信息系統(tǒng)安全加固描述

一．安全加固概述網(wǎng)絡(luò)設(shè)備與操作系統(tǒng)加固和優(yōu)化服務(wù)是實現(xiàn)客戶信息系統(tǒng)安全的關(guān)鍵環(huán)節(jié)。通過使用該項服務(wù)，將在客戶信息系統(tǒng)的網(wǎng)絡(luò)層、主機層等層次建立符合客戶安全需求的安全狀態(tài)，并以此作為保證客戶信息系統(tǒng)安全的起點。網(wǎng)絡(luò)設(shè)備與操作系統(tǒng)加固和優(yōu)化服務(wù)的目的是通過對主機和網(wǎng)絡(luò)設(shè)備所存在安全問題執(zhí)行以下操作：●

網(wǎng)絡(luò)設(shè)備與操作系統(tǒng)的安全配置；●

系統(tǒng)安全風(fēng)險防范；●

提供系統(tǒng)使用和維護建議；●

安裝最新安全補?。ǜ鶕?jù)風(fēng)險決定是否打補丁）；上述工作的結(jié)果決定了網(wǎng)絡(luò)設(shè)備與操作系統(tǒng)加固和優(yōu)化的流程、實施的內(nèi)容、步驟和復(fù)雜程度。具體說，則可以歸納為：（1）加固目標(biāo)也就是確定系統(tǒng)在做過加固和優(yōu)化后，達到的安全級別，通常不同環(huán)境下的系統(tǒng)對安全級別的要求不同，由此采用的加固方案也不同。（2）明確系統(tǒng)運行狀況的內(nèi)容包括:●

系統(tǒng)的具體用途,即明確系統(tǒng)在工作環(huán)境下所必需開放的端口和服務(wù)等?！?/p>

系統(tǒng)上運行的應(yīng)用系統(tǒng)及其正常所必需的服務(wù)?！?/p>

我們是從網(wǎng)絡(luò)掃描及人工評估里來收集系統(tǒng)的運行狀況的。（3）明確加固風(fēng)險：網(wǎng)絡(luò)設(shè)備與操作系統(tǒng)加固是有一定風(fēng)險的，一般可能的風(fēng)險包括停機、應(yīng)用程序不能正常使用、最嚴(yán)重的情況是系統(tǒng)被破壞無法使用。這些風(fēng)險一般是由于系統(tǒng)運行狀況調(diào)查不清導(dǎo)致，也有因為加固方案的代價分析不準(zhǔn)確，誤操作引起。因此在加固前做好系統(tǒng)備份是非常重要的。二．加固和優(yōu)化流程概述網(wǎng)絡(luò)設(shè)備與操作系統(tǒng)加固和優(yōu)化的流程主要由以下四個環(huán)節(jié)構(gòu)成：1.狀態(tài)調(diào)查對系統(tǒng)的狀態(tài)調(diào)查的過程主要是導(dǎo)入以下服務(wù)的結(jié)果：●

系統(tǒng)安全需求分析●

系統(tǒng)安全策略制訂●

系統(tǒng)安全風(fēng)險評估(網(wǎng)絡(luò)掃描和人工評估)對于新建的系統(tǒng)而言，主要是導(dǎo)入系統(tǒng)安全需求分析和系統(tǒng)安全策略制訂這兩項服務(wù)的結(jié)果。在導(dǎo)入上述服務(wù)的結(jié)果后，應(yīng)確定被加固系統(tǒng)的安全級別，即確定被加固系統(tǒng)所能達到的安全程度。同時，也必須在分析上述服務(wù)結(jié)果的基礎(chǔ)上確定對網(wǎng)絡(luò)與應(yīng)用系統(tǒng)加固和優(yōu)化的代價。2.制訂加固方案制訂加固方案的主要內(nèi)容是根據(jù)系統(tǒng)狀態(tài)調(diào)查所產(chǎn)生的結(jié)果制訂對系統(tǒng)實施加固和優(yōu)化的內(nèi)容、步驟。在網(wǎng)絡(luò)中我們已部署了防火墻、入侵檢測、認(rèn)證系統(tǒng)等網(wǎng)絡(luò)安全設(shè)備，但是主要是側(cè)重于網(wǎng)絡(luò)層的攻擊檢測和防護，并且僅部署于企業(yè)公網(wǎng)的網(wǎng)絡(luò)出口，對于網(wǎng)絡(luò)的防護有一定的局限性。而近年來隨著網(wǎng)絡(luò)規(guī)模的不斷擴張，應(yīng)用的不斷增多，連續(xù)爆發(fā)的沖擊波、震蕩波、CodeRed、Nimda等蠕蟲病毒以及最近大量出現(xiàn)的ARP病毒、DDOS分布式網(wǎng)絡(luò)攻擊、大量不請自來的垃圾郵件，已成為網(wǎng)絡(luò)當(dāng)中最令管理員頭疼的問題。3.服務(wù)器系統(tǒng)加固服務(wù)器系統(tǒng)安全加固是指通過一定的技術(shù)手段，提高系統(tǒng)的主機安全性和抗攻擊能力，通過對操作系統(tǒng)的安全加固，可以大大減少操作系統(tǒng)存在的安全漏洞，減少可能存在的安全風(fēng)險，確保服務(wù)器的正常運作。網(wǎng)絡(luò)中各種服務(wù)器，如Web服務(wù)器、FTP服務(wù)器、E-mail服務(wù)器，是黑客攻擊的重點目標(biāo)，其安全性至關(guān)重要。雖然通過路由器的包過濾和防火墻的訪問控制，大大增強了安全性。但黑客還可以利用服務(wù)器的漏洞或配置錯誤進行攻擊，以圖獲取系統(tǒng)控制權(quán)或?qū)崿F(xiàn)拒絕服務(wù)。例如UNIX、WindowsNT、Linux都只能達到美國國防部提出可信計算機系統(tǒng)評測標(biāo)準(zhǔn)TCSEC的C2級。但對于開放源代碼的Linux操作系統(tǒng)，可以很好的通過采取B級系統(tǒng)代替?zhèn)鹘y(tǒng)的C級系統(tǒng)等措施來解決安全加固的問題。可以首先在最敏感的服務(wù)器和網(wǎng)絡(luò)隔離設(shè)備上及要害信息系統(tǒng)的服務(wù)器中采用B級操作系統(tǒng)，并配備B級數(shù)據(jù)庫管理系統(tǒng)。將應(yīng)用、服務(wù)都建設(shè)在B級的基礎(chǔ)上，這樣整個信息系統(tǒng)的安全性能才有根本性的保障。SELinux是由NSA（美國國家安全局）和SCC（SecureComputingCorporation）開發(fā)的Linux的一個擴張強制訪問控制安全模塊。2000年以GNUGPL發(fā)布。經(jīng)過SELinux保護的Linux安全級別則可以達到B1級。另外，國內(nèi)在安全Linux內(nèi)核技術(shù)方面的相關(guān)研究主要是LIDS項目，LIDS是一個在開放源碼的LinuxKernel上進行安全加固的工程。目前已經(jīng)得到了國內(nèi)外的廣泛認(rèn)同。LIDS項目在標(biāo)準(zhǔn)Linux內(nèi)核源碼基礎(chǔ)上，采用強制性訪問控制技術(shù)、類型保證和執(zhí)行域等技術(shù)，對標(biāo)準(zhǔn)內(nèi)核進行以安全增強為目的的修改，并提供了一個管理工具lidsadm。4.數(shù)據(jù)庫加固主流數(shù)據(jù)庫系統(tǒng)（包括Oracle、SQLServer、Sybase、MySQL、Informix）的補丁、賬號管理、口令強度和有效期檢查、遠程登陸和遠程服務(wù)、存儲過程、審核層次、備份過程、角色和權(quán)限審核、并發(fā)事件資源限制、訪問時間限制、審核跟蹤、特洛依木馬等。安全加固主要方式是補丁安裝及安全配置的調(diào)整，并不是所有的補丁包都可以隨便安裝、配置隨意調(diào)整，有些補丁包的安裝可能會影響到某些正常應(yīng)用的工作，而某些配置的調(diào)整則也可能導(dǎo)致系統(tǒng)的不穩(wěn)定