[信息安全] 1. 企业网络安全基础知识

基础

网络安全：

• 定义：网络系统的硬件、软件及其数据，受到保护，不因为偶然或恶意的原因，而受到破坏、更改、泄露。
• 目的：系统连续可靠地运行，网络服务不中断。

通道安全：

• 管理功能和业务功能，应该分别部署在不同的主机上；
• 如果同主机，应该分别使用不同IP或端口；
• 安全域划分、防火墙访问控制，最终用户不能访问管理接口；

web安全：

• 认证模块必须有防暴力破解机制；
• 每个需要授权访问的功能，必须核实用户的合法性；
• 和服务器端交互的敏感信息，必须https安全协议；
• 用户的最终认证，必须在服务端校验；
• 用户产生的数据，必须在服务端校验；
• Web安全扫描工具的扫描结果，不能存在“高”级别的漏洞；
• 非嵌入式产品中，应该使用预编译语句 PreparedStatement，防止SQL注入；

系统管理和维护安全：

• 口令必须满足安全要求；
• 管理级用户活动，必须记录日志，日志内容可以支撑审计需求；管理员的删除日志权限，要有妥善控制；
• 管理终端，使用安全协议（如：SSH v2/TLS1.0/SSL3.0/IPSec/SFTP/SNMPv3等），关闭不安全协议（FTP/Telnet等）；

数据库安全：

• 对数据库进行安全配置，及时打安全补丁；
• 数据库口令要满足安全要求。禁用或删除不使用的；
• 使用单独的操作系统账号来运行数据库；
• 系统扫描软件结果，不存在“高”级别漏洞；

口令安全：

• 复杂度；
• 锁定用户的机制，可设置自动解锁时间；
• UI上口令不能明文显示，不支持拷贝；
• 缺省口令需及时提示用户修改；
• 用户修改自己的口令，需满足相关条件；
• 不能再网络中明文传输，不建议本地存储，如果需要则必须加密；

操作系统安全：

• 操作系统安全是软件运行环境安全的基础；
• 主流漏洞扫描工具的结果，不存再高风险级别的漏洞；
• 100%安装“操作系统加固+补丁”；
• 需要主流防病毒软件，进行相关测试；

敏感数据保护：

对敏感数据的存储、传输、处理需保证数据安全，遵从国家和地区的法律和法规要求。

• 禁止使用私有加密算法；
• 加密的密钥，不能硬编码再代码中；
• 禁止在日志、话单等文件中记录口令、银行张宏、通信内容、个人数据等敏感数据；如果特殊情况下必须记录，则必须实现匿名化提取；
• 数据导出功能或产品，必须提供对敏感数据进行过滤或匿名化处理的功能；严格限制导出功能的权限，该功能必须有日志记录；
• 设计敏感数据的采集/处理，需安全保护机制（如认证、权限控制、日志记录等）；
• 在正常业务流程和标准协议之外，禁止出于故障定位目的，进行用户精确位置信息定位。

防止非法监听：

合法监听功能，必须遵从国际标准及所在地区的法律要求。

协议与接口防攻击：、

产品或系统，对影响自身的常见攻击，具备防御能力。

• 通过端口扫描工具验证，未经许可的端口，必须关闭；
• 避免使用动态侦听端口的实现方式；
• 系统管理的通信端口，必须有接入认证机制；
• 对自研和业界非主流软件（包括开源软件）实现的协议，要进行协议畸形报文攻击测试；
• 设备外部可见的物理接口，必须有接入认证机制。

产品开发过程中的网络安全

开发	发布	安装
禁止存在任何“未公开接口”(后门)	经过主流防病毒软件扫描，特殊情况对告警做出解释；	安装包必须有完整性校验机制，再安装或升级中，进行完整性校验

网络安全红线

常见网络安全类型

• 病毒
• 错误编码
• 非标软件
• 后门
• 非法监听

墙，始于防，忠于守。
A wall is started for and dedicated to defence.