安百服务

安百科技认为安全服务是信息系统安全体系中不可或缺的一部分,安全服务和安全产品、安全管理制度等的结合才能真正实现信息系统的动态和长期安全,保障您的根本利益。

 

 

 

  • 真诚
  • 务实
  • 创新
  • 严谨
  • 服务
  • 安全评估服务
  • 安全咨询服务
  • 安全修复服务

安全评估服务

参照国际风险评估安全要素提取惯例和标准,调查分析用户的已有策略,从管理、制度、落实情况、物理安全、人员安全、第三方安全等等各方面来评估分析。调查业务流程,并对信息资产进行赋值和等级划分;结合工具扫描、人工评估对系统、网络、数据库 以及管理制度进行安全性评估,并根据评估结果提供评估报告。

资产调查评估

资产调查评估是整个安全服务的基础,因此在进行评估前需要对客户单位所有资产(包括整个物理环境的安全,操作系统,应用系统等)进行评估调查。安百科技将根据客户提供的资产列表,结合安全需求分析报告对其进行有序的分类和分级,根据资产的重要性提供相应级别的保护。

资产调查评估的主要类别与信息系统相关联的资产示例有:

分类示例
数据存在电子媒介的各种数据资料,包括源代码、数据库数据,各种数据资料、系统文档、运行管理规程、计划、报告、用户手册等
软件应用软件、系统软件、开发工具和资源库等
硬件计算机硬件、路由器、交换机、硬件防火墙、程控交换机、布线、备份存储设备等
服务操作系统、WWW、SMTP、POP3、FTP、MRPII、DNS、呼叫中心、内部文件服务、网络连接、网络隔离保护、网络管理、网络安全保障、入侵监控及各种业务生产应用等
文档纸质的各种文件、传真、电报、财务报告、发展计划等
设备电源、空调、保险柜、文件柜、门禁、消防设施等
人员各级雇员和雇主、合同方雇员等
其它企业形象,客户关系等

安全策略评估

安全策略评估是便于分析用于已经形成的安全策略是否能满足符合实际的需求,同时充分的分析其策略的有效落实情况。 包括以下内容:

现有安全策略文档分析

人员访谈&调查问卷

策略贯彻执行情况调查

安全管理策略调整

人工评估分析

人工检查客户单位网络中主机、网络设备、数据库等的配置以及机制进行评估,挖掘网络系统的脆弱性。

包括以下内容·

安全配置检查

系统管理和维护的正常配置,合理配置,及优化配置。例如系统目录权限,帐号管理策略,文件系统配置,进程通信管理等。

安全机制检查

安全机制的使用和正常配置,合理配置,及优化配置。例如日志及审计、备份与恢复,签名与校验,加密与通信,特殊授权及访问控制等。

数据库配置检查

数据库文件和口令设置等

代码安全评估

代码安全评估可以检测并报告客户的应用程序代码当前存在的遭黑客攻击的危险可能性。安全工程师将通过应用扫描软件和人工分析等手段对其进行深入分析,并提供相应的报告。

主要检查的内容:恶意代码的检查、账号安全检查、注入检查、跨站脚本注入检查等。

应用系统评估

应用系统安全评估的目标是全方位的提高应用系统中的安全性。应用系统安全评估不仅仅是对网络、主机和已采用安全产品的评估,还包括客户或者第三方为客户业务开发的业务系统的安全评估,及在该应用系统内的操作和管理的安全评估等几个方面,客观综合地反应客户单位应用系统安全现状,指出对客户单位应用系统存在的安全风险,并提出全 面的解决方案。

应用系统评估包括

应用系统的基础 IT 设施评估

应用平台规划设计阶段

应用系统开发、测试阶段

应用系统操作和管理安全

应用系统的数据流安全

渗透测试

渗透测试是完全模拟黑客可能使用的攻击技术和漏洞发现技术,对目标系统的安全作深入的探测,发现系统最脆弱的环节。渗透测试能够直观的让管理人员知道自己网络所面临的问题。

安百科技渗透测试小组利用各种主流的攻击技术对网络、系统做模拟攻击测试,以发现网络、系统中存在的安全漏洞和风险点。企业、组织根据测试的结果遵循安全策略制定 适合的、不同优先级别的安全防护措施。

渗透测试服务主要包括如下内容:

敏感业务系统测试 针对客户敏感业务系统(办公系统、生产系统等)进行渗透测试。

现有安全系统测试 针对客户现有安全系统(防火墙、专有访问控制系统等)进行渗透测试。

安百科技渗透测试是经过授权的,也是有时间限制的。

安全咨询服务

安全咨询顾问服务建立在对用户的行业特点分析和信息安全标准之上的。通过技术咨询和管理咨询过程,用户将能够把握信息安全建设重点,建立起有效的信息安全管理体系。

需求方案设计

分析企业安全风险的最佳方法是定期的进行信息安全的风险评估。安全需求分析可以帮助安百科技了解和评估客户的企业财产可能会遇到的风险。要建立一个安全的防护体系,第一步就是要了解这些风险。

安百科技总结了各个行业的安全需求及业务目标和行业标准的不同,最终建立了适用于当前国情的不同行业的安全建设顾问咨询体系,通过几年安全咨询服务的经验积累公司已经拥有各行业的信息安全建设的经验并建立的相关的行业方案库,通过安百科技的行业安全咨询小组的顾问服务能直接有效的获得顾问的咨询,同时亦可以及时的借鉴行业内其他公司的一些可取做法。

管理体系建立

安百科技的安全顾问将通过需求分析、风险评估、风险处理、策略评估等各种技术手段最终为用户建立一套完整的信息安全管理体系,该体系是能够完全满足客户业务目标的 而且应该是可行、有效、最佳化平衡的管理体系。遵循 PDCA 模型,管理体系的顾问咨询服务可以在其建立过程的任何阶段介入,但其整个过程的每一个环节是必不可少的,用户应该有效的记录体系建立过程中每一个阶段的输入输出记录。

体系架构设计

安百科技经过多年的信息安全建设经验总结,安全体系是保证和辅助信息安全管理体系的基础,可以通过技术层面辅助管理体系的有效落实。同时作为信息安全建设也是必不可少的一个技术环节。

包括以下内容:

对不合理的网络结构进行调整,保证层次分明、边界清晰、冗余备份、路由协议合理,统一规划IP地址、设备命名。

采用业界先进安全技术对关键业务系统和非关键业务系统进行逻辑隔离,保证各个业务系统间的安全性和高效性,例如:采用MPLS-VPN来进行对各业务系统间逻辑划分并进行互访控制。

进行QOS配置、网络其他安全方面的优化,对设备本身安全进行配置,例如:使用访问控制、身份验证配置,关闭不必要的端口、服务、协议。

等级保护咨询

保护咨询服务是依据国家信息安全等级保护政策和相关标准,基于安百科技多年来在政府、电信、金融、电力等行业所积累的安全服务知识库,通过系统识别分析、安全域划分、风险评估、等级保护评测、解决方案设计、安全管理策略设计、安全规划等服务内容,帮助客户实现信息系统定级和等级保护规划设计等内容,构建适用于行业客户的等级化安全保障体系。

服务内容:

系统等级划分

通过系统识别分析进行子系统划分,分析系统所属类型、所属信息类别、服务范围以及业务对系统的依赖程度,制定细化定级规则,确定系统安全保护等级。

安全域设计

通过分析系统业务流程、功能模块,根据安全域划分原则设计系统安全域架构,将系统分解为多个层次,建立分域保护的安全框架。

评估现状

根据国家相关风险评估方法,对系统各层次安全域进行有针对性的等级风险评估。明确各层次安全域相应等级的安全差距。

等级安全指标体系设计

参照国家相关等级保护安全要求,设计等级安全指标库。通过安全域适用安全等级选择方法确定系统各区域等级,明确各安全域所需采用的安全指标。

解决方案设计

针对安全要求,建立安全技术措施库。通过等级风险评估结果,设计系统安全解决方案。

安全策略设计

针对安全要求,建立安全管理措施库。通过等级风险评估结果,进行安全策略设计。

安全规划设计

结合客户信息化建设规划、预算等实际情况,对客户等级化信息安全保障体系的建设和管理提出规划,帮助客户实现信息安全总体规划、分布实施、重点落实的建设方法。

安全修复服务

基于安百科技的漏洞、修补库和管理、配置策略库,为客户的各种操作系统、网络设备、数据库和应用系统、安全设备进行安全加固,在满足客户实用的基础上尽量增加其安全性。

网络架构调整

协作用户调整网络性能,对网络进行合理优化。在切实可行的方案下帮助用户提高整个网络的性能,用户通过合理的调整网络结构建立良好的安全区域划分。

网络设备加固

根据安全策略中相关的网络安全策略,对已有的网络设备做加固措施。安百科技的工程师在客户方确认安全策略后,在客户的协同下制定相应的加固方案。

其主要包括:

访问控制加固

反入侵加固

防火墙设备加固

灾难恢复及审计加固

数据库加固

根据安全策略中相关的数据库安全策略,对已有的网络数据库系统做加固措施其策略的主要依据是根据前期安全策略的定制结果。安百科技的工程师在客户方确认安全策略 后,在客户的协同下制定相应的加固方案。

主要内容包括主流数据库系统(包括Oracle、SQL Server、Sybase、MySQL、Informix)的补丁、账号管理、口令强度和有效期检查、远程登陆和远程服务、存储过程、审核层次、备份过程、角色和权限审核、并发事件资源限制、访问时间限制、审核跟踪、特洛依木马等。

安全策略加固

安全策略加固主要指根据前期评估的结果对用户已有的策略其中不适合当前实际工作状况的或这些策略没有有效落实的部分进行相应的调整,以期望在技术和管理两个层面上对用户的安全策略进行一次综合的调整。

主机加固

主机系统加固是根据专业安全评估结果,制定相应的系统加固方案,针对不同目标系统,通过打补丁、修改安全配置、增加安全机制等方法,合理进行安全性加强。

服务主要内容:

微软操作系统

补丁、文件系统、帐号管理、网络及服务、注册表、共享、应用软件、审计/日志,其它(包括紧急恢复、数字签名等)。

UNIX操作系统

补丁、文件系统、配置文件、帐号管理、网络及服务、NFS系统、应用软件、审计/日志,其它(包括专用安全软件、加密通信,及数字签名等)。

安全产品优化

根据安全策略中相关的安全产品策略,对已有的安全产品做加固措施,提升安全产品性能及其安全功能。安百科技的工程师在客户方确认安全策略后,在客户的协同下制定相应的安全产品优化方案。

主要内容包括:

防火墙产品访问控制策略优化

入侵检测产品策略库优化

日志审计系统的优化

桌面终端产品的策略调整和优化

安全保障服务

信息安全是一个动态的过程,需要持续对新的安全威胁、安全漏洞进行跟踪、分析和响应。安百科技通过专业的服务队伍和广泛的安全漏洞、安全事件信息渠道为用户提供事件预警、信息播报以及现场安全维护服务。

安全培训服务

安百科技利用雄厚的安全教育力量为用户提供国际和国家权威的信息安全管理和技术资质认证培训,同时还能够为用户提供量身定做的信息安全培训和意识教育课程,全面提升安全管理和技术人员的安全专业造诣和员工的安全意识。