平台安全运维保障方案.doc

平台运维保障方案1. 目的为了保障平台各项业务的正常开展,确保信息系统的正常运行，规范信息系统日常操作及维护阶段安全要求，特制订此方案.2. 系统日常操作及维护管理1.1. 建立双向联动责任人机制所有涉及到业务平台的资源，包括主机操作系统、应用系统、网络设备和安全设备，指定电信接口人和支撑单位接口人双向联动，由电信公司指定维护接口人专门负责对接支撑单位的技术负责人和维护人员，电信公司的接口人对支撑单位的日常工作进行监督，支撑单位对业务系统的日常操作和维护按照本方案进行记录，做到责任到人，保证各个业务平台的正常运行.1.2. 操作系统日常操作及维护(1) 必须严格管理操作系统账号,定期对操作系统账号和用户权限分配进行检查,系统维护人员至少每月检查一次,并报信息技术管理员审核，删除长期不用和废弃的系统账号和测试账号。(2) 必须加强操作系统口令的选择、保管和更换，系统口令做到：l 长度要求:8位字符以上;l 复杂度要求：使用数字、大小写字母及特殊符号混合;l 定期更换要求：每90天至少修改一次.(3) 支撑单位维护人员需定期进行安全漏洞扫描和病毒查杀工作，平均频率应不低于每月一次，重大安全漏洞发布后，应在3个工作日内进行上述工作。为了防止网络安全扫描以及病毒查杀对网络性能造成影响，应根据业务的实际情况对扫描时间做出规定,需安排在非业务繁忙时段。技术负责人应为每个系统指定专门的系统维护人员，由系统维护人员对所负责的服务器进行检查，至少每天一次,确保各系统都能正常工作；监控系统的CPU利用率、进程、内存和启动脚本等使用情况。 (4) 当支撑单位维护人员监测到以下几种已知的或可疑的信息安全问题、违规行为或紧急安全事件系统时，应立即报告技术负责人，同时采取控制措施,并进行记录：a) 系统出现异常进程;b) CPU利用率,内存占用量异常；c) 系统突然不明原因的性能下降;d) 系统不明原因的重新启动； e) 系统崩溃，不能正常启动; f) 系统中出现异常的系统账户； g) 系统账户口令突然失控； h) 系统账户权限发生不明变化； i) 系统出现来源不明的文件; j) 系统中文件出现不明原因的改动； k) 系统时钟出现不明原因的改变; (5) 系统日志中出现非正常时间登录,或有不明IP地址的登录；(6) 系统维护人员对操作系统的任何修改,都需要进行备案，对操作系统的重大修改和配置（如补丁安装、系统升级等操作）必须向技术负责人提交系统调整方案，由信息技术管理员审核通过后方可实施。操作系统的配置和修改必须在非业务时间进行,重大调整必须提前准备应急预案和回退方案。(7) 保证操作系统日志处于运行状态,系统维护人员应定期对日志进行审计分析，至少每月审计一次,重点对登录的用户、登录时间、所做的配置和操作做检查，在发现有异常的现象时及时向信息技术管理员报告.(8) 系统维护人员应设置操作系统日志归档保存功能，历史记录保持时间不得低于一年。1.3. 业务系统安全日常操作及维护(1) 新的应用系统在正式上线运行前应由技术负责人进行安全检查,检查通过方能正式运行使用.严禁在不检查或检查未通过的情况下将应用部署到正式环境中.检查的内容包括： a) 检查应用系统的软件版本;b) 检查应用系统软件是否存在已知的系统漏洞或者其它安全缺陷;c) 检查应用系统补丁安装是否完整；d) 检查应用系统进程和端口开放情况，并登记系统进程及端口开放记录表备案;e) 应用系统安装所在文件夹是否为只读权限；f) 检查是否开启应用系统日志记录功能，并启用日志定期备份策略。 (2) 应用系统上线运行后，应经过一段时间的试运行，在试运行阶段，应严密监控其运行情况；当发现应用系统运行不稳定或者出现明显可疑情况时，应立即将事件报告IT服务平台，必要时应启动应用系统应急预案。(3) 应用系统经试运行正式上线运行后,技术负责人应指派专门的系统维护人员，由系统维护人员与开发测试人员进行系统交接。(4) 应用系统软件安装之后，应立即进行备份；在后续使用过程中，在应用系统软件的变更以及配置的修改前后，也应立即进行备份工作;确保存储的软件和文档都是最新的，并定期验证备份和恢复策略的有效性。(5) 必须严格管理应用系统账号，定期对应用系统账号和用户权限分配进行检查，至少每月审核一次，删除长期不用和废弃的系统账号和测试账号。(6) 必须加强应用系统口令的选择、保管和更换,系统口令做到：l 长度要求：8位字符以上；l 复杂度要求：使用数字、大小写字母及特殊符号混合;l 定期更换要求：每90天至少修改一次。(7) 系统维护人员应对所负责的应用系统进行检查，至少每天一次，确保各系统都能正常工作，当发现应用系统运行不稳定或者出现明显可疑情况时，应立即将事件报告IT服务平台，发生重大安全事件时，应立即报告信息管理部信息安全管理员，并记录系统异常故障表,必要时应启动应用系统应急预案.(8) 系统维护人员对应用系统的任何修改，都需要进行备案,对应用系统的重大修改和配置（如补丁安装、系统升级等操作）必须向电信责任部门提交系统调整方案，审核通过后方可实施。应用系统的配置和修改必须在非业务时间进行,重大调整必须提前准备应急预案和回退方案.(9) 保证各应用系统的系统日志处于运行状态,系统维护人员应定期对日志进行审计分析,至少每月审计一次，重点对登录的用户、登录时间、所做的配置和操作做检查。 (10) 系统维护人员应设置应用系统日志归档保存功能，历史记录保持时间不得低于一年。1.4. 网络及安全设备日常操作及维护1.1.1. 网络及安全设备管理(1) 必须严格管理设备系统账号，定期对设备系统账号和用户权限分配进行检查，至少每月审核一次，删除长期不用和废弃的用户账号。(2) 必须加强设备系统口令的选择、保管和更换，设备口令做到:l 长度要求:8位字符以上;l 复杂度要求：使用数字、大小写字母及特殊符号混合;l 定期更换要求：每90天至少修改一次。(3) 对网络和安全设备的管理必须经过严格的身份认证和访问权限的授予，认证机制应综合使用多认证方式,如强密码认证+特定IP地址认证等。(4) 网络和安全设备的用户名和密码必须以加密方式保存在本地和系统配置文件中，禁止使用明文密码保存方式。(5) 网络和安全设备的配置文件，必须由负责此设备的维护人员加密保存，由信息技术管理员加密留档保存,维护人员和信息技术管理员必须确保配置文件不被非法获取。(6) 对网络和安全设备的远程维护，建议使用SSH、HTTPS等加密管理方式,禁止使用Telnet、http等明文管理协议.(7) 限定远程管理的用户数量，每设备管理用户不能超过5个;限定远程管理的终端IP地址，设置控制口和远程登录口的超时响应时间,让控制口和远程登录口在空闲一定时间后自动断开，超时响应时间最多不能超过3分钟。(8) 对网络和安全设备的管理维护，尽可能避免使用SNMP协议进行管理，如果的确需要，应使用V3 版本代替V1、V2 版本,并启用MD5 等校验功能；SNMP协议的 Community String 字串长度应大于12位，并由数字、大小写字母和特殊字符共同组成;启用SNMP协议后，必须指定SNMP服务器的地址.(9) 各应为每个网络和安全设备指定专门的系统维护人员，由系统维护人员对所负责的网络和安全设备进行账户、口令、账户认证方式、密码存储方式、远程管理方式等项目的检查；至少每月检查一次,确保各网络和设备都能正常工作。(10) 网络和安全设备维护人员应定期对所负责的设备进行性能和故障检查，至少每天一次，监控设备的CPU、内存、硬盘使用率和网络接口状态等使用情况，确保各设备都能正常工作，如发现异常情况，应采取控制措施,并记录。(11) 网络和安全设备维护人员对网络和安全设备的任何修改,都需要进行备案，对设备的重大修改和配置(如路由调整、系统升级等)必须提交设备调整方案，审核通过后方可实施。设备的配置和修改必须在非业务时间进行，重大调整必须提前准备应急预案和回退方案。(12) 网络和安全设备维护人员应设置定期对设备日志进行归档保存,历史记录保持时间不得低于一年。1.1.2. 安全设备配置规范(1) 防火墙设备1) 防火墙应保证正常应用的连通性，保证网络和应用系统的性能不因部署防火墙有明显下降,特别是一些重要业务系统.2) 尽量保持防火墙规则的清晰与简洁,并遵循“默认拒绝，特殊规则靠前,普通规则靠后，规则不重复的原则,通过调整规则的次序进行优化。 3) 防火墙各区域的路由设置应合理，严格禁止任何旁路路由。 4) 配置或更改防火墙策略前,必须对防火墙进行配置备份,设备维护人员必须向信息技术管理员提交防火墙策略调整方案,由信息技术管理员审核通过后方可实施。防火墙的配置和更改必须在非业务时间进行,重大调整必须提前准备应急预案和回退方案。5) 配置或更改防火墙策略后,必须对网络和业务的连通性进行逐一测试，保证信息系统的可用性。6) 临时性增加的访问控制规则在使用完成后，应及时删除. 7) 维护人员应定期对防火墙的访问控制规则进行检查和必要调整,至少每月执行一次. (2) 网络版防病毒软件1) 信息管理部对防病毒软件的部署应该做到统一规划，统一部署,统一管理.2) 维护人员应根据终端和主机所在部门进行逻辑分组,并根据终端和主机的工作时间，制定扫描策略，建议每周扫描一次,在中午休息时间启动病毒扫描，避免在业务繁忙时执行.3) 防病毒软件必须统一进行病毒特征库的更新，至少每周进行一次.重大安全漏洞和病毒发布后,应立即进行更新，并在3个工作日内完成所有终端和主机的扫描工作。4) 维护人员应及时了解防病毒厂商公布的计算机病毒情报,关注新产生的、传播面广的计算机病毒，并了解它们的发作特征和存在形态，及时发现计算机系统出现的异常是否与新的计算机病毒有关.5) 维护人员应及时了解各系统厂商所发布的漏洞情况,对于很可能被病毒利用的远程控制的漏洞要及时提醒用户安装相关补丁。6) 维护人员负责防病毒软件的总体维护，每天定时登陆防病毒总控制台，检查防病毒软件服务的运行状态，病毒实时监测和扫描状况以及防病毒服务器的运转情况,发现异常马上采取控制措施，如发现大规模病毒爆发，应及时上报。7) 维护人员有责任维护各应用服务器及终端防病毒系统的正常运转，也需要定期对防病毒软件的升级情况进行监控。如果遇到问题或者病毒报警，应采取控制措施并及时上报。8) 维护人员应至少每次/月统计病毒报告，以分析历史病毒事件,加强安全策略防范。9) 新入网的终端及主机，在安装完操作系统后，要在第一时间内安装信息管理部统一部署的防病毒软件；没有安装统一防病毒软件的Windows系统不得接入公司网络;终端及主机不得私自安装非统一部署的防病毒软件。(3) 终端安全管理软件1) 对终端安全管理软件的部署应该做到统一规划，统一部署，统一管理。2) 维护人员负责终端安全管理软件的总体维护，每天定时登陆终端安全管理总控制台,检查安全管理软件服务的运行状态，以及终端违规状况，发现异常马上采取控制措施,应及时上报。3) 维护人员应根据终端实际安全需求来制定终端控制策略，策略下发前，必须进行不少于两天的策略测试运行工作,必须在测试成功后才能对终端进行应用.4) 新入网的终端及主机，应及时安装信息管理部统一部署的终端安全管理软件;没有安装统一终端安全管理软件的Windows系统不得接入公司网络;终端及主机不得私自安装或开启非统一部署的终端安全管理软件。(4) 入侵检测/保护系统1) 入侵检测系统应实施旁路部署,部署于关键交换区域,建议部署在公司核心交换机、服务器交换机等区域上,用于检测内网、互联网出口处、服务器区域出口线路等节点的网络入侵事件。2) 入侵保护系统应实施串联部署，部署于关键交换区域，建议部署在公司核心交换机、服务器交换机等区域上，用于检测并阻拦内网、互联网出口处、服务器区域出口线路等节点的网络入侵事件。3) 入侵检测/防护系统必须定期进行入侵特征库的更新，至少每周进行一次。重大安全漏洞和事件发布后，应立即进行更新.4) 入侵检测/防护系统根据攻击特性启用入侵攻击、蠕虫病毒、间谍软件、P2P下载等监控/防护规则。5) 入侵防护系统应针对不同的入侵采取相应的响应动作。建议对于入侵攻击、蠕虫病毒、间谍软件类攻击除报警操作外,采取会话丢弃或拒绝会话动作。6) 入侵防护系统规则配置时应实时监控网络速度及公司业务应用的可用性，及时调整监控规则，保证业务的正常运行。7) 入侵检测/防护系统必须配置严密的报警体系，通过电子邮件、界面警示等方式实现事件报警。8) 维护人员应针对发生的入侵事件进行跟踪分析，确定入侵源，采取措施消除安全问题。对于重要安全事件应及时上报信息安全管理员.9) 维护人员应至少每次/月统计入侵报告，以分析历史安全事件，加强安全策略防范.10) 配置或更改入侵检测/防护系统策略前，必须对设备进行配置备份，维护人员必须向信息技术管理员提交入侵检测/防护系统策略调整方案,由信息技术管理员审核通过后方可实施。入侵防护系统的配置和更改必须在非业务时间进行，重大调整必须提前准备应急预案和回退方案。11) 配置或更改入侵防护系统策略后，必须对网络和业务的连通性进行逐一测试，保证信息系统的可用性。(5) 漏洞扫描系统1) 漏洞扫描系统必须定期进行漏洞特征库的更新,至少每周进行一次。重大安全漏洞发布后，应立即进行更新。2) 维护人员应制定一份漏洞扫描策略,保证至少每月对终端主机以及设备进行一次漏洞扫描,建议将扫描安排在非工作时间，避免在业务繁忙时执行。 3) 在每次扫描后,维护人员应根据扫描结果提交一份漏洞扫描报告，上交给信息安全管理员审核，经审核后责令各终端和系统负责人进行漏洞修补工作。8