中國移動(dòng)公司終端安全控制與審計(jì)建議方案-北信源武漢分公司-20140719

標(biāo)題移動(dòng)公司終端安全控制與審計(jì)建議方案內(nèi)容VRV中移動(dòng)信息安全建設(shè)必要性怎樣進(jìn)行信息安全建設(shè)中移動(dòng)終端安全與審計(jì)建議方案參考標(biāo)準(zhǔn)網(wǎng)絡(luò)與信息安全的重要性網(wǎng)絡(luò)與信息都是資產(chǎn)，具有不可或缺的重要價(jià)值；網(wǎng)絡(luò)與信息安全是企業(yè)運(yùn)營與發(fā)展的基礎(chǔ)和核心；網(wǎng)絡(luò)與信息安全是保證網(wǎng)絡(luò)品質(zhì)、保障客戶利益的基礎(chǔ)；中移動(dòng)的網(wǎng)絡(luò)與信息安全同時(shí)也是國家安全的需要安全需求來源系統(tǒng)化的安全評估法律法規(guī)行政條例合同約束客戶承諾運(yùn)營管理的目標(biāo)和策略結(jié)合經(jīng)驗(yàn)教訓(xùn)和技術(shù)發(fā)展，通過安全評估分析公司網(wǎng)絡(luò)和信息資產(chǎn)所面臨的威脅，存在的薄弱點(diǎn)和安全事件發(fā)生的可能性，并估計(jì)可能對公司造成的各種直接的和潛在的影響。中國移動(dòng)及其合作伙伴、承包商、服務(wù)提供商必需遵守的法律法規(guī)、行政條例和合同約束，以及公司對客戶的服務(wù)承諾。中移動(dòng)公司關(guān)于企業(yè)運(yùn)營管理所指定的目標(biāo)和策略安全事件凸顯信息安全瓶頸利用維測服務(wù)器漏洞侵入系統(tǒng)并植入惡意程序，造成話費(fèi)損失，破壞企業(yè)形象第三方人員通過維護(hù)帳號，通過VPN遠(yuǎn)程修改或者查詢業(yè)務(wù)系統(tǒng)，非法牟利終端漏洞未及時(shí)修復(fù)，被境外間諜利用，竊取內(nèi)部資料的典型案例系統(tǒng)管理員權(quán)限過大，缺乏有效審計(jì)及告警措施相關(guān)行業(yè)政策和法規(guī)要求中國移動(dòng)作為在美國證券交易市場上市的海外發(fā)行人，各省市移動(dòng)作為中國移動(dòng)的子分公司，需要滿足《薩班斯法案》的相關(guān)安全審計(jì)要求。隨著網(wǎng)絡(luò)安全風(fēng)險(xiǎn)的日益加大，國家對防范網(wǎng)絡(luò)安全風(fēng)險(xiǎn)非常重視，為了促進(jìn)信息安全工作的有效開展，信息化領(lǐng)導(dǎo)小組頒發(fā)了《關(guān)于加強(qiáng)信息安全保障工作的意見》，對我國信息安全保障工作做出原則性、戰(zhàn)略性的規(guī)定，提出進(jìn)行等級化保護(hù)的明確要求。內(nèi)容VRV中移動(dòng)信息安全建設(shè)必要性怎樣進(jìn)行信息安全建設(shè)中移動(dòng)終端安全與審計(jì)建議方案參考標(biāo)準(zhǔn)安全體系與安全策略網(wǎng)絡(luò)與信息安全體系（NISS）總綱操作手冊流程、細(xì)則現(xiàn)有規(guī)范國內(nèi)外標(biāo)準(zhǔn)合作方經(jīng)驗(yàn)安全評估結(jié)果技術(shù)管理安全技術(shù)安全設(shè)備網(wǎng)絡(luò)業(yè)務(wù)應(yīng)用組織人員信息資產(chǎn)物理環(huán)境運(yùn)營維護(hù)訪問控制系統(tǒng)開發(fā)業(yè)務(wù)保障安全審計(jì)具體實(shí)施檢查考核效果評估信息安全實(shí)施步驟安全現(xiàn)狀評估安全方案設(shè)計(jì)安全方案實(shí)施安全運(yùn)維管理評估設(shè)計(jì)實(shí)施運(yùn)維安全需求評估安全風(fēng)險(xiǎn)評估物理與環(huán)境安全通信和運(yùn)營管理網(wǎng)絡(luò)和訪問控制系統(tǒng)開發(fā)安全軟件維護(hù)安全終端主機(jī)安全無線網(wǎng)……安全策略制訂安全標(biāo)準(zhǔn)、規(guī)章、程序企業(yè)安全框架結(jié)構(gòu)安全解決方案設(shè)計(jì)訪問控制網(wǎng)絡(luò)安全終端安全數(shù)據(jù)加密防病毒/內(nèi)容安全安全管理……業(yè)務(wù)持續(xù)性計(jì)劃與災(zāi)難恢復(fù)策略安全方案選擇安全產(chǎn)品選擇安全產(chǎn)品實(shí)施訪問控制網(wǎng)絡(luò)安全數(shù)據(jù)加密防病毒/內(nèi)容安全安全管理備份/存儲(chǔ)/容災(zāi)……安全培訓(xùn)安全產(chǎn)品培訓(xùn)安全技術(shù)培訓(xùn)安全運(yùn)維服務(wù)安全掃描安全檢查滲透測試安全加固安全審計(jì)、IDS安全應(yīng)急響應(yīng)安全預(yù)警……安全培訓(xùn)安全產(chǎn)品培訓(xùn)安全技術(shù)培訓(xùn)安全管理培訓(xùn)安全認(rèn)證培訓(xùn)安全風(fēng)險(xiǎn)評估參考標(biāo)準(zhǔn)ISO/IEC17799:2005BS7799PartI：最佳實(shí)踐PartII：體系規(guī)范ISO/IEC13335AS/NZS4360SSE-CMM安全風(fēng)險(xiǎn)評估實(shí)施風(fēng)險(xiǎn)評估準(zhǔn)備資產(chǎn)識別威脅識別脆弱性識別已有安全措施確認(rèn)風(fēng)險(xiǎn)分析確定評估目標(biāo)、評估范圍、組件評估團(tuán)隊(duì)、系統(tǒng)調(diào)研、確定評估依據(jù)對目標(biāo)資產(chǎn)進(jìn)行分類、資產(chǎn)賦值并且劃分資產(chǎn)重要性等級針對可能出在的威脅進(jìn)行分類并且進(jìn)行威脅賦值從技術(shù)層面和管理層面對資產(chǎn)存在的脆弱性進(jìn)行識別評估已有安全措施是否可以降低系統(tǒng)的脆弱性，確認(rèn)是否保留已有安全措施計(jì)算安全風(fēng)險(xiǎn)發(fā)生的可能性、風(fēng)險(xiǎn)等級等內(nèi)容VRV中移動(dòng)信息安全建設(shè)必要性怎樣進(jìn)行信息安全建設(shè)中移動(dòng)終端安全與審計(jì)建議方案參考標(biāo)準(zhǔn)方案提綱中移動(dòng)終端安全與審計(jì)建設(shè)需求背景中移動(dòng)終端安全風(fēng)險(xiǎn)分析與評估資產(chǎn)識別威脅識別脆弱性識別終端安全風(fēng)險(xiǎn)管理建議解決方案需求背景網(wǎng)絡(luò)與信息安全不僅僅是企業(yè)或個(gè)人的問題，而是一個(gè)國家問題，“棱鏡門”事件后凸顯信息安全的重要性，同時(shí)也折射出我國信息安全的薄弱。黨和國家針對網(wǎng)絡(luò)與信息安全高度重視，并且成立網(wǎng)絡(luò)和信息安全領(lǐng)導(dǎo)小組，同時(shí)在“十二五”規(guī)劃和十八屆三中全會(huì)的重要決議中對信息安全做了重要闡述。中移動(dòng)作為在美上市企業(yè)，需要遵從“薩班斯法案”中關(guān)于企業(yè)內(nèi)部相關(guān)安全審計(jì)的要求，同時(shí)作為國資委下屬企業(yè)，有義務(wù)履行黨和國家關(guān)于信息安全建設(shè)的相關(guān)法律和法規(guī)。終端安全作為信息安全的組成部分具有舉足輕重的地位，據(jù)國外知名媒體報(bào)道，全世界每20秒就會(huì)產(chǎn)生一次信息系統(tǒng)入侵事件，而99%的安全管理問題，來自于信息終端。終端安全風(fēng)險(xiǎn)評估-資產(chǎn)識別按性質(zhì)和用途分類按照系統(tǒng)類型分類按照接入方式分類生產(chǎn)終端、辦公終端、業(yè)務(wù)終端、開發(fā)測試終端和臨時(shí)接入終端Windows終端、linux終端、移動(dòng)操作系統(tǒng)終端、其它操作系統(tǒng)有線專網(wǎng)接入、無線接入、遠(yuǎn)程VPN撥號接入等按照終端合規(guī)方式合規(guī)終端、違規(guī)終端終端資產(chǎn)重要性等級資產(chǎn)類型重要性等級定義生產(chǎn)終端很高放置在機(jī)房、監(jiān)控室內(nèi)或公司其它場所，用于網(wǎng)絡(luò)和系統(tǒng)日常維護(hù)和監(jiān)控的終端，安全屬性遭破壞將帶來非常嚴(yán)重?fù)p失。辦公終端高員工個(gè)人使用的訪問企業(yè)信息網(wǎng)和業(yè)務(wù)支撐網(wǎng)各類系統(tǒng)和應(yīng)用的終端，安全屬性遭破壞后將帶來比較嚴(yán)重的損失業(yè)務(wù)終端高放置于公司營業(yè)或客服場所內(nèi)，訪問業(yè)務(wù)支撐網(wǎng)特定應(yīng)用的業(yè)務(wù)操作終端，安全屬性遭破壞后將帶來比較嚴(yán)重的損失開發(fā)測試終端中長期駐場（進(jìn)駐本公司）進(jìn)行運(yùn)維支撐和業(yè)務(wù)支撐的第三方廠家人員，安全屬性遭破壞后將帶來中等程度損失臨時(shí)接入終端中臨時(shí)來訪的第三方人員需要接入中國移動(dòng)網(wǎng)絡(luò)的終端，安全屬性破壞后將帶來中等程度損失終端安全風(fēng)險(xiǎn)評估-威脅識別終端安全威脅識別種類描述惡意代碼和病毒利用終端安全漏洞植入病毒、木馬、惡意代碼、間諜軟件或者竊聽軟件，破壞企業(yè)信息的機(jī)密性、完整性，嚴(yán)重的影響信息系統(tǒng)的完整性（涉及生產(chǎn)、辦公終端）惡意攻擊利用終端密碼脆弱性獲取終端使用權(quán)限或者采用欺騙手段模擬合規(guī)終端獲取系統(tǒng)權(quán)限（涉及生產(chǎn)、辦公及業(yè)務(wù)終端）系統(tǒng)管理員越權(quán)或?yàn)E用權(quán)限系統(tǒng)管理員利用自身的超級權(quán)限，或者采用一些手段獲取超級權(quán)限對業(yè)務(wù)系統(tǒng)進(jìn)行非授權(quán)操作（涉及生產(chǎn)終端）內(nèi)部人員主動(dòng)泄密內(nèi)部人員通過互聯(lián)網(wǎng)、移動(dòng)存儲(chǔ)介質(zhì)等方式將內(nèi)部重要信息泄露（涉及生產(chǎn)、辦公終端）內(nèi)部人員被動(dòng)泄密內(nèi)部人員因安全意識不足，被其它人員盜用終端使用權(quán)限而泄密（例如：離開電腦未鎖屏，涉及生產(chǎn)辦公終端）終端安全風(fēng)險(xiǎn)評估-威脅識別終端安全威脅識別種類描述第三方人員越權(quán)操作第三方人員利用自己所掌握的系統(tǒng)權(quán)限，繞過審計(jì)，違規(guī)篡改業(yè)務(wù)系統(tǒng)信息以獲利（涉及開發(fā)測試終端）臨時(shí)接入人員泄密臨時(shí)接入人員利用內(nèi)部終端漏洞，例如網(wǎng)絡(luò)共享、遠(yuǎn)程桌面等訪問權(quán)限獲取內(nèi)部信息形成泄密一機(jī)多用情況一臺(tái)電腦同時(shí)帶雙網(wǎng)卡或者使用無線網(wǎng)卡等方式，內(nèi)網(wǎng)終端違規(guī)連接外網(wǎng)，造成內(nèi)網(wǎng)信息泄密外來移動(dòng)介質(zhì)隨意接入泄密對移動(dòng)介質(zhì)使用缺乏管理，隨意接入，造成重要信息泄露違規(guī)軟件安裝違規(guī)安裝企業(yè)或者國家相關(guān)部門禁止安裝的軟件，帶來法律風(fēng)險(xiǎn)的同時(shí)引入病毒或者木馬程序。終端安全風(fēng)險(xiǎn)評估-脆弱性識別終端脆弱性識別種類描述操作系統(tǒng)漏洞關(guān)鍵高危系統(tǒng)漏洞未及時(shí)更新，給黑客、木馬等帶來可乘之機(jī)防毒軟件未安裝防毒軟件未安裝或者病毒庫未及時(shí)更新，當(dāng)病毒發(fā)作時(shí)未及時(shí)發(fā)現(xiàn)或者清除，有可能造成其它內(nèi)網(wǎng)終端感染。遠(yuǎn)程連接開啟生產(chǎn)終端、辦公終端、業(yè)務(wù)終端開啟遠(yuǎn)程連接，可能被其它工作人員或者臨時(shí)接入人員獲得終端使用權(quán)限，造成資料泄密終端弱口令終端未配置口令或者口令較弱，容易被人破解，獲取終端使用權(quán)限主機(jī)共享開放終端開放共享目錄，有可能被其它或者外來人員利用，獲取資料guest帳戶開啟開放guest用戶容易造成其它人員使用guest用戶登錄終端硬件資產(chǎn)鑒權(quán)缺失硬件資產(chǎn)可能被使用者更換配置，造成企業(yè)和國有資產(chǎn)損失終端安全風(fēng)險(xiǎn)評估-脆弱性識別終端脆弱性識別種類描述軟件資產(chǎn)鑒權(quán)缺失企業(yè)禁止安裝的軟件、必須安裝的軟件缺乏有效的鑒權(quán)管理，軟件使用混亂終端操作審計(jì)缺失終端對文件的拷貝、刪除、修改等審計(jì)缺失，內(nèi)部人員可隨意將內(nèi)部文件帶出移動(dòng)介質(zhì)操作審計(jì)缺失移動(dòng)介質(zhì)隨意接入，對移動(dòng)介質(zhì)的使用情況缺乏審計(jì)，無法及時(shí)發(fā)現(xiàn)違規(guī)操作終端訪問業(yè)務(wù)系統(tǒng)鑒權(quán)缺失終端在不安全配置情況下、未通過身份鑒權(quán)以及缺乏審核機(jī)制的情況下訪問業(yè)務(wù)系統(tǒng)，造成業(yè)務(wù)系統(tǒng)呈現(xiàn)在不安全的狀態(tài)下終端訪問業(yè)務(wù)系統(tǒng)審計(jì)缺失終端訪問業(yè)務(wù)系統(tǒng)，針對業(yè)務(wù)系統(tǒng)進(jìn)行配置，存在無審計(jì)或者漏審計(jì)的情況，出現(xiàn)事故無法定位，無法及時(shí)告警無線終端接入管控缺失無線終端只要通過企業(yè)WIFI認(rèn)證就可以接入到辦公區(qū)域，由于WIFI共用密碼特性，使得WIFI單一密碼認(rèn)證存在風(fēng)險(xiǎn)，對WIFI接入的外來用戶缺乏審核機(jī)制辦公域終端安全管理建議解決方案邊界整合是終端安全管理實(shí)施的必要條件生產(chǎn)域開發(fā)測試域業(yè)務(wù)域邊界整合終端安全管理技術(shù)體系生產(chǎn)終端辦公終端業(yè)務(wù)終端開發(fā)測試終端臨時(shí)接入終端生產(chǎn)區(qū)域辦公區(qū)域開發(fā)測試區(qū)域業(yè)務(wù)區(qū)域訪問控制終端安全配置終端安全審計(jì)訪問控制策略實(shí)施模型各級系統(tǒng)管理員、系統(tǒng)審核員終端NAC設(shè)備或系統(tǒng)訪問目的對象NAC身份鑒權(quán)安全配置鑒權(quán)生產(chǎn)區(qū)域辦公區(qū)域開發(fā)測試區(qū)域業(yè)務(wù)區(qū)域終端類型、終端使用者、接入域、接入目的、訪問對象終端訪問控制安全域劃分終端類型訪問控制域生產(chǎn)終端只允許訪問生產(chǎn)域中的生產(chǎn)系統(tǒng)、應(yīng)用和設(shè)備辦公終端允許訪問企業(yè)信息網(wǎng)中的系統(tǒng)和應(yīng)用，受限訪問業(yè)務(wù)支撐網(wǎng)中特定的系統(tǒng)和應(yīng)用業(yè)務(wù)終端允許受限訪問業(yè)務(wù)支撐網(wǎng)中特定的系統(tǒng)和應(yīng)用開發(fā)測試終端只允許訪問開發(fā)測試域，受限訪問相關(guān)的技術(shù)支持和服務(wù)網(wǎng)站，不允許訪問除此以外的任何域外環(huán)境臨時(shí)接入終端原則上只允許接入辦公域，如需接入其它域則必須經(jīng)過流程審批，審批通過后方可接入，在接入生產(chǎn)域和業(yè)務(wù)域時(shí)必須由本公司相關(guān)接口人全程陪同終端訪問控制鑒權(quán)安全基礎(chǔ)鑒權(quán)所有終端接入網(wǎng)絡(luò)之前必須安裝終端安全管理客戶端軟件，接受終端安全管理平臺(tái)的管理和監(jiān)控，未安裝該客戶端的終端不得接入中國移動(dòng)網(wǎng)絡(luò)。身份鑒權(quán)（可選）安全配置鑒權(quán)終端接入網(wǎng)絡(luò)必須接受終端安全策略檢查并通過終端接入安全認(rèn)證，未通過認(rèn)證接入的終端無法訪問任何系統(tǒng)、應(yīng)用和設(shè)備。終端接入網(wǎng)絡(luò)之前可選擇對終端進(jìn)行身份鑒權(quán)認(rèn)證，未通過身份鑒權(quán)的終端無法訪問任何系統(tǒng)、應(yīng)用以及設(shè)備。終端安全配置策略實(shí)施模型資產(chǎn)管理存儲(chǔ)介質(zhì)管理補(bǔ)丁分發(fā)管理其它安全策略管理終端安全客戶端代理程序終端安全管理及策略服務(wù)器終端安全登錄管理終端安全登錄管理第一、二、三、四類終端必須設(shè)置屏幕保護(hù)程序（自助業(yè)務(wù)終端除外），屏保啟動(dòng)等待時(shí)間應(yīng)小于10分鐘，在恢復(fù)操作系統(tǒng)界面時(shí)應(yīng)采用帳號口令保護(hù)方式。雙重認(rèn)證安全登錄管理USBKey與操作系統(tǒng)不同權(quán)限用戶綁定；USBKey登錄權(quán)限劃分管理USBKey拔除實(shí)時(shí)鎖屏管理，屏保鎖屏管理，注銷鎖屏管理；USBKey用戶登錄情況審計(jì)管理禁用安全模式登錄；資產(chǎn)管理硬件資產(chǎn)管理軟件資產(chǎn)管理禁止終端使用者擅自拆裝終端設(shè)備，自行添加、拆除或更換硬件。生產(chǎn)終端和第三類業(yè)務(wù)終端上不允許安裝與系統(tǒng)設(shè)備維護(hù)、應(yīng)用操作無關(guān)的軟件，第二類辦公終端上不允許安裝和工作無關(guān)的軟件（如游戲軟件）硬件資產(chǎn)自動(dòng)登記硬件資產(chǎn)查詢硬件資產(chǎn)違規(guī)統(tǒng)計(jì)硬件資產(chǎn)違規(guī)告警軟件資產(chǎn)自動(dòng)登記軟件資產(chǎn)查詢軟件安裝白名單管理軟件安裝黑名單管理軟件資產(chǎn)違規(guī)統(tǒng)計(jì)軟件資產(chǎn)違規(guī)報(bào)警存儲(chǔ)介質(zhì)管理存儲(chǔ)介質(zhì)接入認(rèn)證存儲(chǔ)介質(zhì)讀寫控制存儲(chǔ)介質(zhì)分區(qū)管理存儲(chǔ)介質(zhì)加密控制內(nèi)、外網(wǎng)使用控制指定文件審計(jì)管理介質(zhì)使用審計(jì)管理其它USB介質(zhì)識別生產(chǎn)終端和業(yè)務(wù)終端不得私自連接、裝配刻錄光驅(qū)、磁帶機(jī)、移動(dòng)硬盤、閃存盤等移動(dòng)存儲(chǔ)設(shè)備，需要進(jìn)行數(shù)據(jù)交換時(shí)必須使用專用移動(dòng)存儲(chǔ)介質(zhì)，嚴(yán)禁使用個(gè)人移動(dòng)存儲(chǔ)介質(zhì)，專用移動(dòng)存儲(chǔ)介質(zhì)須由專人保管并確保信息安全。終端設(shè)備送修時(shí)必須拆除硬盤或者不可恢復(fù)的刪除與公司相關(guān)的數(shù)據(jù)資料，若因硬盤損壞而送修，則維修期間應(yīng)有本公司終端維護(hù)人員在場。軟件消除硬件消除消磁消除粉碎消除形態(tài)：光盤或者U盤擦除方式：內(nèi)容擦除，擦除后硬盤可再次使用優(yōu)勢：可按分區(qū)擦除劣勢：不可擦除系統(tǒng)分區(qū)，速度慢形態(tài)：專用硬件設(shè)備擦除方式：內(nèi)容擦除，擦除后硬盤可再次使用優(yōu)勢：擦除速度快劣勢：不可按分區(qū)擦除形態(tài)：專用硬件設(shè)備擦除方式：硬盤消磁，擦除后硬盤不可再次使用優(yōu)勢：擦除速度快劣勢：存儲(chǔ)介質(zhì)摧毀形態(tài)：專用硬件設(shè)備擦除方式：物理粉碎，擦除后硬盤不可再次使用優(yōu)勢：速度快劣勢：存儲(chǔ)介質(zhì)摧毀補(bǔ)丁分發(fā)管理其它安全策略管理禁止雙網(wǎng)卡連接：所有終端都不允許以雙網(wǎng)卡（包括有線網(wǎng)卡和無線網(wǎng)卡）的方式連接相同或者不同的網(wǎng)絡(luò)。第一類生產(chǎn)終端和第三類業(yè)務(wù)終端不得私自連接、裝配刻錄光驅(qū)、磁帶機(jī)、移動(dòng)硬盤、閃存盤等移動(dòng)存儲(chǔ)設(shè)備。違規(guī)外聯(lián)告警硬件管理策略具有雙網(wǎng)卡終端連外網(wǎng)告警自動(dòng)禁用雙網(wǎng)卡、關(guān)機(jī)、斷網(wǎng)等驅(qū)動(dòng)層禁用光驅(qū)、USB口驅(qū)動(dòng)層禁用無線網(wǎng)卡、3G網(wǎng)卡、智能手機(jī)連接上網(wǎng)等安全審計(jì)實(shí)施模型主機(jī)審計(jì)網(wǎng)絡(luò)審計(jì)業(yè)務(wù)審計(jì)終端層網(wǎng)絡(luò)層業(yè)務(wù)層數(shù)據(jù)庫審計(jì)運(yùn)維審計(jì)系統(tǒng)（堡壘機(jī)）內(nèi)外網(wǎng)行為審計(jì)主機(jī)監(jiān)控審計(jì)主機(jī)審計(jì)網(wǎng)絡(luò)審計(jì)網(wǎng)絡(luò)行為審計(jì)基于源、目的、端口的行為審計(jì)（生產(chǎn)網(wǎng)、辦公網(wǎng)）基于網(wǎng)絡(luò)會(huì)話的審計(jì)和回放（生產(chǎn)網(wǎng)、辦公網(wǎng)）外網(wǎng)文件聊天、文件傳輸?shù)刃袨閷徲?jì)（辦公網(wǎng)、臨時(shí)接入終端）郵件外發(fā)審計(jì)（辦公網(wǎng)、臨時(shí)接入終端）基于URL的訪問