信息安全防護(hù)體系運(yùn)行管理辦法
第一章 總則
1.1目的
根據(jù)《x單位系統(tǒng)網(wǎng)絡(luò)與信息安全總體方案》和《x單位系統(tǒng)網(wǎng)絡(luò)與信息安全管理崗位及其職責(zé)》，為進(jìn)一步規(guī)范x單位系統(tǒng)網(wǎng)絡(luò)信息安全防護(hù)體系配置的安全產(chǎn)品的運(yùn)行管理工作，提高x單位系統(tǒng)信息安全管理水平，保證安全產(chǎn)品的有效性，特制定本辦法。
1.2 適用范圍
《運(yùn)行管理辦法》適用于x單位總部、各省級(jí)局和地市級(jí)局對(duì)x單位系統(tǒng)網(wǎng)絡(luò)信息安全防護(hù)體系統(tǒng)一部署的防火墻、入侵檢測系統(tǒng)、防病毒系統(tǒng)和漏洞掃描系統(tǒng)、桌面安全防護(hù)系統(tǒng)、安全審計(jì)系統(tǒng)等安全產(chǎn)品的運(yùn)行管理。
x單位總部、各省級(jí)局和地市級(jí)局對(duì)所配置的其它同類安全產(chǎn)品的運(yùn)行管理參照本辦法執(zhí)行。
1.3管理職責(zé)
x單位總部負(fù)責(zé)總部網(wǎng)絡(luò)中部署的安全產(chǎn)品的運(yùn)行管理工作；并負(fù)責(zé)匯總各省級(jí)局上報(bào)的安全產(chǎn)品運(yùn)行管理報(bào)告；分析安全風(fēng)險(xiǎn)和存在的安全隱患，形成報(bào)表，監(jiān)督指導(dǎo)各省級(jí)局解決發(fā)現(xiàn)的安全問題。
各省級(jí)局負(fù)責(zé)本單位網(wǎng)絡(luò)中部署的安全產(chǎn)品的運(yùn)行管理工作；負(fù)責(zé)匯總各地市級(jí)局上報(bào)的安全產(chǎn)品運(yùn)行管理報(bào)告，形成本省范圍內(nèi)的安全產(chǎn)品運(yùn)行管理報(bào)告，當(dāng)月報(bào)告在下月的10日前上報(bào)x單位總部；分析所轄區(qū)域內(nèi)的安全風(fēng)險(xiǎn)和存在的安全隱患，監(jiān)督指導(dǎo)下一級(jí)局解決發(fā)現(xiàn)的安全問題。
各省級(jí)局負(fù)責(zé)本單位網(wǎng)絡(luò)中部署的安全產(chǎn)品的運(yùn)行管理工作；形成安全產(chǎn)品運(yùn)行管理報(bào)告，當(dāng)月報(bào)告在下月的10日前上報(bào)x單位總部；分析安全風(fēng)險(xiǎn)和存在的安全隱患，解決發(fā)現(xiàn)的安全問題。
各地市級(jí)局負(fù)責(zé)本單位網(wǎng)絡(luò)中部署的安全產(chǎn)品的運(yùn)行管理工作；形成安全產(chǎn)品運(yùn)行管理報(bào)告，當(dāng)月報(bào)告在下月的5日前上報(bào)各省級(jí)局；分析所屬網(wǎng)絡(luò)中的安全風(fēng)險(xiǎn)和存在的安全隱患，解決發(fā)現(xiàn)的安全問題。
第二章 安全管理員職責(zé)
各級(jí)x單位機(jī)關(guān)必須按照《x單位系統(tǒng)網(wǎng)絡(luò)與信息安全管理崗位及其職責(zé)》的規(guī)定，設(shè)置安全管理員崗位和具體的執(zhí)行角色，負(fù)責(zé)安全產(chǎn)品的運(yùn)行管理，根據(jù)各單位的具體情況，安全管理員崗位可以是安全管理員角色和安全審計(jì)員角色的組合，也可設(shè)置多個(gè)安全管理員崗位。
安全管理員在各x單位機(jī)關(guān)安全管理機(jī)構(gòu)的領(lǐng)導(dǎo)下工作，負(fù)責(zé)管理x單位系統(tǒng)網(wǎng)絡(luò)信息安全防護(hù)體系部署的安全產(chǎn)品，主要職責(zé)是：
（1）根據(jù)業(yè)務(wù)需求和網(wǎng)絡(luò)安全威脅維護(hù)安全產(chǎn)品的安全策略，在必須修改策略時(shí)，經(jīng)領(lǐng)導(dǎo)和上級(jí)主管部門批準(zhǔn)后實(shí)施；
（2）負(fù)責(zé)安全產(chǎn)品的日常維護(hù)管理，認(rèn)真記錄維護(hù)日志；
（3）解決安全產(chǎn)品運(yùn)行中出現(xiàn)的技術(shù)問題，及時(shí)排除故障；
（4）定期分析安全產(chǎn)品的系統(tǒng)日志和安全日志，檢查設(shè)備工作狀況，分析是否存在安全風(fēng)險(xiǎn)；
（5）發(fā)現(xiàn)重大安全問題或事件時(shí)，及時(shí)向領(lǐng)導(dǎo)報(bào)告，并按照應(yīng)急預(yù)案進(jìn)行應(yīng)急處理；
（6）按照安全產(chǎn)品運(yùn)行管理報(bào)告（見附件二）的內(nèi)容要求，提交安全產(chǎn)品的運(yùn)行管理報(bào)告。
第三章 安全產(chǎn)品的管理
3.1日常維護(hù)管理
（1）安全管理員應(yīng)每天進(jìn)行安全設(shè)備巡檢；
（2）安全管理員必須對(duì)安全產(chǎn)品的策略進(jìn)行備份保護(hù)，策略發(fā)生變更時(shí)，必須做好變更記錄并進(jìn)行備份更新；
（3）定期備份與維護(hù)安全產(chǎn)品的系統(tǒng)日志和安全日志；
（4）在總部發(fā)布安全產(chǎn)品升級(jí)通知后，及時(shí)進(jìn)行產(chǎn)品升級(jí)；
（5）安全產(chǎn)品的運(yùn)行維護(hù)活動(dòng)記入安全產(chǎn)品的維護(hù)工作日志。
3.2故障管理
安全管理員應(yīng)每天在日常維護(hù)日志中，記錄安全產(chǎn)品的運(yùn)行狀況或使用情況。在產(chǎn)品出現(xiàn)故障時(shí)，應(yīng)及時(shí)與廠商聯(lián)系解決問題，并記錄故障現(xiàn)象與處理結(jié)果。
安全管理員應(yīng)按附件二要求如實(shí)填寫本單位《運(yùn)行管理報(bào)告》中的《安全產(chǎn)品故障統(tǒng)計(jì)月表》。
《安全產(chǎn)品故障統(tǒng)計(jì)月表》根據(jù)日常維護(hù)記錄中安全產(chǎn)品的故障情況填寫。
產(chǎn)品類型包括：防火墻、入侵檢測系統(tǒng)、防病毒系統(tǒng)、漏洞掃描系統(tǒng)、終端桌面安全防護(hù)系統(tǒng)和安全審計(jì)系統(tǒng)。
內(nèi)容包括：
a.? 故障總數(shù)
b.? 主要故障描述
c.? 處理結(jié)果
3.3變更管理
總部對(duì)網(wǎng)絡(luò)與信息安全防護(hù)產(chǎn)品的配置位置和統(tǒng)配策略做了統(tǒng)一部署。為了保證安全防護(hù)體系的完整性和可控性，需要對(duì)網(wǎng)絡(luò)信息安全防護(hù)體系中配置的安全產(chǎn)品進(jìn)行變更管理。
（1）總部統(tǒng)一配置的安全產(chǎn)品配置位置變更時(shí)必須經(jīng)總部批準(zhǔn)；
（2）各級(jí)x單位單位負(fù)責(zé)本單位安全策略的制定，但總部統(tǒng)配安全策略的變更必須報(bào)總部批準(zhǔn)。
（3）對(duì)批準(zhǔn)實(shí)施的變更情況存檔并記入本單位《運(yùn)行管理報(bào)告》中的變更情況說明，包括：
l? 變更的安全設(shè)備名稱、型號(hào)
l? 變更原因
l? 變更后的設(shè)備配置拓?fù)?/p>
l? 變更后的設(shè)備配置策略
3.4安全管理
3.4.1例行安全管理
安全管理員必須每天分析安全產(chǎn)品的系統(tǒng)日志和安全日志，在發(fā)現(xiàn)安全事件時(shí)，應(yīng)及時(shí)報(bào)告。
以下各節(jié)描述對(duì)各類安全設(shè)備的例行安全管理活動(dòng)。
3.4.1.1防火墻
（1）防火墻運(yùn)行狀態(tài)監(jiān)測
安全管理員應(yīng)每天監(jiān)測上下行防火墻和橫向防火墻運(yùn)行狀態(tài)。
監(jiān)測的內(nèi)容：
a.系統(tǒng)負(fù)載（cpu狀態(tài)）
b.系統(tǒng)資源（內(nèi)存狀態(tài)）
c.防火墻端口狀態(tài)
d.網(wǎng)絡(luò)連接數(shù)
（2）防火墻安全事件分析
安全管理員應(yīng)每天檢查防火墻的安全日志，分析安全事件。
安全事件分析內(nèi)容：
a. 攻擊事件描述
b. 攻擊時(shí)間
c. 攻擊類型
d. 攻擊源ip和受攻擊主機(jī)ip
e. 阻斷ip地址及相關(guān)端口
（3）防火墻安全事件月統(tǒng)計(jì)
安全管理員應(yīng)按附件二要求如實(shí)填寫本單位《運(yùn)行管理報(bào)告》中的《防火墻安全事件統(tǒng)計(jì)月表》。
《防火墻安全事件統(tǒng)計(jì)月表》根據(jù)防火墻日志分析結(jié)果填寫。
安全事件統(tǒng)計(jì)內(nèi)容：
a.各種攻擊類型數(shù)量及百分比統(tǒng)計(jì)
b.top 10攻擊源ip與受攻擊主機(jī)ip統(tǒng)計(jì)
（4）防火墻阻斷事件統(tǒng)計(jì)
安全管理員應(yīng)按附件二要求如實(shí)填寫本單位《運(yùn)行管理報(bào)告》中《防火墻阻斷事件報(bào)告統(tǒng)計(jì)表》。
《防火墻阻斷事件報(bào)告統(tǒng)計(jì)表》根據(jù)安全審計(jì)系統(tǒng)中相應(yīng)的防火墻日志分析結(jié)果填寫。
阻斷事件統(tǒng)計(jì)內(nèi)容：
a. 阻斷事件總數(shù)。
b. top 10阻斷ip地址。
c.top 10 阻斷端口。
3.4.1.2入侵檢測系統(tǒng)
（1）安全事件分析
安全管理員應(yīng)每天分析入侵檢測系統(tǒng)記錄的安全事件。
安全事件分析內(nèi)容：
a. 攻擊事件描述
b. 攻擊時(shí)間
c. 攻擊類型
d. 攻擊源ip和受攻擊主機(jī)ip
（2）入侵檢測系統(tǒng)安全事件月統(tǒng)計(jì)
安全管理員應(yīng)按附件二要求如實(shí)填寫本單位《運(yùn)行管理報(bào)告》中的《入侵檢測系統(tǒng)安全事件統(tǒng)計(jì)月表》。
《入侵檢測系統(tǒng)安全事件統(tǒng)計(jì)月表》根據(jù)入侵檢測日志分析結(jié)果填寫。
安全事件統(tǒng)計(jì)內(nèi)容：
a. top 10安全事件數(shù)量及百分比統(tǒng)計(jì)
b.top 10攻擊源ip與受攻擊主機(jī)ip統(tǒng)計(jì)
3.4.1.3 防病毒系統(tǒng)
（1）防病毒系統(tǒng)運(yùn)行管理監(jiān)測
安全管理員應(yīng)進(jìn)行防病毒系統(tǒng)運(yùn)行管理監(jiān)測。
監(jiān)測內(nèi)容：
a.防病毒軟件升級(jí)信息
b.周病毒審計(jì)
c.周主機(jī)變化記錄
d.周策略維護(hù)
（2）病毒事件周分析
安全管理員應(yīng)每周監(jiān)測病毒事件
監(jiān)測內(nèi)容：
a.病毒總量
b.多發(fā)病毒統(tǒng)計(jì)
c.多發(fā)病毒主機(jī)
（3）病毒事件月統(tǒng)計(jì)
安全管理員應(yīng)按附件二要求如實(shí)填寫本單位《運(yùn)行管理報(bào)告》中的《病毒事件報(bào)告月表》。
《病毒事件報(bào)告月表》根據(jù)防病毒系統(tǒng)日志分析結(jié)果填寫。
安全事件統(tǒng)計(jì)內(nèi)容：
a.? 病毒總量
b.? 多發(fā)病毒統(tǒng)計(jì)
c.? 多發(fā)病毒主機(jī)
3.4.1.4漏洞掃描系統(tǒng)
（1）漏洞掃描系統(tǒng)管理監(jiān)控
安全管理員要嚴(yán)格管理好漏洞掃描系統(tǒng)，未經(jīng)領(lǐng)導(dǎo)批準(zhǔn)，不得擅自使用。
在使用漏洞掃描系統(tǒng)前應(yīng)填寫《漏洞掃描系統(tǒng)使用申請(qǐng)》（見附件一），獲得領(lǐng)導(dǎo)批準(zhǔn)后方能使用。
申請(qǐng)內(nèi)容：漏洞掃描系統(tǒng)的掃描地址范圍。
安全管理員在日常維護(hù)日志中記錄使用漏洞掃描系統(tǒng)的情況。
對(duì)發(fā)現(xiàn)的重要業(yè)務(wù)服務(wù)器的安全漏洞，必須在報(bào)告總部后，根據(jù)總部組織的專家咨詢意見，獲得領(lǐng)導(dǎo)批準(zhǔn)后才能打補(bǔ)丁。
（2）漏洞管理月統(tǒng)計(jì)
安全管理員應(yīng)按附件二要求如實(shí)填寫本單位《運(yùn)行管理報(bào)告》中的《漏洞管理月報(bào)告》。
《漏洞管理報(bào)告》根據(jù)漏洞掃描系統(tǒng)掃描數(shù)據(jù)分析與處理結(jié)果填寫。
漏洞管理內(nèi)容：
a.主要應(yīng)用系統(tǒng)的相關(guān)信息及漏洞分布情況
b.根據(jù)漏洞進(jìn)行配置調(diào)整與補(bǔ)丁安裝情況
3.4.1.5終端桌面安全防護(hù)系統(tǒng)
（1）安全事件分析
安全管理員應(yīng)每天分析終端桌面安全防護(hù)系統(tǒng)的安全事件。
安全事件分析內(nèi)容：
a. 高危險(xiǎn)級(jí)別事件名稱。
b. 高危險(xiǎn)級(jí)別事件發(fā)生時(shí)間。
c. 高危險(xiǎn)級(jí)別事件詳細(xì)內(nèi)容和發(fā)生原因。
d. 發(fā)生高危險(xiǎn)級(jí)別事件的主機(jī)信息。
（2）終端桌面安全防護(hù)系統(tǒng)月統(tǒng)計(jì)
安全管理員應(yīng)按附件二要求如實(shí)填寫本單位《運(yùn)行管理報(bào)告》中的《桌面安全防護(hù)系統(tǒng)事件月報(bào)告》。
《桌面安全防護(hù)系統(tǒng)事件月報(bào)告》根據(jù)桌面安全防護(hù)系統(tǒng)的相應(yīng)查詢功能和安全審計(jì)系統(tǒng)中桌面安全防護(hù)系統(tǒng)的相關(guān)日志分析結(jié)果填寫。
終端桌面安全防護(hù)系統(tǒng)管理內(nèi)容：
a.資產(chǎn)信息統(tǒng)計(jì)
b. 安全事件總數(shù)，高危險(xiǎn)級(jí)別事件數(shù)量，中危險(xiǎn)級(jí)別事件數(shù)量。
c.top 10 高危險(xiǎn)級(jí)別事件。
d.top 10 高危險(xiǎn)級(jí)別ip地址.
3.4.1.6安全審計(jì)系統(tǒng)
（1）安全事件分析
安全管理員應(yīng)每天分析安全審計(jì)系統(tǒng)收集和處理的安全事件日志信息。
安全事件分析內(nèi)容：
a. windows主機(jī)產(chǎn)生的高危險(xiǎn)級(jí)別事件信息。
b.windows主機(jī)產(chǎn)生的高危險(xiǎn)級(jí)別事件產(chǎn)生的時(shí)間。
c.windows主機(jī)產(chǎn)生的高危險(xiǎn)級(jí)別事件所屬主機(jī)信息。
d. unix主機(jī)產(chǎn)生的高危險(xiǎn)級(jí)別事件信息。
e.unix主機(jī)產(chǎn)生的高危險(xiǎn)級(jí)別事件產(chǎn)生的時(shí)間。
f.unix主機(jī)產(chǎn)生的高危險(xiǎn)級(jí)別事件所屬主機(jī)信息。
g. 網(wǎng)絡(luò)設(shè)備產(chǎn)生的高危險(xiǎn)級(jí)別事件信息。
h.網(wǎng)絡(luò)設(shè)備產(chǎn)生的高危險(xiǎn)級(jí)別事件產(chǎn)生的時(shí)間。
i.網(wǎng)絡(luò)設(shè)備產(chǎn)生的高危險(xiǎn)級(jí)別事件所屬主機(jī)信息。
（2）安全審計(jì)系統(tǒng)月統(tǒng)計(jì)
安全管理員應(yīng)按附件二要求如實(shí)填寫本單位《運(yùn)行管理報(bào)告》中的《安全審計(jì)管理月報(bào)告》。共包括如下四個(gè)報(bào)告：《安全審計(jì)系統(tǒng)審計(jì)源及日志統(tǒng)計(jì)》、《windows主機(jī)事件報(bào)告統(tǒng)計(jì)》、《unix主機(jī)事件報(bào)告統(tǒng)計(jì)》、《網(wǎng)絡(luò)設(shè)備事件報(bào)告統(tǒng)計(jì)》。
《安全審計(jì)管理月報(bào)告》根據(jù)安全審計(jì)系統(tǒng)收集的日志結(jié)果填寫。
安全審計(jì)管理內(nèi)容：
1、安全審計(jì)系統(tǒng)審計(jì)源及日志統(tǒng)計(jì)
a.日志源日志源數(shù)量統(tǒng)計(jì)
b.日志分級(jí)數(shù)量統(tǒng)計(jì)
2、windows主機(jī)事件報(bào)告統(tǒng)計(jì)
a. 產(chǎn)生事件總數(shù)，高危險(xiǎn)級(jí)別數(shù)量。
b. top 10高危險(xiǎn)級(jí)別事件產(chǎn)生數(shù)量的ip地址
3、unix主機(jī)事件報(bào)告統(tǒng)計(jì)
a. 產(chǎn)生事件總數(shù)，高危險(xiǎn)級(jí)別數(shù)量。
b. top 10高危險(xiǎn)級(jí)別事件產(chǎn)生數(shù)量的ip地址
4、網(wǎng)絡(luò)設(shè)備事件報(bào)告統(tǒng)計(jì)
a. 產(chǎn)生事件總數(shù)，高危險(xiǎn)級(jí)別數(shù)量。
b. top 10高危險(xiǎn)級(jí)別事件產(chǎn)生數(shù)量的ip地址
3.4.2應(yīng)急安全管理
在發(fā)現(xiàn)安全系統(tǒng)出現(xiàn)《x單位系統(tǒng)重大網(wǎng)絡(luò)與信息安全事件報(bào)告制度》中定義的重大安全事件時(shí)，按文件規(guī)定的流程進(jìn)行處理和上報(bào)，如果與相應(yīng)的安全產(chǎn)品關(guān)聯(lián)，應(yīng)同時(shí)記錄相關(guān)情況。
