等保测评细化-设备冗余评测

冗余评测思路主题一1234冗余评测-资料分析冗余评测-配置验证冗余评测-现场观察概述5冗余评测-测试验证一、结构安全-网络设备及线路冗余评测SiSiSiSiSiSiSiSiSiSiSiSi电信联通路由器负载均衡防火墙WAFIPS资料分析现场观察配置验证测试验证①前期准备②获取方式确认③获取资料确认④综合分析⑤结果记录①对象与观察项确认②时间与方式确认③入场申请④观察与结果记录①基线确认②配置验证时间确认③配置验证申请④验证与结果记录①测试方案确认（测试时间/方法、对象、应急措施等）②测试申请③测试与结果记录冗余的概念冗余即建立一个具有相同功能的备用设备/方案。当主设备出现故障时，冗余设备是可以立刻使用的替代设备。“冗余”的有益与有害是相对的！冗余对重要的系统工程是必须的！即使是资源的“浪费”。冗余级别包括：数据级冗余应用级冗余同城灾备两地三中心常见的冗余机制：双机备份•双机热备•双机冷备集群模式•容错类•负载均衡类可作为冗余的指标：可用性指标可维护性指标可靠性指标RTO、RPO等冗余是什么？如何实现冗余?冗余有哪些指标？冗余的级别？虚拟化•VLAN•虚拟专用网•VPN•虚拟网络设备冗余与可用性之间的关系可用性：即在一段时间内，系统能够正常运行的概率或时间占有率期望值。可用性期望越高↑，那么在特定时期内内系统停机的时间就会越短↓，对设备/系统的冗余要求越高↑。而对可用性进行度量往往会使用可用性指标，因此我们使用可用性相关指标来表示冗余指标。冗余是一种手段，目的是实现系统/设备的高可用性主机备机用户1用户2用户3正常情况主机故障冗余指标假设主机的冗余方式为双机热备，当主机出现故障时，备机会迅速承担主机工作，从而保证用户访问的进程不会中断可量化指标：可用性指标、可维护性指标与可靠性指标预期可用性指标=（约定的服务时间-停机时间）/约定的服务时间*100%预期可维护性指标（平均恢复时间）=总停机时间（小时）/服务中断次数预期可靠性指标（平均故障时间）=可用时间（小时）/中断次数，或平均无故障时间=（可用时间-停机总时间）（小时）/中断次数可用性、可维护性、可靠性三者可容忍的最低目标值测量单位设定：可用性指标用百分比为单位，可维护性指标和可靠性指标用时间为单位；不可用测量：对功能设定最大响应时间阈值，若超过该阈值，则视为不可用：对应用服务器不可用，测量请求响应时间；对数据库访问不可用，测量连接和SQL查询响应时间；对网络设备（含安全设备）不可用，测量网络时延（或连接响应时间）；中断时间测量：测量中断发现时间点和功能恢复可用时间点，二者之差即为中断时间，中断时间由响应时间（从发现到响应的时间段）、修障时间、恢复时间三部分构成；可用或持续运行时间：计划运行时间与中断时间、计划停机时间之差；可量化指标：可用性监测指标1通信链路-设施2网络安全设备6冗余/部署架构①虚拟化②热备③集群④云计算可用/不可用可用/不可用指标①连通性②质量和时延指标①CPU②内存③吞吐量④设备可达性3路由和交换设备指标①CPU②内存③设备可达性指标①连通性②切换时间可用性指标①可用性指标不同于可用性监测指标，业界用N个9来量化可用性，最常说的就是类似“4个9(也就是99.99%)”的可用性，换算程时间即53分钟。②计算可用性指标的难度在于设备处于什么状态为可用？什么状态为不可用？往往可以通过不可用来反推可用性。可用性监测指标常见网络/安全设备冗余措施标准要求（G3）：应保证主要网络设备的业务处理能力具备冗余空间,满足业务高峰期需要安全产品必须进行冗余选择性冗余不需要冗余备注核心交换机✔各区域出口防火墙✔汇聚交换机✔核心路由✔防病毒网关✔IDS✔因IDS部署方式为旁挂，不需要进行冗余IPS✔桌面管理系统✔终端准入系统✔流量异常分析系统✔因部署方式为旁挂，不需要进行冗余保垒机✔WAF✔上网行为管理✔负载均衡✔通信线路✔一般对于互联网出口处网络/安全设备、服务器区部署网络/安全设备以及相关核心区域网络/安全设备都需要进行冗余评测的难点因素：技术方面因素1：网络结构类型多随着技术的不断发展，出现很多不同架构、不同类型的网络。一个企业往往会存在多个网络，如内、外网区域、DMZ区域，每个区域又会划分成多个安全域。因每个域的可用性级别及可用性指标不同，所以要实现对不同安全域实现不同层次的可用管理，难度将大大增加；因素2：网络设备类型/厂商多市场网络/安全设备类型众多，像防火墙、路由器、中继器、网关、网桥以及防病毒产品、IDS/IPS、负载均衡等主流的产品已达到十几种，而各类产品的主流厂商仅国内的就多达几十家，因此要实现不同类型不同厂商网络/安全设备可用性检测，是一个很大的工程。因素3：冗余机制不同当前主流冗余机制多采用双机备份、集群和虚拟化技术等。•双机备份涉及热备和冷备技术；•集群则区分容错类的和负载均衡类的；•目前比较常见的网络虚拟化应用包括VLAN，虚拟专用网，VPN，以及虚拟网络设备等。因采用不同的冗余技术，又从设备级冗余、链路级冗余和网关级冗余三个方面冗余，且又涉及到很多新技术，加大了服务方评估难度。评测难点因素：管理方面因素1：企业规模大企业规模大小往往会影响企业的网络结构，大到成千上万人的集团总公司类企业，网络结构足够复杂，网络层次较多；小到一个几十人甚至十几人的公司，网络结构比较单一。由于企业规模越大，其网络结构不定性也将越大，对服务方的挑战也将越大。因素2：企业文化和管控要求不同因企业文化和管理要求存在差异，不同企业可能会存在不同的资料获取方式。以企业网络拓扑图为例，有的企业会将其列为企业机密文件，服务方获取企业网络拓扑图的难度将大大增加，甚至服务方最终无权限查看。因此，不同企业不同文化和不同管理要求也会影响服务方评估的难度。主题二1234冗余评测-资料分析冗余评测-配置验证冗余评测-现场观察概述5冗余评测-测试验证1、资料分析流程：五个步骤准备阶段获取方式确认获取内容确认综合分析结果记录1关注点：服务方需求、输入及被服务方输出2关注点：重点关注服务方资料保密级别及对应的授权方式3关注点：是否符合服务方所提交资料清单中资料4关注点：主要从资料的符合性、完备性方面进行分析5关注点：重点记录资料的缺失部分和不规范部分资料分析的核心作用：资料的全面性和准确性是咨询方服务质量的保障，因此服务方能否拿到第一手资料至关重要可拷贝只可现场查看准备阶段：服务方/被服务方准备服务方准备1）确认需提供的资料，并形成资料清单，包含：a)管理制度类（如冗余管理、备份管理等）；b)技术方案类（如网络分离方案、网络区域划分方案等）；c)记录表单类（如带宽使用率监控记录）；d)拓扑图类；e)其他。2）根据评估需求，标识出资料对评估的相关程度，对于相关程度很高但难以获取的资料，服务方应随时准备通过现场浏览或访谈等方式来获取资料；3）与被服务方保持沟通，确保被服务方能够理解资料清单，并提供最精准的资料；被服务方准备1）根据服务方提供的资料清单，协调相关部门及人员汇总资料；2）对于高级别且与评估相关程度很高的资料，尽量协调相关部门提供资料，实在不能提供的资料应能够协调相关人员与服务方陪同浏览或讲解资料概况；3）与服务方保持沟通，确保所提供的资料为被服务方所需的、最精准的资料；难点①网络结构复杂，相关资料太多，协调难度大②高级别资料审批流程复杂，提供方式不定资料获取方式与获取内容确认被服务方确认资料的具体获取方式，并与服务方沟通确认是否存在与评估相关性很高且保密性也很高的资料，若存在，尽量与相关领导说明缘由，通过特定方式提供资料其他只可陪同查看完全保密可带离资料不可带离但可现场查看只可讲解不可查看已获取的资料清单未获取的资料清单额外补充的资料清单资料获取情况统计资料查看申请领导审批去敏感处理资料授权流程提供资料资料分析流程：综合分析与记录符合性综合分析完备性结果记录资料中相关要求是否符合实际和标准要求？如对于三级系统，应对主要网络设备和线路进行冗余，需要查看相关技术方案是否包含对业务的高峰期需求的设计对获取的资料进行分析，通常从资料的符合性和完备性进行分析从以下方面进行记录：管理要求是否全面？管理力度是否达标？技术方案是否全面？技术要求是否达标？相关记录是否全面？是否具有网络拓扑结构图？网络拓扑结构图是否符合实际？资料是否全面？资料能否覆盖当前所有的管理活动？如是否具有与当前运行状况一致的网络拓扑结构图资料分析及评价资料名称符合性完备性其他指标网络拓扑图网络安全管理策略网络安全管理程序各种操作指南网络设备资产清单相关应急预案其他相关资料评价标准主题三1234冗余评测-资料分析冗余评测-配置验证冗余评测-现场观察概述5冗余评测-测试验证2、现场观察入场申请1、技术人员需求2、其他资源需求时间与方式确认1、最佳观察时机2、观察时间确认3、具体观察方式对象与观察项确认1、观察的区域2、观察的对象3、冗余机制4、观察的内容观察与结果记录1、整体架构2、部署的设备3、实际冗余机制4、对比记录常见的典型网络结构1：简单网络简单网络：对于一些比较简单的网络，通常只划分了内外网，或者会对内网进行办公区和服务区划分。这种网络往往用于一些小规模企业，网络/安全产品较少，基本为常见的交换机、路由器和防火墙等设备。内外网隔离也通常使用防火墙的ACL功能进行逻辑隔离。Internet服务器区域······办公区域······内网区域外网区域常见的典型网络结构2：较为复杂的网络较为复杂的网络：相对于简单网络，对内外网区域进行了进一步的划分，常见的区域有办公区域、核心业务区域、安全管理区域、DMZ区等。这种网络往往用于一些中型规模企业，网络/安全产品基本齐全，如防火墙、交换机、路由器、保垒机、网管工具、负载均衡、防病毒设备等。内外网隔离常使用网闸进行隔离。Internet核心业务区······其他区域······办公区域······安全管理区······内网区域外网区域网闸堡垒机网管工具负载均衡xDMZ区常见的典型网络结构3：大型网络，以移动管理信息系统为例共分为五个区，分别为：公共区，重要性等级1级，业务规模包括Internet区、VPN用户区和合作伙伴区等；半安全区，重要性等级2级，业务规模包括DMZ、合作伙伴互联区和内部系统互联区等；内部业务区，重要性等级3级，业务规模包括其他的IT支撑系统、网管系统和非管理信息系统管控范围；安全区,重要性等级3级，业务规模包括管理信息系统办公终端、运维终端区和开发测试区等；核心安全区，重要性等级4级，业务规模包括管理信息系统重要的应用服务器、护具哭服务器、管理控制台和服务器等常见的安全产品较为全面的网络/安全产品：交换机路由器防火墙上网行为管理系统应用代理漏洞扫描系统安全基线检查系统网络流量管理系统网络防病毒网关反垃圾邮件系统入侵检测系统（IDS）入侵防御系统（IPS）防DDOS攻击系统网页防篡改系统负载均衡设备简单网络现场观察：观察对象与关注要点确认典型的网络结构1：简单网络确认观察对象与观察项观察对象核心交换机交换机防火墙通信链路关注要点查看采用的双网隔离方式是否网络拓扑图一致，是否对隔离设备进行冗余查看哪些区域哪些设备进行了冗余，网络/安全设备使用了哪种冗余机制，是否与网络拓扑图一致查看各个区域间通信线路是否进行双路冗余，是否与网络拓扑图一致查看网络/安全设备容量（硬盘容量、CPU使用率、内存使用率、设备吞吐量等指标）及带宽使用率的监控冗余方式观察点双机热备：其中一台设备出现故障时，自动切换到备机。可以通过双机热备软件（HA）来查看应用程序的运行状态。双机冷备：其中一台设备出现故障时，需要手动切换到备机。集群：通过观察集中管理软件，查看各个集群的节点状况。线路冗余：查看线路条数。因网络结构比较简单，网络/安全产品比较单一，冗余需求可能较低，因此评测也会相对容易。较为复杂的网络现场观察：观察对象与关注要点确认典型的网络结构2：较为复杂的网络确认观察