企業(yè)在安全方面最關(guān)注的其實(shí)是業(yè)務(wù)安全、數(shù)據(jù)安全與安全檢查，這篇文章來(lái)講解一下我對(duì)于等保過(guò)檢的經(jīng)驗(yàn)與建設(shè)。
不同于其他建設(shè)文章，本文會(huì)給出很多落實(shí)方面的建議與方法，希望企業(yè)可以通過(guò)這篇文章，順利通過(guò)過(guò)檢任務(wù)，并保證安全的投入成本與收益的比率。
一、管理
一個(gè)企業(yè)的安全性最終體現(xiàn)在管理與運(yùn)營(yíng)，隨著安全越發(fā)受重視，企業(yè)在安全管理方面也要與時(shí)俱進(jìn)。
1
拓?fù)鋱D
很多人把拓?fù)鋱D分類到技術(shù)中，但我更愿意把拓?fù)鋱D分類到管理中，因?yàn)榭梢酝ㄟ^(guò)拓?fù)鋱D一目了然的知道企業(yè)中每個(gè)設(shè)備的使用，每個(gè)區(qū)域的劃分都很明確，過(guò)檢中過(guò)檢人員第一個(gè)核對(duì)的也是拓?fù)鋱D，那么拓?fù)鋱D方面有什么需要注意的地方呢？
1） 標(biāo)名設(shè)備品牌與型號(hào)
標(biāo)名設(shè)備品牌與型號(hào)的目的是更加直觀明確的看出整個(gè)體系的硬件安全情況，也方便管理，當(dāng)出現(xiàn)廠商漏洞時(shí)可以快速進(jìn)行批量補(bǔ)救工作，避免遺漏。還有目前個(gè)人企業(yè)沒(méi)有要求國(guó)產(chǎn)化率，國(guó)企與事業(yè)單位已經(jīng)做了相關(guān)要求，個(gè)人企業(yè)在敏感行業(yè)也要去國(guó)產(chǎn)化改造，比如支付過(guò)檢。國(guó)產(chǎn)化是大趨勢(shì)，這里建議后期企業(yè)建設(shè)時(shí)優(yōu)先考慮國(guó)產(chǎn)設(shè)備，已經(jīng)使用國(guó)際品牌設(shè)備的企業(yè)，建議盡早進(jìn)行國(guó)產(chǎn)化設(shè)備改造任務(wù)與國(guó)密改
2） 標(biāo)名使用區(qū)域
這里的使用區(qū)域是指物理區(qū)域，比如辦公區(qū)域、業(yè)務(wù)1云區(qū)域、業(yè)務(wù)2云區(qū)域、業(yè)務(wù)3機(jī)房區(qū)域。
3） 標(biāo)名業(yè)務(wù)
需要標(biāo)名過(guò)檢的核心業(yè)務(wù)所在位置，訪問(wèn)核心業(yè)務(wù)的線路，核心業(yè)務(wù)基本信息（包括服務(wù)器信息、網(wǎng)絡(luò)信息、業(yè)務(wù)信息等）。
4） 標(biāo)名隔離情況
標(biāo)名業(yè)務(wù)之間的隔離情況，有些業(yè)務(wù)與業(yè)務(wù)之間是存在關(guān)聯(lián)性的，這樣的情況使得業(yè)務(wù)之間無(wú)法隔離，那么就需要相應(yīng)的安全手段，比如訪問(wèn)控制等。一般是需要隔離的，在等保中雖然沒(méi)有明確要求，但在支付過(guò)檢中是有明確要求，支付業(yè)務(wù)必須是獨(dú)立于所有業(yè)務(wù)的。
2
組織結(jié)構(gòu)
組織結(jié)構(gòu)由二部分組成：人員結(jié)構(gòu)、管理結(jié)構(gòu)。
1）人員結(jié)構(gòu)
這部分主要涉及到的是《信息安全組織建設(shè)管理制度》，這個(gè)文檔主要記錄了安全小組組成人員及任務(wù)，還有各小組之間的協(xié)同關(guān)系，最重要的是當(dāng)發(fā)生情況的時(shí)候能有人通過(guò)這個(gè)制度知道該聯(lián)系誰(shuí)。同樣各小組負(fù)責(zé)人需要制定相關(guān)的制度文檔，放在管理結(jié)構(gòu)中敘述。
2）管理結(jié)構(gòu)
這里要講述的管理文檔就有很多了，大到《信息安全管理辦法》，小到《信息安全考核辦法》，無(wú)論是什么管理文檔，在撰寫定制時(shí)都要考慮的核心是：
（1）適用人群和崗位
（2）是否可以實(shí)現(xiàn)
（3）由誰(shuí)監(jiān)督
（4）觸犯后的措施與流程
整個(gè)文檔的管理在等保中分為4個(gè)類，這里后期會(huì)為大家詳細(xì)講解每一個(gè)文檔，這里只做概述，下文會(huì)放出文檔詳單。
二、技術(shù)
在規(guī)范了管理后還要有相應(yīng)的技術(shù)作為支撐，這里的技術(shù)包括設(shè)備和滲透測(cè)試，本次主要想與大家聊的其實(shí)就是這部分。
1
設(shè)備
等保中會(huì)看的安全設(shè)備包括很多，比如WAF、抗DDoS、堡壘機(jī)、綜合日志審計(jì)、數(shù)據(jù)庫(kù)審計(jì)、IPS/IDS、殺軟、漏掃等等。我們一一敘述。
1）WAF
等保中WAF的選用與規(guī)范其實(shí)重點(diǎn)在于，如果采用廠商設(shè)備，基本就是延用廠商的報(bào)告，很少會(huì)問(wèn)比較細(xì)節(jié)的東西。如果選用開(kāi)源的WAF，那么每個(gè)細(xì)節(jié)都會(huì)問(wèn)到，問(wèn)題如下：
（1）有沒(méi)有登錄界面
（2）登錄用戶有沒(méi)有身份限制
（3）登錄次數(shù)有沒(méi)有做控制
（4）登錄是否有失敗鎖定
（5）是否是所有用戶均采用雙因素登錄
（6）如果有規(guī)則觸發(fā)會(huì)不會(huì)及時(shí)告警，告警方式是什么
（7）規(guī)則支不支持自定義
（8）規(guī)則通過(guò)什么方式升級(jí)
（9）能不能查詢6個(gè)月內(nèi)的攻擊日志
（10）以上所有是否界面化可操作
（11）等等等……
因?yàn)槲以诎踩ㄔO(shè)時(shí)為了節(jié)約安全投入，是采用的開(kāi)源WAF，沒(méi)有界面，甚至除了規(guī)則沒(méi)有一個(gè)符合以上要求，在這里給采用開(kāi)源WAF的安全從業(yè)者一些建議：
（1）采用體系內(nèi)存在的日志管理來(lái)做后臺(tái)登錄界面
（2）告警通過(guò)郵件方式告警即可，這里需要自行編寫判斷發(fā)送郵件的腳本
（3）大部分開(kāi)源WAF都支持自定義規(guī)則，升級(jí)一般通過(guò)手動(dòng)方式升級(jí)，這里可以明言手動(dòng)方式升級(jí)，對(duì)于等保的認(rèn)證沒(méi)有影響，可以升級(jí)就行
（4）界面化的操作如果實(shí)現(xiàn)困難可以和等保檢查人員說(shuō)是后臺(tái)操作，需要登錄服務(wù)器改配置文件，只不過(guò)這里算是一個(gè)建議型問(wèn)題。
2）抗DDoS
如果是云環(huán)境的業(yè)務(wù)，云基礎(chǔ)防御中存在抗DDoS功能的，直接把這個(gè)模塊展示給等保的檢查人員即可。物理機(jī)房建議購(gòu)買一臺(tái)，因?yàn)殚_(kāi)源市場(chǎng)上成型的抗DDoS產(chǎn)品確實(shí)很少。在這里會(huì)看你的閥值設(shè)置，日志查詢和存儲(chǔ)情況。
3）堡壘機(jī)
關(guān)于堡壘機(jī)在等保中會(huì)問(wèn)到的具體問(wèn)題如下：
（1）有沒(méi)有登錄界面
（2）登錄用戶有沒(méi)有身份限制
（3）登錄次數(shù)有沒(méi)有做控制
（4）登錄是否有失敗鎖定
（5）角色是否分為：管理員、普通用戶、審計(jì)管理員
（6）每個(gè)角色是否存在越權(quán)行為
（7）每個(gè)角色是否開(kāi)啟雙因素認(rèn)證
（8）審計(jì)日志是否保留3個(gè)月以上
（9）審計(jì)工作是否被執(zhí)行（執(zhí)行記錄）
（10）堡壘機(jī)后臺(tái)是否為分段密碼
（11）是否采用HTTPS登錄，版本是什么
在這里給大家一個(gè)建議，采用廠商的設(shè)備會(huì)相對(duì)順利一些，如果采用的是開(kāi)源設(shè)備，一定注意是用戶身份，如果沒(méi)有審計(jì)管理員這個(gè)角色，是一般甚至嚴(yán)重問(wèn)題。后臺(tái)的分段密碼只是針對(duì)于廠商設(shè)備，開(kāi)源設(shè)備不要求，HTTPS如果采用開(kāi)源，建議套一層nginx反向代理。雙因素登錄是一般問(wèn)題。
4）綜合日志審計(jì)
一般采用syslog就足夠了，當(dāng)然如果是為了運(yùn)營(yíng)安全著想，要時(shí)常做日志分析，對(duì)于廠商設(shè)備來(lái)說(shuō)分析工作會(huì)相對(duì)簡(jiǎn)單一些，采用syslog自行分析日志開(kāi)發(fā)工作量會(huì)增大。這里會(huì)問(wèn)的問(wèn)題就相對(duì)比較少：
（1）是否集中了所有日志
（2）日志分析工作是否開(kāi)展（證據(jù)）
（3）是否保留6個(gè)月以上日志
5）數(shù)據(jù)庫(kù)審計(jì)
對(duì)于數(shù)據(jù)庫(kù)審計(jì)，建議采用廠商設(shè)備，開(kāi)源的數(shù)審大多以插件為主。會(huì)問(wèn)到的問(wèn)題與WAF大同小異。
6）IPS/IDS
這塊主要看是否存在即可，沒(méi)有問(wèn)太細(xì)的東西，推薦是使用開(kāi)源的IDS就足夠了。
7）殺軟
這塊主要的問(wèn)題如下：
（1）是否存在殺軟
（2）是否定時(shí)查殺
（3）是否審查與修復(fù)（證據(jù)）
8）漏掃
這塊一般使用Nessus就可以了，當(dāng)然這是我想要主推的工具，也是免費(fèi)，也相對(duì)準(zhǔn)確，如果有需要的朋友私信“X安全”可以獲取SC激活版Nessus。關(guān)于Nessus會(huì)問(wèn)如下問(wèn)題：
（1）掃描周期是否設(shè)定（根據(jù)管理文檔設(shè)定，等保規(guī)定每年至少2次）
（2）掃描報(bào)告是否出具（郵箱或本地下載均可）
（3）掃描結(jié)果是否上報(bào)安全組并進(jìn)行改正（證據(jù)）
（4）策略是否為本年度策略（可以不是最新，但是最多不能超過(guò)1年）
說(shuō)明：關(guān)于專業(yè)版Nessus，可以升級(jí)，不限掃描IP數(shù)量。（PS：如有需要此工具者，可在“X安全”上回復(fù)“工具”獲取。）
2
滲透測(cè)試
這里其實(shí)包括兩大類：
1）基線安全
基線安全是服務(wù)器基礎(chǔ)配置安全，包括SSH配置文件的配置，/etc/passwd是否存在不唯一的為0的UID，密碼周期是否為90天等等。關(guān)于基線安全的掃描，如果是云環(huán)境，存在基線安全檢測(cè)，但是我個(gè)人更推薦是基線檢測(cè)腳本，因?yàn)槿绻褂迷茝S商的，需要投入資金。2）應(yīng)用安全包括所有應(yīng)用和網(wǎng)絡(luò)方面的滲透測(cè)試，這部分只能看平時(shí)工作的效果了，沒(méi)有什么建議，最大的建議是當(dāng)時(shí)過(guò)檢人員測(cè)出有什么漏洞及時(shí)修正就好了。等保測(cè)試記住一個(gè)原則，誰(shuí)都是需要體現(xiàn)工作量的，他們不可能給你評(píng)100，差不多就行。
附上管理文檔目錄供大家參考：
