圖1 安全基線控制過程

建立安全基線的前提

安全基線是一組正式的安全需求規(guī)格。需要經(jīng)過下面的確認(rèn)程序：

相關(guān)方分析

安全需求的確認(rèn)

安全政策的確認(rèn)

相關(guān)方分析是識別確定所有的安全相關(guān)者，相關(guān)方要保證安全需要描述的合理、清晰、確定和一致;安全需求包括安全需要、安全風(fēng)險以及安全風(fēng)險的應(yīng)對策略和安全環(huán)境約束等。安全政策的確認(rèn)要保證安全政策滿足安全需求的有效性，即可有效地處置風(fēng)險、滿足安全需要。安全基線需要企業(yè)或組織的高層面批準(zhǔn)，從而在資源投入及執(zhí)行力度方面得到保障。

定義安全基線

定義安全基線是指確定一組正式的安全需求，這些安全需求應(yīng)覆蓋所有的安全目標(biāo)并符合所有相關(guān)的安全政策和法規(guī)等外部因素的限定。包括以下幾個方面：

確定安全目標(biāo)。安全目標(biāo)是指使用目標(biāo)系統(tǒng)內(nèi)資產(chǎn)時的安全目標(biāo)以及安全保護的程度。高層操作安全目標(biāo)將影響到相應(yīng)類別中所有資產(chǎn)的具體安全目標(biāo)，例如 “目標(biāo)系統(tǒng)內(nèi)的數(shù)據(jù)在傳輸?shù)侥繕?biāo)系統(tǒng)外時應(yīng)嚴(yán)格防止泄露”。目標(biāo)系統(tǒng)內(nèi)的每一個可能向外傳輸?shù)男畔ο髴?yīng)基于這個目標(biāo)制定相應(yīng)的具體目標(biāo)。

確定安全基線涉及的方面。安全目標(biāo)的實現(xiàn)是安全基線制定的目的，所有的安全目標(biāo)必須有相應(yīng)的安全基線保證。

定義安全基線內(nèi)容。安全基線需按類別逐條加以定義。每條安全基線應(yīng)有目標(biāo)系統(tǒng)范圍內(nèi)唯一的標(biāo)識，該標(biāo)識可作為安全基線配置管理庫中的配置項標(biāo)識。

匹配安全基線與安全目標(biāo)。安全基線構(gòu)成后，應(yīng)建立安全基線與安全目標(biāo)的關(guān)系?？梢酝ㄟ^匹配矩陣的形式來檢查每個安全目標(biāo)是由哪些安全基線保證的。針 對每一個安全目標(biāo)，檢查是否安全基線覆蓋了該目標(biāo)的要求。當(dāng)安全目標(biāo)和安全基線數(shù)量較大時，可按類別用多個矩陣表示安全目標(biāo)與安全基線的關(guān)系。

建立安全基線

信息系統(tǒng)安全基線是一個信息系統(tǒng)的最小安全保證，是該信息系統(tǒng)需要滿足的基本安全要求。

啟明星辰在研究和業(yè)務(wù)安全相結(jié)合的安全基線規(guī)范體系基礎(chǔ)上，參考國內(nèi)外的標(biāo)準(zhǔn)、規(guī)范，充分考慮了金融行業(yè)的現(xiàn)狀和行業(yè)最佳實踐，繼承和吸收了國家等級保護、風(fēng)險評估的經(jīng)驗成果，形成了一套基于業(yè)務(wù)系統(tǒng)的基線安全模型，參見下圖：

圖2 建立安全基線過程

建立安全基線首先需要對業(yè)務(wù)系統(tǒng)進行識別和梳理，然后結(jié)合安全基線模型分析業(yè)務(wù)系統(tǒng)的功能架構(gòu)，再將功能架構(gòu)細(xì)化到系統(tǒng)層面的不同模塊。在此基礎(chǔ) 上，就是針對業(yè)務(wù)系統(tǒng)特性，分析可能存在的安全威脅，并將針對威脅的應(yīng)對措施逐層分解。安全基線要求主要是由安全漏洞方面、安全配置方面等檢查項構(gòu)成。

落實安全基線

業(yè)務(wù)系統(tǒng)的安全基線建立起來之后，將形成針對不同系統(tǒng)的詳細(xì)Checklist表格和操作指南，為標(biāo)準(zhǔn)化的技術(shù)安全操作提供了框架和標(biāo)準(zhǔn)。

在部署安全基線后，可以對目標(biāo)業(yè)務(wù)系統(tǒng)展開合規(guī)性安全檢查，以找出不符合的項，并選擇和實施安全措施來控制安全風(fēng)險，以確保安全基線的落實。

管理安全基線

安全基線的建立是一個逐漸完善的過程，而且在建立后也不是一成不變的，在系統(tǒng)、組織、應(yīng)用等方面發(fā)生變化后，需要進行及時調(diào)整，尤其對于技術(shù)基線的維護更為重要;在組織結(jié)構(gòu)發(fā)生變化時，需要及時調(diào)整管理策略基線，保證基線的適應(yīng)性。

根據(jù)前面提到的安全基線控制過程，在整個過程中對安全基線的建立、落實、管理的能力將決定信息系統(tǒng)的安全保障水平。

安全基線控制過程是一個非常復(fù)雜有具有挑戰(zhàn)性的工作，需要細(xì)致的檢查，大量的專業(yè)知識支撐，管理工作也比較復(fù)雜，因此要更好地完成安全基線控制過程 就必須有一套非常實用的安全基線實施工具。啟明星辰提供了一套實用的安全基線解決方案，極大地提高安全基線控制過程的效率和結(jié)果的正確性，其技術(shù)體系框架 如圖：

圖3 安全基線解決方案體系框遵循的原則

啟明星辰安全基線解決方案遵循以下原則：

標(biāo)準(zhǔn)性原則。技術(shù)方案的設(shè)計和具體實施原則上應(yīng)依據(jù)國內(nèi)和國外的相關(guān)標(biāo)準(zhǔn)進行，作為具有國內(nèi)一流攻防實驗室的公司，我們將采用我們多年積累的、服務(wù)于國家核心及關(guān)鍵網(wǎng)絡(luò)的技術(shù)方法對信息系統(tǒng)進行測試。

規(guī)范性原則。啟明星辰公司是國家批準(zhǔn)的首批國家計算機網(wǎng)絡(luò)與信息安全管理中心指定的13家國家計算機網(wǎng)絡(luò)安全服務(wù)A類試點單位之一，也是首批獲得國 家測評認(rèn)證中心安全服務(wù)資質(zhì)的單位，可以為用戶提供規(guī)范的服務(wù)。工作中的過程和文檔，具有很好的規(guī)范性，可以便于項目的跟蹤和控制。

可控性原則。測試過程和所使用的工具具有可控性。啟明星辰公司有著豐富的安全項目實施經(jīng)驗，承擔(dān)過多項國內(nèi)大規(guī)模的風(fēng)險評估項目，對于項目管理有豐富的經(jīng)驗。在項目中所采用的工具都經(jīng)過多次項目考驗，或者是根據(jù)具體要求和金融行業(yè)的具體業(yè)務(wù)特點定制的，具有很好的可控性。

整體性原則。安全基線解決方案從金融行業(yè)的實際需求出發(fā)，主要覆蓋網(wǎng)絡(luò)、主機、數(shù)據(jù)庫、中間件等系統(tǒng)的安全層面，保障整體性和全面性。

最小影響原則。測試工作做到充分的計劃，盡最大可能不影響系統(tǒng)和網(wǎng)絡(luò)的正常運行，確保業(yè)務(wù)的正常提供。

保密性原則。對測試過程中產(chǎn)生的測試數(shù)據(jù)嚴(yán)格保密。

系統(tǒng)備份和恢復(fù)措施。為避免實際測試過程中可能發(fā)生的不可預(yù)知的風(fēng)險，在測試前應(yīng)對系統(tǒng)或關(guān)鍵數(shù)據(jù)進行備份、確保相關(guān)的日志審計功能正常開啟，一旦 出現(xiàn)問題，可以及時的恢復(fù)運轉(zhuǎn)。在測試過程中，如果出現(xiàn)被評估系統(tǒng)沒有響應(yīng)或中斷的情況，應(yīng)當(dāng)立即暫停測試工作，與客戶方配合人員一起分析情況，采取必要 的補救和預(yù)防措施，及時恢復(fù)系統(tǒng)正常運行。

各個不同業(yè)務(wù)系統(tǒng)安全檢測基準(zhǔn)的建立和行之有效的檢測手段是安全管理人員面臨的最為重要和迫切的問題。安全運維人員需要具備檢查風(fēng)險的標(biāo)準(zhǔn)。同時面 對網(wǎng)絡(luò)中種類繁雜、數(shù)量眾多的設(shè)備和軟件，需要快速、有效的檢查設(shè)備，進行自動化的安全檢查，以及制作風(fēng)險審核報告，并且最終識別那些與安全規(guī)范不符合的 項目，以達到整改合規(guī)的要求。

基于多年安全服務(wù)的執(zhí)著實踐，同時結(jié)合用戶對安全評估產(chǎn)品的實際應(yīng)用需求，啟明星辰提出了安全基線整體解決方案，采用工程化途徑實施安全基線技術(shù)體 系，通過全過程、全方位地控制安全基線，同時又與信息系統(tǒng)的生命周期相結(jié)合，從而有針對性地解決了安全基線的動態(tài)性、復(fù)雜性和完整性問題。

zhangcun