隨著系統(tǒng)規(guī)模日益擴大，支撐金融機構(gòu)業(yè)務(wù)系統(tǒng)的網(wǎng)絡(luò)結(jié)構(gòu)也變得越來越復(fù)雜。其中，重要應(yīng)用和服務(wù)器的數(shù)量及種類日益增多，一旦發(fā)生維護人員誤操作，或者采用一成不變的初始系統(tǒng)設(shè)置而忽略了對于安全控制的要求，就可能會極大的影響系統(tǒng)的正常運轉(zhuǎn)。因此，針對金融行業(yè)的業(yè)務(wù)系統(tǒng)建立安全檢查點與操作指南的安全基線規(guī)范，則成為保障信息系統(tǒng)安全運行的首要步驟。

所謂安全基線規(guī)范，是為了確保通信網(wǎng)絡(luò)上的相關(guān)設(shè)備達到最基本的防護能力要求而制定的一系列達標基準，是一套統(tǒng)一的安全設(shè)置指標。業(yè)務(wù)系統(tǒng)的下層支撐體系幾乎涵蓋了包括操作系統(tǒng)、網(wǎng)絡(luò)設(shè)備、數(shù)據(jù)庫、中間件在內(nèi)的所有類型的設(shè)備與系統(tǒng)。為保證業(yè)務(wù)系統(tǒng)的穩(wěn)定運行，需要在業(yè)務(wù)系統(tǒng)整個生命周期的各個環(huán)節(jié)，對上述設(shè)備與系統(tǒng)的安全配置進行檢查。這些環(huán)節(jié)包括設(shè)備入網(wǎng)、業(yè)務(wù)上線、日常運維、定期巡檢和設(shè)備下線等。安全基線規(guī)范將形成針對不同設(shè)備與系統(tǒng)的詳細檢查表格和操作指南，為標準化的技術(shù)安全操作提供了框架和標準。

通過采用統(tǒng)一的安全基線規(guī)范來指導(dǎo)技術(shù)人員在各類系統(tǒng)上的日常運維操作，讓運維人員有了檢查默認風(fēng)險的標準，但是面對信息系統(tǒng)中種類繁雜、數(shù)量眾多的設(shè)備與系統(tǒng)，真正完成合規(guī)性的系統(tǒng)配置檢查和修復(fù)，卻成為一個費時費力的事情，且對檢查人員的技能和經(jīng)驗要求較高。使用能夠輔助安全檢查與自評估的高效、自動且標準化的配置核查工具就很有必要。

在信息系統(tǒng)中建立完整可靠的安全基線技術(shù)體系需要對安全基線的建立、落實以及管理的過程進行規(guī)劃，使之成為一個具備完整定義的、成熟的、可重復(fù)的過程，在開發(fā)、實施、運行中執(zhí)行此過程的信息系統(tǒng)才具有較高的安全可信度和可靠性。

安全基線技術(shù)體系涉及面廣、性質(zhì)復(fù)雜，整個活動貫穿于信息系統(tǒng)的全部生命周期，是一個復(fù)雜的系統(tǒng)工程，需要通過一種過程性控制方法來保證其有效性。

圖1 安全基線控制過程

建立安全基線的前提

安全基線是一組正式的安全需求規(guī)格。需要經(jīng)過下面的確認程序：

·相關(guān)方分析

·安全需求的確認

·安全政策的確認

相關(guān)方分析是識別確定所有的安全相關(guān)者，相關(guān)方要保證安全需要描述的合理、清晰、確定和一致；安全需求包括安全需要、安全風(fēng)險以及安全風(fēng)險的應(yīng)對策略和安全環(huán)境約束等。安全政策的確認要保證安全政策滿足安全需求的有效性，即可有效地處置風(fēng)險、滿足安全需要。安全基線需要企業(yè)或組織的高層面批準，從而在資源投入及執(zhí)行力度方面得到保障。

定義安全基線

定義安全基線是指確定一組正式的安全需求，這些安全需求應(yīng)覆蓋所有的安全目標并符合所有相關(guān)的安全政策和法規(guī)等外部因素的限定。包括以下幾個方面：

·確定安全目標。安全目標是指使用目標系統(tǒng)內(nèi)資產(chǎn)時的安全目標以及安全保護的程度。高層操作安全目標將影響到相應(yīng)類別中所有資產(chǎn)的具體安全目標，例如“目標系統(tǒng)內(nèi)的數(shù)據(jù)在傳輸?shù)侥繕讼到y(tǒng)外時應(yīng)嚴格防止泄露”。目標系統(tǒng)內(nèi)的每一個可能向外傳輸?shù)男畔ο髴?yīng)基于這個目標制定相應(yīng)的具體目標。

·確定安全基線涉及的方面。安全目標的實現(xiàn)是安全基線制定的目的，所有的安全目標必須有相應(yīng)的安全基線保證。

·定義安全基線內(nèi)容。安全基線需按類別逐條加以定義。每條安全基線應(yīng)有目標系統(tǒng)范圍內(nèi)唯一的標識，該標識可作為安全基線配置管理庫中的配置項標識。

·匹配安全基線與安全目標。安全基線構(gòu)成后，應(yīng)建立安全基線與安全目標的關(guān)系。可以通過匹配矩陣的形式來檢查每個安全目標是由哪些安全基線保證的。針對每一個安全目標，檢查是否安全基線覆蓋了該目標的要求。當安全目標和安全基線數(shù)量較大時，可按類別用多個矩陣表示安全目標與安全基線的關(guān)系。

建立安全基線

信息系統(tǒng)安全基線是一個信息系統(tǒng)的最小安全保證，是該信息系統(tǒng)需要滿足的基本安全要求。

啟明星辰在研究和業(yè)務(wù)安全相結(jié)合的安全基線規(guī)范體系基礎(chǔ)上，參考國內(nèi)外的標準、規(guī)范，充分考慮了金融行業(yè)的現(xiàn)狀和行業(yè)最佳實踐，繼承和吸收了國家等級保護、風(fēng)險評估的經(jīng)驗成果，形成了一套基于業(yè)務(wù)系統(tǒng)的基線安全模型，參見下圖：

圖2 建立安全基線過程

建立安全基線首先需要對業(yè)務(wù)系統(tǒng)進行識別和梳理，然后結(jié)合安全基線模型分析業(yè)務(wù)系統(tǒng)的功能架構(gòu)，再將功能架構(gòu)細化到系統(tǒng)層面的不同模塊。在此基礎(chǔ)上，就是針對業(yè)務(wù)系統(tǒng)特性，分析可能存在的安全威脅，并將針對威脅的應(yīng)對措施逐層分解。安全基線要求主要是由安全漏洞方面、安全配置方面等檢查項構(gòu)成。

落實安全基線

業(yè)務(wù)系統(tǒng)的安全基線建立起來之后，將形成針對不同系統(tǒng)的詳細Checklist表格和操作指南，為標準化的技術(shù)安全操作提供了框架和標準。

在部署安全基線后，可以對目標業(yè)務(wù)系統(tǒng)展開合規(guī)性安全檢查，以找出不符合的項，并選擇和實施安全措施來控制安全風(fēng)險，以確保安全基線的落實。

管理安全基線

安全基線的建立是一個逐漸完善的過程，而且在建立后也不是一成不變的，在系統(tǒng)、組織、應(yīng)用等方面發(fā)生變化后，需要進行及時調(diào)整，尤其對于技術(shù)基線的維護更為重要；在組織結(jié)構(gòu)發(fā)生變化時，需要及時調(diào)整管理策略基線，保證基線的適應(yīng)性。

根據(jù)前面提到的安全基線控制過程，在整個過程中對安全基線的建立、落實、管理的能力將決定信息系統(tǒng)的安全保障水平。

安全基線控制過程是一個非常復(fù)雜有具有挑戰(zhàn)性的工作，需要細致的檢查，大量的專業(yè)知識支撐，管理工作也比較復(fù)雜，因此要更好地完成安全基線控制過程就必須有一套非常實用的安全基線實施工具。啟明星辰提供了一套實用的安全基線解決方案，極大地提高安全基線控制過程的效率和結(jié)果的正確性，其技術(shù)體系框架如圖：

圖3 安全基線解決方案體系框遵循的原則

啟明星辰安全基線解決方案遵循以下原則：

·標準性原則。技術(shù)方案的設(shè)計和具體實施原則上應(yīng)依據(jù)國內(nèi)和國外的相關(guān)標準進行，作為具有國內(nèi)一流攻防實驗室的公司，我們將采用我們多年積累的、服務(wù)于國家核心及關(guān)鍵網(wǎng)絡(luò)的技術(shù)方法對信息系統(tǒng)進行測試。

·規(guī)范性原則。啟明星辰公司是國家批準的首批國家計算機網(wǎng)絡(luò)與信息安全管理中心指定的13家國家計算機網(wǎng)絡(luò)安全服務(wù)A類試點單位之一，也是首批獲得國家測評認證中心安全服務(wù)資質(zhì)的單位，可以為用戶提供規(guī)范的服務(wù)。工作中的過程和文檔，具有很好的規(guī)范性，可以便于項目的跟蹤和控制。

·可控性原則。測試過程和所使用的工具具有可控性。啟明星辰公司有著豐富的安全項目實施經(jīng)驗，承擔(dān)過多項國內(nèi)大規(guī)模的風(fēng)險評估項目，對于項目管理有豐富的經(jīng)驗。在項目中所采用的工具都經(jīng)過多次項目考驗，或者是根據(jù)具體要求和金融行業(yè)的具體業(yè)務(wù)特點定制的，具有很好的可控性。

·整體性原則。安全基線解決方案從金融行業(yè)的實際需求出發(fā)，主要覆蓋網(wǎng)絡(luò)、主機、數(shù)據(jù)庫、中間件等系統(tǒng)的安全層面，保障整體性和全面性。

·最小影響原則。測試工作做到充分的計劃，盡最大可能不影響系統(tǒng)和網(wǎng)絡(luò)的正常運行，確保業(yè)務(wù)的正常提供。

·保密性原則。對測試過程中產(chǎn)生的測試數(shù)據(jù)嚴格保密。

·系統(tǒng)備份和恢復(fù)措施。為避免實際測試過程中可能發(fā)生的不可預(yù)知的風(fēng)險，在測試前應(yīng)對系統(tǒng)或關(guān)鍵數(shù)據(jù)進行備份、確保相關(guān)的日志審計功能正常開啟，一旦出現(xiàn)問題，可以及時的恢復(fù)運轉(zhuǎn)。在測試過程中，如果出現(xiàn)被評估系統(tǒng)沒有響應(yīng)或中斷的情況，應(yīng)當立即暫停測試工作，與客戶方配合人員一起分析情況，采取必要的補救和預(yù)防措施，及時恢復(fù)系統(tǒng)正常運行。

各個不同業(yè)務(wù)系統(tǒng)安全檢測基準的建立和行之有效的檢測手段是安全管理人員面臨的最為重要和迫切的問題。安全運維人員需要具備檢查風(fēng)險的標準。同時面對網(wǎng)絡(luò)中種類繁雜、數(shù)量眾多的設(shè)備和軟件，需要快速、有效的檢查設(shè)備，進行自動化的安全檢查，以及制作風(fēng)險審核報告，并且最終識別那些與安全規(guī)范不符合的項目，以達到整改合規(guī)的要求。

基于多年安全服務(wù)的執(zhí)著實踐，同時結(jié)合用戶對安全評估產(chǎn)品的實際應(yīng)用需求，啟明星辰提出了安全基線整體解決方案，采用工程化途徑實施安全基線技術(shù)體系，通過全過程、全方位地控制安全基線，同時又與信息系統(tǒng)的生命周期相結(jié)合，從而有針對性地解決了安全基線的動態(tài)性、復(fù)雜性和完整性問題。