搜索

[14733] 2019-10-23_安全基线，让合规更直观

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2019-10-23_安全基线，让合规更直观 安 全 基 线 ， 让 合 规 更 直 观 c i h a c k   F r e e B u f   2 0 1 9 - 1 0 - 2 3 1 0 月 月 7 日 ， 爱 尔 兰 数 据 保 护 委 员 会 （ 日 ， 爱 尔 兰 数 据 保 护 委 员 会 （ D a t a   P r o t e c t i o n   C o m m i s s i o n ） 的 一 名 发 言 人 周 一 表 示 ， 该 机 构 已 经 结 束 了 ） 的 一 名 发 言 人 周 一 表 示 ， 该 机 构 已 经 结 束 了 针 对 针 对 F a c e b o o k 旗 下 旗 下 W h a t s A p p 和 和 T w i t t e r 可 能 违 反 欧 盟 数 据 隐 私 规 定 的 调 查 。 可 能 违 反 欧 盟 数 据 隐 私 规 定 的 调 查 。 该 机 构 通 信 部 主 管 格 雷 厄 姆 • 多 伊 尔 （ G r a h a m   D o y l e ） 表 示 ， 调 查 现 在 将 进 入 决 策 阶 段 。 在 下 一 阶 段 ， 爱 尔 兰 首 席 数 据 监 管 官 员 海 伦 · 迪 克 森 （ H e l e n   D i x o n ） 将 发 布 决 定 草 案 ， 预 计 将 在 年 底 前 公 布 。 这 将 是 自 2 0 1 8 年 5 月 欧 盟 的 《 一 般 数 据 保 护 条 例 》 （ G D P R ） 正 式 生 效 以 来 ， 爱 尔 兰 首 次 做 出 与 美 国 跨 国 公 司 有 关 的 决 定 。 随 着 企 业 国 际 化 发 展 ， 信 息 安 全 合 规 管 理 将 成 为 常 态 化 ， 所 有 企 事 业 单 位 网 络 安 全 建 设 都 需 要 满 足 来 自 于 国 家 或 监 管 单 位 的 “ 安 全 标 准 ” ， 如 等 保 2 . 0 、 C I S 安 全 标 准 、 G D P R 等 等 。 “ 安 全 标 准 ” ， 还 有 一 个 叫 法 就 是 “ 安 全 基 线 ” 。 字 典 上 对 “ 基 线 ” 的 解 释 是 ： 一 种 在 测 量 、 计 算 或 定 位 中 的 基 本 参 照 ， 如 海 岸 基 线 ， 是 水 位 到 达 的 水 位 线 。 因 此 ， 可 以 认 为 安 全 基 线 就 是 最 低 的 安 全 要 求 。 一 、 无 基 线 ， 不 安 全 一 、 无 基 线 ， 不 安 全 安 全 基 线 是 一 个 信 息 系 统 的 最 小 安 全 保 证 ,   即 该 信 息 系 统 最 基 本 需 要 满 足 的 安 全 要 求 。 信 息 系 统 安 全 往 往 需 要 在 安 全 付 出 成 本 与 所 能 够 承 受 的 安 全 风 险 之 间 进 行 平 衡 ,   而 安 全 基 线 正 是 这 个 平 衡 的 合 理 的 分 界 线 。 不 满 足 系 统 最 基 本 的 安 全 需 求 ,   也 就 无 法 承 受 由 此 带 来 的 安 全 风 险 ,   而 非 基 本 安 全 需 求 的 满 足 同 样 会 带 来 超 额 安 全 成 本 的 付 出 ,   所 以 构 造 信 息 系 统 安 全 基 线 己 经 成 为 系 统 安 全 工 程 的 首 要 步 骤 ,   同 时 也 是 进 行 安 全 评 估 、 解 决 信 息 系 统 安 全 性 问 题 的 先 决 条 件 。 安 全 基 线 的 意 义 在 于 为 达 到 最 基 本 的 防 护 要 求 而 制 定 的 一 系 列 基 准 ， 在 金 融 、 运 营 商 、 互 联 网 等 行 业 应 用 范 围 非 常 广 泛 。 基 本 上 可 以 说 ， 任 何 安 全 检 查 都 是 围 绕 不 同 安 全 基 线 展 开 。 通 过 自 查 、 自 加 固 到 迎 接 有 关 部 门 的 统 一 抽 检 ， 确 实 可 以 帮 助 企 业 认 清 自 身 风 险 现 状 和 漏 洞 隐 患 。 二 、 安 全 基 线 模 型 二 、 安 全 基 线 模 型 基 线 安 全 模 型 以 业 务 系 统 为 核 心 ， 分 为 业 务 层 、 功 能 架 构 层 、 系 统 实 现 层 三 层 架 构 ： 1 . 第 一 层 是 业 务 层 ， 这 个 层 面 中 主 要 是 根 据 不 同 业 务 系 统 的 特 性 ， 定 义 不 同 安 全 防 护 的 要 求 ， 是 一 个 比 较 宏 观 的 要 求 。 2 . 第 二 层 是 功 能 架 构 层 ， 将 业 务 系 统 分 解 为 相 对 应 的 应 用 系 统 、 数 据 库 、 操 作 系 统 、 网 络 设 备 、 安 全 设 备 等 不 同 的 设 备 和 系 统 模 块 ， 这 些 模 块 针 对 业 务 层 定 义 的 安 全 防 护 要 求 细 化 为 此 层 不 同 模 块 应 该 具 备 的 要 求 。 3 . 第 三 层 是 系 统 实 现 层 ， 将 第 二 层 模 块 根 据 业 务 系 统 的 特 性 进 一 步 分 解 ， 如 将 操 作 系 统 可 分 解 为 W i n d o w s 、 S o l a r i s 等 系 统 模 块 ， 网 络 设 备 分 解 为 华 为 路 由 器 、 C i s c o 路 由 器 等 系 统 模 块 … … 这 些 模 块 中 又 具 体 的 把 第 二 层 的 安 全 防 护 要 求 细 化 到 可 执 行 和 实 现 的 要 求 ， 称 为 W i n d o w s 安 全 基 线 、 路 由 器 安 全 基 线 等 。 三 、 安 全 基 线 的 内 容 三 、 安 全 基 线 的 内 容 根 据 业 界 通 行 的 一 些 安 全 风 险 评 估 方 法 及 运 营 商 日 常 安 全 维 护 经 验 ， 我 们 将 安 全 基 线 的 内 容 分 为 三 个 方 面 ： 1 ） 系 统 存 在 的 安 全 漏 洞 。 2 ） 系 统 配 置 的 脆 弱 性 。 3 ） 系 统 状 态 的 检 查 。 业 务 系 统 的 安 全 基 线 由 以 上 三 方 面 必 须 满 足 的 最 小 要 求 组 成 。 总 体 来 说 ， 安 全 基 线 的 三 个 组 成 部 分 分 别 为 ： 1 . 漏 洞 信 息 ： 漏 洞 通 常 是 由 于 软 件 或 协 议 等 系 统 自 身 存 在 缺 陷 引 起 的 安 全 风 险 ， 一 般 包 括 了 登 录 漏 洞 、 拒 绝 服 务 漏 洞 、 缓 冲 区 溢 出 、 信 息 泄 漏 、 蠕 虫 后 门 、 意 外 情 况 处 置 错 误 等 ， 反 映 了 系 统 自 身 的 安 全 。
2 .   安 全 配 置 ： 通 常 都 是 由 于 人 为 的 疏 忽 造 成 ， 主 要 包 括 了 账 号 、 口 令 、 授 权 、 日 志 、 I P 通 信 等 方 面 内 容 ， 反 映 了 系 统 自 身 的 安 全 脆 弱 性 。 在 安 全 配 置 基 线 方 面 ， 企 业 可 下 发 操 作 系 统 安 全 配 置 规 范 、 路 由 器 安 全 配 置 规 范 、 数 据 库 安 全 配 置 规 范 等 一 系 列 规 范 ， 因 为 系 统 初 始 安 全 配 置 基 线 可 以 采 用 集 体 下 发 的 标 准 。 3 . 系 统 重 要 状 态 ： 包 含 系 统 端 口 状 态 、 进 程 、 账 号 以 及 重 要 文 件 变 化 的 监 控 。 这 些 内 容 反 映 了 系 统 当 前 所 处 环 境 的 安 全 状 况 ， 有 助 于 我 们 了 解 业 务 系 统 运 行 的 动 态 情 况 。 由 于 系 统 状 态 基 线 随 着 业 务 应 用 不 同 而 不 同 ， 没 有 标 准 模 板 可 借 鉴 。 我 们 通 过 对 系 统 的 状 态 信 息 进 行 一 个 快 照 ， 对 非 标 准 的 进 程 端 口 、 关 键 文 件 M D 5 校 验 值 等 信 息 确 认 后 作 为 初 始 的 系 统 状 态 安 全 基 线 。 业 务 系 统 的 安 全 基 线 建 立 起 来 后 ， 可 以 形 成 针 对 不 同 系 统 的 详 细 漏 洞 要 求 和 检 查 项 （ C h e c k l i s t ） ， 为 标 准 化 和 自 动 化 的 技 术 安 全 操 作 提 供 可 操 作 和 可 执 行 的 标 准 。 四 、 企 业 建 立 安 全 基 线 步 骤 四 、 企 业 建 立 安 全 基 线 步 骤 安 全 基 线 的 建 立 是 以 对 业 务 系 统 的 安 全 评 估 和 基 线 梳 理 基 础 上 的 。 1 . 建 立 基 线 配 置 管 理 规 划 建 立 基 线 配 置 管 理 规 划 在 了 解 组 织 现 有 资 产 情 况 （ 负 责 人 是 谁 ？ 现 在 运 行 的 操 作 系 统 是 什 么 版 本 ， 支 持 系 统 是 什 么 版 本 ？ 供 应 商 是 谁 ？ 是 否 还 有 开 发 或 外 包 开 发 支 持 等 ） 。 同 业 务 、 开 发 、 运 维 一 起 讨 论 制 定 合 理 的 版 本 统 一 化 建 议 ， 对 统 一 化 的 时 间 达 成 一 致 的 共 识 ， 并 寻 求 最 高 管 理 层 的 支 持 。 实 施 情 况 和 实 施 效 果 跟 绩 效 关 联 ， 明 确 基 线 的 订 制 、 实 施 、 评 审 责 任 ， 有 检 查 手 段 能 够 确 认 安 全 基 线 未 能 成 功 部 署 的 原 因 ， 有 奖 惩 措 施 会 提 高 基 线 落 实 的 效 果 。 2 . 定 制 基 础 操 作 系 统 镜 像 定 制 基 础 操 作 系 统 镜 像 服 务 器 作 为 最 重 要 网 络 资 产 ， 其 安 全 检 查 也 就 成 为 了 重 中 之 重 。 企 业 一 般 会 采 取 全 方 位 的 应 对 措 施 ， 包 括 发 布 相 关 的 安 全 基 线 规 范 ， 用 以 构 建 最 基 本 的 安 全 防 范 壁 垒 与 手 段 。 主 机 安 全 基 线 是 指 为 满 足 安 全 规 范 要 求 ， 服 务 器 安 全 配 置 必 需 达 到 的 标 准 ， 一 般 通 过 检 查 各 安 全 配 置 参 数 是 否 符 合 标 准 来 度 量 。 以 W i n d o w s 服 务 器 为 例 ， 可 以 配 置 包 括 账 号 、 口 令 、 授 权 、 补 丁 、 防 护 软 件 、 防 病 毒 软 件 、 日 志 安 全 要 求 、 启 动 项 、 网 络 访 问 等 方 面 内 容 ， 这 些 安 全 配 置 直 接 反 映 了 系 统 自 身 的 安 全 脆 弱 性 。 基 础 镜 像 包 括 选 择 那 个 版 本 的 操 作 系 统 、 如 何 进 行 分 区 ， 如 何 最 小 化 安 装 ， 如 何 部 署 必 须 的 工 具 软 件 （ 如 杀 毒 ， 主 机 入 侵 检 测 、 运 维 系 统 A g e n t 等 ） ， 统 一 做 好 的 基 础 操 作 系 统 镜 像 分 发 给 开 发 作 为 基 础 的 定 制 开 发 环 境 。 3 . 制 定 基 线 配 置 模 板 制 定 基 线 配 置 模 板 基 线 配 置 模 板 可 以 包 含 运 维 和 安 全 2 个 部 分 ， 运 维 部 分 如 性 能 相 关 配 置 、 稳 定 性 相 关 配 置 、 个 性 化 配 置 。 同 一 个 应 用 （ T o m c a t 、 I I S 、 A p a c h e 等 ） 可 以 做 成 一 个 统 一 的 配 置 模 板 由 S a l t S t a c k 、 P u p p e t 进 行 分 发 。 同 时 也 可 以 做 一 份 标 准 化 配 置 脚 本 ， 在 部 分 能 分 发 的 情 况 下 也 能 统 一 基 线 配 置 。 安 全 部 分 ， 可 依 据 如 下 划 分 ① 安 全 漏 洞 ： 通 常 是 属 于 系 统 自 身 的 问 题 引 起 的 安 全 风 险 ， 一 般 包 括 了 登 录 漏 洞 、 拒 绝 服 务 漏 洞 、 缓 冲 区 溢 出 、 信 息 泄 漏 、 蠕 虫 后 门 、 意 外 情 况 处 置 错 误 等 ， 反 映 了 系 统 自 身 的 安 全 脆 弱 性 。 ② 安 全 配 置 ： 通 常 都 是 由 于 人 为 的 疏 忽 造 成 ， 主 要 包 括 了 账 号 、 口 令 、 授 权 、 日 志 、 I P 通 信 等 方 面 内 容 ， 反 映 了 系 统 自 身 的 安 全 脆 弱 性 。 安 全 配 置 方 面 与 系 统 的 相 关 性 非 常 大 ， 同 一 个 配 置 项 在 不 同 业 务 环 境 中 的 安 全 配 置 要 求 是 不 一 样 的 ， 如 在 W E B 系 统 边 界 防 火 墙 中 需 要 开 启 H T T P 通 信 ， 但 一 个 W A P 网 关 边 界 就 没 有 这 样 的 需 求 ， 因 此 在 设 计 业 务 系 统 安 全 基 线 的 时 候 ， 安 全 配 置 是 一 个 需 要 关 注 的 重 点 。
③ 重 要 状 态 ： 重 要 状 态 ， 包 括 端 口 、 进 程 和 重 要 文 件 ， 这 些 状 态 的 异 常 可 能 意 味 着 来 自 于 外 部 的 各 种 威 胁 因 素 导 致 ， 比 如 非 法 登 陆 尝 试 、 木 马 后 门 、 D D o S 攻 击 等 都 属 于 安 全 异 常 活 动 ， 反 映 了 系 统 当 前 所 处 环 境 的 安 全 状 况 ， 和 可 能 存 在 的 外 部 风 险 。 4 . 分 发 基 线 配 置 分 发 基 线 配 置 分 发 基 线 配 置 最 好 和 运 维 一 起 做 ， 由 运 维 支 撑 系 统 进 行 分 发 ， 可 以 加 速 效 率 。 如 果 运 维 目 前 阶 段 还 没 有 统 一 的 分 发 管 理 系 统 ， 可 单 个 用 配 置 脚 本 完 成 ， 这 样 效 率 就 很 低 。 5 . 基 线 配 置 应 用 基 线 配 置 应 用 安 全 基 线 建 立 起 来 后 ， 可 以 形 成 针 对 不 同 系 统 的 详 细 漏 洞 要 求 和 c h e c k l i s t 要 求 ， 为 标 准 化 的 技 术 安 全 操 作 提 供 了 框 架 和 标 准 。 其 应 用 范 围 非 常 广 泛 ， 主 要 包 括 新 业 务 系 统 的 上 线 安 全 检 查 、 第 三 方 入 网 安 全 检 查 、 合 规 性 安 全 检 查 （ 上 级 检 查 ） 、 日 常 安 全 检 查 等 。 通 过 对 目 标 系 统 展 开 合 规 安 全 检 查 ， 找 出 不 符 合 的 项 并 选 择 和 实 施 安 全 措 施 来 控 制 安 全 风 险 。 6 . 基 线 配 置 变 更 基 线 配 置 变 更 基 于 安 全 基 线 的 检 查 工 作 ， 可 以 预 见 的 难 题 可 能 在 于 ， 使 用 通 用 的 安 全 基 线 评 估 时 ， 由 于 各 个 业 务 系 统 、 各 个 设 备 由 于 功 能 应 用 的 不 同 ， 安 全 要 求 也 不 同 ； 同 一 设 备 随 着 应 用 的 改 变 ， 安 全 要 求 也 随 之 改 变 。 因 此 每 次 使 用 同 一 安 全 基 线 进 行 检 查 ， 就 会 重 复 出 现 一 些 已 经 确 认 过 的 风 险 ， 而 一 些 新 出 现 的 风 险 却 又 未 加 进 检 查 范 围 内 。 我 们 使 用 初 始 安 全 基 线 进 行 通 用 安 全 评 估 后 ， 系 统 管 理 员 、 安 全 人 员 对 评 估 结 果 进 行 确 认 ， 如 果 有 需 要 忽 略 或 新 增 的 项 目 ， 就 调 整 并 保 存 到 基 线 数 据 库 中 。 如 果 没 有 就 返 回 到 评 估 结 果 。 当 启 动 后 一 次 评 估 并 生 成 评 估 结 果 后 ， 新 的 评 估 结 果 会 与 基 线 库 中 的 安 全 基 线 自 动 进 行 对 比 ， 管 理 员 、 安 全 人 员 对 评 估 结 果 进 行 确 认 ， 如 果 有 需 要 忽 略 或 新 增 的 项 目 ， 就 保 存 到 基 线 库 形 成 新 的 基 线 。 如 果 没 有 任 何 基 线 项 目 需 要 变 更 ， 则 生 成 新 的 评 估 报 告 。 如 此 循 环 ， 使 用 来 参 照 的 安 全 基 线 能 够 随 着 系 统 变 化 而 变 化 。 五 、 最 后 五 、 最 后 信 息 安 全 基 线 管 理 是 保 证 信 息 系 统 正 常 稳 定 运 行 的 前 提 和 基 础 ， 对 提 高 企 业 网 络 和 信 息 系 统 安 全 起 到 至 关 重 要 的 作 用 。 企 事 业 单 位 必 须 明 确 安 全 基 线 ， 确 定 信 息 安 全 底 线 ， 做 好 安 全 管 理 合 规 ， 才 能 更 好 走 向 国 际 化 。 * 本 文 作 者 ： 本 文 作 者 ： c i h a c k ， 转 载 请 注 明 来 自 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐

阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理