信息安全应急响应与风险评估及加固

《信息安全应急响应与风险评估及加固》由会员分享，可在线阅读，更多相关《信息安全应急响应与风险评估及加固（31页珍藏版）》请在金锄头文库上搜索。

1、信息安全应急响应与风险评估及加固日程日程应急急规划划计 划划流流 程程技技 术基基础信息网信息网络重要信息系重要信息系统应应急急规规划划应急急计划划类型（型（1/2）：）：计 划划目目的的范范围业务连续性性计划划提供在从提供在从严重破坏中恢复重破坏中恢复时保保持必要的持必要的业务运行的流程运行的流程涉及到涉及到业务过程，并由于其程，并由于其对业务过程的支持而涉及到程的支持而涉及到IT业务恢复恢复/再再继续计划划提供灾提供灾难发生后立即恢复生后立即恢复业务运行的流程运行的流程涉及到涉及到业务过程；并不关注程；并不关注IT；仅限据其限据其对业务过程的支持程的支持而涉及到而涉及到IT运行运行连续性性

2、计划划提供在提供在30天之内在天之内在备用站点保用站点保持机构必要的持机构必要的战略功能的能力略功能的能力涉及到被涉及到被认为是最关是最关键的机构的机构使命子集；通常在使命子集；通常在总部部级制定；制定；不关注不关注IT支持支持连续性性计划划提供恢复主提供恢复主应用或通用支撑系用或通用支撑系统的流程和能力的流程和能力同同IT应急急计划；涉及到划；涉及到IT系系统破坏；不关注破坏；不关注业务过程程应急急计划划类型（型（2/2）：）：计 划划目目 的的范范围危机沟通危机沟通计划划提供将状提供将状态报告分告分发给员工和工和公众的流程公众的流程涉及到和人涉及到和人员及公众的沟通及公众的沟通,不关注不关

3、注IT计算机事件响算机事件响应计划划为检测、响、响应恶意意计算机事件，算机事件，并限制其后果提供并限制其后果提供战略略关注于关注于对影响系影响系统和和/或网或网络的事件的信息安全响的事件的信息安全响应 灾灾难恢复恢复计划划为帮助在帮助在备用站点用站点实现能力恢能力恢复提供复提供详细流程流程经常关注常关注IT,限于会限于会带来来长时间破坏影响的主要破坏破坏影响的主要破坏 拥有者有者应急急计划划提供提供经过协调的流程，从而在的流程，从而在应对物理威物理威胁时,将生命将生命损失和失和伤害降到最低，并保害降到最低，并保护财产免免遭遭损害害 关注关注针对特定特定设施的特殊人施的特殊人员和和财产；而不是基

4、于；而不是基于业务过程或程或IT 系系统功能功能数据、数据、应用和操作系用和操作系统的的备份与异地存份与异地存储关关键系系统组建或能力的冗余建或能力的冗余系系统配置和要求文档配置和要求文档在系在系统组件件间以及主以及主备点点间互操作，以加快系互操作，以加快系统恢复恢复适当适当规模的模的电源管理系源管理系统和和环境控制境控制人人员队伍保障伍保障常常见的考的考虑事事项包括包括日程日程什么是什么是风险风险风险就是不利事件发生的可能性。风险管理是评估风险、采取步骤将风险消减到可接受的水平并且维持这一风险级别的过程。人们会意识到针对其利益的各种威胁，并采取预防措施进行防范或将其影响减到最小。什么是什么是

5、风险风险是一种不确定性。风险三要素：资产价值威胁脆弱性风险管理模型管理模型网御神州风险评估网御神州安全加固风险评估要素及属性估要素及属性属性属性属性属性项目概述目概述-参考参考标准准 GB/T 20984-2007GB/T 20984-2007信息安全技信息安全技术术 信息安全信息安全风险评风险评估估规规范范 GB/T 22019-2008 GB/T 22019-2008 信息安全技信息安全技术术 信息系信息系统统安全等安全等级级保保护护基本要求基本要求 GB/T 22020-2008 GB/T 22020-2008 信息安全技信息安全技术术 信息系信息系统统安全等安全等级级保保护护定定级级指

6、南指南 GB/T 19716-2005 GB/T 19716-2005 信息技信息技术术 信息安全管理信息安全管理实实用用规则规则 ISO/IEC 27001:2005 ISO/IEC 27001:2005 信息安全技信息安全技术术 信息安全管理体系要求信息安全管理体系要求 ISO/IEC 17799:2005 ISO/IEC 17799:2005 信息安全技信息安全技术术 信息安全管理信息安全管理实实用用规则规则 相关技相关技术术及管理最佳及管理最佳实实践践风险评估的定位估的定位13推推进网络与信息安全体系指指导DO:DO:实施安全技施安全技术要求要求 实施安全管理要求施安全管理要求CHEC

7、K:CHECK:安全安全风险评估估 ACTION:ACTION:安全安全实施施 安全建安全建设PLANPLAN: :安全方安全方针、目、目标 安全要求安全要求业务目目标业务安全安全实施施风险管理管理14建立核心安全体系建立核心安全体系识别风险和确定安全需求和确定安全需求安全意安全意识和知和知识培培训实施适合的安全策略施适合的安全策略和控制措施和控制措施监督并督并审查安全策略和措施的安全策略和措施的有效性有效性风险评估关系模型估关系模型15安全措施抗击脆弱性威胁风险残余风险拥有暴露降低增加增加增加导出未被满足未控制可能诱发安全措施抗击业务战略弱点安全需求威胁风险残余风险安全事件依赖降低增加增加增

8、加导出未被满足未控制可能诱发资产资产价值成本利用演变残留被满足ISO13335安全安全风险评估模型估模型16风险安全措施安全措施信息信息资产威威胁弱点弱点安全需求安全需求降低降低增加增加增加增加利用利用暴露暴露价价值拥有有抗抗击增加增加引出引出被被满足足ISO15408安全安全风险评估模型估模型17所所 有有 者者攻攻 击 者者 对 策策 弱点弱点 风 险 威威 胁 资 产对抗性、抗性、动态性性风险评估参考估参考标准准18框架框架主要参照主要参照标准准强度描述度描述第一第一级第二第二级第三第三级安全策略框架安全策略框架安全安全组织框架框架安全运作框架安全运作框架ISO17799ISO17799

9、，ISO15408ISO15408， SP800SP8005353ITILITIL、COBITCOBIT满足足安安全全管管理理需需要要的的基基本本要求要求通通过良良好好定定义过程程来来提提高高安全管理能力安全管理能力对安安全全管管理理能能力力进行行计划和跟踪划和跟踪安安全全技技术框框架架物理安全物理安全GA/T GA/T 390 390 等等级保保护通通用技用技术要求要求相当于相当于该标准基本要求准基本要求相当于相当于该标准准较高要求高要求相当于相当于该标准准严格要求格要求网网络与与通通讯安全安全为保保证网网络对业务的的支支撑撑能力能力应采取的基本措施采取的基本措施通通过良良好好定定义过程程来

10、来提提高高网网络的安全管理能力的安全管理能力对网网络安安全全管管理理能能力力进行行计划和跟踪划和跟踪主主机机与与平平台台安全安全GA GA T T 388 388 等等级保保护操操作作系系统技技术要求要求相相当当于于该标准准中中的的系系统审核保核保护级相相当当于于该标准准中中安安全全标记保保护级相相当当于于该标准准中中的的结构构化保化保护级数数据据库系系统安全安全TCSECTCSEC中中的的可可信信数数据据库安全要求安全要求相当于相当于该标准准C1C1相当于相当于该标准中准中C2C2相当于相当于该标准中准中B1B1应用用系系统、数据安全数据安全ISO15408(CC)ISO15408(CC)在

11、在内内部部管管理理环境境下下的的安安全全保障要求保障要求在在复复杂管管理理环境境下下的的安安全全保障要求保障要求在在强对抗抗环境境下下的的安安全全保障要求保障要求整体框架整体框架IATF IATF 信信息息保保障障技技术框框架架； GB 18336 GB 18336 框架框架主要参照主要参照标准准强度描述度描述第一第一级第二第二级第三第三级安全策略框架安全策略框架安全安全组织框架框架安全运作框架安全运作框架ISO17799ISO17799，ISO15408ISO15408， SP800SP8005353ITILITIL、COBITCOBIT满足足安安全全管管理理需需要要的的基基本本要求要求通通

12、过良良好好定定义过程程来来提提高高安全管理能力安全管理能力对安安全全管管理理能能力力进行行计划和跟踪划和跟踪安安全全技技术框框架架物理安全物理安全GA/T GA/T 390 390 等等级保保护通通用技用技术要求要求相当于相当于该标准基本要求准基本要求相当于相当于该标准准较高要求高要求相当于相当于该标准准严格要求格要求网网络与与通通讯安全安全为保保证网网络对业务的的支支撑撑能力能力应采取的基本措施采取的基本措施通通过良良好好定定义过程程来来提提高高网网络的安全管理能力的安全管理能力对网网络安安全全管管理理能能力力进行行计划和跟踪划和跟踪主主机机与与平平台台安全安全GA GA T T 388 3

13、88 等等级保保护操操作作系系统技技术要求要求相相当当于于该标准准中中的的系系统审核保核保护级相相当当于于该标准准中中安安全全标记保保护级相相当当于于该标准准中中的的结构构化保化保护级数数据据库系系统安全安全TCSECTCSEC中中的的可可信信数数据据库安全要求安全要求相当于相当于该标准准C1C1相当于相当于该标准中准中C2C2相当于相当于该标准中准中B1B1应用用系系统、数据安全数据安全ISO15408(CC)ISO15408(CC)在在内内部部管管理理环境境下下的的安安全全保障要求保障要求在在复复杂管管理理环境境下下的的安安全全保障要求保障要求在在强对抗抗环境境下下的的安安全全保障要求保障

14、要求整体框架整体框架IATF IATF 信信息息保保障障技技术框框架架； GB 18336 GB 18336 风险评估的主要内容估的主要内容19资产调查IT设备弱点弱点评估估安安全全威威胁评估估工具工具扫描弱点描弱点网网络架构安全架构安全评估估业务系系统安全安全评估估渗透渗透测试主机弱点人工主机弱点人工评估估操作系操作系统弱点弱点评估估数据数据库弱点弱点评估估网网络配置弱点配置弱点评估估安全安全设备弱点弱点评估估业务分分析析安全管理安全管理评估估风险分析分析风险评估估实施流程施流程20信息信息资产调查/业务分析分析弱点弱点评估估威威胁评估估现有安全措施有安全措施评估估风险评估估安全需求安全需求

15、风险评估估-评估准估准备资产识别与赋值准则脆弱性识别与赋值准则威胁识别与赋值准则已有措施识别和有效性判断准则风险计算准则风险评估的技估的技术调研访谈资料文档确认配置记录审查扫描评估渗透测试风险评估估-资产识别资产识别资产分类资产赋值风险评估估-资产识别我们都有哪些信息资产？（清单）他们都在什么地方？（物理逻辑位置）都是谁在管理？（责任人）他们整体状况如何？（关联性）风险评估估-脆弱性脆弱性评估估技术脆弱性网络扫描手工检查管理脆弱性顾问访谈记录审查日程日程安全加固的主要内容安全加固的主要内容27安装安全安装安全补丁丁安全配置安全配置安全机制安全机制文件系文件系统用用户管理管理网网络及服及服务其它

16、配置文件其它配置文件加密通信加密通信数字数字签名名日志日志/ /备份份访问控制控制安全安全设备策略定制策略定制资料文档料文档现状状记录及及备份份安全加固内容安全加固内容举例例28加固加固对象象操作系操作系统加固加固项目目说明明UNIX系统及类UNIX系统Solaris HP-UX AIX linuxFreeBSDOpenBSDSCO补丁从厂家网站或者可信任站点下载系统的补丁包，不同的操作系统版本以及运行不同的服务，都可能造成需要安装的补丁包不同，所以必须选择适合本机的补丁包安装。文件系统UNIX文件系统的权限配置项目繁多，要求也很严格，不适当的配置可能造成用户非法取得操作系统超级用户的控制权，

17、从而完全控制操作系统。配置文件UNIX配置文件功能有点类似微软的注册表，UNIX对操作系统配置基本上都是通过各种配置文件来完成，不合理的配置文件可能造成用户非法取得操作系统超级用户的控制权，从而完全控制操作系统。例如：/etc/inittab文件是系统加载时首先自动执行的文件，/etc/hosts。equiv是限制主机信任关系的文件等。 帐号管理帐号口令是从网络访问UNIX系统的基本认证方式，很多系统被入侵都是因为帐号管理不善，设置超级用户密码强度，密码的缺省配置策略(例如：密码长度，更换时间，帐号所在组，帐号锁定等多方面)。有些系统可以配置使用更强的加密算法。网络及服务UNIX有很多缺省打开

18、的服务，这些服务都可能泄露本机信息，或存在未被发现的安全漏洞，关闭不必要的服务，能尽量降低被入侵的可能性。例如r系列服务和rpc的rstatd都出过不止一次远程安全漏洞。UNIX缺省的网络配置参数也不尽合理，例如TCP序列号随机强度，对D。o。S攻击的抵抗能力等，合理配置网络参数，能优化操作系统性能，提高安全性。 NFS系统网络文件系统协议最早是SUN公司开发出来的，以实现文件系统共享。NFS使用RPC服务，其验证方式存在缺陷，NFS服务的缺省配置也很不安全，如果必须使用NFS系统，一定进行安全的配置。 应用软件我们建议操作系统安装最小软件包，例如不安装开发包，不安装不必要的库，不安装编绎器等

19、，但很多情况下必须安装一些软件包。 APACHE或NETSCAPE ENTERPRISE SERVER是一般UNIX首选的WEB服务器，其配置本身就是一项独立的服务邮件和域名服务等都需要进行合理的配置。审计，日志做好系统的审计和日志工作，对于事后取证追查，帮助发现问题，都能提供很多必要信息。例如，打开帐号审计功能，记录所有用户执行过的命令。例如实现日志集中管理，避免被入侵主机日志被删除等。 其它不同的UNIX系统有一些特别的安全配置，例如solaris有ASET，HP的高级别安全， FreeBSD的jail等。 最后工作建议用户做系统完全备份，并对关键部份做数字签名。安全加固内容安全加固内容举

20、例例29微软操作系统NT 4.0 / W2K /WIN2003 ( workstation ， server ， professional ， advanced server )补丁微软操作系统对新发现的漏洞修补是使用Service Pack 及 hotfix，另外，还需要安装C2级安全配置。文件系统配置NTFS文件系统，NTFS可以支持更多更强大的的安全配置，设置需要特殊保护的目录和文件，设置不同目录和文件的权限，移动或删除特别的系统命令文件，增加入侵者操作的难度。帐号管理帐号口令是从网络访问NT/2K系统的基本认证方式，很多系统被入侵都是因为帐号管理不善，设置超级用户密码强度，密码的缺省配

21、置策略(例如：密码长度，更换时间，帐号所在组，帐号可访问资源，帐号锁定等多方面)，GUEST帐号以及加强的密码管理(SYSKEY)等。网络及服务网络和服务是互联网上用户与此服务器接口的部分，网络协议的配置不当，服务进程设置不当，都可能为入侵系统打开方便之门。合理地配置网络及服务将能阻挡80%的普通入侵。注册表微软操作系统缺省的安装是为了能兼容各种运行环境，因此很多权限设置都很宽，这不符合最小权限的基本原则，我们需要根据不同的环境，备份注册表，再人为地更改注册表内容，配置最小权限的稳定运行的系统。例如：不允许远程注册表配置，设置LSA尽量减少远程用户可以获取的信息，设置注册表本身的访问控制，禁止

22、空连接，对其它操作系统和POSIX的支持，对登录信息的缓存等。也有很多选项需要根据不同用户需求来制定，例如：当安全策略因为某些因素(磁盘满)而不能运作时，是否强制系统停止运行。共享共享是向网络上的用户开放对本机的资源访问权限，不合理的配置以及系统的缺省共享配置，都可能造成远程用户对系统的文件，打印机等资源的非法访问和操作。我们需要删除不必要的共享，合理配置共享的访问控制列表。应用软件安装最小的软件包，不安装不必要的应用软件。但是很多情况应用软件提供不可缺少的服务，这时我们就必须安全地配置它们。 IE被微软绑定为操作系统的一部分，IE的安全直接影响到系统的安全。我们需要升级IE的版本，安装IE的

23、补丁，设置IE的安全级别，及各项安全相关配置outlook，powerpoint及其它等多种软件都可能存在安全问题，需要安装补丁程序。 IIS提供WWW的服务，IIS的缺省配置，目录设置，权限设置，安全设置等多方面配置不当也是系统安全的巨大隐患。IIS的加固本身就可以成为一项独立的服务内容。审计，日志做好系统的审计和日志工作，对于事后取证追查，帮助发现问题，都能提供很多必要信息其它其它方面视不同环境而定，例如需要删除多余的系统安装包，安装主机防病毒软件，等多项操作。最后工作重新制作新的系统紧急恢复盘(ERD)，建议用户做系统完全备份，并对关键部份做数字签名。安全加固内容安全加固内容举举例例加固

24、加固对象象操作系操作系统加固加固项目目说明明IIS服务MicrosoftWindows系统默认站点关闭并删除 默认站点.默认FTP站点默认Web站点管理Web站点.目录配置建立自己的站点，与系统不在一个分区如：D:ABDE建立E:Logfiles 目录，以后建立站点时的日志文件均位于此目录，确保此目录上的访问控制权限是： Administrators（完全控制）System（完全控制）默认IIS目录IISHelp,C:winnthelpiishelp ,IISAdmin C:system32inetsrviisadmin ,MSADC C:Program FilesCommon FilesSy

25、stemmsadc ,删除 C:inetpub映射和扩展 IIS被预先配置为支持常用的文件名扩展如 .asp 和 .shtm 文件。IIS 接收到这些类型 的文件请求时，该调用由 DLL 处理。如果您不使用其中的某些扩展或功能，则应删除该映射，虚拟目录权限设置 在iis里把所有的目录,不包括asp等文件的目录 ,比如img,image,pic,upload等等这些目录,里面一般是没有asp文件的目录的执行许可设置为无,这样就算你用的程序被发现了新的漏洞,传了马上来了,它也执行不了,!日志审计用 W3C 扩展日志记录格式，启用操作系统组策略中的审核功能，对关键事件进行审核记录；启用IIS、FTP

26、服务器等服务本身的日志功能；并对所有日志存放的默认位置进行更改同时作好文件夹权限设置！安装自动备份工具，定时对上述日志进行异地备份，起码是在其他分区的隐蔽位置进行备份，并对备份目录设置好权限（仅管理员可访问）。准备一款日志分析工具，以便随时可用。特别关注任何服务的重启、访问敏感的扩展存储过程等事件。网站备份可使用IIS的备份功能，将设定好的IIS配置全部备份下来，这样就可以随时恢复安全加固流程安全加固流程311 1 准准备工作，提交加固申工作，提交加固申请一人操作，一人一人操作，一人记录，尽量防止可能出，尽量防止可能出现的的误操作。操作。2 2 收集系收集系统信息信息加固之前收集所有的系加固之

27、前收集所有的系统，信息和用，信息和用户服服务需求，收集所有需求，收集所有应用和服用和服务软件信息，做好加件信息，做好加固前固前预备工作。工作。3 3 做好做好备份工作，必要份工作，必要时进行加固行加固测试系系统加固之前，先加固之前，先对系系统做完全做完全备份。加固份。加固过程可能存在任何不可遇程可能存在任何不可遇见的的风险，当加固失，当加固失败时，可以恢复到加固前状可以恢复到加固前状态。4 4 加固系加固系统按照系按照系统加固核加固核对表，逐表，逐项按按顺序序执行操作。行操作。5 5 复复查配置配置对加固后的系加固后的系统，全部复，全部复查一次所作加固内容，确保正确无一次所作加固内容，确保正确无误。6 6 系系统运行确运行确认/ /应急恢复急恢复当出当出现不可不可预料的后果料的后果时，首先使用，首先使用备份恢复系份恢复系统提供服提供服务，同，同时安全安全专家小家小组取得取得联系，系，寻求帮助，解决求帮助，解决问题。