【共读】企业信息安全建设与运维指南(一)

【共读】企业信息安全建设与运维指南(一)_第1张图片

一、从零开始建设企业信息安全系统:

企业信息安全体系分为:信息安全技术体系和信息安全管理体系

  • 信息安全技术体系:

        两个层面:

          1.需建设安全相关基础设施和系统,以具备解决相关安全问题的能力。

          2.需具备安全运营能力,只有正确部署和使用设备,才能真正保障信息安全。

  • 信息安全管理体系:

          两个层面:

          1.具备信息安全相关的制度、规范、流程及策略。

          2.具备信息安全管理体系的落地能力,即实施、保持并持续改进。

1.1企业面临的风险

  • 外部安全风险:黑客攻击和入侵

  • 内部安全风险:内部员工恶意窃取数据或无意泄露数据。

  • 安全合规风险

1.2企业安全建设需求

  • 安全基础设施和系统建设:基础安全建设需求,是安全工作开展的基石。

  • 安全运营体系建设:持续运营,让安全基础设施和系统发挥作用

        1)安全设备和系统运行维护

         2)定期开展例行化安全工作

         3)产品安全生命周期

         4)安全事件处置

         5)安全自动化能力

  • 安全管理体系建设:安全制度建设、信息安全流程建设、安全培训、安全考核等等。

1.3企业按岗位简介

  • 企业安全组织架构:中小企业中,典型的安全岗位图。

【共读】企业信息安全建设与运维指南(一)_第2张图片

第1种:只负责渗透测试或安全测试工作。

第2种:权限较低,负责网络安全、渗透测试等工作。

第3种:权限和级别较高,内容不限于技术安全,还可做安全管理等。

  • 企业安全工作岗位:

1)安全运维工程师

2)渗透测试工程师

3)安全开发工程师

4)安全管理岗

1.4企业安全工作开展思路

从安全风险评估、安全工作机制的建立和安全工作规划三个层面来说:

1.4.1安全风险评估:通过资产梳理、人工访谈、技术评估等方式开展。

  • 1.资产梳理:为了全面掌握公司资产现状,需要梳理资产信息,来确定每个模块和系统对应的负责人。

资产类型 资产内容
IP/域名 互联网IP地址、办公网IP段、域名
线上系统 网站、App、公众号、小程序、运营后台(重点关注公司核心业务、账号、交易、支付等系统)
办公系统 OA、邮件、人力、财务、VPN等相关系统。
人员资产 员工、外包、供应商等;部门组织架构等
账号资产 办公类账号、测试账号、运维等账号及外部云服务账号
  • 2.人工访谈:访谈对象,访谈内容两个方面。

  • 3.技术评估:通过技术评估获取安全风险情况,安全渗透、安全基线检查、数据流分析等。

  • 4.输出安全风险列表:对风险进行等级划分,为后续工作做好基础。常见风险如下:

风险类型 风险描述 风险级别
办公网安全问题
  • 无统一 桌面安全标准,办公计算机没有加域、无企业防病毒系统

  • 无准入标准和控制设施,只要制度密码就可以接入办公内网Wi-Fi

生产网安全问题
  • 线上开放高危端口,暴露面广,开放不必要的端口和服务

  • IDC仅有防火墙,无Web入侵防护系统、无DDOS防护系统

  • 缺乏入侵检测手段

  • 服务器无统一安全基线要求

  • 缺乏安全运维审计设施

产品安全问题
  • 线上高危漏洞多,存在大量SQL注入、XSS、越权漏洞,邮箱或内部运营系统弱口令多

  • 缺乏产品安全风险控制流程,无漏洞管理机制

数据泄露风险
  • 权限控制不严,生产数据可以导出,存在数据泄露风险

  • 办公计算机、邮箱可以随意外发文件,存在信息泄露风险

  • 生产服务器可以访问任何外网资源,没有通过代理服务器进行权限控制

安全应急响应
  • 没有建立安全应急响应机制,缺少安全应急预案

安全管理
  • 员工安全意识不足,没有开展安全培训和宣传

  • 安全管理制度缺失

1.4.2安全工作机制建立

  • 建立安全接口人机制:安全接口人就是每个部门负责对接安全部门的人员。

  • 建立安全应急响应机制安全漏洞修复要求、安全事件应急响应流程。

有了安全机制,安全工作人员就能应对各类紧急事件,为开展长期安全规划打基础。

1.4.3安全工作规划

可根据实际情况分为:短期规划、中期规划、长期规划。

安全规划 工作方向 重点工作示例
短期规划 高危漏洞治理、数据泄露风险防治、合规风险处置
  • 高危漏洞修复,关闭高危端口,将内部管理后台迁移到内网

  • 弱口令治理

  • 产品上线前开展安全渗透测试

  • App个人安全隐私问题整改

中期规划 安全基础设施建设
  • 办公网:防病毒系统、准入系统

  • 生产网:抗DDOS系统、Web应用防火墙系统

  • 安全管理:堡垒机建设、安全管理规范的制定和发布

长期规划 安全自动化、系统化、安全运营体系搭建
  • 漏洞扫描系统建设

  • 入侵检测系统建设

  • 安全风控体系建设

  • 安全管理:网络安全等级保护、ISO27001认证体系建设

二、基础办公安全体系建设:

办公网承载着企业重要IT资产信息,以及存储着各种敏感信息和重要资料,一旦发生安全事件,可能会造成资料丢失或敏感信息泄露,也可能造成巨大的经济损失。

企业办公网主要面临以下安全风险:

  • 终端安全风险:易遭病毒和木马攻击,可能导致数据丢失等问题

  • 网络安全风险:如网络边界入侵、无线网络安全等问题

  • 邮件安全风险:如邮箱密码被破解,收到钓鱼邮件或含病毒木马的邮件。

  • 数据外泄风险:数据泄露防护一直是企业安全中最难解决的问题。

2.1终端基础安全

从准入系统、防病毒系统、补丁更新系统、终端数据防泄露系统四个方面介绍

2.1.1准入系统建设

市场上主流的准入系统分为:无客户端准入系统和有客户端准入系统。

  • 无客户端准入系统实现方案:

        实现方式主要有Portal认证、AD域认证:

        1)Portal认证一般使用Radius协议,会弹出web Portal。

        2)AD认证方法主要判断计算机是否加入公司AD域中。

  • 基于客户端的准入系统实现方案

        客户端会对用户的身份和计算机的安全基线进行检查,通过后才可接入网络

  • 准入系统实施方案

        1)部署准入服务端

          2)用户接入流程

【共读】企业信息安全建设与运维指南(一)_第3张图片

          3)例外处理

          4)终端管理

          5)逃生机制

          6)实施注意点

2.1.2防病毒系统

用于应对病毒和木马威胁

  • 防病毒系统主要功能:

        1)病毒和木马查杀

        2)主动防御

        3)主机防火墙和网络入侵防护

  • 防病毒系统部署方案:

防病毒系统主要是防病毒管理中心和病毒库,管理中心主要负责策略下方、病毒库更新和客户端管理,病毒库需要访问厂商的外网病毒库更新点更新。

【共读】企业信息安全建设与运维指南(一)_第4张图片

  • 防病毒系统应用实践:

        1)防病毒策略更新:防护策略、扫描策略、更新策略

          2)使用的注意点:白名单,自身保护功能(需管理员授权才可退出卸载)

2.1.3补丁更新系统建设

  • WSUS服务器部署说明

  • WSUS安装和补丁策略

这个可以参考小编以前写的:内网部署Windows Server 2012的WSUS补丁服务器

  • 使用要点:不排除少数补丁安装后,出现不可预估的问题。

  • 第三方补丁管理系统

2.1.4终端数据防泄露方案比较

【共读】企业信息安全建设与运维指南(一)_第5张图片

介绍下DLP系统方案:

1.数据分级分类保护

  • 首先梳理数据类型,做分类。

  • 然后定义数据类型级别。

  • 最后进行数据密级标记

2.终端DLP实现方案

【共读】企业信息安全建设与运维指南(一)_第6张图片

3.终端DLP系统选型测试

  • 测试用例准备

  • 敏感数据检出率和误报率测试

  • 数据变形和转换测试

  • 测试敏感数据外泄行为发现能力

  • 测试脱离网络环境后DLP客户端的功能

  • 测试不同操作系统的兼容性和检出能力

  • 性能影响评估

  • 兼容性影响评估

  • 水印功能

4.终端DLP实施方案和建议

最好是自上而下,由管理层推动,否则很难推动下去,安装前先小规模试点运行,全面推广时,设置自动推送,且客户端不能被用户退出和卸载。

2.2防火墙、VPN和上网行为管理

【共读】企业信息安全建设与运维指南(一)_第7张图片

  • 网络边界访问控制

  • 通信安全和传输安全

  • 安全上网

2.2.1防火墙

  • 防火墙简介和发展历程:防火墙、UTM、NGFW

  • 防火墙选型注意事项:

        1)网络吞吐量

        2)最大并发连接数

        3)VPN隧道数

        4)网络接口数

        5)模块冗余和高可用

        6)集中管理

        7)功能授权和升级

  • 防火墙应用场景:    

        1)用户上网

        2)提供外网访问服务

        3)进行边界访问控制

2.2.2 VPN网关

主要分为IPSec VPN和SSL  VPN,IPSec主要是两个网络之间的,SSL 主要用于远程接入。

  • IPSec  VPN 简介和应用

        用于不同办公场所之间建立安全通信信道。

【共读】企业信息安全建设与运维指南(一)_第8张图片

 

  • SSL VPN简介和应用实践

用于远程办公用户接入办公网

2.2.3上网行为管理

主要解决用户上网过程中存在的如下问题:

  • 控制办公网访问互联网的应用

  • 避免访问恶意网站或违禁网站

  • 实现上网行为审计

2.3入侵检测/防御系统

2.3.1入侵防御系统简介

  • 入侵防御系统简介:简称IPS,部署在网络边界

  • 入侵防御系统评价指标:入侵防御能力、产品性能和功能

2.3.2入侵检测系统简介

  • 入侵检测系统简介:简称IDS,部署在网络内部。

【共读】企业信息安全建设与运维指南(一)_第9张图片

  • 入侵检测系统评级指标:入侵检测能力、产品性能和功能

  • IDS日常运维管理:优化策略,持续维护

2.4邮件安全

企业邮件安全威胁主要包括如下几个方面:

  • 垃圾邮件和病毒邮件

  • 邮箱账号密码安全问题

  • 钓鱼邮件

2.4.1反垃圾邮件和防病毒

  • 垃圾邮件过滤技术

  • 反病毒邮件

  • 误报处理

  • 产品选型

2.4.2邮件账号密码安全保护

  • 账号密码暴力破解防护

  • 邮箱弱口令问题

  • 防范账号密码泄露

2.4.3防钓鱼邮件

防钓鱼邮件最重要的是要加强安全宣导,提高员工的安全意识,避免上当受骗。

2.5统一账号认证系统

本期到此结束,下期恭请期待!

你可能感兴趣的:(企业信息安全建设与运维指南,信息安全,安全运维)