1.系統主機安全設計

系統主機信息安全范圍主要包括：身份鑒別、訪問控制、入侵防范、惡意病毒防范、資源控制、漏洞掃描、服務器安全加固等方面進行安全設計和控制，為用戶信息系統運行提供一個安全的環境。

[[336481]]

1.1、身份鑒別

用戶(包括技術支持人員，如操作人員、網絡管理員、系統程序員以及數據庫管理員等)應當具備僅供其個人或單獨使用的獨一無二的標識符(即用戶ID)，以便跟蹤后續行為，從而責任到人。用戶ID不得表示用戶的權限級別。

操作系統和數據庫系統用戶的身份鑒別信息應具有不易被冒用的特點，為不同用戶分配不同的用戶名，確保用戶名具有唯一性，例如長且復雜的口令，一次性口令等;對重要系統的用戶采用兩種或兩種以上組合的鑒別技術實現用戶身份鑒別，例如使用令牌或者證書。具體設置如下：

1)、管理員用戶設置

對操作系統進行特權用戶的特權分離(如系統管理員、應用管理員等)并提供專用登陸控制模塊，采用最小授權原則，進行授權。

2)、管理員口令安全

啟用密碼口令復雜性要求，設置密碼長度最小值為8位，密碼最長使用期限90天，強制密碼歷史等，保證系統和應用管理用戶身份標識不易被冒用。

3)、登陸策略

采用用戶名、密碼、密鑰卡令牌實現用戶身份鑒別。

4)、非法訪問警示

配置賬戶鎖定策略中的選項，如賬戶鎖定時間、賬戶鎖定閾值等實現結束會話、限制非法登陸次數和自動退出功能。

1.2、訪問控制

業務服務器操作系統應選用C2或以上安全級別的操作系統。

 

 

 

 

主機層安全啟用訪問控制功能，依據安全策略控制用戶對資源的訪問，對重要信息資源設置敏感標記，安全策略嚴格控制用戶對有敏感標記重要信息資源的操作。對管理用戶的角色分配權限，實現管理用戶的權限分離，僅授予管理用戶所需的最小權限，實現操作系統和數據庫系統特權用戶的權限分離，嚴格限制默認帳戶的訪問權限，重命名系統默認帳戶，修改這些帳戶的默認口令并應及時刪除多余的、過期的帳戶，避免共享帳戶的存在。具體設置如下：

1)、資源訪問記錄

通過操作系統日志以及設置安全審計，記錄和分析各用戶和系統活動操作記錄和信息資料，包括訪問人員、訪問計算機、訪問時間、操作記錄等信息。

2)、訪問控制范圍

對重要系統文件進行敏感標記，設置強制訪問控制機制。根據用戶的角色分配權限，授予用戶最小權限，并對用戶及程序進行限制，從而達到更高的安全級別。

3)、關閉系統默認共享目錄

關閉系統默認共享目錄訪問權限，保證目錄數據安全。

4)、遠程訪問控制

通過主機操作系統設置，授權指定IP地址進行訪問控制，未授權IP地址，不允許進行訪問。

1.3、入侵防范

為有效應對網絡入侵，在網絡邊界處部署防火墻、IPS、防病毒網關、WEB應用防火墻等安全設備，用于應對端口掃描、強力攻擊、木馬后門攻擊、拒絕服務攻擊、緩沖區溢出攻擊、IP碎片攻擊和網絡蠕蟲攻擊等各類網絡攻擊;

防火墻能夠識別并防范對網絡和主機的掃描攻擊、異常網絡協議攻擊、IP 欺騙攻擊、源IP攻擊、IP 碎片攻擊、DoS/DDoS 攻擊等;實時應用層內容過濾，在防火墻內核協議棧中實現。支持HTTP、FTP、SMTP 協議，具體包括URL 過濾、網頁關鍵字過濾、FTP 文件下載過濾、FTP 文件上傳過濾、SMTP收件人過濾、SMTP 發件人過濾、郵件主題過濾、反郵件中轉過濾、Internet 蠕蟲過濾。根據入侵檢測結果自動地調整防火墻的安全策略，及時阻斷入侵的網絡連接.

操作系統的安裝遵循最小安裝原則，僅開啟需要的服務，安裝需要的組件和程序，可以極大的降低系統遭受攻擊的可能性并且及時更系統丁。建議以下設置：

關閉以下端口：

TCP: 135、139、445、593、1025等

UDP: 137、138、445等

Windows關閉以下危險服務：

echo、smtp、nameserver、clipbook、remote registry、Messenger、Task Scheduler等服務。

Linux關閉以下危險服務：

echo、priter、ntalk、sendmail、lpd、ypbind等服務

1.4、惡意病毒防范

網絡中的所有服務器上均統一部署網絡版防病毒系統，并確保系統的病毒代碼庫保持最新，實現惡意代碼、病毒的全面防護，實現全網病毒的統一監控管理。

網絡防病毒系統須考慮到云計算環境下的特殊要求。常規防病毒掃描和病毒碼更新等占用大量資源的操作將在很短的時間內導致過量系統負載。如果防病毒掃描或定期更新在所有虛擬機上同時啟動，將會引起“防病毒風暴”。此“風暴”就如同銀行擠兌，其中的“銀行”是由內存、存儲和 CPU 構成的基本虛擬化資源池。此性能影響將阻礙服務器應用程序和虛擬化環境的正常運行。傳統體系結構還將導致內存分配隨單個主機上虛擬機數量的增加而呈現線性增長。

在物理環境中，每一操作系統上都必須安裝防病毒軟件。將此體系結構應用于虛擬系統意味著每個虛擬機都需要多占用大量內存，從而導致對服務器整合工作的不必要消耗。針對業務平臺所在的云計算環境，考慮部署支持虛擬化的服務器病毒防護系統，可以減少系統開銷、簡化管理及加強虛擬機的透明性和安全性。

1.5、漏洞掃描

部署一套漏洞掃描系統，能夠幫助提升安全管理的手段，增強系統風險應對的水平，貼合等保對主機安全的要求。漏洞掃描系統對不同系統下的設備進行漏洞檢測。主要用于分析和指出有關網絡的安全漏洞及被測系統的薄弱環節，給出詳細的檢測報告，并針對檢測到的網絡安全隱患給出相應的修補措施和安全建議。

 

 

 

 

漏洞掃描系統能夠提高內部網絡安全防護性能和抗破壞能力，檢測評估已運行網絡的安全性能，為管理員提供實時安全建議。作為一種積極主動的安全防護技術，提供對內部攻擊、外部攻擊和誤操作的實時保護，在網絡系統受到危害之前可以提供安全防護解決方案。并可根據用戶需求對該系統功能進行升級。

1.6、服務器安全加固

建議對重要服務器部署安全加固系統，通過部署服務器安全加固系統，可以實現以下功能：

1)、強制的訪問控制功能：內核級實現文件強制訪問控制、注冊表強制訪問控制、進程強制訪問控制、服務強制訪問控制;

2)、安全審計功能：文件的完整性檢測、服務的完整性檢測、WEB請求監測過濾;

3)、系統自身的保護功能：保護系統自身進程不被異常終止、偽造、信息注入。

服務器操作系統上安裝主機安全加固系統，實現文件強制訪問控制、注冊表強制訪問控制、進程強制訪問控制、服務強制訪問控制、三權分立的管理、管理員登錄的強身份認證、文件完整性監測等功能。

 

 

 

 

主機安全加固系統通過對操作系統原有系統管理員的無限權力進行分散，使其不再具有對系統自身安全構成威脅的能力，從而達到從根本上保障操作系統安全的目的。也就是說即使非法入侵者擁有了操作系統管理員最高權限也不能對經過內核加固技術保護的系統一切核心或重要內容進行任何破壞和操作。此外，內核加固模塊穩定的工作于操作系統下，提升系統的安全等級，為用戶構造一個更加安全的操作系統平臺。

通過核心加固將全面提升服務器的安全性，并執行嚴格的安全策略，以充分滿足等級保護三級系統的主機安全要求。

2.數據層安全設計

2.1、數據安全性

數據傳輸安全

1.數據傳輸過程中加密：是指數據從源節點換出時到目標節點時數據傳輸過程中加密，防止經過不可信網絡時防止網絡抓包方式捕獲傳輸內容，主要采用對MQ的消息進行AES加密算法進行加密。

2.數據傳輸防篡改：在消息發送過程中，對每一個消息分片進行CRC計算出一個Hash值,到達目標節點時需要對內容進行CRC比對，Hash值不一致說明數據被篡改。

數據使用安全

所有數據信息，針對用戶和字段建立1-9級密級管理，所有數據訪問需要經過管理員授權，針對敏感人員采用白名單管理。

數據存儲安全

業務數據存儲加密分為兩種方式，

1、透明加密：“透明”應該就是指加密的動作不需要人工干預。整個加解密是和數據庫服務器綁定，當數據文件被盜取，也無法解析相關數據內容;

2、核心字段AES加密：將數據庫核心字段進行列級加密，設置完成后，即使登錄數據庫服務器也無法顯示核心字段信息;在應用程序需要獲取信息時，可通過硬件加密狗方式解開對應信息。

安全審計管理

在所有訪問使用都記錄相關日志，整個安全審計平臺建立事前事中事后三種方式的檢測預警，同時可以針對日志記錄進行分類檢索。

2.2、數據完整性

數據庫的訪問控制是用來防止共享數據庫中的數據被非法訪問的方法、機制和程序。以下控制措施專用于數據庫內的數據控制：

1)、讀訪問控制

必須制定相應的控制措施，以確保獲準訪問數據庫或數據庫表的個體，能夠在數據庫數據的信息分類級別的合適的級別得到驗證。通過使用報表或者查詢工具提供的讀訪問必須由數據所有人控制和批準，以確保能夠采取有效的控制措施控制誰可以讀取哪些數據。

2)、讀取/寫入訪問控制

對于那些提供讀訪問的數據庫而言，每個訪問該數據的自然人以及/或者對象或進程都必須確立相應的賬戶。該ID可以在數據庫內直接建立，或者通過那些提供數據訪問功能的應用予以建立。這些賬戶必須遵從本標準規定的計算機賬戶標準。

用戶驗證機制必須基于防御性驗證技術(比如用戶ID/密碼)，這種技術可以應用于每一次登錄嘗試或重新驗證，并且能夠根據登錄嘗試的被拒絕情況指定保護措施。

為了保證數據庫的操作不會繞過應用安全，定義角色的能力不得成為默認的用戶特權。訪問數據庫配置表必須僅限于數據庫管理員，以防未經授權的插入、更新和刪除。

2.3、數據保密性

建議通過以下具體的技術保護手段，在數據和文檔的生命周期過程中對其進行安全相關防護，確保內部數據和文檔在整個生命周期的過程中的安全。

1)、加強對于數據的認證管理

操作系統須設置相應的認證;數據本身也須設置相應的認證，對于重要的數據應對其本身設置相應的認證機制。

2)、加強對于數據的授權管理

對文件系統的訪問權限進行一定的限制;對網絡共享文件夾進行必要的認證和授權。除非特別必要，可禁止在個人的計算機上設置網絡文件夾共享。

3)、數據和文檔加密

保護數據和文檔的另一個重要方法是進行數據和文檔加密。數據加密后，即使別人獲得了相應的數據和文檔，也無法獲得其中的內容。

網絡設備、操作系統、數據庫系統和應用程序的鑒別信息、敏感的系統管理數據和敏感的用戶數據應采用加密或其他有效措施實現傳輸保密性和存儲保密性。

4)、加強對數據和文檔日志審計管理

使用審計策略對文件夾、數據和文檔進行審計，審計結果記錄在安全日志中，通過安全日志就可查看哪些組或用戶對文件夾、文件進行了什么級別的操作，從而發現系統可能面臨的非法訪問，并通過采取相應的措施，將這種安全隱患減到最低。

5)、進行通信保密

用于特定業務通信的通信信道應符合相關的國家規定，密碼算法和密鑰的使用應符合國家密碼管理規定。

對于移動辦公人員的安全接入，建議在網絡安全管理區部署一個SSL 虛擬專用網絡接入平臺，所有外網對內網業務系統的訪問需求均需通過SSL 虛擬專用網絡平臺認證，并在數據訪問過程中，采取加密傳輸的方式進行,開放指定的資源。

6)、數據防泄密

為防止數據泄密，建議在系統中部署數據防泄密系統，基于數據存在的存儲、使用、傳輸等三種形態，對數據生命周期中的各種泄密途徑進行全方位的監查和防護，保證敏感數據泄露行為事前能被發現，事中能被攔截和監查，事后能被追溯，使得數據泄露行為無處遁形，敏感數據無徑可出。

滿足合規要求 滿足信息安全等保規范以及SOX、PCIDSS等其它信息安全監管要求。

發現敏感數據 事前發現敏感數據存儲分布及安全狀態，為保障用戶監管提供堅實基礎。

防止數據泄露 對敏感數據進行事前、事中、事后的綜合一體化泄露防護，保障敏感數據不丟失。

追溯泄露事件 全面的日志記錄，讓泄密事件可查可究，提升數據安全管理能力。

2.4、備份和恢復

建立數據備份恢復系統，制定完善的備份策略，對業務系統重要數據進行定時備份，并定期開展數據恢復演練工作。

3.運維管理設計

3.1、信息資產集中管理

建設信息資產管理平臺，實現對網絡、主機、數據庫、中間件、安全設備、應用系統等IT資產的集中統一管理是網絡安全自動化管理的基礎。需要實現對服務器、路由器、交換機、數據庫、中間件、安全設備的統一管理;針對今后將陸續擴展的各種資產管理對象，必須提供可擴展和靈活數據庫建模及管理框架設計;針對各種管理對象的重要程度，實現對信息資產安全保護等級的劃分。

3.2、設備狀態實時監控

建設運維管理平臺，實時監視主機、存儲、數據庫、網絡、操作系統等運行狀態，能夠實現對骨干網路由器、交換機、安全設備、重要主機、中間件和重要應用系統運行狀態的實時監控;上述被監視對象一旦發生死機、斷線、不能完全響應、異常流量等嚴重故障或嚴重安全事件時，監控平臺能及時報告;系統能夠根據故障或事件的嚴重程度，結合資產的安全保護等級，以對話框、郵件、電話、短信等不同方式向管理人員告警。

3.3、異常狀況及時預警

建設事態感知平臺，在故障事故發生前，總是會有一些異常跡象，事態感知系統應實時捕捉住這些異常跡象并及時報告，可以幫助管理人員迅速采取措施，防患于未然。例如可以對骨干網異常流量、拒絕服務攻擊狀況、重要設備和重要應用系統過載等異常狀態進行預警。

3.4、安全事件統一存儲

建設日志分析平臺，將網絡中部署的各類安全設備、安全系統、主機操作系統、數據庫以及各種應用系統的日志、事件、告警全部匯集起來并進行規一化處理，使得用戶通過單一的管理控制臺對IT計算環境的安全信息進行統一監控。并且提供實時關聯分析工具。用戶可以定義不同的實時分析場景，從不同的觀察側面對來自信息系統各個角落的安全事件進行準實時分析，通過分析引擎進行安全事件進行關聯、統計、時序分析。協助安全管理人員進行事中的安全分析，在安全威脅造成嚴重后果之前，及時保護關鍵資產，阻止安全事態進一步擴散，降低損失。

結束語

綜上所述，信息安全已經涉及我們生活的方方面面，在當前互聯網應用觸手可及的環境下，需要我們不斷提升信息安全防范意識，合理進行系統主機信息安全規劃、設計，才能保障業務系統的穩定運行。