有 一 个 账 户 ， 其 他 用 户 没 有 相 关 权 限 进 行 此 类 操 作 。 这 点 要 再 系 统 开 发 时 就 针 对 性 设 计 ， 尤 其 对 于 外 包 的 系 统 。 审 计 管 理 员 审 计 管 理 员 主 要 职 责 在 于 审 计 分 析 ， 具 体 分 析 什 么 要 根 据 企 业 实 际 情 况 ， 不 过 重 点 是 记 录 的 存 储 、 管 理 和 查 询 ， 即 日 志 留 存 和 保 护 工 作 ， 这 点 也 是 老 生 常 谈 ， 6 个 月 全 流 量 全 操 作 日 志 ， 可 查 询 ， 有 备 份 ， 有 完 整 性 保 护 ， 避 免 被 修 改 等 等 。 安 全 管 理 员 安 全 管 理 员 主 要 负 责 安 全 策 略 的 配 置 ， 参 数 设 置 ， 安 全 标 记 （ 非 强 制 要 求 ） ， 授 权 以 及 安 全 配 置 检 查 和 保 存 等 。 这 里 指 说 了 一 部 分 要 求 的 内 容 ， 实 际 中 企 业 安 全 部 门 要 管 的 事 情 很 多 。 总 之 ， 这 6 点 主 要 强 调 的 是 具 有 权 限 的 用 户 的 特 权 管 理 及 审 计 工 作 。 为 何 要 强 调 特 权 账 户 管 理 ？ 做 过 安 全 的 应 该 都 了 解 ， 黑 客 利 用 漏 洞 进 来 ， 搞 事 情 之 前 首 先 要 提 权 ， 拿 到 管 理 员 权 限 后 才 可 以 为 所 欲 为 ， 因 此 要 对 这 些 账 户 进 行 必 要 的 保 护 。 对 此 ， G a r t n e r 给 出 了 一 些 控 制 建 议 ： 1 ） 对 特 权 账 号 的 访 问 控 制 功 能 ， 包 括 共 享 账 号 和 应 急 账 号 ； 2 ） 监 控 、 记 录 和 审 计 特 权 访 问 操 作 、 命 令 和 动 作 ； 3 ） 自 动 地 对 各 种 管 理 类 、 服 务 类 和 应 用 类 账 户 的 密 码 及 其 它 凭 据 进 行 随 机 化 、 管 理 和 保 管 ； 4 ） 为 特 权 指 令 的 执 行 提 供 一 种 安 全 的 单 点 登 录 （ S S O ） 机 制 ； 5 ） 委 派 、 控 制 和 过 滤 管 理 员 所 能 执 行 的 特 权 操 作 ； 6 ） 隐 藏 应 用 和 服 务 的 账 户 ， 让 使 用 者 不 用 掌 握 这 些 账 户 实 际 的 密 码 ； 7 ） 具 备 或 者 能 够 集 成 高 可 信 认 证 方 式 ， 譬 如 集 成   M F A （ M u l t i - F a c t o r   A u t h e n t i c a t i o n ， 多 因 子 认 证 ） 。 本 控 制 点 主 要 适 用 于 甲 方 管 理 员 日 常 工 作 职 责 ， 也 涵 盖 系 统 开 发 的 研 发 部 门 或 外 包 服 务 商 ， 做 好 三 同 步 工 作 ， 设 计 阶 段 就 把 相 关 合 规 要 求 涵 盖 其 中 。 对 于 乙 方 ， 涉 及 到 产 品 的 ， 可 以 从 合 规 角 度 出 发 设 计 ， 满 足 网 安 法 三 同 步 的 要 求 ， 另 外 G a r t n e r 十 大 安 全 项 目 的 第 一 项 就 是 对 于 特 权 账 户 的 管 理 ， 同 时 涵 盖 审 计 在 内 ， 这 两 点 就 将 产 品 设 计 理 念 提 升 了 一 定 的 高 度 。 但 从 实 际 角 度 来 看 ， 更 多 的 还 是 技 术 手 段 配 合 管 理 来 做 才 有 效 果 。 集 中 管 控 集 中 管 控 针 对 安 全 设 备 和 安 全 组 件 ， 将 其 管 理 接 口 和 数 据 单 独 划 分 到 一 个 区 域 中 ， 与 生 产 网 分 离 ， 实 现 独 立 且 集 中 的 管 理 。 大 部 分 安 全 设 备 都 有 管 理 接 口 ， 其 他 功 能 接 口 不 具 备 管 理 功 能 ， 也 不 涉 及 I P 地 址 ， 这 里 要 求 就 是 将 此 类 管 理 接 口 统 一 汇 总 到 一 个 V l a n 内 （ 比 如 所 有 设 备 管 理 口 都 只 能 由 堡 垒 机 进 行 登 录 ， 堡 垒 机 单 独 划 分 在 一 个 管 理 V l a n 中 ） 。 实 际 应 用 案 例 就 是 带 外 管 理 。 带 外 网 管 是 指 通 过 专 门 的 网 管 通 道 实 现 对 网 络 的 管 理 ， 将 网 管 数 据 与 业 务 数 据 分 开 ， 为 网 管 数 据 建 立 独 立 通 道 。 在 这 个 通 道 中 ， 只 传 输 管 理 数 据 、 统 计 信 息 、 计 费 信 息 等 ， 网 管 数 据 与 业 务 数 据 分 离 ， 可 以 提 高 网 管 的 效 率 与 可 靠 性 ， 也 有 利 于 提 高 网 管 数 据 的 安 全 性 。 由 于 带 外 网 管 提 供 了 访 问 设 备 的 通 道 ， 因 此 可 以 把 通 过 网 络 访 问 设 备 （ T e l n e t 等 方 式 ） 方 式 进 行 严 格 限 制 ， 可 以 降 低 网 络 安 全 隐 患 。 比 如 限 定 特 定 的 I P 地 址 才 可 以 通 过 T e l n e t 访 问 设 备 。 大 部 分 的 访 问 均 通 过 带 外 网 管 系 统 进 行 ， 可 以 把 整 个 I T 环 境 设 备 的 访 问 统 一 到 带 外 网 管 系 统 。 与 传 统 的 设 备 管 理 各 自 为 政 不 同 ， 通 过 带 外 网 管 可 以 很 容 易 做 到 不 同 用 户 名 登 录 对 应 不 同 设 备 管 理 权 限 ， 一 个 I T   T E A M 可 以 根 据 各 个 人 员 职 责 不 同 进 行 授 权 。 了 解 了 上 述 集 中 管 控 理 念 之 后 ， 对 接 下 来 的 几 点 也 就 比 较 容 易 理 解 和 实 现 了 。 比 如 安 全 的 信 息 传 输 路 径 （ S S H 、
H T T P S 、 V P N 等 ） ； 对 链 路 、 设 备 和 服 务 器 运 行 状 况 进 行 监 控 并 能 够 告 警 （ 堡 垒 机 、 网 络 监 控 平 台 等 ） ； 设 备 上 的 审 计 （ 日 志 服 务 器 、 日 志 管 理 平 台 等 ） ， 这 里 啰 嗦 一 句 ， 不 但 要 有 策 略 配 置 ， 而 且 要 合 理 有 效 并 且 为 启 用 状 态 ； 策 略 、 恶 意 代 码 、 补 丁 升 级 集 中 管 理 （ 漏 洞 统 一 管 理 平 台 ） ， 至 少 要 包 括 所 述 的 三 者 进 行 集 中 管 控 ； 安 全 事 件 的 识 别 、 报 警 和 分 析 （ 态 势 感 知 平 台 、 I D P S 、 F W 等 ， 可 以 是 平 台 也 可 以 是 应 急 响 应 团 队 ） 。 听 起 来 都 放 到 一 起 就 是 S O C ， 但 官 方 表 示 并 不 是 建 议 厂 商 去 推 S O C 平 台 ， 这 其 中 要 求 的 每 一 项 能 做 到 独 立 的 集 中 管 控 即 可 ， 如 果 有 能 力 集 成 到 一 个 大 平 台 那 更 好 。 本 控 制 点 偏 向 日 常 安 全 运 维 ， 主 要 包 括 集 中 管 理 区 域 、 策 略 管 理 、 漏 洞 管 理 、 日 志 管 理 、 安 全 事 件 管 理 。 单 独 来 看 ， 每 项 都 有 对 应 的 产 品 。 建 议 一 步 步 来 建 设 安 全 能 力 ， 不 要 一 上 来 就 忙 着 搭 建 S O C 。 由 于 是 标 准 中 新 增 要 求 项 ， 需 要 一 些 时 间 才 会 有 比 较 完 善 的 解 决 方 案 或 产 品 。 标 准 中 提 到 的 对 于 资 产 、 漏 洞 的 集 中 管 控 ， 中 国 市 场 上 也 已 经 有 很 多 成 熟 的 解 决 方 案 能 够 完 美 契 合 其 中 的 要 求 。 * 本 文 作 者 ： 本 文 作 者 ： 默 安 科 技 宇 宸 ， 转 载 请 注 明 来 自 默 安 科 技 宇 宸 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver|手机版|小黑屋|Nmaps Club

GMT+8, 2025-1-23 13:12 , Processed in 0.380216 second(s), 30 queries .

Powered by Discuz! X3.5

© 2001-2025 Discuz! Team.

快速回复 返回顶部 返回列表