信息安全运维体系架构

关键词： 运行状况 运维 集中 引言

信息安全运维体系架构（通用8篇）

篇1：信息安全运维体系架构

五步构建信息安全运维体系

随着信息安全管理体系和技术体系在信息安全建设中不断推进，占信息系统生命周期70%-80%的信息安全运维体系的建设已经越来越被广大用户重视。尤其是随着信息系统建设工作从大规模建设阶段逐步转型到“建设和运维”并举的发展阶段，信息安全负责人员需要管理越来越庞大的IT系统的情况下，信息安全运维体系建设已经被提到了一个空前的高度上。

目前，大多数的信息安全运维体系的服务水平处在一个被动的阶段。这主要表现在信息技术和设备的应用越来越多，但运维人员在信息系统出现安全事件的时候却茫然不知所措。究其原因，是该组织未建设成完整的信息安全运维体系。

正是因为目前运维服务中存在的弊端，山东省软件评测中心依靠长期从事信息系统运维服务的经验，同时结合信息安全保障体系建设中运维体系建设的要求，遵循ITIL、ISO/IEC 27000系列服务标准、等级保护和分级保护制度，建立了一整套信息安全运维服务管理的建设方案。

信息安全运维体系的构建第一步：建立安全运维监控中心

基于关键业务点面向业务系统可用性和业务连续性进行合理布控和监测，以关键绩效指标指导和考核信息系统运行质量和运维管理工作的实施和执行，帮助用户建立全面覆盖信息系统的监测中心，并对各类事件做出快速、准确的定位和展现。实现对信息系统运行动态的快速掌握，以及运行维护管理过程中的事前预警、事发时快速定位。其主要包括：

● 集中监控：采用开放的、遵循国际标准的、可扩展的架构，整合各类监控管理工具的监控信息，实现对信息资产的集中监视、查看和管理的智能化、可视化监控系统。监控的主要内容包括：基础环境、网络、通信、安全、主机、中间件、数据库和核心应用系统等。

● 综合展现：合理规划与布控，整合来自各种不同的监控管理工具和信息源，进行标准化、归一化的处理，并进行过滤和归并，实现集中、综合的展现。● 快速定位和预警：经过同构和归并的信息，将依据预先配置的规则、事件知识库、关联关系进行快速的故障定位，并根据预警条件进行预警。

构建第二步：建立安全运维告警中心

基于规则配置和自动关联，实现对监控采集、同构、归并的信息的智能关联判别，并综合的展现信息系统中发生的预警和告警事件，帮助运维管理人员快速定位、排查问题所在。

同时，告警中心提供多种告警响应方式，内置与事件响应中心的工单和预案处理接口，可依据事件关联和响应规则的定义，触发相应的预案处理，实现运维管理过程中突发事件和问题处理的自动化和智能化。其中只要包括：

事件基础库维护：是事件知识库的基础定义，内置大量的标准事件，按事件类型进行合理划分和维护管理，可基于事件名称和事件描述信息进行归一化处理的配置，定义了多源、异构信息的同构规则和过滤规则。

智能关联分析：借助基于规则的分析算法，对获取的各类信息进行分析，找到信息之间的逻辑关系，结合安全事件产生的网络环境、资产重要程度，对安全事件进行深度分析，消除安全事件的误报和重复报警。

综合查询和展现：实现了多种视角的故障告警信息和业务预警信息的查询和集中展现。

告警响应和处理：提供了事件生成、过滤、短信告警、邮件告警、自动派发工单、启动预案等多种响应方式，内置监控界面的图形化告警方式；提供了与事件响应中心的智能接口，可基于事件关联响应规则自动生成工单并触发相应的预案工作流进行处理。

构建第三步：建立安全运维事件响应中心

借鉴并融合了ITIL（信息系统基础设施库）/ITSM（IT服务管理）的先进管理规范和最佳实践指南，借助工作流模型参考等标准，开发图形化、可配置的工作流程管理系统，将运维管理工作以任务和工作单传递的方式，通过科学的、符合用户运维管理规范的工作流程进行处置，在处理过程中实现电子化的自动流转，无需人工干预，缩短了流程周期，减少人工错误，并实现对事件、问题处理过程中的各个环节的追踪、监督和审计。其中包括：

图形化的工作流建模工具：实现预案建模的图形化管理，简单易用的预案流程的创建和维护，简洁的工作流仿真和验证。

可配置的预案流程：所有运维管理流程均可由用户自行配置定义，即可实现ITIL/ITSM的主要运维管理流程，又可根据用户的实际管理要求和规范，配置个性化的任务、事件处理流程。

智能化的自动派单：智能的规则匹配和处理，基于用户管理规范的自动处理，降低事件、任务发起到处理的延时，以及人工派发的误差。

全程的事件处理监控：实现对事件响应处理全过程的跟踪记录和监控，根据ITIL管理建议和用户运维要求，对事件处理的响应时限和处理时限的监督和催办。

事件处理经验的积累：实现对事件处理过程的备案和综合查询，帮助用户在处理事件时查找历史处理记录和流程，为运维管理工作积累经验。

构建第四步：建立安全运维审核评估中心

该中心提供对信息系统运行质量、服务水平、运维管理工作绩效的综合评估、考核、审计管理功能。其中包括：

评估：遵循国际和工业标准及指南建立平台的运行质量评估框架，通过评估模型使用户了解运维需求、认知运行风险、采取相应的保护和控制，有效的保证信息系统的建设投入与运行风险的平衡，系统地保证信息化建设的投资效益，提高关键业务应用的连续性。

考核：是为了在评价过程中避免主观臆断和片面随意性，应实现工作量、工作效率、处理考核、状态考核等功能。

审计：是以跨平台多数据源信息安全审计为框架，以电子数据处理审计为基础的信息审计系统。主要包括：系统流程和输入输出数据以及数据接口的完整性、合规性、有效性、真实性审计。构建第五步：以信息资产管理为核心

IT资产管理是全面实现信息系统运行维护管理的基础，提供的丰富的IT资产信息属性维护和备案管理，以及对业务应用系统的备案和配置管理。

基于关键业务点配置关键业务的基础设施关联，通过资产对象信息配置丰富业务应用系统的运行维护内容，实现各类IT基础设施与用户关键业务的有机结合，以及全面的综合监控。这其中包括：

综合运行态势：是全面整合现有各类设备和系统的各类异构信息，包括网络设备、安全设备、应用系统和终端管理中各种事件，经过分析后的综合展现界面，注重对信息系统的运行状态、综合态势的宏观展示。

系统采集管理：以信息系统内各种IT资源及各个核心业务系统的监控管理为主线，采集相关异构监控系统的信息，通过对不同来源的信息数据的整合、同构、规格化处理、规则匹配，生成面向运行维护管理的事件数据，实现信息的共享和标准化。

系统配置管理：从系统容错、数据备份与恢复和运行监控三个方面着手建立自身的运行维护体系，采用平台监测器实时监测、运行检测工具主动检查相结合的方式，构建一个安全稳定的系统。

篇2：信息安全运维体系架构

审

核：XXX 批

准：XXX 版本.修改号：A.0 受 控 状 态：受控

XXX年XX月XX日发布

XXX年XX月XX日实施

XXX公司

1.安全运维服务流程

流程图

根据目前安全运维的整体情况，制定了运维服务流程图，具体流程如下图：

需求调研与分析报价与成本核算合同签订运维方案设计与编制信息安全管理运维服务实施阶段运维服务配置管理终验和总结报告服务报告

1.1 需求调研与分析

依据公司自身的运维服务业务定位，业务部负责对客户需要运维的信息系统现状、安全设备设施等内容进行调研，通过会议或者讨论等方式采集客户服务需求和服务目标，明确客户的系统运维服务时间、服务期限、服务内容以及相关服务方式频次等需求，并将调研信息总结整理形成调研分析报告。1.2 报价与成本核算

由公司项目组成员结合公司市场部门，对运维项目的服务内容进行工作量和工作成本的预估。成本核算主要根据信息系统的运维服务时间、工作量、服务方式、服务内容、以及相关人日费用进行。将个单项服务的设备费用、和人力成本等费用总和考虑核算出单项和整体项目的成本以及相应的项目报价。1.3 合同签订

公司项目部门与客户研讨后制定合同方案，并签订项目合同。合同中应明确运维服务的范围、项目周期、服务内容、运维方式、合同金额、付款方式、保密条款、验收条件等。1.4 运维方案设计与编制 根据系统安全运维的实际需求，公司项目部分负责编制安全运维服务方案。服务方案中应明确制定运维服务时间、服务内容、服务方式、服务期限、项目组成员和项目主要沟通联络负责人、服务汇报材料、项目相关的质量管理程序和措施以及运维服务中的风险管理等。

其中，运维时间与期限应写明项目运维起止时间和交付验收的时间节点；服务内容应列出运维服务设备清单和系统边界，以及运维服务的安全检查项目和运维服务周期。1.5 运维服务实施阶段

根据运维服务的方案进行服务实施。主要根据资产列表对设备和系统进行分类、标识，对系统中的配置信息进行备份和安全检查。

对方案中周期性维护的设备和系统，应做好维护记录：巡检、安全查杀、备份、更新、升级、故障排查等。由项目经理负责汇总并整理，最终形成月报、季报和总结报告。1.6 运维服务配置管理

配置管理的目的是通过将客户组织、信息、关系进行集中、统一管理，为服务过程提供基础的数据支持，以优化服务流程、提高服务效率、确保服务质量。配置管理范围是公司运维合同范围内的客户的生产和运行环境中的硬件、软件、应用系统、信息资源、服务包以及组织人员等。

配置管理应使用有效管理工具，以确保在运维服务过程中，能够掌握客户信息系统及时准确的配置信息，更快、更简化、更彻底地识别各个信息基础设施的属性及关系。

在事件、问题、变更和发布等流程活动中，通过管理工具，可以随时调取配置管理数据库中的对应数据，为上述过程提供基础信息。同时，在上述过程中，可以即时生成配置信息变更请求，通过变更管理和配置管理流程的有效配合保障配置管理数据库的准确性。配置经理在执行过程中对发现的问题进行改进，过程记录予以保持。1.7 服务报告

服务报告管理的目的是为客户提供及时、可靠、准确的服务信息，同时对公司在运维服务过程中的行为有效的管理。

服务报告分为主动服务报告和被动服务报告，公司服务报告应对建立、审批、分发和归档进行控制，确保报告产出及时、条理清晰、信息可靠和准确，报告应得到相关各方的认可。服务报告内容应涵盖以下方面：服务级别目标的绩效达成情况；提供服务过程中产生的不符合项和问题；工作量特征和数量特性；重要事件的绩效报告；定期趋势信息；满意度分析等。在服务报告中，对发现的问题，应明确处理意见、制定纠正措施，并与问题的相关方沟通。1.8 信息安全管理

信息安全管理的目的是确保公司提供给客户的信息安全技术运行维护服务是安全的，实现客户利益。应制订详细的安全自查和隐患分析计划，定期进行安全自查和隐患分析。在人员、物理、网络、系统、数据、应用、管理等方面进行安全检查，查找安全漏洞，采取有效的措施予以解决。

安全自查和隐患分析分为局部自查和全面自查两种方式，局部自查指的是根据信息系统目前的安全状态进行重点自查，全面自查指的是针对整个信息系统进行全面自查。局部自查随时进行，全面自查一年至少要进行一次，相关过程记录予以保持。1.9 终验和总结报告

项目完结后，应当由项目组负责人将项目汇报材料整理后，形成符合客户验收条件的验收性文件或总结性报告。

篇3：信息安全运维体系架构

电力信息系统不仅包括发电、输电、变电、配电、用电等环节的生产、调度与控制系统,还包括生产、营销等工作管理系统。此前,电力行业监管部门一直高度重视信息安全工作,于2005年颁发了《电力二次系统安全防护规定》(电监会5号令)[1],后陆续制定了《电力二次系统安全防护总体方案》、《省级及以上调度中心二次系统安全防护方案》、《变电站二次系统安全防护方案》等。根据《关于开展全国重要信息系统安全等级保护定级工作的通知》(公信安[2007]861号文)[2]要求,电力行业作为首个行业单位率先组织开展信息安全等级保护工作。运维人员需要管理越来越庞大的IT系统这样的情况下,对信息安全运维提出了更高的要求。

1 安全防护设备配置

在目前网络安全的要求下,对数据的安全管理提出了新的要求,例如量测类数据的安全分区划分为II区,需增加横向安全隔离设备,实现安全Ⅱ区与安全Ⅲ区之间必要的数据交互,具体安全防护设备配置如下:

1.1 隔离装置接入点

安全隔离装置(正向)用于安全Ⅱ区到安全Ⅲ区的单向数据传递,安全隔离装置(反向)用于安全Ⅲ区到安全Ⅱ区的单向数据传递。

1.2 正向隔离装置功能

安全隔离装置(正向)具有如下功能:实现两个安全区之间的非网络方式的安全的数据交换,并且能保证安全隔离装置内外的两个处理系统各不相同时仍能连通。

展示层与应用层数据完全单向传输,即从安全Ⅲ区到安全Ⅱ区的TCP应答禁止携带应用数据。

透明工作方式:虚拟主机IP地址、隐藏MAC地址。

基于MAC、IP、传输协议、传输端口以及通信方向综合报文过滤与访问控制。

防止穿透性TCP联接:禁止在两个应用网关之间直接建立TCP联接,将内外两个应用网关之间的TCP联接分解成内外两个应用网关,且分别将隔离装置内外两个网卡的两个TCP虚拟联接。隔离装置内外两个网卡在装置内部是非网络连接,且只允许数据单向传输。

1.3 反向隔离装置功能

专用安全隔离装置(反向)用于从安全Ⅲ区到安全Ⅱ区传递数据,是安全Ⅲ区至安全Ⅱ区的唯一途径。专用安全隔离装置(反向)集中接收安全Ⅲ区发向安全Ⅱ区的数据,进行签名验证、内容过滤、有效性检查等处理后,转发至安全Ⅱ区内部接收程序的具体过程如下:

安全Ⅲ区内的数据发送端首先对需要发送的数据签名,然后发给专用安全隔离装置(反向)。

专用安全隔离装置(反向)接收数据后,进行签名验证,并对数据进行内容过滤、有效性检查等处理

2 安全运维及管理

2.1 日常维护

(1)核心系统及关键服务器定义

关键系统和服务器有清晰的定义(如DNS/DHCP、防病毒等影响全网层面的服务器、承载重要业务或包含敏感信息的系统。

(2)应急与演练

系统和关键服务器编制及准备详尽故障应急预案,定期进行相关应急演练,并形成演练报告,保证每年所有的平台和关键服务器都至少进行一次演练。

(3)备份管理

①数据备份

各系统配置离线数据备份设备,对系统关键数据定期进行离线备份。离线备份数据应可在在线数据丢失、损坏、删除后供恢复使用。

各系统在备用站点配置数据备份设备,对主系统关键数据进行在线镜像备份。

②应用备份

应用备份首先满足业务功能、控制功能的要求,逐步实现管理类的功能要求。

切换时间应小于30秒。其它功能可视需要进行冷备用,可在24小时内启用。

(4)故障管理

制定相应的信息化系统及服务器故障处理流程,发现的异常情况由维护人员根据相关流程在规定时间内处理,故障处理完成后留有相应的故障处理记录。

(5)上线管理

为保障设备接入网络的安全性,设备上线前必须安装防病毒系统及更新操作系统补丁,并对设备进行进行安全扫描评估,针对安全漏洞进行安全加固。

为避免系统上线对其它系统和设备造成影响,发布前必须对系统应用站点、数据库、后台服务、网络端口进行安全评估。系统投入正式运营前必须在测试环境中对系统进行模拟运行一周以上。

(6)漏洞与防病毒

定期进行服务器漏洞扫描,并根据漏洞扫描报告封堵高危漏洞,每季度至少对所有服务器扫描一次。

建立统一的WSUS服务器,并每季度对关键服务器进行高危漏洞升级,并留有升级记录。

(7)核心系统和关键服务器日志审计

在操作系统层、数据库层、应用层建立日志记录功能,日志记录中保存1年的内容,日志安全记录能够关联操作用户的身份,操作行为记录需进行定期审计。检查关键错误日志、应用程序日志中的关键错误记录,保证日志审核正常。

(8)信息防泄密

所有应用系统的核心信息进行清晰的界定,核心信息包括但不限于涉及电网数据、账号密码、操作记录。对核心信息设定保密措施。

2.2 访问控制

(1)账号密码管理

所有系统和服务器上账号必须每季度进行审核,密码应至少每90天进行更新,密码长度应至少6位或以上,密码应由大小写字母、数字或标点符号等字符组成,五次内不能重复。

(2)远程访问

不得有互联网远程维护的访问方式,、系统的远程访问只能通过省公司的SSL VPN或IBM VPN。

3 运维故障应急处理

在软硬件运维过程中的运维故障应急处理措施如下:

3.1 服务器设备部件损坏

建议规避方法:按服务器启停流程进行操作,不要强行关闭电源进行停机操作。

建议应急方法:(1)首先考虑进行故障备件更换。(2)若短时间无法恢复,若为集群环境考虑使用正常运行节点降级运行。(3)若短时间无法恢复,若为单机环境PC服务器,考虑采用备用服务器临时搭建环境以及时恢复运行。

3.2 操作系统故障

建议规避方法:按启停流程进行操作系统启停。

建议应急方法:对于AIX操作系统,必要时执行MKSYSB备份磁带恢复系统,对于无法修复windows操作系统,将现场重装操作系统进而进行应用及数据恢复。

3.3 数据库平台故障

建议规避方法:按启停流程进行数据库启停。

建议应急方法:数据库一般故障,运维工程师均可处理,对于无法解决的数据库平台故障,将按照各数据库平台搭建文档进行重新搭建,并恢复数据。

4 结束语

综上所述,针对消除试验数据的孤岛,将试验数据的合理利用,本文建立了试验同比环比分析机制,实现了试验同比环比分析机制在技术监督工作中的应用,验证了机制的有效性和稳定性。从功能特点上,解决了以往试验数据的数据孤岛,将试验报告与试验设备相结合,使报告中孤立的试验数值串联起来,并形成串联数据分析其试验设备的正常情况和发展趋势,对试验数据和在线监测数据进行融合分析,形成相互监督,为确保设备安全运行提供了双重保障。

摘要：本文分析了安全运维管理中对安全防护设备配置,安全运维及管理的内容及要求,运维故障应急处理。提出了在电网安全新形式下的安全运维标准及运维内容,建立了一整套完善和切实可行的安全运维服务管理方案,实现电网安全运维的快速掌握,以及运行维护管理过程中的事前预警、事发时快速定位。

关键词：安全运维,故障应急,安全防护配置,信息安全

参考文献

[1]蔡暮章.电网信息系统安全工程的管理流程体系研究.上海交通大学,2015.

篇4：信息安全运维体系架构

关键词：安全运维；技术支撑；信息安全

中图分类号：TP3 文献标识码：A

1 引言（Introduction）

为进一步规范信息安全管理，提高信息安全管理水平，建设一套集“监、管、控”功能为一体的安全运维管理平台势在必行[1，2]，通过对IT基础设施与应用系统的集中监控，实时反映IT资源的运行状况，对事件、问题、变更、配置等运维服务进行集中处理，最终实现信息资产可知、运行状态可视、服务流程可管、运维操作可控，全面提升信息安全保障能力，有效支撑业务系统的稳定运行，为运维工作提供有效技术支撑。

2 IT运维中存在的问题（Problems in the operation

management）

随着IT业务和规模不断在扩展，给信息中心人员的管理带来了一定程度上的难度，主要体现在以下几个方面：

一是随着网络环境的日趋复杂，传统的“来电响应式”的IT运维管理模式无法及时发现潜在的网络异常及隐患，如何实现网络的事前管理和透明化监控是保障应用系统稳定运行、核心业务正常运转的关键。

二是业务系统的数量不断增多，往往是业务部门向信息中心反映系统出现问题后，运维人员才发现系统出现了故障，具有滞后性。同时无法从业务角度来审视系统的健康度，导致故障无法快速定位业务故障点，也无法通过资源的故障判断它所影响到的业务系统等。

三是缺少有效技术手段，对网络边界完整性进行监控与管理，不能及时发现私自内联与非法外联等高风险行为。对业务访问、后台运维等操作行为缺少必要的监控与审计管理技术手段。

3 建设内容（The content of the construction）

信息系统安全运维管理平台应该包括以下内容：

3.1 综合监控管理子系统

综合监控管理子系统实现对IT基础层的路由交换设备、安全设备、服务器、数据库、中间件、服务等以及资源关联的应用进程、端口、日志等的全面监管，帮助管理人员及时了解IT架构（各类IT资源）的运行情况，形成安全事件关联分析，支持策略管理，能自动或手工设定启动相关事件处理流程。

3.2 安全运维服务管理子系统

运维服务管理子系统是安全管理、日常工作和服务管理的有机结合。运维服务管理子系统应基于ITIL（运维管理最佳实践等）和实际管理需求，提供服务流程管理、业务资源管理、安全管理为主的综合性管理，以保障运维管理的规范化和标准化，提升日常运维管理效能。

3.2.1 安全信息采集与分析

采集各种厂商、各种类型的日志信息，针对采集的各类安全要素信息，实现性能与可用性分析、配置符合性分析、安全事件分析、脆弱性分析、风险分析和宏观态势分析。其中，风险分析包括了资产价值分析、影响性分析、弱点分析、威胁分析等；宏观态势分析包括了地址熵分析、热点分析、关键安全指标分析、业务健康度分析、关键管理指标分析。可集成第三方安全管理中心软件。

（1）安全事件采集

根据前期从各种网络设备、服务器、存储、应用等对象收集的各种安全资源、对象的安全事件、安全配置、安全漏洞、资产信息等数据，进行范式化处理，把各种不同表达方式的日志转换成的统一的描述形式。

（2）安全事件分析

透过智能化的安全事件关联分析，提供基于规则的关联分析、基于情境的关联分析和基于行为的关联分析技术。

管理对象的日志量和告警事件量应在应用系统拓扑图显示；用户点击拓扑节点可以查询事件和告警信息详情；可以对一段时间内的安全事件进行行为分析，形象化地展示海量安全事件之间的关联关系，从宏观的角度来协助定位安全问题。

安全事件以可视化视图展示，具备多种展现手段，至少包括事件拓扑图、IP全球定位图、动态事件移动图、事件多维分析图、资产拓扑图等。

3.2.2 安全隐患预警与处置

采用主动管理方式，能够在威胁发生之前进行事前安全管理。主要提供安全威胁预警管理、主动漏洞扫描管理、主动攻击测试等方式配合进行安全核查。

安全威胁预警管理，用户可以通过预警管理功能发布内部及外部的早期预警信息，并与资产进行关联，分析出可能受影响的资产，提前让用户了解业务系统可能遭受的攻击和潜在的安全隐患。

主动漏洞扫描管理，能够主动地、定期自动化地发起漏洞扫描、攻击测试等，并将扫描结果与资产进行匹配，进行资产和业务的脆弱性管理。

配合安全检查管理，够协助运维管理人员建立安全配置基线管理体系，实现资产安全配置检查工作的标准化、自动化，并将其纳入全网业务脆弱性和风险管控体系。

3.2.3 告警管理

为了全面的收集各类事件告警，系统应提供所有事件告警的统一管理。

（1）告警内容

告警内容包含事件的节点、类型、级别、位置、相关业务等，帮助运维人员在收到故障报警时能够迅速了解故障相关的资源、人员、业务等信息，快速作出反应。

（2）告警处理

系统需要针对各业务系统涉及IT资源环境进行实时故障处理。它能从主机和业务系统的各个环节收集事件信息，通过对这些信息的过滤、处理、关联，分递给相关人员，使得最重要的故障能够优先地被关注及处理。

告警消息能按照应用类别、消息种类、消息级别和处理岗位进行分类处理。消息种类可分为：操作系统、数据库、中间件、存储、硬件、应用、安全和网络等。

（3）告警发布

能对告警级别进行自定义，根据级别确定电话告警，短信告警，邮件告警的方式进行报警。

3.2.4 风险管理

信息安全风险管理工作是在安全信息分析与处理功能的基础上进行信息安全风险评估、信息安全整改任务等工作。

信息安全风险评估，根据安全信息分析结果开展风险评估流程，将风险评估结果形成丰富而详细的图形及报表。

信息安全整改，将信息安全风险评估信息汇总，归并各个部门需处置的信息安全风险，进行集中处置工作并进行整改落实情况分析。

4 结论（Conclusion）

建立以资产管理为基础，项目管理为纽带，以信息系统为核心，建立对IT业务的全生命周期的完整管理，从状态监控、行为审计、风险评估、服务管理四个维度建立起来的一套适合安全运维工作需求的统一业务支撑平台，使得各类用户能够对系统的关联性、健康性、可用性、风险性、连续性、安全性等多维度进行精确度量、分析评估，实现事后运维向事中运维以至向事前防范的转变，最终实现信息系统的持续安全运营。

参考文献（References）

[1] 景义琼.基于ITIL的网络运维管理系统的设计与实现[D].复

旦大学，2010：15-18.

[2] 李荣华.基于ITIL的IT运维管理系统的设计与实现[D].北京

邮电大学，2010：13-15.

[3] 李长征.电子政务运维管理的关注因素[J].信息化建设，2009

（02）：1-2.

作者简介：

篇5：信息安全运维体系架构

合同编号：

甲方：

乙方：

签订地点：签订时间：2012年月日

A县人民政府办公室（以下简称A县府办）委托B有限公司就甲方电子政务信息系统提供信息安全运维服务，并支付安全服务报酬。双方经过平等协商，在真实、充分地表达各自意愿的基础上，根据《中华人民共和国合同法》的规定，达成如下协议，并由双方共同恪守。

一、术语解释:

1.电子政务信息系统：系指县电子政务网络和OA、邮件、网站等应用

系统以及存储备份、入侵检测、防火墙、日志系统、上网行为管理、VPN等安全管理系统；

2.不可抗力：系指合同当事人无法预见、无法避免、无法控制、无

法克服的意外事件（如战争、车祸等）或自然灾害（如地震、火灾、水灾）等；

3.网络特大故障：系指窗口办事单位发生网络故障并故障持续时间超

过一个小时以上的或网络故障范围超过两个部门单位并故障持续时

间超过一个小时以上的；

4.OA系统特大故障：系指系统瘫痪或数据库崩溃；

5.网络基本恢复正常：系指核心交换机正常运行，大部份接入部门单

位、乡镇和社区上网正常；

6.OA系统基本恢复正常：系指客户端能正常打开、阅览、查询和发送

公文；

7.数据毁灭性丢失：系指数据按目前技术条件无法恢复并查阅。/

4二、合同价款:

合同价款为人民币____________(大写)__________

三、电子政务信息系统安全运维服务内容：详见附件《A县人民政府办公室

电子政务信息系统安全运维项目范围说明书》

四、服务时间：年月日至年月日。

五、项目实施地点：浙江省温州市A县

六、项目实施范围：

1.A县电子政务网络（包括新行政中心、行政副中心、其它各处局委办

和中心、本县X个乡镇以及Y个社区）；

2.行政中心信息系统中心机房。

七、运维的人员的配备：

1.乙方应配备驻场专职人员实时响应日常网络、服务器故障维护和一

般网络接入服务，每周提交运维清单；

2.为保障信息系统运行，节假日必须根据甲方意愿指派专人留守；

3.电子政务网络、机房需要做大范围的调整时（如网络改扩建、机房

迁徙等），需要响应甲方要求，增派技术人员进入现场实施保障服务，以确保特殊时期工作不发生中断。

4.驻场专职人员由于各种原因离开本岗位工作的，乙方必须在2个工

作日内指派能胜任驻场工作的人员到场工作。

八、故障排除：

网络或OA系统发生特大故障，乙方必须在6小时内派达相应资深工程师并在3小时内基本恢复正常（硬件故障除外）；故障处理完毕，必须在2日内提交详细的故障发生原因与处理过程报告。属于人为恶意攻击造成的，必须负责追查攻击源；属于病毒攻击或系统自身原因造成的，必须提交有关证据并在2日内提交自查自纠运行维护不力与改进办法的报告。信息中心机房其它各类系统发生故障，乙方应全责负责在5个工作日内加以恢复至正常运行状态。

九、定期巡检与调优：

乙方应主动地检查主机系统、网络系统、应用软件系统的运行效率，主

动检查数据备份系统的运行状态，定期评估系统隐患，并每季提交报告。

十、关于保密：

凡涉及客户的应用系统、数据、机型配置、IP地址、软件配置等信息，乙方不得向第三方泄露，维护过程中如需涉及业务数据资料，必须先通过甲方认可。业务数据资料严禁乙方任何人员查看、删除、拷贝。

十一、款项支付：

合同签订之日起且收到乙方相应金额的正式服务发票后1月内支付50%的预付款，服务结束且经用户验收合格后，乙方向甲方出具余款正式服务发票之日起10个工作日内支付合同金额余款。合同执行过程中如有产生罚金的，则直接在应支付合同金额余款中扣除罚金。

十二、违约责任：

除不可抗力外，如甲乙双方发生违约情况，按下列规定处以罚金。

1）网络发生特大故障（网络故障若因设备硬件故障引起，且未购买

设备原厂商服务与硬件质保的情况不在乙方责任之内,甲方购买的天融信品牌所有软硬件服务和质保在合同期内乙方无偿全责负责），乙方在接到电话通知时起9小时内未能基本恢复故障的，每逾时12小时，乙方须向甲方支付壹万元的罚金。逾时72小时甲方可单方面终止合同,并拒付合同款项；

2）网络特大故障一年内累计发生三次以上的（包括三次），甲方可

单方面终止合同,并拒付合同款项；

3）OA系统发生特大故障（故障因小机硬件故障引起，且甲方末购

买小机原厂商硬件质保服务的情况不在乙方责任之内；故障因OA软件自身BUG引起且得不到软件开发服务商支持的，不在乙方责任之内），乙方在接到电话通知时起9小时内未能基本恢复故障的，每逾时24小时，乙方须向甲方支付伍仟元的罚金；

4）乙方未能克尽备份数据职责，致使OA、网站、邮件、各类日志

文件系统数据遭受3个自然日以上数据量毁灭性丢失的，甲方可立即单方面终止合同，乙方须向甲方支付合同总价款的100%罚金；

5）信息中心机房其它各类系统发生故障，乙方超过规定时间没有合理原因拒不处理的，甲方可单方面终止合同并拒付合同款项；

6）服务期满,验收合格，甲方非客观原因拖延向乙方支付合同款项的，每逾期一日，甲方须向乙方支付应支付款项的0.2%的违约金。

十三、合同续签：

根据上一合同的履行情况及工作需要，甲方可以选择继续执行、终止或变更下一合同。上一合同期满前一个月内甲乙双方若均未提出终止或变更合同的，则原合同继续生效，但最长合同期为三年。甲方或乙方提出变更合同内容则由双方签订下一合同补充协议，甲方或乙方书面提出终止合同则合同终结。

十四、争议的解决

因服务质量等发生的争议，应首先通过协商解决，如协商不成，任何一方有权在合同签约地选择行政调解或诉讼的途径解决。

十五、合同组成合同由本合同书、附件《A县人民政府办公室电子政务信息系统安全运维项目项目范围说明书》共同组成。

十六、合同生效

1.本合同经甲乙双方法定代表人或其委托人签字并加盖公章后生效。

2.本合同一式四份，甲、乙双方各执两份。

甲方：A县人民政府办公室乙方：B有限公司

地址：地址：

法定代表人：法定代表人：

委托代理人：委托代理人：

电话：电话：

开户银行：开户银行：

篇6：信息安全运维体系架构

为进一步规范信息安全管理,提高信息安全管理水平,建设一套集“监、管、控”功能为一体的安全运维管理平台势在必行[1,2],通过对IT基础设施与应用系统的集中监控,实时反映IT资源的运行状况,对事件、问题、变更、配置等运维服务进行集中处理,最终实现信息资产可知、运行状态可视、服务流程可管、运维操作可控,全面提升信息安全保障能力,有效支撑业务系统的稳定运行,为运维工作提供有效技术支撑。

2 IT运维中存在的问题(Problems in the operation management)

随着IT业务和规模不断在扩展,给信息中心人员的管理带来了一定程度上的难度,主要体现在以下几个方面:

一是随着网络环境的日趋复杂,传统的“来电响应式”的IT运维管理模式无法及时发现潜在的网络异常及隐患,如何实现网络的事前管理和透明化监控是保障应用系统稳定运行、核心业务正常运转的关键。

二是业务系统的数量不断增多,往往是业务部门向信息中心反映系统出现问题后,运维人员才发现系统出现了故障,具有滞后性。同时无法从业务角度来审视系统的健康度,导致故障无法快速定位业务故障点,也无法通过资源的故障判断它所影响到的业务系统等。

三是缺少有效技术手段,对网络边界完整性进行监控与管理,不能及时发现私自内联与非法外联等高风险行为。对业务访问、后台运维等操作行为缺少必要的监控与审计管理技术手段。

3 建设内容(The content of the construction)

信息系统安全运维管理平台应该包括以下内容:

3.1 综合监控管理子系统

综合监控管理子系统实现对IT基础层的路由交换设备、安全设备、服务器、数据库、中间件、服务等以及资源关联的应用进程、端口、日志等的全面监管,帮助管理人员及时了解IT架构(各类IT资源)的运行情况,形成安全事件关联分析,支持策略管理,能自动或手工设定启动相关事件处理流程。

3.2 安全运维服务管理子系统

运维服务管理子系统是安全管理、日常工作和服务管理的有机结合。运维服务管理子系统应基于ITIL(运维管理最佳实践等)和实际管理需求,提供服务流程管理、业务资源管理、安全管理为主的综合性管理,以保障运维管理的规范化和标准化,提升日常运维管理效能。

3.2.1 安全信息采集与分析

采集各种厂商、各种类型的日志信息,针对采集的各类安全要素信息,实现性能与可用性分析、配置符合性分析、安全事件分析、脆弱性分析、风险分析和宏观态势分析。其中,风险分析包括了资产价值分析、影响性分析、弱点分析、威胁分析等;宏观态势分析包括了地址熵分析、热点分析、关键安全指标分析、业务健康度分析、关键管理指标分析。可集成第三方安全管理中心软件。

(1)安全事件采集

根据前期从各种网络设备、服务器、存储、应用等对象收集的各种安全资源、对象的安全事件、安全配置、安全漏洞、资产信息等数据,进行范式化处理,把各种不同表达方式的日志转换成的统一的描述形式。

(2)安全事件分析

透过智能化的安全事件关联分析,提供基于规则的关联分析、基于情境的关联分析和基于行为的关联分析技术。

管理对象的日志量和告警事件量应在应用系统拓扑图显示;用户点击拓扑节点可以查询事件和告警信息详情;可以对一段时间内的安全事件进行行为分析,形象化地展示海量安全事件之间的关联关系,从宏观的角度来协助定位安全问题。

安全事件以可视化视图展示,具备多种展现手段,至少包括事件拓扑图、IP全球定位图、动态事件移动图、事件多维分析图、资产拓扑图等。

3.2.2 安全隐患预警与处置

采用主动管理方式,能够在威胁发生之前进行事前安全管理。主要提供安全威胁预警管理、主动漏洞扫描管理、主动攻击测试等方式配合进行安全核查。

安全威胁预警管理,用户可以通过预警管理功能发布内部及外部的早期预警信息,并与资产进行关联,分析出可能受影响的资产,提前让用户了解业务系统可能遭受的攻击和潜在的安全隐患。

主动漏洞扫描管理,能够主动地、定期自动化地发起漏洞扫描、攻击测试等,并将扫描结果与资产进行匹配,进行资产和业务的脆弱性管理。

配合安全检查管理,够协助运维管理人员建立安全配置基线管理体系,实现资产安全配置检查工作的标准化、自动化,并将其纳入全网业务脆弱性和风险管控体系。

3.2.3 告警管理

为了全面的收集各类事件告警,系统应提供所有事件告警的统一管理。

(1)告警内容

告警内容包含事件的节点、类型、级别、位置、相关业务等,帮助运维人员在收到故障报警时能够迅速了解故障相关的资源、人员、业务等信息,快速作出反应。

(2)告警处理

系统需要针对各业务系统涉及IT资源环境进行实时故障处理。它能从主机和业务系统的各个环节收集事件信息,通过对这些信息的过滤、处理、关联,分递给相关人员,使得最重要的故障能够优先地被关注及处理。

告警消息能按照应用类别、消息种类、消息级别和处理岗位进行分类处理。消息种类可分为:操作系统、数据库、中间件、存储、硬件、应用、安全和网络等。

(3)告警发布

能对告警级别进行自定义,根据级别确定电话告警,短信告警,邮件告警的方式进行报警。

3.2.4 风险管理

信息安全风险管理工作是在安全信息分析与处理功能的基础上进行信息安全风险评估、信息安全整改任务等工作。

信息安全风险评估,根据安全信息分析结果开展风险评估流程,将风险评估结果形成丰富而详细的图形及报表。

信息安全整改,将信息安全风险评估信息汇总,归并各个部门需处置的信息安全风险,进行集中处置工作并进行整改落实情况分析。

4 结论(Conclusion)

建立以资产管理为基础,项目管理为纽带,以信息系统为核心,建立对IT业务的全生命周期的完整管理,从状态监控、行为审计、风险评估、服务管理四个维度建立起来的一套适合安全运维工作需求的统一业务支撑平台,使得各类用户能够对系统的关联性、健康性、可用性、风险性、连续性、安全性等多维度进行精确度量、分析评估,实现事后运维向事中运维以至向事前防范的转变,最终实现信息系统的持续安全运营。

摘要：为提高信息化运维水平,建设一套安全运维管理平台势在必行。通过对IT基础设施与应用系统的集中监控,对安全事件、问题、变更、配置等运维服务进行集中处理,全面提升信息安全保障能力,提高信息安全管理水平,为运维工作提供有效技术支撑。

篇7：打造卓有成效的安全运维中心

多安全运维中心都采用一种传统的响应性方法, 并且提供一套标准服务, 其中包括日志管理、实时监视、事件响应和调查。这些安全运维中心使用传统的安全信息和事件管理 (SIEM) , 从内部源收集和关联日志数据, 并且运行简单实时的基于规则的分析, 以此检测已知威胁。在触发警告时, 就展开调查。在一段时间内, 这种水平的服务是足够的。但是, 随着攻击变得越来越复杂, 一个很明显的事实是, 很多恶意活动的发生不会产生明显的日志数据。不妨想一下零日漏洞和有针对性的恶意软件。这意味着, 传统的攻击检测已经远远不够。

随着成功的安全破坏不断增长, 攻击者们可以在几个星期、几个月的时间里不被检测到, 仅仅调查警告是不够的。安全运维中心的分析师知道:要检测和阻止每次攻击是不可能的, 所以必须采取一种前瞻性的方法来保护公司资产, 找出活跃的威胁和被攻击破坏的系统。威胁搜寻专注于积极地找到进入公司网络的威胁, 这就要求深入检测有可能被破坏的系统, 并查看大范围历史数据, 从而发现传统的警告机制没有确认的恶意活动。

威胁搜寻

威胁搜寻涉及到很多工具和技能。如果分析师发现了可能遭受攻击破坏的证据, 就可以调查并决定发生了什么和如何发生的, 以及被感染的其它系统, 从而可以减轻攻击并修复其造成的后果。不幸的是, 人工搜寻可能要求大量的工作, 但找到任何蛛丝马迹的机会可能很有限。虽然找到被遗漏的问题可能很令人高兴, 但是, 如果没有适当的技术, 就会事倍功半。

好在安全分析技术和威胁情报的发展有助于充分利用有限的分析资源, 实现更有效的搜寻。这些技术可以通过两种方法起作用:一是关注于更有可能被攻击破坏的资产, 二是根据最新的威胁情报重新评估过去的事件。

搜寻被攻击破坏的系统就像多数安全运维分析师所知道的那样, 在很多情况下, 分析师有可能听到普通员工报告说“感觉不对头”从而了解到攻击, 而不是通过SIEM警告。高级攻击往往要避免引起明显的警报, 但高级攻击仍有可能留下有可能被遗漏的证据。被攻击损害的系统的表现与其过去并不一样。但是, 依靠人工来确认异常活动往往是不够的, 并且在当今的威胁环境中也无法做到“水涨船高”。

这就需要高级分析。积极查找并彻底调查可能遭受攻击损害的系统需要花费时间、精力、技能, 而这些在多数企业中要花费较高的代价。高级分析根据发现的可能表明发生攻击损害的异常行为, 可有助于确认从哪里开始找。突然偏离其正常标准的系统可能正在运行新的未知进程, 或者向不可信任的网络发送大量信息, 或者与企业常规的业务范围之外的地理位置进行通信。每个异常有可能是无害的, 也有可能指向了一个潜在的受攻击破坏的系统。为发现这种异常, 多数成功的搜寻都要从多种分析方法的组合开始:通过统计分析来确认异常, 通过机器学习算法来评估这些异常, 看其是否类似于某种恶意行为。根据这种分析, 最有可能被攻击破坏的系统就可以得到彻底的调查。

重新评估过去

威胁搜寻还包括通过检查历史数据来查找威胁。为克服传统SIEM的局限性, 威胁搜寻使用更新的基于大数据的平台, 可以长时间地从多种内部源和外部源中收集、管理、分析海量的数据。而实时分析有可能由于“一见钟情”而遗漏掉一些东西, 大数据系统可用于检查大量的历史日志和可用的其它数据源。这就有了“后见之明”的好处, 通过利用最新的威胁情报进行再次分析向安全分析师提供了重新评估数据的能力。例如, 由于当时可用的时间问题, 与攻击者网络基础架构的潜在恶意连接有可能并没有引起注意。通过将关于网络通信的最新威胁情报对照历史元数据, 分析师就可以确认攻击。

篇8：信息安全运维体系架构

伴着金税工程建设的春风,江西地税自2003年8月启动以信息化为依托的新一轮征管改革以来,经过4年多的建设,顺利实现了征管业务软件的全面上线,完成了“江西省地税管理信息系统”的主体工程,在全国地税率先实现了征管信息数据的省级“大集中”,基本实现了日常征收管理、税收业务、行政办公工作的信息化。该系统完全依赖网络的数据传输和中心机房的处理,随着金税三期的全面铺开,网络问题日趋突出,网络安全问题成为制约江西地税信息化发展的瓶颈。

2 江西地税信息系统的网络安全问题

这一庞大的信息化链是通过网络进行互联,而在征管数据的安全性,网络运行的流畅性等方面的问题凸现。加之行政单位的信息化建设起步缓慢,导致行政公务人员信息安全意识不高,局域网内部的病毒及入侵木马问题泛滥,安全管理的问题主要体现在几个方面。

(1)网络安全管理中安全设备单一、孤立。无论是网络安全硬件还是软件都是孤立单一的,对于很多网络攻击不仅无法进行有效拦截,而且还容易造成网络设备不兼容或是相互误判断导致网络堵。

(2)网络数据采集技术落后。对各个安全设备网络数据及安全信息需要人工采集,不仅费时费力,而且差错率极大,汇总后的信息数据的可信度不高,大大影响网络管理员的工作效率。

(3)网络防范的应急响应能力较差。系统分析各种网络和安全故障准确率低下,时效性无法保证,如果遇上大型的网络恶意攻击,无法最短的时间响应并提出预案,知识库的数据不健全,而且没有一整套的预警处理机制及完整的安全响应机制,这是江西地税网络安全的致命伤。

3 安全运维平台成为地税信息系统数据安全的防护盾

要想解决这些在安全管理上出现的种种问题,江西地税按照税务总局金税工程(三期)安全管理需求目标要求,通过规范化、精细化的管理方式,使全省各级地税信息中心部门在一个平台上实现所有的管理、监控和分析,从而改变传统分散式管理模式带来的困扰和弊端,这个平台就是江西地税安全运维管理平台。

(1)安管平台的软件基础强大,兼容性、扩展性和应用性都有明显提升

江西地方税务信息系统安全运维综合管理平台采用省、市两级部署方式,数据分级存储利用;平台展示层开发语言为JSP,逻辑层为Java,算法和实现层采用标准C++语言,具备良好的开放性和伸缩性;承载平台操作系统采用Windows 2003 Server,核心数据库及中间件分别采用Oracle10g和Weblogic8.1,平台完全采用B/S/D架构,客户端为IE6.0、Flash 9以上,具有较好的用户界面及优异的兼容性、应用性和可扩展性。

采用业界领先的SOA架构,支持分布式计算环境,并充分考虑到税务信息化未来扩展需求,提供应用系统二次开发接口,避免重复开发,功能模块充分共享,减少资源浪费,实现复杂运维系统的灵活性和扩展性,保留足够的弹性满足未来的更多运维管理需求。平台支持B/S/D架构,零客户端,主体模块采用Java语言开发,展示层采用JSP、Flex/Flash开发、底层高速计算模块采用C/C++开发,实现复杂系统的灵活化和可复用化,便于省中心和各市共享信息。

(2)健壮的内部知识库和响应机制使得安管平台更具智能化

网络安全平台构架搭建只是提升网络安全性能的一方面,它仅仅是表面设计,犹如摩天大楼的外部结构,而网络安全健壮性的真正内涵在于其内部的知识库以及响应机制,这个犹如大楼的内部装潢。而对于大型网络的安全监控来说,网络里面随时都有各种事件发生,这些时间通常都是没有规律的随机安全事件,那么,怎样从海量的安全事件中提取出有规律的恶意行为,感知到网络中真正的安全态势,这是一个值得研究的课题。该平台通过引入信息熵的思路,将无规律的随机安全事件看作布朗运动,通过计算事件的熵值评价安全态势,并从中提取有规律的恶意行为。

平台从知识库中读取用户配置参数,从在线事件库中读取引擎上报的特征事件,将分析结果输出到响应子系统。模块间的关系如图1所示。

采用地址熵使我们对大型网络的安全态势分析成为可能,国内首创基于Time33、EWMA等算法的分析结构能较为准确地对网络安全态势进行分析,使运维人员能够从海量的混乱的安全事件中提取有价值的信息,即时进行分析处理。

采用信息熵的思路为大型网络的安全事件分析打开了一条新路,并在江西省地税的实际环境中得到印证,达到了较为准确的判断网络安全态势的效果。

(3)威胁模型的构建是安全平台知识库自我完善的保障

知识库的不断更新,使得防护模式日趋更新升级,能够应对更多更复杂的非法入侵和网络攻击。而如何识别威胁和评价威胁是威胁建模的关键因素。对于威胁的识别和评价,我们分别参考了STRIDE模型和DREAD模型。

根据攻击者的目标,利用对应用程序的体系结构和潜在缺陷的了解,找出可能影响应用程序的威胁。我们主要使用STRIDE模型方法同时借鉴威胁清单方法。

应用STRIDE模型最简单的方式是考虑模型中的每种威胁如何影响每个组件以及与其他应用程序组件的每个连接关系。本质上就是查看应用程序的每个部分并确定相应组件或进程是否存在任何STRIDE威胁类别。该过程应是一个反复的过程。

按危险程度(即影响,此种攻击本身可能造成的损坏程度)和可能性对威胁进行评级。对于危险程度,是分配介于1-10之间的一个数字,10最危险。对于可能性,选择一个数字,1最有可能发生,10可能性最小。通过将危险程度除以可能性,即Risk=Criticality/Likelihood,计算出整体风险。

选择适当的方法或技术来缓解每种威胁。每种威胁类型有特定的缓解方法。例如,缓解特权升级攻击可能包括使用具有受限制权限的账户运行应用程序。缓解该威胁所采用的技术和方法可能包括对软件或服务器使用的配置实用程序、连接信息的安全存储以及在运行时检索连接信息的安全方法做出规定。在分析的过程中,反复从第1步开始迭代执行,就可能使我们了解所有威胁的情况。

4 江西地方税务信息系统安全运维综合管理平台未来开发重点

安全运维管理的基本出发点来自于对税务业务运行连续性的需求以及提高税务信息系统运行效率的要求,为了满足以上基本原则,在运维工作中,我们需要对信息系统资产进行管理,还要密切关注网络、主机、服务器和业务系统运行的情况,信息资产物理环境情况还有运维人员工作情况。这些信息量的采集和综合利用则是运维综合管理平台需要进一步优化的地方。

各个信息系统各子单元的是否正常运作直接影响到整个江西省地税信息系统的业务连续性,为了改善税务信息系统运行情况,需要对税务系统的信息资产采用精细化的管理模式,深度挖掘这些资产的运行情况,为整个信息系统建立保证网络中每一个系统处于最佳的工作状态,使得整个网络能够随时都处于最高的工作效能情况下,来满足应用业务运行对网络及系统的性能要求。这个是下一步网络安全管理需要认真去解决的重点。

参考文献

[1]周明天,汪文勇.《TCP/IP网络原理与技术》[M].北京:清华大学出版社,2005.

[2]《税务IT运维支撑管理平台若干关键点研究》(《2007年全国税务信息化技术与建设成果交流论坛论文汇编》.2007.185-188).

[3]李辉.《计算机网络安全与对策》[J].潍坊学院学报,2007(03).