應(yīng)用系統(tǒng)安全規(guī)范制定建議

1、應(yīng)用系統(tǒng)安全規(guī)范制定建議應(yīng)用系統(tǒng)安全規(guī)范制定建議應(yīng)用系統(tǒng)安全是當(dāng)前眾多大型企業(yè)要重點(diǎn)關(guān)注的問題但這塊有好多工作要做現(xiàn)狀是現(xiàn)在很多做安全的人不怎么太做開發(fā)做開發(fā)的人懂安全的人又少之又少這里我從應(yīng)用系統(tǒng)安全提出幾點(diǎn)自己的建議當(dāng)然不足之處還請大家討論和指正。1應(yīng)用系統(tǒng)安全類別劃分具體劃分準(zhǔn)則需要根據(jù)自己單位實(shí)際規(guī)模和業(yè)務(wù)特征去定位我這里把具體的分類細(xì)則隱去了有興趣的可以討論.2.1網(wǎng)絡(luò)安全性2.1.1網(wǎng)絡(luò)接入控制未經(jīng)批準(zhǔn)嚴(yán)禁通過電話線、各類專

2、線接到外網(wǎng)；如確有需求，必須申請備案后先進(jìn)行與內(nèi)網(wǎng)完全隔離，才可以實(shí)施。2.1.2網(wǎng)絡(luò)安全域隔離如果有需要與公司外部通訊的服務(wù)器，應(yīng)在保證自身安全的情況下放入公司防火墻DMZ區(qū)，該應(yīng)用服務(wù)器與公司內(nèi)部系統(tǒng)通訊時(shí)，應(yīng)采用內(nèi)部讀取數(shù)據(jù)的方式。其他類應(yīng)用系統(tǒng)服務(wù)器放置在公司內(nèi)部網(wǎng)中。2.2系統(tǒng)平臺(tái)安全性2.2.1病毒對系統(tǒng)的威脅各應(yīng)用系統(tǒng)WINDOWS平臺(tái)應(yīng)關(guān)閉掉服務(wù)器的完全共享，并安裝防毒客戶端軟件，啟用實(shí)時(shí)防護(hù)與接受管理，進(jìn)行周期性對系統(tǒng)

3、全機(jī)病毒掃描。2.2.2黑客破壞和侵入對各應(yīng)用系統(tǒng)應(yīng)及時(shí)進(jìn)行系統(tǒng)補(bǔ)丁的升級(jí)和安全配置，并配合進(jìn)行入侵檢測和漏洞掃描等安全檢查工作。對于重點(diǎn)系統(tǒng)可以考慮部署主機(jī)入侵檢測系統(tǒng)來保證主機(jī)的安全性。2.3應(yīng)用程序安全性2.3.1在應(yīng)用系統(tǒng)的生命周期中保證安全應(yīng)用系統(tǒng)的設(shè)計(jì)和管理者要在不同的階段采用相應(yīng)的工作方法和工作步驟，設(shè)計(jì)出一個(gè)把安全貫穿始終、切實(shí)可行的安全方案。對應(yīng)用系統(tǒng)應(yīng)能提供書面可行的安全方案。的重視，并盡快報(bào)告管理員或其他負(fù)責(zé)人采取

4、必要措施，以減少或消除不安全隱患。報(bào)告方式要保密、過程要簡單。安全記賬與審計(jì)：重點(diǎn)應(yīng)用系統(tǒng)中，應(yīng)利用應(yīng)用系統(tǒng)審計(jì)日志進(jìn)行監(jiān)控，并作為一種主動(dòng)的監(jiān)督管理形式和一種檢測觸犯安全規(guī)定事件的手段。同時(shí)必須加強(qiáng)對應(yīng)用系統(tǒng)的審計(jì)日志類信息的保護(hù)，對審計(jì)日志和監(jiān)控功能的使用也必須做審計(jì)記錄。2.4接口安全性2.4.1接口安全性要求職責(zé)分隔：應(yīng)用系統(tǒng)接口是易受攻擊的脆弱點(diǎn)，重點(diǎn)應(yīng)用系統(tǒng)中，應(yīng)從職責(zé)管理上加強(qiáng)，將責(zé)任實(shí)現(xiàn)最佳分離。明確敏感客體和操作規(guī)定：

5、重點(diǎn)應(yīng)用系統(tǒng)中，應(yīng)能夠根據(jù)可靠性、保密性和可用性三者定義每個(gè)數(shù)據(jù)客體(數(shù)據(jù)輸入、數(shù)據(jù)存儲(chǔ)和數(shù)據(jù)輸出等)的安全需求，并通過系統(tǒng)實(shí)施時(shí)的培訓(xùn)來落實(shí)。錯(cuò)誤容限規(guī)定：公司各類應(yīng)用系統(tǒng)對錯(cuò)誤的容限度和在可接受的限度內(nèi)維護(hù)錯(cuò)誤級(jí)別的需求必須被定義在安全需求中。可用性需求：公司各類應(yīng)用系統(tǒng)為避免因?yàn)橄到y(tǒng)不能有效使用而產(chǎn)生的嚴(yán)重危害，必須制定可用性需求，然后根據(jù)需求采取措施來保證系統(tǒng)的可用性。2.4.2接口擴(kuò)展性要求接口標(biāo)準(zhǔn)性要求：對于各類應(yīng)用系統(tǒng)應(yīng)該

6、能夠盡量接口標(biāo)準(zhǔn)化，從而利于應(yīng)用系統(tǒng)間信息的互通。對于應(yīng)用系統(tǒng)建設(shè)、改造等有代表性的，需要制定相關(guān)接口標(biāo)準(zhǔn)，作為將來工作的參照。接口規(guī)范細(xì)化程度：對于各類應(yīng)用系統(tǒng)接口規(guī)范應(yīng)該盡量細(xì)化，減少接口描述不清出現(xiàn)新的安全隱患。對于重點(diǎn)應(yīng)用系統(tǒng)應(yīng)該有明確的接口類文檔說明部分。2.5數(shù)據(jù)安全性2.5.1數(shù)據(jù)傳輸?shù)臋C(jī)密性重點(diǎn)應(yīng)用系統(tǒng)中傳輸關(guān)鍵、敏感數(shù)據(jù)時(shí)要采用傳輸加密技術(shù)，實(shí)現(xiàn)數(shù)據(jù)機(jī)密性要求；其他類應(yīng)用系統(tǒng)應(yīng)根據(jù)具體情況來考慮。密碼算法選擇:(1)密