【共读】企业信息安全建设与运维指南(一)

1 篇文章 2 订阅

一、从零开始建设企业信息安全系统:

企业信息安全体系分为:信息安全技术体系和信息安全管理体系

  • 信息安全技术体系:

        两个层面:

          1.需建设安全相关基础设施和系统,以具备解决相关安全问题的能力。

          2.需具备安全运营能力,只有正确部署和使用设备,才能真正保障信息安全。

  • 信息安全管理体系:

          两个层面:

          1.具备信息安全相关的制度、规范、流程及策略。

          2.具备信息安全管理体系的落地能力,即实施、保持并持续改进。

1.1企业面临的风险

  • 外部安全风险:黑客攻击和入侵

  • 内部安全风险:内部员工恶意窃取数据或无意泄露数据。

  • 安全合规风险

1.2企业安全建设需求

  • 安全基础设施和系统建设:基础安全建设需求,是安全工作开展的基石。

  • 安全运营体系建设:持续运营,让安全基础设施和系统发挥作用

        1)安全设备和系统运行维护

         2)定期开展例行化安全工作

         3)产品安全生命周期

         4)安全事件处置

         5)安全自动化能力

  • 安全管理体系建设:安全制度建设、信息安全流程建设、安全培训、安全考核等等。

1.3企业按岗位简介

  • 企业安全组织架构:中小企业中,典型的安全岗位图。

第1种:只负责渗透测试或安全测试工作。

第2种:权限较低,负责网络安全、渗透测试等工作。

第3种:权限和级别较高,内容不限于技术安全,还可做安全管理等。

  • 企业安全工作岗位:

1)安全运维工程师

2)渗透测试工程师

3)安全开发工程师

4)安全管理岗

1.4企业安全工作开展思路

从安全风险评估、安全工作机制的建立和安全工作规划三个层面来说:

1.4.1安全风险评估:通过资产梳理、人工访谈、技术评估等方式开展。

  • 1.资产梳理:为了全面掌握公司资产现状,需要梳理资产信息,来确定每个模块和系统对应的负责人。

资产类型资产内容
IP/域名互联网IP地址、办公网IP段、域名
线上系统网站、App、公众号、小程序、运营后台(重点关注公司核心业务、账号、交易、支付等系统)
办公系统OA、邮件、人力、财务、VPN等相关系统。
人员资产员工、外包、供应商等;部门组织架构等
账号资产办公类账号、测试账号、运维等账号及外部云服务账号
  • 2.人工访谈:访谈对象,访谈内容两个方面。

  • 3.技术评估:通过技术评估获取安全风险情况,安全渗透、安全基线检查、数据流分析等。

  • 4.输出安全风险列表:对风险进行等级划分,为后续工作做好基础。常见风险如下:

风险类型风险描述风险级别
办公网安全问题
  • 无统一 桌面安全标准,办公计算机没有加域、无企业防病毒系统

  • 无准入标准和控制设施,只要制度密码就可以接入办公内网Wi-Fi

生产网安全问题
  • 线上开放高危端口,暴露面广,开放不必要的端口和服务

  • IDC仅有防火墙,无Web入侵防护系统、无DDOS防护系统

  • 缺乏入侵检测手段

  • 服务器无统一安全基线要求

  • 缺乏安全运维审计设施

产品安全问题
  • 线上高危漏洞多,存在大量SQL注入、XSS、越权漏洞,邮箱或内部运营系统弱口令多

  • 缺乏产品安全风险控制流程,无漏洞管理机制

数据泄露风险
  • 权限控制不严,生产数据可以导出,存在数据泄露风险

  • 办公计算机、邮箱可以随意外发文件,存在信息泄露风险

  • 生产服务器可以访问任何外网资源,没有通过代理服务器进行权限控制

安全应急响应
  • 没有建立安全应急响应机制,缺少安全应急预案

安全管理
  • 员工安全意识不足,没有开展安全培训和宣传

  • 安全管理制度缺失

1.4.2安全工作机制建立

  • 建立安全接口人机制:安全接口人就是每个部门负责对接安全部门的人员。

  • 建立安全应急响应机制安全漏洞修复要求、安全事件应急响应流程。

有了安全机制,安全工作人员就能应对各类紧急事件,为开展长期安全规划打基础。

1.4.3安全工作规划

可根据实际情况分为:短期规划、中期规划、长期规划。

安全规划工作方向重点工作示例
短期规划高危漏洞治理、数据泄露风险防治、合规风险处置
  • 高危漏洞修复,关闭高危端口,将内部管理后台迁移到内网

  • 弱口令治理

  • 产品上线前开展安全渗透测试

  • App个人安全隐私问题整改

中期规划安全基础设施建设
  • 办公网:防病毒系统、准入系统

  • 生产网:抗DDOS系统、Web应用防火墙系统

  • 安全管理:堡垒机建设、安全管理规范的制定和发布

长期规划安全自动化、系统化、安全运营体系搭建
  • 漏洞扫描系统建设

  • 入侵检测系统建设

  • 安全风控体系建设

  • 安全管理:网络安全等级保护、ISO27001认证体系建设

二、基础办公安全体系建设:

办公网承载着企业重要IT资产信息,以及存储着各种敏感信息和重要资料,一旦发生安全事件,可能会造成资料丢失或敏感信息泄露,也可能造成巨大的经济损失。

企业办公网主要面临以下安全风险:

  • 终端安全风险:易遭病毒和木马攻击,可能导致数据丢失等问题

  • 网络安全风险:如网络边界入侵、无线网络安全等问题

  • 邮件安全风险:如邮箱密码被破解,收到钓鱼邮件或含病毒木马的邮件。

  • 数据外泄风险:数据泄露防护一直是企业安全中最难解决的问题。

2.1终端基础安全

从准入系统、防病毒系统、补丁更新系统、终端数据防泄露系统四个方面介绍

2.1.1准入系统建设

市场上主流的准入系统分为:无客户端准入系统和有客户端准入系统。

  • 无客户端准入系统实现方案:

        实现方式主要有Portal认证、AD域认证:

        1)Portal认证一般使用Radius协议,会弹出web Portal。

        2)AD认证方法主要判断计算机是否加入公司AD域中。

  • 基于客户端的准入系统实现方案

        客户端会对用户的身份和计算机的安全基线进行检查,通过后才可接入网络

  • 准入系统实施方案

        1)部署准入服务端

          2)用户接入流程

          3)例外处理

          4)终端管理

          5)逃生机制

          6)实施注意点

2.1.2防病毒系统

用于应对病毒和木马威胁

  • 防病毒系统主要功能:

        1)病毒和木马查杀

        2)主动防御

        3)主机防火墙和网络入侵防护

  • 防病毒系统部署方案:

防病毒系统主要是防病毒管理中心和病毒库,管理中心主要负责策略下方、病毒库更新和客户端管理,病毒库需要访问厂商的外网病毒库更新点更新。

  • 防病毒系统应用实践:

        1)防病毒策略更新:防护策略、扫描策略、更新策略

          2)使用的注意点:白名单,自身保护功能(需管理员授权才可退出卸载)

2.1.3补丁更新系统建设

  • WSUS服务器部署说明

  • WSUS安装和补丁策略

这个可以参考小编以前写的:内网部署Windows Server 2012的WSUS补丁服务器

  • 使用要点:不排除少数补丁安装后,出现不可预估的问题。

  • 第三方补丁管理系统

2.1.4终端数据防泄露方案比较

介绍下DLP系统方案:

1.数据分级分类保护

  • 首先梳理数据类型,做分类。

  • 然后定义数据类型级别。

  • 最后进行数据密级标记

2.终端DLP实现方案

3.终端DLP系统选型测试

  • 测试用例准备

  • 敏感数据检出率和误报率测试

  • 数据变形和转换测试

  • 测试敏感数据外泄行为发现能力

  • 测试脱离网络环境后DLP客户端的功能

  • 测试不同操作系统的兼容性和检出能力

  • 性能影响评估

  • 兼容性影响评估

  • 水印功能

4.终端DLP实施方案和建议

最好是自上而下,由管理层推动,否则很难推动下去,安装前先小规模试点运行,全面推广时,设置自动推送,且客户端不能被用户退出和卸载。

2.2防火墙、VPN和上网行为管理

  • 网络边界访问控制

  • 通信安全和传输安全

  • 安全上网

2.2.1防火墙

  • 防火墙简介和发展历程:防火墙、UTM、NGFW

  • 防火墙选型注意事项:

        1)网络吞吐量

        2)最大并发连接数

        3)VPN隧道数

        4)网络接口数

        5)模块冗余和高可用

        6)集中管理

        7)功能授权和升级

  • 防火墙应用场景:    

        1)用户上网

        2)提供外网访问服务

        3)进行边界访问控制

2.2.2 VPN网关

主要分为IPSec VPN和SSL  VPN,IPSec主要是两个网络之间的,SSL 主要用于远程接入。

  • IPSec  VPN 简介和应用

        用于不同办公场所之间建立安全通信信道。

 

  • SSL VPN简介和应用实践

用于远程办公用户接入办公网

2.2.3上网行为管理

主要解决用户上网过程中存在的如下问题:

  • 控制办公网访问互联网的应用

  • 避免访问恶意网站或违禁网站

  • 实现上网行为审计

2.3入侵检测/防御系统

2.3.1入侵防御系统简介

  • 入侵防御系统简介:简称IPS,部署在网络边界

  • 入侵防御系统评价指标:入侵防御能力、产品性能和功能

2.3.2入侵检测系统简介

  • 入侵检测系统简介:简称IDS,部署在网络内部。

  • 入侵检测系统评级指标:入侵检测能力、产品性能和功能

  • IDS日常运维管理:优化策略,持续维护

2.4邮件安全

企业邮件安全威胁主要包括如下几个方面:

  • 垃圾邮件和病毒邮件

  • 邮箱账号密码安全问题

  • 钓鱼邮件

2.4.1反垃圾邮件和防病毒

  • 垃圾邮件过滤技术

  • 反病毒邮件

  • 误报处理

  • 产品选型

2.4.2邮件账号密码安全保护

  • 账号密码暴力破解防护

  • 邮箱弱口令问题

  • 防范账号密码泄露

2.4.3防钓鱼邮件

防钓鱼邮件最重要的是要加强安全宣导,提高员工的安全意识,避免上当受骗。

2.5统一账号认证系统

本期到此结束,下期恭请期待!

  • 1
    点赞
  • 0
    评论
  • 4
    收藏
  • 一键三连
    一键三连
  • 扫一扫,分享海报

社区是城市的基本单元核心组成部分,是连接建筑和城市的中观尺度地表单元,在改善人居环境、促进城市可持续发展等方面具有重要的意义,如何更好满足人民群众美好社区生活需求,是社区发展过程中面临的个重要课题。 “创新、协调、绿色、开放、享”理念为社区发展提供了新的思路。社区要以绿色发展为导向,关注社区规划、建设运维的全生命期管理,通过资源和能源的循环利用,减少废物排放,形成和谐美丽、经济高效、生态可持续的社区,利用互联网、物联网等新技术手段,提高社区集约化和智能化水平、扩大社区信息享、为社区各类主体提供安全、舒适、便利、智能的生产和生活环境,形成基于信息化、智慧化的社会管理和公服务的新形态、新模式,促进社区基本公服务均等化和社区治理现代化。 本指南从预见性、协调性、集约性、科学性等方面出发,对绿色智慧社区建设所涉及到的政策市场环境、规模选址、绿色环保、基础设施、综合服务平台、管理服务、智能化系统、信息安全、工程建设阶段的智慧应用、保障体系、绿色智慧社区建设案例等内容进行系统性论述,希望为绿色智慧社区建设中所遇到的软硬件支撑自成体系、资源利用率低、互联享困难、信息服务分散等问题提出有针对性的解决思路,推动中国绿色智慧社区的建设
©️2021 CSDN 皮肤主题: 大白 设计师:CSDN官方博客 返回首页
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、C币套餐、付费专栏及课程。

余额充值