安全補丁更新流程

城建信有公司信息理部安全丁更工作導(dǎo)書修記版本編號

版本日期

修訂者

說明V1.02015-04-20

曹宏濤

初稿

版本編號V1.1

版本日期2015-07-20

修訂者區(qū)維青

說明變更補丁管理流程第2頁，共8頁

目

錄說明.......................................................................................................錯誤！未定義書簽。目標(biāo).....................................................................................................................................1.1.1.2.

范圍4流程運行的前提和時機5第2流程詳細(xì)明.........................................................................................................2.1.安全補丁管理流.2.1.1.2.1.2.2.1.3.2.1.4.2.1.5.

補丁分類.....................................................................................................6安全丁評..................................................................................................安全丁測..................................................................................................安全丁部..................................................................................................安全丁回..................................................................................................第3相關(guān)文件................................................................................................................8第3頁，共8頁

目的未及時進行安全補丁更新的系統(tǒng)或軟件很容易遭受的攻擊，并導(dǎo)致未授權(quán)訪問、系統(tǒng)拒絕服務(wù)，進而導(dǎo)致信息泄露、業(yè)務(wù)中斷等重大安全事故的發(fā)生。然而，補丁的更新不當(dāng)甚至可能帶來比網(wǎng)絡(luò)攻擊更大的安全事故。因此保障各類補丁及時、安全、穩(wěn)妥地更新安裝是保障信息系統(tǒng)安全的重要手段。補丁經(jīng)常會由于以下三種原因而進行發(fā)布：1)修補應(yīng)用程序或操作系統(tǒng)的漏洞多黑客通過緩沖區(qū)溢出對應(yīng)用程序和操作系統(tǒng)進行網(wǎng)絡(luò)攻擊通過補丁的安裝能夠?qū)@類漏洞進行很好的修補補丁也常常會由于修正系統(tǒng)的功能問題進行發(fā)布。2)改變功能或更新特征庫等從而對新的安全威脅進行檢測。3)修改軟件的配置使它更加的安全。目標(biāo)遵照變更流程文檔進行安全補丁更新能夠降低系統(tǒng)的安全隱患發(fā)生的可能。安全補丁更新流程文檔提供了對變更流程中補丁更新所涉及的步驟進行說明，使系統(tǒng)安全管理專員能夠更好地依照變更流程的規(guī)定對各種補丁進行更新操作，并保證其有效性、穩(wěn)定性和安全性。但是安全補丁更新流程文檔并不會說明指定的補丁是怎樣對漏洞進行修補從而降低安全風(fēng)險的。本流程的目標(biāo)是：

規(guī)范不同操作系統(tǒng)、應(yīng)用程序、硬件設(shè)備系統(tǒng)的補丁定期檢查。確認(rèn)補丁安裝的需求和申請的步驟。提供補丁更新流程在變更流程中所涉及的各項細(xì)化表格。規(guī)定各安全相關(guān)職員在補丁更新中的職責(zé)。1.1.范下面表格說明了哪些城建宏信內(nèi)部操作系統(tǒng)、應(yīng)用軟件、硬件設(shè)備的升級更新屬于安全補丁管理的范圍，哪些不是。表格1安全補丁管理范圍包括

不包括第4頁，共8頁

個人PC操作系統(tǒng)生產(chǎn)環(huán)境主機系統(tǒng)（含虛擬機環(huán)境）

病毒庫的自動升級病毒庫的自動升級開發(fā)及測試主機系含虛擬機環(huán)境）IDS征庫的自動升級1.2.前和時機為了各類安全補丁的更新能夠順利和有效實施，需要如下前提條件：1)由安全管理員發(fā)現(xiàn)或被告知的內(nèi)部系統(tǒng)中確認(rèn)存在的操作系統(tǒng)用軟件或硬件系統(tǒng)發(fā)布的補丁，并確定能夠通過已有的安全途徑獲得相關(guān)的補丁。2)由系統(tǒng)或軟件安全相關(guān)引發(fā)的配置更改或功能調(diào)整安全管理員確認(rèn)能夠在現(xiàn)有環(huán)境中進行實施的。3)由產(chǎn)商自動下發(fā)的安全相關(guān)特征數(shù)據(jù)庫的升級安全管理員確認(rèn)能夠通過已有安全途徑獲得相關(guān)數(shù)據(jù)的。補丁更新部署的時機：在申請、批準(zhǔn)和測試管理流程之后，根據(jù)系統(tǒng)所屬的類別可以選擇在城建宏信范圍內(nèi)分步分區(qū)實施或集中實施。第章流程詳細(xì)說明2.1.安補丁管理程安全補丁管理流程圖

安全補丁安裝是否成功

結(jié)束第5頁，共8頁

圖示1安全補丁管理流程圖表格2安全補丁管理流程說明序號

活動名

角色職責(zé)/活動說輸出

表單工1

安全補丁登記

基礎(chǔ)設(shè)施?裝部安全負(fù)補丁的變更系統(tǒng)

發(fā)安

安全補丁管理記錄表責(zé)人?能評估

丁補請求記錄2

安全補丁評估

基礎(chǔ)設(shè)施?進行補丁評審，部部門總丁監(jiān)與

安的時間、資源

安全補丁管理記錄表3

安全補丁測試

影響?試關(guān)資源，并知會相關(guān)系統(tǒng)管理員基礎(chǔ)設(shè)施?補丁測試、記錄部安全負(fù)測試結(jié)果，并確認(rèn)責(zé)人各

劃安安全補丁測測試報告試報告因素符合要求。45

安全補丁部署安全補丁回滾

基礎(chǔ)設(shè)施?署部安全負(fù)環(huán)責(zé)人境中實施基礎(chǔ)設(shè)施?中部安全負(fù)回責(zé)人滾

安安全補丁管部署理記錄表影結(jié)論2.1.1.補丁的分類安全補丁更新管理的目的是有效的審批和控制對于補丁的變更，從而減少對于業(yè)務(wù)和用戶的影響，以達(dá)到較高的安全和實施性。安全管理員發(fā)現(xiàn)規(guī)定范圍內(nèi)系統(tǒng)、應(yīng)用程序或硬件有新補丁發(fā)布應(yīng)向基礎(chǔ)設(shè)施部負(fù)責(zé)人進行報告時基礎(chǔ)設(shè)施部負(fù)責(zé)人在確認(rèn)補丁后應(yīng)責(zé)成相關(guān)安全負(fù)責(zé)人對補丁進行等級劃分。由于不同系統(tǒng)的補丁所牽涉的機器數(shù)量、業(yè)務(wù)流程、影響大小都有所不同，補丁分為緊急安全補丁和普通安全補丁種類別。因此針對不同系統(tǒng)的補丁，安全管理員應(yīng)首先確定其屬于哪一類變更請求。從而可以正確地進入相應(yīng)的變更申請流程。第6頁，共8頁

補丁類緊急安全補丁

判斷標(biāo)緊急安全補丁對應(yīng)的漏洞可導(dǎo)致遠(yuǎn)程運行任意代碼

處理要必須按照要求及或死鎖受漏洞服務(wù)且攻擊代碼易于開發(fā)對應(yīng)的病時分發(fā)部署毒可導(dǎo)致遠(yuǎn)程控制被感染系統(tǒng)或嚴(yán)重消耗系統(tǒng)資源，且病毒已大規(guī)模傳播或具有大規(guī)模傳播的趨勢。普通安全補丁

除緊急、重要安全補丁以外的所有安全補丁

按照補丁分發(fā)策略統(tǒng)一分發(fā)部署（每個月第三周）2.1.2.安全補丁評估根據(jù)不同的補丁等級，基礎(chǔ)設(shè)施部門將組成包含相關(guān)的安全責(zé)任人在內(nèi)的評估小組對補丁的風(fēng)險和影響進行定性評估。評估小組評估的內(nèi)容包括但不限于安全補丁對網(wǎng)絡(luò)安全、產(chǎn)品功能、數(shù)據(jù)庫安全、應(yīng)用系統(tǒng)安全等方面的評審。如涉及為數(shù)據(jù)庫安裝補丁則需要基礎(chǔ)設(shè)施部負(fù)責(zé)人、數(shù)據(jù)庫管理員以及該數(shù)據(jù)庫所承載的應(yīng)用的歸口管理部門的部門負(fù)責(zé)人組成評估小組進行風(fēng)險和影響評估。以確定該補丁是否能夠被加載。2.1.3.安全補丁測試經(jīng)過補丁的風(fēng)險和影響評估后，根據(jù)評估小組出具的評估結(jié)果明確對補丁的安裝與否進行判斷?；A(chǔ)設(shè)施部將對通過審批的安全補丁部署提交相關(guān)的測試計劃。測試計劃包括測試資源確認(rèn)、測試方案設(shè)計、測試結(jié)果確認(rèn)以及最終安全補丁版本確認(rèn)。2.1.4.安全補丁部署通過測試的安全補丁進行安全補丁部署。補丁的部署策略由基礎(chǔ)設(shè)施部安全管理員負(fù)責(zé)配置并由對部署結(jié)果進行核查。補丁的下載需要通過公司規(guī)定的安全途徑，如系統(tǒng)軟件文件服務(wù)器或從指定的系統(tǒng)供應(yīng)商的官方網(wǎng)站上進行下載。第7頁，共8頁

補丁的部署時間由安全管理員和