运维安全审计立项需求报告完整.docx
《运维安全审计立项需求报告完整.docx》由会员分享，可在线阅读，更多相关《运维安全审计立项需求报告完整.docx（61页珍藏版）》请在冰点文库上搜索。
运维安全审计立项需求报告完整
真功夫
IT运维安全审计体系建设
需求申请报告
1需求依据：
●ISO27001
要求组织必须记录用户访问、意外和信息安全事件的日志，记录系统管理和维护人员的操作行为，并保留一定期限，以便为安全事件的调查和取证，确保所有负责的安全过程都在正确执行，符合安全策略和标准的要求。
●SOX
SEC相关规定及内部控制方面的要求
●企业内控管理规范
运用信息技术加强内部控制，建立与经营管理相适应的信息系统，促进内部控制流程与信息系统的有机结合，实现对业务和事项的自动控制，减少或消除人为操纵因素。
●计算机等级保护
根据《国家重要信息系统等级保护条例》，对于等保二级以上的系统，应对网络系统中的设备运行状况、网络流量、用户行为等进行日志记录，能够根据记录数据进行分析，并生成审计报表，同时对审计记录进行保护，避免受到未预期的删除、修改或覆盖等。
2项目必要性分析
2.1内部人员安全隐患形势严峻
根据FBI和CSI对484家公司进行的网络安全专项调查结果显示：
超过85%的安全威胁来自公司内部，在损失金额上，由于内部人员泄密导致了6056.5万美元的损失，是黑客造成损失的16倍，是病毒造成损失的12倍。
另据中国国家信息安全测评认证中心调查，信息安全的现实威胁也主要为内部信息泄露和内部人员犯罪，而非病毒和外来黑客引起。
而在众多的内部人员中，对于系统的运维人员、第三方系统运维人员以及设备厂商维护人员，他们享有“最高权限”，一旦出现恶意操作或误操作，将会对业务系统带来巨大影响，造成不可估量的损失。
因此，对IT系统进行有效运维，是控制内部风险、保障业务连续性的重要手段，如何保障运维工作的有序运转、降低运维风险、提高应急响应能力，为IT系统提供强有力的后台支撑，是当前急需解决的课题。
2.2现有运维安全体系存在不足
随着信息化建设的快速发展，真功夫已经开始建立起一定规模的信息化系统，信息系统已经涉及公司核心数据，业务运营、日常办公等方方面面。
随着系统应用范围的逐步扩大和应用层次的不断深入,应用系统越来越多，IT系统的构成越来越复杂，运维操作人员越来越多，IT操作管理的难度和和面临的风险也越来越大。
主要集中在以下几个问题：
一、IT系统口令管理
IT系统口令对IT系统的安全是非常重要的，因此随着IT系统数量庞大，IT系统的口令管理工作量越来越大，复杂度也越来越高。
但在实际管理中，由于安全性和可用性之间的矛盾，导致IT系统口令管理存在很多安全隐患。
主要表现如下：
1、为了满足安全管理要求，IT系统的口令需定期修改（一般半个月或一个月），这大大加大了口令管理的工作量；
2、口令强度要满足安全要求，其复杂性也有一定要求。
一方面加大了修改口令的工作量和复杂度，同时对维护人员来说也很不方便，经常是将口令记录在记事本上，造成口令泄露问题。
同时在实际操作中，经常将口令设置为很有规律性，一旦知道一个口令，很容易知道其他系统的口令；
3、由于部分系统是由外包厂商提供运维服务，所以口令也容易泄露出去。
4、没有口令管理的策略，口令管理制度宽松，隐患很大。
二、多入口操作现象
随着IT系统构成的复杂，在运维过程中可通过多种入口对IT系统进行维护，导致无法统一管理、设置统一安全策略等而引起各种安全隐患。
三、交叉运维操作现象
在IT系统运维过程中，存在多种管理角色，如设备管理员、系统管理员、安全管理员和应用系统管理员等，同时对于同一个角色也同样存在多个管理员，包括来自本公司、开发人员、厂商技术人员等多种技术人员。
对于这些管理员进行维护时，可能是使用IT系统的同一个帐号，这样一旦出现问题很难定位具体某个人的操作。
四、越权和违规操作
根据最新的统计资料，11%的安全问题导致网络数据破坏，14%的安全问题导致数据失密，而从恶意攻击的特点来看，70%的攻击来自组织内部。
尤其面对拥有特权的维护用户，由于以前没有一种技术手段来控制其操作，所以出现越权或违规操作的现象时有出现。
如何建立一种技术手段，能保证可信的用户才能访问其拥有权限的资源，控制这种越权或违规操作，并能对这种越权或违规操作进行告警，以便安全人员能对此类操作进行分析，避免出现严重后果的情况下才发现。
五、无详细操作记录
针对运维操作，IT系统是靠系统日志方式进行记录的。
它存在以下问题：
1、系统日志不独立，无法防止被篡改，管理人员做了违规操作后可能会删除日志，造成无法追查、无法定位等问题。
2、系统日志记录信息不全面，目前系统日志记录的信息相对简单，而且检索不方便。
能否建立一种技术手段，将运维操作的所有内容进行记录，支持在事中或事后进行场景回放，并支持防篡改。
六、无法满足合规性检查
随着IT系统的重要性和对业务系统影响越来越大，相关的法律法规对其安全性、可持续性工作、IT操作风险以及企业内控等都有明确的要求，信息安全等级保护。
目前面对这些合规性检查，只能是制度上的检查，没有有效的数据和技术来说明这些制度是如何落实的。
因此需要在IT系统安全运维方面建立一种或多种技术手段来满足合规性要求，以满足合规性检查的需要。
七、没有运维安全分析报告
目前运维管理方面，由于没有数据，无法实现定期的运维安全情况的分析报告。
对运维过程存在的问题无法有定量或定性的分析数据，只能简单从安全事件方面进行描述。
因此需要有一套系统，能从运维操作的实际数据中分析运维安全情况，定量地展现运维安全态势。
并能通过安全情况分析，发现潜在安全风险，辅助企业改进IT系统的安全建设。
3运维安全体系建设要求
针对以上的分析，目前机房维护现状在管理和的安全上都存在诸多的不便和安全引患，急需要建设运维安全审计系统，做到“什么人？
什么时间？
访问了什么设备？
能做什么？
做了什么操作？
等”，通过对每个运维人员的权限进行细粒度的控制和审计，降低安全风险。
具体的建设要求如下：
●集中管理，提供后台设备的操作维护入口。
●身份管理，提供设置实名制登陆帐号，详细记录整个运维操作过程。
●访问控制，提供管理员根据不同的用户配置不同的操作权限，实现命令级别的严格控制，确保合法用户在其系统权限范围内访问授权设备。
●操作审计，对用户实施的操作提供完整，详细记录服务。
并可以安全地存放于管理平台中，管理平台能以方便、友好的界面方式提供对这些记录的操作、查看、搜索、回放等审计功能。
●满足信息安全、IT系统运维管理、企业遵规三个方面的要求，有效提高企业信息网络的安全性，适应企业业务的快速发展；
针对以上建设要求，我部需要在数据中心建立一套集中式IT运维审计系统，逐步完善公司的IT运维保障体系，满足公司管理和业务对IT系统安全运行的需要。
4运维安全体系建设方案
IT运维审计系统是指通过配置策略，实现身份认证、操作授权及审计留痕等功能。
从而实现对信息系统运维风险监测、分析、预警、控制、处理、评价；对发现异常、可疑、违规现象立刻阻断并报警，并对操作过程画面进行监控和电子录像，防范运维风险，保障信息系统及设施运行安全，完善内控审计安全管理。
通过部署一套集中式IT运维审计系统，实现以下运维安全管理：
一、事前准备阶段
资源管理：
系统提供对IT系统资源进行管理，能够对资源进行分组管理，并能对各类资源的账号口令进行统一管理。
人员管理：
系统提供IT运维自然人进行定义，可以通过支持多种身份认证方式：
数字证书、动态口令、LDAP、AD域、Radius等方式进行统一认证，对于运维人员进行分组管理。
授权管理：
系统提供基于运维人、运维组、资源、资源组、IP、起始时间、运维时长等组合授权，实现对运维行为的控制。
二、事中控制阶段
流程管理：
系统遵循ITIL实现针对运维工单、双人复核与二次授权等操作管理，可以通过系统定制与客户现有工单系统进行整合，加强IT系统变更的管理力度，降低运维操作风险。
实时控制：
系统能够对IT运维过程实现同步在线监控、实时阻断，对字符型操作可以预制高风险命令的预警与阻断，强化风险控制；系统能够记录键盘鼠标敲击信息，准确掌握所有运维动作。
三、事后分析阶段
统计报表：
系统完善的报表体系，内部预制多种HAC管理报表并且可以支持客户定制报表，可以生成多种格式（Word、PDF、Excel）与样式（饼图、柱状图、折线图等）的报表文件，满足审计需求。
事件追踪：
系统可以快速检索定位运维记录，便于查询与检索；同时可以对运维操作进行图形化回访，保证审计记录100%不丢失；而且能够针对ITIL要求实现对运维行为的审计、复核，满足合规性要求。
5运维安全审计系统产品选型
5.1衡量指标
一、安全资质要求
●产品要具有中华人民共和国公安部颁发的《计算机信息系统安全专用产品销售许可证》；
●中华人民共和国保密局涉密信息系统安全保密测评中心颁发的《涉密信息系统产品检测证书》；
●中华人民共和国安全测评中心颁发的《信息技术产品测评证书》、具有中华人民共和国国家版权局颁发的《计算机软件著作权登记证书》。
二、硬件性能指标及规格
●字符会话并发不少于500个，图形会话并发不少于150个。
●可管理资源数量不少于300台
三、技术要求
1．提供的产品系统与运维日志分离存储，系统由电子盘独立存储，运维日志由硬盘存储，确保系统与日志的独立性。
2．部署模式：
要求产品旁路两种部署模式。
3．运维模式：
要求支持Portal统一登录，并兼容终端C/S客户端连接设备。
4．配置模式：
要求支持B/S模式对设备进行基本的管理、配置、运维。
5．审计模式：
要求审计员需通过专有的审计客户端软件（C/S架构）对运维会话进行安全审计，并能通过审计客户端软件制作不同样式的专业报表。
6．集中管控：
要求产品支持分布式管理模式，支持总控管理模式。
7．要除支持Telnet、Ftp、SSH、SFTP、RDP、Xwindow、VNC、、s等常用协议运维操作审计外，还要支持PcAnywhere、DameWare、数据库管理客户端、网管客户端等C/S类应用系统的运维操作审计，审计的日志要求以视频、文本、报表的形式进行保存，并可对运维人员操作步骤进行视频回放。
8．产品基于S/SSL的自身安全管理与审计；审计信息加密存储，保证运维信息不被人工篡改；口令信息加密存储，保证口令信息不被泄露。
9．系要求与底层linux操作系统实行帐号分离，能够自定义命名root帐号为用户名的管理帐号且无后台登陆帐号。
10．身份认证管理：
为了确保合法用户才能访问其拥有权限的后台资源，解决IT系统中普遍存在的交叉运维而无法定位到具体人的问题，系统需提供一套完整的身份管理和认证功能。
11．认证方式：
除支持常规的运维用户静态口令、动态口令、LDAP、AD域认证外，还要支持原厂USBKEY证书认证方式；
12．支持密码强度、密码有效期、口令尝试死锁、用户激活等安全管理功能；
13．支持用户分组管理，支持用户信息导入导出；
14．产品必须支持系统管理员、运维管理员、口令管理员和审计员等不同管理员角色；支持审计员分权管理（分为全局审计员和会话审计员），其中会话审计员只能审计指定用户的会话。
15．帐号代填：
支持对后台资源（RDP/TELNET/SSH/FTP/SFTP等）的帐号口令代填功能，即用户登录系统后，系统根据用户权限分配后台资源的使用权。
16．帐号托管：
支持对后台资源（Windows、linux、unix）的系统帐号密码定期自动修改功能。
17．授权:
系统提供基于用户、运维协议、目标主机、运维时间段（年、月、日、周、时间）、会话时长、运维客户端IP等组合的授权功能，实现细粒度授权功能，满足用户实际授权的需求。
18．对于字符型协议、如Telnet、SSH、FTP、SFTP等，能够实现命令级别的访问控制。
19．提供基于用户到资源的授权、命令黑白名单：
可以通过命令行配置进行规则匹配，支持黑、白名单功能；提供基于用户到资源的授权。
20．实时告警：
提供用户可配置的告警规则以实现告警与阻断，告警规则支持多条命令，告警规则支持正则表达式。
21．提供基于用户到资源的授权。
22．告警规则可以按照帐号级别进行绑定，可以设置为只有指定安全级别的帐号才能触发告警规则，针对不同用户实施不同的规则，从而提供更细粒度的操作控制。
23．应用发布:
主要针对C/S架构类运维工具的扩展支持，通过定义相应的访问规则限制使用发布后工具的越权访问。
24．支持工具类型：
可支持对数据库维护工具、pcAnywhere、DameWare等不同工具的运维操作进行监控和审计、通过专用的应用发布平台，能够限制运维用户访问的目标IP，并对整个运维操作过程进行完整记录，实现详尽的会话审计和回放；运维操作全程可控，最大降低对后台目标服务集群的可能安全风险；
25．会话监控：
支持对正在运维会话，信息包括运维用户、运维客户端地址、资源地址、协议、开始时间等的监控。
26．已授权资源审计员能够对已授权的资源进行审核，防止资源授权过当引起的安全隐患问题。
27．实时监控：
提供在线运维操作的实时监控功能，针对命令协议和图形协议可以图像方式实时监控正在运维的各种操作，其信息与运维客户端所见完全一致。
28．远程阻断：
审计员可以远程阻断在线的运维会话。
29．完整记录网络会话过程:
系统提供运维协议Telnet、FTP、SSH、SFTP、RDP（WindowsTerminal）、Xwindows、VNC、、s以及应用发布等网络会话的完整会话记录，完全满足内容审计中信息百分百不丢失的要求；会话信息包括运维用户、运维地址、后台资源地址、资源名、协议、起始时间、终止时间、流量大小信息。
30．会话审计与回放:
会话查询：
运维操作审计以会话为单位，提供当日和条件查询定位。
条件查询支持按运维用户、运维地址、后台资源地址、协议、起始时间、结束时间和操作内容中关键字等组合方式；文本显示：
针对命令交互方式的协议，提供逐条命令及相关操作结果的文本显示；录像显示：
提供图像形式的回放，真实、直观、可视地重现当时的操作过程，并支持回放过程中得快放、慢放、拖拉等方式，方便快速定位和查看，针对RDP、Xwindows、VNC协议，提供按时间进行定位回放。
31．提供运维人员操作、管理员操作以及违规事件等多种审计报表。
32．提供日常报表，包括今日会话、今日自审计、用户信息、资源信息、权限信息、规则信息、管理员角色信息等报表；
33．提供会话报表，可根据用户选定时间、用户、资源形成会话报表。
34．自审计操作报表，可根据用户选定时间、管理员、模块形成自审计报表。
35．告警报表，可根据告警类别、级别、资源、运维用户、协议、时间等条件形成报表。
36．综合统计报表，可根据时间、资源、用户等条件形成综合统计报表，报表中包括概要信息、每个用户操作信息、每个资源被操作信息等。
37．报表导出格式，支持WORD、EXCEL、PDF等导出格式。
38．作为IT运维流程中的一个部分，能够遵循ITIL满足稽核与审计的要求，系统能够通过定制开发与现有ITSM、SOC、网管平台进行集成，满足大型网络系统的管理要求。
39．产品必须保证对常用命令行运维工具secureCRT的支持，即运维用户能够在运维命令行协议时通过指定本地SecureCRT的程序路径，运维时能够直接调用SecureCRT程序进行运维。
40．产品必须支持与第三方的AD、LDAP认证服务器结合认证，并能够做到AD、LDAP账号的自动同步。
5.2设备性能指标
功能
指数指标
设备性能参数
内存
2Gbps以上（含2Gbps）
硬盘容量
500G
处理能力
图形化并发150，字符化并发500个
支持协议
Telnet、SSH、FTP、SFTP、WindowsTerminal、Xwindows、VNC、RDP
管理模式
配置为B/S，审计为C/S
兼容性
无需在运维端和服务端安装软件，兼容现有各种Windows、Unix操作系统平台
冗余方式
HA
链接方式
旁路模式
操作界面
WEB界面
管理界面
中文
邮件告警功能
设备性能和审计邮件告警（包括审计个性化告警）
认证方式
独立认证和第三方的AD、LDAP认证服务器结合认证
报表功能
分日，周，月个性化的LOG，产生报表
双人复合功能
有（可选）
硬件参数
设备高度
2U
设备端口数
3个以上1000M自适应电口
冗余电源
无
工作湿度
5~95%，非冷凝
工作温度
－10~50℃
2021-xx-xx发布
2021-xx-xx发布
2021-xx-xx实施
2021-xx-xx实施
XXXX公司发布
XXXX工业有限责任公司发布
安全运维管理制度
XX
1目录
2前言
为了保护XXXXXX信息网络系统的安全，促进信息化建设的顺利进行，保障XXXX信息化的应用和发展，根据公安部发布的《计算机信息网络国际联网安全保护管理办法》、国家XX专卖公司发布的《XX行业计算机信息网络安全保护规定》，制定本规定。
本标准由XXXXXX提出
本标准由XXXXXX信息管理部归口
本标准起草部门：
信息管理部
本标准主要起草人：
XXX
1.目的
为了保障XXXXXX业务的正常开展，确保信息系统的正常运行，规范信息系统日常操作及维护阶段安全要求，特制订此管理制度。
2.适用范围
本制度适用于XXXXXX信息管理部的所有信息系统管理和维护人员。
3.信息系统日常操作及维护管理
所有信息系统内的资源，包括主机操作系统、应用系统、网络设备和安全设备，信息管理部都应指派专门的信息技术管理员和职守员，进行日常操作和维护的管理工作，制定《信息系统日常操作及维护管理责任表》，责任到人，保证信息系统的正常运行。
信息系统实行7×24小时运行。
在法定工作日的工作时间应安排具备相应专业技术水平的人员进行5×8小时现场值班，制定《信息系统维护值班表》，于每月初定期发布，遇当月有重大节假日，应根据实际情况提前安排值班表，并通知到值班人员。
信息管理部信息系统第三方职守员应实行主、副岗备用制度。
当主岗不在时，第三方公司应指派具备主岗同等专业技术水平的副岗，代替其执行相关工作。
所有信息系统第三方职守员应每天向对应主管的信息管理部信息技术管理员或信息安全管理员提交工作日报。
第三方职守员对信息系统的所有操作都必须进行记录，日常维护操作应在工作日报中进行说明；对信息系统进行较大操作或修改前，必须向所对应的信息管理部信息技术管理员或信息安全管理员提交修改方案及申请。
1.
2.
3.
3.1.操作系统日常操作及维护
（1）必须严格管理操作系统账号，定期对操作系统账号和用户权限分配进行检查，系统职守员至少每月检查一次，并报信息技术管理员审核，删除长期不用和废弃的系统账号和测试账号。
（2）必须加强操作系统口令的选择、保管和更换，系统口令做到：
●长度要求：
8位字符以上；
●复杂度要求：
使用数字、大小写字母及特殊符号混合；
●定期更换要求：
每90天至少修改一次。
（3）订阅计算机紧急响应机构的公告或第三方专业安全机构提供的安全漏洞信息的相关资源，及时提醒信息管理部信息技术管理员和信息安全管理员任何可能影响系统正常运行的漏洞。
（4）信息安全管理员应指定安全职守员专门负责补丁更新工作，并根据《系统漏洞发现及补丁更新流程》完成补丁更新工作。
（5）安全职守员需定期进行安全漏洞扫描和病毒查杀工作，平均频率应不低于每周一次，重大安全漏洞发布后，应在3个工作日内进行上述工作。
为了防止网络安全扫描以及病毒查杀对网络性能造成影响，应根据业务的实际情况对扫描时间做出规定，需安排在非业务繁忙时段。
信息技术管理员应为每个系统指定专门的系统职守员，由系统职守员对所负责的服务器进行检查，至少每天一次，确保各系统都能正常工作；监控系统的CPU利用率、进程、内存和启动脚本等使用情况。
（6）当系统职守员监测到以下几种已知的或可疑的信息安全问题、违规行为或紧急安全事件系统时，应立即报告信息技术管理员，同时采取控制措施，并记录《系统异常故障记录单》：
a）系统出现异常进程；
b）CPU利用率，内存占用量异常；
c）系统突然不明原因的性能下降；
d）系统不明原因的重新启动；
e）系统崩溃，不能正常启动；
f）系统中出现异常的系统账户；
g）系统账户口令突然失控；
h）系统账户权限发生不明变化；
i）系统出现来源不明的文件；
j）系统中文件出现不明原因的改动；
k）系统时钟出现不明原因的改变；
（7）系统日志中出现非正常时间登录，或有不明IP地址的登录；
（8）系统职守员对操作系统的任何修改，都需要进行备案，对操作系统的重大修改和配置（如补丁安装、系统升级等操作）必须向信息技术管理员提交系统调整方案，由信息技术管理员审核通过后方可实施。
操作系统的配置和修改必须在非业务时间进行，重大调整必须提前准备应急预案和回退方案。
（9）保证操作系统日志处于运行状态，系统值守员应定期对日志进行审计分析，至少每月审计一次，重点对登录的用户、登录时间、所做的配置和操作做检查，在发现有异常的现象时及时向信息技术管理员报告。
（10）系统职守员应设置操作系统日志归档保存功能，历史记录保持时间不得低于一年。
3.2.应用系统安全日常操作及维护
（1）新的应用系统在正式上线运行前应由信息管理部信息安全管理员进行安全检查，检查通过方能正式运行使用。
严禁在不检查或检查未通过的情况下将应用部署到正式环境中。
检查的内容包括：
a）检查应用系统的软件版本；
b）检查应用系统软件是否存在已知的系统漏洞或者其它安全缺陷；
c）检查应用系统补丁安装是否完整；
d）检查应用系统进程和端口开放情况，并登记《系统进程及端口开放记录表》备案；
e）应用系统安装所在文件夹是否为只读权限；
f）检查是否开启应用系统日志记录功能，并启用日志定期备份策略。
（2）应用系统上线运行后，应经过一段时间的试运行，在试运行阶段，应严密监控其运行情况；当发现应用系统运行不稳定或者出现明显可疑情况时，应立即将事件报告IT服务平台，必要时应启动应用系统应急预案。
（3）应用系统经试运行正式上线运行后，信息技术管理员应指派专门的系统职守员，由职守员与开发测试人员进行系统交接。
（4）应用系统软件安装之后，应立即进行备份；在后续使用过程中，在应用系统软件的变更以及配置的修改前后，也应立即进行备份工作；确保存储的软件和文档都是最新的，并定期验证备份和恢复策略的有效性。
（5）必须严格管理应用系统账号，定期对应用系统账号和用户权限分配进行检查，至少每月审核一次，删除长期不用和废弃的系统账号和测试账号。
（6）必须加强应用系统口令的选择、保管和更换，系统口令做到：
●长度要求：
8位字符以上；
●复杂度要求：
使用数字、大小写字母及特殊符号混合；
●定期更换要求：
每90天至少修改一次。
（7）信息安全管理员应指定安全职守员专门负责应用系统补丁更新工作，并根据《系统漏洞及补丁更新流程》完成应用系统补丁更新工作。
（8）系统职守员应对所负责的应用系统进行检查，至少每天一次，确保各系统都能正常工作，当发现应用系统运行不稳定或者出现明显可疑情况时，应立即将事件报告IT服务平台，发生重大安全事件时，应立即报告信息管理部信息安全管理员，并记录《系统异常故障表》，必要时应启动应用系统应急预案。
（9）系统职守员对应用系统的任何修改，都需要进行备案，对应用系统的重大修改和配置（如补丁安装、系统升级等操作）必须向信息技术管理员提交系统调整方案，由信息技术管理员审核通过后方可实施。
应用系统的配置和修改必须在非业务时间进行，重大调整必须提前准备应急预案和回退方案。
升级会员 