精准核查 ，配置合规----GA黄金甲谈安全基线
颁布功夫 2018-04-24
层出不穷的安全事务引爆安全基线
随着用户网络环境中各类业务系统、利用和服务器数量陡然增多 ，网络治理员对各类系统的守护工作量持续增长 ，尤其是在各类设备的安全风险查抄、持续核查、上线新设备的配置核查等方面 ，对网络治理员提出了好多挑战。一旦系统守护人员存在误操作或漏操作的行为 ，或一向使用系统初始化配置 ，都可能对客户的网络带来巨大的安全隐患。安全基线的推出刚好解决用户在运维效能上的痛点。
事实上 ，安全基线的概想与驰名的“木桶理论”类似 ，安全基线能够被以为是客户安全建设的木桶中的一块最短木板 ，它是对系统最低的安全配置要求。在用户侧 ，安全基线是系统要满足的最根基的安全配置要求 ，是企业和组织在业务发展、治理活动执行过程中必要满足内部合规最根基的安全要求 ，更是实现信息安全风险评估与风险治理的前提和基础。
近几年来 ，国内表产生的安全事务险些都与对安全基线器沉不及亲昵有关：
2014年 ，某在线票务公司大量用户银行卡信息泄露。泄露主题原因是安全支付的日志配置所引发 ，并且触发了遍历下载。
2015年 ，多家P2P平台同时遭黑客攻击 ，数据大量被盗。经过自查发现：大无数平台在架构、数据库、安全防备方面都使用了缺省配置 ，应对攻击能力险些为零。
2016年 ，MongoDB数据库默认配置 ，没有启用认证 ，导致5800万贸易用户信息泄露。
2017年 ，据表媒报路称 ，美国五角大楼意暴露出了美国国防部的分类数据库 ，其中蕴含美国当局在全球社交媒体平台中网络到的18亿用户的幼我信息。这次泄露的数据为架在亚马逊S3云存储上的数据库。由于配置谬误导致三台S3服务器“可公开下载” ，其中一台服务器数据库中蕴含了近18亿条来自社交媒体和论坛的帖子 ，据揣摩 ，这些信息很有可能是国防部从2009年到2017年8月功夫内网络的。
凭据OWASP的年报数据显示 ，安全事务Top10傍边 ，安全误配置问题所导致的安全事务极度之多 ，由此带来的敏感数据的泄露、服务宕机、DDoS等安全事务层出不穷。
正是这些事务的频仍产生 ，才促使了安全基线的投入是用户网络安全的尺度配置。值妥贴心的是 ，我国在稳步推动安全基线的规范化工作 ，在各大行业相继出台基线规范。
在电信领域 ，三大电信运营商移动、电信、联通都具备结合自身业务特点的基线尺度。如大数据有关的基线规范、治理信息系统有关的基线规范等。
在金融行业 ，各大银行和金融机构结合监管要求和内部安全要求 ，形成了自己的安全基线规范尺度。如xx银行信息系统安全基线技术规范。
在电力行业 ，如IT主流设备安全基线技术规范等要求。随着功夫的推移 ，越来越多的政企单元 ，必将造订切合自身要求的基线规范 ，使用基线规范来落地查核和评估怀抱。
安全基线能力的工具化是必然趋向
安全基线的能力建设直接影响到系统配置的安全 ，凭据安全基线规范来看 ，其主题萦绕技术要求和治理要求两个方面组成 ，蕴含提供一系列的查抄项(Checklist)和配置建议 ，但对于规范的查抄 ，必要选取人为核查、工具化产品核查两种方式来实现 ，对好比下表 ，因而 ，从各个方面综合思考 ，工具化核查方式是必然的趋向 ，相比人为方式效能高且正确性更高 ，在很大的水平上可大大降低基线的查抄成本和后期改进的成本。
另表 ，自动化的基线核查类产品能够实现基线规范的高效落地 ，但也必要结合用户自身的行业特点 ，并与用户要遵从的规范相适配 ，因而 ，其根基能力应该蕴含以下一些：
1.对系统实现层(操作系统、网络设备、安全设备)、支持层（中央件和数据库）、业务层、虚构化、云推算等设备及组件的核查能力；
2.通过肯定量适配可兼容多种行业规范 ，如等级�；ぁ⒃擞绦幸倒娣兜�；
3.核查方式丰硕多样 ，如支持通例的登录和谈SSH、TELNET、RDP以及也支持离线核查方式；
4.核查汇报直观、可读性高 ，并且在核查过程中出现的问题可能给出敦睦提醒 ，能实现系统配置合规性查抄与建复 ，并造订风险审核汇报。
5.产品应具备可扩大性并提供自界说的能力 ，来适配信息系统的不休发展变动；
最后 ，任何产品要实现与用户发展相适应相结合或展示出价值 ，都离不开服务。由此来看 ，用好安全基线产品 ，必要结合服务的方式是做好基线规范落地和做好基线安全治理的最合理的方式。
GA黄金甲安全基线是配置合规的最佳实际
GA黄金甲针对各行业特点和安全基线规范基准 ，推出了专业查抄平台——安全配置核查治理系统(简称CVS) ，使安全查抄过程达到自动化、尺度化、持续化、可视化。它能够大大提高查抄了局的正确性和合规性 ，用以在政企客户的上线安全查抄、第三方入网安全查抄、合规安全查抄（上级查抄）、日常安全查抄和安全服务工作中 ，协助查找设备在安全配置中存在的差距 ，并与安全整改与安全建设相结合 ，提升各类业务系统的安全防护能力和达到整体合规要求。
作为对缝隙扫描产品的强力补充 ，可能援手用户发现网络和利用中存在的配置缺点、治理缝隙 ，援手用户提升网络和利用系统的安全强度。
产品职能特点
◆复杂网络的多渠路查抄支持
系统支持在线、离线、单机代理、散布式采集等核查方式 ，应对各类复杂网络的核查。
◆基于分歧查抄尺度的自界说参数查抄项
可矫捷配置自界说查抄项参数 ，为分歧查抄尺度提供了有力的保险。
◆工作的多方式执行
核查工作支持当即核查、周期核查、按时核查、离线核查等多方式的执行方式。
◆不休丰思满的CheckList知识库
目前支持约7大类80余种设备及系统的核查
国内最美满的安全服务系统和步骤论 ，不休丰硕Checklist匹配分歧业业规范 ，满足安全配置需要。
◆高效的多和谈支持
提供SSH/Telnet/SMB/RDP/JDBC/Agent/WinRm等和谈支持。
◆壮大的自动探测职能
系统可自动探测被核查的操作系统类型及版本,中央件及数据库的装置蹊径 ，节约数据采集录入的功夫 ，更智能更正确。
◆智能的谬误提醒机造
系统提出全新的谬误新闻机造 ，核查失败时正确定位谬误 ，提升核查效能。
总结
综上所述 ，信息安全建设之初 ，安全配置的合规性是根基的安全要求。随着等级�；�2.0的持续深入推动 ，成立一套卓有成效的安全基线能力是安全治理人员面对确当务之急。为应对这样的挑战 ，GA黄金甲安全配置核查治理系统(简称CVS)很好地援手运维人员应对纷繁复杂的网络环境、设备环境、利用环境 ，急剧、高效地核查配置风险 ，最终实现用户IT环境安全合规的指标要求。
京公网安备11010802024551号