安全等级划分依据与应急响应流程

最新推荐文章于 2024-09-11 08:55:29 发布

weixin_30776545

最新推荐文章于 2024-09-11 08:55:29 发布

阅读量297

点赞数

文章标签：操作系统网络运维

原文链接：http://www.cnblogs.com/zjdyl/p/4168299.html

版权

查看等保要求及相关安全建设视频（郑歆炜cnhawk：企业安全那些事 – 应急响应http://open.freebuf.com/live/181.html）后整理，不成熟处还望指正。

安全等级划分：（是在平时对网络环境的评估）

1，依据不同业务系统受到不同侵害时将造成的损失（即业务系统的重要性）见表一

2，进行基于物理安全，网络安全，主机安全，应用安全，数据安全五方面评估(即在等保的基础上根据实际情况作相应修改) 见表二

综合以上两点，对整个网络进行安全评估

表一业务系统侵害等级

	受侵害程度
	轻微（工作无影响体现）	一般（工作可正常进行）	严重（工作受到一定影响，如响应速度缓慢，发生丢弃现象等）	危险（无法工作）
业务系统A	A级	B级	C级	D级
业务系统B	B级	C级	D级	E级
业务系统C	C级	D级	E级	F级

注：侵害程度根据及等级需根据具体情况制定

一级只是从“身份鉴别”、“自主访问控制”、简单的“恶意代码防范”这些控制点切入检测系统是否达到一级标准要求。二级除过一级中的控制点以外增加“安全审计”、“系统保护”、“剩余信息保护”、“资源控制”这些控制点的检测，同时对每一个控制点的检测深度高于一级标准。三级包括二级所有检测控制点，同时加入“强制访问控制”项目的测试，满足三级安全保护能力标准；四级为最高评测级别，对所有检测点进行深入的扫描评定，适合于高级涉密计算机系统的安全评估。

表二等保概况

	物理安全（物理位置，物理访问，防破环，防自然灾害，机房布置）	网络安全（结构安全，访问控制，安全审计，边界设置等）	主机安全（身份鉴别，访问控制，安全审计，入侵防护，恶意代码，资源控制）	应用安全（身份鉴别，访问控制，安全审计，恶意代码，资源控制，通信相关性能）	数据安全（数据安全性及备份及恢复）
第一级	机房出入控制及自然灾害防御）	相关设备的业务处理能力；设备访问控制，登陆身份）	包括主机登陆限制、身份鉴别，权限设置，操作系统补丁及应用安装）	该应用的本身漏洞及通信的安全	重要信息数据通信的完整性及保密性；重要信息备份及恢复
第二级	防震防风防雨，进出审核记录，防水防潮，温、湿度控制；短期电力备用；电源，通信线隔离	+冗余空间，接入网络和核心网路的带宽满足业务高峰；子网划分，网段地址分配按便于控制原则；网络边界启用访问控制（网段级）；用户和系统间的控制粒度为单个用户；限制拨号权限用户数；对设备，流量，行为进行审计与记录；边界完整性检测；网络边界处监视以下攻击行为：端口扫描、强力攻击、木马后门攻击、拒绝服务攻击、缓冲区溢出攻击、IP碎片攻击和网络蠕虫攻击等，设备登陆要实现单点登陆	操作系统及数据库的用户权限分离；身份鉴别及口令强度及更新,登陆限制措施，用户名唯一性 +审计覆盖服务器上每个用户；并保证不受到非预期的删改 +升级服务器机制 +恶意代码防护统一管理	+身份鉴别用户唯一标记，访问控制对文件、数据表的访问，安全审计覆盖到每个用户；保证无法删改 +通信过程中的完整性（MD5或哈希） +通信限制（系统并发数量，单用户多重会话数；双方无回音最短时间）	+重要业务数据的完整性及保密性 +关键设备、业务的容灾备份
第三级		+避免将重要网段布置在边界、直连外部信息系统，并与其它系统隔离；按业务重要性确定带宽分配优先级 +控制粒度为端口级；应对进出网络的信息内容进行过滤，实现对应用层HTTP、FTP、TELNET、SMTP、POP3等协议命令级的控制；应在会话处于非活跃一定时间或会话结束后终止网络连接；应限制网络最大流量数及网络连接数；重要网段应采取技术手段防止地址欺骗；生成审计报表；记录攻击行为	+最小权限分配；审计覆盖到用户；存储重分配前确保删除干净；资源监控及最小分配	+生成报表；通信加密（会话验证，报文或会话加密）；接受，发送抗抵赖资源限制：+时间段内并发会话数，进程资源最小分配，设置服务及进程的优先级	+数据完整性检验及受损恢复，对重要业务数据加密；完全数据备份至少每天一次；存储介质场外存放；异地数据备份；传输冗余，避免单点故障
第四级	防自然灾害及人类灾害，温度湿度控制；进出审核，重要系统物理隔离，电子门禁 +电磁屏蔽	访问控制（用户级或进程级），网络边界安全设置；安全审计（细粒度，大数据）；恶意代码防范及自动处理机制至少一种不可伪造的身份鉴别 +不允许数据带通用协议协议通过；根据敏感标记过滤信息；不开放远程拨号访问；集中审计，时钟同步	主机登陆限制、至少一种身份鉴别信息不可伪造，权限设置，操作系统补丁及应用安装，病毒防护情况，恶意代码防范（主机与网络不同恶意代码库）；入侵防护，病毒库即使更新；资源使用限制； +访问控制为进程级和字段级 +集中审计	+至少一种不可伪造的身份鉴别信息 +安装、启用安全标记 +禁止默认账户访问 +在身份鉴别、会话时先建立可信安全的通信路径 +集中审计 +硬件化加密及密钥管理 +自动恢复功能	+对重要通信使用专用协议或https，避免来自基于协议的通信攻击破坏数据完整性及保密性 +异地实时备份，无缝切换

注：可以根据实际情况对等级详情做修改，然后针对要达到的等级进行部署

平时可以在部署改善后通过渗透测试，模拟攻击（与后面的演习配合）等来发现，解决安全问题

以上是在平时对网络环境安全进行评估和改善的依据，在受到攻击时的应急需要另外的应对措施，整个体系分为事前、事中、事后；

事前：

确定人员职责，事件等级，上报体系，升级机制

对受到的攻击进行事件等级划分：

事件等级	影响	备注
一级	部分或全部用户/员工，对资产有损失如：关键业务系统被拒绝服务攻击，用户无法访问、网站首页感染恶意代码、生产服务器被入侵	核心用户被入侵，关键系统被攻击
二级	少量用户或员工，如：基于web的管理系统被入侵，但权限小只能获得少量信息	边缘业务被攻击，普通用户被入侵
三级	个别用户或员工如：单台web服务器被攻击，无法访问，但不影响整个应用	普通服务器被攻击，无损失