整體安全服務項目書

1、整體安全服務項目書目錄1. 公司介紹 . 錯誤！未定義書簽。 1.1. 上海 AAAAA 股份有限公司 . 錯誤！未定義書簽。 1.2. BBBBBB 公司. 錯誤！未定義書簽。2. 信息安全風險及銀行業(yè)面臨的挑戰(zhàn) . 3 2.1. 信息安全的現(xiàn)狀 . 3 2.2. 國內(nèi)企業(yè)信息安全方面的問題 . 4 2.3. 銀行和金融服務機構(gòu)的安全挑戰(zhàn) . 4 2.4. 安全服務項目所涉及的任務 . 63. XXXX 上海分行整體安全服務介紹 . 84. 第一階段：風險評估 . 9 4.1. 第一步：邊界審核和遠程測試（黑箱測試） . 11 4.1.1. 方法論 . 11 4.1.2. 信息收集 . 11

2、 4.1.3. 網(wǎng)絡結(jié)構(gòu)分析 . 11 4.1.4. 情景分析 . 12 4.1.5. 模擬攻擊 . 12 4.2. 第二步：系統(tǒng)分析、改善建議和應用測試（白箱測試） . 20 4.2.1. 方法論 . 205. 第二階段：解決方案 . 236. 保密原則 . 31 6.1. 文檔管理 . 31 6.1.1. 客戶數(shù)據(jù)文檔處理策略 . 31 6.1.2. 用戶報告處理原則 . 31 6.2. 客戶參考內(nèi)容 . 32 6.2.1. 交叉參考 . 327. 項目團隊介紹 . 33 7.1. 項目團隊架構(gòu) . 33 7.2. 項目人員情況表 . 358. 項目合作形式及合作內(nèi)容 . 369. 項目時

3、間表、工作量和項目費用 . 37 9.1. 項目時間表 . 37 9.2. 工作量估計 . 37 9.3. 項目費用 . 3710. 成功案例 . 3911. 附件. 40 11.1. Sample Policy Extract - Enterprise-wide Policy . 40 11.2. Sample of Report. 47 11.2.1. Examples of Vulnerability Tables provided in the Penetration Test Report . 47 11.2.2. Architecture Review Report . 49 11

4、.3. 測試工具 . 5011.4. 部分用戶和合作伙伴的反饋意見 . 錯誤！未定義書簽。第 ii 頁 共 50 頁1. 信息安全風險及銀行業(yè)面臨的挑戰(zhàn)1.1. 信息安全的現(xiàn)狀信息安全是涉及計算機、網(wǎng)絡技術、通信技術、密碼技術、企業(yè)管理和社會工程的綜合科學。 旨在保護信息和相關應用系統(tǒng)的保密性、 完整性和可用性。 隨著新技術的發(fā)展和普及， 企業(yè)的業(yè)務活動越來越多地依賴更加復雜的計算機設備和通訊手段來完成，安全風險隨之增加。無論是包括銀行、保險、電信等行業(yè)在內(nèi)的敏感企業(yè)，還是普通的制造和商業(yè)企業(yè)， 都已經(jīng)認識到了信息安全的重要性。盡管如此，信息安全方面的專業(yè)調(diào)查仍然向我們展示了一些令人震驚的結(jié)果

5、：60%的企業(yè)機構(gòu)可能受到拒絕服務類攻擊。80%的用戶不知道自己的網(wǎng)絡系統(tǒng)究竟提供了哪些服務， 其中哪些可以從外部通過 Internet 訪問。80%的企業(yè)不具備完備的安全政策。70%配備了防火墻的站點依然無法防范已知的攻擊手段。上述現(xiàn)象的存在， 主要由于企業(yè)的安全管理意識不強， 安全管理手段欠佳造成的。大部企業(yè)雖然在安全方面有所認識， 并采取了相應的安全手段， 卻不能很好地將安全問題提高到企業(yè)的業(yè)務戰(zhàn)略的高度加以考慮。 因此，在安全項目的實施中，常常會因為缺乏對安全工作的重視或認為安全工作必須服務于業(yè)務系統(tǒng)而進行妥協(xié)，在應用系統(tǒng)中埋下案例隱患。另外，企業(yè)在實施安全項目時， 經(jīng)常將安全工作簡單

6、地理解為采購大量軟硬第 3 頁 共 50 頁件設備，嚴格控制用戶訪問的過程，這顯然不是正確的安全觀點。實踐證明，信息安全的重點是管理， 而非技術。 企業(yè)必須認真地分析自身的業(yè)務需求， 并據(jù)此制定相應的安全戰(zhàn)略； 在它的指導下， 建立和健全安全管理體系， 規(guī)范業(yè)務活動和操作流程， 提高安全防范意識， 實施技術保障手段和應急措施， 最終有效地保證企業(yè)的信息安全，降低運營風險。1.2. 國內(nèi)企業(yè)信息安全方面的問題國內(nèi)企業(yè)在信息安全方面必須解決的問題包括：a) 缺乏完善的信息安全法規(guī)和特定行業(yè)的安全標準，使企業(yè)在實施信息安全項目時存在較大的盲目性。b) 國內(nèi)市場上的安全技術、安全產(chǎn)品和安全服務嚴重滯后

7、，無法滿足企業(yè)的信息安全要求，也不能幫助國內(nèi)企業(yè)應對國外最新發(fā)現(xiàn)的安全風險。c) 安全廠商、服務商和企業(yè)用戶對信息安全的風險、防范手段和安全技術缺乏系統(tǒng)研究，無法針對企業(yè)的需求，形成全面的信息安全戰(zhàn)略。d) 企業(yè)信息安全項目的實施沒有列入企業(yè)的戰(zhàn)略高度，不能與企業(yè)的業(yè)務目標很好地統(tǒng)一。e) 企業(yè)用戶普遍缺乏針對信息安全問題的緊急響應能力，無法及時發(fā)現(xiàn)隱患，阻止攻擊、濫用等安全問題的出現(xiàn)。1.3. 銀行和金融服務機構(gòu)的安全挑戰(zhàn)信息是銀行和金融服務機構(gòu)最重要的財富。 如何保障信息資產(chǎn)的完整性、 保密性和可用性， 并允許用戶以適當?shù)姆绞綄ζ溥M行便利的訪問， 已經(jīng)成為一個日益突出的商業(yè)問題。第 4 頁

8、 共 50 頁在傳統(tǒng)應用向 Internet 應用發(fā)展的進程中，銀行和金融企業(yè)面臨的內(nèi)外部風險不斷增加，形成包括拒絕服務、數(shù)據(jù)修改、計算機欺詐、人為破壞、計算機病毒及其它潛在的安全問題和隱患。 這種情況下，如何制訂完善的企業(yè)安全戰(zhàn)略，綜合運用包括物理和電子手段在內(nèi)的安全措施， 對交易信息、 資產(chǎn)和客戶資料進行保護，具有非常重要的意義。銀行的金融系統(tǒng)主要運行于分行網(wǎng)絡、內(nèi)部設施 、Internet 、專網(wǎng)和虛擬專網(wǎng)等復雜環(huán)境，應用系統(tǒng)包括包括網(wǎng)上支付、網(wǎng)上銀行、電子清算等。其中的每一個環(huán)節(jié)，無論是金融交易，還是金融系統(tǒng)或網(wǎng)絡環(huán)境等，都是高度復雜的。這種復雜性本身就是一種重大的風險因素， 如果不能

9、有效地管理和把握， 勢必威脅企業(yè)的信息安全。多數(shù)金融企業(yè)對信息安全的認識仍有待于提高。 一方面，部分企業(yè)對于安全戰(zhàn)略的制訂和實施缺乏緊迫感，直到出現(xiàn)安全問題，造成危害，才去亡羊補牢；另一方面， 在已經(jīng)建立和實施了信息安全機制的企業(yè)中， 多數(shù)企業(yè)還單純寄希望于高技術手段的采購和實施， 對安全管理的改善缺乏投入， 安全管理嚴重滯后于技術采購， 既不能發(fā)揮現(xiàn)有安全機制的作用， 也不能消除多種安全技術并存時產(chǎn)生的種種安全漏洞。針對上述情況，銀行和金融企業(yè)的安全工作應該從分析企業(yè)的業(yè)務模式和與業(yè)務相關的信息安全風險入手， 由安全專家與銀行的高層管理人員一起， 審查銀行的業(yè)務目標、 安全戰(zhàn)略和安全架構(gòu)，

10、制定出行之有效的安全戰(zhàn)略， 才通過適當安全技術的采用而加以實施； 之后，還要對可能存在安全風險的地方， 進行深入測試和審查，逐步加以完善。第 5 頁 共 50 頁1.4. 安全服務項目所涉及的任務當企業(yè)網(wǎng)絡接入到互連網(wǎng)中，所面臨的主要安全威脅有：來自組織外界的導致服務中斷因素（黑客攻擊手段，如 DDOS 等）在線重要信息的被竊和關鍵信息在傳輸過程中丟失；數(shù)據(jù)和用戶身份的誤用或冒認；上述的這些安全威脅主要的方式有：拒絕服務攻擊、數(shù)據(jù)篡改、計算機欺詐行為、系統(tǒng)破壞、資源濫用、計算機病毒、潛在的風險和災難等。因此為了實現(xiàn)系統(tǒng)的整體安全目標， 在技術和安全產(chǎn)品的基礎上必須設計一個整體安全策略。安全項目

11、的范圍主要包括：分析和評估客戶現(xiàn)有的 IT 環(huán)境；為了解客戶主要資產(chǎn)以及相關的安全風險，雙方必須進行一個高水平的系統(tǒng)安全風險評估；建立一個企業(yè)級的安全策略；對相關設備和主要的服務器設立安全策略的標準；向管理層提交安全目標綜述。其中安全目標綜述包括：企業(yè)范圍內(nèi)的安全策略；專項的安全說明，包括：防火墻安全策略；非軍事區(qū)安全策略；路由器/交換機的安全策略；第 6 頁 共 50 頁管理員工作站安全策略；關鍵服務器安全策略；Internet 主機安全策略；第 7 頁 共 50 頁2. 整體安全服務介紹在整個項目計劃中，主要包括以下幾個重要過程：風險評估制定解決方案計劃實施實施審查維護與支持第 8 頁 共

12、 50 頁3. 第一階段：風險評估對于以服務為導向的企業(yè)而言，企業(yè)唯一重要的財富是企業(yè)的用戶信息。企業(yè)越來越將注意力放在在保證現(xiàn)有運營業(yè)務穩(wěn)定的基礎上， 如何保護企業(yè)信息的完整性、保密性和可用性。另外，日益增長的 Internet 業(yè)務的需求為企業(yè)帶來了眾多的不安全因素。因此，對 XX 而言，在越來越滿足信息的交流、數(shù)據(jù)的共享以及和第三方的電子業(yè)務合作過程中， 企業(yè)的系統(tǒng)和數(shù)據(jù)安全絕對不能落后于業(yè)務的迅猛發(fā)展。特別在基于 Internet 的業(yè)務環(huán)境中，企業(yè)的資產(chǎn)的防護力是非常脆弱的。其中由 Internet 帶來的主要安全風險有：外來的因素導致服務中斷： 黑客能夠關閉網(wǎng)絡服務或降低網(wǎng)絡服務的

13、效率；在線交易信息的被竊或關鍵數(shù)據(jù)在傳輸過程中被惡意切斷；交易數(shù)據(jù)的欺詐或用戶的冒認；除了上述的威脅以外，其他常見的威脅還有：拒絕服務攻擊、數(shù)據(jù)篡改、計算機商業(yè)詐騙、破壞企業(yè)數(shù)據(jù)、濫用權(quán)限、計算機病毒和其他潛在的災難。基于上述因素， XXXX 希望能夠評估和改善現(xiàn)有的安全策略以及安全架構(gòu)以將運行風險降到最低。在整個安全服務項目中，第一階段就是風險評估階段。該階段主要包括以下幾個步驟的工作：邊界審核以及遠程測試（黑箱測試）；系統(tǒng)分析、改善建議和應用測試（白箱測試）；第 9 頁 共 50 頁在風險評估階段，項目目標（待定）在風險評估階段，對客戶方的需求（待定）在風險評估階段，項目環(huán)境（待定）在風險

14、評估階段，項目計劃在合同制定以后 3 周內(nèi)，在得到用戶的許可以后開始執(zhí)行。整個計劃中，兩個步驟將分別將持續(xù) 12 個工作日（大約 2 周）。在整個項目需要 2 個安全分析專家，同時指定的項目經(jīng)理將和客戶保持交流以確保按時保質(zhì)地完成項目報告。項目的初期，將由雙方開始一個啟動會議以實現(xiàn)：將安全專家和該項目團隊中的其他人員進行合作；對項目的范圍以及項目計劃進行綜述；對安全專家的工作任務以及工作日期進行確定。整個系統(tǒng)分析與改善報告將在遠程測試完成以后兩周內(nèi)提交給客戶。該項目的兩個步驟分別是客戶無須提供詳細材料的黑箱測試和基于客戶提供的材料進行的白箱測試咨詢服務， 在一定的時間段內(nèi)， 我們希望能夠?qū)崿F(xiàn)下

15、列目標：系統(tǒng)分析報告（含行為報告和管理報告）一個加固后的系統(tǒng)安全架構(gòu)包括對現(xiàn)有安全產(chǎn)品的建議；將相關的知識傳授給客戶方的員工；對將來的計劃提供建議。每個報告將包括：總結(jié)性陳述；對達到該結(jié)果所進行的項目過程的描述；第 10 頁 共 50 頁該項目中所有行為的報告；詳細的系統(tǒng)漏洞報告（參見附件），包括安全建議和相關背景信息。3.1. 第一步：邊界審核和遠程測試（黑箱測試）3.1.1.方法論遠程測試的針對對象是由用戶指定的服務器或網(wǎng)絡設備， 整個測試過程是采用黑箱模式（客戶無須提供其網(wǎng)絡細節(jié)或僅有客戶提供必要的信息）。整個遠程測試主要包括以下幾個步驟：信息收集、網(wǎng)絡結(jié)構(gòu)分析、實戰(zhàn)分析和后續(xù)的相關分析

16、、探測以及最終報告。3.1.2.信息收集來自各個網(wǎng)絡的公共信息將被收集， 其中包括 whois 數(shù)據(jù)庫、路由信息、DNS信息等。另外所收集的信息還包括設備供應商、應用開發(fā)商等信息。3.1.3.網(wǎng)絡結(jié)構(gòu)分析網(wǎng)絡結(jié)構(gòu)分析的主要目的是對用戶應用網(wǎng)絡的邊界因素進行結(jié)構(gòu)分析。 該步驟的主要目標是擁護如何建立自己的 DMZ 區(qū)以及路由器、防火墻和網(wǎng)絡代理的布置點等。信息收集階段還對用戶網(wǎng)絡的拓撲結(jié)構(gòu)信息進行收集，包括：子網(wǎng)的分布、路由器、服務器和網(wǎng)絡之間的路由次數(shù)統(tǒng)計以及其他潛在的通道。該階段包括路由分析和過濾分析， Web 服務以及其他服務將會被識別出來，該過程中會大量地使用端口掃描。整個過程包括兩種操

17、作方式：普通方式和秘密方式第 11 頁 共 50 頁秘密方式將采用各種工具來檢查直接連接在 Internet 上的設備而不被其他工具發(fā)覺，同時它還試圖識別這些設備、 它們的操作系統(tǒng)以及在該操作系統(tǒng)上跑的服務。普通模式將采用普通方法且在完成這些操作時。不掩蓋操作行為。3.1.4.情景分析在該階段，AAAAAA 將協(xié)助用戶發(fā)現(xiàn)系統(tǒng)的漏洞、 錯誤的系統(tǒng)設置、 可能的bug 以及其他與安全有關的問題。 一旦我們發(fā)現(xiàn)這些問題后， 我們將研究這些問題，并且向用戶演示一個模擬攻擊情景并解釋是如何發(fā)現(xiàn)這些問題以及這些問題所造成的潛在威脅。3.1.5.模擬攻擊在該步驟中，在用戶的現(xiàn)場監(jiān)督下，將會有兩類的模擬攻擊

18、被發(fā)動。一類是普通的非破壞性攻擊，一類是模擬的 DOS 攻擊。在該階段，對測試人員的素質(zhì)要求會非常高，測試者將試圖采用各類手段試圖進入用戶的網(wǎng)絡中， 因此對測試人員的知識、 經(jīng)驗以及一些創(chuàng)造性的素質(zhì)要求比較高，因此它更象一向藝術而不僅僅是技術。在這階段，測試者將試圖：發(fā)現(xiàn)哪些服務器能夠被遠程攻擊危害，如果這些服務器或相關系統(tǒng)被發(fā)現(xiàn)有漏洞的話；采用多種通用的攻擊手段（ spoofing 或 bouncing ）來試圖進入用戶系統(tǒng)；第 12 頁 共 50 頁發(fā)現(xiàn)在服務器上跑的應用是否有安全漏洞（如 buffer overflows 、raceconditions 等）發(fā)現(xiàn)一些配置信息，如數(shù)據(jù)庫、文

19、件系統(tǒng)或網(wǎng)絡設備；發(fā)現(xiàn)一些其他配置信息，如路由器、交換機、防火墻和服務器等。測試者將使用各種方式來進行模擬攻擊 ,比如說，可以通過攻擊防火墻來發(fā)現(xiàn)它是否能被破壞。 測試者將試圖檢測應用系統(tǒng)中所有在跑的業(yè)務并檢測它們的弱點。其中特別是一些以超級帳戶權(quán)限（如 root）運行的應用。另外測試者將測試一些設置有疏漏的網(wǎng)絡設備， 如路由器等， 以確認是否能夠利用這些漏洞來提供進入網(wǎng)絡系統(tǒng)的后門。一旦一臺服務器能夠被破壞， 測試者將通過模擬黑客以該服務器為平臺進行其他的測試，主要包括以下的幾點：安裝特洛依木馬以試圖搜索用戶口令；安裝偵聽器（ Sniffer ）來搜索用戶口令；下載應用程序以離線分析應用程序

20、中的漏洞（如：寫得不完善的 CGI程序和HTML 程序）；下載口令文件；發(fā)現(xiàn)其他能被攻擊的與被測系統(tǒng)有信任關系的系統(tǒng)；值得注意的是在整個測試過程中， 所有的數(shù)據(jù)都是由三方約定好的指定負責人來對數(shù)據(jù)進行加密保存， 且在最終提交報告時， 所有與該項操作有關的日志將被包含在整個報告中。在整個模擬攻擊測試中，包括以下幾個測試部分：第 13 頁 共 50 頁.防火墻測試測試內(nèi)容一些未設置好的防火墻能夠被多種繞過防火墻的技術所破壞；另一種典型的 IP Spoof 工具可以將數(shù)據(jù)包篡改為好象來自內(nèi)部的數(shù)據(jù)包一些在內(nèi)部網(wǎng)或 DMZ 區(qū)的客戶端由于為得到合適的配置， 將有可能被端口掃描工具發(fā)現(xiàn)作為

21、攻擊點；一些惡意的 applet 和帶有特洛依木馬程序附件的郵件可以被用來破壞內(nèi)部網(wǎng)安全。測試工具Internet 掃描器多種惡意腳本程序IP spoof 工具多種端口掃描器遠程探測工具惡意的 Java applets特洛依木馬程序?qū)嵤┳R別遠程系統(tǒng)對 DMZ 區(qū)和 Internet 網(wǎng)絡的分析在約定時間內(nèi)的蠻力攻擊IP spoofi 攻擊端口掃描第 14 頁 共 50 頁對錯誤配置的客戶端進行攻擊惡意 applets 和 Trojan 攻擊.UNIX 安全審核測試內(nèi)容UNIX 系統(tǒng)是一類比較復雜的多用戶、 多任務的分布式操作系統(tǒng)， 它有多種的系統(tǒng)漏洞將導致系統(tǒng)的安全威脅；多種 U

22、NIX 操作系統(tǒng)（包括 Sun、HP、SCO Unix 、Compaq 、AIX、BSD、Linux 等）都有自己的安全問題；操作系統(tǒng)級的安全問題只能通過仔細的安全審核來發(fā)現(xiàn)，并且通過合適的打補丁等辦法來解決。測試工具Unix 系統(tǒng)管理工具針對多種 UNIX 的安全工具；口令破譯工具；TCP/IP 網(wǎng)絡工具；D.o.S.和其他 UNIX 攻擊工具包。實施收集系統(tǒng)信息；關于 C/S 機制的分析；檢查文件系統(tǒng)的安全；用戶及口令的安全；基于網(wǎng)絡的安全；第 15 頁 共 50 頁可執(zhí)行軟件程序的安全；帳戶和審計工具的設置。.Windows NT 系統(tǒng)的安全審核測試內(nèi)容Windows NT

23、 有許多安全漏洞從而導致系統(tǒng)的毀壞；在該系統(tǒng)上跑的許多微軟的應用程序本身有許多安全漏洞；操作系統(tǒng)級的安全問題只能通過仔細的安全審核來發(fā)現(xiàn)，并且通過合適的打補丁等辦法來解決。測試工具NT 的系統(tǒng)管理工具；NT 掃描器；NT D.o.S. 攻擊工具包 ；NetBios 黑客工具；NT L0phtCrack 工具。實施信息收集；域之間的信任關系審查；NTFS 的安全；基于 NetBios 的攻擊；Remote Access Services 審查；第 16 頁 共 50 頁Users, groups, ACL 的審查；注冊登記表的安全；安全行為審計。.TCP/IP網(wǎng)絡層攻擊測試內(nèi)容由于

24、 TCP/IP 協(xié)議本身具備多種安全漏洞，尤其是身份認證和權(quán)限控制等；在該攻擊中，將被測試的協(xié)議有： 命名服務 (DNS), 郵件傳輸服務 (SMTP,POP, IMAP, MIME), 文件傳輸 r (FTP, TFTP, RCP, UUCP), 控制信息(ICMP) ；典型的 D.O.S. 攻擊就是利用了協(xié)議本身的漏洞來攻擊的。測試工具DNS 工具包；郵件攻擊；文件傳輸攻擊工具包；ICMP 工具包。實施識別網(wǎng)絡資源；DMZ 區(qū)和 Internet 網(wǎng)絡架構(gòu)分析 Architecture analysis of DMZ andinternal network ；DNS 服務攻擊；Mail 服

25、務攻擊；第 17 頁 共 50 頁文件傳輸攻擊；ICMP 攻擊；Denial-of-service 評估。.WWW 應用攻擊測試內(nèi)容由于Web 服務是直接掛在公共網(wǎng)絡上的， 因此它最容易受到多種攻擊 （如內(nèi)容被改）且通過它能夠給 DMZ 帶來威脅；造成 Web 應用漏洞的主要因素有： Http 協(xié)議、CGI 腳本以及數(shù)據(jù)庫接口設計的問題等；Web 服務器的設置錯誤也是造成安全漏洞的主要原因；在某些環(huán)境下，系統(tǒng)資源也可能被濫用做 D.O.S.攻擊的工具測試工具HTTP 和 SSL 工具包；CGI 探測器；SQL 攻擊腳本；Web 服務器自身安全工具包。實施識別和分析相關軟件；分析

26、CGI 腳本和其他相關程序；數(shù)據(jù)庫攻擊；Web 服務器設置分析；Web 服務器攻擊測試。第 18 頁 共 50 頁.應用安全測試測試內(nèi)容在應用系統(tǒng)中使用的軟件程序在實施過程中一般總會有安全漏洞；這些漏洞的造成原因往往是保密數(shù)據(jù)的被竊、超級用戶權(quán)限使用、數(shù)據(jù)修改等。測試工具SUID 程序測試工具；數(shù)據(jù)庫工具；其他安全工具。實施識別和分析應用軟件審核與這些應用有關的商業(yè)操作；評估應用軟件的安全分析；軟件設置分析；錯誤跟蹤、安全審計、備份策略。.Denial-of-Service攻擊測試測試內(nèi)容通用的 D.O.S. 攻擊就是利用 TCP/IP 協(xié)議的漏洞而進行一種消耗企業(yè)

27、網(wǎng)絡資源，降低企業(yè)服務質(zhì)量的攻擊手段；這類攻擊非常常見也是目前主流的針對大型企業(yè)的網(wǎng)絡攻擊手段；基于 TCP/IP 協(xié)議的攻擊手段， 尤其是針對應用的攻擊非常常見， 其他常第 19 頁 共 50 頁見的攻擊則是消耗企業(yè)的網(wǎng)絡資源。測試工具基于 TCP/IP 協(xié)議的 DoS 工具，如：teardrop, land, nestea, boink, smurf針對用戶網(wǎng)絡應用的 DoS 攻擊腳本針對用戶網(wǎng)絡資源的 DoS 攻擊腳本撥號攻擊。實施辨識和分析潛在的 l DoS 目標協(xié)議攻擊測試應用攻擊測試網(wǎng)絡資源攻擊測試Modem 攻擊測試3.2. 第二步：系統(tǒng)分析、改善建議和應用測試（白箱測試）3.2

28、.1.方法論整個系統(tǒng)分析將對以下的幾個方向進行分析：對服務器的評估，主要包括：操作系統(tǒng)管理權(quán)限的不適當配置或缺省配置中存在的問題；第 20 頁 共 50 頁入侵檢測系統(tǒng)的放置和配置；防火墻系統(tǒng)的放置和配置；路由器和交換機配置分析；應用測試。.Unix服務器的分析方法UNIX 系統(tǒng)是一類比較復雜的多用戶、多任務的分布式操作系統(tǒng)。它有多種的系統(tǒng)漏洞將導致系統(tǒng)的安全威脅， 多種 UNIX 操作系統(tǒng)（包括 Sun、HP、SCOUnix、Compaq 、AIX、BSD、Linux 等）都有自己的安全問題。操作系統(tǒng)級的安全問題只能通過仔細的安全審核來發(fā)現(xiàn)，并且通過合適的打補丁等辦法來解決。在

29、整個項目過程中，我們使用下列方法來實現(xiàn)對 UNIX 服務器的安全分析：文件系統(tǒng)分析（權(quán)限、日志以及其他非必要的文件）進程分析（所跑的進程、啟動、日志等）配置分析（操作管理員、 Kernel 、啟動、審計）脆弱性分析（ overflows, 打補丁, 不安全的 symlinks/paths/umask ）對身份驗證方式以及服務器之間的 Trust 關系的審核. Windows NT / 2000 服務器的分析方法Windows NT 操作系統(tǒng)本身采用了一些安全功能以解決其安全問題，但是一些缺省的配置往往在安全問題上有所忽略。 而且，由于該類操作系統(tǒng)市場份額較大，且針對性的黑客攻擊手

30、段非常多。 因此，對Windows NT 操作系統(tǒng)的分析，第 21 頁 共 50 頁主要集中在對操作系統(tǒng)的誤配置以及其他被外界發(fā)現(xiàn)的系統(tǒng)漏洞。 我們將向用戶提供修改意見和其他安全行為指導。第 22 頁 共 50 頁4. 第二階段：解決方案在這階段，XXXX 上海分行將會得到我們對其業(yè)務系統(tǒng)進行評估后得到的結(jié)果，并根據(jù)上述結(jié)果和整個系統(tǒng)架構(gòu)分析報告， 我們將一起共同制定整個 XXXX上海分行的安全策略并在架構(gòu)設計上給出我們的意見， 以便將在業(yè)務發(fā)展的過程中可能潛在的安全威脅。4.1. 網(wǎng)絡架構(gòu)分析4.1.1.網(wǎng)絡架構(gòu)分析目標問題在銀行原有的業(yè)務系統(tǒng)中采用了多家集成商的產(chǎn)品以及多種網(wǎng)絡解決方案，在

31、用戶將這些產(chǎn)品和方案集中在一起的時候， 如何才能確信整個網(wǎng)絡系統(tǒng)是足夠安全和強壯的， 這個問題涉及到如何在已有的網(wǎng)絡和應用環(huán)境下， 建立一個有效的安全架構(gòu)并為未來的網(wǎng)絡建設以及可能的新應用打下扎實的基礎？在前期對整個系統(tǒng)的網(wǎng)絡建設進行了足夠的安全分析且對關鍵的安全目標進行了深入的分析以后，我們將給出系統(tǒng)架構(gòu)分析報告。解決方案在安全結(jié)構(gòu)分析報告中， 我們將整合外界的資源以及兩家公司在該領域的經(jīng)驗來和用戶一起分析現(xiàn)有的系統(tǒng)安全架構(gòu)， 并向用戶提供可行有效的系統(tǒng)整改建第 23 頁 共 50 頁議。這是一個多家共同參與的過程且能夠在組織建設上向客戶提供合適的建議。4.1.2.方法論一旦參與架構(gòu)分析的人

32、員能夠落實， 那么我們將采用下列的各種方法來確保我們的項目是順利實施的：目標分析；對現(xiàn)有架構(gòu)的介紹；對可能的變化進行介紹；對已經(jīng)發(fā)現(xiàn)的問題的介紹；制定系統(tǒng)問題表；制定商業(yè)目標表；對每項細節(jié)因素的分析；制定整改目標；發(fā)現(xiàn)的其他問題；架構(gòu)修改計劃。4.1.3.成果2 天的系統(tǒng)架構(gòu)分析 Workshop ；架構(gòu)修改建議和觀察的問題報告；管理總結(jié)；管理層報告。第 24 頁 共 50 頁4.1.4.對客戶的要求為了便于該項目的順利進行，要求客戶提供以下的支持：相關技術人員能夠參與會議詳細的系統(tǒng)架構(gòu)圖，包括：硬件、軟件和數(shù)據(jù)流圖。4.2. 制定安全策略制定一個整體安全策略的目的是在采用新的技術工具和實現(xiàn)現(xiàn)

33、有技術升級的基礎上的一個更高層次的安全手段， 正如我們一致認同的： 安全問題三分技術七分管理， 只有一個有效的安全管理策略和技術因素緊密結(jié)合在一起， 我們才能認為是一個整體安全解決方案。4.2.1.安全策略范圍整個安全咨詢過程中，我們將會：分析和評估 XXXX 上海分行的現(xiàn)有 IT 實踐行為；在前期工作的基礎上，對 XXXX 上海分行現(xiàn)有的主要資產(chǎn)以及相關的威脅進行一個整體評估；制定一個企業(yè)級的整體安全策略；對與安全相關的設備和服務器建立安全標準；向 XXXX 上海分行高層提交含上述內(nèi)容的報告。4.2.2.成果企業(yè)級的整體安全策略；專項安全策略陳述，包括：第 25 頁 共 50 頁防火墻安全策

34、略；DMZ 安全策略；路由器/交換機安全策略；管理層的安全策略；關鍵服務器安全策略；Internet 服務器安全策略。4.2.3.方法論安全策略的目標是羅列出企業(yè)級安全策略各項內(nèi)容， 同時將這些要求轉(zhuǎn)換成可行的安全文件，并促使相關部門安全這些文件要求來實現(xiàn)各項安全規(guī)劃。安全策略的方法是通過量化各種安全等級并且分析用戶的各項 IT 設備的潛在威脅。參與這項工作的人員在策略審核和設計方面都具有多年的經(jīng)驗。 最終提交的安全策略是基于 BS7799-1999 對相關領域的知道意見的。另外，在該項項目中，我們得到了 ICSA 實驗室的技術支持，他們在安全設備（包括：防火墻、 IDS、防病毒、加密產(chǎn)品）上

35、的研究經(jīng)驗（包括：行業(yè)標準、性能研究、風險測試）將很好的體現(xiàn)在我們的方案中。該階段的工作將會由一個啟動會議來啟動（包括：人員介紹、項目任務的闡述和分解以及信息收集等），另外關于 BBBBBB 專家在各階段點的階段性工作應該雙方有所約定?？偠灾麄€計劃包括以下幾個步驟：為制定安全策略準備材料，包括信息收集、信息分析、討論關于將提交的安全策略中的目標和方向；第 26 頁 共 50 頁對企業(yè)資產(chǎn)及威脅的闡述，并對各種威脅進行解釋和評估；起草安全策略的草案供項目組成員和客戶高層審閱；做為評估的結(jié)果，準備最終安全策略報告；向用戶相關人員移交并解釋安全策略。.第一階段：企業(yè)級安全策略企業(yè)

36、級安全策略是在對客戶進行一個深入的高水平的評估后進行， 它對整個安全策略進行分別闡述。.1.安全策略范圍我們的安全策略將以以下的方式進行：定義用戶內(nèi)部的計算機網(wǎng)絡系統(tǒng)以及 IT 資產(chǎn)的應用以及管理規(guī)范， 安全分析報告將包括企業(yè)內(nèi)部的主要應用以及外部相關的應用；支持與 Internet 路由相關的鏈接以及基于 Web 的應用；提供物理環(huán)境的安全；提供人員安全的指導策略；提供系統(tǒng)管理員的安全策略；定義權(quán)限控制以及身份認證的目標；分別定義詳細的內(nèi)部和外部人員的安全策略；制定備份安全策略。.2.安全分析在安全策略設計階段，我們主要完成以下的一些任務：對現(xiàn)有的所有與企業(yè)安全有

37、關部門的安全相關文件、策略進行審核；第 27 頁 共 50 頁對用戶所處商業(yè)環(huán)境中的安全威脅進行評估；將所有的發(fā)現(xiàn)集中體現(xiàn)在整體安全策略中。對文件的審核以及風險評估將用戶現(xiàn)有的安全情況， 均衡考慮安全保護和生產(chǎn)力的因素，并解決以下問題：識別用戶需要保護的對象；識別這些安全對象產(chǎn)生威脅的因素；提供企業(yè)級安全策略的基礎因素。整個安全策略主要包括以下內(nèi)容：安全策略綜述；數(shù)據(jù)分類策略；物理安全策略；權(quán)限控制安全策略；數(shù)據(jù)安全策略；應用安全策略；網(wǎng)絡與通信安全策略；安全審計策略；安全事故反應。.3.對用戶的要求為便于安全專家工作，用戶方要求提供以下的支持：所有早期的安全相關的材料，包括安全

38、審計報告以及安全事故記錄；所有和安全相關部門的人員，以便于交流；安排管理層的協(xié)商。第 28 頁 共 50 頁該步驟需要花費 11 個人日并且至少需要兩個安全專家介入。.第二階段：設備的安全策略基于對企業(yè)的前期安全審核以及第一階段的工作， 分析小組將制定用戶網(wǎng)絡中現(xiàn)有的網(wǎng)絡設備和網(wǎng)絡服務器的安全策略。 這項工作能夠協(xié)助用戶發(fā)現(xiàn)網(wǎng)絡系統(tǒng)中的漏洞并向用戶提交整改意見。.1.安全策略范圍對現(xiàn)有的網(wǎng)絡設備以及服務器的安全策略主要包括以下內(nèi)容：路由器和交換機；防火墻和代理設置；DMZ 策略；Web 服務器（Internet/Intranet ），郵件服務器和文件服務器；關鍵業(yè)務

39、服務器；管理員工作站。.2.安全分析在安全策略設計階段，我們主要完成以下的一些任務：對所有已使用的文件和設置進行審核，同時會見 IT 人員和用戶；評估整個企業(yè)的安全風險；將發(fā)現(xiàn)的問題在安全策略建議書中陳列出來。詳細的策略陳述將包括：防火墻安全策略；DMZ 安全策略；第 29 頁 共 50 頁路由器/交換機安全策略；管理員工作站安全策略；關鍵業(yè)務服務器安全策略；Internet 服務器安全策略。.3.對用戶的要求為便于安全專家工作，用戶方要求提供以下的支持：已在使用的安全策略綜述；提供便利能夠直接審查安全設備和服務器；提供便利能夠直接審查安全設備和服務器的日志和報告；

40、審查網(wǎng)絡拓撲圖和 IT 架構(gòu)文件。該步驟需要花費 11 個人日并且至少需要兩個安全專家介入。4.3. 整體安全實施方案第 30 頁 共 50 頁5. 保密原則由于系統(tǒng)安全服務的特殊性，我們將和用戶簽定保密協(xié)議（參見附件），我們在處理與用戶有關的數(shù)據(jù)時，遵循以下的原則：所有的數(shù)據(jù)收集以及分析工作將在項目經(jīng)理的筆記本電腦內(nèi)完成；該筆記本電腦內(nèi)的數(shù)據(jù)將會是保密存放；一旦報告提交給用戶以后，所有的相關數(shù)據(jù)將會被銷毀。5.1. 文檔管理5.1.1.客戶數(shù)據(jù)文檔處理策略為了研究和分析的目的，我們會在項目進程中保留部分關于技術細節(jié)的數(shù)據(jù)，但是我們會遵循以下的原則：在相關處理完成以后，這些數(shù)據(jù)會被處理掉；一些

41、重要的數(shù)據(jù)， 在以后階段可能用到的 （如和產(chǎn)品提供商有關的信息） ，將在項目過程中被安全地保存；任何與客戶有關的數(shù)據(jù)信息將按期銷毀。5.1.2.用戶報告處理原則一旦用戶報告被提交且被用戶接受， 所有的與該項目有關的數(shù)據(jù)將根據(jù)用戶的意見封存或銷毀。第 31 頁 共 50 頁5.2. 客戶參考內(nèi)容5.2.1.交叉參考所有與安全有關的發(fā)現(xiàn)，將存儲在我們自己的知識庫中，但是我們不會提到任何用戶名字所有與安全有關的發(fā)現(xiàn)將僅用作技術領域的交叉參考。在未得到用戶書面許可的，我們不會將用戶名字向任何第三方透露。第 32 頁 共 50 頁6. 項目團隊介紹6.1. 項目團隊架構(gòu)XXXX 上海分行安全咨詢項目意義

42、深遠， 影響面大。AAAAAA 作為參選公司，深感責任重大。 把此項目立項為公司的最重大的項目， 選派公司銀行安全方面的專家，按照項目需求全力進行方案建議書的設計和編寫。假如 AAAAAA 能夠有幸成為該項目最終的合作伙伴， 為保證整個項目的成功實施， 將選派公司最優(yōu)秀的項目管理和技術專家組成 “XXXX 上海分行安全咨詢項目組” 配合 XXXX 全力參與項目的整體工作。并且有信心保證整體項目的成功實施。鑒于本次項目實施的技術難度以及國內(nèi)外實施類似項目較大的技術差距， 我們特別邀請了 BBBBBB 公司（原 ICSA）的海外資深專家參與該項目， 為本項目的實施過程中的某些技術難點提供知識庫支持、遠程和部分現(xiàn)場技術實施支持。本次項目的工作重點主要是針對 XXXX 網(wǎng)絡特點和管理需要做出一份出色的安全咨詢規(guī)劃。 AAAAAA 計劃在該項目中投入以下技術力量，保證項目的按時、保質(zhì)地完成：* 項目總監(jiān) 1 名* 項目經(jīng)理 1 名* 項目實施人員 4 名* 項目聯(lián)絡員 1 名本次格爾項目總監(jiān)計劃由 AAAAAA 常務副總經(jīng)理擔任，多名有兩年以上的網(wǎng)絡安全集成、咨詢以及項目監(jiān)理經(jīng)驗，參與中國農(nóng)業(yè)銀行上海分行（ S219 項第 33 頁 共 50 頁目）、國家某重點安全部門等項目的技術人員承擔：安全評估、架構(gòu)審核、制定解決方案、