运维管理概述

安全运维是企业安全保障的基石，运维服务位于底层，涉及到服务器、网络设备和基础应用等，一旦运维管理出行漏洞，直接会影响到服务器或数据的安全，更需安全运维管理的规范性和流程执行的合规性。以下是网络安全运维管理主要涉及的几个维度介绍：

环境管理

指定专门的人员进行环境的管理，定期对供配电、空调、温湿度控制和消防等进行维护管理，并对机房物理访问及物品携带做管理，甚至是相关文档。

资产管理

保管客户资产信息安全，防止信息泄露。

介质管理

确保介质存放在安全的环境中，对各类介质进行控制和保护，实行存储介质专人管理，并根据存档介质的目录进行定期清点，同时对介质的归档和查询进行记录。

设备维护管理

对各种设备和线路指定专门的人员进行维护管理，并明确维护人员的责任、维修和服务的审批，以及维修过程的监督控制。

漏洞和风险管理

采取必要的措施识别安全漏洞和隐患，对发现的安全漏洞和隐患及时进行修补或评估可能的影响后进行修补。

网络和系统管理

• 划分不同的管理员角色进行网络和系统的运维管理，明确不同角色的责任和权限；

• 指定专门的人员进行账户管理，对申请账户、建立账户、删除账户等进行控制；

• 建立网络和系统安全管理制度，对安全策略、账户管理、配置管理、日志管理、日常操作、升级与打补丁、口令更新周期等方面作出规定；

• 制定重要设备的配置和操作手册，依据手册对设备进行安全配置和优化配置等；

• 详细记录运维操作日志，包括日常巡检工作、运行维护记录、参数的设置和修改等内容。

配置管理

记录和保存基本配置信息，包括网络拓扑结构、各设备软件版本和补丁信息、各设备或软件组件的配置参数等。

密码管理

使用国家密码管理主管部门认证核准的密码技术和产品，并确保客户设备账号密码不被泄露。

备份与恢复管理

• 识别需要定期备份的重要业务信息、系统数据及软件系统等；

• 规定备份信息的备份方式、备份频度、存储介质、保存期等；

• 根据数据的重要性和数据对系统运行的影响，制定数据的备份策略和恢复策略、备份程序和恢复程序等。

安全事件处置管理

• 及时向安全管理部门报告所发现的安全弱点和可疑事件；

• 制定安全事件报告和处置管理制度，明确安全事件处置和响应流程；

• 在安全事件响应处理过程中，分析和鉴定事件产生的原因，收集证据，记录处理过程，总结经验教训。

安全监控

通过实时监控网络或主机活动，分析用户和系统的行为，审计系统配置和漏洞，评估敏感系统和数据的完整性，识别攻击行为，对异常行为进行统计和跟踪，识别违反安全法规的行为，记录黑客行为，使管理员有效地监视、控制和评估网络或主机系统安全性。

持续性的网络安全监控能够监测网络威胁，并尽早发现异常风险，在造成严重损害前帮助组织做出响应。

风险管理

通过建设可靠的网络安全架构、建立风险评估机制、风险界定和渗透测试等方式可以有效进行风险管理工作。

建设网络安全架构

ISO 27001网络安全框架、国家标准和技术研究所的网络安全框架(NIST CSF)可以有效帮助企业解决业务风险问题，并有效增强整体的网络防护能力。

建立风险评估机制

制度风险评估机制，有效防范可能发生的攻击，降低安全风险。

风险界定

威胁情报可以提供可能影响业务的威胁信息，同时让安全团队对现有的风险评估框架进行关键性修改，防止新的网络攻击对企业造成伤害。

对威胁情报信息进行收集、评估和调查，可以有效增强系统的安全性，也有助于信息团队更快地作出应对网络威胁的决策。

渗透性测试

企业运维管理者需要通过攻击者的思路预测和寻找业务存在的潜在漏洞，并定期进行渗透测试。

应急响应

应急响应是指组织应对各种影响计算机系统和网络安全的不当行为所做的准备及事后采取的措施，包含了处理、恢复和跟踪的方法及过程。

制定应急预案，包括应急处理流程、系统恢复流程等，并定期对系统相关的人员进行应急预案培训和演练。

事前准备

包括安全意识培训、制定安全政策、应急预案、风险分析、数据备份、系统升级、打补丁和安全设备部署等。

安全措施

安全措施的目的是抑制安全事件的影响及蔓延，并恢复数据和网络等，以便尽可能的减少损失或尽快恢复系统的正常运行，包括收集系统特征、检测病毒或木马等恶意代码隔离、限制或关闭网络、系统恢复、跟踪总结等。事前准备和事后措施是互为补充的关系，事前的准备为事件发生后的响应动作提供指导，事后的响应可以发现事前方案的缺乏，吸取经验教训，从而进一步完善信息防护方案，预防类似的事件发生。

必要性

实施应急响应机制能够减少和限制信息安全事件发生所带来的损失。

随网络快速发展，网络架构越来越复杂，边界愈发模糊，数据量剧增，这都为恶意代码的传播创造了便利条件，人们可以随意下载攻击工具，而使用这些攻击工具可轻松使用，比如端口扫描软件，这也就放大了网络的非法入侵。

风险评估

风险评估是指在风险事件发生之前或之后造成的影响或损失的量化评估。从信息安全的角度来讲，风险评估是对信息资产(即某事件或事物所具有的信息集）所面临的威胁、存在的弱点、造成的影响，以及三者综合作用所带来风险的可能性的评估。

通过风险评估管理工作可以有效确定安全事件的发生概率，进而更好的控制安全事件的发生。

信息安全风险评估要素及风险值的关系如下图所示：

总结

企业管理者可以通过环境、资产、介质、设备维护、漏洞和风险、网络和系统、配置、密码、备份与恢复、安全事件处置、风险评估和制定应急预案等管理手段降低安全事件的发生，同时利用监控手段发现网络安全风险，避免安全事件的发生。