搜索
安全日常运维管理——中国移动网络与信息安全系列培训教材(12)2课程内容介绍安全日常运维的帐号口令权限、规则、管理等知识介绍安全预警防范、安全事件防护等知识讲解服务与端口、安全补丁的管理流程和升级等知识讲解终端安全管理，数据备份、恢复的过程和步骤介绍移动存储介质的管理要求、技术手段管理介绍保障安全日常运维管理执行的有效措施3目录第一章安全运维管理体系分析第二章帐户口令管理第三章安全预警第四章服务与端口第五章安全补丁第六章终端管理第七章数据备份第八章介质管理第九章保障措施4第一章安全运维管理体系分析5目录1.1安全日常运维管理的必要性（why)1.2安全运维管理的技术支撑体系1.3安全运维管理遵循的PDCA周期1.4安全日常运维管理的目标61.1为什么要进行安全日常运维管理？IT系统是否能够正常运行直接关系到业务或生产是否能够正常运行。但IT管理人员经常面临的问题是：网络变慢了、设备发生故障、应用系统运行效率很低。IT系统的任何故障如果没有及时得到妥善处理都将会导致很大的影响，甚至会造成可怕的经济损失。但是什么原因导致IT系统屡出问题？是产品、技术、还是缺乏有效的、系统化的安全运维管理？随着电信IT系统的发展，业务应用的持续增加，其IT基础设施的架构越来越复杂，单纯凭某个工具或某个人不可能有效地保护自己的整体网络安全？信息安全作为一个整体，需要把安全过程中的有关各层次的安全产品、分支机构、运营网络、管理维护制度等纳入一个紧密的统一安全管理平台（系统)中，才能有效地保障企业的网络和信息安全。7IT环境的复杂性，使更多的安全威胁被揭示出来。很多企业尝试通过部署“最佳”安全产品来保护自己，比如防病毒网关、防火墙、入侵防护系统、VPN、访问控制、身份认证等。在这种极度复杂的情况下，需要的是一个集成的解决方案，使得企业能够收集、关联和管理来自异类源的大量安全事件，实时监控和做出响应，需要的是能够轻松适应环境增长和变化的管理体系，需要的就是企业完整的安全管理平台解决方案。1.1为什么要进行安全日常运维管理？8问题到底在哪里？管理层有点生气？安全管理、技术人员–如何管理复杂的网络环境、业务系统？–技术人员天天忙于安全救火，我们已经尽力了，是管理有问题吗？领导：–怎么还不能保证IT系统的正常运行？–IT部门怎么管理的？明天给我一份详细的设备列表和运维报告、制定一份合理的安全运维管理制度！9基于前述及多方面的原因，决定了我们面对IT系统不仅需要安全产品和技术，也需加强安全运行、维护、管理，更需深入了解、熟悉掌握安全运维管理的相关知识。1.1为什么要进行安全日常运维管理？结论10所谓安全日常运维管理，是指单位IT部门采用相关的方法、手段、技术、制度、流程和文档等，对IT运行环境(如硬软件环境、网络环境等)、IT业务系统和IT运维人员进行的综合管理。1.1什么是安全日常运维管理?狭义的定义网络安全框架体系网络安全管理体系网络安全技术体系网络安全组织网络安全策略网络安全保障机制区域边界保护网络内部环境保护网络基础设施网络安全支持设施安全日常运维管理是其子系统11安全日常运维管理支撑平台架构图基础架构资源监控运行管理网络监控中心NCC应用监控中心BCC安全监控中心SCC桌面监控中心DCC网络主机/数据库/中间件/应用防火墙/IDS/防病毒机房环境/电源集中运行管理平台COSS服务流程管理统一运行展现统一资源库/知识库领导管理人员维护人员数据接口适配器IDS桌面终端数据交换接口流程管理技术管理12安全运维管理框架安全运维管理框架设备管理安全管理机构设置安全管理制度人员安全管理应用服务管理人员配置岗位培训数据存储容灾管理安全事件处置和应急预案安全评估和持续改进监督检查业务管理13省公司实现安全监控和基础维护；在总部建立集中的安全技术支撑队伍；围绕“积极预防、及时发现、积极响应、确保恢复”四个环节，形成分层、闭环的维护体系；锻造一支专业的网络与信息安全队伍。安全监控和基础维护安全技术支撑发现D恢复R预防P响应R策略运维*安全运行维护体系141.制定网络和系统层面的整体安全技术保护方案和技术规范；2.逐步实现安全自评估，全面掌握安全风险；3.提供重大安全预警信息发布和解决方案；4.协调响应网络层面的各类重大安全事件；5.对各类安全事件有关数据进行综合分析，形成安全运行分析报告；6.对生产层面的安全策略进行集中控制；7.跟踪研究各种安全问题和技术，收集各种基础信息资源。安全监控和基础维护安全技术支撑总部集中的安全技术支撑体系151.进行7×24小时的日常安全安全事件监测，负责受理安全投诉。2.对安全事件进行收集汇总，进行事件预处理。3.系统日常口令维护，加载安全补丁和梳理服务端口等4.实施各类安全设备和配套管理设备的日常维护。5.实施一般安全预警和安全应急事件的处理。6.落实系统自身安全应急预案，并参加安全应急演练安全监控和基础维护安全技术支撑省公司各专业安全监控和基础维护16安全目标遵循的PDCA执行过程PLAN：安全目标要求—安全现状安全计划（建设；维护…）Do：安全项目建设安全维护作业1、更新资产补丁\拓扑\服务等状态2、安全事件通报….3、安全加固4、更新安全现状和安全目标要求差距5、其他…..Check：日常安全检查周期性安全评估1、检查安全目标要求的完成状态2、评估安全状况（资产状态；弱点状态），3、安全现状是否符合可控安全环境Action：调整安全目标要求规划安全项目绩效考核各部门、安全管理员安全运维管理需遵循PDCA执行过程17进不来拿不走看不懂改不了跑不了在相关安全产品、技术支撑体系下实现安全工作的目标使用访问控制机制，阻止非授权用户进入网络，即“进不来”，从而保证网络系统的可用性安全工作的目的就是为了在安全法律、法规、政策的支持与指导下，通过采用合适的安全技术与安全管理措施，完成下述网络与信息安全的保障任务。使用授权机制，实现对用户的权限控制，即不该拿走的“拿不走”，同时结合内容审计机制，实现对网络资源及信息的可控性。使用加密机制，确保信息不泄漏给未授权的实体或进程，即“看不懂”，从而实现信息的保密性使用数据完整性鉴别机制，保证只有得到允许的人才能修改数据，而其它人“改不了”，从而确保信息的完整性使用审计、监控、防抵赖等安全机制，使得攻击者、破坏者、抵赖者“走不脱”，并进一步对网络出现的安全问题提供调查依据和手段，实现信息安全的可审查性。18就是保障IT系统的正常运行，能做到：安全运维管理目标实时告知有效处理预知故障预警响应联动恢复安全运维有序管理即在故障发生之前发现异常情况，合理化判断是否有故障迹像即在第一时间将故障情况通知相关的管理人员即在规定的时间内处理故障遵循标准规范，操作流程等，逐步实现运维电子化、全面流程化贯穿于下述4个过程中19–高效管理能力–全面运维能力–安全保护能力–隐患发现能力–应急响应能力–快速恢复能力日常安全运维管理的目标-可总结为六句话20第二章帐号口令管理21目录2.1职责定义2.2口令、帐号五个保障等级2.3帐号管理2.4口令管理2.5权限管理2.6帐号口令审计管理22SECURITYtechnology*帐号口令有多么重要？为什么有这么多人钟情于窃取帐号口令？攻击者窃取帐号有着非法的目的、意图，恶意毁坏操作等行为，他们或以出名，或以炫耀技术为目的。而目前，窃取帐号的行为都与窃取商业机密和机密信息、数据、经济利益相关，大都有着利益化的倾向犯罪行为。23帐户安全——帐户被盗类型帐户被盗原因密码过于简单保管不当木马暴力破解钓鱼网站242.1职责定义负责审批、登记备案用户权限，并进行定期审计。负责发起和审核员工帐号的创建、变更和撤消。业务系统或者网络设备的负责部门负责业务系统和网络设备的维护工作，帐号的具体生成、变更和删除的操作。帐号维护者安全管理部门系统设备责任部门252.2口令、帐号和权限管理只有基本的甚至没有保障措施，用于电子系统的帐号。等级1–最低保障通过常用的措施即可保护系统的可信认证，必须充分考虑代价和认证安全性的平衡。等级2–低保障级别如果该级别的帐号被破坏，攻击者往往可以通过这种系统作为中转，进而对部分关键的系统主机进行破坏。等级3–中等保障级别通常等级四意味着正式的业务流程使用的帐号，通常需要较高信心来保证身份的认证和正确的授权。等级4–坚固保障级别等级五的保障通常对应需要非常大的信心保障的系统。等级5–最高保障等级26从IT管理角度系统管理员/超级用户普通帐号第三方用户帐号安全审计员帐号2.3帐号管理*防火墙的3个账号27帐号管理基本要求保障等级一需要遵守的规范保障等级二需要遵守的规范保障等级三需要遵守的规范保障等级四需要遵守的规范保障等级五需要遵守的规范中国移动帐号口令管理办法28管理流程创建用户帐号变更用户撤销用户定期复审帐号管理流程授权帐号创建权限变更冻结撤消帐号管理贯穿的五个过程：292.4口令管理口令设置原则1.口令设置最低标准2.口令指南3.30口令设置原则（1）口令必须具有足够的长度和复杂度，使口令难于被猜测口令在一定时间或次数内不能循环使用不同帐号的口令应当不同，并且没有直接联系，以保证不可由一个帐号的口令推知其它帐号的口令同一帐号前后两个口令之间的相同部分应当尽量减少，减低由前一个口令分析出后一个口令的机会口令不应当取过于简单的字符串，如电话号码、使用者的姓名、宠物、生日或其倒序，6位字符都相同、6位连续字符等易于猜测的信息开户时设定的初始口令必须是随机产生的口令，而不能是相同或者有规律的口令31口令设置原则（2）所有系统管理员级别的口令（例如root、enable、NTadministrator、DBA等）在没有使用增强口令的情况下，必需按照较短周期进行更改，例如每三个月更换一次。应该注意关键性帐号信息的定期行备份。用户所使用的任何具备系统超级用户权限（包括并不限于系统管理员帐号和有sodu权限帐号）帐号口令必需和这个用户其他帐号的口令均不相同。如果有双要素认证机制，则以上的要求和下面关于强口令选择的要求可以不考虑。口令不能在电子邮件或者其他电子方式下以明文方式传输。当使用SNMP时，communicationstring不允许使用缺省的Public、Private和system等，并且该communicationstring不应该和系统的其他口令相同，应该尽量使用SNMPv2以上的版本。32口令设置最低标准(1)如果技术上支持，口令至少要有6位长口令必须是字母和非字母的组合口令第1位和最后1位至少应包含1个非数字字符与前次口令比较，在任何位置不能有超过3个字符连续相同口令不能包含超过2个连续相同的字符用户名不能作为口令一部分与前4次相同的口令不能重复使用口令不能被共享除非每个口令的行为都能被区分对于级别要求很高的系统，普通用户口令要求8位以上33口令设置最低标准(2)管理员/超级用户帐号最近20个口令不可重复，口令的长度不可小于7位，口令中必须包含大写字母、小写字母和数字中的两类，口令中同一个符号不得多于2次，且不得有1个以上的字符出现两次，前后2个口令中相同位置的字符相同的不得多于2个；口令不得有明显的意义修改帐号的使用人应当定期修改帐号口令，修改口令的间隔应小于本标准的相关规定，对于本标准没有规定的用户，其间隔应当小于6个月不同用户的修改口令的最大间隔为：1)普通帐号应当小于6个月2)管理员帐号和超级管理员帐号应当小于3个月匿名用户帐号可以不修改口令342.5权限管理概述1.根据工作需要确定最小权限2.建立基于角色的权限体系3.35概述帐号和口令管理包括基于帐号的操作或访问控制权限的管理。帐号是作为访问的主体。而基于帐号进行操作的目标就是访问的客体。通常这个客体被当成为资源。对资源的访问控制权限的设定依不同的系统而不同。从移动帐号管