1.系統(tǒng)主機安全設(shè)計

系統(tǒng)主機信息安全范圍主要包括：身份鑒別、訪問控制、入侵防范、惡意病毒防范、資源控制、漏洞掃描、服務器安全加固等方面進行安全設(shè)計和控制，為用戶信息系統(tǒng)運行提供一個安全的環(huán)境。

[[336481]]

1.1、身份鑒別

用戶(包括技術(shù)支持人員，如操作人員、網(wǎng)絡(luò)管理員、系統(tǒng)程序員以及數(shù)據(jù)庫管理員等)應當具備僅供其個人或單獨使用的獨一無二的標識符(即用戶ID)，以便跟蹤后續(xù)行為，從而責任到人。用戶ID不得表示用戶的權(quán)限級別。

操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)用戶的身份鑒別信息應具有不易被冒用的特點，為不同用戶分配不同的用戶名，確保用戶名具有唯一性，例如長且復雜的口令，一次性口令等;對重要系統(tǒng)的用戶采用兩種或兩種以上組合的鑒別技術(shù)實現(xiàn)用戶身份鑒別，例如使用令牌或者證書。具體設(shè)置如下：

1)、管理員用戶設(shè)置

對操作系統(tǒng)進行特權(quán)用戶的特權(quán)分離(如系統(tǒng)管理員、應用管理員等)并提供專用登陸控制模塊，采用最小授權(quán)原則，進行授權(quán)。

2)、管理員口令安全

啟用密碼口令復雜性要求，設(shè)置密碼長度最小值為8位，密碼最長使用期限90天，強制密碼歷史等，保證系統(tǒng)和應用管理用戶身份標識不易被冒用。

3)、登陸策略

采用用戶名、密碼、密鑰卡令牌實現(xiàn)用戶身份鑒別。

4)、非法訪問警示

配置賬戶鎖定策略中的選項，如賬戶鎖定時間、賬戶鎖定閾值等實現(xiàn)結(jié)束會話、限制非法登陸次數(shù)和自動退出功能。

1.2、訪問控制

業(yè)務服務器操作系統(tǒng)應選用C2或以上安全級別的操作系統(tǒng)。

主機層安全啟用訪問控制功能，依據(jù)安全策略控制用戶對資源的訪問，對重要信息資源設(shè)置敏感標記，安全策略嚴格控制用戶對有敏感標記重要信息資源的操作。對管理用戶的角色分配權(quán)限，實現(xiàn)管理用戶的權(quán)限分離，僅授予管理用戶所需的最小權(quán)限，實現(xiàn)操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)特權(quán)用戶的權(quán)限分離，嚴格限制默認帳戶的訪問權(quán)限，重命名系統(tǒng)默認帳戶，修改這些帳戶的默認口令并應及時刪除多余的、過期的帳戶，避免共享帳戶的存在。具體設(shè)置如下：

1)、資源訪問記錄

通過操作系統(tǒng)日志以及設(shè)置安全審計，記錄和分析各用戶和系統(tǒng)活動操作記錄和信息資料，包括訪問人員、訪問計算機、訪問時間、操作記錄等信息。

2)、訪問控制范圍

對重要系統(tǒng)文件進行敏感標記，設(shè)置強制訪問控制機制。根據(jù)用戶的角色分配權(quán)限，授予用戶最小權(quán)限，并對用戶及程序進行限制，從而達到更高的安全級別。

3)、關(guān)閉系統(tǒng)默認共享目錄

關(guān)閉系統(tǒng)默認共享目錄訪問權(quán)限，保證目錄數(shù)據(jù)安全。

4)、遠程訪問控制

通過主機操作系統(tǒng)設(shè)置，授權(quán)指定IP地址進行訪問控制，未授權(quán)IP地址，不允許進行訪問。

1.3、入侵防范

為有效應對網(wǎng)絡(luò)入侵，在網(wǎng)絡(luò)邊界處部署防火墻、IPS、防病毒網(wǎng)關(guān)、WEB應用防火墻等安全設(shè)備，用于應對端口掃描、強力攻擊、木馬后門攻擊、拒絕服務攻擊、緩沖區(qū)溢出攻擊、IP碎片攻擊和網(wǎng)絡(luò)蠕蟲攻擊等各類網(wǎng)絡(luò)攻擊;

防火墻能夠識別并防范對網(wǎng)絡(luò)和主機的掃描攻擊、異常網(wǎng)絡(luò)協(xié)議攻擊、IP 欺騙攻擊、源IP攻擊、IP 碎片攻擊、DoS/DDoS 攻擊等;實時應用層內(nèi)容過濾，在防火墻內(nèi)核協(xié)議棧中實現(xiàn)。支持HTTP、FTP、SMTP 協(xié)議，具體包括URL 過濾、網(wǎng)頁關(guān)鍵字過濾、FTP 文件下載過濾、FTP 文件上傳過濾、SMTP收件人過濾、SMTP 發(fā)件人過濾、郵件主題過濾、反郵件中轉(zhuǎn)過濾、Internet 蠕蟲過濾。根據(jù)入侵檢測結(jié)果自動地調(diào)整防火墻的安全策略，及時阻斷入侵的網(wǎng)絡(luò)連接.

操作系統(tǒng)的安裝遵循最小安裝原則，僅開啟需要的服務，安裝需要的組件和程序，可以極大的降低系統(tǒng)遭受攻擊的可能性并且及時更系統(tǒng)丁。建議以下設(shè)置：

關(guān)閉以下端口：

TCP: 135、139、445、593、1025等

UDP: 137、138、445等

Windows關(guān)閉以下危險服務：

echo、smtp、nameserver、clipbook、remote registry、Messenger、Task Scheduler等服務。

Linux關(guān)閉以下危險服務：

echo、priter、ntalk、sendmail、lpd、ypbind等服務

1.4、惡意病毒防范

網(wǎng)絡(luò)中的所有服務器上均統(tǒng)一部署網(wǎng)絡(luò)版防病毒系統(tǒng)，并確保系統(tǒng)的病毒代碼庫保持最新，實現(xiàn)惡意代碼、病毒的全面防護，實現(xiàn)全網(wǎng)病毒的統(tǒng)一監(jiān)控管理。

網(wǎng)絡(luò)防病毒系統(tǒng)須考慮到云計算環(huán)境下的特殊要求。常規(guī)防病毒掃描和病毒碼更新等占用大量資源的操作將在很短的時間內(nèi)導致過量系統(tǒng)負載。如果防病毒掃描或定期更新在所有虛擬機上同時啟動，將會引起“防病毒風暴”。此“風暴”就如同銀行擠兌，其中的“銀行”是由內(nèi)存、存儲和 CPU 構(gòu)成的基本虛擬化資源池。此性能影響將阻礙服務器應用程序和虛擬化環(huán)境的正常運行。傳統(tǒng)體系結(jié)構(gòu)還將導致內(nèi)存分配隨單個主機上虛擬機數(shù)量的增加而呈現(xiàn)線性增長。

在物理環(huán)境中，每一操作系統(tǒng)上都必須安裝防病毒軟件。將此體系結(jié)構(gòu)應用于虛擬系統(tǒng)意味著每個虛擬機都需要多占用大量內(nèi)存，從而導致對服務器整合工作的不必要消耗。針對業(yè)務平臺所在的云計算環(huán)境，考慮部署支持虛擬化的服務器病毒防護系統(tǒng)，可以減少系統(tǒng)開銷、簡化管理及加強虛擬機的透明性和安全性。

1.5、漏洞掃描

部署一套漏洞掃描系統(tǒng)，能夠幫助提升安全管理的手段，增強系統(tǒng)風險應對的水平，貼合等保對主機安全的要求。漏洞掃描系統(tǒng)對不同系統(tǒng)下的設(shè)備進行漏洞檢測。主要用于分析和指出有關(guān)網(wǎng)絡(luò)的安全漏洞及被測系統(tǒng)的薄弱環(huán)節(jié)，給出詳細的檢測報告，并針對檢測到的網(wǎng)絡(luò)安全隱患給出相應的修補措施和安全建議。

漏洞掃描系統(tǒng)能夠提高內(nèi)部網(wǎng)絡(luò)安全防護性能和抗破壞能力，檢測評估已運行網(wǎng)絡(luò)的安全性能，為管理員提供實時安全建議。作為一種積極主動的安全防護技術(shù)，提供對內(nèi)部攻擊、外部攻擊和誤操作的實時保護，在網(wǎng)絡(luò)系統(tǒng)受到危害之前可以提供安全防護解決方案。并可根據(jù)用戶需求對該系統(tǒng)功能進行升級。

1.6、服務器安全加固

建議對重要服務器部署安全加固系統(tǒng)，通過部署服務器安全加固系統(tǒng)，可以實現(xiàn)以下功能：

1)、強制的訪問控制功能：內(nèi)核級實現(xiàn)文件強制訪問控制、注冊表強制訪問控制、進程強制訪問控制、服務強制訪問控制;

2)、安全審計功能：文件的完整性檢測、服務的完整性檢測、WEB請求監(jiān)測過濾;

3)、系統(tǒng)自身的保護功能：保護系統(tǒng)自身進程不被異常終止、偽造、信息注入。

服務器操作系統(tǒng)上安裝主機安全加固系統(tǒng)，實現(xiàn)文件強制訪問控制、注冊表強制訪問控制、進程強制訪問控制、服務強制訪問控制、三權(quán)分立的管理、管理員登錄的強身份認證、文件完整性監(jiān)測等功能。

主機安全加固系統(tǒng)通過對操作系統(tǒng)原有系統(tǒng)管理員的無限權(quán)力進行分散，使其不再具有對系統(tǒng)自身安全構(gòu)成威脅的能力，從而達到從根本上保障操作系統(tǒng)安全的目的。也就是說即使非法入侵者擁有了操作系統(tǒng)管理員最高權(quán)限也不能對經(jīng)過內(nèi)核加固技術(shù)保護的系統(tǒng)一切核心或重要內(nèi)容進行任何破壞和操作。此外，內(nèi)核加固模塊穩(wěn)定的工作于操作系統(tǒng)下，提升系統(tǒng)的安全等級，為用戶構(gòu)造一個更加安全的操作系統(tǒng)平臺。

通過核心加固將全面提升服務器的安全性，并執(zhí)行嚴格的安全策略，以充分滿足等級保護三級系統(tǒng)的主機安全要求。

2.數(shù)據(jù)層安全設(shè)計

2.1、數(shù)據(jù)安全性

數(shù)據(jù)傳輸安全

1.數(shù)據(jù)傳輸過程中加密：是指數(shù)據(jù)從源節(jié)點換出時到目標節(jié)點時數(shù)據(jù)傳輸過程中加密，防止經(jīng)過不可信網(wǎng)絡(luò)時防止網(wǎng)絡(luò)抓包方式捕獲傳輸內(nèi)容，主要采用對MQ的消息進行AES加密算法進行加密。

2.數(shù)據(jù)傳輸防篡改：在消息發(fā)送過程中，對每一個消息分片進行CRC計算出一個Hash值,到達目標節(jié)點時需要對內(nèi)容進行CRC比對，Hash值不一致說明數(shù)據(jù)被篡改。

數(shù)據(jù)使用安全

所有數(shù)據(jù)信息，針對用戶和字段建立1-9級密級管理，所有數(shù)據(jù)訪問需要經(jīng)過管理員授權(quán)，針對敏感人員采用白名單管理。

數(shù)據(jù)存儲安全

業(yè)務數(shù)據(jù)存儲加密分為兩種方式，

1、透明加密：“透明”應該就是指加密的動作不需要人工干預。整個加解密是和數(shù)據(jù)庫服務器綁定，當數(shù)據(jù)文件被盜取，也無法解析相關(guān)數(shù)據(jù)內(nèi)容;

2、核心字段AES加密：將數(shù)據(jù)庫核心字段進行列級加密，設(shè)置完成后，即使登錄數(shù)據(jù)庫服務器也無法顯示核心字段信息;在應用程序需要獲取信息時，可通過硬件加密狗方式解開對應信息。

安全審計管理

在所有訪問使用都記錄相關(guān)日志，整個安全審計平臺建立事前事中事后三種方式的檢測預警，同時可以針對日志記錄進行分類檢索。

2.2、數(shù)據(jù)完整性

數(shù)據(jù)庫的訪問控制是用來防止共享數(shù)據(jù)庫中的數(shù)據(jù)被非法訪問的方法、機制和程序。以下控制措施專用于數(shù)據(jù)庫內(nèi)的數(shù)據(jù)控制：

1)、讀訪問控制

必須制定相應的控制措施，以確保獲準訪問數(shù)據(jù)庫或數(shù)據(jù)庫表的個體，能夠在數(shù)據(jù)庫數(shù)據(jù)的信息分類級別的合適的級別得到驗證。通過使用報表或者查詢工具提供的讀訪問必須由數(shù)據(jù)所有人控制和批準，以確保能夠采取有效的控制措施控制誰可以讀取哪些數(shù)據(jù)。

2)、讀取/寫入訪問控制

對于那些提供讀訪問的數(shù)據(jù)庫而言，每個訪問該數(shù)據(jù)的自然人以及/或者對象或進程都必須確立相應的賬戶。該ID可以在數(shù)據(jù)庫內(nèi)直接建立，或者通過那些提供數(shù)據(jù)訪問功能的應用予以建立。這些賬戶必須遵從本標準規(guī)定的計算機賬戶標準。

用戶驗證機制必須基于防御性驗證技術(shù)(比如用戶ID/密碼)，這種技術(shù)可以應用于每一次登錄嘗試或重新驗證，并且能夠根據(jù)登錄嘗試的被拒絕情況指定保護措施。

為了保證數(shù)據(jù)庫的操作不會繞過應用安全，定義角色的能力不得成為默認的用戶特權(quán)。訪問數(shù)據(jù)庫配置表必須僅限于數(shù)據(jù)庫管理員，以防未經(jīng)授權(quán)的插入、更新和刪除。

2.3、數(shù)據(jù)保密性

建議通過以下具體的技術(shù)保護手段，在數(shù)據(jù)和文檔的生命周期過程中對其進行安全相關(guān)防護，確保內(nèi)部數(shù)據(jù)和文檔在整個生命周期的過程中的安全。

1)、加強對于數(shù)據(jù)的認證管理

操作系統(tǒng)須設(shè)置相應的認證;數(shù)據(jù)本身也須設(shè)置相應的認證，對于重要的數(shù)據(jù)應對其本身設(shè)置相應的認證機制。

2)、加強對于數(shù)據(jù)的授權(quán)管理

對文件系統(tǒng)的訪問權(quán)限進行一定的限制;對網(wǎng)絡(luò)共享文件夾進行必要的認證和授權(quán)。除非特別必要，可禁止在個人的計算機上設(shè)置網(wǎng)絡(luò)文件夾共享。

3)、數(shù)據(jù)和文檔加密

保護數(shù)據(jù)和文檔的另一個重要方法是進行數(shù)據(jù)和文檔加密。數(shù)據(jù)加密后，即使別人獲得了相應的數(shù)據(jù)和文檔，也無法獲得其中的內(nèi)容。

網(wǎng)絡(luò)設(shè)備、操作系統(tǒng)、數(shù)據(jù)庫系統(tǒng)和應用程序的鑒別信息、敏感的系統(tǒng)管理數(shù)據(jù)和敏感的用戶數(shù)據(jù)應采用加密或其他有效措施實現(xiàn)傳輸保密性和存儲保密性。

4)、加強對數(shù)據(jù)和文檔日志審計管理

使用審計策略對文件夾、數(shù)據(jù)和文檔進行審計，審計結(jié)果記錄在安全日志中，通過安全日志就可查看哪些組或用戶對文件夾、文件進行了什么級別的操作，從而發(fā)現(xiàn)系統(tǒng)可能面臨的非法訪問，并通過采取相應的措施，將這種安全隱患減到最低。

5)、進行通信保密

用于特定業(yè)務通信的通信信道應符合相關(guān)的國家規(guī)定，密碼算法和密鑰的使用應符合國家密碼管理規(guī)定。

對于移動辦公人員的安全接入，建議在網(wǎng)絡(luò)安全管理區(qū)部署一個SSL 虛擬專用網(wǎng)絡(luò)接入平臺，所有外網(wǎng)對內(nèi)網(wǎng)業(yè)務系統(tǒng)的訪問需求均需通過SSL 虛擬專用網(wǎng)絡(luò)平臺認證，并在數(shù)據(jù)訪問過程中，采取加密傳輸?shù)姆绞竭M行,開放指定的資源。

6)、數(shù)據(jù)防泄密

為防止數(shù)據(jù)泄密，建議在系統(tǒng)中部署數(shù)據(jù)防泄密系統(tǒng)，基于數(shù)據(jù)存在的存儲、使用、傳輸?shù)热N形態(tài)，對數(shù)據(jù)生命周期中的各種泄密途徑進行全方位的監(jiān)查和防護，保證敏感數(shù)據(jù)泄露行為事前能被發(fā)現(xiàn)，事中能被攔截和監(jiān)查，事后能被追溯，使得數(shù)據(jù)泄露行為無處遁形，敏感數(shù)據(jù)無徑可出。

滿足合規(guī)要求 滿足信息安全等保規(guī)范以及SOX、PCIDSS等其它信息安全監(jiān)管要求。

發(fā)現(xiàn)敏感數(shù)據(jù) 事前發(fā)現(xiàn)敏感數(shù)據(jù)存儲分布及安全狀態(tài)，為保障用戶監(jiān)管提供堅實基礎(chǔ)。

防止數(shù)據(jù)泄露 對敏感數(shù)據(jù)進行事前、事中、事后的綜合一體化泄露防護，保障敏感數(shù)據(jù)不丟失。

追溯泄露事件 全面的日志記錄，讓泄密事件可查可究，提升數(shù)據(jù)安全管理能力。

2.4、備份和恢復

建立數(shù)據(jù)備份恢復系統(tǒng)，制定完善的備份策略，對業(yè)務系統(tǒng)重要數(shù)據(jù)進行定時備份，并定期開展數(shù)據(jù)恢復演練工作。

3.運維管理設(shè)計

3.1、信息資產(chǎn)集中管理

建設(shè)信息資產(chǎn)管理平臺，實現(xiàn)對網(wǎng)絡(luò)、主機、數(shù)據(jù)庫、中間件、安全設(shè)備、應用系統(tǒng)等IT資產(chǎn)的集中統(tǒng)一管理是網(wǎng)絡(luò)安全自動化管理的基礎(chǔ)。需要實現(xiàn)對服務器、路由器、交換機、數(shù)據(jù)庫、中間件、安全設(shè)備的統(tǒng)一管理;針對今后將陸續(xù)擴展的各種資產(chǎn)管理對象，必須提供可擴展和靈活數(shù)據(jù)庫建模及管理框架設(shè)計;針對各種管理對象的重要程度，實現(xiàn)對信息資產(chǎn)安全保護等級的劃分。

3.2、設(shè)備狀態(tài)實時監(jiān)控

建設(shè)運維管理平臺，實時監(jiān)視主機、存儲、數(shù)據(jù)庫、網(wǎng)絡(luò)、操作系統(tǒng)等運行狀態(tài)，能夠?qū)崿F(xiàn)對骨干網(wǎng)路由器、交換機、安全設(shè)備、重要主機、中間件和重要應用系統(tǒng)運行狀態(tài)的實時監(jiān)控;上述被監(jiān)視對象一旦發(fā)生死機、斷線、不能完全響應、異常流量等嚴重故障或嚴重安全事件時，監(jiān)控平臺能及時報告;系統(tǒng)能夠根據(jù)故障或事件的嚴重程度，結(jié)合資產(chǎn)的安全保護等級，以對話框、郵件、電話、短信等不同方式向管理人員告警。

3.3、異常狀況及時預警

建設(shè)事態(tài)感知平臺，在故障事故發(fā)生前，總是會有一些異常跡象，事態(tài)感知系統(tǒng)應實時捕捉住這些異常跡象并及時報告，可以幫助管理人員迅速采取措施，防患于未然。例如可以對骨干網(wǎng)異常流量、拒絕服務攻擊狀況、重要設(shè)備和重要應用系統(tǒng)過載等異常狀態(tài)進行預警。

3.4、安全事件統(tǒng)一存儲

建設(shè)日志分析平臺，將網(wǎng)絡(luò)中部署的各類安全設(shè)備、安全系統(tǒng)、主機操作系統(tǒng)、數(shù)據(jù)庫以及各種應用系統(tǒng)的日志、事件、告警全部匯集起來并進行規(guī)一化處理，使得用戶通過單一的管理控制臺對IT計算環(huán)境的安全信息進行統(tǒng)一監(jiān)控。并且提供實時關(guān)聯(lián)分析工具。用戶可以定義不同的實時分析場景，從不同的觀察側(cè)面對來自信息系統(tǒng)各個角落的安全事件進行準實時分析，通過分析引擎進行安全事件進行關(guān)聯(lián)、統(tǒng)計、時序分析。協(xié)助安全管理人員進行事中的安全分析，在安全威脅造成嚴重后果之前，及時保護關(guān)鍵資產(chǎn)，阻止安全事態(tài)進一步擴散，降低損失。

結(jié)束語

綜上所述，信息安全已經(jīng)涉及我們生活的方方面面，在當前互聯(lián)網(wǎng)應用觸手可及的環(huán)境下，需要我們不斷提升信息安全防范意識，合理進行系統(tǒng)主機信息安全規(guī)劃、設(shè)計，才能保障業(yè)務系統(tǒng)的穩(wěn)定運行。