安全服务建议书-Sample.docx

XXXIDC
安全服务建议书

二○○三年四月

目 录
1 公司信息 错误！未定义书签。
1.1 简介 错误！未定义书签。
1.2 公司理念 错误！未定义书签。
1.3 信息安全服务资质 错误！未定义书签。
1.4 公司地址 错误！未定义书签。
2 XXXIDC安全服务需求 1
2.1 网络拓扑图 1
2.2 安全服务需求 1
2.3 安全产品需求 1
3 安全服务内容 1
3.1 严密的安全体系 1
3.2 专业的安全服务 1
3.2.1 安全审计服务 1
3.2.2 紧急安全响应服务 1
3.2.3 路由器安全增强配置 1
3.2.4 防火墙安全配置 1
3.2.5 DNS应用系统安全配置 1
3.2.6 WEB应用系统安全配置 1
3.2.7 MAIL应用系统安全配置 1
3.2.8 安全培训服务 1
4 XXX公司安全服务质量控制与保证 1
4.1 技术基础 1
4.2 人员保证 1
4.3 安全服务规范 1
5 合作提供安全服务的设想 1
6 结语 1

1 公司简介
包含公司有关资质、奖励等
2 XXXIDC安全服务需求
XXXIDC是7×24小时不间断运行的系统，为保证XXXIDC系统安全可靠地运行，保守企业和用户秘密，维护企业和用户的合法权益，应该具有极高的可靠性和良好的安全性。通过完备的安全规范和策略建立一个配套的安全管理制度，利用业界最新的安全技术去建设一个环境安全和管理安全的安全体系，从而满足XXXIDC系统对安全的要求。
2.1 网络拓扑图

2.2 安全服务需求
经过与XXXIDC的多次交流，我公司理解的本次安全服务需求如下：
1） 对10台服务器进行安全加固。
ü Linux 6.2 1台，运行Apache、PHP、MySql;
ü Windows 2000 9台；
上面有IIS 6台，IDS（1台），DB（SQL Server 2000）2套，网管软件一套，Backup Server 1台。
2） 安全审计的服务器数量30台
3） 对IDC主机做日志搜集和分析的要求也不大，只要有储存，不需要分析。
4） IP规划中生产区和办公区没分开，共用一个网段。
5） 人员规模在40人左右，有自己的安全管理制度，补丁更新及时。
6） 备份系统为磁带库。
对安全服务比较明确的要求是，在安全审计报告方面及时、详细、重点突出；在平时的工作日志中要做到详细，有案可查。
XXXIDC系统的安全风险评估是针对已经建设的XXXIDC系统的策略、设计、和安全漏洞进行审计和检测。主要考察其：
合理性：人员配置、设备配备、制度建设和执行
可用性：系统的管理、操作、维护性能
保密性：数据信息的加密等保护措施
完整性：信息的完整性
确定性：认证/防抵赖
可追溯性：日志记录等
2.3 安全产品需求
XXXIDC已有的安全产品是CA公司的EAC主机加固，EID的IDS，冰之眼扫描器。
针对安全需求书中提到和比较急的安全需求，在附件中推荐了部分安全产品，主要用于系统安全加固、及时发现系统漏洞和对系统日志进行分析，产品如下：
1） 系统安全增强工具；
2） 安全审计中心；
3） 网络安全分析仪；
4） 日志分析中心。
3 安全服务内容
3.1 严密的安全体系
针对IDC的特殊性，我公司建议从安全整体规划出发，建立一套完整、严密的安全服务体系，以便从统一安全策略出发，从上到下地严密控制可能产生的安全风险，在这套完整的安全体系下，您的网络的安全风险将是可见的、可控的、可管理的，达到将风险降到最低的目的。
3.2 专业的安全服务
信息安全一向是一个交互的过程，使用任何一种“静态”或者号称“动态”防范的产品都不能解决不断新出现的安全问题，所以我公司针对安全问题的特点，提供针对IDC的全面的安全服务。
在IDC的环境中：
Ø 系统的安全性和操作系统提供商和软件提供商非常有关，作为网络的使用者，必须时刻和各种软硬件厂商的安全部门联系，获得最新的安全报告。
Ø 防火墙并不能保护一切网络资源。防火墙能够保护经过严格规则设定的网络资源不泄漏，以及可以拒绝绝大多数的端口扫描和Deny of Service(拒绝服务)攻击，但是传统的防火墙不能拒绝正当的连接中带的攻击行为以及来自内部网的攻击。
Ø 网络实时入侵探测软件的报警功能的局限性。目前任何一种网络实时入侵探测软件都不能截获局域网上100％的数据包进行分析，因此存在着一定的漏报问题。
Ø 人员的操作水平和系统的复杂性之间的差距。现有的系统管理员对目前先进、复杂的网络的管理能力有限。
基于以上种种原因，我公司作为专业安全服务提供商，更专注于提供专业的安全咨询服务，我公司推出了系统安全服务，解决了日常运营维护中的系统安全问题对网络建设者和运营商的困扰。
网络安全并不是按照说明书安装几个流行的网络安全产品就能解决问题的。它需要合适的安全体系和合理的安全产品组合，需要根据网络及网络用户的情况和需求规划、设计和实施一定的安全策略以及其他多种安全服务。
XXX公司的信息安全服务中的安全风险评估服务，包括资产鉴定、威胁评估、影响评估、脆弱性评估和风险鉴定。第一步是进行资产鉴定，确定哪些资产需要重点安全保护；第二步是针对需要重点安全保护的信息资产进行威胁评估、影响评估和脆弱性评估；第三步在上面两步的基础上进行风险等级，确定风险等级。
建议XXXIDC对其系统进行全面的安全评估，但鉴于已明确决定具体的服务内容，并已有一定的安全基础，下面只针对脆弱性评估中的系统脆弱性评估进行描述，对环境脆弱性和管理脆弱性不做描述。为与贵公司保持概念上的一致，将系统脆弱性评估服务也称为安全审计服务。
3.2.1 安全审计服务
网络安全和系统安全是一个不断发展的新事物，从网络安全的技术构成上来说，黑客和系统管理员之间的斗争是一个时间和耐力的赛跑。网络系统的一处安全漏洞、系统管理员的机房管理制度以及流程上的一些疏漏就有可能成为网络安全的一个致命点。同时，随着时间的发展，本来相对安全的网络系统可能会出现新的安全问题，系统管理员有意或无意的对系统参数或网络结构的调整，也可能会带来新的安全问题。因此，如何在长期的运行维护过程中，保证客户的网络系统长期稳定的安全性，就显得极为重要。
我公司日常安全审计服务是周期性评估服务，它面向防火墙、WWW服务器、MAIL服务器、电子商务服务器、DNS服务器和其他更多的网络设备和主机系统。该服务利用各种方式来动态评估以上各种系统的安全状况。该安全评估服务作为对现有安全措施的补充，以确认对网络安全控制的效力。
3.2.1.1 服务目标
我公司日常安全审计服务的目标是，首先，通过对网络进行安全审计，得出整个网络安全状态的评估报告，找出网络的安全漏洞和隐患，并据此提出解决措施，进行安全项目的集成，以保障大型和复杂网络环境的网络安全；同时，在网络运行维护过程中，对系统进行日常的安全审计服务，动态监控整个系统的安全状况，以此不断解决新发现的安全问题。
3.2.1.2 服务内容与流程
服务内容：
1）从管理层次出发，制定切实可行的日常安全审计制度，其中包括：
l 建立客户方与我公司日常安全审计的例行制度；
l 明确定义日常安全审计服务实施的日程安排与计划；
l 明确定义我公司日常安全审计服务中涉及到的报告的形式及内容；
l 明确定义日常安全审计服务所要达到的目标；
2）从技术层次出发，建立标准的安全审计流程，明确定义安全审计所涉及的过程及技术要求，其中包括：
l 建立详细完备的用户确认制度和签字验收制度；
l 明确定义安全审计中扫描代价分析的方法与原则；
l 明确定义安全审计中扫描工具选择的原则；
l 明确定义安全审计中制定扫描方案的原则；
l 明确定义安全审计中安全扫描的实施原则；
l 明确定义安全审计中实际扫描的实施技术要求；
l 明确定义安全审计中制定安全增强建议方案的原则；
l 明确定义安全审计中安全修补方案制定的原则；
l 明确定义安全审计中涉及到的安全修补的实施原则；
l 明确定义安全审计中涉及到的安全修补的实施技术要求；
3）从用户需求、网络现状及以往安全审计结果出发，确定安全审计服务范围，其中包括：
l 确定需要进行审计的网段、并对该网段系统运行情况分析，得出审计准备概要报告；
l 在需要审计的网段内，确定需要进行安全审计的网络设备，并列出这些网络设备中需要审计的服务清单；
l 对确定需要审计的网络设备进行扫描风险性评估；
l 在需要审计的网段内，确定需要进行安全审计的主机系统，并列出这些主机系统中需要审计的服务清单；
l 对确定需要审计的主机系统进行扫描风险性评估；
l 在需要审计的网段内，确定需要进行安全审计的应用系统，并列出这些应用系统中需要审计的服务清单；
l 对确定需要审计的应用系统进行扫描风险性评估；
l 确定最终的安全扫描方案，包括需要检查的项目，扫描的时间安排、从整体上进行的扫描风险评估及风险对策；
l 向用户提交扫描方案，按照安全审计制度获得用户确认；
4）根据扫描风险评估报告，选用安全扫描工具进行实际扫描
l 分析比较各种安全扫描工具，得到各种安全扫描产品的优缺点比较表；
l 根据最终的安全扫描方案，以及扫描风险评估，选定一个或多个合适的扫描工具；
l 根据扫描方案中的检查项目，利用选定的扫描工具，按照扫描的具体时间安排，进行实际扫描的工作；
l 对于实际扫描过程中出现的突发事件，采用扫描方案中的风险对策或临时制定的解决措施，及时、正确的给予解决，尽力确保不影响整个系统正常的运营维护；
l 根据扫描工具得出的扫描结果，从网络系统、主机系统、应用系统以及数据系统得出综合的扫描结果报告
5）根据扫描结果报告提出系统安全的建议方案并设计安全解决方案
l 根据综合的扫描结果报告，总结近期发生的安全事件，从管理层次角度上制定报告；
l 根据综合的扫描结果报告，结合被审计系统的日志及其它信息，从技术层次上得出全网安全水平综合报告（包括：安全管理上的优点/缺点、各系统对攻击情况的防护能力、系统中存在的安全漏洞及其安全隐患以及安全事件列表等）；
l 根据全网安全水平综合报告，在客户配合之下，对系统中存在的问题提出安全建议报告，并制定相应的动态安全解决方案；
l 将安全事件报告、安全水平综合报告、安全建议报告及安全解决方案提交给用户，并确认；
6）根据安全扫描报告、增强系统安全的建议方案和上述制定的安全解决方案对系统进行安全修补，其中包括：
l 安装系统补丁；
l 停止不需要的服务；
l 替换有问题的软件为同样功能、但更安全的软件；
l 修改有安全问题的软件配置；
l 修补结束，得出安全修补实施报告，提交给用户并确认；
7）依照日常安全审计制度，定期的对系统进行上述的安全审计

服务流程：

日常安全审计服务（一）
审计工作流程

日常安全审计服务（二）
修补工作流程

安全审计服务文档流程

3.2.1.3 服务指标与服务承诺
审计工作时间安排
签订合同后10个工作日内第一次日常审计，之后每月同一时间进行审计（时间前后差距不超过3天，审计周期可根据客户要求调整）
审计工作花费工时
6台主机（网络设备）/每工作日（不含修补时间）
提交审计报告时限
当次审计结束后2工作日内
3.2.1.4 我公司日常安全审计服务的优势
ü 周期性的检查和修补，使客户的网络安全状况始终保持在一个较高的水平。
ü 技术全面，使用多种审计工具和手工检查相结合，能够全面的检查出系统的安全隐患，比只使用扫描器检查更加全面。
ü 事先风险评价，在实施审计工作前谨慎的评价扫描工具可能带来的影响，并加以适当的调整以消除风险。
ü 完善的文档流程，工作的每一步骤都会提交相应的文档并由客户签字确认，以确保每一项工作对客户透明。
ü 详尽的审计和修补工作报告，以一致的、容易理解的方式报告结果，报告包括自动扫描工具数据和我公司安全专家对结果的分析以及我公司安全专家手工检查的结果。
ü 帮助客户制定完善的日常安全审计制度，并辅以相应的现场培训，有助于进一步提高客户自身的安全水平。
3.2.1.5 本服务遵从的信息安全标准和规定
ü 《中华人民共和国计算机信息系统安全保护条例》
ü 《中华人民共和国计算机信息网络国际联网管理暂行规定》
ü 《计算机信息网络国际联网安全保护管理办法》
ü 《中华人民共和国计算机信息网络国际联网管理暂行规定实施办法》
ü 《商用密码管理条例》
3.2.2 紧急安全响应服务
3.2.2.1 服务简介
在客户运行维护系统过程中，作为客户方的技术人员由于时间和精力的问题，常常对于这些紧急事件缺乏有效的处理，这样往往会对系统正常运转造成重大影响。如果用户选择了我公司的紧急响应服务，那么在服务期间，一旦客户系统发生紧急事件，我们就将派出专业安全工程师，到现场快速响应安全事件，解决安全问题，并根据出现的问题及时调整安全策略，帮助用户在以后的维护中正确解决问题。
3.2.2.2 服务内容
1．故障情况通知及确定
Ø 我公司对用户的紧急安全事件提供安全响应热线电话/手机和客户专用的Email联系方式。
Ø 我公司将在接到用户紧急安全响应请求后的30分钟内，通过电话、专用Email或远程监测等多种方式，确定故障类型，定义故障等级。
Ø 远程支持响应
Ø 对于能够通过电话或网络方式远程支持解决的重要故障，我公司承诺在故障等级情况确定后尽快从远程帮助用户或由我公司从远程修复系统，解决故障，使故障造成的损失减小到最小。
2．现场支持响应
在接到用户紧急安全响应请求后的30分钟内，在远程不能确定安全故障类型或故障情况严重不能通过远程解决的严重故障情况下，我公司承诺安排至少两人以上的工程技术人员到达现场解决问题，到达现场时间为一小时（以交通工具到达时间为限）。
3．安全故障解决
安全故障解决遵循以下流程：
Ø 故障诊断，对故障情况作诊断，记录，分析；
Ø 故障修复，尽可能减少用户安全故障造成的损失，并修复系统；
Ø 系统清理，对安全故障发生的系统作系统完整性审计、系统安全检查、清理；
Ø 系统防护，对安全故障发生过的系统增加、加强安全保护措施；
Ø 证据收集，对由于安全故障造成的入侵记录、破坏情况、直接损失情况收集证据；
我公司承诺在故障解决后的72小时内，安排专人从远程或本地跟踪客户系统运营情况，确保故障根本上得到解决。
5．紧急响应服务结果报告
针对在紧急安全响应服务的所遇到的安全问题、安全事故处理过程、处理结果，48小时内汇总形成紧急响应服务结果报告，提交给用户。
3.2.2.3 服务流程
紧急安全响应服务流程图

紧急响应工作流程

3.2.2.4 服务指标及服务承诺

远程响应
本地响应
响应时间
接到报告后30分钟内
接到报告后30分钟内
到达现场时间
N/A
接到报告1小时内派出工程师，在交通工具限制时间内到达
解决问题时间
依事故情况而定，通常不超过24小时
依事故情况而定，通常不超过24小时
文档提供
响应处理文档与咨询支持文档
响应处理文档与咨询支持文档
跟踪服务
1个月
3个月

3.2.2.5 XXX公司紧急安全响应服务的优势
l 迅速反应：接到用户申报安全事件后30分钟内，技术支持中心会尽快与客户建立联系，并指定专门工程师负责。
l 高效解决：工程师会高效投入确定事件、分析事件和解决事件的工作，并在24小时内通知用户安全事件诊断结果，并提供解决方案。对于购买了现场紧急安全响应的客户，可转入相应服务的流程。
l 安全事件等级和问题自动升级：根据安全事件的性质和严重程度划分了事故等级，分别指定问题确诊时限，和提供解决方案的时限。安全事件确诊时限和超时上报程序如下：
事件级别
确诊时限
紧急事件
严重事件
一般事件
1小时
客户支持主管

4小时
技术支持经理
客户支持主管

12小时
服务副总裁
技术支持经理
客户支持主管
24小时
总裁
服务副总裁
技术支持经理

n 紧急事件
l 客户提供业务的系统由于安全原因崩溃、系统性能严重下降，已无法提供正常服务。
l 本地区出口路由由于网络安全原因非正常中断，严重影响用户使用。
l 公众服务由于安全原因停止服务或者造成恶劣影响。
n 严重事件
l 重要应用如计费系统等由于安全事件出现问题，以致不能正常提供服务。
l 部分服务由于安全原因中断，影响用户正常使用。
n 一般事件
l 由于安全原因系统出现故障，但不影响服务提供和用户正常使用。
l 客户技术咨询、索取技术资料、技术支援等。
n 紧急和严重事件的上报时限是按照每周七天、每天二十四小时计算，一般事件上报时限是按照标准工作时间计算。
3.2.2.6 本服务遵从的信息安全标准
ü 《中华人民共和国计算机信息系统安全保护条例》
ü 《中华人民共和国计算机信息网络国际联网管理暂行规定》
ü 《计算机信息网络国际联网安全保护管理办法》
ü 《中华人民共和国计算机信息网络国际联网管理暂行规定实施办法》
ü 《商用密码管理条例》
3.2.3 路由器安全增强配置
3.2.3.1 服务简介
我公司在工程实施中提供如下列表的路由器安全配置服务，目的是从全网角度考虑，在保证全网路由畅通的基础之上，通过安全配置路由器改进整个网络的安全性。在进行路由器安全配置的安全服务中，我公司将根据客户的基本需求，结合全网路由情况及其安全问题，制定安全的路由器配置方案，并在实施过程中贯彻以下服务。
3.2.3.2 服务内容
服务名称
服务内容
Global服务配置
通过考察骨干节点上的骨干路由器配置情况，结合实际需求，打开某些必要的服务或是关闭一些不必要的服务。例如：
no service finger
no service pad等
Interface服务配置
根据制定好的基本配置方案对路由器进行配置检查，删去某些不必要ip特性，诸如：
no ip redirects
no ip drected-broadcast
CDP配置
根据ISP网络的特点，以及制定好的方案，配置路由器的CDP。
Login Banner配置
修改login banner，隐藏路由器系统真实信息。`
Enable secret配置
使用enable secret来加密secret口令。
Nagle配置
通过Nagle配置来提高安全性，也提高了路由器telnet session的性能。
Ident配置
通过ident配置来增加路由器安全性。
超时配置
配置VTY，Console的超时来增加系统访问安全性。
访问控制配置
通过配置VTY端口的Access List来增加系统访问的安全性。
VTY访问配置
配置VTY的访问方式，如SSH来增加系统访问的安全性。
用户验证配置
配置用户验证方式以增强系统访问的安全性。
AAA方式配置
配置AAA方式来增加用户访问安全性。
路由命令审计配置
配置AAA命令记账来增强系统访问安全性。
Ingress和Egress路由过滤
在边界路由器上配置Ingress和Egress
Ingress和Egress包过滤
通过配置Ingress包过滤防止非法IP地址接受；通过配置Egress包过滤防止非法IP地址传输，同时还将解决过滤规则和性能之间的平衡问题。
Unicast RPF配置
通过配置Unicast RPF，保护ISP的客户来增强ISP自身的安全性。服务提供Single Homed租用线客户、PSTN/ISDN/xDSL客户或是Multihomed租用线路客户的Unicast RPF配置。
路由协议验证配置
配置临近路由器验证协议，以确保可靠性路由信息的交换，可以配置明文验证或是MD5验证，来加密。
CAR配置
配置路由器CAR功能以防止SMURF攻击。
更多安全高级配置
根据具体情况提供更多的高级安全配置

3.2.3.3 服务流程
同上。
3.2.4 防火墙安全配置
3.2.4.1 服务简介
我公司在工程实施中提供如下列表的防火墙安全配置服务，目的用于通过防火墙增强网络安全性。在进行防火墙安全配置的安全服务中，将根据客户的基本需求，结合全网实际情况，制定切实可行、安全高效的防火墙安全配置方案，然后在实施过程中贯彻以下服务。
3.2.4.2 服务内容
防火墙安全配置
服务名称
服务内容
防火墙配置检查
检查防火墙的随机软硬件配置，软件版本，License是否符合购买要求。记录防火墙的序列号，硬件模块数量，软件的版本和License，检查是否满足基本配置方案要求。
防火墙基本安装配置
安装防火墙，利用防火墙各种管理配置方式对防火墙进行管理以满足基本配置方案要求。
防火墙自身安全性检查
通过察看防火墙操作系统或通过硬件方式，以及察看公安部门及权威认证的证书或批文，了解防火墙自身安全性能。
防火墙访问控制配置
了解防火墙类型，检查防火墙包过滤功能、支持代理功能、全状态检测功能以及URL过滤功能，并根据防火墙基本配置方案进行访问控制配置。
防火墙NAT方式配置
根据制定的防火墙基本配置方案，配置防火墙的NAT方式、一对一NAT及其一对多NAT。
防火墙透明方式配置
测试防火墙是否支持透明方式以及有无局限性，配置透明方式和NAT方式是否能够同时使用。
防火墙系统管理配置
检查防火墙系统管理的协议及安全性，并通过相应的系统管理界面，根据制定的防火墙基本配置方案对防火墙进行管理。
防火墙软件升级配置
检查防火墙升级方式及其可靠性，根据制定的防火墙基本配置方案，利用相应升级方式对防火墙进行软件升级。
防火墙用户管理配置
检查防火墙支持的用户管理方式，并根据制定的防火墙基本配置方案进行用户管理配置
防火墙认证配置
检查防火墙支持的认证方式，根据防火墙的认证方式及其实现制定的方案配置防火墙的用户认证，并从全网测试防火墙的认证。
防火墙实时报警和
入侵检测配置
检查是否支持实时报警和入侵检测，根据防火墙增强配置方案配置入侵检测及其实时报警的方式，检查报警响应时间，并模拟黑客对防火墙进行扫描，检查防火墙对入侵的检测能力及其实时报警能力。
防火墙日志分析配置
检查防火墙支持的日志功能，根据防火墙增强配置方案配置日志功能，配置日志服务器并对防火墙各种活动的日志情况进行相应的分析，得出日志分析报告。
防火墙效率配置
测试防火墙在不同规则集、不同服务流量及其VPN情况下的对网络服务性能的影响，并根据制定好的增强配置方案，调整防火墙配置，以提高防火墙的效率。
防火墙防DoS攻击配置
检查防火墙是否支持防止DoS攻击，如果支持，则根据制定好的增强配置方案配置防火墙的防DoS攻击功能，并模拟黑客对防火墙进行DoS攻击，检查防DoS攻击的响应时间及效果。
防火墙高可靠性测试
了解防火墙是否支持高可靠性及其系统切换时间，按照制定的增强配置方案配置防火墙的主备方式；检查防火墙的负载平衡能力，分析所提供网络服务的流量情况，合理进行具有负载平衡能力的防火墙配置，以优化整个网络的性能。
3.2.4.3 服务流程
同上。
3.2.5 DNS应用系统安全配置
3.2.5.1 服务简介
我公司在工程实施中提供DNS安全配置服务，目的是从全网安全角度考虑，在保证全网整体安全的基础之上，通过安全配置DNS提高公众服务系统的安全性。在进行DNS安全配置的安全服务中，我公司将根据客户的基本需求，结合业务情况及其安全问题，制定安全的DNS配置方案，并进行实施。
3.2.5.2 服务内容
服务名称
服务内容
限制域传输
域传输一般在主备DNS服务器之间进行，通常会将整个域数据库完全复制传输，这就有可能给入侵者提供了解更多信息的途径。限制域传输，域传输可使入侵者获得较多的信息甚至内网拓扑结构。
设置堆栈不可执行
针对目前复杂的DNS版本，我们将针对各种平台的DNS服务，如saloris,aix,HP-UX等UNIX系统下的BIND进行限制堆栈使用，防止使用栈溢出的入侵手段
配置主备服务器间认证
主备服务器之间不设置认证，则可设立目标DNS服务器为主服务器，进行欺骗，获得整个DNS数据库。通过对服务器间通讯做验证，防止未授权的DNS服务器间通讯，泄露数据库信息。
修改版本信息
DNS版本信息有可能提供给入侵者有用的资料，通过修改避免信息泄露
防止DNS欺骗
选用交换技术，合理配置VLAN，隔离点播，防止DNS欺骗。
禁止转发查询
禁止转发查询。
设置allow query
使用allow query设置允许查询主机范围，确保DNS服务的
设置重试查询次数
设置合理的重试查询次数，避免被利用成为拒绝服务攻击工具。

3.2.5.3 服务流程
同上。
3.2.6 WEB应用系统安全配置
3.2.6.1 服务简介
WEB服务在整网中属于关键应用，面向大众提供服务，如果发生了安全事件，一方面可能造成许多恶劣的影响，另一方面，可能造成大量用户的流失，所以切实做好WEB系统的安全对于公众服务安全非常重要。
我公司在工程实施中提供Web系统安全配置服务，目的通过系统安全配置，提高主机系统的安全。在进行Web安全配置的安全服务中，我公司将根据客户的基本需求，结合全网实际情况，制定切实可行、安全高效的Web安全配置方案，并最终实施。
3.2.6.2 服务内容
服务名称
服务内容
Web服务器自身安全
根据操作系统和WEB服务器版本和配置的不同，检查WEB服务器是否存在安全漏洞；若存在，通过安全服务，提供对系统进行版本升级或调整配置的方法进行修补；
Web服务器参数配置
根据全网安全策略和用户访问情况，调整Web服务器参数，以解决Web服务器性能，特别是抵御DDoS进攻的能力；
Web服务器权限配置
从操作系统角度配置Web服务器运行环境，从Web服务器运行权限、用户访问角度作相关安全配置，杜绝由于HTTPD运行环境造成的安全漏洞；
Web服务器配置安全
针对容易造成安全隐患的服务器配置，修改相关不当配置，诸如：WEB文件权限设置问题、动态文件源代码泄漏问题、用户恶意调用CGI、Java程序；
网络信息加密配置
针对WEB服务器应用特点，提供对网络信息的加密设置，如使用SSL，避免信息的明文传输；
WWW应用代码审计
针对易出现应用漏洞，利用黑盒法进行代码审计，修补存在的安全隐患；

3.2.6.3 服务流程
同上。
3.2.7 MAIL应用系统安全配置
3.2.7.1 服务简介
邮件服务在公众服务中属于关键应用，但由于邮件服务程序自身存在许多安全隐患，所以往往成为黑客进攻的目标，做好Mail系统安全，确保服务质量，是确保整网安全的当务之急。
我公司在工程实施中提供Mail系统安全配置服务，目的通过系统安全配置，提高主机系统的安全。在进行Mail安全配置的安全服务中，我公司将根据客户的基本需求，结合全网实际情况，制定切实可行、安全高效的Mail安全配置方案
3.2.7.2 服务内容
服务名称
服务内容
邮件系统自身安全
根据操作系统和邮件系统版本和配置的不同，检查邮件系统是否会发生远程缓冲区溢出；若存在，通过安全服务，提供对系统进行版本升级或调整配置的方法给予杜绝；
邮件系统配置安全
根据全网安全策略，针对可能造成安全隐患的系统配置，诸如：Open Relay等问题，调整系统配置，杜绝由此带来的安全隐患，诸如：未授权地址转发邮件的问题；
执行邮件安全配置
针对黑客利用邮件系统的特性，发送邮件到执行文件的攻击行为，改变邮件系统配置，禁止邮件发往程序，或通过配置高版本邮件系统来杜绝此安全隐患；
邮件覆盖问题
针对黑客利用邮件系统的特性，发送邮件到本地文件的攻击行为，改变邮件系统配置，禁止邮件发往本地文件，或通过配置高版本邮件系统来杜绝此安全隐患；
远程命令执行配置
针对黑客利用邮件系统的特性，从远程执行本地命令的攻击行为，改变邮件系统配置，禁止远程命令执行，或通过配置高版本邮件系统来杜绝此安全隐患，以保障内部信息安全；
POP3及IMAP服务安全配置
针对POP和IMAP中出现的安全隐患，诸如：远程非法获得Shell或IMAP远程溢出问题，升级系统版本或修改系统配置来解决其中的安全问题；
3.2.7.3 服务流程
同上。
3.2.8 安全培训服务
现在国际上黑客入侵案件的分析和系统安全专家保护网络的案例来看，系统安全其实就是系统管理员和黑客头脑和计算机知识的战斗。因为人员的安全观念，系统管理员的实际安全知识直接影响到整个系统安全方案的实施。而一个安全的网络系统的保护不仅和系统管理员的系统安全知识有关，而且和领导的决策、工作环境中每个员工的安全操作等都有关系。根据用户的实际需要我公司提供以下3门课程的培训。
1) UNIX系统安全
2) Windows系统安全教程
3) 黑客技术手段与对策
3.2.8.1 UNIX系统安全
课程描述：
这是一门为UNIX系统的管理员而设计的安全课程，内容涵盖了UNIX系统安全的各个方面，通过本门课程的学习，学员能深刻了解UNIX系统存在的安全问题，并可以通过对UNIX系统进行安全配置或部署第三方安全工具来提高系统安全性。该课程是其它所有有关UNIX系统高级安全管理课程的基础。
课程要点：
l UNIX系统安全分析
l 启动和关闭的安全问题
l 配置安全的网络服务
l 配置和调整系统核心参数
l 系统备份或恢复
l 监视和控制用户进程
l 利用日志进行系统监控
l 系统错误的发现及排除
适合人员：
面向具有UNIX管理基础的技术人员以及需要了解UNIX系统安全技术的专业技术人员。
预备知识：
熟悉UNIX系统基本命令，具备良好的UNIX系统管理知识，具备一定的安全基础知识。
课程天数：3天
课程内容：
1．流行的UNIX系统概述
2．UNIX系统工作机制概述
l 文件系统格式
l 进程调度机制
l 内存访问机制
3．UNIX系统安全分析
l 攻击
n 谁可能威胁网络
n 攻击者思考方式
n 信息搜集方式
n 攻击方法
l 系统自身安全问题
n 系统漏洞
n 系统弱点和隐患
n 配置错误
n 危险进程
n 认证、授权管理弱点
n 网络服务安全漏洞和隐患
n 网络服务不正确配置
l 内部资源滥用
l 误操作
4．UNIX系统安全防护
l 系统基本安全
n 版本升级
n 系统补丁
n 帐户、口令管理
n 授权管理
l 系统安全加强
n 关闭不用的端口
n 停掉不必要的服务
n 系统启动与关闭不留下有安全隐患的进程
n 系统漏洞修补
n 服务漏洞修补
n 系统访问控制
n 配置文件修改
n 网络服务监管
l 备份和恢复
n 备份策略
n 恢复策略
l 用户身份强认证
n 双因素认证原理
n 强认证系统应用的意义
l 系统完整性校验
n 系统完整性校验常采用的技术
n 完整性校验产品使用
l 安全审计
n 安全审计意义
n 安全审计工具
n 安全审计服务
l 本地和远程攻击入侵检测
n 基于主机的入侵检测原理
n 入侵检测工具介绍
l 日志管理
n 日志采集原理
n 日志分析机制
n 日志采集/分析工具
l 访问控制
n 应用级访问控制原理
n 系统访问控制产品使用
5．UNIX系统安全响应
l 常见安全错误的发现及排除
动手实验
实验一
unix安全配置：练习使用unix 系统的高级网络安全管理命令，从而加深对unix系统安全问题和解决办法的认识，加强实践操作能力。
实验二
unix 安全工具的使用（一）：练习使用用于增强unix 安全性的典型安全工具（文件系统完整类），加强实践操作能力。
实验三
unix 安全工具的使用（二）：练习使用用于增强unix 安全性的网络数据监测类工具的使用，加强实践操作能力。
实验四
unix 安全工具的使用（三）：练习使用简单扫描工具，并分析扫描结果；练习使用简单入侵检测工具，并对结果进行分析。根据扫描和入侵检测分析结果，练习给系统打补丁。
用户评语
通过培训，学员能够掌握UNIX系统的主机安全的实施和分析。通过对重要的安全问题的分析，能够切实地把握住基于主机的安全防御和及时地发现安全隐患。

3.2.8.2 Windows系统安全教程
课程描述：
这是一门内容全面的有关Windows系统安全的课程，内容涵盖了操作系统及常用应用服务的安全问题及安全配置，通过这门课程的学习，学员能够了解基于Windows操作系统及其常用应用中存在的安全隐患，并能够通过适当的安全配置手段来提高系统的安全性。
课程要点：
l Windows系统安全体系
l Windows系统安全分析
l Windows系统安全防护
l IIS应用系统安全
适合人员：
面向具有系统管理经验的技术人员以及关注系统安全的专业人员。
预备知识：
学员应该具备系统管理经验，了解操作系统体系结构，对Windows的操作系统及其常用应用有使用及配置、管理经验。
课程天数：2天
课程内容：
1． Windows系统安全概述
l 操作系统类型
n Win NT
n Win 2000
l 文件系统格式
n NTFS
n FAT
l 系统管理机制
n 注册表
n 服务
2． Windows系统安全分析
l 攻击
n 谁可能威胁系统
n 攻击者思考方式
n 信息搜集方式
n 攻击方法
l 系统自身安全问题
n 系统漏洞
n 系统弱点和隐患
n 配置错误
n 认证、授权管理弱点
n 网络服务安全漏洞和隐患
n 网络服务不正确配置
n 内部资源滥用
n 误操作
l 常见攻击方法与漏洞
n 拒绝服务攻击
n 输入法漏洞
n unicode漏洞
l 其它
n NT域（Active Directory）安全
n Terminal Service的安全
3． Windows系统安全防护
l 定制安装系统
n 硬盘的分区
n 文件格式的选择
n 系统版本的选择
n 组件的定制
n 目录和文件权限
n 正确的网络接入时间
n 系统补丁
l 系统安全加强
n 用户账号的安全设置
n 调整组策略（Group Policy）
n 网络协议调整
n 保护Console
n 关闭不用的端口
n 停掉不必要的服务
n 系统漏洞修补
n 服务漏洞修补
n 系统访问控制
l 制定备份和恢复策略
n 备份策略
n 恢复策略
l 启用安全审计
n 安全审计意义
n 安全审计工具
n 安全审计服务
l 启用日志管理
n 日志采集原理
n 日志分析机制
n 日志采集/分析工具
4． IIS安全
l 利用操作系统的安全性能保护IIS
l 安全的安装IIS
l 重要参数的调整
n IIS身份验证
n IIS访问控制
n IIS目录解析
n IIS权限设置
n ASP的安全
n COM(COM+ )的安全
l 黑客常见攻击手段
n MDAC执行本地命令
n 和.htw和.htr相关的各种漏洞
n IIS Unicode目录名解析漏洞
n 源代码泄漏漏洞
n 缓冲区溢出漏洞
动手实验
实验一