搜索

[12217] 2018-01-09_经验分享如何做好基础安全设备运维

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2018-01-09_经验分享如何做好基础安全设备运维 经 验 分 享   |   如 何 做 好 基 础 安 全 设 备 运 维 白 河 · 愁   F r e e B u f   2 0 1 8 - 0 1 - 0 9 * 本 文 原 创 作 者 ： 白 河 · 愁 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 一 一   基 础 安 全 设 备 包 含 哪 些 ？ 基 础 安 全 设 备 包 含 哪 些 ？ 下 图 是 一 个 典 型 的 企 业 业 务 网 络 架 构 包 含 常 见 的 安 全 设 备 。 基 础 安 全 设 备 包 含 构 造 业 务 安 全 防 御 系 统 的 常 用 安 全 设 备 ， 能 够 搭 建 深 度 防 御 体 系 的 各 种 安 全 设 备 、 安 全 软 件 。 大 型 的 互 联 网 结 构 不 太 一 样 ， 主 要 为 数 据 流 量 很 大 ， 传 统 安 全 厂 家 的 设 备 很 难 满 足 需 求 ， 攻 击 检 测 和 防 护 会 自 己 开 发 ， 本 文 还 是 以 传 统 业 务 网 络 为 主 。 传 统 业 务 网 络 包 含 的 安 全 设 备 一 般 有 以 下 几 种 ： 1 . 1   检 测 告 警 类 检 测 告 警 类 网 络 入 侵 检 测 网 络 入 侵 检 测 用 于 检 测 网 络 入 侵 事 件 ， 常 见 部 署 在 核 心 交 换 上 ， 用 于 收 集 核 心 交 换 机 的 镜 像 流 量 ， 通 过 检 测 攻 击 特 征 形 成 告 警 事 件 。 网 络 流 量 分 析 网 络 流 量 分 析 镜 像 流 量 分 析 ， 通 常 也 是 连 接 到 核 心 交 换 ， 可 以 分 析 流 量 ， 可 以 回 溯 流 量 ， 遇 到 分 析 安 全 事 件 的 时 候 可 以 通 过 回 溯 流 量 分 析 攻 击 过 程 。 1 . 2   安 全 防 护 类 安 全 防 护 类
安 全 防 护 类 产 品 同 样 有 检 测 攻 击 的 能 力 ， 检 测 出 攻 击 才 能 进 行 防 护 ， 也 常 见 防 护 类 的 产 品 只 做 检 测 用 。 抗 拒 绝 服 务 产 品 部 署 在 主 链 路 上 ， 内 部 网 络 的 抗 D 设 备 可 以 处 理 低 于 出 口 带 宽 的   D D o S   流 量 ， 超 过 的 一 般 用 云 抗 D 服 务 。 防 火 墙 防 火 墙 用 于 做 网 络 边 界 区 分 ， 虽 然 下 一 代 防 火 墙 有 很 多 花 哨 的 功 能 ， 但 是 在 实 际 应 用 中 最 有 用 的 还 是 网 络 访 问 控 制 。 常 见 部 署 在 核 心 路 由 和 核 心 交 换 机 之 间 ， 或 者 在 应 用 服 务 器 和 数 据 库 服 务 器 之 间 ， 或 者 不 同 的 业 务 之 间 ， 有 边 界 隔 离 需 求 的 都 可 以 部 署 。 W A F （ （ W e b 应 用 防 火 墙 ） 应 用 防 火 墙 ） 现 在 几 乎 所 有 的 应 用 都 使 用 W e b 的 方 式 提 供 ， 相 比 较 传 统 防 火 墙 设 备 ， W e b 应 用 防 火 墙 提 供 了 应 用 层 的 防 护 能 力 ， 更 专 业 一 些 。 常 见 部 署 在 应 用 服 务 器 与 核 心 交 换 之 间 ， 或 者 核 心 交 换 与 核 心 防 火 墙 之 间 。 也 有 的 业 务 系 统 比 较 复 杂 ， W A F 已 旁 路 镜 像 流 量 的 方 式 作 为 W e b 的 入 侵 检 测 设 备 存 在 ， 只 检 测 W e b 攻 击 事 件 。 网 络 入 侵 防 御 网 络 入 侵 防 御 逻 辑 是 串 在 主 链 路 上 ， 真 用 作 防 御 功 能 的 情 况 还 是 比 较 少 ， 需 要 业 务 简 单 ， 交 互 情 况 少 的 情 况 下 。 误 报 和 漏 报 需 要 平 衡 好 。 企 业 杀 毒 软 件 企 业 杀 毒 软 件 目 前 普 遍 部 署 在 企 业 网 络 的 杀 毒 软 件 都 是 基 于   W i n d o w s   版 的 ， 使 用 统 一 管 理 ， 可 以 从 整 体 查 看 病 毒 在 组 织 网 络 中 的 感 染 情 况 。 企 业 网 策 略 比 较 保 守 ， 发 现 病 毒 只 是 告 警 ， 不 直 接 删 除 或 清 除 ， 有 可 能 导 致 系 统 文 件 出 错 。 越 来 越 多 的 组 织 使 用   L i n u x   作 为 主 要 操 作 系 统 ， 很 少 有 合 适 的 杀 毒 软 件 部 署 。 还 有 种   A P T   的 产 品 ， 杀 毒 是 其 中 的 一 个 组 件 或 模 块 。 1 . 3   监 管 评 估 类 监 管 评 估 类 漏 洞 扫 描 工 具 漏 洞 扫 描 工 具 国 内 最 常 见 的 绿 盟 的 扫 描 器 了 ， 扫 描 漏 洞 了 ， 当 然 会 出 现 漏 报 和 误 报 ， 也 需 要 安 全 运 维 人 员 有 能 力 验 证 发 现 的 漏 洞 。 配 置 核 查 工 具 配 置 核 查 工 具 实 现 统 一 的 安 全 配 置 标 准 以 便 规 范 日 常 的 安 全 配 置 操 作 ， 快 速 有 效 地 对 网 络 中 种 类 、 数 量 繁 多 的 设 备 和 软 件 进 行 安 全 配 置 检 测 ， 集 中 收 集 核 查 结 果 ， 快 速 出 报 告 。 网 站 安 全 监 控 网 站 安 全 监 控 可 以 对 网 站 漏 洞 、 网 站 内 容 、 网 站 可 用 性 监 控 的 设 备 ， 属 于 主 动 扫 描 类 的 工 具 。 漏 扫 、 配 置 检 查 、 网 站 监 控 都 是 属 于 主 动 扫 描 的 设 备 。 堡 垒 机 堡 垒 机 有 时 候 也 叫 运 维 审 计 系 统 ， 可 以 配 合   W i n d o w s   域 或 其 他 认 证 系 统 ， 对 运 维 人 员 的 操 作 进 行 审 计 。 网 络 的 访 问 控 制 做 的 好 的 话 ， 个 人 认 为 堡 垒 机 是 安 全 运 维 里 面 最 有 用 的 设 备 之 一 。 日 志 审 计 日 志 审 计 传 统 日 志 审 计 ， 后 台 使 用 关 系 型 数 据 库 的 ， 局 限 性 很 大 ， 相 当 于 各 种 日 志 数 据 处 理 后 放 到 一 个 数 据 库 中 ， 安 全 事 件 发 生 后 可 以 用 作 做 事 件 回 溯 查 询 。 数 据 量 大 了 后 表 现 就 是 查 询 速 度 很 慢 。 另 外 一 般 设 备 是 一 个 盒 子 ， 保 存 的 数 据 量 也 有 限 。
数 据 库 审 计 数 据 库 审 计 镜 像 应 用 到 数 据 库 的 流 量 ， 可 以 获 得 所 有 的 数 据 库 操 作 请 求 ， 通 过 设 定 一 定 的 规 则 也 能 检 测 针 对 数 据 库 的 攻 击 。 有 些 适 合 企 业 办 公 网 使 用 的 安 全 设 备 ， 如 上 网 行 为 管 理 、 网 络 准 入 系 统 等 不 在 这 里 介 绍 了 。 二 二   基 础 安 全 设 备 的 运 维 需 求 基 础 安 全 设 备 的 运 维 需 求 2 . 1   人 力 资 源 需 求 人 力 资 源 需 求 主 要 有 3 块 工 作 需 比 较 多 的 工 作 量 ， 一 个 是 安 全 设 备 日 志 审 计 ， 一 个 是 设 备 配 置 ， 最 后 一 个 是 配 合 其 他 部 门 做 漏 洞 扫 描 、 通 告 和 修 复 。 2 . 1 . 1   安 全 设 备 日 志 审 计 安 全 设 备 日 志 审 计 组 织 购 买 了 安 全 产 品 ， 也 在 供 应 商 的 支 持 下 部 署 了 安 全 产 品 ， 之 后 就 需 要 人 员 来 查 看 相 关 日 志 ， 一 个 入 侵 检 测 设 备 的 告 警 事 件 每 天 可 能 从 几 千 到 几 万 条 ， 就 算 粗 略 的 过 一 遍 也 不 差 不 多 需 要 一 个 小 时 ， 然 后 看 W A F 日 志 、 杀 毒 软 件 日 志 等 等 。 网 络 环 境 复 杂 、 规 模 较 大 ， 安 全 设 备 多 ， 人 工 看 日 志 都 看 不 完 。 也 可 以 依 赖 供 应 商 的 巡 检 ， 周 期 比 较 长 ， 不 同 供 应 商 只 做 自 己 产 品 的 巡 检 ， 做 出 的 报 告 可 能 作 用 不 大 （ 比 没 有 要 好 ） 。 2 . 1 . 2   设 备 配 置 工 作 设 备 配 置 工 作 举 个 防 火 墙 配 置 的 例 子 ， 某 组 织 业 务 系 统 越 来 越 多 ， 变 动 也 越 来 越 频 繁 ， 还 是 沿 用 旧 的 管 理 方 式 ， 逐 一 登 陆 防 火 墙 ， 逐 一 设 置 生 效 ， 效 率 低 ， 而 且 缺 乏 对 现 有 策 略 的 统 筹 。 另 外 配 置 防 火 墙 变 更 可 能 走 配 置 变 更 流 程 ， 一 整 套 下 来 也 需 要 花 费 大 量 的 时 间 。 2 . 1 . 3   漏 洞 扫 描 、 通 告 、 修 复 漏 洞 扫 描 、 通 告 、 修 复 漏 洞 扫 描 和 通 告 一 般 由 安 全 部 门 负 责 ， 漏 洞 修 复 则 需 要 其 他 部 门 的 配 合 ， 常 见 的 实 际 漏 洞 修 复 时 间 比 规 定 要 求 的 时 间 多 3 倍 。 2 . 2   专 业 能 力 需 求 专 业 能 力 需 求 如 果 说 普 通 的 配 置 需 要 基 础 安 全 知 识 和 I T 技 术 能 力 ， 调 整 安 全 设 备 规 则 就 需 要 专 业 些 的 能 力 支 持 了 。 I D S / I P S   修 改 规 则 需 要 了 解 网 络 攻 击 的 相 关 知 识 ， W A F   修 改 规 则 需 要 了 解   H T T P   协 议 和   W e b   渗 透 的 相 关 知 识 。 三 三   如 何 管 好 基 础 安 全 设 备 如 何 管 好 基 础 安 全 设 备 做 好 基 础 的 安 全 设 备 运 维 工 作 不 仅 是 简 单 的 修 改 配 置 ， 调 整 策 略 ， 更 多 的 是 结 合 自 己 组 织 实 际 整 体 的 业 务 网 络 环 境 ， 明 白 各 个 安 全 设 备 在 网 络 中 的 位 置 启 什 么 作 用 ， 通 过 整 体 的 考 虑 和 配 置 提 升 组 织 的 安 全 防 护 能 力 。 同 样 也 需 要 配 合 安 全 管 理 规 范 和 流 程 ， 安 全 设 备 配 置 的 每 一 次 修 改 都 留 有 审 核 、 有 记 录 ， 安 全 运 维 人 员 对 每 次 修 改 的 配 置 会 对 整 个 业 务 网 络 环 境 造 成 的 影 响 能 够 进 行 评 估 ， 做 到 心 中 有 数 。 从 工 作 职 责 说 明 上 写 清 楚 安 全 运 维 人 员 的 职 责 和 绩 效 评 估 方 法 ， 因 为 安 全 设 备 的 运 维 都 属 于 日 常 性 的 工 作 ， 可 以 做 工 作 计 划 ， 按 照 计 划 推 动 安 全 设 备 的 日 常 运 维 工 作 。 梳 理 安 全 设 备 相 关 的 制 度 流 程 ， 要 符 合 自 己 组 织 的 实 际 情 况 ， 并 充 分 于 相 关 部 门 人 员 沟 通 、 培 训 ， 使 流 程 能 够 实 际 执 行 。 结 合 运 维 、 开 发 部 门 流 程 将 与 安 全 流 程 整 合 到 一 起 。 需 要 了 解 网 络 部 门 的 提 供 的 业 务 网 络 架 构 ， 对 安 全 设 备 的 部 署 提 供 合 理 建 议 ， 按 照 功 能 和 业 务 划 分 网 段 ， 如 业 务 网 段 、 运 维 网 段 、 安 全 管 理 网 段 ， 从 网 络 上 配 置 严 格 的 访 问 控 制 ， 防 火 墙 、 堡 垒 机 的 使 用 效 果 很 依 赖 于 网 络 的 访 问 控 制 。 有 些   I P   有 全 网 访 问 权 限 的 ， 需 要 做 好 严 格 控 制 。 可 能 的 流 程 （ 可 能 需 要 配 合 运 维 ） 有 ：
服 务 器 上 线 / 下 线 流 程 设 备 配 置 变 更 流 程 V P N 账 户 / 堡 垒 机 账 户 权 限 审 批 流 程 漏 洞 修 复 流 程 日 志 分 析 、 设 备 巡 检 最 好 由 系 统 自 动 完 成 ， 有 条 件 使 用   s p u n k ， 没 条 件 使 用   E L K ， 收 集 的 所 有 安 全 设 备 日 志 使 用 安 全 事 件 关 联 规 则 处 理 ， 降 低 每 天 查 看 的 日 志 量 。 对 日 志 检 查 任 务 进 行 标 准 化 工 作 ， 尽 量 规 范 化 定 义 日 常 的 日 志 查 看 需 要 检 查 哪 些 内 容 。 检 查 内 容 可 以 从 业 务 威 胁 分 析 得 出 ， 可 以 通 过 内 部 讨 论 的 形 式 分 析 业 务 都 会 遭 受 哪 些 威 胁 ， 会 在 安 全 设 备 上 留 下 哪 些 日 志 ， 在 搜 索 分 析 日 志 ， 形 成 日 常 检 测 任 务 ， 如 果 有 自 动 化 平 台 ， 再 将 这 些 规 则 移 到 自 动 化 平 台 上 ， 关 联 分 析 规 则 后 面 再 说 。 安 全 设 备 的 规 则 调 整 可 以 依 赖 供 应 商 ， 供 应 商 的 定 期 巡 检 和 安 全 事 件 的 应 急 要 能 够 及 时 调 整 安 全 设 备 规 则 策 略 。 要 求 巡 检 报 告 或 应 急 报 告 里 包 含 对 规 则 的 调 整 建 议 。 需 要 配 置 的 防 火 墙 较 多 ， 可 以 考 虑 开 发 或 采 购 防 火 墙 管 理 系 统 ，   通 过 管 理 系 统 统 一 下 发 策 略 配 置 ，   能 根 据 输 入 内 容 ， 进 行 多 个 防 火 墙 同 时 查 询 ，   能 保 留 防 火 墙 日 志 ， 同 时 能 实 现 根 据 输 入 内 容 对 防 火 墙 防 火 墙 进 行 查 询 ， 记 录 策 略 的 访 问 频 率 ， 提 供 防 火 墙 优 化 决 策 数 据 ， 对 防 火 墙 策 略 的 使 用 提 供 统 筹 依 据 ， 如 策 略 重 复 、 策 略 合 并 、 多 余 策 略 等 。 防 火 墙 设 备 较 少 可 以 手 工 整 理 ， 不 管 什 么 方 式 ， 都 需 要 一 份 防 火 墙 的 策 略 配 置 和 说 明 文 档 。 想 要 集 中 化 配 置 所 有 安 全 设 备 可 以 考 虑 使 用 S O C 了 。 可 以 考 虑 开 发 或 采 购 配 置 管 理 系 统 ， 将 安 全 设 备 配 置 可 以 导 入 到 配 置 管 理 系 统 上 ， 每 次 更 改 配 置 也 能 做 好 记 录 。 如 果 运 维 部 门 有 类 似 的 系 统 ， 放 在 一 起 做 。 设 备 少 的 情 况 下 也 可 以 手 工 记 录 。 定 期 对 业 务 网 络 环 境 做 漏 洞 扫 描 ， 跟 业 务 部 门 、 开 发 部 门 、 运 维 部 门 确 认 漏 洞 修 复 状 态 ， 不 能 修 复 的 说 明 情 况 ， 采 取 补 偿 的 方 式 对 有 漏 洞 系 统 进 行 防 护 。 在 人 员 编 制 不 足 的 情 况 下 也 可 以 考 虑 将 这 部 分 任 务 外 包 给 安 全 公 司 来 做 。 * 本 文 原 创 作 者 ： 白 河 · 愁 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理