【共读】企业信息安全建设与运维指南（一）
一、从零开始建设企业信息安全系统：企业信息安全体系分为：信息安全技术体系和信息安全管理体系信息安全技术体系：两个层面：1.需建设安全相关基础设施和系统，以具备解决相关安全问题的能力。 2.需具备安全运营能力，只有正确部署和使用设备，才能真正保障信息安全。信息安全管理体系：两个层面：1.具备信息安全相关的制度、规范、流程及策略。 2.具备信息安全管理体系的落地能力，即实施、保持并持续改进。1.1企业面临的风险外部安全风险：黑客攻击和入侵内部安全风险：内部员工恶意窃取数据或无意泄露数据。安全合规风险1.2企业安全建设需求安全基础设施和系统建设：基础安全建设需求，是安全工作开展的基石。安全运营体系建设：持续运营，让安全基础设施和系统发挥作用1）安全设备和系统运行维护2）定期开展例行化安全工作3）产品安全生命周期4）安全事件处置5）安全自动化能力安全管理体系建设：安全制度建设、信息安全流程建设、安全培训、安全考核等等。1.3企业按岗位简介企业安全组织架构：中小企业中，典型的安全岗位图。
第1种：只负责渗透测试或安全测试工作。第2种：权限较低，负责网络安全、渗透测试等工作。第3种：权限和级别较高，内容不限于技术安全，还可做安全管理等。企业安全工作岗位：1）安全运维工程师2）渗透测试工程师3）安全开发工程师4）安全管理岗1.4企业安全工作开展思路从安全风险评估、安全工作机制的建立和安全工作规划三个层面来说：1.4.1安全风险评估：通过资产梳理、人工访谈、技术评估等方式开展。1.资产梳理：为了全面掌握公司资产现状，需要梳理资产信息，来确定每个模块和系统对应的负责人。资产类型资产内容IP/域名互联网IP地址、办公网IP段、域名线上系统网站、App、公众号、小程序、运营后台（重点关注公司核心业务、账号、交易、支付等系统）办公系统OA、邮件、人力、财务、VPN等相关系统。人员资产员工、外包、供应商等；部门组织架构等账号资产办公类账号、测试账号、运维等账号及外部云服务账号2.人工访谈：访谈对象，访谈内容两个方面。3.技术评估：通过技术评估获取安全风险情况，安全渗透、安全基线检查、数据流分析等。4.输出安全风险列表：对风险进行等级划分，为后续工作做好基础。常见风险如下：风险类型风险描述风险级别办公网安全问题无统一 桌面安全标准，办公计算机没有加域、无企业防病毒系统无准入标准和控制设施，只要制度密码就可以接入办公内网Wi-Fi中生产网安全问题线上开放高危端口，暴露面广，开放不必要的端口和服务IDC仅有防火墙，无Web入侵防护系统、无DDOS防护系统缺乏入侵检测手段服务器无统一安全基线要求缺乏安全运维审计设施高产品安全问题线上高危漏洞多，存在大量SQL注入、XSS、越权漏洞，邮箱或内部运营系统弱口令多缺乏产品安全风险控制流程，无漏洞管理机制高数据泄露风险权限控制不严，生产数据可以导出，存在数据泄露风险办公计算机、邮箱可以随意外发文件，存在信息泄露风险生产服务器可以访问任何外网资源，没有通过代理服务器进行权限控制高安全应急响应没有建立安全应急响应机制，缺少安全应急预案高安全管理员工安全意识不足，没有开展安全培训和宣传安全管理制度缺失中1.4.2安全工作机制建立建立安全接口人机制：安全接口人就是每个部门负责对接安全部门的人员。建立安全应急响应机制：安全漏洞修复要求、安全事件应急响应流程。有了安全机制，安全工作人员就能应对各类紧急事件，为开展长期安全规划打基础。1.4.3安全工作规划可根据实际情况分为：短期规划、中期规划、长期规划。安全规划工作方向重点工作示例短期规划高危漏洞治理、数据泄露风险防治、合规风险处置高危漏洞修复，关闭高危端口，将内部管理后台迁移到内网弱口令治理产品上线前开展安全渗透测试App个人安全隐私问题整改中期规划安全基础设施建设办公网：防病毒系统、准入系统生产网：抗DDOS系统、Web应用防火墙系统安全管理：堡垒机建设、安全管理规范的制定和发布长期规划安全自动化、系统化、安全运营体系搭建漏洞扫描系统建设入侵检测系统建设安全风控体系建设安全管理：网络安全等级保护、ISO27001认证体系建设二、基础办公安全体系建设：办公网承载着企业重要IT资产信息，以及存储着各种敏感信息和重要资料，一旦发生安全事件，可能会造成资料丢失或敏感信息泄露，也可能造成巨大的经济损失。企业办公网主要面临以下安全风险：终端安全风险：易遭病毒和木马攻击，可能导致数据丢失等问题网络安全风险：如网络边界入侵、无线网络安全等问题邮件安全风险：如邮箱密码被破解，收到钓鱼邮件或含病毒木马的邮件。数据外泄风险：数据泄露防护一直是企业安全中最难解决的问题。2.1终端基础安全从准入系统、防病毒系统、补丁更新系统、终端数据防泄露系统四个方面介绍2.1.1准入系统建设市场上主流的准入系统分为：无客户端准入系统和有客户端准入系统。无客户端准入系统实现方案：实现方式主要有Portal认证、AD域认证：1）Portal认证一般使用Radius协议，会弹出web Portal。2）AD认证方法主要判断计算机是否加入公司AD域中。基于客户端的准入系统实现方案客户端会对用户的身份和计算机的安全基线进行检查，通过后才可接入网络准入系统实施方案1）部署准入服务端2）用户接入流程
3）例外处理4）终端管理5）逃生机制6）实施注意点2.1.2防病毒系统用于应对病毒和木马威胁防病毒系统主要功能：1)病毒和木马查杀2）主动防御3）主机防火墙和网络入侵防护防病毒系统部署方案：防病毒系统主要是防病毒管理中心和病毒库，管理中心主要负责策略下方、病毒库更新和客户端管理，病毒库需要访问厂商的外网病毒库更新点更新。
防病毒系统应用实践：1）防病毒策略更新：防护策略、扫描策略、更新策略2）使用的注意点：白名单，自身保护功能（需管理员授权才可退出卸载）2.1.3补丁更新系统建设WSUS服务器部署说明WSUS安装和补丁策略这个可以参考小编以前写的：内网部署Windows Server 2012的WSUS补丁服务器使用要点：不排除少数补丁安装后，出现不可预估的问题。第三方补丁管理系统2.1.4终端数据防泄露方案比较
介绍下DLP系统方案：1.数据分级分类保护首先梳理数据类型，做分类。然后定义数据类型级别。最后进行数据密级标记2.终端DLP实现方案
3.终端DLP系统选型测试测试用例准备敏感数据检出率和误报率测试数据变形和转换测试测试敏感数据外泄行为发现能力测试脱离网络环境后DLP客户端的功能测试不同操作系统的兼容性和检出能力性能影响评估兼容性影响评估水印功能4.终端DLP实施方案和建议最好是自上而下，由管理层推动，否则很难推动下去，安装前先小规模试点运行，全面推广时，设置自动推送，且客户端不能被用户退出和卸载。2.2防火墙、VPN和上网行为管理
网络边界访问控制通信安全和传输安全安全上网2.2.1防火墙防火墙简介和发展历程：防火墙、UTM、NGFW防火墙选型注意事项：1）网络吞吐量2）最大并发连接数3）VPN隧道数4）网络接口数5）模块冗余和高可用6）集中管理7）功能授权和升级防火墙应用场景：1）用户上网2）提供外网访问服务3）进行边界访问控制2.2.2 VPN网关主要分为IPSec VPN和SSL VPN,IPSec主要是两个网络之间的，SSL 主要用于远程接入。IPSec VPN 简介和应用用于不同办公场所之间建立安全通信信道。
SSL VPN简介和应用实践用于远程办公用户接入办公网2.2.3上网行为管理主要解决用户上网过程中存在的如下问题:控制办公网访问互联网的应用避免访问恶意网站或违禁网站实现上网行为审计2.3入侵检测/防御系统2.3.1入侵防御系统简介入侵防御系统简介：简称IPS,部署在网络边界入侵防御系统评价指标：入侵防御能力、产品性能和功能2.3.2入侵检测系统简介入侵检测系统简介：简称IDS,部署在网络内部。
入侵检测系统评级指标：入侵检测能力、产品性能和功能IDS日常运维管理：优化策略，持续维护