三同步中涉及的日常安全工作

三同步中涉及的日常安全工作中国移动通信集团吉林有限公司2培训对象与人员能力要求：系统维护人员、安全管理人员课时安排：60分钟培训目标：一、理解网络安全工作三同步的重要性；二、了解工程、维保等合同签署安全条款的要求；三、了解工程设备安全验收入网工作要求与内容四、清楚系统版本入网FOA测试工作要求与内容；五、了解设备相关安全要求规范3目录第一章网络安全三同步工作综述第二章工程合同中安全条款签署第三章工程阶段设备入网安全验收第四章现网系统版本升级中FOA安全部分测试第五章相关设备的通用安全要求4第一章网络安全三同步工作综述1.1本章摘要1.3网络安全三同步的重要性1.2网络安全三同步介绍5网络安全三同步介绍－本章摘要本章主要介绍了什么是网络安全三同步，为什么要做好网络安全三同步，日常维护中涉及哪些网络安全三同步工作。6围绕信息系统完整的生命周期展开，不同阶段不同的安全工作内容1、通过安全日常运维工作，持续保持系统安全防护水平。2、通过版本入网安全管理，促进设备安全功能的提高。在新业务规划的环节同步纳入安全要求。明确对通用的业务安全要求，并与研究院等相关单位的合作，在新业务规范中同步增加安全要求。各省要对本省自有的新业务系统同步明确安全要求1、通过合同条款落实系统集成商、厂商的责任，避免乙方后期配合工作不积极而无据可依的问题；2、加强系统入网安全验收，和工程期间安全管理，确保只有符合安全要求的系统才能上线。网络安全三同步介绍7网络安全三同步介绍1.通过合同条款落实系统集成商、厂商的责任，避免无法律依据可依的问题；2.确保只有符合安全要求的系统才能上线。资产通信网业务系统支撑系统业务安全需求；设备安全要求规划、规范制定阶段实施安全要求安全验收项目实施阶段安全监控安全维护安全应急维护阶段系统开发安全规范安全功能测试安全方案测试系统开发与测试阶段88在项目规划、建设环节强化落实安全要求，避免设备带病入网，是做好后续安全维护工作的基础，也是保证系统安全防护能力的第一重要控制点。系统本身，在安全设计上存在缺陷，设备上线前未达到相关的安全配置要求，上线后，整改影响系统的安全运行后期整改，投入大、耗时、耗力网络安全三同步的重要性99序号编号系统问题未完成整改省份原因分析1WT_12LSPLSP系统数据库表中lspp_record_tab明文存储了近3个月的所有位置查询的详细信息，包括手机号、位置信息等；手机号未采用伪码；位置信息未加密；15个系统设计、开发阶段没有配置相关功能2WT_4LSP行业应用白名单机制存在安全漏洞。没有按照集团业务规范要求，将用户添加到白名单就能生产订购关系，没有给用户发短信提醒，也无需用户短信确认。12个系统设计、开发阶段没有配置相关功能3WT_46网管1、安全域划分后维护终端域的终端可以访问所有核心生产域的服务器以及网元2、网管系统大部分基于B/S结构实现，安全防护仅依赖帐号密码，存在登录密码提示友好、登录名称容易猜测、没有验证码等防止暴力破解的机制3、信令前置机存在弱口令以上问题导致存在网管维护终端域从内部发起针对核心生产域的攻击的风险。12个系统设计、开发阶段没有配置相关功能、没有规避相关风险4WT_44网管发现弱口令，为应用程序调用使用账号。河南前期安全评估已发现该问题，因涉及程序调整，变动较大，目前还未实施完毕。10个系统设计、开发阶段没有配置相关功能高风险问题共60个，全国31个公司，整改率排名最低的10个问题如下：（合并相同问题后，剩余9项）网络安全三同步的重要性10第二章工程合同中安全条款签署2.1工程合同签署安全条款的要求2.3工程合同签署信息通用安全责任2.2工程合同签署保密条款11工程合同签署安全条款的要求所有新签合同以附件形式补充《保密协议》，明确中国移动与合同乙方的安全保密责任。在新签合同中以合同附件形式增加《中国移动通用网络与信息安全责任条款》，明确乙方在工程建设和售后服务中应遵循的安全管理和技术要求。强化安全验收，确保落实合同相关要求在工程建设部门、维护管理部门统一组织的验收工作中，由相关网络和系统维护部门在落实安全同步对乙方设备安全配置、安全补丁加载、乙方书面说明材料提供等情况实施核查工作，确保合同相关安全条款全部得到落实。关于在工程及售后服务等合同中增加并落实相?网通[2009]349号关于在工程及售后服务等合同中增加并落实相关安全要求的通知12工程合同签署安全条款的要求工程期间网络信息安全管理规定为强化工程期间网络信息安全管理工作，保障网络（系统）安全运行，特制定本规定。工程周期根据时间进度划分为工程初期、工程建设阶段、工程验收阶段。工程性质分为在网系统扩容工程（包括系统改造）、新入网系统工程。。。。负责督察工程建设合作单位（工程建设的各合作方，包括系统开发商、集成商、施工单位、设计单位、监理单位等）签署并遵守《中国移动工程及售后服务合同保密协议》，没有签署《保密协议》的合作单位要及时补签。13采购类维保服务类通信主设备采购合同（含服务）通信主设备维保服务合同通信主设备采购合同（不含服务）业务网设备维保服务合同IT网络设备采购合同传输设备维保服务合同软件产品采购合同IT硬件产品维保服务合同业务类产品采购合同IT软件产品维保服务合同测试设备采购合同IT系统维护支持服务合同终端采购合同集成服务合同设备租赁合同网络安全服务合同工程合同签署安全条款的要求－合同分类1414系统基本信息系统业务描述设备清单机房电源规划网络拓扑图IP地址系统负责部门和负责人集成商等基本信息安全基础信息表通用安全要求4A管理帐号权限角色审计日志的管理•日志内容•日志查询统计•日志存储与转发通用安全要求（续）接口安全端口管理补丁管理网络结构方案•一级系统安全模型•二级及以上系统安全模型系统安全方案应用安全方案业务安全方案网络安全方案数据信息安全方案•数据存储安全•数据传输安全•数据安全等级的变更•数据访问安全•数据备份和恢复终端安全方案工程及开发过程中的安全要求项目在规划及建设阶段的安全管理项目的过程控制代码开发要求开发文件的保护部署及维护过程中的安全要求系统安装及部署系统维护集成商安全资质要求集成商公司安全资质要求集成商项目组人员配置要求14系统基本信息系统业务描述设备清单机房电源规划网络拓扑图IP地址系统负责部门和负责人集成商等基本信息安全基础信息表通用安全要求4A管理帐号权限角色审计日志的管理•日志内容•日志查询统计•日志存储与转发通用安全要求（续）接口安全端口管理补丁管理网络结构方案•一级系统安全模型•二级及以上系统安全模型系统安全方案应用安全方案业务安全方案网络安全方案数据信息安全方案•数据存储安全•数据传输安全•数据安全等级的变更•数据访问安全•数据备份和恢复终端安全方案工程及开发过程中的安全要求项目在规划及建设阶段的安全管理项目的过程控制代码开发要求开发文件的保护部署及维护过程中的安全要求系统安装及部署系统维护集成商安全资质要求集成商公司安全资质要求集成商项目组人员配置要求工程合同签署安全条款的要求－主要内容15工程合同签署信息通用安全责任乙方应保证本工程新增设备符合中国移动《中国移动设备通用安全功能和配置规范》规定的安全配置要求。遵守中国移动相关安全管理规定要求乙方应保证本工程新增的IT设备安装操作系统、应用软件已经发布的所有安全补丁，关闭与业务无关端口，无关进程和服务，按照最小化的原则进行授权，并无重大安全漏洞、后门或者感染病毒。乙方提供的应用软件中账号所使用的口令应便于在维护中定期修改并已加密方式保存，不可固化在软件里。在工程实施期间，甲方有权通过安全扫描软件或者人工评估等手段，对本期工程新增设备和应用软件进行检查，并给出评估结果。一旦发现有重大安全漏洞、后门或者病毒感染，由乙方进行立即修补、清除或者采用其他手段消除安全问题。对于违反本规定导致的一切问题，由乙方负全部责任。16工程合同签署保密条款：乙方在中国移动通信有限公司（或中国移动通信集团XX有限公司）实施XX系统工程规划（或工程设计、工程建设、设备调测与维护、服务支持、合作运营等）期间，乙方人员需要使用甲方网络与业务发展情况、网络拓扑、设备信息、XX系统账号、用户数据和信息等，双方就前述事宜中所涉及的保密信息达成以下一致：17第三章工程阶段设备入网安全验收3.1本章摘要3.3安全验收管理3.4系统管理员与入网安全验收工作3.2安全入网验收的必要性18工程阶段设备入网安全验收－本章摘要本章主要介绍设备入网安全验收的重要性，以及安全验收涉及的相关工作和规范要求，以及系统管理员如何做好入网安全验收工作。19设备上线前设备上线后整改风险小，无业务压力大，有业务压力整改难度小大，涉及业务可用性整改成本投入低，整改投入由系统厂商承担高，需要立项整改系统厂商可控性强弱安全入网验收的必要性了解设备的安全合规性降低设备带病入网促进建设环节加强设备安全20安全入网验收的必要性－设备安全合规根据设定的安全标准，通过设备入网安全验收清晰了解到目前设备所处的安全水平和存在的安全隐患。MicrosoftTaskScheduler远程任意代码执行漏洞(精确扫描MS04-022/KB841873)Messenger服务远程堆溢出漏洞(MS03-043/KB82803)微软DCOM接口缓冲区溢出漏洞(MS03-026/MS03-03)部分SMB用户存在薄弱口令Oracletnslsnr没有设置口令目标主机没有安装MS04-011/KB835732补丁MSSQLServer默认及易猜测账号存在弱口令MicrosoftWindowsNTIISMDACRDS远程命令执行漏洞IIS5.0/WebDAV远程缓冲区溢出(MS03-007)21安全入网验收的必要性－促进建设环节加强设备安全通过安全验收强制把安全意识有效的传递到开发厂商，让其重视安全。只有在源头开始重视安全，业务系统的安全正常更能得到保障，在运维阶段安全维护的成本就更低。22安全入网验收的必要性－降低设备带病入网经新入网安全验收后，新业务系统安全风险明显降低1.高风险漏洞数加固前后对比2.中风险漏洞数加固前后对比3.配置不符合项加固前后对比23安全验收管理－安全入网验收工作内容网络层系统层应用层防火墙策略检查帐号安全检查服务端口检查防病毒软件检查系统日志安全检查漏洞扫描检查安全配置检查弱口令检查渗透测试检查依据：《中国移动防火墙安全功能及配置规范》检查标准：已按照最小化权限的原则配置防护墙策略，不存在不明策略输出文档：《安全域检查报告》检查依据：《中国移动安全域管理办法》、《中国移动支撑系统安全域划分与边界整合技术要求》和《中国移动防火墙部署总体技术要求》检查标准：检查域拓扑、安全域内资产情况、VLAN访问控制策略、边界互联情况，确保符合要求输出文档：《安全域检查报告》检查依据：《中国移动帐号口令管理办法》检查标准：设备的帐号长度复杂度、密码策略等安全策略符合要求输出文档：《帐号安全检查报告》检查依据：《中国移动服务与端口管理办法》检查标准：所有必须开放的端口其对应的应用软件和功用必须列表登记，不允许存在非必要的开放端口。输出文档：《服务端口检查报告》检查标准：检查windows设备是否已经安装指定授权的防病毒软件，并且检查病毒库是否已更新到最新。输出文档：《防病毒软件检查报告》检查标准：检查设备的系统层、数据库和应用层是否已用户越权访问、用户权限升级、更改口令、新建用户、非正常时间登陆、多次错误登陆、审计策略更改或其他异常事件提供审计功能。输出文档：《系统天志安全检查报告》检查标准：不允许存在已被CVE定义的高风险漏洞和中风险漏洞。输出文档：《漏洞扫描检查报告》检查依据：《中国移动操作系统安全功能及配置规范》、《