信息系統(tǒng)安全加固描述

1、信息系統(tǒng)安全加固描述.安全加固概述網(wǎng)絡(luò)設(shè)備與操作系統(tǒng)加固和優(yōu)化服務(wù)是實(shí)現(xiàn)客戶信息系統(tǒng)安全的關(guān)鍵環(huán)節(jié)。通過(guò)使用該項(xiàng)服務(wù)，將在客戶信息系統(tǒng)的網(wǎng)絡(luò)層、主機(jī)層等層次建立符合客戶安 全需求的安全狀態(tài)，并以此作為保證客戶信息系統(tǒng)安全的起點(diǎn)。網(wǎng)絡(luò)設(shè)備與操作系統(tǒng)加固和優(yōu)化服務(wù)的目的是通過(guò)對(duì)主機(jī)和網(wǎng)絡(luò)設(shè)備所存 在安全問(wèn)題執(zhí)行以下操作:網(wǎng)絡(luò)設(shè)備與操作系統(tǒng)的安全配置;系統(tǒng)安全風(fēng)險(xiǎn)防范;提供系統(tǒng)使用和維護(hù)建議;安裝最新安全補(bǔ)?。ǜ鶕?jù)風(fēng)險(xiǎn)決定是否打補(bǔ)丁）；上述工作的結(jié)果決定了網(wǎng)絡(luò)設(shè)備與操作系統(tǒng)加固和優(yōu)化的流程、實(shí)施的內(nèi) 容、步驟和復(fù)雜程度。具體說(shuō)，則可以歸納為：QeG7hTOmrCk60zy。（1）加固目標(biāo)也就是確定系

2、統(tǒng)在做過(guò)加固和優(yōu)化后，達(dá)到的安全級(jí)別，通 常不同環(huán)境下的系統(tǒng)對(duì)安全級(jí)別的要求不同，由此采用的加固方案也不同。ArqKOaR VyLmy4s明確系統(tǒng)運(yùn)行狀況的內(nèi)容包括： 系統(tǒng)的具體用途，即明確系統(tǒng)在工作環(huán)境下所必需開(kāi)放的端口和服務(wù)等。系統(tǒng)上運(yùn)行的應(yīng)用系統(tǒng)及其正常所必需的服務(wù)。我們是從網(wǎng)絡(luò)掃描及人工評(píng)估里來(lái)收集系統(tǒng)的運(yùn)行狀況的。（3）明確加固風(fēng)險(xiǎn)：網(wǎng)絡(luò)設(shè)備與操作系統(tǒng)加固是有一定風(fēng)險(xiǎn)的，一般可能 的風(fēng)險(xiǎn)包括停機(jī)、應(yīng)用程序不能正常使用、最嚴(yán)重的情況是系統(tǒng)被破壞無(wú)法使用。 這些風(fēng)險(xiǎn)一般是由于系統(tǒng)運(yùn)行狀況調(diào)查不清導(dǎo)致，也有因?yàn)榧庸谭桨傅拇鷥r(jià)分析 不準(zhǔn)確，誤操作引起。因此在加固前做好系統(tǒng)備份是非常重要的。U

3、3AHnW6 p9YkJG5二.加固和優(yōu)化流程概述信息系統(tǒng)安全加固描述網(wǎng)絡(luò)設(shè)備與操作系統(tǒng)加固和優(yōu)化的流程主要由以下四個(gè)環(huán)節(jié)構(gòu)成:1.狀態(tài)調(diào)查對(duì)系統(tǒng)的狀態(tài)調(diào)查的過(guò)程主要是導(dǎo)入以下服務(wù)的結(jié)果:系統(tǒng)安全需求分析系統(tǒng)安全策略制訂系統(tǒng)安全風(fēng)險(xiǎn)評(píng)估（網(wǎng)絡(luò)掃描和人工評(píng)估）對(duì)于新建的系統(tǒng)而言，主要是導(dǎo)入系統(tǒng)安全需求分析和系統(tǒng)安全策略制訂這 應(yīng)確定被加固系統(tǒng)的安全級(jí)別，即 也必須在分析上述服務(wù)結(jié)果的基礎(chǔ)兩項(xiàng)服務(wù)的結(jié)果。在導(dǎo)入上述服務(wù)的結(jié)果后， 確定被加固系統(tǒng)所能達(dá)到的安全程度。 同時(shí), 上確定對(duì)網(wǎng)絡(luò)與應(yīng)用系統(tǒng)加固和優(yōu)化的代價(jià)。i62GsUW qiwvLaz。2.制訂加固方案制訂加固方案的主要內(nèi)容是根據(jù)系統(tǒng)狀態(tài)調(diào)

4、查所產(chǎn)生的結(jié)果制訂對(duì)系統(tǒng)實(shí) 施加固和優(yōu)化的內(nèi)容、步驟。3.實(shí)施加固對(duì)系統(tǒng)實(shí)施加固和優(yōu)化主要內(nèi)容包含以下兩個(gè)方面:對(duì)系統(tǒng)進(jìn)行加固對(duì)系統(tǒng)進(jìn)行測(cè)試對(duì)系統(tǒng)進(jìn)行測(cè)試的目的是檢驗(yàn)在對(duì)系統(tǒng)實(shí)施安全加固后，系統(tǒng)在安全性和功能性上是否能夠滿足客戶的需求。上述兩個(gè)方面的工作是一個(gè)反復(fù)的過(guò)程，即每 完成一個(gè)加固或優(yōu)化步驟后就要測(cè)試系統(tǒng)的功能性要求和安全性要求是否滿足 客戶需求；如果其中一方面的要求不能滿足，該加固步驟就要重新進(jìn)行。EUCWDNvGaSj2qa對(duì)有些系統(tǒng)會(huì)存在加固失敗的情況，如果發(fā)生加固失敗，則根據(jù)客戶的選擇, 要么放棄加固，要么重建系統(tǒng)。4.生成加固報(bào)告信息系統(tǒng)安全加固描述信息系統(tǒng)安全加固描述加固報(bào)

5、告是向用戶提供完成網(wǎng)絡(luò)與應(yīng)用系統(tǒng)加固和優(yōu)化服務(wù)后的最終報(bào)告。其中包含以下內(nèi)容：加固過(guò)程的完整記錄 有關(guān)系統(tǒng)安全管理方面的建議或解決方案 對(duì)加固系統(tǒng)安全審計(jì)結(jié)果三.安全加固技術(shù)1.網(wǎng)絡(luò)設(shè)備加固路由器作為網(wǎng)絡(luò)邊界最重要的設(shè)備，也是進(jìn)入內(nèi)網(wǎng)的第一道防線。邊界路由 器的安全缺陷來(lái)源于操作系統(tǒng)，路由協(xié)議、硬件、配置。路由器上運(yùn)行的操作系 統(tǒng)通常存在安全隱患，主要表現(xiàn)為遠(yuǎn)程溢出漏洞和默認(rèn)開(kāi)放的服務(wù)。除了及時(shí)下 載補(bǔ)丁修復(fù)漏洞外，路由器操作系統(tǒng)默認(rèn)開(kāi)放的許多服務(wù)通常存在著安全風(fēng)險(xiǎn)， 加固的方法是根據(jù)最小特權(quán)原則關(guān)閉不需要的服務(wù)，同時(shí)對(duì)用戶和進(jìn)程賦予完成 任務(wù)所需的最小權(quán)限。一些路由協(xié)議，如 RIP,對(duì)收到的

6、路由信息不進(jìn)行任何校 驗(yàn)和認(rèn)證，由此能造成網(wǎng)絡(luò)拓?fù)湫畔⑿孤痘蛞蚴盏綈阂饴酚啥鴮?dǎo)致網(wǎng)絡(luò)癱瘓。對(duì)此需要添加認(rèn)證，確保通信對(duì)象是可信的。CDP 協(xié)議(Cisco Discovery Protocal) 會(huì)造成路由器操作系統(tǒng)版本等信息的泄露，一般應(yīng)予以關(guān)閉。路由器硬件可能因發(fā)生故障或受到惡意攻擊而停機(jī)，為此需要進(jìn)行備份。加固邊界路由器最重要的方法是進(jìn)行安全配置，建立合適的訪問(wèn)控制表(ACL) ACL(Access Control List)規(guī)定哪些 IP 地址和協(xié)議可以通過(guò)邊界路由器,而哪些被阻止，由此確保流量安全進(jìn)出網(wǎng)絡(luò)。定制訪問(wèn)控制表通常應(yīng)遵守這樣的 原則：流量如果不被明確允許，就應(yīng)該被拒絕。38

7、9yW8k dQYCvP。值得注意的是，某些網(wǎng)絡(luò)設(shè)備可以通過(guò)物理的改變?cè)O(shè)備上的一些硬件開(kāi)關(guān)來(lái) 重置管理員口令字或恢復(fù)出廠設(shè)置。從業(yè)務(wù)的連續(xù)性和系統(tǒng)可靠性上講， 物理安全是用戶關(guān)鍵業(yè)務(wù)的重要前提保證。只要從物理上能接近設(shè)備，設(shè)備的安全性就 無(wú)從談起，因?yàn)榇藭r(shí)我們常提到的安全服務(wù)，如訪問(wèn)控制、鑒別服務(wù)等就不能起 到保護(hù)作用。daqP8pmiKQUPhY2.網(wǎng)絡(luò)結(jié)構(gòu)調(diào)整在網(wǎng)絡(luò)中我們已部署了防火墻、 入侵檢測(cè)、認(rèn)證系統(tǒng)等網(wǎng)絡(luò)安全設(shè)備，但是 主要是57qsqFo。w1Bvn9g信息系統(tǒng)安全加固描述側(cè)重于網(wǎng)絡(luò)層的攻擊檢測(cè)和防護(hù)，并且僅部署于企業(yè)公網(wǎng)的網(wǎng)絡(luò)出口， 對(duì)于網(wǎng)絡(luò)的防護(hù)有一定的局限性。而近年來(lái)隨著網(wǎng)

8、絡(luò)規(guī)模的不斷擴(kuò)張， 應(yīng)用的不斷 增多，連續(xù)爆發(fā)的沖擊波、震蕩波、CodeRed Nimda 等蠕蟲(chóng)病毒以及最近大量出現(xiàn)的 ARP 病毒、DDO 分布式網(wǎng)絡(luò)攻擊、大量不請(qǐng)自來(lái)的垃圾郵件，已成為網(wǎng) 絡(luò)當(dāng)中最令管理員頭疼的問(wèn)題。7kk9Sfn。3DSROWE3.服務(wù)器系統(tǒng)加固服務(wù)器系統(tǒng)安全加固是指通過(guò)一定的技術(shù)手段，提高系統(tǒng)的主機(jī)安全性和抗 攻擊能力，通過(guò)對(duì)操作系統(tǒng)的安全加固，可以大大減少操作系統(tǒng)存在的安全漏洞， 減少可能存在的安全風(fēng)險(xiǎn)，確保服務(wù)器的正常運(yùn)作。IhpMAZ5 2nb3Nqp網(wǎng)絡(luò)中各種服務(wù)器，如 Web 服務(wù)器、FTP 服務(wù)器、E-mail 服務(wù)器，是黑客攻 擊的重點(diǎn)目標(biāo)，其安全性至關(guān)

9、重要。雖然通過(guò)路由器的包過(guò)濾和防火墻的訪問(wèn)控 制，大大增強(qiáng)了安全性。但黑客還可以利用服務(wù)器的漏洞或配置錯(cuò)誤進(jìn)行攻擊， 以圖獲取系統(tǒng)控制權(quán)或?qū)崿F(xiàn)拒絕服務(wù)。h3IjOBB。O5E9FrN例如 UNIXWindowsNT Linux 都只能達(dá)到美國(guó)國(guó)防部提出可信計(jì)算機(jī)系統(tǒng) 評(píng)測(cè)標(biāo)準(zhǔn)TCSEC 勺 C2 級(jí)。但對(duì)于開(kāi)放源代碼的 Linux 操作系統(tǒng)，可以很好的通 過(guò)采取 B 級(jí)系統(tǒng)代替?zhèn)鹘y(tǒng)的 C 級(jí)系統(tǒng)等措施來(lái)解決安全加固的問(wèn)題?？梢允紫仍?最敏感的服務(wù)器和網(wǎng)絡(luò)隔離設(shè)備上及要害信息系統(tǒng)的服務(wù)器中采用B 級(jí)操作系統(tǒng)，并配備 B 級(jí)數(shù)據(jù)庫(kù)管理系統(tǒng)。將應(yīng)用、服務(wù)都建設(shè)在 B 級(jí)的基礎(chǔ)上，這樣整 個(gè)信息系統(tǒng)的

10、安全性能才有根本性的保障。SELinux 是由 NS(美國(guó)國(guó)家安全局) 和 SCC(SecureComputing Corporation )開(kāi)發(fā)的 Linux 的一個(gè)擴(kuò)張強(qiáng)制訪問(wèn)控 制安全模塊。2000 年以 GNUGP 發(fā)布。經(jīng)過(guò) SELinux 保護(hù)的 Linux 安全級(jí)別則 可以達(dá)到 B1 級(jí)。fZ58FH2。xcGWqgB另外，國(guó)內(nèi)在安全 Linux 內(nèi)核技術(shù)方面的相關(guān)研究主要是LIDS 項(xiàng)目，LIDS是一個(gè)在開(kāi)放源碼的 Linux Kernel 上進(jìn)行安全加固的工程。目前已經(jīng)得到了國(guó) 內(nèi)外的廣泛認(rèn)同。LIDS 項(xiàng)目在標(biāo)準(zhǔn) Linux 內(nèi)核源碼基礎(chǔ)上，采用強(qiáng)制性訪問(wèn)控 制技術(shù)、類型保證和執(zhí)行域等技術(shù)，對(duì)標(biāo)準(zhǔn)內(nèi)核進(jìn)行以安全增強(qiáng)為目的的修改， 并提供了一個(gè)管理工具 lidsadm。CZJZGYNQh7zZvx34.數(shù)據(jù)庫(kù)加固主流數(shù)據(jù)庫(kù)系統(tǒng)（包括 Oracle、SQL Server、Sybase、MySQL Informix ） 的補(bǔ)丁、信息系統(tǒng)安全加固描述賬號(hào)管理、口令強(qiáng)度和有效期檢查、遠(yuǎn)程登陸和遠(yuǎn)程服務(wù)、存儲(chǔ)過(guò)程、 審核層次、備份過(guò)程、 角色和權(quán)限審核、 并發(fā)事件資源限制、 訪問(wèn)時(shí)間限制、 審 核跟蹤、 特洛依木馬等。sppZ4xUTMBXdlU安全加固主要方式是補(bǔ)丁安裝及安全配置的調(diào)整，并不是所有的補(bǔ)丁包都可 以隨便安裝、配置隨意調(diào)整，有些補(bǔ)丁包的安裝可能會(huì)