安全審計范例

摘要：企業網絡信息安全關系著企業發展的命脈，而信息安全審計是企業信息安全的保護盾。防止企業內部人員對機密文件的竊取和泄漏，以及員工在互聯網上訪問和非法內容，進而保障企業的合法利益。信息安全審計幫助企業更加有效地管理自身軟硬件安金。針對安全審計系統的發展，本文研究分析了不同匹配技術的算法，為系統的開發和應用提供了技術方向。

關鍵詞：信息安全；審計技術；發展

隨著互聯網的蓬勃發展，世界已經進入了網絡信息時代，網絡已經成為完成工作不可或缺的方式之一。并且眾多的企業、銀行、政府份份將核心業務基于網絡來實現，大數據為我們帶來便利的同時，也帶來許多隱患。不斷有企業信息被泄漏，不斷有企業的財產受到侵害。一方面企業需要加強對員工的管理機制，另一方面企業需要建立必要的防御措施。而信息安全審計技術的發展和應用為當今的企業信息安全提供保障。

1信息安全審計的定義

信息安全審計是針對網絡用戶行為進行的管理，揭示信息的安全風險，改進信息安全的現狀，滿足信息安全的合規要求。運用網絡數據包獲取、分析、阻斷等技術實現對網絡信息傳插的有效監管，它能對網絡動態進行監控，記錄網絡中發生的一切，尋找違法和違規的行為，為用戶提供事后取證依據。防火墻就好比保護內部系統的城墻，而信息安全審計就是巡警，它一直在城墻內巡邏檢查，監視著城堡內發生的一切，并會對突發狀況做及時處理。

2信息安全審計的作用

伴隨著信息技術的發展，許多部門和單位對信息系統的依賴性日益嚴重，一旦信息系統出現問題，就會對單位部門造成較大損失。同時，許多單位的信息安全系統都會面臨來自內部或外部的攻擊，這些攻擊都是為了竊取信息，如果信息安全系統的不完善，就容易造成各種信息泄漏問題。在信息安全問題中，很多是由于內部員工違規操作導致的，一部分是內部員工有目的地竊取信息資源，用以謀取個人利益，而另一部分是由于內部員工不小心的違規操作導致信息泄漏，這些操作都會影響系統的安全運行，會給企業造成巨大損失。信息安全審計與一般的審計相比，信息安全審計不僅增強了信息的處理功能，而且全面提升了審計深度性和針對性。但是目前的網絡安全仍舊注重對外部入侵的防護，而忽略了內部防護措施的構建，很多企業是通過建立防火墻來抵御外部入侵，這樣容易造成內部資料的丟失。因此，信息安全審計應當從企業內部入手，解決內部人員違規操作，規范內部人員的上網行為，提高網絡系統的安全性。同時，良好的安全審計并非簡單的“日志記錄”，而是通過分布式的安全審計，對操作系統和網絡系統進行監控，對各種未授權的活動進行阻斷和報警，從而防止內部網絡信息的泄漏和非法傳插。同時信息安全審計系統能確定問題和鎖定攻擊源，為調查取證提供必要資料。

摘要：基于對基層央行信息安全審計難點及對策的研究，首先，闡述基層央行信息安全審計主要內容，包括計算機場地審計、業務網資源與結構的審計。然后，分析基層央行信息安全審計中制度落實不到位、硬件投入不足等難點工作。最后，為保證基層央行信息安全審計工作順利展開，給出落實規章制度、加強硬件投入力度、構建運維平臺、制定應急預案、加強風險識別工作、做好教育培訓工作等有效措施。

關鍵詞：基層央行；信息安全審計；計算機

近年來，基層央行更加重視信息安全管理工，所以針對信息安全管理展開一系列信息安全審計工作。通過對相應設備設施以及計算機場地等有效性與安全性的審查，提高基層央行相關工作人員的信息安全意識，提高基層央行的管理水平與管理效率。雖然基層央行在展開信息安全審計工作時，能夠從各個方面入手，但是在其中仍然存在問題與工作難點，對信息安全審計造成一定影響。所以，本文見針對基層央行信息安全審計難點及對策等內容進行相應闡述。

1.基層央行信息安全審計主要內容

1.1計算機場地審計

基層央行的信息安全審計工作的主要內容包括對計算機場地的管理，檢查計算機場地是否設置在本行的辦公樓當中，計算機場地所在位置以及所在樓層設計的科學性與合理性是否得到保障；檢查計算機場地墻立面、頂棚是否存在滲水現象與漏水現象，場地結構與計算機場地裝修所使用材料是否存在一定的防火性，防火性能夠滿足正常標準；計算機場地中的門、窗防護性能是否良好，并且檢查在門、窗位置是否堆放易燃易爆物品或者其他物品，物品堆放是否存在風險；關鍵的設備設施是否做好相應的物理接觸控制工作。

1.2業務網資源與結構的審計

[摘要]2019年，德勤企業管理咨詢有限公司（以下簡稱德勤咨詢）官網《全球風險管理調查（第11版）》（GlobalRiskManagementSurvey11th），再次強調了網絡安全的重要性。隨著互聯網時代的深入發展，互聯網以其方便、快捷、及時的特點在各個領域應用開來，但“科技是把雙刃劍”，互聯網在帶來諸多益處的同時，也不可避免地帶來一些網絡安全問題。

[關鍵詞]網絡安全;內部審計;風險管理;啟示

為有效應對不斷升級的全球網絡安全風險，美國、澳大利亞審計署在網絡安全審計方面進行了研究和探索，并形成一套行之有效的審計方法。德勤咨詢調查顯示，67%的受訪者認為網絡安全將成為影響業務開展最主要的三種風險之一，但是只有50%的受訪者對網絡安全持樂觀態度。為此，筆者編譯了美國、澳大利亞審計署、安永公司和德勤咨詢的部分審計報告，總結了其關于網絡安全審計的主要做法，并結合中國人民銀行（以下簡稱人民銀行）網絡安全現狀，提出加強和改進人民銀行網絡安全審計工作的建議。

一、主要觀點綜述

（一）網絡安全的重要性日益增加

德勤咨詢認為，對于機構而言，網絡安全風險管理在防止破壞性攻擊、經濟損失、來自客戶的網絡安全風險、敏感數據的丟失及惡意攻擊等方面作用較大。當面對來自國家行動方的威脅或來自第三方的安全風險時，德勤咨詢指出，機構的風險管理制度缺乏有效性,目前具有挑戰性的問題是如何保持超前于不斷變換的業務需求(如移動社交、云計算)和有效應對來自高級黑客的威脅。

（二）解決數據風險和IT系統風險是首要任務

信息安全管理體系（InformationSecurityManagementSystem，以下簡稱為ISMS）和能力成熟度模型集成（CapabilityMaturityModelIntegration，以下簡稱為CMMI），是當前較為流行的并被大多數軟件企業普遍接受和引入的認證體系。其中ISMS是按照ISO/IEC27001標準《信息技術安全技術信息安全管理體系要求》的要求進行建立的，要求組織機構單位制定信息安全管理方針和策略，采用風險管理的方法進行信息安全管理計劃、實施、評審檢查、改進的信息安全管理執行的工作體系；CMMIDEV2.0是美國卡耐基梅隆大學軟件工程研究所（SoftwareEngineeringInstitute，SEI）在2018年推出的最新軟件過程改進模型，著力強調高層全程參與以提升企業能力，涵蓋了軟件研發過程的20個實踐域，是一個軟件、產品和系統開發的優良實踐過程改進模型，能夠全方位指導組織提升績效。當前組織在導入這兩個體系時，往往將其視為獨立的系統分別實施，一方面加大了企業導入的工作量和成本，另一方面也不利于組織在企業中推廣和實施。但事實上ISMS中關于權責分離與訪問控制、外包管理、安全需求分析、安全設計與研發、安全測試與驗收，變更控制等條款的要求都與CMMI的部分實踐高度相關。如何將這兩個體系更好的進行融合，既能滿足ISMS的審計要求，同時也能達成CMMI實踐的要求并同時提升組織流程的一致性是業界一直關注的焦點問題，也是本文會闡述的重點。

1ISMS與CMMI的對應關系

按照ISMS管理體系的要求，本文整理了CMMI相關條款與之對應的實踐域，從軟件研發的角度而言，我們把兩者之間的對應關系分為需求、設計編碼與集成、測試與驗收、配置管理與變更、外包管理、風險管理、治理（GOV）和過程資產開發共八個大類，如表1所示。

2基于ISMS要求的CMMI研發流程調整

2.1行動能力域。（1）ISO27000的條款4.2理解相關方的需求和期望和A.14.1.1安全需求分析和規范這兩個條款要求識別信息安全管理體系的相關方及他們對信息安全相關的要求（其中包括法律，法規要求和合同義務），在當前CMMI2.0體系的實踐域需求開發和管理（RDM）中有挖掘需求的實踐要求，需要在需求開發和管理的過程中增加識別信息安全需求的活動，并在輸出的模板調研記錄和需求規格說明書中增加信息安全的需求章節的描述。（2）ISO27000的條款A.14.2開發和支持過程中的安全要求確保在整個信息系統生命周期中的信息安全設計與實施。在當前CMMI2.0體系的實踐域技術解決方案（TS）中的活動中增加安全設計活動，并在輸出的模板概要設計、詳細設計增加基于信息安全需求進行設計的章節，在開發管理過程中增加安全編碼規范和編碼過程中對代碼進行安全審計。（3）ISO27000的條款A.14.2.7外包開發中要求組織宜管理和監視外包系統開發活動，在當前CMMI2.0體系的實踐域供方協定管理（SAM）中有針對供應商和供應商的績效進行監視和評價，需要增加對供應商的安全管理的監控，對供應商的項目管理過程中的安全性進行監控。（4）ISO27000的條款A.14.2.8系統安全測試、A.14.2.9系統驗收測試要求在開發的過程中，必須測試功能的安全性、在建立新系統，升級系統和更新版本時，必須建立驗收測試程序和相關標準。在當前CMMI2.0體系的實踐域驗收和確認（VV）中需要增加獨立的安全測試規范與安全測試模板。并輸出：安全測試方案，安全測試用例，安全測試報告。（5）ISO27000的條款A.14.3測試數據要求確保測試數據的安全,需要根據數據的保密級別進行相應的處理。如需要保密的數據需要進行脫敏處理。當前CMMI2.0體系的實踐域驗收和確認（VV）中測試管理規范中增加對測試數據的管理規則。

2.2管理能力域。在ISO27000的條款8.2和8.3條款是針對信息安全的風險進行評估和處理，在A.6.1.5項目管理中的信息安全中特別強調在項目研發過程中要在項目管理中考慮信息安全的風險。在信息安全管理體系中識別風險需要考慮：資產價值，弱點、威脅。資產價值：首先識別資產，軟件類別（重要軟件、一般軟件），處理的數據（絕密，機密、內部數據、公開數據）等。再次識別資產的（完整性，保密性和可用性）來計算出資產價值以識別重要資產。弱點庫：例如缺乏軟件分發管理機制、缺乏軟件開發/采購安全保障機制、程序設計漏洞、缺乏漏洞管理機制威脅：例如蓄意破壞/篡改、非授權訪問/使用、數據丟失、操作失誤當前CMMI2.0體系要求中，并未對安全風險進行明確要求，為了滿足ISMS的審計要求，需要在風險與管理機會實踐域中定義流程時，將對安全風險的識別作為必需的選項，并在模板中明確標識需要識別安全相關的風險，修改對應風險評估參數為：資產價值、弱點、威脅以此來計算風險值，其計算公式為：風險值=資產價值×弱點值×威脅值。

2.3實現能力域。ISO27000的條款的A.14.2.3運行平臺變更后對應用的技術評審、A.14.2.2系統變更控制規程、A.14.2.4軟件包變更的限制要求針對變更管理有流程來進行控制、A.14.2.3運行平臺變更后對應用的技術評審都要要求對變更進行影響分析并執行適當的評審。當前CMMI2.0體系的實踐域配置管理（CM）要求過程已經明確定義了變更的管理過程和CCB組織的建立。需要特別指明CCB的成員應該包括公司的信息安全管理員，以平衡變更是否會引起信息安全方面的問題。ISO27000的條款A.8.2信息分類、A.9.4.5程序源碼的訪問控制要求按照不同的信息分類級別來進行文件和源代碼的訪問管理。當前CMMI2.0體系的實踐域配置管理（CM）有目錄角色的訪談權限列表，需要增加基于文檔的秘級來進行權限列表的分配，以控制未授權的訪問。

［摘要］

隨著校園網絡在各高校的迅速普及，網絡已成為大學生學習和日常生活不可缺少的工具。因此,保障學校所有人員安全使用網絡，成為當前各校網絡建設中不可忽視的首要問題。網絡安全中最重要的一部分就是對學校網絡進行安全的審計和監控，本文著重介紹網絡安全審計系統是如何部署的，以及它的各項系統的功能是如何發揮的。

［關鍵詞］

學校；網絡安全；審計

隨著我國互聯網技術的快速發展，基礎的網絡設施得到進一步完善，互聯網在各企事業單位中得到充分利用。近幾年，學校投入大量人力、物力、財力進行信息化建設，利用網絡來管理校園工作、信息，提高了學校的工作效率。在信息系統快速發展的同時，網絡管理的安全問題日益突出。因為學校的工作人員除了利用網絡辦公外，還有利用網絡購物等一些與辦公無關的行為，這之間可能有意無意地泄露了學校的機密，學校很難追查是誰泄密的。因此，如果對網絡不進行監管，網絡安全問題將成為學校的效率的殺手，并給學校帶來很多麻煩。

1網絡審計功能特性概述

1.1機器分組管理

1定級的標準及其依據

根據《基本要求》的規定，二級要求的系統防護能力為：信息系統具有抵御一般攻擊的能力，能防范常見計算機病毒和惡意代碼危害的能力，系統遭受破壞后，具有恢復系統主要功能的能力。數據恢復的能力要求為：系統具有一定的數據備份功能和設備冗余，在遭受破壞后能夠在有限的時間內恢復部分功能。按照二級的要求，一般情況下分為技術層面和管理層面的兩個層面對信息系統安全進行全面衡量，技術層面主要針對機房的物理條件、安全審計、入侵防范、邊界、主機安全審計、主機資源控制、應用資源控制、應用安全審計、通信完整性和數據保密性等多個控制點進行測評，而管理層面主要針對管理制度評審修訂、安全管理機構的審核和檢查、人員安全管理、系統運維管理、應急預案等方面進行綜合評測。其中技術類安全要求按照其保護的側重點不同分為業務信息安全類（S類）、系統服務安全類（A類）、通用安全防護類（G類）三類。水利信息系統通常以S和G類防護為主，既關注保護業務信息的安全性，又關注保護系統的連續可用性。

2水利科研院所信息安全現狀分析

水利科研院所信息系統結構相對簡單，在管理制度上基本建立了機房管控制度、人員安全管理制度等，技術上也都基本達到了一級防護的要求。下面以某水利科研單位為例分析。某水利科研單位主機房選址為大樓低層(3層以下)，且不臨街。機房大門為門禁電磁防盜門，機房內安裝多部監控探頭。機房內部劃分為多個獨立功能區，每個功能區均安裝門禁隔離。機房鋪設防靜電地板，且已與大樓防雷接地連接。機房內按照面積匹配自動氣體消防，能夠對火災發生進行自動報警，人工干預滅火。機房內已安裝溫度濕度監控探頭，對機房內溫濕度自動監控并具有報警功能，機房配備較大功率UPS電源，能夠保障關鍵業務系統在斷電后2小時正常工作。機房采用通信線路上走線，動力電路下走線方式。以上物理條件均滿足二級要求。網絡拓撲結構分為外聯區、對外服務區、業務處理區和接入區4大板塊，對外服務區部署有VPN網關，外部人員可通過VPN網關進入加密SSL通道訪問業務處理區，接入區用戶通過認證網關訪問互聯網。整個網絡系統未部署入侵檢測（IDS）系統、非法外聯檢測系統、網絡安全審計系統以及流量控制系統。由上述拓撲結構可以看出，現有的安全防護手段可基本保障信息網絡系統的安全，但按照二級要求，系統內缺少IDS系統、網絡安全審計系統和非法外聯檢測系統，且沒有獨立的數據備份區域，給整個信息網安全帶來一定的隱患。新的網絡系統在外聯區邊界防火墻下接入了入侵檢測系統（IDS），新規劃了獨立的數據備份區域，在核心交換機上部署了網絡審計系統，并在接入區安裝了非法外聯檢測系統。形成了較為完整的信息網絡安全防護體系。

3信息系統安全等級測評的內容

3.1信息系統等級保護的總體規劃

信息系統從規劃到建立是一個復雜漫長的過程，需要做好規劃。一般情況下,信息系統的安全規劃分為計算機系統、邊界區域、通信系統的安全設計。相應的技術測評工作也主要圍繞這3個模塊展開。

1智能電網網絡安全面臨的威脅

1.1信息通信技術的廣泛應用將網絡信息安全問題傳導到電網系統

大數據、云計算、物聯網、移動互聯網、寬帶無線等信息通信技術的普遍應用，加大了智能電網遭受病毒、木馬、系統漏洞、拒絕服務等安全攻擊的幾率，這也給傳統以物理防護為主的電力信息安全防護體系帶來了挑戰。尤其是美國大面積網絡癱瘓事件，為關鍵信息基礎設施的安全防護提出了更高的要求。

1.2智能電網雙向互動模式增加了信息安全風險

隨著物聯網、互聯網等新一代信息技術與智能電網的有效融合，促使傳統電網逐步向智能電網雙向互動服務模式轉型，用戶側能夠借助智能終端及時掌握與了解自己的用電情況以及供電能力、停電信息等內容，從而對用電時間進行合理安排。但在智能電網給電力運行及控制帶來便利的同時，也使得無線公網的接入增加了原有電網的信息安全風險。此時，攻擊者就會攻擊電網業務邏輯等環節的漏洞，并且，隨著時間的遞增攻擊方式也會更加趨于多樣化、定制化以及組織化，這種具有較強潛伏性及危害性的網絡威脅，直接影響著智能電網的正常運行與電力服務。

1.3海量異構終端加大了安全接入風險

與傳統電網相比新型電網的異構智能終端多樣化、網絡安全防護邊界泛在化、業務安全接入需求多樣化，這也直接增加了用電側終端信息泄露、非法接入以及失控等一系列安全風險，加大了異構智能終端的安全防護難度，致使異構終端的漏洞挖掘、完整性保護、機密性保護以及攻擊防御難度顯著增加，同時對不同種類的智能終端以及移動終端的接入方式與安全防護提出了更加嚴格的要求。在對智能電網進行安全檢查時發現，很多電力信息系統終端由于弱口令的安全脆弱性、遠程服務防護不足等，使得終端安全防護存在一定的不足之處。

摘要:在全球科技高速發展、全球網絡開放共享的今天，政府和企業在向數字化轉型的同時，必然會面臨數據泄露、惡意攻擊、人才流失等諸多網絡安全問題，同時也會給網絡安全技術的發展帶來巨大的機遇。從安全審計、安全防護和安全服務3個角度出發，闡述了企業在網絡安全綜合體系建設中的工作思路和想法。

關鍵詞:網絡安全;安全審計;安全防護;安全服務;安全體系

0引言

一直以來，國家對各行業的信息系統安全保護非常重視，早在1994年就了《中華人民共和國計算機信息系統安全保護條例》。2014年2月27日，中央網絡安全和信息化領導小組宣告成立，中共中央總書記、國家主席、中央軍委主席親自擔任組長，顯示出國家最高層保障網絡安全、維護國家利益、推動信息化發展的決心。指出“沒有網絡安全，就沒有國家安全”。在當前復雜的國際和國內網絡安全局勢下，國家最高層的這一戰略部署顯得尤為重要。2016年11月7日《中華人民共和國網絡安全法》，2017年6月1日起正式施行，旨在保護公眾個人信息安全，落實網絡服務商主體責任，保護關鍵基礎信息設施，表明維護國家網絡主權的堅強決心。社會的發展加速了信息化的步伐，隨之而來的是無處不在的安全風險，然而又不會讓你刻意感受到它們的存在。企業在業務建設初期一般只會著重考慮業務的互聯互通性和平穩性，相對而言弱化了安全防護方面的建設，不可避免地會留下大量的安全隱患，這些安全漏洞一旦被不懷好意的攻擊者發現，并通過網絡技術加以利用，后果將不堪設想。近幾年來全球頻發的諸如數據泄露、信息系統遭受攻擊等信息安全事件，使得大部分企業開始越來越重視網絡安全體系的建設，其目的是保障企業信息和業務的機密性、完整性和可用性。根據國家等級保護的要求，遵循完整性、經濟性、動態性、專業性、標準性、可控性、易用性、可管理性的原則，一般企業大致可以從安全審計、安全防護、安全服務3個方面進行網絡安全綜合體系建設。

1安全審計

通常安全審計系統由5個關鍵模塊組成:采集器、Agent、通信模塊、關聯引擎、管理中心。采集器:主要實現日志采集、日志解析、格式統一、日志預處理、日志傳送等功能。被審計設備分為標準設備(支持Syslog或SNMPtrap)和非標設備(不支持Syslog和SNMPtrap)。采集器主要完成針對標準設備日志的收集功能。采集器把采集的日志數據進行過濾并轉化為統一定義的標準數據格式，并完成日志壓縮和歸并。Agent:Agent主要完成非標準設備(不支持Syslog和SNMPtrap)的安全日志采集，Agent采集到日志信息后，通過SYSLOG日志發送給采集器。Agent一般主要包括文件型Agent、數據庫型Agent、Api型Agent等，支持windows主機日志及性能采集，支持通過SNMPGet方式對主流安全設備、網絡設備的性能數據采集，支持IIS、Apacheweb服務器日志收集，支持Mysql、SQLserver數據庫日志采集。通信模塊:通信模塊實現采集器與日志審計平臺間的通信，將格式統一后的日志直接寫入數據庫，同時提交給關聯引擎進行分析處理。通信模塊可以接收多個采集器的日志。在日志審計平臺尚未支持統一日志格式時，能夠根據要求，將日志轉換為所需要的日志格式。關聯引擎:由于日志審計平臺收集到的事件種類多數量大，為了更有效地對這些海量的事件進行分析和處理，確保第一時間對各種存在的安全問題采取措施，平臺必須具有強大的事件處理和分析功能。目前對事件進行處理和分析最有效的方法就是做事件的關聯，包括實時關聯分析、跨設備關聯分析、基于事件因果關系、事件安全要素、跨協議層、多層架構、時間回溯以及關聯結果回放等內容。管理中心:通過對所有資產輸出的日志告警數據、性能監測數據、服務質量監測數據、安全監測數據進行整合識別，從安全視角多維度進行可視化，通過可視化的監測界面，運維人員可實時、直觀、全面地掌握業務的安全狀況，同時可以實現關聯規則、識別策略的自定義，知識庫、采集器、Agent等模塊的升級管理等功能。

2安全防護