接上篇继续往下:【共读】企业信息安全建设与运维指南(一)
三、IDC基础安全体系建设:
IDC(Internet Data Center)即互联网数据中心,为企业用户或客户提供服务,如网站应用服务、App应用后台服务等等,IDC中存储着各类敏感信息和数据资产,所以IDC安全是企业信息安全的重中之重,需重点投入进行建设和运营。
3.1安全区域划分和访问控制策略
3.1.1 安全域简介及划分原则
安全域是指同一系统内有相同的安全保护需求,互相信任,并具有相同的安全访问控制策略和边界控制策略的子网或网络。相同的网络安全共享一样的安全策略。
划分遵循的安全原则:
3.1.2安全域划分方案
比较典型的划分方案,IATF提出4个典型的安全域:本地计算环境、区域边界、网络和基础设施和支撑性设施。
1)本地计算环境:通常包含服务器、客户机和安装它们上面的应用程序 。计算环境的安全性主要关注服务器和客户机。
2)区域边界:信息离开区域的连接点。区域间有各种各样的网络连接,包括Internet、拨号网络、专线、本地局域网互联等。
3)网络和基础设施:包括局域网和广域网,通过路由器、交换机连接起来,基础设施还包括网络管理系统、域名服务器和目录服务等。
4)支撑性设施:为网络、区域边界和本地计算环境提供基础服务。
1)办公网:
办公终端区:主要是办公计算机区域
网络和安全管理区:主要包括防病毒、DHCP、DNS、补丁管理、准入系统、数据防泄露系统等。
2)生产网:
计算环境:比较常见应用发布流程是先进行开发、测试,然后进行预发布验证。
网络边界接入:互联网接入区一般提供互联网访问服务或通过服务器访问互联网。
网络和安全管理区:主要部署网络管理系统、运维自动化系统等
3)灾备区
为了保障业务连续性,需要有灾备机房,当生产网发生严重故障或灾难时,可以将业务切换灾备机房。
4)生产服务区进一步划分
3.1.3安全访问控制策略
1)办公网仅允许访问如下类型端口或服务:
办公应用类,如邮箱、OA等,代码和持续集成,如GIT,SVN,堡垒机对应的服务,如22端口,3389端口,生产HTTP或HTTPS,
2)生产网不允许主动访问办公网
3)如有例外需特殊申请和审批
1)网络安全管理区可访问所以生产网络计算环境。
2)开发测试区、预发布区应和生产服务区隔离
3)OA服务器应该与承载生产应用的区域隔离
4)生产服务区按需开放服务到公网
1)互联网接入区:严格管控对外开放端口或服务,高危端口禁止对外开放。
2)V**接入区:严格控制权限,按需开放服务ip和端口
3)第三方接入:进行源IP白名单限制
3.2Web应用防火墙
web应用开放在互联网上,会面临各种攻击和探测。除了保障应用自身安全,还要能有效防范web攻击,其安全基础为web应用防火墙。
3.2.1Web应用安全威胁
3.2.2WAF功能简介
WAF一般部署在DMZ区,在防火墙和Web应用服务器之间,对Web服务器进出流量进行监控和防护,保护Web应用系统安全。
1)SQL注入防护
2)Cookie防护
3)敏感信息泄露防护
4)XXE攻击防护
5)XSS攻击防护
6)高危漏洞防护
7)CC攻击防护
8)漏洞扫描防护
9)HTTP协议异常防护
3.2.3WAF应用实践
1)性能指标
2)网站访问延迟
3)防护功能测试
3.3.DDOS攻击防护
DDOS即分布式拒绝服务攻击,攻击者大量发起请求,耗尽目标主机资源和网络资源,使目标主机不能正常提供服务,这种攻击成本低、危害大、防御难,是企业安全建设重点防范的风险之一。
3.3.1DDOS攻击分类及危害
3.3.2DDOS攻击防护方案
DDOS攻击防御的前提是有足够的冗余带宽
3.4 运维堡垒机
堡垒机是集系统运维和安全审计为一体的安全网关,是企业内控安全和合规的基础安全设施。
3.4.1系统运维面临 的挑战
1)账号认证是否安全
2)授权是否合理
3)违规操作是否可控
4)操作是否可以审计
1)网络安全等级保护要求
2)ISO27001信息安全管理体系要求
3.4.2运维堡垒机功能简介
堡垒机提供了用户管理、身份认证、单点登录、授权管理、访问控制、操作审计、设备管理和账号管理等。
这里可参考小编以前发布的堡垒机相关文章:
JumpServer 堡垒机-- LDAP Authentication(三)
1)认证方式:本地账号认证、LDAP账号认证、组合认证
2)管理员:系统管理员、密码管理员、审计管理员
3)运维用户:员工、外包人员、临时用户
1)单点登录:通过账号密码登录后,可获取所拥有的资源访问权限
2)授权管理:分为3种,用户、设备、系统账号。
3)操作控制:降低操作风险,对风险命令阻断或审核。
4)操作审计:对操作行为进行审计
1)IT资产管理
2)设备自动改密
3.5安全基线管理
安全基线是为了使相关设备和系统具体最基本的安全防护能力二制定的标准和要求。
3.5.1 常见安全基线标准
安全基线制定时切忌大而全,这样往往很难落地。核心的安全基线标准包括以下几点:
3.5.2 安全基线核查方案
安全基线实施完成后,要定期进行核查,避免由于安全基线变更或执行不到位导致安全基线未落实问题。
3.5.3 安全基线生命周期管理
安全基线生命周期管理,包括:安全基线标准、安全基线实施、安全基线核查、安全基线整改。
安全基线管理过程中需注意以下几点:
本期到此结束,下期恭请期待!