IT系統(tǒng)安全系統(tǒng)應(yīng)急預(yù)案

江蘇IT系統(tǒng)安全應(yīng)急預(yù)案1目的隨著著公司信息化建設(shè)的發(fā)展，IT系統(tǒng)的安全性也越發(fā)重要，需要全方面加強信息安全性的建設(shè)，確保系統(tǒng)不受到來自內(nèi)部和外部的攻擊，實現(xiàn)對非法入侵的安全審計與跟蹤，確保業(yè)務(wù)應(yīng)用和數(shù)據(jù)的安全性。同時還必須建立起一套完善、可行的應(yīng)急解決規(guī)章制度，在出現(xiàn)重大狀況后能及時響應(yīng)，盡最大可能減少損失。2公司系統(tǒng)架構(gòu)和現(xiàn)狀2.1IT應(yīng)用系統(tǒng)架構(gòu)公司的IT系統(tǒng)以總公司為中心，各分支機構(gòu)通過租用專用線路或VPN同總公司連通，在各分支機構(gòu)內(nèi)部也建立較完善的多級綜合網(wǎng)絡(luò)，涉及中心支公司、支公司、出單點等等。在網(wǎng)絡(luò)上運行著下列系統(tǒng)：視頻會議系統(tǒng)各分公司之間、分公司與總公司之間、各辦事處與公司之間進(jìn)行的網(wǎng)絡(luò)視頻會議。（二）辦公自動化系統(tǒng)輔助公司日常辦公的系統(tǒng)，如OA\ERP，實現(xiàn)公司上下級之間的公文與協(xié)同工作信息傳遞。（三）郵件系統(tǒng)公司的內(nèi)部及外部郵箱系統(tǒng)，為公司內(nèi)、外部信息交流提供方便、快捷的通道。2.2系統(tǒng)安全隱患由于公司的系統(tǒng)是多應(yīng)用、多連接的平臺，本身就可能存在著難于察覺的安全隱患，同時又面臨來自各方面的安全威脅，這些威脅既可能是惡意的攻擊，又可能是某些員工無心的過失。下面從網(wǎng)絡(luò)系統(tǒng)、操作系統(tǒng)與數(shù)據(jù)庫、數(shù)據(jù)以及管理等方面進(jìn)行描述：（一）網(wǎng)絡(luò)與公司各級網(wǎng)絡(luò)進(jìn)行互聯(lián)的外部網(wǎng)絡(luò)顧客及Internet黑客對各級單位網(wǎng)絡(luò)的非法入侵和攻擊；公司內(nèi)部各級單位網(wǎng)絡(luò)互相之間的安全威脅，例如某個分支單位網(wǎng)絡(luò)中的人員對網(wǎng)絡(luò)中核心服務(wù)器的非法入侵和破壞；在各級單位網(wǎng)絡(luò)中，對于核心的生產(chǎn)業(yè)務(wù)應(yīng)用和辦公應(yīng)用系統(tǒng)而言，可能會受到局域網(wǎng)上某些無關(guān)顧客的非法訪問。（二）操作系統(tǒng)與數(shù)據(jù)庫操作系統(tǒng)與數(shù)據(jù)庫都存在一定的安全缺點或者后門，很容易被攻擊者用來進(jìn)行非法的操作；系統(tǒng)管理員經(jīng)驗局限性或者工作疏忽造成的安全漏洞，也很容易被攻擊者運用；系統(tǒng)正當(dāng)顧客特別是擁有完全操作權(quán)限的特權(quán)顧客的誤操作可能造成系統(tǒng)癱瘓、數(shù)據(jù)丟失等狀況。（三）網(wǎng)絡(luò)應(yīng)用網(wǎng)絡(luò)上多數(shù)應(yīng)用系統(tǒng)采用客戶/服務(wù)器體系或衍生的方式運行，對應(yīng)用系統(tǒng)訪問者的控制手段與否嚴(yán)密將直接影響到應(yīng)用本身的安全性；由于實現(xiàn)了Internet接入，各級單位的計算機系統(tǒng)遭受病毒感染的機會也更大，且很容易通過文獻(xiàn)共享、電子郵件等網(wǎng)絡(luò)應(yīng)用快速蔓延到整個公司網(wǎng)絡(luò)中；網(wǎng)絡(luò)顧客自行指定IP地址而產(chǎn)生IP地址沖突，將造成業(yè)務(wù)系統(tǒng)的UNIX小型機服務(wù)器自動宕機。（四）數(shù)據(jù)數(shù)據(jù)存儲和傳輸所依賴的軟、硬件環(huán)境遭到破壞，或者操作系統(tǒng)顧客的誤操作，以及數(shù)據(jù)庫顧客在解決數(shù)據(jù)時的誤操作，都會使嚴(yán)重威脅數(shù)據(jù)的安全。（五）管理如果缺少嚴(yán)格的公司安全管理，信息系統(tǒng)所受到的安全威脅即使是多個安全技術(shù)手段也無法抵抗。在充足認(rèn)識到確保核心業(yè)務(wù)和應(yīng)用有效運轉(zhuǎn)的前提下，公司已經(jīng)采用了一定的方法，如運用操作系統(tǒng)和應(yīng)用系統(tǒng)本身的功效進(jìn)行顧客訪問控制，建立容錯和備份機制，采用數(shù)據(jù)加密等。但是這些方法所能提供的安全功效和安全保護(hù)范疇都非常有限，為了在不停發(fā)展變化著的網(wǎng)絡(luò)計算環(huán)境中保護(hù)公司信息系統(tǒng)的安全，特制訂了IT系統(tǒng)重大事件應(yīng)急方案。3IT系統(tǒng)重大事件的界定IT系統(tǒng)的脆弱性體現(xiàn)在諸多方面，小到短暫的電力局限性或磁盤錯誤，大到設(shè)備的毀壞或火災(zāi)等等。諸多系統(tǒng)弱點能夠在組織風(fēng)險管理控制過程中通過技術(shù)的、管理的或操作的辦法消除，但理論上是不可能完全消除全部的風(fēng)險。為了能更加好的制訂針對IT系統(tǒng)重大事件的應(yīng)急方案，必須先對全部可能發(fā)生的重大事件進(jìn)行具體的描述和定義。下面將從IT系統(tǒng)有關(guān)聯(lián)的電源、網(wǎng)絡(luò)、主機及存儲設(shè)備、數(shù)據(jù)庫、病毒、信息中心機房等多個方面進(jìn)行闡明。3.1電源電源是IT系統(tǒng)最基礎(chǔ)的部分，也是最容易受到外界干擾的部分之一。在既能確保公司系統(tǒng)平穩(wěn)運行，又能確保核心或重要設(shè)備安全的前提下，根據(jù)現(xiàn)在配備的UPS電源的實際狀況，將電源事件分為三個層次：普通性電源事件：停電時間在1小時以內(nèi)的（涉及1小時）；需關(guān)注電源事件：停電時間在2小時以內(nèi)的（涉及2小時）；親密關(guān)注電源事件：停電時間在2小時以上的。3.2網(wǎng)絡(luò)網(wǎng)絡(luò)是IT系統(tǒng)及網(wǎng)絡(luò)客戶進(jìn)行通訊的通道，也是最容易受到外界干擾或攻擊的部分之一?，F(xiàn)在總公司重要對各地分公司到總公司的網(wǎng)絡(luò)線路進(jìn)行管控，而公司又是采用數(shù)據(jù)集中的運行模式，鑒于這種狀況，將網(wǎng)絡(luò)事件分為三個層次：普通性網(wǎng)絡(luò)事件：樓層交換機出現(xiàn)異常，或局域網(wǎng)絡(luò)中斷時間在5分鐘以內(nèi)的（涉及5分鐘）；需關(guān)注網(wǎng)絡(luò)事件：主交換機、防火墻、上網(wǎng)設(shè)備出現(xiàn)異常，或局域網(wǎng)絡(luò)中斷時間在30分鐘以內(nèi)的（涉及30分鐘），廣域網(wǎng)絡(luò)中斷時間在5分鐘以內(nèi)的（涉及5分鐘）；親密關(guān)注網(wǎng)絡(luò)事件：主干交換機、核心路由器、VPN設(shè)備出現(xiàn)異常，或廣域網(wǎng)絡(luò)中斷時間在30分鐘以上的。3.3主機及存儲設(shè)備主機及存儲設(shè)備是IT系統(tǒng)運行的核心和核心，也是相對脆弱的部分，對工作環(huán)境的規(guī)定是相稱高的，任何外部的變化都可能造成這些設(shè)備出現(xiàn)異常。根據(jù)出現(xiàn)的異常狀況，將主機及存儲設(shè)備事件分成三個層次：普通性事件：非系統(tǒng)核心進(jìn)程或文獻(xiàn)系統(tǒng)出現(xiàn)異常，不影響生產(chǎn)系統(tǒng)運行的；需關(guān)注事件：根文獻(xiàn)系統(tǒng)或生產(chǎn)系統(tǒng)所在的文獻(xiàn)系統(tǒng)的磁盤空間將滿/已滿或系統(tǒng)核心進(jìn)程異常，即將影響或已經(jīng)影響生產(chǎn)系統(tǒng)運行的；主機或存儲設(shè)備的磁盤異常并發(fā)出警告的；親密關(guān)注事件：主機宕機；存儲設(shè)備不能正常工作的；主機與存儲設(shè)備中斷連接的；主機性能嚴(yán)重減少，影響終端顧客運行的；系統(tǒng)顧客誤操作造成重要文獻(xiàn)丟失的。3.4數(shù)據(jù)庫數(shù)據(jù)庫是存儲公司經(jīng)營信息的核心部分，由于數(shù)據(jù)庫是建立在主機及存儲設(shè)備上的應(yīng)用，任何主機及存儲設(shè)備的變化都會對數(shù)據(jù)庫產(chǎn)生或大或小的影響，同時數(shù)據(jù)庫也是公司各個層面顧客的使用對象，顧客對數(shù)據(jù)的操作可能造成不可預(yù)料的影響。根據(jù)數(shù)據(jù)庫對外界操作的反映，將數(shù)據(jù)庫事件分為兩個層次：普通事件：不影響大量顧客或應(yīng)用系統(tǒng)正常運行的警告或錯誤報告；重要事件：數(shù)據(jù)庫的系統(tǒng)表空間將滿/已滿的；業(yè)務(wù)系統(tǒng)表空間將滿/已滿的；數(shù)據(jù)庫網(wǎng)絡(luò)監(jiān)視進(jìn)程終止運行的；數(shù)據(jù)庫內(nèi)部數(shù)據(jù)組織出現(xiàn)異常的；數(shù)據(jù)庫顧客誤操作造成數(shù)據(jù)丟失的；數(shù)據(jù)庫核心進(jìn)程異常；數(shù)據(jù)庫性能嚴(yán)重減少，影響終端顧客運行；數(shù)據(jù)庫宕機。3.5電腦病毒由于Internet接入，員工從Internet上進(jìn)行下載或者接受郵件，都有感染病毒的可能性。某些病毒帶有極大的危害性和極快的傳輸速度，從而可能造成在公司內(nèi)部的病毒大范疇傳輸。針對病毒在公司內(nèi)部的傳輸范疇或危害程度，分為三個層次：普通性事件：獨立的病毒感染，并沒有傳輸和造成損失的；親密關(guān)注事件：病毒小范疇傳輸，并造成一定損失，但不是重大損失的；嚴(yán)重關(guān)注事件：病毒大范疇傳輸，并造成重大損失的；3.6其它事件信息中心機房其它影響IT系統(tǒng)運行的因素可能會產(chǎn)生某些忽然事件，重要有下列某些方面：（一）空調(diào)工作異常，造成機房溫度過高；（二）空調(diào)防水保護(hù)出現(xiàn)異常造成滲水；（三）發(fā)生火災(zāi)；（四）粉塵造成主機或存儲設(shè)備異常的。4信息系統(tǒng)重大事件的應(yīng)急方案根據(jù)上節(jié)對IT系統(tǒng)重大事件的界定，公司已經(jīng)建立了一套完整的應(yīng)急方案，在硬件方面采用雙機熱備機制，同時加強日常的系統(tǒng)監(jiān)控，保持完整的數(shù)據(jù)備份，及時進(jìn)行災(zāi)難恢復(fù)，和儲藏必要的系統(tǒng)備件等多個技術(shù)和辦法。下面按照IT系統(tǒng)有關(guān)聯(lián)的電源、網(wǎng)絡(luò)、主機及存儲設(shè)備、數(shù)據(jù)庫、電腦病毒等多個方面進(jìn)行闡明。4.1電源機房采用UPS為重要設(shè)備進(jìn)行供電，為了應(yīng)對重大突發(fā)事件，采用下列了手段：（一）加強UPS的維護(hù)，確保UPS的正常工作;（二）在必要狀況下，交流輸入供電系統(tǒng)采用雙路市電供電和發(fā)電機聯(lián)合供電，確保市電使長久停電,UPS仍能正常供電；（三）直流輸入方面，采用公用一組電池組的設(shè)計，配備長達(dá)48小時的后備電池,并提供交流輸入瞬變或市電與發(fā)電機供電切換時的短時供電；（四）根據(jù)停電時間的長短，依次公布普通性告知、較緊急告知和緊急告知給有關(guān)部門和機構(gòu)；（五）停電發(fā)生后，及時聯(lián)系設(shè)備部門和供電部門。4.2網(wǎng)絡(luò)（一）核心路由器做雙以太口綁定，如一端口發(fā)生故障，自動切換到VPN備份線路接入主機系統(tǒng)，直到修復(fù)使用正常，同時由網(wǎng)絡(luò)集成商提供技術(shù)和備件支持，一旦出現(xiàn)緊急故障，1小時趕到現(xiàn)場解決故障；（二）到分支機構(gòu)專線采用2M數(shù)字線路，如2M數(shù)字線路發(fā)生故障斷開則自動切換到VPN備份線路接入主機系統(tǒng)，直到專線修復(fù)則使用正常2M線路通信；（三）對于網(wǎng)絡(luò)核心設(shè)備出現(xiàn)重大故障，盡快理解狀況，分析問題和提出應(yīng)急解決方案，做好現(xiàn)場應(yīng)急解決，立刻告知網(wǎng)絡(luò)集成服務(wù)商到現(xiàn)場解決，主干交換機由網(wǎng)絡(luò)集成商提供技術(shù)和備件支持，一旦出現(xiàn)緊急故障，1小時內(nèi)趕到現(xiàn)場解決故障；（四）為避免核心路由器或主干交換機發(fā)生故障后無法解決問題，在必要狀況下，配備一臺備用路由器和主干交換機，配備接口與核心路由器和主干交換機相似，一旦出現(xiàn)故障，能在十分種內(nèi)進(jìn)行更換；（五）在網(wǎng)絡(luò)入口處檢查網(wǎng)絡(luò)通訊，根據(jù)設(shè)定的安全規(guī)則，在保護(hù)內(nèi)部網(wǎng)絡(luò)安全的前提下，保障內(nèi)外網(wǎng)絡(luò)通訊，實現(xiàn)了內(nèi)部網(wǎng)絡(luò)與外部網(wǎng)絡(luò)有效的隔離，全部來自外部網(wǎng)絡(luò)的訪問請求都要通過防火墻的檢查，內(nèi)部網(wǎng)絡(luò)的安全將會得到確保。具體有：1、設(shè)立源地址過濾，回絕外部非法IP地址，有效避免了外部網(wǎng)絡(luò)上與業(yè)務(wù)無關(guān)的主機的越權(quán)訪問；2、防火墻只保存有用的WEB服務(wù)和郵件服務(wù)，將其它不需要的服務(wù)關(guān)閉，將系統(tǒng)受攻擊的可能性減少到最小程度，使黑客無機可乘；3、防火墻制訂訪問方略，只有被授權(quán)的外部主機能夠訪問內(nèi)部網(wǎng)絡(luò)的有限IP地址，確保外部網(wǎng)絡(luò)只能訪問內(nèi)部網(wǎng)絡(luò)中的必要資源，與業(yè)務(wù)無關(guān)的操作將被回絕；4、全方面監(jiān)視外部網(wǎng)絡(luò)對內(nèi)部網(wǎng)絡(luò)的訪問活動，并進(jìn)行具體的統(tǒng)計，及時分析得出可疑的攻擊行為；5、網(wǎng)絡(luò)的安全方略由防火墻集中管理，使黑客無法通過更改某一臺主機的安全方略來達(dá)成控制其它資源訪問權(quán)限的目的；6、設(shè)立地址轉(zhuǎn)換功效，使外部網(wǎng)絡(luò)顧客不能看到內(nèi)部網(wǎng)絡(luò)的構(gòu)造，使黑客攻擊失去目的。4.3主機、存儲設(shè)備及數(shù)據(jù)庫為確保生產(chǎn)系統(tǒng)穩(wěn)定運行，主機與存儲系統(tǒng)保持7X24小時的可用。為應(yīng)對可能發(fā)生的重大事件或突發(fā)事件，采用下列方法：（一）在接到緊急停電告知后30-40分鐘內(nèi)按照先數(shù)據(jù)庫、次主機、最后存儲設(shè)備的次序停止全部系統(tǒng)運行，在必要的狀況下，須拔掉全部電源插頭；（二）采用雙機熱備技術(shù)，在其中一臺主機出現(xiàn)異常時，及時進(jìn)行切換；（三）采用硬盤、磁帶庫等設(shè)備作好日常數(shù)據(jù)備份；（四）如果發(fā)生誤刪除操作系統(tǒng)文獻(xiàn)，立刻進(jìn)行文獻(xiàn)系統(tǒng)恢復(fù)（必須有備份）；（五）如果發(fā)生誤刪除數(shù)據(jù)，立刻進(jìn)行數(shù)據(jù)庫恢復(fù)（必須有備份）；（六）如果文獻(xiàn)系統(tǒng)空間不夠，造成系統(tǒng)不能正常運行，立刻進(jìn)行文獻(xiàn)系統(tǒng)擴展。（七）如果數(shù)據(jù)庫表空間局限性，立刻進(jìn)行表空間擴展，同時可能還進(jìn)行文獻(xiàn)系統(tǒng)擴展；（八）在必要狀況下，建立異地數(shù)據(jù)備份中心，以保持?jǐn)?shù)據(jù)安全性。（九）出現(xiàn)重大故障，盡快理解狀況，分析問題和提出應(yīng)急解決方案，做好現(xiàn)場應(yīng)急解決，立刻告知系統(tǒng)服務(wù)商到現(xiàn)場解決，并由系統(tǒng)服務(wù)商提供備件增援。4.4電腦病毒為避免電腦病毒在公司內(nèi)部的傳輸，反毒和信息安全應(yīng)按照“整體防御，整體解決”的原則實施，采用多個手段和產(chǎn)品來切斷電腦病毒的傳輸“通道”。具體方法以下：（一）配備公司級網(wǎng)絡(luò)版殺毒軟件，在公司總部、分公司、營業(yè)部全部聯(lián)網(wǎng)的PC機、PC服務(wù)器上安裝病毒/郵件防火墻，布署統(tǒng)一的公司網(wǎng)絡(luò)防毒系統(tǒng)，實現(xiàn)反毒分級防備和集中安全管理；（二）在公司總部和分公司配備防毒