企业信息安全运维要点剖析

1. 运维工作分类

在甲方工作多年，对甲方运维工作做下总结，主要工作包以下几方面：

1.1. 安全设备运维

包括安全设备的配置、备份、日常巡检等工作。这部分工作很多甲方因为人力的原因很难做起来，如防火墙、入侵检测系统、堡垒机、企业杀毒软件等安全设备的日常配置、日志审计，可能日常的配置因为业务需求的原因能及时做支持，安全设备日志审计因为各种原因很难做成。

1.2. 安全资产管理

通常资产管理属于甲方的IT运维的部分负责，可能有正常的流程支持IP资产上线，大多情况下是研发、测试或运维都有可能部署IP资产，实际上线的IP资产比较混乱，另外，由于上线时间较长，IP设备的业务负责人可能也不清楚，也碰到过只有业务人员知道操作系统的登录密码而运维却不知道的情况。

个人觉得安全资产管理属于安全技术运维里的重要的部分，安全资产资产发现又是安全资产管理的重要部分，另外一部分是IP设备的加固，包括漏洞管理、补丁管理、杀毒软件管理、主机入侵检测管理。涉及到与甲方的各个部门进行沟通，在没有考核的情况下这部分也是很难做好。最后是业务分级、资产分级，不同级别的资产能够采用不同级别的防护。

1.3. 软件安全开发生命周期

安全部门完全参与软件开发的需求阶段、设计阶段、实施阶段、验证阶段、发布阶段、支持和服务阶段。这部分主要工作为培训、代码审计和渗透测试工作。需要适合自己组织的安全开发培训材料和资料（知识库），需要适合自己组织的安全开发流程，在业务上线的早期参与进去。阻碍主要是业务的时间要求，安全人员能力等，这部分也是甲方安全工作的重要部分，做的好和不好对安全的结果影响很大。

1.4. 迎检工作

迎检工作和重大社会活动的安全保障工作，这部分工作占组织安全工作的很大一块比例，这部分跟安全管理工作有比较多的联系，有完善的、适合自己组织的制度和流程，有正常的记录文件可以减轻迎检时的工作量，没有制度、流程或者制度、流程执行不规范，每次迎检都需要提前做好大量工作，效果也不一定好。重大社会活动期间的安全保障工作，结合安全事件响应和应急演练，做好一套完善的流程和规范，可以复用的东西

1.5. 应急响应工作

安全事件演练和应急响应工作，制定标准化的安全事件响应流程，在遇到突发安全事件知道该怎么处理。日常备份工作放到这里，备份频率、备份的有效性检测，相关的实施手册的制定和修订

1.6. 安全管理工作

包括安全策略、安全制度、规范、安全流程、标准、指南、基线等所有安全管理相关的文档制定、版本修改，监督执行情况，这部分参考ISO27000系列、等保标准

有自研能力首选使用masscan+nmap 带自开发UI 的资产管理程序；

?IVRE https://ivre.rocks/，通过主动扫描和流量分析2种方式识别IP 资产；

?知道创宇钟馗之眼的企业版？没见过实物，可能有这个东西吧。

如果部署了比较好的运维管理系统，也可以通过运维管理系统识别IP 资产。

2.2 漏洞管理

漏洞管理也是2种思路

?主动漏扫，如OpenVAS、绿盟极光、Nessus 等；

?主机应用版本库识别的方式，如

Vuls https://https://www.360docs.net/doc/0116747659.html,/future-architect/vuls；

?巡风也是很不错的东西，可以作为上述2种方法的补充，适合快速检测特定漏洞。

2.3 主机入侵检测

比较常见的是OSSEC，包含主机入侵检测、文件完整性分析、rookit分析的功能。新版本的日志可以直接设置成json 格式，输出到ELK 很方便。

2.4 补丁管理

通过运维系统批量部署补丁可能会方便些，如SaltStack、Puppet 等。

2.5 流量分析