设为首页收藏本站
切换到窄版

 找回密码
 立即注册
搜索
热搜: 活动 交友 discuz
Nmaps Club»论坛 › Pentests Wiki › Wiki › 护网 › [14465] 2019-08-13_等保2.0标准个人解读（一） ...
返回列表 发新帖
查看: 0|回复: 0

[14465] 2019-08-13_等保2.0标准个人解读（一）

[复制链接]
s7ckTeam

6万

主题

-6万

回帖

-58

积分

管理员

积分
-58
发表于 5 天前 | 显示全部楼层 |阅读模式
2019-08-13_等保2.0标准个人解读（一） 等 保 2 . 0 标 准 个 人 解 读 （ 一 ） 宇 宸   F r e e B u f   2 0 1 9 - 0 8 - 1 3 引 言 引 言 从 事 安 全 合 规 工 作 多 年 ， 经 常 会 有 同 事 或 朋 友 过 来 问 我 一 些 标 准 中 的 点 ， 比 如 后 端 实 施 的 一 些 工 程 师 和 项 目 经 从 事 安 全 合 规 工 作 多 年 ， 经 常 会 有 同 事 或 朋 友 过 来 问 我 一 些 标 准 中 的 点 ， 比 如 后 端 实 施 的 一 些 工 程 师 和 项 目 经 理 比 较 关 心 的 是 测 评 中 要 求 项 的 测 评 方 法 和 测 评 点 、 如 何 给 客 户 解 释 此 项 ， 如 何 整 改 才 算 合 规 ； 也 有 前 端 销 售 理 比 较 关 心 的 是 测 评 中 要 求 项 的 测 评 方 法 和 测 评 点 、 如 何 给 客 户 解 释 此 项 ， 如 何 整 改 才 算 合 规 ； 也 有 前 端 销 售 和 售 前 ， 问 我 能 不 能 对 合 规 的 内 容 详 细 给 他 们 讲 讲 ， 最 好 结 合 产 品 和 服 务 ， 或 者 培 训 一 下 ， 他 们 关 心 的 是 如 何 和 售 前 ， 问 我 能 不 能 对 合 规 的 内 容 详 细 给 他 们 讲 讲 ， 最 好 结 合 产 品 和 服 务 ， 或 者 培 训 一 下 ， 他 们 关 心 的 是 如 何 将 合 规 的 东 西 结 合 产 品 或 服 务 灌 输 给 客 户 ， 因 为 几 年 来 国 家 对 网 络 安 全 的 要 求 越 来 越 严 格 ， 企 业 对 安 全 也 是 越 将 合 规 的 东 西 结 合 产 品 或 服 务 灌 输 给 客 户 ， 因 为 几 年 来 国 家 对 网 络 安 全 的 要 求 越 来 越 严 格 ， 企 业 对 安 全 也 是 越 来 越 重 视 ， 不 管 是 为 了 应 付 监 管 还 是 为 了 保 障 业 务 ， 安 全 合 规 可 以 说 是 企 业 安 全 的 基 线 ， 必 须 要 做 没 有 商 量 。 来 越 重 视 ， 不 管 是 为 了 应 付 监 管 还 是 为 了 保 障 业 务 ， 安 全 合 规 可 以 说 是 企 业 安 全 的 基 线 ， 必 须 要 做 没 有 商 量 。 所 以 ， 决 定 结 合 即 将 实 施 的 等 保 所 以 ， 决 定 结 合 即 将 实 施 的 等 保 2 . 0 （ 以 下 简 称 （ 以 下 简 称 “ 等 等 2 ” 或 或 “ 新 标 准 新 标 准 ” ） 标 准 的 通 用 部 分 ， 做 一 下 分 析 ， 给 出 一 些 个 ） 标 准 的 通 用 部 分 ， 做 一 下 分 析 ， 给 出 一 些 个 人 建 议 ， 以 供 前 端 和 后 端 人 员 参 考 。 人 建 议 ， 以 供 前 端 和 后 端 人 员 参 考 。 标 准 的 东 西 其 实 不 是 硬 性 规 定 ， 其 具 备 灵 活 性 ， 同 样 一 条 标 准 可 以 通 过 不 同 方 式 来 实 现 ， 完 全 可 以 结 合 企 业 自 身 环 境 特 点 来 应 对 ， 我 一 直 以 来 的 原 则 是 做 好 安 全 的 过 程 中 顺 便 将 合 规 一 起 做 掉 ， 而 不 是 为 了 应 付 检 查 而 被 动 的 去 对 标 标 准 做 合 规 。 而 且 ， 做 安 全 也 不 要 太 局 限 于 技 术 层 面 ， 管 理 其 实 更 为 重 要 ， 这 就 是 为 何 等 保 中 有 技 术 也 有 管 理 的 原 因 。 本 指 南 （ 说 指 南 其 实 有 点 过 ， 先 这 么 叫 ， 后 边 再 改 ） 适 用 对 象 包 括 ： 甲 方 企 业 I T 相 关 部 门 、 乙 方 信 息 安 全 相 关 企 业 、 第 三 方 合 规 研 究 部 门 。 说 实 话 ， 新 标 准 由 很 多 新 的 要 求 项 需 要 多 方 研 究 ， 结 合 一 些 技 术 细 节 而 后 才 能 进 行 解 读 ， 所 以 后 续 进 展 估 计 会 比 较 慢 。 本 篇 算 是 开 个 头 ， 把 之 前 安 全 管 理 中 心 的 东 西 贴 过 来 （ 不 然 内 容 太 少 了 ， 不 好 意 思 发 ） ， 各 位 也 可 以 直 接 去 看 那 篇 文 章 ： 《 等 保 2 . 0 安 全 管 理 中 心 要 求 解 读 》 （ 请 点 击 底 部 【 阅 读 原 文 】 观 看 ） 。 为 了 方 便 索 引 ， 统 一 用 一 个 账 号 更 新 。 本 着 分 享 和 讨 论 的 原 则 ， 希 望 大 家 多 提 问 题 和 建 议 ， 一 起 研 究 ， 毕 竟 新 的 东 西 需 要 大 家 一 起 来 完 善 。 后 续 会 不 定 期 更 新 ， 望 各 位 多 多 支 持 。 正 文 正 文
安 全 管 理 中 心 部 分 解 读 安 全 管 理 中 心 部 分 解 读 本 控 制 项 为 等 级 保 护 标 准 技 术 部 分 核 心 ， 名 称 虽 像 管 理 部 分 ， 但 实 则 归 为 技 术 部 分 。 本 控 制 项 主 要 包 括 系 统 管 理 、 审 计 管 理 、 安 全 管 理 和 集 中 管 控 四 个 控 制 点 ， 其 中 的 集 中 管 控 可 以 说 是 重 中 之 重 ， 主 要 都 是 围 绕 它 来 展 开 的 。 标 准 原 文 标 准 原 文 主 要 的 检 查 点 如 下 ： 系 统 、 审 计 、 安 全 管 理 为 何 将 这 三 部 分 放 到 一 起 来 讲 ？ 从 标 准 的 要 求 项 可 以 看 出 ， 描 述 上 基 本 一 致 ， 只 是 针 对 三 个 岗 位 分 别 来 说 的 。 此 处 的 三 个 岗 位 并 不 是 网 络 安 全 中 常 说 的 三 员 ， 这 里 没 有 加 入 网 络 管 理 员 ， 而 是 把 审 计 管 理 员 加 了 进 来 ， 可 以 看 出 新 标 准 对 审 计 的 重 视 程 度 。 系 统 管 理 员 身 份 鉴 别 （ 也 适 用 于 审 计 和 安 全 管 理 员 ） ， 说 起 来 可 以 是 大 事 也 可 以 是 小 事 ， 标 准 没 具 体 说 要 如 何 来 鉴 别 ， 按 照 对 标 准 的 理 解 来 看 ， 最 起 码 要 做 到 的 就 是 双 因 子 （ 或 称 双 因 素 ） 验 证 ， 这 是 最 基 本 的 ， 即 账 户 密 码 方 式 算 一 种 （ 也 可 以 像 手 机 这 种 针 对 唯 一 设 备 的 随 机 验 证 码 ） 、 堡 垒 机 算 一 种 、 4 A 认 证 授 权 算 一 种 、 指 纹 和 面 部 等 生 物 识 别 算 一 种 、 声 控 算 一 种 、 身 份 密 钥 （ 可 插 拔 U - K e y 或 是 卡 片 ） 算 一 种 ， 诸 如 此 类 的 选 其 中 两 种 组 合 。 但 是 ， 跳 板 机 登 陆 后 再 用 管 理 员 身 份 登 录 系 统 ， 这 种 不 算 双 因 子 验 证 ， 这 是 同 一 种 鉴 别 方 式 用 了 两 次 ， 不 要 混 淆 双 因 子 验 证 的 含 义 。 系 统 管 理 员 系 统 管 理 员 的 权 限 控 制 （ 这 里 只 从 技 术 层 面 来 说 ， 不 展 开 讲 流 程 管 理 的 内 容 ） ， 要 求 只 允 许 特 定 的 命 令 或 操 作 界 面 来 管 理 ， 并 对 操 作 进 行 审 计 。 两 点 要 求 ， 至 于 特 定 命 令 这 条 ， 理 解 有 些 出 入 ， 也 许 适 用 一 些 定 制 化 的 自 研 系 统 ， 不 过 ， 这 里 用 的 是 “ 或 ” ， 也 就 是 说 只 要 有 后 台 登 录 界 面 供 管 理 员 登 录 ， 不 要 随 便 就 能 进 入 后 台 即 可 ， 而 且 管 理 员 所 有 操 作 都 要 记 录 ， 可 以 查 询 。 另 外 一 项 要 求 则 是 ， 对 于 系 统 的 一 些 关 键 性 操 作 （ 参 考 原 文 ） ， 都 要 由 系 统 管 理 员 来 操 作 ， 这 就 意 味 着 只 有 管 理 员 有 权 限 做 这 些 操 作 ， 而 且 管 理 员 账 户 通 常 只 有 一 个 ， 其 他 用 户 没 有 相 应 权 限 进 行 此 类 操 作 。 这 点 在 系 统 开 发 时 就 要 针 对 性 设 计 ， 尤 其 对 于 外 包 的 系 统 。 审 计 管 理 员 审 计 管 理 员 主 要 职 责 在 于 审 计 分 析 ， 具 体 分 析 什 么 要 根 据 企 业 实 际 情 况 ， 重 点 是 记 录 的 存 储 、 管 理 和 查 询 ， 即 日 志 留 存 和 保 护 工 作 ， 这 点 也 是 老 生 常 谈 ， 6 个 月 全 流 量 全 操 作 日 志 ， 可 查 询 ， 有 备 份 ， 有 完 整 性 保 护 ， 避 免 被 修 改 等 （ 后 边 章 节 中 会 有 解 读 ） 。
安 全 管 理 员 安 全 管 理 员 主 要 负 责 安 全 策 略 的 配 置 ， 参 数 设 置 ， 安 全 标 记 （ 非 强 制 要 求 ） ， 授 权 以 及 安 全 配 置 检 查 和 保 存 等 。 这 里 只 提 了 部 分 要 求 的 内 容 ， 实 际 中 企 业 安 全 部 门 要 管 的 事 情 很 多 。 总 之 ， 集 中 管 控 的 6 点 要 求 主 要 强 调 的 是 具 有 权 限 的 用 户 的 特 权 管 理 及 审 计 工 作 。 为 何 要 强 调 特 权 账 户 管 理 ？ 做 过 安 全 的 应 该 都 了 解 ， 黑 客 利 用 漏 洞 进 来 ， 搞 事 情 之 前 要 提 权 （ 远 程 代 码 执 行 漏 洞 可 直 接 拿 到 中 间 件 管 理 权 限 的 除 外 ） ， 拿 到 管 理 员 权 限 后 才 可 以 为 所 欲 为 ， 因 此 ， 对 这 些 账 户 有 必 要 进 行 严 格 的 保 护 。 此 处 是 G a r t n e r 给 出 的 一 些 控 制 建 议 ： 1 ） 对 特 权 账 号 的 访 问 控 制 功 能 ， 包 括 共 享 账 号 和 应 急 账 号 ； 2 ） 监 控 、 记 录 和 审 计 特 权 访 问 操 作 、 命 令 和 动 作 ； 3 ） 自 动 地 对 各 种 管 理 类 、 服 务 类 和 应 用 类 账 户 的 密 码 及 其 它 凭 据 进 行 随 机 化 、 管 理 和 保 管 ； 4 ） 为 特 权 指 令 的 执 行 提 供 一 种 安 全 的 单 点 登 录 （ S S O ） 机 制 ； 5 ） 委 派 、 控 制 和 过 滤 管 理 员 所 能 执 行 的 特 权 操 作 ； 6 ） 隐 藏 应 用 和 服 务 的 账 户 ， 让 使 用 者 不 用 掌 握 这 些 账 户 实 际 的 密 码 ； 7 ） 具 备 或 者 能 够 集 成 高 可 信 认 证 方 式 ， 譬 如 集 成 M F A （ M u l t i - F a c t o r   A u t h e n t i c a t i o n ， 多 因 子 认 证 ） 。 本 控 制 点 主 要 适 用 于 甲 方 管 理 员 日 常 工 作 职 责 ， 也 涵 盖 系 统 开 发 的 研 发 部 门 或 外 包 服 务 商 ， 做 好 三 同 步 工 作 ， 设 计 阶 段 就 把 相 关 合 规 要 求 涵 盖 其 中 。 集 中 管 控 集 中 管 控 针 对 安 全 设 备 和 安 全 组 件 ， 将 其 管 理 接 口 和 数 据 单 独 划 分 到 一 个 区 域 中 ， 与 生 产 网 分 离 ， 实 现 独 立 且 集 中 的 管 理 。 大 部 分 安 全 设 备 都 具 备 管 理 接 口 ， 其 他 功 能 接 口 不 具 备 管 理 功 能 ， 也 不 涉 及 I P 地 址 ， 这 里 要 求 就 是 将 此 类 管 理 接 口 统 一 汇 总 到 一 个 V l a n 内 （ 比 如 所 有 设 备 管 理 口 都 只 能 由 堡 垒 机 进 行 登 录 ， 堡 垒 机 单 独 划 分 在 一 个 管 理 V l a n 中 ） 。 实 际 应 用 案 例 就 是 带 外 管 理 。 带 外 网 管 是 指 通 过 专 门 的 网 管 通 道 实 现 对 网 络 的 管 理 ， 将 网 管 数 据 与 业 务 数 据 分 开 ， 为 网 管 数 据 建 立 独 立 通 道 。 在 这 个 通 道 中 ， 只 传 输 管 理 数 据 、 统 计 信 息 、 计 费 信 息 等 ， 网 管 数 据 与 业 务 数 据 分 离 ， 可 以 提 高 网 管 的 效 率 与 可 靠 性 ， 也 有 利 于 提 高 网 管 数 据 的 安 全 性 。 由 于 带 外 网 管 提 供 了 访 问 设 备 的 通 道 ， 因 此 可 以 把 通 过 网 络 访 问 设 备 （ T e l n e t 等 方 式 ） 方 式 进 行 严 格 限 制 ， 可 以 降 低 网 络 安 全 隐 患 。 比 如 限 定 特 定 的 I P 地 址 才 可 以 通 过 T e l n e t 访 问 设 备 。 大 部 分 的 访 问 均 通 过 带 外 网 管 系 统 进 行 ， 可 以 把 整 个 I T 环 境 设 备 的 访 问 统 一 到 带 外 网 管 系 统 。 与 传 统 的 设 备 管 理 各 自 为 政 不 同 ， 通 过 带 外 网 管 可 以 很 容 易 做 到 不 同 用 户 名 登 录 对 应 不 同 设 备 管 理 权 限 ， 一 个 I T   T E A M 可 以 根 据 各 个 人 员 职 责 不 同 进 行 授 权 。 了 解 了 上 述 集 中 管 控 理 念 之 后 ， 对 接 下 来 的 几 点 也 就 比 较 容 易 理 解 和 实 现 了 。 比 如 安 全 的 信 息 传 输 路 径 （ S S H 、 H T T P S 、 V P N 等 ） ； 对 链 路 、 设 备 和 服 务 器 运 行 状 况 进 行 监 控 并 能 够 告 警 （ 堡 垒 机 、 网 络 监 控 平 台 等 ） ； 设 备 上 的 审 计 （ 日 志 服 务 器 、 日 志 管 理 平 台 等 ） ， 这 里 啰 嗦 一 句 ， 不 但 要 有 策 略 配 置 ， 而 且 要 合 理 有 效 并 且 为 启 用 状 态 ； 策 略 、 恶 意 代 码 、 补 丁 升 级 集 中 管 理 （ 漏 洞 统 一 管 理 平 台 ） ， 至 少 要 包 括 所 述 的 三 者 进 行 集 中 管 控 ； 安 全 事 件 的 识 别 、 报 警 和 分 析 （ 态 势 感 知 平 台 、 I D P S 、 F W 等 ， 可 以 是 平 台 也 可 以 是 应 急 响 应 团 队 ） 。 听 起 来 都 放 到 一 起 就 是 S O C ， 但 官 方 表 示 并 不 是 建 议 厂 商 去 推 S O C 平 台 ， 这 其 中 要 求 的 每 一 项 能 做 到 独 立 的 集 中 管 控 即 可 ， 如 果 有 能 力 集 成 到 一 个 大 平 台 那 更 好 。 本 控 制 点 偏 向 日 常 安 全 运 维 ， 主 要 包 括 集 中 管 理 区 域 、 策 略 管 理 、 漏 洞 管 理 、 日 志 管 理 、 安 全 事 件 管 理 。 单 独 来 看 ， 每 项 都 有 对 应 的 产 品 。 建 议 一 步 步 来 建 设 安 全 能 力 ， 不 要 一 上 来 就 忙 着 搭 建 S O C 。 由 于 是 标 准 中 新 增 要 求 项 ， 需 要 一 些 时 间 才 会 有 比 较 完 善 的 解 决 方 案 或 产 品 。 * 本 文 作 者 ： 本 文 作 者 ： 宇 宸 默 安 ， 本 文 属 宇 宸 默 安 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载
精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver|手机版|小黑屋|Nmaps Club

GMT+8, 2025-1-23 12:56 , Processed in 0.498461 second(s), 31 queries .

Powered by Discuz! X3.5

© 2001-2025 Discuz! Team.

快速回复 返回顶部 返回列表