網(wǎng)絡(luò)安全設(shè)計(jì)

1、LL1安全系統(tǒng)設(shè)計(jì)安全技術(shù)體系設(shè)計(jì)物理和環(huán)境安全物理安全方面，存在物理性災(zāi)害、物理訪問(wèn)控制以及基礎(chǔ)設(shè)施等方面的風(fēng) 險(xiǎn)，因此器要保障信息系統(tǒng)物理環(huán)境的安全可靠（包括防盜竊、防破壞、防火、防水、防雷擊、防靜電、溫混度控制、電力供應(yīng)、電磁防護(hù)等），為信息系統(tǒng)正常運(yùn)行 提供物理環(huán)境支持。主要技術(shù)措施包括：物理和環(huán)境設(shè)計(jì)：良好的機(jī)房位置選擇。物理訪問(wèn)控制:在機(jī)房出入口部署電子門(mén)禁系統(tǒng)（物理訪問(wèn)控制）。物理入侵檢測(cè)與審計(jì):部署防盜報(bào)警系統(tǒng)、監(jiān)控?cái)z像頭及閉路電視、配屬保 安力量。物理和環(huán)境安全保障:部署防雷保安器、自動(dòng)消防系統(tǒng)、水敏感檢測(cè)儀表或 元件、防靜電地板、溫度監(jiān)控與自動(dòng)調(diào)節(jié)、電壓防護(hù)設(shè)備等環(huán)境安全措

2、施。業(yè)務(wù)連續(xù)性保障:部署電力恢復(fù)設(shè)備，防電磁干擾措施維護(hù)業(yè)務(wù)連續(xù)性。網(wǎng)絡(luò)和通信安全序號(hào)類(lèi)別安全措施1結(jié)構(gòu)安全合理劃分安全域冗余設(shè)計(jì)序號(hào)類(lèi)別安全措施1結(jié)構(gòu)安全合理劃分安全域冗余設(shè)計(jì)實(shí)現(xiàn)方式應(yīng)使用VPC/VLAN/VXLAN/防火墻定義 的地址對(duì)象等方式，定義和劃分安全 域。應(yīng)遵循保護(hù)等級(jí)、業(yè)務(wù)使命、安全 需求等要素，本著便于管理的原則劃分 安全域。云平臺(tái)根據(jù)安全指南以及自身 業(yè)務(wù)的實(shí)際需求可劃分如:外部網(wǎng)絡(luò)接 入域、DMZ域、核心交換域、內(nèi)部用 戶(hù)接入域、安全管理域、帶外管理域、 計(jì)算資源池域等。應(yīng)保證主要的網(wǎng)絡(luò)設(shè)備具備業(yè)務(wù)處理能 力和帶寬的冗余空間，滿(mǎn)足業(yè)務(wù)高峰期 的要求，避免因設(shè)備和關(guān)鍵鏈路

3、的失敗 導(dǎo)致的單點(diǎn)故障。通過(guò)真實(shí)攻防場(chǎng)景對(duì)入侵鏈路還原，建立進(jìn)程行為白名單。對(duì)于進(jìn)程的非 法行為、黑客的入侵過(guò)程實(shí)時(shí)進(jìn)行告警。(4)異常登錄檢測(cè)服務(wù)器上的登錄行為，通過(guò)設(shè)置合法登錄IP、時(shí)間及賬號(hào)，對(duì)于例外 的登錄行為進(jìn)行告警；通過(guò)手動(dòng)配置和自動(dòng)獲取的常用登錄地，對(duì)指定服務(wù)器的 異常登錄行為進(jìn)行告警。(5)漏洞檢測(cè)與修復(fù)主機(jī)漏洞管理針對(duì)服務(wù)器系統(tǒng)漏洞提供檢測(cè)和修復(fù)服務(wù)，可處理以下四類(lèi)漏Linux軟件漏洞周期性自動(dòng)檢測(cè)Linux系統(tǒng)服務(wù)器上存在的CVE漏洞，準(zhǔn)確率近100虬 同時(shí)針對(duì)檢測(cè)到的漏洞，提供一鍵修復(fù)、漏洞修復(fù)命令、漏洞白名單等功能， 實(shí)現(xiàn)對(duì)漏洞的閉環(huán)管理。Windows系統(tǒng)漏洞實(shí)時(shí)跟蹤

4、微軟官方補(bǔ)丁公告，自動(dòng)檢測(cè)Windows系統(tǒng)服務(wù)器上的補(bǔ)丁是否 已更新，提供Windows系統(tǒng)中的漏洞情況。針對(duì)發(fā)現(xiàn)的Windows漏洞，提供自 動(dòng)修復(fù)和跟蹤功能。Web-CMS 漏洞提供Web-CMS漏洞自動(dòng)周期檢測(cè)功能。通過(guò)自研補(bǔ)丁，實(shí)現(xiàn)Web文件漏洞 的一鍵修復(fù)。對(duì)于手動(dòng)修復(fù)的漏洞，支持驗(yàn)證是否修復(fù)成功;對(duì)于修復(fù)完成漏 洞，支持回滾功能還原修復(fù)前的Web文件。應(yīng)急漏洞檢測(cè)針對(duì)發(fā)布的應(yīng)急漏洞，如Redis服務(wù)未授權(quán)訪問(wèn)漏洞、Struts 2-052命令 執(zhí)行漏洞等漏洞，提供漏洞檢測(cè)功能。同時(shí)，支持漏洞的修復(fù)驗(yàn)證操作。(6)基線檢查通過(guò)任務(wù)下發(fā)模式對(duì)服務(wù)器進(jìn)行安全配置掃描，發(fā)現(xiàn)系統(tǒng)配置、賬號(hào)

5、、數(shù) 據(jù)庫(kù)、弱密碼、合規(guī)性配置中存在的風(fēng)險(xiǎn)點(diǎn)，并針對(duì)所發(fā)現(xiàn)的問(wèn)題項(xiàng)提供修復(fù) 建議。賬號(hào)安全檢測(cè):如密碼策略合規(guī)、系統(tǒng)及應(yīng)用弱口令檢測(cè)。系統(tǒng)配置檢測(cè)：如組策略、登錄基線策略、注冊(cè)表配置風(fēng)險(xiǎn)檢測(cè)。數(shù)據(jù)庫(kù)風(fēng)險(xiǎn)檢測(cè):如數(shù)據(jù)庫(kù)高危配置檢測(cè)。合規(guī)對(duì)標(biāo)檢測(cè)：如Linux Centos系統(tǒng)基線檢測(cè)，等?；€等。用戶(hù)還可自定義基線檢測(cè)策略，包括檢測(cè)項(xiàng)目、檢測(cè)周期、應(yīng)用的服務(wù)器 組等設(shè)置。（7）資產(chǎn)清點(diǎn)主機(jī)安全防護(hù)系統(tǒng)資產(chǎn)清點(diǎn)功能可定期收集并記錄服務(wù)器的運(yùn)行進(jìn)程、系 統(tǒng)賬號(hào)、開(kāi)放端口、軟件版本信息，幫助用戶(hù)全面了解資產(chǎn)的運(yùn)行狀態(tài)并提供 回溯分析能力。運(yùn)行進(jìn)程:定期收集服務(wù)器的進(jìn)程信息，幫助用戶(hù)清點(diǎn)進(jìn)程（清點(diǎn)一個(gè)進(jìn)

6、程 被哪些服務(wù)器運(yùn)行;清點(diǎn)臺(tái)服務(wù)器運(yùn)行了哪些進(jìn)程）o系統(tǒng)賬號(hào):定期收集服務(wù)器的賬號(hào)信息，幫助用戶(hù)清點(diǎn)賬號(hào)（清點(diǎn)一個(gè)賬號(hào) 被哪些服務(wù)器創(chuàng)建;清點(diǎn)臺(tái)服務(wù)器創(chuàng)建了哪些賬號(hào)）。開(kāi)放端口 ：定期收集服務(wù)器的對(duì)外端口監(jiān)聽(tīng)信息，幫助用戶(hù)清點(diǎn)端口（清點(diǎn) 一個(gè)端口被哪些服務(wù)器監(jiān)聽(tīng)；清點(diǎn)一臺(tái)服務(wù)器開(kāi)通了哪些端口）0軟件版本:定期收集服務(wù)器的軟件版本信息，幫助用戶(hù)清點(diǎn)軟件資產(chǎn)（清點(diǎn) 非法軟件資產(chǎn)（非法安裝）；清點(diǎn)版本過(guò)低軟件資產(chǎn)；漏洞爆發(fā)時(shí)快速定位受影 響資產(chǎn)范圍。） 安全管理體系設(shè)計(jì)安全管理機(jī)構(gòu)和人員信息安全管理組織的建立原則應(yīng)包括：獲取項(xiàng)目領(lǐng)導(dǎo)小組、各租戶(hù)高層領(lǐng)導(dǎo)的足夠重視，保證安全管理組織建設(shè) 的順利推進(jìn)；加

7、強(qiáng)安全審計(jì)的流程管控，貫徹安全設(shè)計(jì)制度，突出安全審計(jì)員的管理職 責(zé)提高整體員工的安全意識(shí)和技能，從廣泛的人員視角上和縱深的層次上杜絕 安全事件的發(fā)生；需要不同的相關(guān)參與部門(mén)共同參與，制定不同角色和分工，從而保障安全 管理的協(xié)調(diào)統(tǒng)一。1. 1. 1.2. 1. 1崗位設(shè)置具體實(shí)施辦法包括：應(yīng)建立具有安全管理權(quán)限的信息安全管理委員會(huì)，負(fù)責(zé)批準(zhǔn)信息安全方 針、分配安全證職責(zé)并協(xié)調(diào)組織內(nèi)部信息安全的實(shí)施。建立審計(jì)與監(jiān)管工作組，井設(shè)置安全審計(jì)員，對(duì)安全策略的變更以及關(guān)鍵 業(yè)務(wù)配置的變更需經(jīng)過(guò)安全審計(jì)員的評(píng)估后方可執(zhí)行。應(yīng)建立信息安全工作組，負(fù)責(zé)制定具體的安全管理策略（方針），監(jiān)督安全 管理策略的實(shí)施，對(duì)

8、內(nèi)部人員進(jìn)行培訓(xùn)。應(yīng)建立運(yùn)行維護(hù)工作組，負(fù)責(zé)云環(huán)境和基礎(chǔ)設(shè)施維護(hù)，受安全管理委員會(huì) 領(lǐng)導(dǎo)。應(yīng)建立規(guī)供信息安全建議的專(zhuān)家組井使其有效，專(zhuān)家小組應(yīng)與外部安全專(zhuān) 家聯(lián)絡(luò)限蹤行業(yè)趨勢(shì)，監(jiān)督安全標(biāo)準(zhǔn)和評(píng)估方法，井在處理安全事故時(shí)提供適 當(dāng)?shù)穆?lián)絡(luò)渠道。應(yīng)建立應(yīng)急響應(yīng)工作組，快速應(yīng)對(duì)信息安全事件。1. 1. 1.2. 1.2 授權(quán)和審批在安全管理委員會(huì)的框架內(nèi)，租戶(hù)應(yīng)根據(jù)各工作組的職責(zé)，明確授權(quán)審批 事項(xiàng)、批準(zhǔn)人等。針對(duì)系統(tǒng)變更、重要操作、物理訪問(wèn)和系統(tǒng)接入等事項(xiàng)，建 立審批程序，按照程序執(zhí)行審批過(guò)程。對(duì)重要的活動(dòng)應(yīng)建立逐級(jí)審批制度。1. 1. 1.2. 1.3 溝通和合作除了加強(qiáng)安全管理委員會(huì)內(nèi)部溝通合作

9、之外，還應(yīng)加強(qiáng)各部門(mén)的合作與溝 通定期召開(kāi)協(xié)調(diào)會(huì)議，共同協(xié)作處理信息安全問(wèn)題。同時(shí)，也應(yīng)建立與外聯(lián)單位（如兄弟單位、公安機(jī)關(guān)、各類(lèi)供應(yīng)商、業(yè)界專(zhuān) 家和專(zhuān)業(yè)安全組織）的溝通與合作。這些外聯(lián)單位應(yīng)組成列表，注明單位名稱(chēng)、 合作內(nèi)容、聯(lián)系人和聯(lián)系方式等內(nèi)容。1. 1. 1.2. 1.4 審核和檢查應(yīng)定期執(zhí)行常規(guī)安全檢查，檢查內(nèi)容包括系統(tǒng)日常運(yùn)行、系統(tǒng)漏洞和數(shù)據(jù) 備份情況等。1. 1. 1.2. 1.5 人員錄用應(yīng)對(duì)被錄用人員的身份、背景、專(zhuān)業(yè)資格和資質(zhì)進(jìn)行審查，對(duì)其工作范圍 內(nèi)應(yīng)具備的技術(shù)技能進(jìn)行考核。只要被錄用人員具備接觸和掌握租戶(hù)敏感數(shù)據(jù) 的權(quán)限，均應(yīng)簽署保密協(xié)議。對(duì)于重要的崗位人員，應(yīng)簽署崗位

10、責(zé)任協(xié)議。1. 1. 1.2. 1.6 人員離崗人員離崗時(shí)，應(yīng)及時(shí)終止其所有訪問(wèn)權(quán)限，收回各類(lèi)身份證件、鑰匙、身 份鑒別硬件Key等各類(lèi)軟硬件設(shè)備。1. 1.2. 1.7 安全意識(shí)教育和培訓(xùn)應(yīng)對(duì)全體員工和外包服務(wù)工作人員進(jìn)行安全意識(shí)教育和崗位技能培訓(xùn)，并 告知相關(guān)的安全責(zé)任和懲戒措施。培訓(xùn)內(nèi)容包括：崗位操作規(guī)程、組織安全策略的宣講、信息安全基礎(chǔ)知識(shí) 等。1.2. 1.8 外部人員訪問(wèn)管理當(dāng)外部人員通過(guò)物理方式或遠(yuǎn)程接入方式訪問(wèn)系統(tǒng)時(shí)，均應(yīng)提出書(shū)面申 請(qǐng)。批準(zhǔn)后，由專(zhuān)人陪同（開(kāi)通賬號(hào)、分配權(quán)限），并登記備案。當(dāng)外部人員離 場(chǎng)后應(yīng)及時(shí)清除其所有的訪問(wèn)權(quán)限。安全策略和管理制度安全策略是信息安全保障體

11、系的靈魂和核心，一個(gè)良好的策略體系可以維 持整個(gè)信息安全保障體系自動(dòng)的進(jìn)行良性循環(huán)，不斷的完善信息安全保障體 系。安全管理策略應(yīng)由信息安全工作小組和專(zhuān)家小組共同制定，并由安全委員 會(huì)評(píng)審、批準(zhǔn)后頒布并實(shí)施。建設(shè)重點(diǎn)包括：安全管理策略制定總體方針和安全策略，說(shuō)明機(jī)構(gòu)安全工作的總體目標(biāo)、 范圍、原則和安全框架等。安全管理制度:對(duì)安全管理話動(dòng)中的各類(lèi)管理內(nèi)容建立安全管理制度，對(duì)管 理人員/操作人員執(zhí)行的日常管理操作建立操作規(guī)程。制定和發(fā)布：安全策略和制度的制定應(yīng)由信息安全工作小組和專(zhuān)家小組共 同完成，由安全管理委員會(huì)正式發(fā)布。同時(shí)應(yīng)進(jìn)行版本控制，當(dāng)系統(tǒng)出現(xiàn)變更 時(shí)，策略或制度的變化應(yīng)得以體現(xiàn)。評(píng)審和

12、修訂:安全管理委員會(huì)應(yīng)定期組織對(duì)安全管理制度的合理性和適用性 的論證和評(píng)審，尤其是當(dāng)系統(tǒng)出現(xiàn)重大變更后，更應(yīng)及時(shí)對(duì)不合時(shí)宜的、存在 不足的或需要改進(jìn)的安全管理制度進(jìn)行修訂。安全建設(shè)管理定級(jí)和備案定級(jí)文件應(yīng)文檔化。以書(shū)面形式說(shuō)明保護(hù)對(duì)象的邊界、安全保護(hù)等級(jí)以及 確定登記的方法和理由。定級(jí)結(jié)果得經(jīng)過(guò)專(zhuān)家評(píng)審其合理性和正確性，確定結(jié) 果后經(jīng)過(guò)主管部門(mén)批準(zhǔn)，井將備案材料報(bào)主管部門(mén)和公安機(jī)關(guān)備案。安全方案設(shè)計(jì)在對(duì)業(yè)務(wù)系統(tǒng)/云平臺(tái)進(jìn)行等級(jí)保護(hù)安全設(shè)計(jì)時(shí)，仍應(yīng)進(jìn)行風(fēng)險(xiǎn)評(píng)估和差距 分析，補(bǔ)充和調(diào)整相應(yīng)的安全措施。產(chǎn)品采購(gòu)和使用采購(gòu)的安全產(chǎn)品和密碼學(xué)產(chǎn)品都應(yīng)具備相應(yīng)產(chǎn)品認(rèn)證資質(zhì)。安全產(chǎn)品至少 具備公安機(jī)關(guān)頒發(fā)的

13、計(jì)算機(jī)信息系統(tǒng)安全銷(xiāo)售許可證，密碼學(xué)產(chǎn)品須具備 國(guó)家密碼管理局頒發(fā)的商用密碼產(chǎn)品銷(xiāo)售許可證。軟件開(kāi)發(fā)需對(duì)應(yīng)用系統(tǒng)進(jìn)行監(jiān)控，且符合關(guān)于隱私保護(hù)的相關(guān)規(guī)定。應(yīng)針對(duì)系統(tǒng)變 更重要操作、物理訪問(wèn)和系統(tǒng)接入等事項(xiàng)執(zhí)行審批流程。系統(tǒng)定期進(jìn)行常規(guī)安全檢查，檢查內(nèi)容包括系統(tǒng)日常運(yùn)行、系統(tǒng)漏洞和備 份等情況。建立非常規(guī)數(shù)據(jù)查詢(xún)和使用偵測(cè)機(jī)制，運(yùn)用技術(shù)手段應(yīng)對(duì)非工作時(shí)間批量 查詢(xún)、短期批量異地查詢(xún)等異常場(chǎng)景，防止數(shù)據(jù)泄露。應(yīng)用系統(tǒng)運(yùn)行時(shí)應(yīng)有完整的日志記錄，提供審計(jì)功能。應(yīng)用開(kāi)發(fā)過(guò)程中需 要有相應(yīng)的代碼描述和注釋?zhuān)y(tǒng)一的代碼書(shū)寫(xiě)規(guī)范及命名規(guī)范等。需要保證應(yīng) 用代碼的安全性，防止代碼丟失、代碼外泄、代碼混淆等問(wèn)題。應(yīng)

14、用系統(tǒng)的源代碼不允許存放在應(yīng)用運(yùn)行平臺(tái)主機(jī)上，應(yīng)另行存放，并具 有版本控制能力。自行軟件開(kāi)發(fā)應(yīng)建立單獨(dú)的開(kāi)發(fā)環(huán)境，與實(shí)際物理運(yùn)行環(huán)境邏輯隔離，保證測(cè)試數(shù)據(jù)和 測(cè)試結(jié)果可控，避免侵害實(shí)際運(yùn)行環(huán)境。安全性測(cè)試應(yīng)融入軟件開(kāi)發(fā)過(guò)程，在 軟件安裝前對(duì)可能存在的惡意代碼進(jìn)行檢測(cè)。外包軟件開(kāi)發(fā)對(duì)于外包軟件開(kāi)發(fā)，應(yīng)做到：在軟件交付使用前，應(yīng)進(jìn)行源代碼審計(jì)和檢測(cè)，檢測(cè)軟件質(zhì)量和其中可能 存在的惡意代碼。外包單位應(yīng)提供軟件設(shè)計(jì)文檔和使用指南。工程實(shí)施在實(shí)施前，應(yīng)制定工程實(shí)施方案，控制安全工程的實(shí)施過(guò)程。并指定專(zhuān)門(mén) 的部門(mén)或人員負(fù)責(zé)工程實(shí)施過(guò)程的管理。測(cè)試驗(yàn)收測(cè)試驗(yàn)收過(guò)程，應(yīng)首先制定測(cè)試驗(yàn)收方案，并依據(jù)測(cè)試驗(yàn)收方案

15、實(shí)施測(cè)試 驗(yàn)收，最終形成測(cè)試報(bào)告。應(yīng)專(zhuān)門(mén)進(jìn)行上線前的安全性測(cè)試，對(duì)安全措施有效 性進(jìn)行測(cè)試，并出具安全測(cè)試報(bào)告。系統(tǒng)交付系統(tǒng)交付時(shí)，應(yīng)根據(jù)交付清單對(duì)交接的設(shè)備、軟件和文檔等進(jìn)行逐一清 點(diǎn)。交付后的運(yùn)行維護(hù)技術(shù)人員應(yīng)進(jìn)行相應(yīng)的技能培訓(xùn)。軟件，服務(wù)方應(yīng)確保 提供建設(shè)過(guò)中的文檔，以及指導(dǎo)用戶(hù)進(jìn)行運(yùn)行維護(hù)的指南性文檔。等級(jí)測(cè)評(píng)應(yīng)定期執(zhí)行等級(jí)測(cè)評(píng)工作，尤其是出現(xiàn)重大變更或級(jí)別發(fā)生變化時(shí)，均應(yīng) 執(zhí)行等級(jí)測(cè)評(píng)，在發(fā)現(xiàn)存在安全差距時(shí)，進(jìn)行及時(shí)的整改。運(yùn)行監(jiān)管業(yè)主方和開(kāi)發(fā)廠商均有執(zhí)行運(yùn)行監(jiān)管的責(zé)任和義務(wù)。業(yè)主方要按照合同、 規(guī)章制度和標(biāo)準(zhǔn)加強(qiáng)對(duì)開(kāi)發(fā)廠商和自身的運(yùn)行監(jiān)管，同時(shí)開(kāi)發(fā)廠商、第三方評(píng) 估機(jī)構(gòu)需要積極參與

16、和配合。各方均需要明確負(fù)責(zé)執(zhí)行運(yùn)行監(jiān)管的責(zé)任人和聯(lián) 系方式。安全運(yùn)維管理環(huán)境和資產(chǎn)管理機(jī)房安全管理，指定專(zhuān)門(mén)的部門(mén)或人員負(fù)責(zé)機(jī)房安全，對(duì)機(jī)房出入進(jìn)行管 理，定期對(duì)機(jī)房供配電、空調(diào)、溫濕度控制、消防等設(shè)施進(jìn)行維護(hù)管理；建立 機(jī)房安全管理制度，對(duì)有關(guān)機(jī)房物理訪問(wèn)，物品帶進(jìn)、帶出機(jī)房和機(jī)房環(huán)境安 全等方面的管理作出規(guī)定。環(huán)境安全管理:不在重要區(qū)域接待來(lái)訪人員和桌面上沒(méi)有包含敏感信息的紙 檔文件、移動(dòng)介質(zhì)等。資產(chǎn)管理:編制并保存與保護(hù)對(duì)象相關(guān)的資產(chǎn)清單，包括資產(chǎn)責(zé)任部門(mén)、重 要程度和所處位置等內(nèi)容。介質(zhì)和設(shè)備管理介質(zhì)管理:確保介質(zhì)存放在安全的環(huán)境中，對(duì)各類(lèi)介質(zhì)進(jìn)行控制和保護(hù)，實(shí) 行存儲(chǔ)環(huán)境專(zhuān)人管理，并

17、根據(jù)存檔介質(zhì)的目錄清單定期盤(pán)點(diǎn)。對(duì)介質(zhì)在物理傳 輸過(guò)程中的人員選擇、打包、交付等情況進(jìn)行控制，并對(duì)介質(zhì)的歸檔和查詢(xún)等 進(jìn)行登記記錄。設(shè)備維護(hù)管理:對(duì)服務(wù)器、網(wǎng)絡(luò)及安全設(shè)備、業(yè)務(wù)應(yīng)用的操作應(yīng)制定標(biāo)準(zhǔn)化 的操作規(guī)范:建立配套設(shè)施、軟硬件維護(hù)方面的管理制度，對(duì)其維護(hù)進(jìn)行有效的 管理，包括明確維護(hù)人員的責(zé)任、涉外維修和服務(wù)的審批、維修過(guò)程的監(jiān)督控 制等。漏洞和風(fēng)險(xiǎn)管理采取必要的措施識(shí)別安全漏洞和隱患，對(duì)發(fā)現(xiàn)的安全漏洞和隱患及時(shí)進(jìn)行 修補(bǔ)或評(píng)估可能的影響后進(jìn)行修補(bǔ)。網(wǎng)絡(luò)和系統(tǒng)安全管理角色權(quán)限分配:劃分不同的管理員角色進(jìn)行網(wǎng)絡(luò)和系統(tǒng)的運(yùn)維管理，明確各 個(gè)角色的責(zé)任和權(quán)限。賬號(hào)管理:指定專(zhuān)門(mén)的部門(mén)或人員進(jìn)行

18、賬號(hào)管理，對(duì)申請(qǐng)賬號(hào)、建立聯(lián)號(hào)、 刪除賬號(hào)等進(jìn)行控制。管理制度:建立網(wǎng)絡(luò)和系統(tǒng)安全管理制度，對(duì)安全策略、賬號(hào)管理、配置管 理、日志管理、日常操作、升級(jí)與打補(bǔ)下、口令更新周期等方面作出規(guī)定。操作手冊(cè)：制定重要設(shè)備的配置和操作手冊(cè)，依據(jù)手冊(cè)對(duì)設(shè)備進(jìn)行安全配 置和優(yōu)化配置等。運(yùn)維操作日志記錄:詳細(xì)記錄運(yùn)維操作日志，包括日常巡檢工作、運(yùn)行維護(hù) 記錄、參數(shù)的設(shè)置和修改等內(nèi)容。網(wǎng)絡(luò)/系統(tǒng)變更管理:嚴(yán)格控制變更性運(yùn)維，經(jīng)過(guò)審批后才可改變連接、安 裝系統(tǒng)組件或調(diào)整配置參數(shù)，操作過(guò)程中應(yīng)保留不可更改的審計(jì)日志，操作結(jié) 束后應(yīng)同步更新配置信息庫(kù)。遠(yuǎn)程運(yùn)維管理:嚴(yán)格控制遠(yuǎn)程運(yùn)維的開(kāi)通，經(jīng)過(guò)審批后才可開(kāi)通遠(yuǎn)程運(yùn)維接

19、口或通道，操作過(guò)程中應(yīng)保留不可更改的審計(jì)日志，操作結(jié)束后立即關(guān)閉接口 或通道。外部連接和無(wú)線網(wǎng)絡(luò)管理:保證所有與外部的連接均得到授權(quán)和批準(zhǔn)，應(yīng)定 期檢查違反規(guī)定無(wú)線上網(wǎng)及其他違反網(wǎng)絡(luò)安全策略的行為。惡意代碼防范管理防惡意代碼意識(shí):提高所有用戶(hù)的防惡意代碼意識(shí)，告知對(duì)外來(lái)計(jì)算機(jī)或 存儲(chǔ)設(shè)備接入系統(tǒng)前進(jìn)行惡意代碼檢查等。防惡意代碼管理制度:對(duì)惡意代碼防范要求做出規(guī)定，包括防惡意代碼軟 件的授權(quán)使用、惡意代碼庫(kù)升級(jí)、惡意代碼的定期查殺等。審查機(jī)制:定期檢查惡意代碼庫(kù)的升級(jí)情況，對(duì)截獲的惡意代碼進(jìn)行及時(shí) 分析處理。配置管理配置管理內(nèi)容:記錄和保存基本配置信息，包括網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)、各個(gè)設(shè)備安 裝的軟件組件

20、、軟件組件的版本和補(bǔ)丁信息、各個(gè)設(shè)備或軟件組件的配置參數(shù) 等。配置信息動(dòng)態(tài)管理:將基本配置信息改變納入變更范疇，實(shí)施對(duì)配置信息改 變的控制，并及時(shí)更新基本配置信息庫(kù)。密碼管理密碼學(xué)產(chǎn)品資質(zhì)要求:使用符合國(guó)家密碼管理規(guī)定的密碼技術(shù)和產(chǎn)品。商 用密碼產(chǎn)品銷(xiāo)售許可證密碼學(xué)產(chǎn)品開(kāi)發(fā):按照國(guó)家密碼管理的要求開(kāi)展密碼技 術(shù)和產(chǎn)品的應(yīng)用。變更管理變更過(guò)程：明確變更需求，變更前根據(jù)變更需求制定變更方案，變更方案經(jīng) 過(guò)評(píng)審、審批后方可實(shí)施。申報(bào)和審批控制:建立變更的申報(bào)和審批控制程序，依據(jù)程序控制所有的變 更，記錄變更實(shí)施過(guò)程。變更失敗恢復(fù):建立中止變更并從失敗變更中恢復(fù)的程序，明確過(guò)程控制方 法和人員職責(zé)，必

21、要時(shí)對(duì)恢復(fù)過(guò)程進(jìn)行演練。備份與恢復(fù)管理識(shí)別備份客體:識(shí)別需要定期備份的重要業(yè)務(wù)信息、系統(tǒng)數(shù)據(jù)及軟件系統(tǒng) 等。確定備份參數(shù):規(guī)定備份信息的備份方式、備份頻度、存儲(chǔ)介質(zhì)、保存期 等。數(shù)據(jù)備份和恢復(fù)策略:根據(jù)數(shù)據(jù)的重要性和數(shù)據(jù)對(duì)系統(tǒng)運(yùn)行的影響，制定數(shù) 據(jù)的備份策略和恢復(fù)策略、備份程序和恢復(fù)程序等。若建有數(shù)據(jù)暫存環(huán)境，實(shí)施有效的訪問(wèn)控制措施保證其安全可控。應(yīng)明確 數(shù)據(jù)暫存時(shí)間，并及時(shí)清理。制定數(shù)據(jù)暫存的流程和規(guī)范，在暫存期間應(yīng)明確 數(shù)據(jù)管理責(zé)任。安全事件處置事件報(bào)告:報(bào)告所發(fā)現(xiàn)的安全弱點(diǎn)和可疑事件。報(bào)告和處置管理制度:制定安全事件報(bào)告和處置管理制度，明確不同安全事 件的報(bào)告、處置和響應(yīng)流程，規(guī)定安全事

22、件的現(xiàn)場(chǎng)處理、事件報(bào)告和后期恢復(fù) 的管理職責(zé)等。事件分析:在安全事件報(bào)告和響應(yīng)處理過(guò)程中，分析和鑒定事件產(chǎn)生的原 因，收集證據(jù)，記錄處理過(guò)程，總結(jié)經(jīng)驗(yàn)教訓(xùn)。重大安全事件處置:對(duì)造成系統(tǒng)中斷和造成信息泄漏的重大安全事件應(yīng)采用 專(zhuān)門(mén)制定的處理程序和報(bào)告程序。應(yīng)急預(yù)案管理應(yīng)急預(yù)案框架:規(guī)定統(tǒng)一的應(yīng)急預(yù)案框架，并在此框架下制定不同事件的應(yīng) 急預(yù)案，包括啟動(dòng)預(yù)案的條件、應(yīng)急處理流程、系統(tǒng)恢復(fù)流程、事后教育和培 訓(xùn)等內(nèi)容。應(yīng)急資源保障:從人力、設(shè)備、技術(shù)和財(cái)務(wù)等方面確保應(yīng)急預(yù)案的執(zhí)行有足 夠的資源保障。應(yīng)急預(yù)案培訓(xùn)和演練:定期對(duì)系統(tǒng)相關(guān)的人員進(jìn)行應(yīng)急預(yù)案培訓(xùn)，并進(jìn)行應(yīng) 急預(yù)案的演練。定期修訂:定期對(duì)原有的

23、應(yīng)急預(yù)案重新評(píng)估，修訂完善。外包運(yùn)維管理外包服務(wù)協(xié)議:與選定的外包運(yùn)維服務(wù)商簽訂相關(guān)的協(xié)議，明確約定外包運(yùn) 維的范圍、工作內(nèi)容。外包服務(wù)能力要求:確保選擇的外包運(yùn)維服務(wù)商在技術(shù)和管理方面均有按照 等級(jí)保護(hù)要求開(kāi)展安全運(yùn)維工作的能力，并將能力要求在簽訂的協(xié)議中明確。外包服務(wù)安全要求:在與外包運(yùn)維服務(wù)商簽訂的協(xié)議中明確所有相關(guān)的安全 要求。如可能涉及對(duì)敏感信息的訪問(wèn)、處理、存儲(chǔ)要求，對(duì)FT基礎(chǔ)設(shè)施中斷服 務(wù)的應(yīng)急保障要求等。 網(wǎng)絡(luò)安全服務(wù)方案1. 1. 1. 3. 1安全風(fēng)險(xiǎn)評(píng)估服務(wù)安全掃描服務(wù)主要使用技術(shù)手段，通過(guò)遠(yuǎn)程的方式對(duì)被評(píng)估對(duì)象進(jìn)行一系 列的安全探測(cè)，以發(fā)現(xiàn)網(wǎng)絡(luò)中和系統(tǒng)中可能存在的安全隱

24、患。安全掃描過(guò)程中主要是通過(guò)評(píng)估工具以遠(yuǎn)程掃描的方式對(duì)評(píng)估范圍內(nèi)的系 統(tǒng)和網(wǎng)絡(luò)進(jìn)行安全掃描，從內(nèi)網(wǎng)和外網(wǎng)兩個(gè)角度來(lái)查找網(wǎng)絡(luò)結(jié)構(gòu)、網(wǎng)絡(luò)設(shè)備、邊界防護(hù)遠(yuǎn)程訪問(wèn)安全縱深防御管理業(yè)務(wù)流量隔離邊界的定義邊界的控制邊界完整性檢測(cè)與保護(hù)專(zhuān)線接入SSL VPN應(yīng)根據(jù)業(yè)務(wù)系統(tǒng)的重要程度進(jìn)行層次化 的網(wǎng)絡(luò)結(jié)構(gòu)設(shè)計(jì)，形成縱深防御體系。 提供關(guān)鍵性業(yè)務(wù)的設(shè)備和系統(tǒng)應(yīng)位于縱 深結(jié)構(gòu)的內(nèi)部。應(yīng)至少通過(guò)邏輯隔離的方式將管理和業(yè) 務(wù)流量分離。如有條件，可單獨(dú)組建帶 外管理網(wǎng)，使用獨(dú)立線路承載管理流 量。應(yīng)定義4個(gè)層次的主要邊界:1.平臺(tái)整 體邊界2.各安全域邊界物理3.計(jì)算資 源區(qū)內(nèi)租戶(hù)邊界4.主機(jī)邊界（物理主機(jī) 和虛擬化主

25、機(jī)邊界）對(duì)于平臺(tái)整體邊界及安全域邊界，可考 慮采用物理防火墻設(shè)備（物理防火墻設(shè) 備旁路接入核心交換機(jī)，以策略路由方 式部署）進(jìn)行訪問(wèn)控制和過(guò)濾。對(duì)于計(jì) 算資源池內(nèi)不同業(yè)務(wù)系統(tǒng)邊界，以及主 機(jī)邊界，可采用VPC隔離防火墻/主機(jī) 型防火墻/交換機(jī)端口 ACL等方式施加 訪問(wèn)控制策略。應(yīng)部署網(wǎng)絡(luò)準(zhǔn)入類(lèi)措施，當(dāng)設(shè)備在接入 內(nèi)網(wǎng)時(shí)，應(yīng)進(jìn)行有效的合法性認(rèn)證（如 通過(guò)802.1X協(xié)議，或域認(rèn)證形式進(jìn)行 認(rèn)證），防止非法內(nèi)聯(lián)行為的發(fā)生。應(yīng) 通過(guò)物理和技術(shù)預(yù)防、檢測(cè)、加固服務(wù) 等方式，杜絕試圖通過(guò)建立無(wú)線、有線 方式連接外網(wǎng)的行為，可根據(jù)實(shí)際情 況，考慮部署無(wú)線入侵檢測(cè)、無(wú)線信號(hào) 干擾，定期執(zhí)行設(shè)備加固等方式防

26、止非 法外聯(lián)行為的發(fā)生?？刹捎脤?zhuān)線接入方式進(jìn)行遠(yuǎn)程運(yùn)維訪 問(wèn)，通過(guò)隱秘實(shí)現(xiàn)安全。運(yùn)維訪問(wèn)應(yīng)由 堡壘機(jī)進(jìn)行身份鑒別、授權(quán)管理、操作 審計(jì)?？蛇M(jìn)一步結(jié)合PKI/CA基礎(chǔ)設(shè)施 進(jìn)行雙因素身份認(rèn)證?？刹捎肧SL VPN方式進(jìn)行業(yè)務(wù)遠(yuǎn)程訪 問(wèn)的保護(hù)。提供身份鑒別、端到端加 密。運(yùn)維訪問(wèn)應(yīng)由堡壘機(jī)（部署于帶外 管理域）進(jìn)行身份鑒別、授權(quán)管理、操 作審計(jì)?？蛇M(jìn)一步結(jié)合PKI/CA基礎(chǔ)設(shè) 施進(jìn)行雙因素身份認(rèn)證。服務(wù)器主機(jī)、數(shù)據(jù)和用戶(hù)賬號(hào)/口令等安全對(duì)象目標(biāo)存在的安全風(fēng)險(xiǎn)、漏洞和威 肋安全掃描項(xiàng)目包括如下內(nèi)容：信息探測(cè)類(lèi)、網(wǎng)絡(luò)設(shè)備與防火墻、RPC服務(wù)、Web服務(wù)、CGI問(wèn)題、文件服 務(wù)、域名服務(wù)、Mail服務(wù)、

27、Windows遠(yuǎn)程訪問(wèn)、數(shù)據(jù)庫(kù)問(wèn)題、后門(mén)程序、其他 服務(wù)、網(wǎng)絡(luò)拒絕服務(wù)(DOS)等問(wèn)題。從網(wǎng)絡(luò)層次的角度來(lái)看，安全掃描涉及了如下三個(gè)層面的安全問(wèn)題。.系統(tǒng)層安全:該層的安全問(wèn)題來(lái)自網(wǎng)絡(luò)運(yùn)行的操作系統(tǒng)：UNIX系列Linux 系列、Windows NT系列以及專(zhuān)用操作系統(tǒng)等。安全性問(wèn)題表現(xiàn)在兩方面:一是 操作系統(tǒng)本身的不安全因素，主要包括身份認(rèn)證、訪問(wèn)控制、系統(tǒng)漏洞等；二 是操作系統(tǒng)的安全配置存在問(wèn)題。身份認(rèn)證:通過(guò)telnet進(jìn)行口令猜測(cè)等訪問(wèn)控制：注冊(cè)表HKEY_LOCAL_MACHINE普通用戶(hù)可寫(xiě)，遠(yuǎn)程主機(jī)允許匿名 IP登錄，ftp服務(wù)器存在匿名可寫(xiě)目錄等。系統(tǒng)漏洞:System V系統(tǒng)

28、Login遠(yuǎn)程緩沖區(qū)溫出酒洞,Microsoft Windows Locator服務(wù)遠(yuǎn)程緩沖區(qū)溢出漏洞等安全配置問(wèn)題:部分SMB用戶(hù)存在薄弱口 令，試圖使用rsh登錄進(jìn)入遠(yuǎn)程系統(tǒng)等。.網(wǎng)絡(luò)層安全:該層的安全問(wèn)題主要指網(wǎng)絡(luò)信息的安全性，包括網(wǎng)絡(luò)層身份 認(rèn)證，網(wǎng)絡(luò)資源的訪問(wèn)控制，數(shù)據(jù)傳輸?shù)谋Ｃ芘c完整性、遠(yuǎn)程接入、域名系 統(tǒng)、路由系統(tǒng)的安全，入侵檢測(cè)的手段等。網(wǎng)絡(luò)資源的訪問(wèn)控制:檢測(cè)到無(wú)線訪問(wèn)點(diǎn)等服務(wù)；域名系統(tǒng)：ISC BIND SIG資源記錄無(wú)效過(guò)期時(shí)間拒絕服務(wù)攻擊漏洞， Microsoft Windows NT DNS拒絕服務(wù)攻擊等服務(wù)；路由器：Cisco IOS Web配置接口安全認(rèn)證可被繞過(guò)

29、，Nortel交換機(jī)/路 由器缺省口令漏洞，華為網(wǎng)絡(luò)設(shè)備沒(méi)有設(shè)置口令等服務(wù)；.應(yīng)用層安全:該層的安全考慮網(wǎng)絡(luò)對(duì)用戶(hù)提供服務(wù)所采用的應(yīng)用軟件和數(shù) 據(jù)的安全性，包括:數(shù)據(jù)庫(kù)軟件、Web服務(wù)、電子郵件系統(tǒng)、域名系統(tǒng)、交換與 路由系統(tǒng)、防火墻及應(yīng)用網(wǎng)管系統(tǒng)、業(yè)務(wù)應(yīng)用軟件以及其它網(wǎng)絡(luò)服務(wù)系統(tǒng)等。數(shù)據(jù)庫(kù)軟件:Oracle tnslsnr 沒(méi)有設(shè)置口令，Microsoft SQL Server 2000 Resolution服務(wù)多個(gè)安全漏洞等服務(wù);Web服務(wù)器：Apache Mod_SSL/ Apache- SSL遠(yuǎn)程緩沖區(qū)溢出漏洞,MicrosoftIIS 5.0 . printer I SAP I 遠(yuǎn)程

30、緩沖區(qū)溢出，Sun ONE/iPlanet Web 服務(wù)程 序分塊編碼傳輸漏洞等服務(wù)；電子郵件系統(tǒng)：Sendmail頭處理遠(yuǎn)程溢出漏洞，Microsoft Windows 2000SMTP服務(wù)認(rèn)證錯(cuò)誤漏洞等服務(wù)；防火墻，及應(yīng)用網(wǎng)管系統(tǒng)：Axent Raptor防火墻拒絕服務(wù)漏洞等服務(wù)；其它網(wǎng)絡(luò)服務(wù)系統(tǒng)：Wingate POP3 USER命令遠(yuǎn)程溢出漏洞，Linux系統(tǒng) LPRng遠(yuǎn)程格式化串漏洞等服務(wù)。代碼設(shè)計(jì)1. 1. 1.3. 2. 1 架構(gòu)設(shè)計(jì)進(jìn)攻面最小化原則在軟件架構(gòu)中將最少的功能性代碼開(kāi)放給用戶(hù)。如:功能代碼和界面代碼分 離，內(nèi)核代碼和用戶(hù)任務(wù)處理代碼分離等。深度防衛(wèi)原則在軟件代碼開(kāi)

31、發(fā)中注重代碼安全性加入安全防護(hù)功能代碼，如：防溢出處 理，防注入代碼，防跨站代碼等。最小權(quán)限原則對(duì)軟件用戶(hù)或軟件運(yùn)行權(quán)限進(jìn)行最小化，防止使用者惡意突破權(quán)限限制非 法操作。只為程序中需要特權(quán)的部分授與特權(quán)只授與部分絕對(duì)需要的具體特權(quán)將特權(quán)的有效時(shí)間或者可以有效的時(shí)間限制到絕對(duì)最小其它安全架構(gòu)原則（二）輸入處理驗(yàn)證內(nèi)容:驗(yàn)證所有輸入，驗(yàn)證各種來(lái)源的輸入，建立可信邊界。驗(yàn)證方法:使用強(qiáng)輸入驗(yàn)證，避免使用黑名單法，不混淆可用性和安全性，拒絕不良數(shù)據(jù)，默認(rèn)執(zhí)行嚴(yán)格的輸入驗(yàn)證，檢驗(yàn)輸入數(shù)據(jù)長(zhǎng)度，限制數(shù)字 輸入。（三）緩沖區(qū)溢出緩沖區(qū)溢出通常是向數(shù)組中寫(xiě)數(shù)據(jù)時(shí)，寫(xiě)入的數(shù)據(jù)的長(zhǎng)度超出了數(shù)組原始 定義的大小。比

32、如前面你定義了 int buff10,那么只有buffO - buff9 的空間是定義buff時(shí)申請(qǐng)的合法空間，但后來(lái)往里面寫(xiě)入數(shù)據(jù)時(shí)出現(xiàn)了buff12=0 x10則越界了. C語(yǔ)言常用的strcpy、sprintf strcat等函數(shù)都非常容易導(dǎo) 致緩沖區(qū)溢出問(wèn)題。對(duì)付緩沖區(qū)溢出攻擊的常見(jiàn)的四種方式：正確的編寫(xiě)代碼非執(zhí)行的緩沖區(qū)檢查數(shù)組邊界程序指針完整性檢查（四）字符串格式化問(wèn)題當(dāng)允許用戶(hù)輸入影響某些字符串格式化函數(shù)的格式串參數(shù)時(shí)，可能會(huì)發(fā)生 格式串錯(cuò)誤。選擇可以在應(yīng)用程序環(huán)境中執(zhí)行的最嚴(yán)格限制，那么絕大部分格式串漏洞可以避免的:物理防火墻4 訪問(wèn)控制VPC隔離防火墻 /IPTable5入侵

33、防范IPSAPT攻擊檢測(cè)/防 御系統(tǒng)6惡意代碼防范防病田系統(tǒng)7安全審計(jì)日志集中收集1和 審計(jì)模塊系統(tǒng)安全功能堡壘主機(jī) 外層物理防外物供平白察體邊界的方問(wèn) 校制:火墻應(yīng)部署于各類(lèi)接入?yún)^(qū)域的入 口內(nèi)層物理防云內(nèi)安全域通過(guò)在防火墻 VPC/VLAN/IP域邊界的訪問(wèn)控制。中 定義地址對(duì)象（可以是火墻應(yīng)部署于核 心交換機(jī)處，提供地址組等），實(shí)現(xiàn)狀 態(tài)檢測(cè)包過(guò)濾功能，控制粒度為IP五 元組。VPC陽(yáng)離防火墻主要負(fù)責(zé)計(jì)算資源池 內(nèi)安全域邊界，以及虛擬機(jī)邊界的訪問(wèn) 控制。通過(guò)在防火墻中定義地址對(duì)象 （可以是PC/LANVIP地址組等），實(shí)現(xiàn) 狀態(tài)檢測(cè)包過(guò)濾功能，控制粒度為IP 五元組?？稍诰W(wǎng)絡(luò)接入邊界處部署

34、IPS （入侵防 御系統(tǒng)），或部署UTM/NGFW等綜合 防護(hù)設(shè)備（開(kāi)啟IPS模塊），實(shí)時(shí)檢測(cè)各 類(lèi)入侵行為，并進(jìn)行阻斷。在云數(shù)據(jù)中心內(nèi)部署APT檢測(cè)/防御措 施，一般部署形式為檢測(cè)探針+分析中 心的模式，提升數(shù)據(jù)中心針對(duì)未知威脅 的感知/檢測(cè)/防護(hù)能力。通過(guò)虛擬化操作系統(tǒng)內(nèi)部防病毒系統(tǒng)對(duì) 病毒與惡意代碼進(jìn)行防護(hù)，并能夠定期 自動(dòng)更新病毒庫(kù)信息。云平臺(tái)內(nèi)部可通過(guò)部署物理探針以及軟 件代理的方式實(shí)現(xiàn)云內(nèi)日志的集中收集 綜合收集全網(wǎng)產(chǎn)生日志信息的資產(chǎn)日 志，進(jìn)行統(tǒng)一存儲(chǔ)。對(duì)網(wǎng)絡(luò)訪問(wèn)行為進(jìn)行記錄和審計(jì)，通過(guò) 預(yù)定義和自定義審計(jì)策略，發(fā)現(xiàn)網(wǎng)絡(luò)內(nèi) 違規(guī)訪問(wèn)行為、異常訪問(wèn)行為，并進(jìn)行 記錄和告警。應(yīng)部署堡

35、壘主機(jī)，通過(guò)代理所有運(yùn)維管 理過(guò)好實(shí)現(xiàn)對(duì)運(yùn)維操作的管理和審計(jì)， 通過(guò)預(yù)定義和自定義審計(jì)策略，發(fā)現(xiàn)違 規(guī)運(yùn)維訪問(wèn)行為、異常運(yùn)維訪問(wèn)行為， 并進(jìn)行記錄和告警。對(duì)于重要資產(chǎn)的運(yùn) 維操作，應(yīng)通流程。過(guò)堡壘機(jī)建立立審 批機(jī)制，定義安全的運(yùn)維操作8虛擬網(wǎng)絡(luò)安全云防火墻1重塑并定義虛擬化邊界，并施加訪問(wèn) 控制措施，實(shí)現(xiàn)對(duì)計(jì)算資源池內(nèi)各區(qū)域 的邏輯隔離獲取原來(lái)難以獲取的虛擬 化網(wǎng)絡(luò)流量，實(shí)現(xiàn)對(duì)虛擬化網(wǎng)絡(luò)流量的 審計(jì)和檢測(cè)，并結(jié)合云安全服務(wù)平臺(tái)， 實(shí)現(xiàn)對(duì)虛擬化網(wǎng)絡(luò)的可視化管理;1安全 策略可隨VM遷移而遷移；傳輸安全安全產(chǎn)品傳輸加密支持組件、平臺(tái)間和數(shù)據(jù)之間 的安全通信，支持SSL/TLS. HI IPS 等協(xié)

36、議的加密傳輸，平臺(tái)讓支持符合國(guó) 家標(biāo)準(zhǔn)的密螞算法，加密算法可替換。設(shè)備和計(jì)算機(jī)安全序號(hào)類(lèi)別安全措施實(shí)現(xiàn)方式1身份鑒別設(shè)備自身的安全機(jī) 制如使用SDON環(huán)境，則應(yīng)考察SDN供 應(yīng)商提供的產(chǎn)品是否具備安全設(shè)計(jì)。堡壘主機(jī)通過(guò)部署堡壘主機(jī)，實(shí)現(xiàn)對(duì)主機(jī)（物理 服務(wù)器和虛擬化主機(jī)）、數(shù)據(jù)庫(kù)、中間 件等laaS和PaaS層資產(chǎn)，以及玄管 理平臺(tái)、安全管理平臺(tái)等平臺(tái)級(jí)管理工 具的訪問(wèn)賬號(hào)管理、身份鑒別。堡壘主機(jī)針對(duì)重要資產(chǎn)（尤其是三級(jí)業(yè)務(wù)系統(tǒng)所 屬資產(chǎn)）應(yīng)強(qiáng)調(diào)對(duì)訪問(wèn)者的雙因素身份 鑒別，訪問(wèn)抗抵賴(lài)。應(yīng)部署數(shù)字證書(shū)認(rèn) 證中心，結(jié)合堡壘機(jī)，形成安全、可控 的訪問(wèn)路徑，記錄訪問(wèn)行為，杜絕非授 權(quán)訪問(wèn)。2訪問(wèn)控制堡壘

37、主機(jī)通過(guò)部署堡壘主機(jī)，實(shí)現(xiàn)對(duì)主機(jī)、操作 系統(tǒng)、數(shù)據(jù)庫(kù)、中間件、平臺(tái)級(jí)管理工 具的基于身份鑒別的訪問(wèn)控制。租戶(hù)業(yè)務(wù)系統(tǒng)安全 模塊/CA認(rèn)證服務(wù)對(duì)干暫時(shí)無(wú)法集成至堡壘機(jī)進(jìn)行統(tǒng)- 訪問(wèn)控制管理的資產(chǎn)，應(yīng)通過(guò)租戶(hù)自身 業(yè)務(wù)系統(tǒng)的安全能力提供訪問(wèn)控制，但 是應(yīng)通過(guò)重點(diǎn)的賬號(hào)管理、授權(quán)管理方 式維護(hù)此類(lèi)訪問(wèn)控制機(jī)制。3安全審計(jì)系統(tǒng)安全功能綜合收集全網(wǎng)產(chǎn)生日志信息的資產(chǎn)日 志，進(jìn)行統(tǒng)存儲(chǔ)。4入侵防范IPS、WAF云平臺(tái)內(nèi)部部署適應(yīng)于虛擬化環(huán)境的入 侵防范安全解決方案。進(jìn)行東西向流量 的入侵行為檢測(cè)和阻斷。主機(jī)加固服務(wù)通過(guò)在操作系統(tǒng)中部署主機(jī)加固產(chǎn)品代 理軟件，或以安全加固服務(wù)的形式完 善。彌補(bǔ)主機(jī)漏洞、配置

38、脆弱性，縮減 被攻擊面。5惡意代碼防 范防病用系統(tǒng)部署網(wǎng)絡(luò)防病毒系統(tǒng)（C/S架構(gòu)，代理端 部署于主機(jī)操作系統(tǒng)中，服務(wù)端部署于 安全管理區(qū)域）應(yīng)覆蓋物理服務(wù)器，虛 擬化主機(jī)，PC終端（如有），綜合防治病 毒在網(wǎng)絡(luò)內(nèi)的傳播，查殺主機(jī)資產(chǎn)中駐 留的病母。O6資源控制云管理平臺(tái)應(yīng)通過(guò)云管理平臺(tái)對(duì)云內(nèi)資產(chǎn)，尤其是 重要業(yè)務(wù)系統(tǒng)節(jié)點(diǎn)進(jìn)行監(jiān)控。應(yīng)關(guān)注資 產(chǎn)的運(yùn)行狀態(tài)（CPU、內(nèi)存、磁盤(pán)空間等）、端口狀 態(tài)。應(yīng)設(shè)置合理的虛擬化計(jì)算資源負(fù)載 均衡策略，避免資源競(jìng)爭(zhēng)，預(yù)留計(jì)算資 源池的性能冗余空間，以應(yīng)對(duì)業(yè)務(wù)高峰 性能需求。7虛擬機(jī)安全虛擬化主機(jī)安全防 護(hù)系統(tǒng)/部署VPC隔離防火墻和入侵防范產(chǎn) 品，保障虛擬化主機(jī)

39、的安全。主機(jī)加固產(chǎn)品/服務(wù)以安全加固服務(wù)的形式完善。彌補(bǔ)主機(jī) 漏洞、配置脆弱性，縮減被攻擊面。8鏡像和快照 保護(hù)系統(tǒng)安全功能云管理平臺(tái)或云計(jì)算平臺(tái)操作系統(tǒng)可針 對(duì)重要云服務(wù)和業(yè)務(wù)系統(tǒng)的鏡像和快照 進(jìn)行版本控制;應(yīng)將操作系統(tǒng)加固措 施，融入虛擬化主機(jī)鏡像中，創(chuàng)建加固 的操作系統(tǒng)和業(yè)務(wù)平臺(tái)鏡像。9脆弱性管理漏洞掃描服務(wù)定期執(zhí)行針對(duì)全網(wǎng)資產(chǎn)（網(wǎng)絡(luò)設(shè)備、主 機(jī)設(shè)備（含物理主機(jī)、虛擬化主機(jī)）、安 全設(shè)備、操作系統(tǒng)、中間件、數(shù)據(jù)庫(kù) 等）的脆弱性掃描，在部署新業(yè)務(wù)系統(tǒng) 時(shí)期、重大活動(dòng)保障時(shí)期等，執(zhí)行掃描 任務(wù)，彌補(bǔ)資產(chǎn)的先天性脆弱性，加強(qiáng) 風(fēng)險(xiǎn)的管控能力，降低威脅利用脆弱性 的可能，降低威脅影響資產(chǎn)的范圍和

40、能 力。安全基線配置核查 服務(wù)定期對(duì)全網(wǎng)資產(chǎn)（網(wǎng)絡(luò)設(shè)備、主機(jī)設(shè)備 （含物理主機(jī)、虛擬化主機(jī)）、安全設(shè) 備、操作系統(tǒng)、中間件、數(shù)據(jù)庫(kù)等）執(zhí) 行安全基線核查工作，彌補(bǔ)資產(chǎn)的后天 配置型脆弱性，加強(qiáng)風(fēng)險(xiǎn)的管控能力， 降低威脅利用脆弱性的可能，降低威脅 影響資產(chǎn)的范圍和能力。10數(shù)據(jù)庫(kù)保護(hù)云平臺(tái)/安全產(chǎn)品對(duì)數(shù)據(jù)庫(kù)的業(yè)務(wù)側(cè)訪問(wèn)和運(yùn)維側(cè)訪問(wèn)均 進(jìn)行SQL語(yǔ)句級(jí)的訪問(wèn)控制和審計(jì)。 同時(shí)也提供對(duì)異常事件、高危SQL語(yǔ) 句、SQL注入攻擊等提供告警和防護(hù)。11終端管理終端安全管理系統(tǒng)應(yīng)部署終端安全管理系統(tǒng)，對(duì)遠(yuǎn)程管理 終端或內(nèi)部辦公終端（如有）進(jìn)行有效的 安全管理，包括:終端接入控制、終端 安全加固、終端補(bǔ)丁管

41、理、終端進(jìn)程管 理等能力。應(yīng)用和數(shù)據(jù)安全序號(hào)類(lèi)別安全措施實(shí)現(xiàn)方式1接口安 全應(yīng)用安 全審計(jì)在開(kāi)發(fā)和采購(gòu)各類(lèi)軟件產(chǎn)品（包括硬件中灌注的軟 件）時(shí)，應(yīng)強(qiáng)調(diào)對(duì)其對(duì)外提供的API調(diào)用安全機(jī)制 的審查和測(cè)試?？刹捎肧SL的方式完成API的調(diào) 用，調(diào)用雙方應(yīng)通過(guò)安全方式交換公鑰，并產(chǎn)生 和協(xié)商N(yùn)話密鑰，由衣話密鑰保障母一次接口調(diào) 用時(shí)的身份鑒別、傳輸加密、完整性保護(hù)。2數(shù)據(jù)存 儲(chǔ)安全安全機(jī) 制、隱 私數(shù)據(jù) 保護(hù)根據(jù)總體架構(gòu)設(shè)計(jì)和數(shù)據(jù)架構(gòu)設(shè)計(jì)，平臺(tái)的數(shù)據(jù) 采用分區(qū)存放，原則上相對(duì)獨(dú)立，并設(shè)置配套的 安全訪問(wèn)權(quán)限對(duì)關(guān)鍵數(shù)據(jù)進(jìn)行加密存儲(chǔ)，實(shí)現(xiàn)加 密存儲(chǔ)，避免明文帶來(lái)的數(shù)據(jù)泄露等安全風(fēng)險(xiǎn)3數(shù)據(jù)備 份和恢 復(fù)數(shù)據(jù)災(zāi)

42、 備解決應(yīng)提供定期的數(shù)據(jù)備份和恢復(fù)機(jī)制，至少做到業(yè) 務(wù)數(shù)據(jù)的本地備份。定期進(jìn)行數(shù)據(jù)恢復(fù)演練，確 保備份數(shù)據(jù)的可用性。4WEB安 全WEB應(yīng) 用防火 墻應(yīng)在對(duì)外服務(wù)的網(wǎng)站系統(tǒng)與互聯(lián)網(wǎng)邊界處部署 WEB應(yīng)用安全防火墻，提供針對(duì)各類(lèi)WEB攻擊 （SQL注入攻擊、腳本攻擊、WEB SHELL攻擊、 CC攻擊等）的防護(hù)能力。網(wǎng)頁(yè)防 篡改系 統(tǒng)針對(duì)重要的網(wǎng)站系統(tǒng)（尤其是首頁(yè)，定級(jí)WEB系 統(tǒng)貞面），應(yīng)部署網(wǎng)頁(yè)防篡改系統(tǒng)（軟件形態(tài)，部署 防篡改Agent于WEB貞面服務(wù)器，部署可信網(wǎng) 頁(yè)更新源Agent十CMS系統(tǒng)中），保障WEB頁(yè)面 內(nèi)容正確。系統(tǒng)自 身安全 功能系統(tǒng)具備對(duì)木馬、蠕蟲(chóng)、Web shell等

43、惡意代碼 靜態(tài)檢測(cè)和行為檢測(cè)的能力。系統(tǒng)提供對(duì)各類(lèi)應(yīng) 用攻擊的防御能力，包括定期對(duì)應(yīng)用系統(tǒng)進(jìn)行漏 洞掃描和安全評(píng)估的能力、對(duì)掃描行為進(jìn)行及時(shí) 發(fā)現(xiàn)并告警的能力、對(duì)Web業(yè)務(wù)進(jìn)行網(wǎng)頁(yè)防篡改 的能力、對(duì)應(yīng)用訪問(wèn)防范攻擊的能力（如篡改、代 碼注入、DoS/DDoS等）、對(duì)異常訪問(wèn)進(jìn)行告警的 能力。5平臺(tái)身 份鑒別堡壘機(jī)通過(guò)云平臺(tái)堡壘機(jī)與租戶(hù)堡壘機(jī)實(shí)現(xiàn)統(tǒng)一賬號(hào)管 理，統(tǒng)一認(rèn)證管理，統(tǒng)一授權(quán)管理和統(tǒng)一審計(jì)管理 方便管理人員變動(dòng)、應(yīng)用變動(dòng)所帶來(lái)的鑒別和授 權(quán)關(guān)系變動(dòng)的調(diào)整，并做好審計(jì)記錄。數(shù)字證 書(shū)服務(wù)平臺(tái)安全認(rèn)證將通過(guò)證書(shū)管理、認(rèn)證管理等方式 加以實(shí)現(xiàn)。證書(shū)管理:集成證書(shū)注冊(cè)服務(wù)（RA）和電 子密鑰（U

44、SB Key）管理功能，實(shí)現(xiàn)用戶(hù)證書(shū)申請(qǐng)、 審批、核發(fā)、更新、吊銷(xiāo)等生命周期管理功能， 支持第三方電子認(rèn)證服務(wù)。通過(guò)CA數(shù)字證書(shū)服 務(wù)、數(shù)字證書(shū)控件、業(yè)務(wù)系統(tǒng)安全模塊，實(shí)現(xiàn)業(yè) 務(wù)系統(tǒng)接入身份鑒別，身份授權(quán)標(biāo)準(zhǔn)。通過(guò)CA 服務(wù)商頒發(fā)數(shù)字證書(shū)給各內(nèi)部應(yīng)用的辦公參與者 （應(yīng)對(duì)重要應(yīng)用用戶(hù)配發(fā)如硬件USBKEY承載數(shù)字 證書(shū)），再通過(guò)軟件定義證書(shū)間的嵌套和歸屬關(guān) 系，從而實(shí)現(xiàn)基于非對(duì)稱(chēng)密鑰思想的身份可信訪 問(wèn)。通過(guò)數(shù)字證書(shū)認(rèn)證方式，滿(mǎn)足關(guān)鍵性業(yè)務(wù)（尤 其是三級(jí)系統(tǒng)）的雙因素認(rèn)證。認(rèn)證管理:實(shí)現(xiàn)雙因 素認(rèn)證，數(shù)字證書(shū)與靜態(tài)口令。當(dāng)進(jìn)行遠(yuǎn)程管理 時(shí)，管理終端和大數(shù)據(jù)平臺(tái)的邊界設(shè)備之間應(yīng)建 立雙向身份驗(yàn)證機(jī)

45、制。當(dāng)進(jìn)行遠(yuǎn)程管理時(shí)，管理 終端和大數(shù)據(jù)平臺(tái)的邊界設(shè)備之間應(yīng)建立雙向身 份驗(yàn)證機(jī)制。6數(shù)據(jù)保 密性數(shù)據(jù)庫(kù) 加密根據(jù)業(yè)務(wù)需求、實(shí)際影響以及當(dāng)前管理辦法的要 求，對(duì)數(shù)據(jù)劃分不同的敏感度級(jí)別，根據(jù)不同級(jí) 別采取不同的安全防護(hù)措施可考慮在關(guān)鍵業(yè)務(wù)系 統(tǒng)部署數(shù)據(jù)庫(kù)加密產(chǎn)品（軟件形態(tài)，C/S架構(gòu)，代 理端部署于DBMS中，實(shí)現(xiàn)對(duì)數(shù)據(jù)庫(kù)中的敏感列 （如公民身份證號(hào)、聯(lián)系方式、家庭住址等）進(jìn)行加 密，并安全管理密鑰。7數(shù)據(jù)完 整性業(yè)務(wù)系 統(tǒng)安全 控件/電 7塊M J紅早 系統(tǒng)通過(guò)電子簽章軟件（硬件或軟件形態(tài)，C/S架構(gòu)， 代理端部署于PC終端中，服務(wù)端部署于安全管 理區(qū)域），實(shí)現(xiàn)基于數(shù)字簽名的完整性保護(hù)功能。8抗抵賴(lài)業(yè)務(wù)系 統(tǒng)安全 控件/電 7r$T.J攵早 系統(tǒng)通過(guò)部署電子簽章軟件（硬件或軟件形態(tài)，C/S架 構(gòu)，代理端部署于PC終端中，服務(wù)端部署于安 全管理區(qū)域），實(shí)現(xiàn)對(duì)等級(jí)保護(hù)三級(jí)的業(yè)務(wù)類(lèi)系統(tǒng) 的基于數(shù)字簽名的抗抵賴(lài)功能。9訪問(wèn)控 制安全產(chǎn) 品通過(guò)部署堡壘機(jī)系統(tǒng)，提供對(duì)重