PDCA分级保护评估项目文件管理.pdf 4页
我联通IT服务专栏主编：Zuoyue_ChinaUnicomITServiceE-mail：zuoyue@cesi。 cno爨。 驰四联通(全国联通)文件化分级保护评估基于PDCA管理●中国联通系统集成有限公司戴晓静、宋华云、胡浩、于春梅 摘要 针对当前分级保护评估项目的管理需求，提出基于PDCA管理的文件化管理模式PDCA模型等保测评主机 虚拟层，本文件详细介绍了标准化管理在等级保障考核评价中的应用，发现并解决了项目中已知或潜在的问题，为当前文件化管理提供了思路和解决方案。 关键词：PDCA、保护评价、文件化管理、分类评价的需要、本文摘要：根据项目管理保护论文提出了分类模型中的文档详细介绍，以及管理应用文档管理保护评价中发现和解决的问题。 、存在潜在问题的项目，为当前文档管理提供思路和解决方案。 评估; 文档关键词：PDCA； 分级保护管理 1 引言 2 PDCA 模型 随着信息技术的飞速发展和移动互联网新时代的到来，PDCA 模型由美国著名管理学家戴明提出。 随着现代时代的到来，信息安全逐渐成为人们日益关注的焦点。 ，故又称“戴明环”。
由于其运作流程的严谨和管理，已成为全国蓬勃发展的重要领域之一。 由于信息科学对象的多样性和方法的简单性，PDCA的应用安全保障体系是为了促进信息化的健康发展，维护国家安全。 范围也从最初的质量管理迅速扩展到各个领域、社会秩序和公共利益。 基本保障。 分级保障考核是管理活动之一。 评级评估机构以信息安全等级保护体系为基础，严格遵循图1所示的PDCA循环流程，即按照相关管理规范和技术要求，对重要信息系统进行规划、实施、检查、处理的工作循环。标准”。 通过对全级防护状况的反复检测和评估，是我国安全建设周期达到提高质量的目的。 PDCA循环的各个环节以及整改的依据。 文档管理是MPA评估工作的主要部分，各有其特定的目标。 因此，这四个阶段是相互促进、相互分化的。 项目经理在评估过程中审阅各种文件是必不可少的。 l'：总结分析，获得评价工作中的成功经验和存在问题，从而提高保级评价工作质量。 因此，如何做好等保考核项目的文件管理工作，是一个至关重要的实施问题。 本文介绍了PDCA循环模型并研究了级保评估与评估的流程，并生成了基于PDCA的文件化管理C：检查模型，并成功地将其应用于级保评估的项目管理中，从而解决了问题和完善保级评价。 质量宗旨。
图1 PDCA周期■，Ⅷ浦万方数据中国联通IT服务专栏IChinaUniconlITSer》IPPDCA的每个周期不是简单的重复，而是评估者和被评估方共同确认现场评估过程中收集到的证据的上升过程。每个周期都会解决和发现证据和信息，最后，准备MLPS评估报告和附录，对于未解决的问题慈云数据自营海外云服务器,高稳定高性价比,支持弹性配置，将解决一些影响项目质量的问题。 3.2基于PDCA循环的文件化项目管理将在循环处理，随着循环的继续，项目（1）级保评估项目（P）的文件管理计划（P）的质量也会不断提高，如图图2 项目文件管理的主要目标是 文件应尽量覆盖平等保护评估和评价的整个生命周期，记录应准确、到位。 评估的每个过程都应该有据可查，可以概括为：覆盖全面、记录准确。 通过进一步细分平等保护评估项目流程，根据文件1.文件目标，得到各环节涉及的文件内容。 项目文件的细目如表 1.L1 所示。 JP-D 竹笋（二）平等保护评估项目文件管理实施情况（D）_/,-．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．． ．．．．．．．．．．．．．．．．．．． 流程、图纸2 PDCA循环和持续改进定义了详细的文档清单和文档内容。 评估准备活动阶段所需的表格和文件： ①本信息调查问卷基于项目的3PDCA循环应用实践，包括被测单元的基本信息、网络及主机设备情况、网络拓扑图等。
②项目计划，3.1等级保障评估流程包括评估小组的组建、评估实施阶段计划、工作范围。 等级保障评估以系统等级为基础，以系统等级内容和技术实现方法为依据。 ③项目计划审批表，项目预计在技术和管理层面开展评价活动。 分级保障考核评估方案一般需要技术主管和评估主管签字。 一般工作流程包括以下四个方面：评估准备、计划④保密协议，由评估方与被评估方签署，包括准备工作、现场评估、报告编写。 评估准备活动首先必须包括保密内容和违约责任。 ⑤ 表现出独立性和公正性，做好项目启动工作，然后对表1项目文件分项表中的测量对象进行现场调研，收集分析系统现有数据，启动准级评估项目，开展项目等保测评主机 虚拟层，为项目研究做好准备。 评估工具和表格等 Plan i 评估准备！ 信息收集和分析准备活动主要是进一步确定评估对象和指标，根据系统确定的测试工具选择或编写操作指令，并进行计划准备以最终确定整个评估计划。 现行考核计划编制内容涵盖全面的现场考核，即考核人员根据作业指导书选择现场考核准备内容的考核项目逐一进行现场考核，准确记录考核情况评审结果，返回现场评审及结果记录，现场评审{评审对象一一进行。 检查、结果确认和数据返回文件一般包括网络、主机、应用、评估结果判定数据、物理、安全管理等。风险分析评估报告和口头报告的准备需要完成项目启动会议和评估，以确保评估结论形成报告 审批并收到现场记录，召开评估总结会议，编制评估报告 万方数据普泉泉FI 中国联通IT服务专栏一 ChinaUnicomrrService 本文件是维护企业合法权益的文件客户和担保服务质量，包括整个分级担保评估流程所涉及的所有内容如图3所示，其中包括评估人员的行为准则和职责，以及评估和服务的基本信息调查问卷和作业指导书质量，以电子方式存档，以及其余的完整承诺。
用于纸质归档。 为了提高项目文件编制效率，将文件分为计划编制活动阶段所需的表格和文件：①四类任务，涉及项目经理、中央文件管理员、部门指令。 内容根据评价对象和体系层次确定，包括领导、客户等人员，并统一标注文件，包括安全子类别、评价指标、实施流程和检查说明等。 工作思路清晰、组织有序。 ②评价计划是现场评价顺利实施的基石。 它一般包括项目和被测系统的描述、评估对象和项目组成部分。 : 霎：无髫囩愿：三尊：！; 评审方技术负责人...1． ;;抓紧任务l:;申请材料齐全后，须经审核组长签字确认。 ④评价方法确认表。 由被评估方负责填写，内容包括确认内容、评估授权书、确认人员等。 ⑤评估工具领取归还表，朱晓：Duanzhulin_;{！ 要求包括工具领取、归还时间和借用人等。 阶段：：宋丽雷佩陈还确认了单次现场评估活动阶段所需的表格和文件：，广东宜兰手捏凳子警察老婆，朱霸！ 单身的！ 下传泉号紫文工程：湛翠玉皇零鼎馕报元千笔。 iW将授权评估单位进行现场评估，包括最终的21份电子文件、7份评估报告和批准、项目方案和风险的确认。
②风阶段，签署单阶段18评估报告并出具单保险通知函，详细说明评估过程中系统故障的可能性以及负责状态； ，负单0缺乏档案r大篮子领导1领导引用比较小妾的前世受害者签名'？：l，fll'人们缺乏风险和风险规避计划。 ③根据作业指导书编制现场评价记录表，包括安全子类别，图3评价流程表，总结评价指标、实施过程、检查结果等。 ④文件收回确认表，包括体系文件和回传评估过程中从被测单位借用的状态（3）等级保证评估项目文件的文件管理检查（c）。 ⑤ 出发确认表，为了达到项目文件管理的目的，需要全覆盖，避免不必要的纠纷。 评估单位离开现场时，必须向被测试单位提供准确的信息和内容。 为了实现这一目标，必须建立完整、严格的退出确认。 监督检查机制。 首先，评估人员进行自查，检查报告准备活动阶段所需的表格和文件：①评估报告中个人负责单位的评估内容是否准确。 接下来是项目报告和附录，是整个项目文件的主体部分，包括对评估报告和附录的审查，以及涵盖项目概述、被测系统概述、评估范围的项目过程文件及方法等初审。 最后，项目管理者对整个项目过程文件进行评估报告审批表。 评估报告的质量直接关系到整体审查，包括检查是否全面、内容是否准确（从技术上保证评估服务的质量），因此审批流程相对严格，技术内容需要由技术总监检查），签字盖章是否落实，包括项目经理审核、中心经理审核、部门经理批准、客户满意度是否高，对每个项目中出现的问题分三个阶段进行审核。
③评价报告回执单由被检测单位签字并记录、汇总。 通过对文件的审查，还可以影射输出项，包括签名的内容和签名的人。 项目过程中出现的问题。 经过长期实践，发现项目过程中应出现以下问题： 项目收尾阶段应建立监督评审表和项目进展文件： 采用学位确认表，不断提高服务质量，应建立电子文档和①文档格式。 问题，这一点记录在评估报告和附录中的纸质文件中，以备将来验证。 现在更明显了。 2对1阅读万方数据联通IT服务专栏l中国联通IT服务I ②文档编号问题，项目经理准备流程文档的一个重要方向。 通过对PDCA循环模型的探索，以及对资料匹配时“一月一项目号、一文件号”评价工作流程的解读，提出了文件化管理格式，对文件进行编号，方便管理。 管理模式。 这种文件化管理不仅继承了PDCA模式的缺点，而且文件的变更不够及时。 严谨便捷，更加符合等级保证考核评价工作的需要，（四）等级保证评价项目文件化管理和处理（一）达到提高工程质量管理水平的目的。 这个记录化的管理流程在整个PDCA流程中至关重要。 该管理模式已成功应用于A级考核评价工作中，起到了承前启后的作用。 标志着一个周期的结束，也取得了理想的结果。 ，这也证明了这个方法的可行性，也是下一个科学周期的开始。
通过上一周期的经验和教导。 今后，我们将进一步总结这一文件化的管理方法，将解决方案记录到下一个周期，并继续进行分步研究和改进，不断提高MAB评估项目质量管理的课题质量。 在等保项目的文件化管理中，是一种补充和借鉴。 记录每个周期发现的问题，确定下一个周期问题的主次关系，并在下一个周期纠正。 对于某个项目组中出现的问题，文档管理员可以列一个参考清单……屠正伟。 三级信息系统保护常见问题整改，记录问题阶段、内容、解决进度及反驳意见[J]电力信息化，2011.9（03）：65-68。 对于反复出现的问题，可以组织项目组成员进行培训等。 【2】车伟，丁一新。 夏飞。 电力业务系统安全评估框架研究U].电力
1. 说明
本文主要讲一下Windows系统中入侵防御控制点的相关内容和理解。
2、评价项目
a) 应遵循最小安装原则，仅安装所需的组件和应用程序； b) 关闭不必要的系统服务、违约份额和高风险端口； c) 应通过设置终端访问方式或网络地址范围来控制访问。 网络管理的管理终端受到限制； d) 应提供数据有效性校验功能，确保通过人机界面或通讯接口输入的内容满足系统设置要求； e) 发现可能的已知漏洞，并经过充分的测试和评估后，及时修补漏洞； f) 应能够检测重要节点的入侵，并在发生严重入侵时发出警报。
注意，评估项d的评估对象不包括服务器的操作系统：
3、评价项目a
a) 遵循最小安装原则，仅安装所需的组件和应用程序；
这个比较容易理解。 也就是说，只应安装服务器所需的组件和应用程序。 应删除或禁用非必要的组件和应用程序。
输入appwiz.cpl查看windows中安装的程序：
在进行评估时，有些程序明显多余，如QQ、迅雷等。其他的，如果是不常见或不清楚的软件，则需要通过访谈来确认。
4、评价项目b
b) 关闭不必要的系统服务、违约份额和高风险端口；
该评价项的总体意义是外部访问是否得到控制和最小化。
服务、进程、端口之间的关系是这样的。 当某个服务开启时，某个服务会启动一个或多个进程，然后该进程可能会监听该端口。 那么只有当进程监听到端口时，端口通信才有意义。
如果外界向服务器上不受任何进程监控的端口发送信息，则不会收到任何响应。
例如iis服务会启动w3wp进程，w3wp进程会监听80端口或者你设置的端口。
因此，这个评价项目可以从多方面来判断。 一是开放服务（包括共享服务）的状态，二是监控端口的状态。 最直接的判断是根据服务器监听的端口状态。
4.1. 不必要的系统服务
一方面可以查看Windows启用的功能。 在服务器管理器的功能节点中，可以看到启用的Windows功能：
这里启用了Telnet服务器功能，这显然是多余的（在身份认证控制点的c评估项中也是不允许的），但需要注意的是，这并不意味着必须启用Telnet服务。
另外，如果不是网站服务器或应用服务器，不承担网站后端业务，那么IIS也是多余的。
另一方面，您可以直接检查每个服务的状态：
注意这里的Telnet服务是关闭的，所以相关端口不受监控。
4.2. 默认共享
对于默认共享，还可以先检查共享服务是否开启：
然后使用命令 net share 检查启用了哪些共享：
这里说明一下，对于Windows系统，会默认给你开启共享，每个盘一份共享，c盘多一份Admin$共享，然后还会有一个ipc$共享。
默认共享和普通共享的区别在于，它的共享名后面有一个$，表示它是隐藏共享，也就是说在计算机网络中看不到它：
然而，它只是被隐藏了。 您可以在文件夹地址栏中输入地址进行正常的共享访问（期间需要输入用户名和密码）：
在服务器上，可以在服务器管理器中的共享和存储管理中的会话管理中查看共享连接会话（这里只包括其他终端）：
也可以使用net session命令查看（这里只包含与自己连接的其他终端）：
至于ipc$具体是做什么用的，我就不知道了。 可以实现空用户名、空密码的连接（以下是在其他终端连接服务器，net use命令可以查看你与其他服务器的共享连接会话）：
C:\Users\CX>net use \\192.168.9.136\ipc$ "" /user:""
命令成功完成。C:\Users\CX>net use
会记录新的网络连接。状态 本地 远程 网络
-----------------------------------------------------------------------------
OK \\192.168.9.136\ipc$ Microsoft Windows Network
命令成功完成。复制
ipc$连接后，基本没有权限了：
C:\Users\CX>net time \\192.168.9.136
发生系统错误 5。拒绝访问。C:\Users\CX>net view \\192.168.9.136
发生系统错误 5。拒绝访问。复制
ipc$连接好后，再连接c$或者其他共享。 其实就是直接使用连接ipc$时输入的用户名和密码进行验证。 所以如果你在连接ipc$时输入管理员帐户的用户名和密码，就可以连接到其他共享会话。 如果您使用空用户名和空密码连接到 ipc$，您将无法连接到其他共享会话。
C:\Users\CX>net use \\192.168.9.136\ipc$ "" /user:""
命令成功完成。C:\Users\CX>net use \\192.168.9.136\c$
密码在 \\192.168.9.136\c$ 无效。为 '192.168.9.136' 输入用户名:
发生系统错误 1223。操作已被用户取消。复制
对于默认共享，有多种方法可以将其关闭：
关闭Server服务，但这会关闭所有共享服务。 关注是否会影响业务实际需要的共享。
使用net share xxx /delete命令删除共享，其中xxx为共享的名称，例如net share ipc$ /delete。 这里说的是删除ipc$共享不会影响其他共享。 另外等保测评主机疑问，这只是临时删除，服务器重启后就会关闭；
在防火墙或IP策略中，禁止共享服务使用的端口。 不过，这里并不容易判断。 根据所使用的 SMB 协议，可能会使用不同的端口：
4.3. 高风险端口或冗余端口
事实上，如果端口不受终端IP限制，基本上就会出现漏洞。 至于监控额外的端口，那就更危险了。
以下是一些常见的冗余端口（Windows 默认为您打开的端口）：
对于 Windows，端口 80 最有可能启用 IIS 服务。 如果没有此服务，则为冗余端口； 135端口是Microsoft RPC远程过程调用使用的端口号，不涉及远程过程调用，即是冗余端口。 WebService是RPC的一种实现。 这是一个公共WebService接口。 读完后，您就会知道它的作用：； 端口 137、138 和 139（TCP、UDP）是 NetBIOS 名称服务。 使用的端口号用于在局域网内提供计算机名称或IP地址查询服务和文件共享服务。 换句话说，共享服务可以使用这三个端口。 如果没有业务需要共享服务，那么一定是冗余端口； 端口 445 可由共享服务使用。 如果没有业务需要共享服务等保测评主机疑问，那么它一定是多余的。 冗余端口； 47001端口，Windows远程管理服务使用的端口，只能说一般用不到，很可能是冗余端口。
常见高风险港口：
一些流行病毒的后门端口（如TCP 2745、3127和6129端口）和端口593是针对DCOM（分布式组件对象模型）协议的。 它允许C/S结构应用程序通过DCOM使用RPC over HTTP服务。
至于初级课本上提到的1025端口，我不知道它是做什么用的，因为它是一个动态端口，不确定它被分配给哪个进程（1024后面的下一个是1025）：
其实还是那句话。 大多数端口都有问题（如果不限制IP）。 常见的windows 3389、22、21等端口都有一定的危险（如果不限制IP的话），所以有冗余端口。 判断力好，但高风险港口要根据具体情况判断。
4.4. 查看监听端口
在具体评估时，首先要检查监控端口以及端口的功能，然后再进行访谈。
使用netstat -ano检查端口状态：
PID列代表监听这个端口的进程，因为虽然端口0-1024是众所周知的端口号，但它们一般用于一些公共协议，这意味着哪个服务使用哪个端口。
但这只是一个规范，并不意味着它是强制性的。 事实上，某个服务（进程）监听什么端口是它自己指定的，所以端口的功能必须根据监听该端口的进程来确定。
同样，该端口也不区分操作系统版本。 例如，22端口是ssh协议使用的端口，一般不会出现在Windows上。 但这只是一种常态和普遍做法。
比如我在Windows上找到了22端口，通过监听该端口的进程的PID找到了进程。 我发现这是一个远程管理软件。 可能这个软件是windows和linux共享的，所以默认监听22端口。
使用tasklist /v查看正在运行的进程：
里面有PID。 当然，你也可以直接打开任务管理器来查看。
对于这些信息（端口信息和进程信息），建议尽可能不要使用截图，因为不利于文字搜索。 您可以在命令后使用 > 将其输入到文本文件中。
4.5. Windows 防火墙
一个端口能否有效通信取决于该端口是否被监听以及监听后是否允许通信。
例如，如果端口 47001 被监控（使用 netstat -ano 检查），但防火墙或 IP 策略中禁止通信，则该端口实际上无法通信。 在这种情况下，不能认为服务器是冗余监控的。 港口。
对于Windows防火墙来说，一般有三种配置文件：域配置文件、专用配置文件、共享配置文件。
当Windows连接到网络时，通常会弹出一个框让您选择网络类型。 这时你正在决定连接网络后使用哪个配置文件。
因此，要检查Windows防火墙的状态，不能简单地检查防火墙状态。 需要进入高级设置才能判断：
这里注意，公共配置文件处于活动状态，即服务器连接的网络现在使用公共配置文件，并且其下面的防火墙已启用。
注意，专用配置文件下的防火墙是关闭的，但并未激活。 你当前连接的网络不使用这个配置文件，所以关闭也没有关系。
因此，在检查具体的防火墙规则时，还应该关注它属于哪个配置文件，以及是否属于启用的配置文件的规则：
同时需要注意的是，Windows防火墙是白名单系统，即防火墙开启后，只有允许的端口才能通过（白名单），其他端口默认拒绝，不过这是可以设置的：
至于Windows防火墙的规则，这里不再赘述。 百度写的很清楚。
4.6. 知识产权政策
除了Windows本身的防火墙之外，还可以在IP安全策略中实现端口控制：
IP安全规则引用过滤器列表，规则的名称将自动成为应用的过滤器列表的名称：
过滤器列表中可以有多个IP过滤器：
过滤器为 IP 设置规则，这意味着对符合所选规则的连接进行操作（允许、阻止等）。
执行的操作由过滤器列表中指定的过滤器操作决定。 也就是说，同一个过滤器列表中的IP过滤器的操作是相同的：
IP 安全策略与 Windows 防火墙之间的区别之一是 IP 安全策略未列入白名单。
要启用 IP 安全策略，需要启用 IPSEC 策略代理服务并分配策略：
此外，可能需要 gpupdate /force 命令来强制更新策略。
4.7. 概括
总而言之，需要判断是否存在对外部通讯的控制。 这个要根据实际情况来判断。
例如，如果默认共享尚未删除，但默认共享所使用的端口已被防火墙或IP策略阻止，则无法机械地确定通信。
另外，被监控的端口是冗余端口还是高风险端口，需要根据实际情况进行判断。 在许多情况下，仍然需要面谈。
最后，除了Windows自带的防火墙和IP策略外，对方很有可能使用硬件防火墙等第三方设备来实施控制，所以面试时要注意。
5、评价项目c
c) 应通过设置终端接入方式或网络地址范围来限制通过网络管理的管理终端；
5.1. 使用远程桌面
对于使用Windows远程桌面进行远程管理，请检查Windows防火墙或IP策略或硬件防火墙中是否对RDP端口进行IP限制。 RDP端口一般为默认值3389。
注意，这里限制的粒度最好达到IP地址级别，即特定数量或者十几个IP地址，或者至少是比较小的网段级别。
如果粒度不够小慈云数据自营海外云服务器,高稳定高性价比,支持弹性配置，限制的意义就大大降低。
这里需要注意的一件事是，可以通过在注册表中修改来更改 RDP 端口：
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp的portnumber复制
对于windows server 2008 r2，只需修改这一点：
我把3389改成了5656，所以连接时需要添加端口号：
5.2. 使用第三方工具
比如你使用TeamViewer，就看软件本身是否有这个功能，或者可以借助其他软件来帮助达到管理终端IP限制的效果。
5.3. 无远程管理
也就是说，实际上没有执行任何策略，而是无法从外网远程登录服务器，只能直接在机房的服务器上进行本地登录和操作。 我个人觉得这应该至少部分符合，或者不适用。 ，因为没有远程管理。
6.评价项目e
e) 经过充分的测试和评估，能够发现可能的已知漏洞并及时修补；
第一个方面应该是指通过专业的漏洞扫描工具扫描或者进行渗透测试发现的漏洞。
即被评估方必须定期使用专业的漏洞扫描工具进行扫描或渗透测试，而360安全卫士等软件不被视为专业的漏洞扫描工具。
评估时，需要向对方提供扫描报告或渗透报告。
第二个方面是：对方进行漏洞扫描或渗透测试后，如果发现高危漏洞，是否在一定时间内进行了修补（例如半年没有修补，这绝对不一致）。
评估要求包括以下内容：
因此，有些评价单位由于不满足第一个要求而无法满足该评价项目。
7、评价项目f
f) 应能够检测对重要节点的入侵，并在发生严重入侵时发出警报。
对于Windows来说，这是100%通过第三方软件和硬件实现的。
有些防病毒软件，如EDR、卡巴斯基（企业版）等，具有入侵防御检测和报警功能（通过电子邮件、短信等），或者可以在网络中部署IPS等设备来具有相关功能。功能。
另外，如果部署在云上，阿里云、华为云等也有这样的安全服务，也能满足要求。 但需要注意的是，被测方是否购买了此类安全服务。
*本文原创作者：源于平凡，却不平凡。 本文属于FreeBuf原创打赏计划，未经许可禁止转载。
还没有评论，来说两句吧...