1、信息系統(tǒng)安全保障杭州市基礎(chǔ)信息安全測評認(rèn)證中心2010.6WWW.HZTEC.ORG.CN主要內(nèi)容信息安全現(xiàn)狀1信息系統(tǒng)安全保障體系2安全保障技術(shù)要求安全保障管理要求43WWW.HZTEC.ORG.CN安全現(xiàn)狀網(wǎng)站安全2009年全年中國大陸網(wǎng)站監(jiān)測到被篡改數(shù)量有4.2 萬個網(wǎng)站被黑客篡改其中：政府網(wǎng)站被篡改2765 個2010年1-2月中國大陸網(wǎng)站監(jiān)測到被篡改數(shù)量4185個網(wǎng)站被黑客篡改其中：政府網(wǎng)站被篡改764個6月份：大量高校網(wǎng)站被黑（包括北大、清華、浙大）（依據(jù)“國家計算機(jī)網(wǎng)絡(luò)應(yīng)急技術(shù)處理協(xié)調(diào)中心”報告）WWW.HZTEC.ORG.CN網(wǎng)絡(luò)攻擊的主要目標(biāo)根據(jù)電信運(yùn)營商2009年調(diào)查結(jié)果(

2、基于對2億8500萬次累計攻擊行為數(shù)據(jù)進(jìn)行分析)：對數(shù)據(jù)庫系統(tǒng)的攻擊行為占比最高，在75%左右。安全現(xiàn)狀主要攻擊目標(biāo)WWW.HZTEC.ORG.CN安全現(xiàn)狀安全漏洞系統(tǒng)安全漏洞網(wǎng)絡(luò)設(shè)備、操作系統(tǒng)、數(shù)據(jù)庫、應(yīng)用軟件甚至是安全產(chǎn)品的高危漏洞越來越多，2009年，CNCERT整理和發(fā)布的高危漏洞公告133個，比2008年增加32%2010年僅以6月份的第2個禮拜為例：周二微軟發(fā)布10 個安全補(bǔ)丁，修復(fù)34個安全漏洞，隨后又發(fā)布一個0-Day攻擊安全漏洞。蘋果為Safari瀏覽器推出了安全補(bǔ)丁，修復(fù)了 48個安全漏洞。星期五Adobe發(fā)布的補(bǔ)丁涉及32個安全漏洞終端安全：2009年我國計算機(jī)病毒感染率

3、為70%，其中多次感染病毒的比率為43%WWW.HZTEC.ORG.CN安全形勢衛(wèi)生系統(tǒng)醫(yī)院醫(yī)療業(yè)務(wù)的開展對網(wǎng)絡(luò)信息系統(tǒng)的依賴2009.12，北京某醫(yī)院，內(nèi)網(wǎng)服務(wù)器受蠕蟲攻擊，所有應(yīng)用系統(tǒng)無法運(yùn)行醫(yī)院信息系統(tǒng)在規(guī)模、復(fù)雜度上的快速提高HIS、LIS、PACS/RIS、麻醉系統(tǒng)、新的外部信息安全威脅及挑戰(zhàn)各醫(yī)院院領(lǐng)導(dǎo)及主管部門對信息安全建設(shè)工作的重視WWW.HZTEC.ORG.CN主要內(nèi)容信息安全現(xiàn)狀1信息系統(tǒng)安全保障體系2安全保障技術(shù)要求安全保障管理要求43WWW.HZTEC.ORG.CN信息系統(tǒng)安全保障體系管理制度應(yīng)用系統(tǒng)網(wǎng)絡(luò)平臺系統(tǒng)平臺物理環(huán)境運(yùn)行維護(hù)WWW.HZTEC.ORG.CN信息系

4、統(tǒng)安全保障體系物理機(jī)房是否提供系統(tǒng)正常運(yùn)行的場所，并保證硬件設(shè)備、通信鏈路、機(jī)房環(huán)境的物理安全網(wǎng)絡(luò)是否合理劃分了不同的網(wǎng)絡(luò)區(qū)域，并根據(jù)應(yīng)用需求設(shè)置合理的訪問控制策略，強(qiáng)化網(wǎng)絡(luò)設(shè)備自身安全配置WWW.HZTEC.ORG.CN信息系統(tǒng)安全保障體系系統(tǒng)平臺是否對應(yīng)用系統(tǒng)所依賴的操作系統(tǒng)、數(shù)據(jù)庫及應(yīng)用平臺進(jìn)行了合理的安全配置，以保障系統(tǒng)平臺的安全應(yīng)用系統(tǒng)業(yè)務(wù)應(yīng)用軟件應(yīng)根據(jù)安全需求開發(fā)各類安全功能，并有效啟用安全功能，以達(dá)到保護(hù)應(yīng)用信息的目的。WWW.HZTEC.ORG.CN信息系統(tǒng)安全保障體系產(chǎn)品選擇必須選用經(jīng)國家主管部門許可、并經(jīng)國家測評認(rèn)證機(jī)構(gòu)認(rèn)可的安全產(chǎn)品。密碼產(chǎn)品對非涉密信息進(jìn)行加密保護(hù)或安全

5、認(rèn)證時所采用的技術(shù)或產(chǎn)品應(yīng)符合商用密碼管理條例的要求安全三原則（CIA）Confidentiality 保密性數(shù)據(jù)庫數(shù)據(jù)泄漏、Integrity 完整性網(wǎng)站篡改、Availability 可用性局域網(wǎng)癱瘓、WWW.HZTEC.ORG.CNWWW.HZTEC.ORG.CN安全技術(shù)要求之物理安全物理環(huán)境機(jī)房建設(shè)應(yīng)滿足： GB/T 2887電子計算機(jī)場地通用規(guī)范 GB/T 9361計算機(jī)場地安全要求WWW.HZTEC.ORG.CN某信息中心機(jī)房消防安全隱患機(jī)房堆放了包裝紙箱、文件柜及雜物，易燃未配備機(jī)房專用滅火設(shè)備，使用水噴淋滅火某單位機(jī)房設(shè)備及線路安全機(jī)房擁擠，主機(jī)擺放隨意：地板上、桌子上設(shè)備無標(biāo)

6、簽，布線凌亂，弱電/強(qiáng)電線路混合某單位機(jī)房防盜、防塵機(jī)房臨街，未安裝防盜窗經(jīng)常開窗，機(jī)房內(nèi)存在較多灰塵物理環(huán)境安全案例物理環(huán)境安全案例WWW.HZTEC.ORG.CNWWW.HZTEC.ORG.CN具體安全要求機(jī)房的外部環(huán)境條件、照明、接地、供電、建筑結(jié)構(gòu)、介質(zhì)存放、監(jiān)視防護(hù)設(shè)備等應(yīng)滿足GB/T 2887電子計算機(jī)場地通用規(guī)范4.34.9節(jié)的要求；機(jī)房的選址、防火、供配電、消防設(shè)施、防水、防靜電、防雷擊應(yīng)滿足GB/T 9361計算機(jī)場地安全要求48節(jié)的要求，在防火、防雷、防靜電、安防監(jiān)控等方面時，應(yīng)經(jīng)過相關(guān)專業(yè)機(jī)構(gòu)的檢測。物理環(huán)境安全機(jī)房環(huán)境WWW.HZTEC.ORG.CN其它具體要求提供合理

7、的短期備用電力供應(yīng)設(shè)備防盜、防毀措施；通訊線路連接、設(shè)備標(biāo)簽、布線合理性；機(jī)房出入口配置門禁系統(tǒng)及監(jiān)控報警系統(tǒng)；機(jī)房出入記錄，記錄內(nèi)容包括人員姓名、出入日期和時間，操作內(nèi)容，攜帶物品等。物理環(huán)境安全設(shè)備及監(jiān)控WWW.HZTEC.ORG.CN安全技術(shù)要求之網(wǎng)絡(luò)結(jié)構(gòu)安全網(wǎng)絡(luò)結(jié)構(gòu)內(nèi)部結(jié)構(gòu)應(yīng)根據(jù)應(yīng)用需求在劃分內(nèi)網(wǎng)/外網(wǎng)、終端接入?yún)^(qū)/服務(wù)器區(qū)等區(qū)域，并在相關(guān)網(wǎng)絡(luò)設(shè)備中配置安全策略進(jìn)行隔離；外部邊界應(yīng)根據(jù)安全需求在系統(tǒng)與Internet、政務(wù)外網(wǎng)、業(yè)務(wù)專網(wǎng)等外部網(wǎng)絡(luò)的互連處配置網(wǎng)關(guān)設(shè)備實施訪問控制，并對通信及操作事件進(jìn)行審計。WWW.HZTEC.ORG.CN具體安全要求應(yīng)對網(wǎng)絡(luò)邊界上部署的網(wǎng)絡(luò)隔離設(shè)備中根

8、據(jù)應(yīng)用需求設(shè)置合理的訪問控制規(guī)則，合理開放對外服務(wù)應(yīng)對系統(tǒng)內(nèi)部服務(wù)器區(qū)域進(jìn)行劃分及隔離，在終端計算機(jī)與服務(wù)器之間進(jìn)行訪問控制，建立安全的訪問路徑。當(dāng)有重要信息通過公共網(wǎng)絡(luò)進(jìn)行傳輸時，應(yīng)在傳輸線路中配置加密設(shè)備，以保證信息傳輸?shù)谋Ｃ苄?；禁止?nèi)部網(wǎng)絡(luò)用戶未授權(quán)與外部網(wǎng)絡(luò)連接；如提供遠(yuǎn)程撥號或移動用戶連接，應(yīng)在系統(tǒng)入口處配置鑒別與認(rèn)證服務(wù)器。禁止非授權(quán)設(shè)備接入內(nèi)部網(wǎng)絡(luò)，尤其是服務(wù)器區(qū)域。網(wǎng)絡(luò)結(jié)構(gòu)安全要求WWW.HZTEC.ORG.CN安全技術(shù)要求之網(wǎng)絡(luò)設(shè)備安全網(wǎng)絡(luò)設(shè)備根據(jù)系統(tǒng)安全策略和維護(hù)需求設(shè)置合理的設(shè)備自身安全配置：版本更新與漏洞修補(bǔ)版本信息保護(hù)身份鑒別鏈接安全配置備份安全審計WWW.HZTEC

9、.ORG.CN具體安全要求（以路由器交換機(jī)為例）保持路由器/交換機(jī)軟件版本的更新，修補(bǔ)高風(fēng)險的漏洞；（軟件更新)禁止與應(yīng)用無關(guān)的網(wǎng)絡(luò)服務(wù)，關(guān)閉與應(yīng)用無關(guān)的網(wǎng)絡(luò)接口；( 最少服務(wù))對登錄的用戶進(jìn)行身份標(biāo)識和鑒別，身份標(biāo)識唯一，不反饋鑒別信息；修改路由器/交換機(jī)默認(rèn)用戶的口令或禁止默認(rèn)用戶訪問，用戶口令應(yīng)滿足長度和復(fù)雜性要求，并對配置口令進(jìn)行加密保護(hù)；（用戶管理,最小權(quán)限)當(dāng)?shù)卿涍B接超時，應(yīng)自動斷開連接，并要求重新鑒別；網(wǎng)絡(luò)設(shè)備安全要求WWW.HZTEC.ORG.CN具體安全要求對能夠登錄路由器/交換機(jī)的網(wǎng)絡(luò)地址進(jìn)行限制，關(guān)閉與應(yīng)用無關(guān)的遠(yuǎn)程訪問接口；(訪問控制)對登錄提示信息進(jìn)行設(shè)置，不顯示路由

10、器/交換機(jī)型號、引擎版本、部門信息等； 對路由器/交換機(jī)配置進(jìn)行備份，且對備份文件的讀取實施訪問控制；開啟路由器/交換機(jī)日志功能，對修改訪問控制列表、調(diào)整設(shè)備配置的操作行為進(jìn)行審計記錄。(安全審計)網(wǎng)絡(luò)設(shè)備安全要求WWW.HZTEC.ORG.CN安全技術(shù)要求之操作系統(tǒng)安全操作系統(tǒng)版本更新與漏洞修補(bǔ)身份鑒別用戶權(quán)限分配口令質(zhì)量鑒別失敗處理默認(rèn)服務(wù)開放終端限制安全審計WWW.HZTEC.ORG.CN典型案例某單位內(nèi)網(wǎng)Windows服務(wù)器：內(nèi)網(wǎng)和Internet隔離，需手工升級，超過6個月未進(jìn)行系統(tǒng)安全補(bǔ)丁升級，2009年3月，因終端感染W(wǎng)orm.Win32.MS08-067蠕蟲病毒，造成服務(wù)器中毒

11、，服務(wù)異常。某信息中心服務(wù)器：不明人員通過猜測密碼成功登錄服務(wù)器遠(yuǎn)程桌面后，多次惡意關(guān)閉OA應(yīng)用服務(wù)，但因未開啟全面的登陸審計，無法追蹤其來源。操作系統(tǒng)安全案例WWW.HZTEC.ORG.CN具體安全要求定期更新操作系統(tǒng)版本，修補(bǔ)漏洞；關(guān)閉與應(yīng)用無關(guān)的服務(wù)、啟動腳本或網(wǎng)絡(luò)功能；對登錄用戶進(jìn)行身份標(biāo)識和鑒別；用戶的身份標(biāo)識唯一；身份鑒別如采用用戶名/口令方式，應(yīng)設(shè)置口令長度、復(fù)雜性和更新周期；修改默認(rèn)用戶的口令或禁止默認(rèn)用戶訪問，禁止匿名訪問或限制訪問的范圍；具有登錄失敗處理功能，當(dāng)?shù)卿浭〈螖?shù)達(dá)到限制值時，應(yīng)結(jié)束會話、鎖定用戶；操作系統(tǒng)安全要求WWW.HZTEC.ORG.CN具體安全要求實行特

12、權(quán)用戶的權(quán)限分離，按照最小授權(quán)原則，分別授予不同用戶各自為完成自身承擔(dān)任務(wù)所需的最小權(quán)限，并在他們之間形成相互制約的關(guān)系；對系統(tǒng)內(nèi)的重要文件（如啟動腳本文件、口令文件、服務(wù)配置文件）、服務(wù)、環(huán)境變量、進(jìn)程等實施訪問控制；系統(tǒng)管理員實施遠(yuǎn)程登錄時，應(yīng)使用強(qiáng)鑒別機(jī)制，且操作系統(tǒng)應(yīng)記錄詳細(xì)的登錄信息；通過設(shè)定終端接入方式、網(wǎng)絡(luò)地址范圍等條件限制終端的登錄；操作系統(tǒng)安全要求WWW.HZTEC.ORG.CN具體安全要求對安全事件進(jìn)行審計，審計事件至少包括：用戶管理、審計功能啟停及審計策略調(diào)整、權(quán)限變更、系統(tǒng)資源的異常使用、重要的系統(tǒng)操作、重要用戶的各項操作進(jìn)行審計；審計記錄應(yīng)包括日期和時間、觸發(fā)事件的主

13、體與客體、事件的類型、事件成功或失敗、事件的結(jié)果等；審計記錄應(yīng)受到保護(hù)避免受到未預(yù)期的刪除、修改或覆蓋；用戶鑒別信息及與應(yīng)用信息所在的存儲空間，被釋放或再分配給其他用戶之前應(yīng)完全清除；限制單個用戶對系統(tǒng)資源的最大使用額度。操作系統(tǒng)安全要求WWW.HZTEC.ORG.CN安全技術(shù)要求之?dāng)?shù)據(jù)庫安全數(shù)據(jù)庫版本更新與漏洞修補(bǔ)口令質(zhì)量用戶權(quán)限分配存儲過程及函數(shù)開放安全審計WWW.HZTEC.ORG.CN典型案例某單位內(nèi)網(wǎng)核心業(yè)務(wù)Oralce數(shù)據(jù)庫：管理員密碼易猜測(manager)，內(nèi)部非授權(quán)人員可輕易進(jìn)入數(shù)據(jù)庫查詢本無權(quán)訪問的業(yè)務(wù)信息、甚至刪除數(shù)據(jù)。85%的Oracle數(shù)據(jù)庫：都未設(shè)Oralce監(jiān)聽服

14、務(wù)的密碼，導(dǎo)致局域網(wǎng)內(nèi)任何人都可隨意關(guān)閉數(shù)據(jù)庫對外服務(wù)。數(shù)據(jù)庫安全案例WWW.HZTEC.ORG.CN具體安全要求定期更新數(shù)據(jù)庫版本，修補(bǔ)漏洞；修改默認(rèn)用戶的口令或禁止默認(rèn)用戶訪問設(shè)置合理的口令長度、復(fù)雜性和更新周期；取消不必要的權(quán)限開放，嚴(yán)格限制Public角色權(quán)限；禁用或刪除數(shù)據(jù)庫不需要的內(nèi)置存儲過程及函數(shù)；嚴(yán)格限制系統(tǒng)管理員及應(yīng)用系統(tǒng)用戶的權(quán)限分配，按照最小授權(quán)原則，分別授予不同用戶各自為完成自身承擔(dān)任務(wù)所需的最小權(quán)限；數(shù)據(jù)庫安全要求WWW.HZTEC.ORG.CN具體安全要求嚴(yán)格限制數(shù)據(jù)庫鏈接的設(shè)置；對數(shù)據(jù)庫的安全事件進(jìn)行審計，建議應(yīng)審計：用戶管理、審計功能啟動關(guān)閉、審計策略調(diào)整、權(quán)限

15、變更、數(shù)據(jù)字典訪問、管理員用戶各項操作、對存儲重要信息的數(shù)據(jù)表的各項操作；限制單個用戶對數(shù)據(jù)庫資源的最大使用額度數(shù)據(jù)庫安全要求WWW.HZTEC.ORG.CN安全技術(shù)要求之應(yīng)用平臺安全應(yīng)用平臺版本更新與漏洞修補(bǔ)默認(rèn)口令默認(rèn)權(quán)限開放安全審計WWW.HZTEC.ORG.CN典型案例2008年陜西省地震局門戶網(wǎng)站虛假信息發(fā)布：“今晚陜西等地會有強(qiáng)烈地震發(fā)生”，網(wǎng)站后臺管理員弱口令被破解。2009年寧波某政府網(wǎng)站被植入后門：黑客利用IIS6文件名解析漏洞植入后門，可以向WEB目錄寫入任意內(nèi)容；2010年3月杭州某單位門戶網(wǎng)站被植入后門：網(wǎng)站Tomcat服務(wù)后臺管理員默認(rèn)密碼(tomcat)未修改且對外

16、開放，黑客上傳后門程序，可隨意對網(wǎng)站進(jìn)行文件下載、刪除、修改。應(yīng)用平臺安全案例WWW.HZTEC.ORG.CN基本目標(biāo)Web服務(wù)、應(yīng)用層服務(wù)、郵件服務(wù)等通用應(yīng)用平臺應(yīng)該根據(jù)系統(tǒng)總體安全策略進(jìn)行選擇和安全配置，并及時升級補(bǔ)丁包。安全配置的內(nèi)容包括：身份鑒別、用戶權(quán)限分配、口令質(zhì)量等應(yīng)用平臺安全要求WWW.HZTEC.ORG.CN具體安全要求（以Web服務(wù)為例）定期更新Web服務(wù)軟件的補(bǔ)丁，修補(bǔ)高風(fēng)險漏洞；配置Web服務(wù)的提示信息，不顯示W(wǎng)eb服務(wù)軟件和操作系統(tǒng)的版本和類型；合理設(shè)置Web服務(wù)的管理密碼，并定期更改禁止將Web服務(wù)的管理界面開放至外網(wǎng)禁止非授權(quán)用戶對Web服務(wù)根目錄的訪問；禁用或刪

17、除默認(rèn)安裝的應(yīng)用示例；啟用Web服務(wù)軟件日志功能，記錄合理的日志內(nèi)容；限制對日志的訪問權(quán)限；禁止匿名用戶在服務(wù)器上遠(yuǎn)程運(yùn)行可執(zhí)行文件應(yīng)用平臺安全要求WWW.HZTEC.ORG.CN安全技術(shù)要求之應(yīng)用軟件安全應(yīng)用軟件應(yīng)具備身份鑒別、用戶管理、訪問控制、運(yùn)行審計等基本安全功能，并定期進(jìn)行版本維護(hù)及更新。應(yīng)根據(jù)業(yè)務(wù)需求在應(yīng)用信息的生成、處理、傳輸和存儲等環(huán)節(jié)采取相應(yīng)的保護(hù)措施。當(dāng)采用密碼技術(shù)時，應(yīng)在密鑰的產(chǎn)生、分配、銷毀、備份與恢復(fù)等環(huán)節(jié)具備安全機(jī)制。WWW.HZTEC.ORG.CN典型案例iPad用戶信息泄漏：2010年6月10日黑客團(tuán)體Goatse Security 破解了AT&T網(wǎng)站的安全漏洞

18、，獲得了大約11.4萬名iPad用戶的注冊信息，包括E-mail地址、SIM卡串號浙江省政府門戶網(wǎng)站數(shù)據(jù)庫數(shù)據(jù)被刪除：網(wǎng)站頁面代碼未對用戶輸入?yún)?shù)進(jìn)行合法性檢查，存在SQL注入漏洞，通過網(wǎng)頁刪除了后臺Oracle數(shù)據(jù)庫所有表單；2009年本市某單位網(wǎng)站考試報名系統(tǒng)數(shù)據(jù)泄露：可通過SQL注入繞過密碼驗證，可直接下載報考人姓名/照片/身份證號碼/電話/住址等隱私信息應(yīng)用軟件安全案例WWW.HZTEC.ORG.CN具體安全要求基本安全功能具有身份鑒別機(jī)制，根據(jù)應(yīng)用需求采取適當(dāng)?shù)蔫b別機(jī)制來鑒別訪問用戶的身份，用戶身份唯一，并保證鑒別機(jī)制不可旁路；如果采用口令鑒別機(jī)制，應(yīng)采用技術(shù)機(jī)制保證口令的質(zhì)量強(qiáng)度；

19、如果采用密碼技術(shù)的鑒別機(jī)制，相關(guān)密碼技術(shù)應(yīng)符合國家密碼管理部門的規(guī)定；具備鑒別失敗的處理機(jī)制。當(dāng)不成功鑒別嘗試次數(shù)達(dá)到限定值時，系統(tǒng)應(yīng)鎖定用戶，并予以記錄和告警；具備對不同角色用戶權(quán)限的分配和管理功能：權(quán)限分離原則、最小授權(quán)原則應(yīng)用軟件安全要求WWW.HZTEC.ORG.CN具體安全要求基本安全功能具備對用戶執(zhí)行的系統(tǒng)操作和重要業(yè)務(wù)操作的應(yīng)用審計功能。審計記錄應(yīng)包括日期和時間、觸發(fā)事件的主體與客體、事件的類型、事件成功或失敗、事件的結(jié)果等；審計記錄應(yīng)受到保護(hù)避免受到未預(yù)期的刪除、修改或覆蓋。發(fā)生錯誤時有出錯提示，并可以通過手工或自動方式從錯誤狀態(tài)恢復(fù)到正常狀態(tài)；(可靠性保障)當(dāng)專用應(yīng)用軟件退出

20、后，在本地機(jī)和服務(wù)器的有關(guān)目錄下不留下任何殘余文件；應(yīng)用軟件安全要求WWW.HZTEC.ORG.CN具體安全要求應(yīng)用數(shù)據(jù)保護(hù)信息生成環(huán)節(jié)：信息源標(biāo)識和鑒別、遠(yuǎn)程錄入加密、輸入數(shù)據(jù)合法性性檢驗（如：引發(fā)溢出、注入等漏洞）等信息處理環(huán)節(jié)：限制單一用戶多重并發(fā)會話（防止暴力破解)、制定并執(zhí)行訪問控制策略、安全功能不可旁路及容錯性信息傳輸環(huán)節(jié)：通過加密、簽名，實現(xiàn)保密性、完整性及抗抵賴性 (HTTPS、證書)信息存儲環(huán)節(jié)：保密性、完整性保障數(shù)據(jù)庫的安全性 應(yīng)用軟件安全要求WWW.HZTEC.ORG.CN安全技術(shù)要求之運(yùn)行維護(hù)安全運(yùn)行維護(hù) 惡意代碼防范 數(shù)據(jù)備份恢復(fù) 系統(tǒng)冗余 入侵檢測與保護(hù) 網(wǎng)絡(luò)管理

21、安全審計 WWW.HZTEC.ORG.CN典型案例某單位所有服務(wù)器無防護(hù)運(yùn)行10個月：網(wǎng)絡(luò)防病毒系統(tǒng)許可過期，所有服務(wù)器防病毒軟件近10個月未升級病毒庫。某單位網(wǎng)管系統(tǒng)：部署的網(wǎng)絡(luò)管理系統(tǒng)未設(shè)置合理的監(jiān)控指標(biāo)閾值，部分指標(biāo)設(shè)置過低導(dǎo)致常年報警，系統(tǒng)管理員未進(jìn)行有效監(jiān)管，網(wǎng)管系統(tǒng)形同虛設(shè)。某信息中心備份系統(tǒng)罷工4個月無人知曉：磁帶庫設(shè)備故障，系統(tǒng)管理員未進(jìn)行周期性備份有效性檢查。系統(tǒng)運(yùn)維安全案例WWW.HZTEC.ORG.CN安全技術(shù)要求惡意代碼防范安裝防病毒產(chǎn)品，對存儲介質(zhì)訪問、系統(tǒng)訪問、網(wǎng)絡(luò)訪問等進(jìn)行實時監(jiān)控，在病毒入侵時及時報警，并進(jìn)行清除、刪除或隔離；定期更新病毒特征庫，及時對防病毒產(chǎn)品

22、進(jìn)行版本升級；定期進(jìn)行文件系統(tǒng)全面病毒查殺；對病毒相關(guān)審計記錄進(jìn)行詳細(xì)統(tǒng)計與分析，及時調(diào)整病毒防范策略；系統(tǒng)運(yùn)維安全要求WWW.HZTEC.ORG.CN安全技術(shù)要求數(shù)據(jù)備份恢復(fù)系統(tǒng)應(yīng)對系統(tǒng)軟件代碼、系統(tǒng)軟硬件平臺配置數(shù)據(jù)、數(shù)據(jù)庫數(shù)據(jù)、系統(tǒng)用戶關(guān)鍵信息、日志信息等，依照各自備份策略要求進(jìn)行備份;系統(tǒng)管理員應(yīng)對設(shè)置的數(shù)據(jù)自動備份任務(wù)進(jìn)行定期監(jiān)控，確認(rèn)備份任務(wù)得到了有效的執(zhí)行；系統(tǒng)管理員應(yīng)對備份進(jìn)行數(shù)據(jù)恢復(fù)的有效性驗證，以確保備份數(shù)據(jù)的正確性；對以加密方式保存重要數(shù)據(jù)備份的，應(yīng)同時保存數(shù)據(jù)恢復(fù)密鑰的備份。系統(tǒng)運(yùn)維安全要求WWW.HZTEC.ORG.CN安全技術(shù)要求入侵檢測與防護(hù)入侵監(jiān)控產(chǎn)品的安全規(guī)則

23、應(yīng)符合系統(tǒng)安全策略的要求，能檢測到違反規(guī)則的行為，入侵監(jiān)控功能不被旁路；定期更新入侵監(jiān)控產(chǎn)品的特征數(shù)據(jù)庫，定期分析入侵監(jiān)控記錄，并根據(jù)系統(tǒng)已經(jīng)存在或潛在的安全漏洞及時調(diào)整監(jiān)控策略；當(dāng)檢測到入侵行為后應(yīng)通過電子郵件、聲音、短信等方式，及時報告管理員；只允許授權(quán)人員管理入侵監(jiān)控規(guī)則，如定義攻擊特征庫、設(shè)置入侵響應(yīng)方式等。系統(tǒng)運(yùn)維安全要求WWW.HZTEC.ORG.CN安全技術(shù)要求網(wǎng)絡(luò)管理及安全審計系統(tǒng)中部署的網(wǎng)絡(luò)管理及安全審計系統(tǒng)應(yīng)實現(xiàn)對重要網(wǎng)絡(luò)設(shè)備、安全設(shè)備、服務(wù)器及數(shù)據(jù)庫系統(tǒng)的故障、負(fù)載及性能等運(yùn)行狀態(tài)信息及各類安全事件進(jìn)行監(jiān)控分析；應(yīng)設(shè)置合理的監(jiān)控指標(biāo)閾值、合理的審計規(guī)則和告警響應(yīng)策略，并根

24、據(jù)實際需求提供各類綜合分析報告。安全技術(shù)要求系統(tǒng)冗余在實時性及可用性要求較高的系統(tǒng)中，應(yīng)對關(guān)鍵的網(wǎng)絡(luò)鏈路、網(wǎng)絡(luò)設(shè)備、主機(jī)及數(shù)據(jù)庫平臺進(jìn)行冗余備份，并進(jìn)行合理的配置，當(dāng)系統(tǒng)的某一節(jié)點發(fā)生故障時能在有效時間內(nèi)進(jìn)行切換分配，保證網(wǎng)絡(luò)及系統(tǒng)相關(guān)服務(wù)正常運(yùn)行。系統(tǒng)運(yùn)維安全要求WWW.HZTEC.ORG.CN主要內(nèi)容信息安全現(xiàn)狀1信息系統(tǒng)安全保障體系2安全保障技術(shù)要求安全保障管理要求43WWW.HZTEC.ORG.CN安全管理要求管理制度 應(yīng)參照GB/T 22081-2008信息安全管理實用規(guī)則要求，建立信息系統(tǒng)的安全管理制度； 應(yīng)建立合理有效的監(jiān)督機(jī)制，確保各項制度的有效執(zhí)行 定期評價制度合理性、有效性

25、，并進(jìn)行改進(jìn)。WWW.HZTEC.ORG.CN2009年深圳福利彩票3305萬元巨獎詐騙案軟件開發(fā)商員工，編寫木馬、進(jìn)入機(jī)房，植入木馬，修改中獎數(shù)據(jù)。深圳福彩承認(rèn)管理疏漏，對技術(shù)合作公司人員監(jiān)督不力，導(dǎo)致不法分子乘虛而入奧巴馬護(hù)照及出入境信息被非法查看2009年總統(tǒng)競選期間，小布什政府的國務(wù)院2名臨時雇員在“完全沒有必要的情況下”檢查奧巴馬的護(hù)照記錄，這幾人屬于一家承包公司，負(fù)責(zé)維護(hù)美國國務(wù)院數(shù)據(jù)管理系統(tǒng)。安全管理體系案例WWW.HZTEC.ORG.CN安全管理體系內(nèi)容11個安全控制域、39個控制目標(biāo)安全方針 信息安全組織 資產(chǎn)管理人力資源管理物理環(huán)境安全管理通信和操作管理訪問控制系統(tǒng)獲取、開

26、發(fā)和維護(hù)信息安全事件管理業(yè)務(wù)連續(xù)性管理符合性WWW.HZTEC.ORG.CN安全管理體系文檔體系結(jié)構(gòu)策略policy 標(biāo)準(zhǔn)standard基線baseline程序procedure指南guideline戰(zhàn)略層次戰(zhàn)術(shù)層次戰(zhàn)役層次目標(biāo)要求實現(xiàn)方法具體步驟最低標(biāo)準(zhǔn)強(qiáng)制性建議性WWW.HZTEC.ORG.CN安全管理體系內(nèi)容信息安全管理體系主要內(nèi)容：序號評估項目評估內(nèi)容涉及部門/崗位1安全策略整體信息安全策略、安全策略的評審單位高層、行政、質(zhì)管2組織的安全信息安全基礎(chǔ)設(shè)施、第三方訪問的安全、外包合同中的安全要求IT、行政3資產(chǎn)分類與控制資產(chǎn)的保管責(zé)任、信息分類行政、財務(wù)4人員安全工作設(shè)定及人力資源安全、信息安全教育和培訓(xùn)、對安全事故和故障的響應(yīng)人力資源5物理及環(huán)境安全安全區(qū)域保障、設(shè)備的安全行政、IT6通信和操作管理操作規(guī)程和職責(zé)、媒體處置和安全、系統(tǒng)規(guī)劃及驗收、對具惡意的軟件的防范、信息和軟件的交換、日常事務(wù)處理（備份、日志、故障處理）IT、各業(yè)務(wù)部門WWW.HZTEC.ORG.CN安全管理體系內(nèi)容序號