上海蓝光集团信息安全建设方案

上海蓝光集团信息安全建设方案

目录

一、信息安全现况... 1
二、信息安全面临威胁... 1
2.1网络层面... 1
2.2数据层面... 1
三、蓝光集团信息安全存在的问题... 2
3.1基础设安全问题... 2
3.2服务器安全问题... 2
3.3应用软件安全问题：... 2
3.4数据库安全问题：... 3
3.5管理方面问题... 4
四、信息安全建设意见... 4
4.1基础设施安全建设... 4
4.2应用系统安全建设... 5
4.3服务器安全建设... 5
4.4数据安全建设... 6
4.5管理类安全需求... 7
五、信息安全建设阶段... 8
第一阶段： 基础安全建设... 8
第二阶段：信息安全加强... 8
第三阶段：信息安全深入... 9
六、信息安全建设预算... 10
七、信息安全管理文件... 10

一、信息安全现况

      蓝光集团对信息安全的建设，在终端上部署了防火墙和防病毒软件（360安全卫士，360杀毒软件），在网络边界使用了硬件防火墙（Juniper防火墙），能够对外部威胁起到基本的防护能力，但是如今的安全威胁和攻击手段日新月异，层出不穷，各种高危漏洞不断被攻击者挖掘出来，攻击的目标越来越有针对。

二、信息安全面临威胁
2.1网络层面
1.恶意攻击数量快速增加，攻击手段不断丰富，最新的未知威胁防不胜防
2.高级、有针对性的高危持续性攻击APT已蔓延至各类规模企业
3.复杂混乱的应用与外接设备环境，无法确保应用和设备的准入控制，无法保证安全策略强制下发，无法确保终端满足制定的终端安全策略-终端准入控制
4.核心系统遭受攻击或是网络遭受DDOS攻击等影响系统的正常使用，造成依赖企业IT系统的部门无法正常运转。
2.2数据层面 
   1. 数据丢失：人力系统数据丢失，导致员工工资无法正常发放；运行系统数据丢失，导致无法了解企业生产数据量；销售数据丢失，企业无法了解销售数量、客户订货量等。数据丢失不同程度地影响着企业正常运营。
   2.数据篡改：这意味着企业的真实数据不再真实。本应发货给A的订单被篡改成发货给H。数据篡改会给企业经营带来很多不必要的麻烦，甚至是法律纠纷。

   3.数据泄露：将影响企业的名誉和继续存活。数据泄露的案例众多，数据泄露对公司的信誉影响巨大，严重影响公司的未来发展。

三、蓝光集团信息安全存在的问题
       我们对网络设备、服务器系统、数据库系统、应用系统、网络扫描、安全管理等方面进行了安全评估，发现关于操作系统、数据库系统、网络设备、应用系统等等方面的漏洞，信息安全管理中并没有规范的安全管理制度，也是出现操作系统、数据库系统、网络设备、应用系统等漏洞，主要体现如下：
3.1基础设安全问题
1.网络设备问题
访问控制安全，网络设备安全漏洞 ， 设备配置安全
3.2服务器安全问题
1.服务器系统问题
补丁问题，安全策略问题、 弱口令问题、 默认共享问题 、防病毒情况 、
3.3应用软件安全问题：
1. exchange邮件系统问题
系统版本不更新，补丁过期，无杀毒软件，防火墙防护，弱口令问题，无备份机制。
2.ERP系统问题
系统BUG不更新，补丁过期，无杀毒软件，防火墙防护，弱口令问题，无备份机制。
3.OA系统问题
系统版本不更新，补丁过期，无杀毒软件，防火墙防护，弱口令问题，无备份机制。
4.CIM系统问题
系统BUG不修复，补丁过期，无杀毒软件，防火墙防护，弱口令问题，无备份机制。
3.4数据库安全问题：
1. Oracle数据库问题 
Oracle数据库默认帐号问题   Oracle数据库弱口令问题   Oracle数据库默认配置问题 ，灾备系统问题。
2.MSSQL数据库问题
MSSQL数据库默认帐号问题   MSSQL数据库弱口令问题   MSSQL数据库默认配置问题 ，灾备系统问题。
3.5管理方面问题
1. 原有的信息安全组织没有实施起来，没有制定安全总体策略；没有落实信息 安全责任人。导致信息安全管理没有能够自上而下的下发策略和制度，信息安全管理没有落到实处。
2. 虽然有基本的安全管理制度；但是这些安全管理制度还没有 落实到日常工作中，并且可能在实际的操作中根据实际的情况做一些修改。
3. 没有成立安全应急小组，没有相应的应急事件预案；缺少安全事件应急处理 流程与规范，也没有对安全事件的处理过程做记录归档。

4. 没有建立数据备份与恢复制度；应该对备份的数据做恢复演练，保证备份数 据的有效性和可用性，在出现数据故障的时候能够及时的进行恢复操作。

四、信息安全建设意见
4.1基础设施安全建设
集团内网划分子网，集团与分公司组建区域子网，建立非军事区。对网络结构和网络设备进行安全评估，并根据需要进行适当加固和整改。保证主要网络设备的业务处理能力和网络链路的传输带宽具备冗余空间，满足业务高峰期需要。应按照业务类型、重要程度等对网络进行安全域划分，对重要的安全域与其他网段、外部网络之间需采取可靠的技术隔离手段。应按照对业务服务的重要次序来指定带宽分配优先级别，保证在网络发生拥堵的时候优先保证重要主机的通信带宽。应在网络边界部署具有会话状态检测功能的访问控制设备，控制粒度为端口级，可控制单个用户对受控系统资源的访问，并能对进出网络的信息内容进行过滤，实现对应用层HTTP、FTP、TELNET、SMTP、POP3等协议命令级的控制。应限制网络最大流量数及网络连接数。 重要网段应采取技术手段防止地址欺骗。需要开启网络设备的日志功能，对网络设备运行状况、网络流量、用户行为等进行日志记录，审计记录应包括事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息。能够根据记录数据进行分析，生成审计报表。需设置安全、独立的日志存储系统，保护审计记录不被非法删除、修改或覆盖等。 需要部署非法接入监控系统和非法外联监控系统，对非授权设备私自联到内部网络或内部网络用户私自联到外部网络的行为进行检查，准确定出位置，并对其进行有效阻断。需要在网络边界部署网络入侵检测机制，对进出边界的网络数据流进行端口扫描、强力攻击、木马后门攻击、拒绝服务攻击、缓冲区溢出攻击、IP碎片攻击和网络蠕虫攻击等的检测。 应在检测到攻击行为时，记录攻击源IP、攻击类型、攻击目的、攻击时间，在发生严重入侵事件时应提供报警。需要在网络边界部署网关级的病毒过滤系统，对恶意代码进行检测和清除，并提供代码库的升级和检测引擎的更新功能。 需要部署双因素身份认证系统对网络管理员进行身份鉴别，身份鉴别信息应不易被冒用。需要对远程身份认证过程提供加密保护。需要将系统特权用户的权限进行分离。
4.2应用系统安全建设
    应用系统由供应商进行评估给出安全建设方案
4.3服务器安全建设
1、安全评估
需由专业安全服务人员根据相关要求对主机操作系统和数据库系统进行安全评估，并根据需要进行适当加固和提供整改建议。
2、身份鉴别（S）
需要部署双因素身份认证系统对操作系统和数据库系统的管理员进行身份鉴别，身份鉴别信息应不易被冒用。需要对远程身份认证过程提供加密保护。
3、访问控制（S）
应对重要信息资源设置敏感标记，依据安全策略严格控制用户对有敏感标记重要信息资源的操作。
4、安全审计
需要对服务器操作系统、数据库系统和重要客户端操作系统进行用户行为、系统事件的审计，审计记录应包括日期和时间、类型、主体标识、客体标识、事件的结果等。需设置安全、独立的日志存储系统，保护审计记录不被非法删除、修改或覆盖等。
能够根据记录数据进行分析，生成审计报表。
5、入侵防范
需要在重要服务器上部署入侵检测机制，对非法入侵和攻击行为进行检测、记录和告警，并对系统重要程序的完整性进行检测和保护。
6、恶意代码防范
需安装网络版防病毒软件，提供统一管理和更新，且需与网关防病毒系统的
7、资源控制（A）
需要对重要服务器的运行情况进行实时监视，包括监视服务器的CPU、硬盘、内存、网络等资源的使用情况，限制单个用户对系统资源的最大或最小使用限度，并能够对系统的服务水平降低到预先规定的最小值进行检测和报警。
4.4数据安全建设
1、数据传输完整性、保密性（S）
应采用密码技术或其他有效措施，保证系统管理数据、鉴别信息和重要业务数据在传输过程中的完整性、保密性。
2、数据存储完整性、保密性（S）
应采用专门的存储安全措施，保证系统管理数据、鉴别信息和重要业务数据在存储过程中的完整性、保密性。
3、数据备份和恢复（A）
应建立或完善数据备份和恢复机制，在提供本地备份和恢复功能的基础上，建立异地数据备份机制。
应采用冗余技术设计网络拓扑结构，避免关键节点存在单点故障；应提供主要网络设备、通信线路和数据处理系统的硬件冗余，保证系统的高可用性。
4.5管理类安全需求
1.安全管理制度
需要制定信息安全工作的总体方针和安全策略，对安全管理活动中各类管理内容建立安全管理制度，对管理人员或操作人员执行的日常管理操作建立操作规程。要求形成由安全策略、管理制度、操作规程等构成的全面的信息安全管理制度体系。
2.安全管理机构
需要建立或完善既满足相关要求又符合实际情况的安全管理机构。应加强与外部组织的沟通和合作，并聘请信息安全专家作为常年的安全顾问，指导信息安全建设，参与安全规划和安全评审等。
3.人员安全管理
需要制定既满足相关要求又符合实际情况的人员安全管理条例，并进行必要的人员安全意识和安全技能培训。
4.系统建设管理
需要依照等级保护相关政策和标准的要求进行系统定级、规划、设计、实施，并委托公正的第三方测试单位对系统进行安全性测试，并出具安全性测试报告作为验收依据。应选择具有国家相关技术资质和安全资质的测评单位至少每年对系统进行一次等级测评，发现不符合相应等级保护标准要求的及时整改。
5.系统运维管理

需要对系统运行进行维护和管理，涵盖环境管理、资产管理、介质管理、 设备管理、网络安全管理、系统安全管理、恶意代码防范管理、密码管理、变更管理、备份与恢复管理、安全事件处置、应急预案管理等各个方面，并在环境管理、资产管理、介质管理、设备管理、网络安全管理、系统安全管理、密码管理、变更管理、备份与恢复管理等方面要求进行规范的制度化管理。要求对安全事件根据等级分级响应，同时加强对应急预案的演练和审查。此外还需结合采用以下的技术手段实现网络和系统的安全运维。

五、信息安全建设阶段
第一阶段：基础安全建设
建设内容：
本次基础安全建设主要考虑安全域划分和加强安全边界防护措施，优先考虑办公业务网出口的安全问题。在办公业务网与核心交换区的边界处，应采用多种安全技术和手段来防范外来的威胁。主要采用的技术手段有网络边界隔离、网络边界入侵防护、网络边界防病毒、内容安全等方面。
建设设备：深信服，梭子鱼邮件防火墙
建设周期：6个月
第二阶段：信息安全加强
建设内容：
在第二阶段的安全建设中需要考虑加强手段。主要从安全日志审计、系统平台和应用系统安全两个方面展开。
（1）安全日志审计系统
第一阶段部署了大量的安全产品。这些安全产品和大量的网络产品以及应用系统产生海量的日志和事件，尤其是入侵检测之类的安全产品，每天的事件量巨大，靠人工的方式很难检索所有的事件，如漏掉重要事件很可能会带来较大损失，鉴于此，需要部署统一的日志审计管理平台。这个平台能够收集所有网络产品、安全产品、主机以及应用系统的日志和安全事件，对其进行规范化处理，根据审计规则发现真正有价值的事件后及时告警，并能够存储海量事件，能够提供事后取证.
（2）系统平台和应用系统安全
在第一阶段建设了安全评估体系，定期进行评估和加固，已经有效地增强主机和应用的安全，第二阶段需要进一步加强系统平台和应用系统的安全管理，考虑从完整性管理和脆弱性管理两个方面进行加强。结合安全日志审计功能，就可以针对各业务系统的帐号级的信息安全审计和追踪。
建设设备：堡垒机，灾备系统，日志记录系统
建设周期：8个月
第三阶段：信息安全深入
建设内容：
安全管理建设，主要从安全管理中心、安全管理体系着手完善。当前信息安全问题的处理情况建设安全管理统一平台，将全网的安全管理通过该平台进行。通过该平台可以及时准确地获知网络安全体系的效果和现状，帮助安全管理员进行正确的决策分析。该平台应该具备风险管理、策略中心、事件中心、响应中心、知识中心等功能模块，并且应具备很好的开放性和可定制性。
安全管理体系
安全管理建设应该自始至终，并且对安全建设和运维起到指导作用。主要从安全策略制定、组建安全管理队伍、安全评估、资产鉴别和分类、安全认证等多种管理领域开展，最终形成管理和技术相融合，共同形成真正的安全体系架构。
建设设备：安全管理平台
建设目标：制度完善

建设周期：12个月

六、信息安全建设预算
  第一阶段 50万  第二阶段30万  第三阶段 20万

七、信息安全管理文件
附件：
《蓝光集团信息安全管控体系_基础设施端》
《蓝光集团信息安全管控体系_服务器端》
《蓝光集团信息安全管控体系_客户端》
《蓝光集团信息安全管控体系_数据库》
《蓝光集团信息安全管理体系》