字数 3685阅读 1029评论 0赞 3
前言：
随着信息化的高速发展，越来越多的政府，企业把更多的业务放在了互联网上，同样，也暴露出越来越多的安全问题。随着信息安全等保制度2.0时代的到来，也预示着国家对信息安全越来越重视。
但是面对这信息等保的规范标准，作为系统运维人员，都要做那些呢。一直依赖我们都清楚如何做会安全，但又是什么原因使得我们都没有这么做呢。究竟这样的安全规范标准能不能帮我们打造出一个坚不可摧的信息化系统。
本次活动的主旨就是和大家共同讨论信息系统中如何有效的构建安全防护体系，如何规范安全制度，如何让制定的安全制度落地，形成有效的规范制度来保护系统安全。让大家了解新的信息等保标准，如何修补系统中的安全漏洞，减少安全风险。本次活动主要包含：如何保证信息安全？如何建立适合自己的信息安全系统？怎样亡羊补牢，补救出现问题的系统？ 你在使用哪些安全产品？等几方面
说一说你看到的安全隐患
前端时间了解了针对工业控制系统的勒索病毒，和厂家做了些技术交流，也想到了一些我身边存在的隐患和大家分享一下。
在钢铁制造业中，有很多工业控制系统，它们的系统架构并不复杂，有的甚至就是一台服务端。两三台工控机做客户端，系统多种多样。有LINUX，windows,有些windows还必须是英文版，受限与工业控制系统的厂家，很多时候我们对这些系统都没有能力去整合，和规划，它们存在的环境也都相对独立，分散，很多都不接入互联网，但就是这样的环境，往往控制着几千万甚至上亿的工业设备，一旦这些系统出现故障，那造成的损失将是非常巨大的。也就是在这样的环境中。存在着以下严重的问题：
- 这些系统的使用者并非IT人员，而是生产控制人员，他们所了解的多半是关于这些系统里的工业控制参数，而这些系统也往往随着一个大型制造设备的建立而上线，很多时候这些系统上线并不经过常规的信息化公司或者信息化部门去跟进。上线后也没有人运维，其实这种情况同样也存在与其他的事业单位，政府机关等等。这样就造成了一个问题，运行一段时间后。系统没有了维保。整套设备开始处于一个无人管理的状态。没有人维护，巡检，更换硬件，等硬件老化到一定程度，整套系统可能没有任何更新升级的余地了。
- 工业控制系统中的终端都是一些工控机，由于不联网，很多都没有杀毒等安全防护手段，有时候一些U盘的接入就让这种孤立的系统被带入病毒，而导致整个系统出现问题，而使用这些工控终端的使用者又有很多对计算机，信息安全缺少认知，很多系统没有密码或者是只有非常简单的密码，这也就让这些工控终端成为了系统中薄弱的安全点。
- 工业控制系统多半只是控制一些工业阀门，电路，系统出现的一些问题，例如内存，cpu利用率增高，被植入木马，病毒等情况并不能会像信息系统一样被及时的发现。因而也为即使发现，处理病毒带来了一定的困难。
系统安全
如果要上一套新系统有什么安全要求
如果公司要上一套业务系统，比如OA、SAP等，对于安全方面，有什么要求，安全部门需要什么？
答1：
- 一般来说我觉得安全应该从一个整体去考虑。而不是淡淡为某一套业务服务的，如果说要为一套独立的业务系统进行安全考虑。我想我会从以下部分考虑。
- 应用代码安全，数据库加固调优，。系统加固，这些是最基本的，也是不需要投资的。只是需要工程师的经验和技术。
- 系统层面的杀毒，安全防护，这部分投资也不高。整体系统的杀毒也算是基本的安全需求了。
- 针对业务层面的安全，web安全网关，反垃圾邮件，审计设备，这些需要一些投资。可以来弥补工程师技术上的不足。产品众多。需要仔细甄别。最好做测试，对比，
- 备份系统，容灾系统。用来保证系统一旦出现安全事故后还有应急的解决方案。
- 环境安全。针对一些特殊情况。比如机房电力。空调。消防，防水，地板加固等情况的考虑。防止机房环境发生安全事故。
答2：
1.我感觉取决与你们公司的业务，如果我推荐那就太多了，你们可能也用不了。
2.网络方面要上防火墙，业务方面就加行为管理方面的设备就可以
以上是以一个日常使用就可以的，以下是从各方面考虑。
(1)合法用户可以安全地使用该系统完成业务；
(2)灵活的用户权限管理；
(3)防止来自于Internet上各种恶意攻击；
(4)保护系统数据的安全，不会发生信息泄漏和数据损坏；
(5)业务系统涉及各种订单和资金的管理，需要防止授权侵犯；
(6)业务系统直接面向最终用户，需要在系统中保留用户使用痕迹，以应对可能的商业诉讼等。
(7)数据的备份
如何做到以上呢？
- 在原有业务系统网段中安装桌面安全管理系统和CA系统
- 在原有业务系统网段中设置代理服务器或使用IPSec VPN网络设备通信
- 在原有业务系统与Internet互连的边界上，增加隔离网闸和上网行为管理设备
- 在原有业务系统与Internet互连的边界上，增加防火墙和入侵防护系统-
- 异地备份数据，定时备份系统
如何形成一种标准化漏洞管理体系
看了大家在论坛里的提问，大致是预防和处理安全漏洞等，安全漏洞让所有人深恶痛绝。在遇到漏洞打补丁，升级版本的问题上，挑战着攻城狮和维护人员的耐心，经常出现进退两难、左右不是。想到这里，咱们论坛里的高人是否可以给出一个标准化流程，遇到这样的问题，大家照着流程走，解放全世界。
的确。安全漏洞摆在那里。不处理不行，但是升级补丁有风险，升级程序可能有BUG，确实是进退两难
结合我们自身的情况发表一点自己的看法吧。
其实安全规范并没有错。漏洞也确实应该去做。这本没有什么好犹豫的。如今为什么运维人员都对这种本该做的事望而却步。我想原因不外乎几点。
- 行政，管理制度问题，没有人去为可能出现的风险担责。工程师往小了说维护的只是几台设备而已，但往大了说。维护的可能是整个企业的信息命脉。大家都清楚这上面的数据，业务一旦出现问题后果是怎样的。这样大的责任。不是，也不应该完全有运维工程师来承担。
- 缺乏完善，坚固的系统架构，因为系统的容灾，备份能力不足，在没有安全保障的情况下。更新补丁。升级程序无外乎在没有安全带的情况下从高空绳索中走过。相比这种事情大家做过一次便再也不会去冒第二次险了。
- 权衡利弊，以目前的情况分析。维持现状的安全性要高于修补漏洞的安全性。这也是让很多工程师维持现状的原因。
想要形成好的规范。定期修补漏洞，补丁，首先就要有完善的备份，容灾手段，让你的错误可以有其他弥补手段，其次要有高层领导的支持，不能出了问题就由干活的人背黑锅。至于标准化。不仅仅是一套升级补丁的流程，还包括各个方面。申报的备件是否即使购买。申请修改的系统结构是否得到支持，是否有良好的后备技术支持，领导对于安全的重视程度。这些都会决定这安全流程的实施效果。
一般企业应急事件如何处理，应急预案是如何做的？
在企业内部，安全体系建设到一定程度，就需要出台安全事件应急事件的处理和应急预案，一般这种应急预案如何设计和开展？
以我们现有的环境来说。所谓应急预案只是使用现有的条件下出现各种安全问题的临时处置方案，大概包括：
- 网络设备，由于部分网络设备没有替换硬件，比如上网行为管理，计费等设备，所以要整理出来这些设备出现故障，又没有硬件更换时候怎样去临时恢复业务，
- 服务器，包括服务器的系统或硬件的损坏，怎样将现有的业务在最短的时间内恢复回来。做了虚拟化以后这部分就简单了一些。
- 大规模的安全事件，比如病毒爆发，根据以往的经验制定的如果出现大规模的网络问题，怎样去应急处理，然后查找问题。
- 虽然暂时制定了远程数据备份的方案，但条件不满足。现在暂时也并没有完全实施起来。
这其中还没有陈列出机房环境问题的应急预案，比如机房电力，空调，还有受其他自然灾害影响后的预案，因为如果出现这样的问题。我们现有的资金和环境就真的无能为力了
。
不过一个正常的应急预案应该要做的更全面，更稳妥一些，根据你的业务重要性，数据重要性来有所侧重，建立一个完善的应急预案，最终的目标就是你的任何一个网络设备，服务器，应用系统，甚至是机房出现了意外，你都有相对的处置方案来尽可能少的减少带来的损失。
安全等保和ISO27000认证的必要性和两者的区别
做安全等保和ISO27000 安全认证的必要性是什么，是否和单位类型有关，比如政府、金融和上市企业，其它企业单位是否必须要做这块，如果要做，是否只过其中一个就可以了？
1、等级保护和ISO27001的必要性：
等级保护目前是国家推荐的安全防护标准，他是针对单个应用系统的重要性，分级别进行保护，目前主要还是政府、国企类的在做。
ISO27001是国际信息安全标准，对信息安全的要求、范围都比等级保护要来的高，标准的整体性更好(这一点上等级保护标准远远不如)。且ISO27001提到的风险评估在等级保护里不存在。
2、如果要做选哪一个：
看自身情况，如果只是为了满足政府监管要求，那只要做等级保护。如果是为了提高自身的实际信息安全水平，肯定是参照ISO27001做更好。
