安全运营-V4

安全运营讲师姓名机构名称版本：4.0课程内容2安全运营知识域知识子域安全运维业务连续性管理灾难备份内容安全大数据安全知识子域：安全运维安全运维管理对象了解安全运维的作用及主要对象；漏洞评估了解安全漏洞的概念和产生的原因；理解漏洞管理的重要性及漏洞扫描、漏洞评估等相关概念；安全补丁了解补丁的基本概念；了解补丁分类及修复时应注意的问题；理解补丁管理的主要步骤；3安全运维的作用及对象安全运维作用安全运维是信息系统运维工作的重要组成部分，同时也是组织机构信息安全保障的基础。安全运维对象基础设施IT设备系统与数据管理工具相关人员4安全漏洞的概念什么是安全漏洞（Vulnerability）也被称为脆弱性，计算机系统天生的类似基因的缺陷，在使用和发展过程中产生意想不到的问题（冯•诺依曼）漏洞是存在于评估对象（TOE）中的，在一定的环境条件下可能违反安全功能要求的弱点（ISO/IEC15408）安全漏洞的范畴漏洞本身随着信息技术的发展而具有不同的含义与范畴基于访问控制的定义逐步发展到涉及系统安全流程、设计、实施、内部控制等全过程的定义5漏洞的理解从生命周期的角度出发，信息技术、信息产品和信息系统在需求、设计、实现、配置、维护和使用等过程中，有意或无意产生的缺陷，这些缺陷一旦被恶意主体所利用，就会造成对信息产品或系统的安全损害，从而影响构建于信息产品或系统之上正常服务的运行，危害信息产品或系统及信息的安全属性。6安全漏洞产生的原因技术原因软件系统复杂性提高，质量难于控制，安全性降低公用模块的使用引发了安全问题经济原因“柠檬市场”效应环境原因从传统的封闭、静态和可控变为开放、动态和难控攻易守难安全缺陷安全性缺陷是信息系统或产品自身“与生俱来”的特征，是其的固有成分7安全漏洞的分类分类的目的准确的区分和描述不同的漏洞有助于漏洞的发布、存储和查询漏洞分类实例NVD:代码注入等21种类型CNNVD:根据漏洞形成分成22种类型……8漏洞管理的重要性为什么需要漏洞管理漏洞是信息系统中必然存在的安全问题，对漏洞进行管理是保障信息系统安全的重要工作漏洞管理工作漏洞扫描漏洞评估9安全补丁安装补丁是漏洞消减的技术手段之一及时安装有效补丁可避免约95%的信息安全损失补丁安装中需要注意的问题：可靠来源补丁测试备份及应急措施10安全补丁的分类从文件类型以源代码形式存在以二进制形式存在从内存角度文件补丁（冷补丁）内存补丁（热补丁）11补丁管理的主要步骤基本意义有效的补丁管理程序能够确保系统安装当前最新的补丁。主要步骤评估补丁（较为重要）测试补丁（较为关键）批准补丁（常与变更管理联动）部署补丁（人工、自动）验证补丁（伴随跟进的过程）12知识子域：安全运维安全审计理解网络安全审计的概念及审计的对象；理解网络安全审计的基本类型与功能；掌握网络安全审计的范畴及有效实施方法；13网络安全审计概念14什么网络安全审计按照一定的安全策略，利用记录系统活动和用户活动等信息进行检查、审查和检验操作事件的环境及活动，从而发现系统漏洞、入侵行为或改善系统性能的过程审计目的针对事后认定违反安全规则行为进行详细分析，重点检测违反安全规则、准确发现系统发生的事件以及对事件发生的事后影响。网络安全审计的基本要素及类型15基本要素控制目标安全漏洞控制措施控制测试基本类型系统级审计应用级审计用户级审计安全审计的作用和目标安全审计的作用和目标1)记录系统被访问的过程以及系统保护机制的运行状态；2）发现试图绕过保护机制的行为；3）及时发现用户身份的变化；4）报告并阻碍绕过保护机制的行为并纪录相关过程，为灾难恢复提供信息。安全审计的目标安全审计的目标必须提供足够的信息使得安全人员能够进行风险控制16安全审计的范畴17系统日志审计数据库审计内容安全审计ACB系统日志审计18根据网络安全级别及强度要求，选择记录部分或全部的系统操作。主要目的大量的记录日志信息中找到与系统安全相关的数据，并分析系统运行情况主要任务潜在威胁分析异常行为检测简单攻击探测复杂攻击探测数据库审计19能够实时记录网络上的数据库活动，对数据库操作进行细粒度审计的合规性管理，对数据库遭受到的风险行为进行告警，对攻击行为进行阻断。主要目的帮助用户事后生成合规报告、事故追根溯源主要作用多层业务关联审计细粒度数据库审计精准化行为回溯全方位风险控制操作过程回放内容审计20通过采取一定的技术手段，监管网络中不良文本、图片、视频等各类信息的传播行为，以保证网络所传播的各类信息内容的健康性、合法性，提供干净的网络信息环境。主要作用在应用层对信息内容进行审计分析，发现可疑行为并对这些行为采取相应的措施，如记录、报警和阻断等，实现对网络信息内容的检测与控制主要技术网络信息内容的获取网络内容还原分析知识子域：安全运维应急响应理解信息安全事件和应急响应的基本概念理解我国信息安全事件分类、分级方法理解信息安全应急预案的基本作用与响应流程掌握信息安全应急演练的分类与操作流程掌握准备、检测、遏制、根除等应急响应阶段的主要工作内容掌握信息安全应急响应计划编制方法了解计算机取证的概念和目的了解计算机取证的基本步骤21应急响应的概念信息安全事件是指影响一个系统正常工作的情况。这里的情况包括主机范畴内的问题，也包括网络范畴内的问题，例如黑客入侵、信息窃取、拒绝服务攻击、网络流量异常等。应急响应：组织为了应对突发/重大信息安全事件的发生所做的准备，以及在事件发生后所采取的措施。《GB/T24363-2009信息安全应急响应计划规范》22信息安全事件分类分级分类信息安全事件分为有害程序事件、网络攻击事件、信息破坏事件、信息内容安全事件、设备设施故障、灾害性事件和其他信息安全事件7个基本类别分级参考要素：信息系统的重要程度、系统损失和社会影响四级•特别重大事件（I级）•重大事件（II级）•较大事件（III级）•一般事件（IV级）23系统损失社会影响信息系统的重要程度我国信息安全事件分类方法基本类别有害程序事件：病毒、蠕虫、木马等网络攻击事件：DOS、后门攻击、扫描、钓鱼等信息破坏事件：信息被篡改、假冒、窃取等信息内容安全事件：危害国家安全、社会稳定等设备设施故障：软硬件自身故障和人为非技术破坏等灾害性事件：自然灾害、战争等其他信息安全事件：不能归为以上6个类别的事件24我国信息安全事件分级方法25我国信息安全事件分级方法GB/Z2098626特别重大事件是指能够导致特别严重影响或破坏的信息安全事件，包括以下情况：•会使特别重要信息系统遭受特别严重的系统损失•产生特别重大的社会影响重大事件是指能够导致严重影响或破坏的信息安全事件，包括以下情况：•会使特别重要信息系统遭受严重的系统损失、或使重要信息系统遭受特别严重的系统损失•产生重大的社会影响较大事件是指能够导致严重影响或破坏的信息安全事件，包括以下情况：•会使特别重要信息系统遭受较大的系统损失、或使重要信息系统遭受严重的系统损失，一般信息系统遭受特别严重的系统损失•产生较大的社会影响一般事件是指不满足以上条件的信息安全事件，包括以下情况：•会使特别重要信息系统遭受较小的系统损失、或使重要信息系统遭受较大的系统损失，一般信息系统遭受严重或严重以下级别的系统损失•产生一般的社会影响特别重大事件重大事件较大事件一般事件1级2级3级4级我国信息安全事件分级方法GB/Z2098627应急响应工作方式应急预案：“凡事预则立，不预则废”在分析网络与信息系统突发事件后果和应急能力的基础上，针对可能发生的重大网络与信息系统突发事件，预先制定的行动计划或应急对策。28类别描述典型示例基础环境类具有通用性的面向机房、场地、设备、通讯等的物理方面的安全保障预案《机房电力中断专项应急预案》《网络中断专项应急预案》《机房灾害专项应急预案》业务系统类面向业务保障的应急预案，以业务类别划分，可依据等级保护进行定级，并指导重点业务系统应急响应《XX业务系统中断专项应急预案》安全事件类某一类安全事件可能影响所有或大多数业务系统，造成较大的损害。依据不同的安全事件编写应对该事件的专项应急预案《蠕虫病毒传播专项应急预案》《网络攻击应急预案》《信息泄露事件应急预案》其他类针对特殊情况可制定专门的应急预案，将此类情况应急预案归为其他类专项应急预案《数据错误处置应急预案》国家政策要求和相关标准《关于加强信息安全保障工作的意见》（中办发『2003』27号文）指出：“信息安全保障工作的要点在于，实行信息安全等级保护制度，建设基于密码技术的网络信任体系，建设信息安全监控体系，重视信息安全应急处理工作，推动信息安全技术研发与产业发展，建设信息安全法制与标准”GB/T24363-2009《信息安全应急响应计划规范》GB/T20988-2007《信息系统灾难恢复规范》GB/Z20985-2007《信息安全事件管理指南》GB/Z20986-2007《信息安全事件分类分级指南》29应急响应组织架构30应急响应领导小组应急响应日常运行小组应急响应技术保障小组应急响应实施小组外部组织或机构实施应急响应计划上级有关单位或部门组织外信息通报应急响应专家小组提供建议咨询信息反馈协助应急提供建议咨询提供建议支持协助应急信息上报信息安全应急演练的操作流程31主要包含以下五个方面：应急事件通报确定应急事件优先级应急响应启动实施应急响应时间后期运维更新现有应急预案应急响应六阶段第一阶段：准备——让我们严阵以待第二阶段：检测——对情况综合判断第三阶段：遏制——制止事态的扩大第四阶段：根除——彻底的补救措施第五阶段：恢复——系统恢复常态第六阶段：跟踪总结——还会有第二次吗32第一阶段—准备工作目标确定重要资产和风险，实施针对风险的防护措施；编制和管理应急响应计划•应急响应计划的编制准备•编制应急响应计划•应急响应计划的测试、培训演练和维护为响应组织和准备相关资源人力资源(应急响应组织)财力资源、物质资源、技术资源和社会关系资源等33准备检测遏制根除恢复跟踪总结第二阶段—检测工作目标检测并确认事件的发生确定事件性质和影响工作内容进行监测、报告及信息收集确定事件类别和级别指定事件处理人，进行初步响应评估事件的影响范围事件通告（信息通报、信息上报、信息披露）34准备检测遏制根除恢复跟踪总结第三阶段—遏制工作目标限制事件影响的范围、损失工作内容启动应急响应计划确定适当的响应方式实施遏制行动要求用户按应急行为规范要求配合遏制工作35准备检测遏制根除恢复跟踪总结第四阶段—根除工作目标避免问题再次发生的长期的补救措施工作内容详细分析，确定原因实施根除措施，消除原因36准备检测遏制根除恢复跟踪总结第五阶段—恢复工作目标恢复系统至正常状态工作内容根据破坏程度决定是在原系统还是备份系统中恢复按恢复优先顺序恢复系统和业务运行37准备检测遏制根除恢复跟踪总结第六阶段—跟踪总结工作目标回顾并汇总所发生事件的相关信息工作内容关注系统恢复以后的安全状况，记录跟踪结果评估损失、响应措施效果分析和总结经验、教训重新评估和修改安全策略、措施和应急响应计划对进入司法程序的事件，进行进一步调查，打击违法犯罪活动编制并提交应急响应报告38准备检测遏制根除恢复跟踪总结计算机取证的概念什么是计算机取证使用先进的技术和工具，按照标准规程全面地检查计算机系统，以提取和保护有关计算机犯罪的相关证据的活动原则合法原则、充分授权原则、优先保护证据原则、全程监督原则取证流程39准备保护提取分析提交计算机取证-准备获取授权取证工作获得明确的授权（授权书）目标明确对取证的目的有清晰的认识工具准备对取证环境的了解及需要准备的工具软件准备对取证的软件进行过