精准核查，配置合规----抖圈为赌而生谈宁静基线
宣布时间 2018-04-24
层出不穷的宁静事件引爆宁静基线
随着用户网络环境中种种业务系统、应用和服务器数量蓦地增多，网络管理员对种种系统的维护事情量连续增加，尤其是在种种设备的宁静风险检查、连续核查、上线新设备的配置核查等方面，对网络管理员提出了很多挑战。一旦系统维护人员存在误操作或漏操作的行为，或一直使用系统初始化配置，都可能对客户的网络带来巨大的宁静隐患。宁静基线的推出恰好解决用户在运维效率上的痛点。
事实上，宁静基线的看法与著名的“木桶理论”相似，宁静基线可以被认为是客户宁静建设的木桶中的一块最短木板，它是对系统最低的宁静配置要求。在用户侧，宁静基线是系统要满足的最基本的宁静配置要求，是企业和组织在业务开展、管理活动执行过程中需要满足内部合规最基本的宁静要求，更是实现信息宁静风险评估与风险管理的前提和基础。
近几年来，国内外发生的宁静事件几乎都与对宁静基线重视不足密切相关：
2014年，某在线票务公司大量用户银行卡信息泄露。泄露核心原因是宁静支付的日志配置所引发，而且触发了遍历下载。
2015年，多家P2P平台同时遭黑客攻击，数据大量被盗。经过自查发现：大多数平台在架构、数据库、宁静防范方面都使用了缺省配置，应对攻击能力几乎为零。
2016年，MongoDB数据库默认配置，没有启用认证，导致5800万商业用户信息泄露。
2017年，据外媒报道称，美国五角大楼意外袒露了美国国防部的分类数据库，其中包罗美国政府在全球社交媒体平台中收集到的18亿用户的个人信息。此次泄露的数据为架在亚马逊S3云存储上的数据库。由于配置错误导致三台S3服务器“可果然下载”，其中一台服务器数据库中包罗了近18亿条来自社交媒体和论坛的帖子，据推测，这些信息很有可能是国防部从2009年到2017年8月时间内收集的。
凭据OWASP的年报数据显示，宁静事件Top10当中，宁静误配置问题所导致的宁静事件非常之多，由此带来的敏感数据的泄露、服务宕机、DDoS等宁静事件层出不穷。
正是这些事件的频繁发生，才促使了宁静基线的投入是用户网络宁静的尺度配置。值得注意的是，我国在稳步推进宁静基线的规范化事情，在各大行业相继出台基线规范。
在电信领域，三大电信运营商移动、电信、联通都具备结合自身业务特点的基线尺度。如大数据相关的基线规范、管理信息系统相关的基线规范等。
在金融行业，各大银行和金融机构结合监管要求和内部宁静要求，形成了自己的宁静基线规范尺度。如xx银行信息系统宁静基线技术规范。
在电力行业，如IT主流设备宁静基线技术规范等要求。随着时间的推移，越来越多的政企单元，必将制定切合自身要求的基线规范，使用基线规范来落地考核和评估度量。
宁静基线能力的工具化是一定趋势
宁静基线的能力建设直接影响到系统配置的宁静，凭据宁静基线规范来看，其核心围绕技术要求和管理要求两个方面组成，包罗提供一系列的检查项(Checklist)和配置建议，但对于规范的检查，需要接纳人工核查、工具化产物核查两种方式来完成，对好比下表，因此，从各个方面综合考虑，工具化核查方式是一定的趋势，相比人工方式效率高且准确性更高，在很大的水平上可大大降低基线的检查成本和后期革新的成本。
另外，自动化的基线核查类产物可以实现基线规范的高效落地，但也需要结合用户自身的行业特点，并与用户要遵从的规范相适配，因此，其基本能力应该包罗以下一些：
1.对系统实现层(操作系统、网络设备、宁静设备)、支撑层（中间件和数据库）、业务层、虚拟化、云计算等设备及组件的核查能力；
2.通过一定量适配可兼容多种行业规范，如品级�；ぁ⒃擞绦幸倒娣兜�；
3.核查方式富厚多样，如支持通例的登录协议SSH、TELNET、RDP以及也支持离线核查方式；
4.核查陈诉直观、可读性高，而且在核查过程中泛起的问题能够给出友好提示，能完成系统配置合规性检查与修复，并制定风险审核陈诉。
5.产物应具备可扩展性并提供自界说的能力，来适配信息系统的不停生长变化；
最后，任何产物要实现与用户生长相适应相结合或展现出价值，都离不开服务。由此来看，用好宁静基线产物，需要结合服务的方式是做好基线规范落地和做好基线宁静管理的最合理的方式。
抖圈为赌而生宁静基线是配置合规的最佳实践
抖圈为赌而生针对各行业特点和宁静基线规范基准，推出了专业检查平台——宁静配置核查管理系统(简称CVS)，使宁静检查过程到达自动化、尺度化、连续化、可视化。它可以大大提高检查结果的准确性和合规性，用以在政企客户的上线宁静检查、第三方入网宁静检查、合规宁静检查（上级检查）、日常宁静检查和宁静服务任务中，协助查找设备在宁静配置中存在的差距，并与宁静整改与宁静建设相结合，提升种种业务系统的宁静防护能力和到达整体合规要求。
作为对漏洞扫描产物的强力增补，能够资助用户发现网络和应用中存在的配置缺陷、管理漏洞，资助用户提升网络和应用系统的宁静强度。
产物功效特点
◆庞大网络的多渠道检查支持
系统支持在线、离线、单机署理、漫衍式收罗等核查方式，应对种种庞大网络的核查。
◆基于差异检查尺度的自界说参数检查项
可灵活配置自界说检查项参数，为差异检查尺度提供了有力的保障。
◆任务的多方式执行
核查任务支持立即核查、周期核查、定时核查、离线核查等多方式的执行方式。
◆不停富厚完善的CheckList知识库
目前支持约7大类80余种设备及系统的核查
国内最完善的宁静服务体系和要领论，不停富厚Checklist匹配差异行业规范，满足宁静配置需求。
◆高效的多协议支持
提供SSH/Telnet/SMB/RDP/JDBC/Agent/WinRm等协议支持。
◆强大的自动探测功效
系统可自动探测被核查的操作系统类型及版本,中间件及数据库的安装路径，节约数据收罗录入的时间，更智能更准确。
◆智能的错误提醒机制
系统提出全新的错误消息机制，核查失败时准确定位错误，提升核查效率。
总结
综上所述，信息宁静建设之初，宁静配置的合规性是基本的宁静要求。随着品级�；�2.0的连续深化推进，建立一套行之有效的宁静基线能力是宁静管理人员面临的当务之急。为应对这样的挑战，抖圈为赌而生宁静配置核查管理系统(简称CVS)很好地资助运维人员应对纷繁庞大的网络环境、设备环境、应用环境，快速、高效地核查配置风险，最终实现用户IT环境宁静合规的目标要求。
京公网安备11010802024551号