安全檢測方案

深圳市****有限公司業(yè)務(wù)系統(tǒng)安全檢測方案二零零八年四月目錄TOC\o"1-5"\h\z\o"CurrentDocument"一.目的 3二.項目實施時間和地點 3\o"CurrentDocument"2.1項目實施時間 32.2項目實施地點 3\o"CurrentDocument"三.項目具體實施方法 4\o"CurrentDocument"3.1重點評估具體內(nèi)容 4\o"CurrentDocument"3.2評估項目總體流程 8\o"CurrentDocument"3.3具體流程舉例 9\o"CurrentDocument"五.雙方及設(shè)備廠商項目組成人員 10\o"CurrentDocument"六.項目實施質(zhì)量控制 10\o"CurrentDocument"6.1過程控制 10七.項目實施時間進度表 11\o"CurrentDocument"八．項目管理文檔模版 12\o"CurrentDocument"8.1會議紀要模版 128.2工程開工通知單模版 138.3事故記錄表模版 14\o"CurrentDocument"8.4工程實施記錄表 15\o"CurrentDocument"九.項目文檔管理要求 16十一.工程驗收 17\o"CurrentDocument"11.1正式驗收要項 17\o"CurrentDocument"11.2驗收流程 18一. 目的為保障客戶網(wǎng)絡(luò)、業(yè)務(wù)系統(tǒng)、數(shù)據(jù)庫等安全穩(wěn)定的運行，****對客戶業(yè)務(wù)系統(tǒng)及相關(guān)支撐系統(tǒng)進行全面的安全檢測。安全檢測分兩次進行，第一次安排在六月中旬，第二次安排在七月上旬。在每次安全檢測完畢由****提供《業(yè)務(wù)系統(tǒng)安全檢測報告》和《業(yè)務(wù)系統(tǒng)安全漏洞修復(fù)方案》，并指導(dǎo)客戶相關(guān)人員對業(yè)務(wù)系統(tǒng)及相關(guān)支撐系統(tǒng)進行安全修復(fù)或整改。安全檢測是對客戶業(yè)務(wù)系統(tǒng)及相關(guān)支撐系統(tǒng)進行安全風險分析和評估，主要檢測有以下幾方面：1、網(wǎng)絡(luò)規(guī)劃與布局的安全性評估；2、網(wǎng)絡(luò)基礎(chǔ)設(shè)施安全性與穩(wěn)定性評估；3、邊界防御設(shè)施與接入安全性評估；4、服務(wù)器主機系統(tǒng)安全性與穩(wěn)定性評估；5．數(shù)據(jù)庫安全性評估；6．業(yè)務(wù)系統(tǒng)安全性評估。第一次安全檢測是對客戶業(yè)務(wù)系統(tǒng)及相關(guān)支撐系統(tǒng)進行全面的安全檢測和安全漏洞修復(fù)。第二次安全檢測是在第一次的基礎(chǔ)上再次對對客戶業(yè)務(wù)系統(tǒng)及相關(guān)支撐系統(tǒng)進行安全檢測，找出沒有修復(fù)的安全漏洞和還存在的安全漏洞。二. 項目實施時間和地點2.1 項目實施時間2.2 項目實施地點三.項目具體實施方法安全評估指的是對網(wǎng)絡(luò)系統(tǒng)進行安全風險分析和評估。選取在業(yè)務(wù)系統(tǒng)、網(wǎng)絡(luò)服務(wù)、主機操作系統(tǒng)平臺、網(wǎng)絡(luò)規(guī)劃與布局、數(shù)據(jù)庫等方面作為安全評估的對象。風險評估是網(wǎng)絡(luò)安全重要的一環(huán)，在這里主要是以安全檢測、掃描和風險評估技術(shù)來實現(xiàn)，以預(yù)先發(fā)現(xiàn)信息系統(tǒng)中存在的安全隱患，并及時解決問題。評估能使網(wǎng)絡(luò)系統(tǒng)具有預(yù)先識別和防范風險的功能。風險評估系統(tǒng)用于評估和管理網(wǎng)絡(luò)、防火墻、WEB服務(wù)器、應(yīng)用服務(wù)器及數(shù)據(jù)庫存在的安全風險和漏洞，企業(yè)安全管理員可以根據(jù)安全評估報告優(yōu)化主機和網(wǎng)絡(luò)設(shè)備的安全策略配置，進一步提高安全性。重點評估具體內(nèi)容1、網(wǎng)絡(luò)規(guī)劃與布局的安全性評估?網(wǎng)絡(luò)拓撲規(guī)劃分析?網(wǎng)絡(luò)流量分析?網(wǎng)絡(luò)邏輯結(jié)構(gòu)分析■子網(wǎng)/VLAN的合理劃分分析■域和工作組劃分安全分析■數(shù)據(jù)廣播域分離分析■IP地址規(guī)劃分析■共享資源架設(shè)效率分析■網(wǎng)絡(luò)訪問控制分析■VPN系統(tǒng)安全分析2、網(wǎng)絡(luò)基礎(chǔ)設(shè)施安全性與穩(wěn)定性評估?路由器安全配置?交換機安全配置撥號服務(wù)器安全配置防火墻安全配置設(shè)備口令審計設(shè)備開放服務(wù)安全審計網(wǎng)管軟件安全性審計設(shè)備固件或OS安全分析設(shè)備訪問控制列表分析設(shè)備穩(wěn)定性測試分析（各種DoS拒絕服務(wù)測試）3、 服務(wù)器主機系統(tǒng)安全性與穩(wěn)定性評估服務(wù)器主機操作系統(tǒng)內(nèi)核、版本及補丁審計服務(wù)器主機操作系統(tǒng)通用/默認應(yīng)用程序安全性審計服務(wù)器主機后門檢測服務(wù)器主機漏洞檢測服務(wù)器主機安全配置審計服務(wù)器主機用戶權(quán)限審計服務(wù)器主機口令審計服務(wù)器主機文件系統(tǒng)安全性審計4、 數(shù)據(jù)庫系統(tǒng)安全性評估Oracle/MSSQL數(shù)據(jù)庫系統(tǒng)用戶權(quán)限審計Oracle/MSSQL數(shù)據(jù)庫系統(tǒng)口令審計Oracle/MSSQL數(shù)據(jù)庫系統(tǒng)數(shù)據(jù)同步或熱備份機制可靠性審計Oracle/MSSQL數(shù)據(jù)庫系統(tǒng)存儲進程安全機制審計Oracle/MSSQL數(shù)據(jù)庫日志審計分析Oracle/MSSQL數(shù)據(jù)庫系統(tǒng)災(zāi)難處理及預(yù)防安全機制審計Oracle/MSSQL數(shù)據(jù)庫系統(tǒng)與前臺接口安全訪問控制機制審計5、 邊界防御設(shè)施與接入安全性評估生產(chǎn)系統(tǒng)跨域訪問需求分析防火墻安全策略審計（外網(wǎng)發(fā)起）生產(chǎn)網(wǎng)遠程入侵整體測試接入節(jié)點主機安全性測試分支機構(gòu)網(wǎng)絡(luò)邊界安全性模擬攻擊測試6、 、業(yè)務(wù)系統(tǒng)安全性評估業(yè)務(wù)系統(tǒng)支撐軟件安全評估，如Apache、JBoss?業(yè)務(wù)系統(tǒng)重要部分代碼檢測業(yè)務(wù)系統(tǒng)口令審計業(yè)務(wù)系統(tǒng)數(shù)據(jù)傳輸保密性檢測業(yè)務(wù)系統(tǒng)權(quán)限劃分業(yè)務(wù)系統(tǒng)數(shù)據(jù)備份安全性業(yè)務(wù)系統(tǒng)數(shù)據(jù)同步安全性安全評估主要通過以下二種方式進行：主要方式為工具掃描和人工分析。下面列表介紹CNNS在平臺層次實施過程中用到的部分工具和手段：項目內(nèi)容引用的專業(yè)安全檢測軟件ISSInternetScannerCNNS風險評估系統(tǒng)NmapCNNS風險管理系統(tǒng)NAISniffereEyeIrisSniffer引用的人工服務(wù)項目＞手工網(wǎng)絡(luò)檢測＞遠程滲透測試＞應(yīng)用軟件、腳本代碼脆弱性分析與攻擊測試＞數(shù)據(jù)庫脆弱性手工分析＞弱加密機制分析＞高強度口令猜解(引用60萬口令字字典)＞管理脆弱性問題分析＞通信安全性、網(wǎng)絡(luò)監(jiān)聽分析＞整合測試＞報告輸出與整理＞安全統(tǒng)計分析＞出具安全性評估報告結(jié)果人工分析安全檢測的內(nèi)容涉及：遠程越權(quán)存取系統(tǒng)后門及木馬程序拒絕服務(wù)(DenialofService)CGI(通用網(wǎng)關(guān)接口)或ASP、JSP和其它動態(tài)網(wǎng)頁程序的安全性防火墻(FireWall)設(shè)置文件傳輸服務(wù)安全性密碼安全性操作系統(tǒng)內(nèi)核的安全性網(wǎng)絡(luò)協(xié)議和配置的安全性用戶管理的安全性日志和審計系統(tǒng)的健全性遠程維護程序和管理策略的安全性系統(tǒng)敏感信息的保密性網(wǎng)絡(luò)路由設(shè)備的安全性代理服務(wù)和網(wǎng)關(guān)的安全配置網(wǎng)絡(luò)結(jié)構(gòu)的合理性和安全性合作伙伴系統(tǒng)的可信任度已有安全產(chǎn)品和設(shè)備的有效性3.2評估項目總體流程3.3具體流程舉例以平臺層次的安全評估工作為例，下面列表介紹CNNS在實施過程中用到的具體流程：雙方項目組成人員表5.1甲方人員爾*0jaws郵箱KM表5.2乙方人員>O再g郵箱項目實施質(zhì)量控制過程控制為了保證服務(wù)質(zhì)量，****將對安全服務(wù)的過程進行嚴格的控制，具體工程過程如下：****的項目經(jīng)理在每次的任務(wù)實施前2天提交具體的每日工作詳細實施計劃表，表格如下：安全服務(wù)項目實施計劃表

在每次的安全服務(wù)實施前，召開30分鐘的實施準備會議，總結(jié)前一次的工作和討論當次的工作注意事項；每天項目實施完成填寫工程實施記錄表。項目實施時間進度表工程實施時間安排是該項工程實施的時間進度計劃，是工程控制的基本依據(jù)之一。網(wǎng)絡(luò)服務(wù)安全項目工期是六月中旬~八月上旬。評估實施內(nèi)容、時間進度表標識號任務(wù)名稱子任務(wù)開始時間備注1安全檢測評估協(xié)調(diào)會議六月中旬與甲方工程師配合，就這次評估進行討

論。2遠程評估在實施過程中注意保證網(wǎng)絡(luò)正常動作。4本地評估在實施過程中注意保證網(wǎng)絡(luò)正常工作。5安全修復(fù)方案討論討論修復(fù)方案6安全修復(fù)與甲方工程師一起修復(fù)7運行觀察運行觀察8評估協(xié)調(diào)會議與甲方工程師配合，就這次評估進行討論。9遠程評估在實施過程中注意保證絡(luò)正常動作。10安全檢測本地評估七月上旬在實施過程中注意保證網(wǎng)絡(luò)正常工作。11安全修復(fù)方案討論討論修復(fù)方案12不合格項的整改與甲方工程師一起整改13驗收提交安全檢測驗收報告提交工作總結(jié)及評估驗收報告八．項目管理文檔模版會議紀要模版會議主題時 間地點參加人員

會議紀要會議紀要雙方確認人：安絡(luò)： 甲方負責人：8.2工程開工通知單模版開工通知單收件人：項目負責人發(fā)件人：****項目主管抄送：項目組成員日期：年月日項目負責人：根據(jù)貴公司和****有限公司雙方簽定的合同的要求，決定從年月日開始此工程的實施，具體內(nèi)容請參見《項目實施計劃》****項目負責人簽字：客戶項目負責人簽字：2006年月日

8.4工程實施記錄表工程實施記錄表編號客戶名稱：服務(wù)時間： 年月日客戶公司地址：服務(wù)地點：客戶聯(lián)系人姓名：客戶聯(lián)系電話：客戶聯(lián)系email地址：工程內(nèi)容：具體工作進程：工作結(jié)果及下步工作安排:安絡(luò)工程師簽名:以下欄由客戶填寫:為了提高安絡(luò)公司的服務(wù)質(zhì)量和服務(wù)水平，請?zhí)岢瞿鷮氋F的意見：您對我們的服務(wù)的滿意度：1）有待改進 2）—般 3）滿意您認為我們應(yīng)在哪些方面提高服務(wù)水平：1）服務(wù)態(tài)度 2）技術(shù)水平3）工作流程 4）與客戶協(xié)調(diào)謝謝您的寶貴意見，請您簽名:九.項目文檔管理要求1）文檔分類規(guī)范：****對此次項目的所有工程文檔分為工程管理類和工程技術(shù)類兩大類文檔，主要有編號工程管理類文檔名工程技術(shù)類文檔名1項目實施計劃主機系統(tǒng)檢測報告2項目協(xié)調(diào)會議記錄3項目開工通知單4項目階段工作會議記錄5項目總結(jié)工作會議記錄評估檢測文檔2）文檔編號規(guī)范：此次項目的文檔編號采用如下格式CNNS-PGGL-0801-001說明：GL指管理類；0801指年月；001指文檔順序號；CNNS-PG-S-0802-001說明：JS指技術(shù)類；0801指年月；001指文檔順序號；文檔編號由項目經(jīng)理統(tǒng)一分發(fā)。3）文檔歸檔要求：此次項目的所有文檔由項目主管統(tǒng)一歸檔，****的項目參與工程師的所有的電子文檔