天天操天天射综合,午夜精品999,国产黄a一级,亚洲成aⅴ人在线观看,外国免费毛片,蜜桃精品视频在线,亚洲第一中文字幕在线

電力信息安全基線 自動化核查

2013-11-14 15:26:54 大云網(wǎng)  點擊量: 評論 (0)
1 前言隨著電力企業(yè)信息化需求程度的提高,業(yè)務(wù)邏輯與流程體系對于信息系統(tǒng)的依賴程度也不斷增加,并不斷推動信息價值的顯露和提升。電力企業(yè)信息安全保障工作作為信息化建設(shè)的關(guān)鍵組成部分,直接制約著企業(yè)
1 . 前言
隨著電力企業(yè)信息化需求程度的提高,業(yè)務(wù)邏輯與流程體系對于信息系統(tǒng)的依賴程度也不斷增加,并不斷推動信息價值的顯露和提升。電力企業(yè)信息安全保障工作作為信息化建設(shè)的關(guān)鍵組成部分,直接制約著企業(yè)生產(chǎn)進(jìn)程、行業(yè)的穩(wěn)健發(fā)展,以及業(yè)務(wù)核心的運行有效性。近年來電力企業(yè)的信息化安全保障設(shè)施正逐步趨于完善,通過企業(yè)統(tǒng)一規(guī)劃的安全建設(shè)已可以成功實現(xiàn)電力行業(yè)特有的安全防護(hù)機(jī)制和監(jiān)管模式。

2 . 信息安全基線內(nèi)涵
基線是在諸多標(biāo)準(zhǔn)規(guī)范中規(guī)定的一組安全控制措施或者慣例,這些措施和慣例適用于特定環(huán)境下的所有系統(tǒng),可以滿足基本的安全需求,使系統(tǒng)達(dá)到一定的安全防護(hù)水平。安全基線是最低的安全要求。

信息安全管理體系為不同等級的信息系統(tǒng)保護(hù)對象設(shè)定等級保護(hù)的安全技術(shù)基線,該基線是保護(hù)對象最基本的安全技術(shù)要求,達(dá)到該要求,則認(rèn)為該保護(hù)對象滿足國家等級保護(hù)管理要求。

1)定義基線主體:定義網(wǎng)絡(luò)、終端、主機(jī)、應(yīng)用、企業(yè)數(shù)據(jù)五種保護(hù)對象,定義保護(hù)對象的控制點。
2)定義基線指標(biāo)體系:根據(jù)相關(guān)標(biāo)準(zhǔn)定義保護(hù)對象的控制點、項目、策略。
3)討論基線指標(biāo)體系:討論基線指標(biāo)體系的完整性、可行性、合理性。
4)定義基線指標(biāo):定義保護(hù)對象基線的指標(biāo)項。

3 . 自動化信息安全核查功能
信息安全基線核查系統(tǒng)面向各種業(yè)務(wù),以統(tǒng)一的安全配置標(biāo)準(zhǔn)規(guī)范日常的安全配置操作,對網(wǎng)絡(luò)中種類繁雜、數(shù)量眾多的設(shè)備進(jìn)行快速有效的安全配置檢測,并完成系統(tǒng)配置合規(guī)性安全基線核查報告。

3.1 配置核查庫的建立
企業(yè)需要對業(yè)務(wù)系統(tǒng)進(jìn)行識別,結(jié)合基線安全模型分析業(yè)務(wù)系統(tǒng)的功能架構(gòu),將功能架構(gòu)細(xì)化到系統(tǒng)層面的不同模塊。在此基礎(chǔ)上,針對業(yè)務(wù)系統(tǒng)特性,分析可能存在的安全威脅,并將針對威脅的應(yīng)對措施逐層分解到系統(tǒng)實現(xiàn)層。系統(tǒng)實現(xiàn)層中的安全基線要求主要是由安全漏洞方面、安全配置方面等檢查項構(gòu)成,這些檢查項的覆蓋面、有效性成為了基線安全實現(xiàn)的關(guān)鍵?;€策略庫是基線檢查工具的基礎(chǔ),是檢查工具參考的標(biāo)準(zhǔn)。所以,基線策略庫需要根據(jù)國家電力企業(yè)的業(yè)務(wù)安全要求,制定一系列安全配置核
查的檢查規(guī)范,并根據(jù)這些規(guī)范制定出電力企業(yè)信息安全基線策略庫。

基線策略庫的研究范圍主要包括操作系統(tǒng)、數(shù)據(jù)庫、網(wǎng)絡(luò)設(shè)備以及安全設(shè)備等。操作系統(tǒng)主要包括:Windows 2000、Windows 2003、Windows XP、Windows Vista、UNIX操作系統(tǒng)系列(AIX、HP UNIX、Linux)等;數(shù)據(jù)庫主要包括:Oracle、SQL Server、Informix等;網(wǎng)絡(luò)設(shè)備主要包括:Hua-wei / Cisco設(shè)備;安全設(shè)備主要包括:Juniper、Cisco防火墻等。
基線策略庫的研究內(nèi)容主要包括賬號、口令、授權(quán)、日志、IP地址以及其它方面的內(nèi)容。這些內(nèi)容涉及企業(yè)的檢查內(nèi)容以及可能會影響設(shè)備或系統(tǒng)安全性的方面,比如口令的復(fù)雜性,生存期、歷史口令、口令修改、口令存放等方面的內(nèi)容。規(guī)范中的配置核查部分明確了設(shè)備的基本配置安全要求,為在設(shè)備入網(wǎng)測試、工程驗收和設(shè)備運行維護(hù)環(huán)節(jié)明確相關(guān)安全要求提供指南。

3.2 系統(tǒng)架構(gòu)設(shè)計
配置核查系統(tǒng)是基于WEB的管理方式,用戶使用瀏覽器通過SSL加密通道和系統(tǒng)WEB界面模塊進(jìn)行交互,方便用戶管理。 
1)掃描核心模塊:掃描核心模塊是系統(tǒng)最重要的模塊之一,它負(fù)責(zé)完成目標(biāo)的探測評估工作,包括判定主機(jī)存活狀態(tài)、操作系統(tǒng)識別、規(guī)則解析匹配等。 
2)安全基線配置知識庫:安全基線配置知識庫包含已知系統(tǒng)、網(wǎng)絡(luò)設(shè)備、應(yīng)用、中間件、數(shù)據(jù)庫等的安全配置指導(dǎo)參數(shù)檢查列表,是系統(tǒng)運行的基礎(chǔ),掃描調(diào)度模塊和Web管理模塊都依賴它進(jìn)行工作。
3)掃描結(jié)果庫:掃描結(jié)果庫包含了掃描任務(wù)的結(jié)果信息,是掃描結(jié)果報告生成的基礎(chǔ),也是查詢和分析結(jié)果的數(shù)據(jù)來源。 
4)數(shù)據(jù)同步模塊:數(shù)據(jù)同步模塊負(fù)責(zé)系統(tǒng)內(nèi)各模塊的版本升級,并提供和外部數(shù)據(jù)匯總服務(wù)器的數(shù)據(jù)同步。
5)Web界面模塊:Web界面模塊負(fù)責(zé)和用戶進(jìn)行交互,配合用戶的請求完成管理工作。Web管理模塊包含多個子模塊共同完成用戶的請求。
6)本地執(zhí)行工具:配置核查系統(tǒng)提供配套的本地執(zhí)行工具,在待查設(shè)備本地執(zhí)行后可生成報表文件,該文件能導(dǎo)入到系統(tǒng)中進(jìn)行匯總分析。工具通過WEB界面提供的功能接口,用戶可以完成掃描、數(shù)據(jù)輸出、報告生成等功能,并提供和其他系統(tǒng)的對接,主要功能

如下: 
*任務(wù)管理功能:完成用戶評估任務(wù)的管理工作。 
根據(jù)漏洞描述信息和解決方案生成掃描報表。 
*用戶管理功能:完成操作工具用戶的創(chuàng)建、刪除、修改及授權(quán)管理。
*審計管理功能:完成工具操作記錄及任務(wù)結(jié)果報告的修正管理。 
*系統(tǒng)管理功能:完成工具常規(guī)的配置管理。 
*模版管理功能:完成安全基線檢查模板的創(chuàng)建、刪除、修改管理及本地檢查工具的維護(hù)。

3.3 統(tǒng)計分析設(shè)計
安全基線核查工具從宏觀和微觀兩個角度對風(fēng)險進(jìn)行了分析。宏觀上,系統(tǒng)從多個視角深刻反映網(wǎng)絡(luò)的整體安全狀況,對問題分布、危害、主機(jī)信息等多視角信息進(jìn)行了細(xì)粒度的統(tǒng)計分析,并通過柱狀圖、餅圖等形式,直觀、清晰的從總體上反映了信息資產(chǎn)的安全基線問題分布情況;微觀上,系統(tǒng)對每個信息都提供了詳細(xì)的安全配置解決方案,支持用戶自己輸入關(guān)鍵字進(jìn)行相關(guān)信息的檢索,以便用戶能夠具體了解某臺主機(jī)或者某個配置的詳細(xì)信息。不僅對單個掃描任務(wù)的安全基線結(jié)果等進(jìn)行統(tǒng)計分析,還對多個掃描過程進(jìn)行綜合的風(fēng)險變化和安全對比評定。

4 . 結(jié)束語
綜上所述,在信息系統(tǒng)入網(wǎng)測試、工程驗收和運行維護(hù)等設(shè)備全生命周期中,不但需要在各個階段加強(qiáng)和落實安全要求,而且需要設(shè)立滿足安全要求的安全基準(zhǔn)點。面對網(wǎng)絡(luò)中種類繁雜的設(shè)備和軟件,需要研究開發(fā)出能夠快速、有效地核查設(shè)備,基于核查的結(jié)果集中收集核查的數(shù)據(jù),生成風(fēng)險審核報告,實現(xiàn)企業(yè)信息安全管理過程中的閉環(huán)管理。
 
大云網(wǎng)官方微信售電那點事兒

責(zé)任編輯:和碩涵

免責(zé)聲明:本文僅代表作者個人觀點,與本站無關(guān)。其原創(chuàng)性以及文中陳述文字和內(nèi)容未經(jīng)本站證實,對本文以及其中全部或者部分內(nèi)容、文字的真實性、完整性、及時性本站不作任何保證或承諾,請讀者僅作參考,并請自行核實相關(guān)內(nèi)容。
我要收藏
個贊
?