网络可用性管理
过程域设定背景和目标
数据在网络传输过程中依赖网络的可用性,一旦发生网络故障或者瘫痪,数据传输
也会受到影响甚至 中断。本过程域的设定,即要求建设高可用性的网络,从而保证数据传输过程的稳定性。
过程域具体标准要求解读
该过程域要求组织机构采取适当的措施,确保关键业务网络的高可用,并在技术工具维度进行了指导 建议,一是对关键业务网络的传输链路、网络设备节点进行冗余建设。二是借助负载均衡、防入侵攻击等 安全设备
来降低网络的可用性风险。
过程域充分定义实施指南
网络节点与网络链路的故障无法完全避免,所以提升网络可用性的重要方法之一是尽量降低系统的故 障恢复时间,而通过冗余配置,将发生故障的网络设备
或系统切换至备用的设备或系统上,是恢复业务的 最快方式。
可用性考核指标:
表6:网络可用性常见考核指标参考
要求 | 指标说明 | 建议要求指标 |
---|---|---|
单次最长故障时间 | 单次最长的非计划性不可用时间 | <1h |
重大事件发生次数 | 发生重大事件的数量 | <2/年 |
网络可用性 | 在整个系统的运行时间内,正常事件占全部 运行事件的比例 | >=99.5%(运行时间按5*8或 7*24计算) |
系统冗余建设通常有以下几种方法: |
- 硬件 冗余 :
- 电源冗余:核心层设备上采用双电源冗余,由芯片控制电源进行负载均衡。
- 引擎冗余:核心路由器
、交换机等重要网络设备使用具备双引擎设备。 1) 模块冗余:核心关键设备需要进行1:1的模块冗余,即每个接口需要一个备份接口,每个模 块需要一个备份模块。 - 设备堆叠:使用堆叠技术实现单交换机端口的扩充。
- 链路冗余:为上层的冗余设备架设物理上的链接,在冗余网络中,还需要通过二层STP算法 或三层动态路由协议实现将特定的端口阻塞或不转发流量,来实现既没有环路也可以冗余的 网络。
- 设备冗余:核心或出口设备上采冗余备份设计。由各设备HA控制流量进行负载均衡。
- 负载均衡:使用负载均衡技术将特定的业务(网络服务、网络流量等)分担给多个服务器或网 络设备。
- 软件 冗余:
- 链路捆绑技术:把多条独立的网络链路捆绑成为一条单独的逻辑链路,一条链路失效,流量 可以在剩下的链路上继续传输。
- 路由冗余:
- VRRP: 采用虚拟路由冗余协议(VRRP, Virtual Router Redundancy Protocol),可解决局 域网中配置静态网关出现单点失效现象的路由协议。
- 动态路由协议:网络中使用RIP、OSPF等动态路由协议,实现网络路由的冗余备份,当一个 主路由发生故障后,网络可以自动切换到它的备份路由实现网络的连接。
标准参考:
——GB∕T 25068.1-2012《信息技术 安全技术 IT 网络安全 第 1 部分:网络安全管理》第 13.4节“网络安全管理”
数据存储安全
PA07 存储介质安全
过程域设定背景和目标
数据存储在介质上,比如物理实体介质(磁盘/硬盘/),虚拟存储介质(容器/虚拟盘)等,对介质的 不当使用及其容易引发数据泄露风险。
过程域具体标准要求解读
l 制度流程:
——存储介质及其类型定义,比如物理实体介质(磁盘/硬盘/),虚拟存储介质(容器/虚拟盘)等;
——不同分类分级的存储介质要求;
——存储介质购买和可信渠道审批要求;
——存储介质使用审批和净化处理要求,比如对介质访问的身份识别,权限控制,以及数据清理或销毁等;
——存储介质标记要求,比如分类,标签及其有效期等;
——存储介质入库和保存要求,比如介质库存放要注意防尘、防潮,远离高温和强磁场,以及保存期限等;
——存储介质使用的常规和随机审查要求,比如对介质定期检查,以防信息丢失;
l 技术工具:
——介质净化工具,主要是针对物理实体介质(磁盘/硬盘/)
过程域充分定义级实施指南
l 制度流程参考:
案例 1:《 xxxx信息中心存储介质安全管理规定》关键内容:
- 存储介质定义
- 安全管理员职责
- 存储介质管理要求
- 存储介质中数据测试
- 存储介质维修要求
- 存储介质销毁和报废要求
- 附件:使用/维修/报废登记表
案例 2:《 xxxx公司介质安全管理规范》关 键内容:
- 存储介质及其分类定义
- 介质存放环境要求:仓库/指定区域/防尘防潮防静电/防盗/监控/出入库登记
- 介质运输安全:发货/收货
- 介质使用规范:申请工单/使用人登记
- 介质维修规范: 返厂/操作人/时间/场地等
- 介质销毁规范:消磁机/SSD数据擦除机/销毁平台/销毁方式/销毁记录等
l 技术工具参考: 市面上针对存储介质上数据的消除工具,很多还是根据基于国家保密局颁发的BMB21-2007《涉及国家秘密的载体销毁与信息消除安全保密要求》为标准研发的。支持对硬盘、软盘、U盘、CF卡 等多种存储介质的信息消除。消除方法灵活多样,既可以对计算机上的硬盘直接进行信息消除,也 可以对拆卸下来的硬盘等进行信息消除。存储介质被信息消除后仍然可以根据国家保密局的相关规 定重复使用。
比如某信息清除工具的主要功能:
系统平台: 基于Windows操作系统平台,可限度的利用Windows对各种存储介质的兼容性优势擦除速度:擦除速度可利用当前计算机的CPU频率,避免ARM和工控机结构擦除工具带来的CPU 速度瓶颈问题介质类型: 可擦除硬盘、U盘、CF卡等各种存储介质,的存储兼容性
擦除效率: 最多可以同时擦除25个存储介质,擦除效率高
擦除方 法: 既可以对整个存储介质进行擦除,也可以对分区进行擦除,还可以删除指定文件 目录和单个文件,根据要求,还可以清除未使用的扇区和磁道
状态显示: 各种状态显示完整,用户对消除过程一目了然
稳定性能: 擦除过程中拔插存储介质不影响工具的正常运行,稳定性好
擦除标识: 信息消除后可以打印出不干胶贴,粘帖在介质上,方便识别
存储介质主要包括:
- 磁带:分为Type I、II、III等3类,Type I指磁化记录时的磁场强度为350厄斯特(oersted, 磁场强度单位,缩写为Oe)以下,Type II介于351与750Oe之间,Type III则大于750Oe; 目前最普遍使用的LTO-3、4磁带,磁场强度便分别高达2600与2710Oe。
- 磁盘:包括Bernoulli式磁盘、软盘、不可移动的硬盘与可移动的硬盘等4种类型。
- 光盘:包括可多次读写、只读与一次写入多次读取(WORM)等3种。
- 内存:包括动态随机存取内存(DRAM)、静态随机存取内存(SRAM)、只读存储器(ROM)、 可程序化只读存储器(PROM)、可程序化可抹除只读存储器(EPROM)、快闪EPROM( Flash EPROM)、电子可变只读存储器(EAPROM)、电子可抹除只读存储器(EEPROM)、非挥发 性RAM(NOVRAM),还有古老的磁芯、磁泡、磁阻与镀磁线等13种内存。
标准参考:
——BMB21-2007《涉及国家秘密的载体销毁与信息消除安全保密要求》
——SJ 20901-2004 硬磁盘信息消除器通用规范
- PA08 逻辑存储安全
- 过程域设定背景和目标
针对存储容器和存储架构的安全要求,比如认证鉴权、访问控制、日志管理、通信举证、文件防病毒 等安全配置,以及安全配置策略,以保证数据存储安全。
过程域具体标准要求解读
制度流程:
——逻辑存储系统和存储设备定义;
——逻辑存储系统架构设计及其安全要求;
——逻辑存储的安全配置规则,以及配置变更和发布要求;
——逻辑存储的多租户隔离、授权管理规范要求;
——存储设备安全管理规范和操作规程,如标准操作流程、维护操作流程、应急操作流程等;
——存储系统的账号和权限、日志管理、加密管理、版本升级等要求。
技术工具:
——定期对重要的数据存储系统其安全配置进行扫描,以保证符合安全基线要求。
——采集存储系统的操作日志,识别访问账号和鉴别权限,监测数据使用规范性和合理性。
过程域充分定义级实施指南
制度流程参考:
案例 1:《 XXX存储系统的安全配置》:
- 认证鉴权:存储系统通过管理平面认证和业务平面的认证,限制可访问存储系统的维 护终端及应用服务器。当用户使用存储系统时,只有认证通过后才能对存储系统执行 管理操作,并对存储系统上的业务数据进行读写操作。
- 访问控制:提供GUI和CLI两种方式供用户访问存储系统,并对管理资源和业务资源进 行访问控制,以确保存储设备和业务数据的安全。
- 日志管理:按时间顺序记录存储系统发生的一系列活动。日志记录可以帮助用户按照 顺序搭建及测试周边环境,也可以帮助用户了解在与安全相关的事务中所涉及到的操 作、流程以及事件的整体信息。
- 安全策略:管理界面配置用户名策略、密码策略、登录策略和帐号审计策略的方法
- 通信矩阵:各类组件所使用的数据传输端口是存储系统通讯重要的部件。当用户对网 络配置安全性要求较高时,请先了解各类组件所需的网络端口类型,以便在搭建组网 时,开启相应的端口,以便链路正常连接。
- 安全加固:对存储系统的弱点进行识别和修复,消除或降低存储系统的安全隐患。 OceanStor 2200 V3/2600 V3存储系统支持对操作系统加固、Web服务加固、HTTP服务 加固以及其他组件加固。
- 文件防病毒:当存储系统运行文件业务并通过CIFS共享将文件系统共享给客户端时, 利用第三方防病毒软件触发病毒扫描,及时清理被病毒感染的文件,可以提高存储系 统的安全性。
案例 2:《 Oracle 逻辑存储结构介绍 》:
- 逻辑存储结构:逻辑存储层次结构和逻辑空间管理
- 数据块:数据块和操作系统块、数据块格式、数据块压缩、数据块的空间管理
- 扩展区:分配扩展区、 释放扩展区、扩展区的存储参数
- 段概述:用户段、临时段、撤销段、段空间和高水位标记
- 表空间:永久表空间、临时表空间、表空间模式、表空间文件大小、实验
- 管理归档日志:预备知识、归档重做日志文件、利用归档恢复过程
l 标准参考:
——GB∕T 31916.1-2015《信息技术云数据存储和管理 第 1 部分:总则》