搜索

[13908] 2019-03-25_初入甲方的企业安全建设规划

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2019-03-25_初入甲方的企业安全建设规划 初 入 甲 方 的 企 业 安 全 建 设 规 划 原 创   L J _ M o n i c a   F r e e B u f   2 0 1 9 - 0 3 - 2 5 一 年 一 度 的 跳 槽 季 又 到 了 ， 很 多 圈 内 的 朋 友 之 前 是 在 安 全 公 司 这 样 的 乙 方 工 作 ， 随 着 年 龄 的 增 加 ， 手 速 变 慢 ， 一 年 一 度 的 跳 槽 季 又 到 了 ， 很 多 圈 内 的 朋 友 之 前 是 在 安 全 公 司 这 样 的 乙 方 工 作 ， 随 着 年 龄 的 增 加 ， 手 速 变 慢 ， 头 发 变 少 ， 身 体 感 觉 被 掏 空 。 等 下 ， 好 像 有 点 跑 题 。 那 么 言 归 正 传 ， 再 加 上 加 上 家 庭 的 压 力 ， 所 以 很 多 小 伙 伴 头 发 变 少 ， 身 体 感 觉 被 掏 空 。 等 下 ， 好 像 有 点 跑 题 。 那 么 言 归 正 传 ， 再 加 上 加 上 家 庭 的 压 力 ， 所 以 很 多 小 伙 伴 都 有 跳 槽 到 甲 方 的 想 法 。 都 有 跳 槽 到 甲 方 的 想 法 。 0 x 0 1 背 景 背 景 这 种 想 法 产 生 的 原 因 无 外 乎 以 下 几 点 ： 1 . 当 了 那 么 多 年 乙 方 ， 被 甲 方 爸 爸 虐 的 体 无 完 肤 ， 也 想 转 变 下 体 会 下 当 “ 爸 爸 ” 的 滋 味 。 2 . 进 入 甲 方 可 能 会 挣 的 比 在 乙 方 多 一 些 ， 如 果 是 热 门 行 业 或 者 新 兴 行 业 说 不 定 还 能 拿 到 一 定 得 股 权 。 3 . 逐 渐 有 了 家 庭 的 压 力 ， 希 望 能 够 有 更 多 的 时 间 陪 陪 家 人 ， 而 不 是 无 休 止 的 给 客 户 加 班 做 项 目 。 那 从 乙 方 到 甲 方 ， 虽 说 都 是 干 安 全 的 工 作 ， 但 是 其 实 关 注 的 重 点 是 不 一 样 的 ， 有 的 甚 至 在 面 试 的 时 候 碰 壁 ， 有 的 勉 强 面 试 通 过 ， 可 是 初 入 甲 方 ， 开 始 新 工 作 后 也 不 适 应 ， 也 有 的 伙 伴 所 在 公 司 安 全 就 一 人 ， 只 要 是 跟 安 全 相 关 甚 至 不 想 关
的 工 作 都 必 须 干 。 那 么 甲 方 安 全 到 底 怎 么 开 展 ？ 应 该 做 些 什 么 工 作 呢 ？ 首 先 ， 先 确 定 甲 方 企 业 安 全 建 设 的 目 标 。 甲 方 企 业 安 全 建 设 的 目 标 就 是 要 实 现 业 务 的 整 体 安 全 ， 赋 能 业 务 产 线 ， 将 安 全 从 传 统 的 成 本 中 心 转 变 成 业 务 中 心 （ 部 门 ） ， 使 安 全 工 作 可 管 、 可 控 、 可 视 ， 最 大 化 的 保 证 业 务 运 行 。 围 绕 这 个 目 标 开 展 以 下 工 作 。 0 x 0 2 企 业 安 全 建 设 的 三 方 面 企 业 安 全 建 设 的 三 方 面 围 绕 企 业 安 全 建 设 的 目 标 ， 应 该 从 技 术 、 管 理 、 合 规 三 个 大 的 方 面 进 行 工 作 开 展 。 一 、 安 全 技 术 层 面 ： 物 理 安 全 、 网 络 安 全 、 主 机 安 全 （ 服 务 器 和 终 端 ） 、 应 用 安 全 、 数 据 安 全 （ 大 数 据 安 全 ） 、 云 安 全 二 、 安 全 管 理 层 面 ： 安 全 管 理 机 构 、 安 全 管 理 制 度 、 人 员 安 全 管 理 、 系 统 建 设 安 全 管 理 、 系 统 运 维 安 全 管 理 三 、 安 全 合 规 层 面 ： 信 息 安 全 等 级 保 护 、 G D P R 、 I S O / I E C 2 7 0 0 1 、 B C M S 、 P C I - D S S 等 。 通 过 对 安 全 技 术 层 面 的 建 设 ， 可 以 确 保 企 业 线 上 业 务 的 整 体 技 术 防 护 能 力 达 到 一 个 新 的 高 度 ， 形 成 纵 深 防 御 技 术 架 构 ； 通 过 对 安 全 管 理 层 面 的 建 设 ， 可 以 形 成 成 熟 的 安 全 管 理 体 系 ， 使 成 功 经 验 变 得 可 复 制 ； 通 过 对 安 全 合 规 层 面 的 建 设 ， 既 可 以 符 合 国 家 层 面 或 行 业 层 面 的 安 全 要 求 也 可 以 检 查 自 身 是 否 存 在 安 全 风 险 和 短 板 。 三 者 结 合 ， 相 辅 相 成 ， 共 同 组 成 了 整 体 企 业 安 全 体 系 ， 使 得 企 业 在 安 全 方 面 能 够 实 现 风 险 看 得 见 、 事 件 管 得 住 、 管 理 落 了 地 。 0 x 0 3 企 业 安 全 建 设 的 阶 段 企 业 安 全 建 设 的 阶 段 企 业 如 果 在 安 全 方 面 基 本 是 空 白 的 话 ， 那 么 可 以 按 阶 段 、 分 步 骤 有 序 的 进 行 ， 循 循 渐 进 ， 避 免 眉 毛 胡 子 一 把 抓 ， 到 头 来 什 么 也 做 不 好 。 针 对 安 全 工 作 开 展 ， 我 总 结 了 以 下 三 个 阶 段 。
一 、 “ 救 火 ” 阶 段 此 阶 段 重 点 关 注 外 部 安 全 威 胁 、 关 注 网 络 攻 击 、 资 产 识 别 、 入 侵 、 漏 洞 、 病 毒 、 安 全 事 件 的 处 置 和 应 急 响 应 。 对 于 中 小 型 企 业 或 者 安 全 工 作 刚 起 步 的 企 业 ， 第 一 步 工 作 是 要 做 好 外 部 网 络 攻 击 的 防 护 ， 因 为 此 时 外 部 威 胁 对 企 业 造 成 的 损 害 远 大 于 内 部 或 其 他 方 面 造 成 的 损 害 。 此 阶 段 要 以 信 息 系 统 资 产 为 基 础 开 展 如 下 工 作 ： Ø     发 现 识 别 所 有 资 产 ， 对 资 产 进 行 分 类 梳 理 ， 查 找 脆 弱 点 ， 降 低 风 险 ， 做 到 资 产 可 控 、 风 险 可 视 。 Ø     购 买 或 采 用 开 源 安 全 设 备 如 防 火 墙 、 W A F 、 I D S / I P S 、 防 病 毒 、 V P N 等 进 行 网 络 、 主 机 和 应 用 层 面 的 安 全 加 固 ， 提 升 防 护 的 基 线 水 平 。 Ø     进 行 基 线 配 置 核 查 和 加 固 ， 如 口 令 口 令 复 杂 度 和 生 存 周 期 核 查 加 固 、 访 问 控 制 策 略 （ A C L 、 文 件 和 目 录 的 权 限 、 账 户 权 限 ） 核 查 和 加 固 、 端 口 开 放 核 查 和 加 固 、 系 统 版 本 核 查 和 升 级 等 。 Ø     开 展 渗 透 测 试 ， 分 为 外 部 互 联 网 访 问 节 点 、 内 网 办 公 节 点 和 业 务 生 产 网 节 点 ， 发 现 存 在 的 脆 弱 点 ， 有 针 对 性 地 进 行 加 固 。 二 、 稳 定 阶 段 ： 此 阶 段 重 点 关 注 内 部 安 全 和 数 据 安 全 ， 同 时 不 断 更 新 完 善 外 部 安 全 。 包 括 终 端 安 全 、 上 网 行 为 管 理 、 数 据 安 全 各 生 命 周 期 、 安 全 审 计 、 S D L C 、 攻 防 演 练 平 台 （ 红 蓝 军 对 抗 ） 、 应 急 演 练 等 。
当 第 一 阶 段 取 得 阶 段 性 成 果 后 ， 企 业 业 务 系 统 基 本 能 够 安 全 地 运 行 ， 抵 御 大 部 分 恶 意 代 码 或 网 络 攻 击 。 此 时 ， 我 们 需 要 将 工 作 重 心 由 外 部 安 全 威 胁 防 护 转 移 到 内 部 安 全 和 数 据 安 全 层 面 。 俗 话 说 ： “ 家 贼 难 防 ” ， 如 果 出 现 “ 内 鬼 ” ， 那 么 一 切 防 护 措 施 就 形 同 虚 设 ， 而 且 会 造 成 严 重 危 害 。 同 时 ， 不 断 完 善 第 一 阶 段 的 外 部 安 全 防 护 工 作 ， 形 成 闭 环 。 1 . 部 署 终 端 安 全 管 控 和 上 网 行 为 管 控 系 统 ， 针 对 不 同 的 业 务 部 门 或 岗 位 职 责 设 置 设 置 不 同 的 安 全 策 略 ， 尤 其 是 掌 握 高 密 级 数 据 或 核 心 资 料 的 人 员 （ 如 财 务 、 高 管 、 运 维 、 人 力 、 开 发 等 ） 。 2 . 采 用 网 络 准 入 和 域 控 对 接 入 企 业 内 部 网 络 进 行 限 制 ， 防 止 非 法 人 员 非 法 接 入 企 业 内 网 进 行 渗 透 和 数 据 盗 取 。 3 . 对 数 据 各 生 命 周 期 （ 数 据 采 集 、 数 据 传 输 、 数 据 处 理 、 数 据 分 析 、 数 据 共 享 、 数 据 销 毁 ） 阶 段 进 行 安 全 防 护 ， 开 展 S D L C 活 动 ， 保 证 数 据 安 全 。 4 . 对 整 体 网 络 架 构 和 业 务 系 统 及 数 据 系 统 进 行 优 化 ， 设 置 冗 余 架 构 和 备 份 容 灾 系 统 ， 包 括 ： 电 力 、 网 络 线 路 、 服 务 器 、 应 用 系 统 、 数 据 备 份 。 5 . 考 虑 安 全 审 计 功 能 ， 开 启 设 备 或 系 统 本 身 的 审 计 功 能 以 及 部 署 专 门 的 审 计 设 备 ， 对 进 出 网 络 的 流 量 和 行 为 进 行 审 计 ， 保 证 发 生 安 全 事 件 后 能 够 溯 源 追 踪 ， 同 时 为 下 一 阶 段 做 态 势 感 知 、 威 胁 情 报 和 大 数 据 分 析 提 供 基 础 数 据 。 6 . 关 注 安 全 动 态 ， 特 别 是 已 公 布 的 漏 洞 、 病 毒 预 警 等 信 息 ， 进 行 验 证 和 复 盘 ， 同 时 对 标 企 业 自 身 进 行 检 查 和 防 护 。 7 .   建 立 攻 防 演 练 平 台 ， 开 展 红 蓝 对 抗 。 目 的 是 提 高 内 部 人 员 安 全 技 术 能 力 的 同 时 也 提 高 业 务 系 统 的 安 全 性 ， 培 养 人 员 和 发 现 安 全 风 险 一 举 两 得 。 8 .   制 定 应 急 预 案 ， 并 定 期 进 行 应 急 演 练 ， 包 括 模 拟 实 际 业 务 中 断 和 沙 盘 推 演 或 桌 面 演 练 。 三 、 提 升 阶 段 ： 此 阶 段 重 点 是 精 细 化 和 可 视 化 的 安 全 运 营 。 基 于 前 两 个 阶 段 的 安 全 建 设 和 能 力 提 升 ， 实 现 安 全 业 务 工 作 的 常 态 化 和 可 视 化 。 包 括 ： 构 建 可 视 化 的 态 势 感 知 平 台 、 I S O C 、 S R C （ 安 全 应 急 响 应 中 心 ） 、 威 胁 情 报 库 、 自 研 安 全 系 统 （ W A F 、 完 整 性 检 测 及 防 篡 改 、 堡 垒 机 、 资 产 管 理 、 漏 洞 扫 描 平 台 等 ） 、 安 全 比 赛 、 安 全 教 育 培 训 、 合 规 等 。
前 两 个 阶 段 将 外 部 安 全 和 内 部 安 全 进 行 了 整 体 建 设 ， 安 全 能 力 水 平 基 本 上 达 到 了 优 秀 水 平 ， 那 么 为 何 还 要 进 行 这 个 阶 段 呢 ？ 这 个 阶 段 就 是 提 升 和 拔 高 的 阶 段 ， 就 是 要 将 安 全 能 力 进 行 聚 合 并 向 外 输 出 ， 将 安 全 这 个 传 统 的 “ 成 本 中 心 ” 向 “ 业 务 中 心 ” 进 行 转 变 。 同 时 ， 实 现 安 全 的 终 极 目 标 ： 安 全 可 视 化 和 安 全 工 作 日 常 化 。 1 .   利 用 前 两 阶 段 的 日 志 和 审 计 信 息 、 告 警 信 息 、 运 行 信 息 、 收 集 的 漏 洞 、 病 毒 信 息 、 设 备 的 运 行 信 息 等 构 建 企 业 自 身 的 安 全 管 理 系 统 （ S O C ） 和 态 势 感 知 系 统 以 及 威 胁 情 报 系 统 ， 并 将 结 果 再 次 输 入 到 企 业 安 全 建 设 发 展 工 作 中 去 ， 形 成 良 性 循 环 。 2 . 组 建 安 全 应 急 响 应 中 心 （ S R C ） ， 对 内 部 和 外 部 进 行 开 放 ， 以 获 得 更 多 的 安 全 情 报 和 安 全 体 检 ， 发 现 业 务 更 多 的 安 全 风 险 ， 丰 富 自 身 的 态 势 和 威 胁 情 报 系 统 。 3 . 开 展 自 行 研 发 安 全 系 统 工 作 ， 这 个 时 候 为 了 更 大 程 度 提 高 安 全 防 护 水 平 ， 需 要 针 对 具 体 的 业 务 系 统 自 行 研 发 有 针 对 性 的 安 全 防 护 系 统 ， 加 固 业 务 安 全 。 比 如 自 行 开 发 W A F 、 防 篡 改 、 堡 垒 机 、 资 产 管 理 和 漏 扫 系 统 。 4 . 主 办 或 承 办 安 全 比 赛 ， 开 展 安 全 培 训 工 作 ， 提 升 知 名 度 吸 引 更 多 的 安 全 人 才 ， 同 时 将 安 全 能 力 向 外 输 出 ， 获 得 经 济 收 益 。 5 . 开 展 各 种 国 家 或 行 业 层 面 的 安 全 合 规 工 作 ， 比 如 等 保 、 G D P R 、 P C I - D S S 等 ， 确 保 符 合 法 律 法 规 要 求 。 0 x 0 4 安 全 技 术 安 全 技 术 安 全 技 术 是 企 业 安 全 建 设 的 基 石 ， 只 有 将 安 全 技 术 的 各 个 方 面 都 覆 盖 到 ， 才 能 保 证 不 会 出 现 业 务 安 全 短 板 。
物 理 安 全 ： 物 理 访 问 控 制 、 防 雷 、 防 潮 防 水 、 防 静 电 、 防 火 、 温 湿 度 控 制 、 电 磁 干 扰 （ 电 磁 屏 蔽 ） 、 电 力 供 应 、 物 理 防 盗 防 破 坏 、 监 控 等 。 物 理 安 全 可 以 说 是 所 有 业 务 系 统 安 全 的 支 撑 ， 如 果 在 物 理 层 面 发 生 安 全 问 题 ， 那 将 是 将 是 直 接 性 或 者 毁 灭 性 的 打 击 。 物 理 安 全 基 本 上 说 的 就 是 机 房 或 数 据 中 心 的 物 理 层 面 的 安 全 ， 尤 其 是 防 潮 防 水 和 防 火 方 面 ， 因 为 之 前 做 项 目 见 识 了 太 多 的 机 房 被 水 侵 蚀 和 被 火 侵 蚀 的 案 例 ， 直 接 造 成 了 大 量 的 经 济 损 失 ， 甚 至 是 刑 事 责 任 。 其 他 方 面 参 照 机 房 建 设 标 准 严 格 执 行 ， 并 落 实 到 位 。 网 络 安 全 ： 链 路 冗 余 、 带 宽 和 设 备 性 能 、 系 统 版 本 升 级 、 C D N 、 高 防 、 流 量 清 洗 、 安 全 基 线 配 置 、 A C L 规 则 细 化 、 I D S / I P S 、 W A F 、 审 计 （ 网 络 审 计 、 数 据 库 审 计 ） 、 边 界 安 全 、 远 程 访 问 加 密 、 资 源 监 控 等 。 网 络 作 为 业 务 系 统 运 行 的 桥 梁 和 通 道 ， 其 安 全 的 重 要 性 不 言 而 喻 。 虽 然 随 着 安 全 设 备 的 部 署 及 安 全 防 护 水 平 的 提 高 ， 传 统 的 网 络 攻 击 变 得 门 槛 更 高 ， 但 是 安 全 攻 防 永 远 是 进 行 互 相 博 弈 的 ， 不 能 放 松 。 在 网 络 安 全 层 面 需 要 从 从 可 用 性 、 完 整 性 、 保 密 性 三 方 面 进 行 建 设 。 可 用 性 ： 设 置 冗 余 链 路 ， 保 证 业 务 不 因 运 营 商 的 事 故 而 中 断 ； 保 证 带 宽 和 网 络 设 备 的 吞 吐 量 能 够 满 足 业 务 高 峰 需 要 ， 避 免 出 现 网 络 拥 堵 和 瘫 痪 的 情 况 。 完 整 性 ： 设 置 详 细 的 A C L 、 配 置 I D S / I P S 、 w a f 、 审 计 等 设 备 ， 保 障 数 据 在 网 络 中 不 被 非 法 篡 改 。 保 密 性 ： 提 供 网 络 加 密 设 备 如 V P N 或 加 密 机 等 ， 确 保 在 网 络 传 输 过 程 中 对 数 据 进 行 加 密 ， 不 被 非 法 窃 取 。 主 机 安 全 ： 身 份 鉴 别 和 认 证 加 强 （ 堡 垒 机 和 多 因 子 鉴 别 ） 、 账 号 权 限 控 制 、 文 件 权 限 分 配 、 安 全 审 计 、 冗 余 备 份 、 防 病 毒 、 资 源 监 控 限 制 、 远 程 访 问 限 制 、 端 口 和 服 务 关 闭 、 完 整 性 和 入 侵 检 测 、 系 统 版 升 级 、 终 端 安 全 （ 准 入 、 安 全 管 理 、 D L P ） 等 。 主 机 安 全 方 面 ， 做 好 自 身 安 全 基 线 核 查 和 自 身 加 固 ， 为 业 务 运 行 提 供 高 效 、 安 全 、 稳 定 的 计 算 环 境 和 存 储 环 境 。 应 用 安 全 ： 基 于 w e b 的 安 全 包 括 防 s q l 注 入 、 x s s 攻 击 防 御 、 C S R F 及 S S R F 攻 击 防 御 、 文 件 上 传 、 文 件 包 含 防 护 、 越 权 防 护 、 逻 辑 漏 洞 防 护 、 敏 感 信 息 泄 露 防 护 等 。 基 于 A P P 的 安 全 包 括 ： 数 据 传 输 加 密 、 代 码 混 淆 、 加 壳 、 完 整 性 校 验 、 身 份 认 证 等 。 在 应 用 层 面 ， 建 议 开 展 S D L 工 作 ， 从 系 统 生 命 周 期 全 面 考 虑 安 全 。 同 时 ， 对 应 用 系 统 采 用 代 码 审 计 和 安 全 测 试 两 方 面 ， 最 大 化 发 现 各 种 安 全 漏 洞 。 针 对 O W A S P   T o p   1 0 漏 洞 和 常 见 的 其 他 漏 洞 检 测 和 防 护 这 里 不 一 一 细 述 ， 以 后 可 以 做 个 专 题 。 数 据 安 全 ： 遵 循 D S M M 涉 及 数 据 采 集 安 全 、 数 据 传 输 安 全 、 数 据 存 储 安 全 、 数 据 分 析 安 全 、 数 据 共 享 安 全 、 数 据 销 毁 安 全 、 数 据 备 份 恢 复 安 全 等 。 数 据 安 全 遵 照 数 据 安 全 生 命 周 期 安 全 开 展 建 设 工 作 ， 保 证 从 数 据 产 生 到 销 毁 整 个 链 条 的 安 全 ， 不 放 过 任 何 一 个 环 节 。 0 x 0 5 安 全 管 理 安 全 管 理 安 全 管 理 架 构 ： 设 置 网 络 安 全 委 员 会 （ 领 导 牵 头 等 ） 、 汇 报 机 制 、 安 全 管 理 机 构 的 支 持 等 。 安 全 管 理 制 度 ： 制 定 各 种 安 全 管 理 制 度 和 奖 惩 措 施 、 构 建 安 全 体 系 。 人 员 安 全 管 理 ： 从 入 职 到 离 职 的 安 全 意 识 教 育 、 安 全 技 能 普 及 和 提 升 、 安 全 制 度 执 行 和 考 核 。 系 统 建 设 安 全 管 理 ： 系 统 建 设 工 程 安 全 管 理 （ 安 全 设 计 架 构 、 安 全 模 型 建 立 和 评 估 、 安 全 编 码 、 安 全 测 试 等 ） 生 命 周 期 的 安 全 管 理 。 系 统 运 维 安 全 管 理 ： 上 线 后 系 统 运 维 的 安 全 管 理 从 网 络 、 主 机 、 应 用 和 数 据 的 安 全 防 护 来 执 行 安 全 制 度 和 要 求 。
俗 话 说 ： “ 安 全 是 三 分 技 术 ， 七 分 管 理 ” ， 可 见 安 全 管 理 的 重 要 性 ， 对 于 安 全 管 理 机 构 、 人 员 安 全 、 安 全 管 理 制 度 、 安 全 建 设 和 安 全 运 维 体 系 和 制 度 的 建 立 ， 可 以 参 照 I S O / I E C 2 7 0 0 1 等 要 求 。 但 是 安 全 管 理 最 重 要 的 不 是 制 定 许 多 安 全 制 度 ， 然 后 束 之 高 阁 ， 而 是 要 能 够 有 效 的 落 地 和 执 行 。 以 上 就 是 我 的 一 点 关 于 企 业 安 全 建 设 的 看 法 和 总 结 ， 或 多 或 少 会 有 不 足 的 地 方 ， 只 要 有 一 点 或 几 点 能 够 对 大 家 带 来 作 用 ， 就 不 白 费 我 亲 手 码 这 么 多 字 。 欢 迎 各 位 多 多 指 出 不 足 之 处 并 和 我 进 行 交 流 ， 一 起 提 高 ， 一 起 进 步 。 * 本 文 原 创 作 者 ： 本 文 原 创 作 者 ： L J _ M o n i c a ， 本 文 属 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理