入侵檢測設備運行安全管理制度
第一章 總則
第一條 為保障海南電網公司信息網絡的安全、穩定運行,特制訂本制度。
第二條 本制度適用于海南電網公司信息網絡的所有入侵檢測及相關設備管理和運行。
第二章 人員職責
第三條 入侵檢測系統管理員的任命
入侵檢測系統管理員的任命應遵循“任期有限、權限分散”的原則;
系統管理員的任期可根據系統的安全性要求而定,最長為三年,期滿通過考核后可以續任;
必須簽訂保密協議書。
第四條 入侵檢測系統管理員的職責
恪守職業道德,嚴守企業秘密;熟悉國家安全生產法以及有關信息安全管理的相關規程;
負責入侵檢測系統的管理、更新和事件庫備份、升級;
負責對入侵檢測系統發現的惡意攻擊行為進行跟蹤處理;
根據網絡實際情況正確配置入侵檢測策略,充分利用入侵檢測系統的處理能力;
密切注意最新網絡攻擊行為的發生、發展情況,關注和追蹤業界公布的攻擊事件;
遵守入侵檢測設備各項管理規范。
第三章 用戶管理
第五條 只有入侵檢測系統管理員才具有修改入侵檢測設備策略配置、分析的權限。
第六條 為用戶級和特權級模式設置口令。不能使用缺省口令,確保用戶級和特權級模式口令不同。
第七條 入侵檢測設備口令長度應采用8位以上,由非純數字或字母組成,并定期更換,不能使用容易猜解的口令。
第四章 設備管理
第八條 入侵檢測設備部署位置的環境要求如下:
入侵檢測系統的部署位置應能正確檢測到被保護網絡的數據流量,并能抓取含有足夠信息的ip包,如:mac地址、ip地址等;
系統管理員應根據具體的網絡情況為入侵檢測系統選擇、配置適當的檢測策略,充分利用系統的能力;
入侵檢測系統應盡量與防火墻聯動,充分發揮系統的潛力。
第九條 入侵檢測設備定期檢測和維護要求如下:
每月定期安裝、更新廠家發布的入侵檢測設備補丁程序(包括事件庫),及時修補入侵檢測操作系統的漏洞。
一周內至少審計一次日志報表。
一個月內至少重新啟動一次入侵檢測設備。
第十條 入侵檢測設備安全規則設置、更改的授權、審批依據《入侵檢測設備配置變更審批表》(參見附表2)進行。入侵檢測設備安全規則的設置、更改,應該得到信息系統運行管理部門負責人的批準,由系統管理員具體負責實施。
第十一條 入侵檢測設備配置操作規程要求如下:
根據需要記錄當前網絡環境,定義入侵檢測接口;
安裝引擎(包括事件庫)和終端網管軟件;
定義入侵檢測系統要保護的網絡對象(網絡或主機);
定義檢測策略,阻斷級別和事件報警;
備份配置,安裝到網絡當中;
定義管理員清單和管理權限;
模擬攻擊,測試入侵檢測系統性能,做好網管資料。
第十二條 系統管理員注意軟件以及事件庫的變更情況,確保使用當前有效的軟件以及事件庫,定期做好入侵檢測系統的配置的備份工作,以保證系統出現故障后能正常恢復原有性能。
第十三條 入侵檢測設備運行狀況的監視和記錄要求如下:
系統管理員應定期和不定期地檢查入侵檢測設備的運行狀況,及時查看系統日志,對異常情況的發生,及時上報,并做好記錄,填寫《入侵檢測記錄單》(附表1);
對入侵檢測設備的cpu和內存利用率、報警次數等進行均時監測、跟蹤工作,每周形成報表。
第十四條 入侵檢測設備安全事件處理和報告。當入侵檢測設備出現告警或工作不正常,已經引起網絡擁塞或網絡癱瘓等重大安全事件時,應立即啟動緊急響應程序,對網絡進行緊急處理,堵塞攻擊入口,恢復網絡的正常運行,并追查攻擊來源,及時上報。
第十五條 對涉及特殊網絡對象進行檢測和緊急事件發生的處理。要有針對性的把有關領導的主機、信息發布類型的主機(如web,mail系統)、重要數據類型的主機(如財務,oa系統)作為受重點保護的對象,綜合防火墻日志和漏洞掃描日志分析其安全性,一旦出現惡性事件可事先切斷物理鏈路,并及時上報,封鎖現場。
第五章 附則
第十六條 本制度由海南電網公司信息中心負責解釋。
第十七條 本規定自頒布之日起實行,有新的修改版本頒布后,本規定自行終止
