信息系統(tǒng)安全加固描述

1、一平安加固概述網(wǎng)絡(luò)設(shè)備與操作系統(tǒng)加固和優(yōu)化效勞是實(shí)現(xiàn)客戶信息系統(tǒng)平安的關(guān)鍵環(huán)節(jié)。通過使用該項(xiàng)效勞，將在客戶信息系統(tǒng)的網(wǎng)絡(luò)層、主機(jī)層等層次建立符合客戶平安需求的平安狀態(tài)，并以此作為保證客戶信息系統(tǒng)平安的起點(diǎn)。網(wǎng)絡(luò)設(shè)備與操作系統(tǒng)加固和優(yōu)化效勞的目的是通過對主機(jī)和網(wǎng)絡(luò)設(shè)備所存在平安問題執(zhí)行以下操作：  網(wǎng)絡(luò)設(shè)備與操作系統(tǒng)的平安配置；  系統(tǒng)平安風(fēng)險(xiǎn)防范；  提供系統(tǒng)使用和維護(hù)建議；  安裝最新平安補(bǔ)丁根據(jù)風(fēng)險(xiǎn)決定是否打補(bǔ)??；上述工作的結(jié)果斷定了網(wǎng)絡(luò)設(shè)備與操作系統(tǒng)加固和優(yōu)化的流程、實(shí)施的內(nèi)容、步驟和復(fù)雜程度。具體說，那么可以歸納為：1加固目標(biāo)也就是確定系統(tǒng)在做過

2、加固和優(yōu)化后，到達(dá)的平安級別，通常不同環(huán)境下的系統(tǒng)對平安級別的要求不同，由此采用的加固方案也不同。2明確系統(tǒng)運(yùn)行狀況的內(nèi)容包括:  系統(tǒng)的具體用途,即明確系統(tǒng)在工作環(huán)境下所必需開放的端口和效勞等。  系統(tǒng)上運(yùn)行的應(yīng)用系統(tǒng)及其正常所必需的效勞。  我們是從網(wǎng)絡(luò)掃描及人工評估里來收集系統(tǒng)的運(yùn)行狀況的。3明確加固風(fēng)險(xiǎn)：網(wǎng)絡(luò)設(shè)備與操作系統(tǒng)加固是有一定風(fēng)險(xiǎn)的，一般可能的風(fēng)險(xiǎn)包括停機(jī)、應(yīng)用程序不能正常使用、最嚴(yán)重的情況是系統(tǒng)被破壞無法使用。這些風(fēng)險(xiǎn)一般是由于系統(tǒng)運(yùn)行狀況調(diào)查不清導(dǎo)致，也有因?yàn)榧庸谭桨傅拇鷥r(jià)分析不準(zhǔn)確，誤操作引起。因此在加固前做好系統(tǒng)備份是非常重要的。二加固和優(yōu)

3、化流程概述網(wǎng)絡(luò)設(shè)備與操作系統(tǒng)加固和優(yōu)化的流程主要由以下四個環(huán)節(jié)構(gòu)成：1. 狀態(tài)調(diào)查對系統(tǒng)的狀態(tài)調(diào)查的過程主要是導(dǎo)入以下效勞的結(jié)果：  系統(tǒng)平安需求分析  系統(tǒng)平安策略制訂  系統(tǒng)平安風(fēng)險(xiǎn)評估(網(wǎng)絡(luò)掃描和人工評估)對于新建的系統(tǒng)而言，主要是導(dǎo)入系統(tǒng)平安需求分析和系統(tǒng)平安策略制訂這兩項(xiàng)效勞的結(jié)果。在導(dǎo)入上述效勞的結(jié)果后，應(yīng)確定被加固系統(tǒng)的平安級別，即確定被加固系統(tǒng)所能到達(dá)的平安程度。同時(shí)，也必須在分析上述效勞結(jié)果的根底上確定對網(wǎng)絡(luò)與應(yīng)用系統(tǒng)加固和優(yōu)化的代價(jià)。2. 制訂加固方案制訂加固方案的主要內(nèi)容是根據(jù)系統(tǒng)狀態(tài)調(diào)查所產(chǎn)生的結(jié)果制訂對系統(tǒng)實(shí)施加固和優(yōu)化的內(nèi)容、步驟。3.

4、 實(shí)施加固對系統(tǒng)實(shí)施加固和優(yōu)化主要內(nèi)容包含以下兩個方面：  對系統(tǒng)進(jìn)行加固  對系統(tǒng)進(jìn)行測試對系統(tǒng)進(jìn)行測試的目的是檢驗(yàn)在對系統(tǒng)實(shí)施平安加固后，系統(tǒng)在平安性和功能性上是否能夠滿足客戶的需求。上述兩個方面的工作是一個反復(fù)的過程，即每完成一個加固或優(yōu)化步驟后就要測試系統(tǒng)的功能性要求和平安性要求是否滿足客戶需求；如果其中一方面的要求不能滿足，該加固步驟就要重新進(jìn)行。對有些系統(tǒng)會存在加固失敗的情況，如果發(fā)生加固失敗，那么根據(jù)客戶的選擇，要么放棄加固，要么重建系統(tǒng)。4. 生成加固報(bào)告加固報(bào)告是向用戶提供完成網(wǎng)絡(luò)與應(yīng)用系統(tǒng)加固和優(yōu)化效勞后的最終報(bào)告。其中包含以下內(nèi)容：  加固過

5、程的完整記錄  有關(guān)系統(tǒng)平安管理方面的建議或解決方案  對加固系統(tǒng)平安審計(jì)結(jié)果三平安加固技術(shù)1.網(wǎng)絡(luò)設(shè)備加固路由器作為網(wǎng)絡(luò)邊界最重要的設(shè)備，也是進(jìn)入內(nèi)網(wǎng)的第一道防線。邊界路由器的平安缺陷來源于操作系統(tǒng)，路由協(xié)議、硬件、配置。路由器上運(yùn)行的操作系統(tǒng)通常存在平安隱患，主要表現(xiàn)為遠(yuǎn)程溢出漏洞和默認(rèn)開放的效勞。除了及時(shí)下載補(bǔ)丁修復(fù)漏洞外，路由器操作系統(tǒng)默認(rèn)開放的許多效勞通常存在著平安風(fēng)險(xiǎn)，加固的方法是根據(jù)最小特權(quán)原那么關(guān)閉不需要的效勞，同時(shí)對用戶和進(jìn)程賦予完成任務(wù)所需的最小權(quán)限。一些路由協(xié)議，如RIP，對收到的路由信息不進(jìn)行任何校驗(yàn)和認(rèn)證，由此能造成網(wǎng)絡(luò)拓?fù)湫畔⑿孤痘蛞蚴盏綈阂饴酚?/p>

6、而導(dǎo)致網(wǎng)絡(luò)癱瘓。對此需要添加認(rèn)證，確保通信對象是可信的。CDP協(xié)議(Cisco Discovery Protocal)會造成路由器操作系統(tǒng)版本等信息的泄露，一般應(yīng)予以關(guān)閉。路由器硬件可能因發(fā)生故障或受到惡意攻擊而停機(jī)，為此需要進(jìn)行備份。加固邊界路由器最重要的方法是進(jìn)行平安配置，建立適宜的訪問控制表(ACL)。ACL(Access Control List)規(guī)定哪些IP地址和協(xié)議可以通過邊界路由器，而哪些被阻止，由此確保流量平安進(jìn)出網(wǎng)絡(luò)。定制訪問控制表通常應(yīng)遵守這樣的原那么：流量如果不被明確允許，就應(yīng)該被拒絕。值得注意的是，某些網(wǎng)絡(luò)設(shè)備可以通過物理的改變設(shè)備上的一些硬件開關(guān)來重置管理員口令字或恢

7、復(fù)出廠設(shè)置。從業(yè)務(wù)的連續(xù)性和系統(tǒng)可靠性上講，物理平安是用戶關(guān)鍵業(yè)務(wù)的重要前提保證。只要從物理上能接近設(shè)備，設(shè)備的平安性就無從談起，因?yàn)榇藭r(shí)我們常提到的平安效勞，如訪問控制、鑒別效勞等就不能起到保護(hù)作用。2.網(wǎng)絡(luò)結(jié)構(gòu)調(diào)整在網(wǎng)絡(luò)中我們已部署了防火墻、入侵檢測、認(rèn)證系統(tǒng)等網(wǎng)絡(luò)平安設(shè)備，但是主要是側(cè)重于網(wǎng)絡(luò)層的攻擊檢測和防護(hù)，并且僅部署于企業(yè)公網(wǎng)的網(wǎng)絡(luò)出口，對于網(wǎng)絡(luò)的防護(hù)有一定的局限性。而近年來隨著網(wǎng)絡(luò)規(guī)模的不斷擴(kuò)張，應(yīng)用的不斷增多，連續(xù)爆發(fā)的沖擊波、震蕩波、CodeRed、Nimda等蠕蟲病毒以及最近大量出現(xiàn)的ARP病毒、DDOS分布式網(wǎng)絡(luò)攻擊、大量不請自來的垃圾郵件，已成為網(wǎng)絡(luò)當(dāng)中最令管理員頭疼的

8、問題。3.效勞器系統(tǒng)加固效勞器系統(tǒng)平安加固是指通過一定的技術(shù)手段，提高系統(tǒng)的主機(jī)平安性和抗攻擊能力，通過對操作系統(tǒng)的平安加固，可以大大減少操作系統(tǒng)存在的平安漏洞，減少可能存在的平安風(fēng)險(xiǎn)，確保效勞器的正常運(yùn)作。網(wǎng)絡(luò)中各種效勞器，如Web效勞器、FTP效勞器、E-mail效勞器，是黑客攻擊的重點(diǎn)目標(biāo)，其平安性至關(guān)重要。雖然通過路由器的包過濾和防火墻的訪問控制，大大增強(qiáng)了平安性。但黑客還可以利用效勞器的漏洞或配置錯誤進(jìn)行攻擊，以圖獲取系統(tǒng)控制權(quán)或?qū)崿F(xiàn)拒絕效勞。例如UNIX、Windows NT、Linux都只能到達(dá)美國國防部提出可信計(jì)算機(jī)系統(tǒng)評測標(biāo)準(zhǔn)TCSEC的C2級。但對于開放源代碼的Linux操

9、作系統(tǒng)，可以很好的通過采取B級系統(tǒng)代替?zhèn)鹘y(tǒng)的C級系統(tǒng)等措施來解決平安加固的問題。可以首先在最敏感的效勞器和網(wǎng)絡(luò)隔離設(shè)備上及要害信息系統(tǒng)的效勞器中采用B級操作系統(tǒng)，并配備B級數(shù)據(jù)庫管理系統(tǒng)。將應(yīng)用、效勞都建設(shè)在B級的根底上，這樣整個信息系統(tǒng)的平安性能才有根本性的保障。SELinux是由NSA美國國家平安局和SCCSecure Computing Corporation開發(fā)的Linux的一個擴(kuò)張強(qiáng)制訪問控制平安模塊。2000年以GNU GPL發(fā)布。經(jīng)過SELinux保護(hù)的Linux平安級別那么可以到達(dá)B1級。另外，國內(nèi)在平安Linux內(nèi)核技術(shù)方面的相關(guān)研究主要是LIDS工程，LIDS是一個在開放源

10、碼的Linux Kernel上進(jìn)行平安加固的工程。目前已經(jīng)得到了國內(nèi)外的廣泛認(rèn)同。LIDS工程在標(biāo)準(zhǔn)Linux內(nèi)核源碼根底上，采用強(qiáng)制性訪問控制技術(shù)、類型保證和執(zhí)行域等技術(shù)，對標(biāo)準(zhǔn)內(nèi)核進(jìn)行以平安增強(qiáng)為目的的修改，并提供了一個管理工具lidsadm。4. 數(shù)據(jù)庫加固主流數(shù)據(jù)庫系統(tǒng)包括Oracle、SQL Server、Sybase、MySQL、Informix的補(bǔ)丁、賬號管理、口令強(qiáng)度和有效期檢查、遠(yuǎn)程登陸和遠(yuǎn)程效勞、存儲過程、審核層次、備份過程、角色和權(quán)限審核、并發(fā)事件資源限制、訪問時(shí)間限制、審核跟蹤、特洛依木馬等。平安加固主要方式是補(bǔ)丁安裝及平安配置的調(diào)整，并不是所有的補(bǔ)丁包都可以隨便安裝、配置隨意調(diào)