[发明专利]建立业务系统的安全基线的方法和装置

权利要求书

1.一种建立业务系统的安全基线的方法，其特征在于，包括以下步骤：

统计业务系统的安全因素，得到安全基线的内容；

根据所述安全基线的内容，对安全基线进行分类；

根据所述安全基线的分类，形成安全基线架构；

对所述安全基线架构进行描述，形成业务系统的安全基线。

2.如权利要求1所述的建立业务系统的安全基线的方法，其特征在于，所述安全因素包括：

业务系统的业务系统层、功能架构层和系统实现层，各层具备对应的安全因素；以及

根据业务系统的业务处理过程中的数据来源、数据类型、数据输入方式和数据传输载体。

3.如权利要求1所述的建立业务系统的安全基线的方法，其特征在于，所述安全基线的内容包括：

安全漏洞，包括操作系统安全漏洞以及业务支撑软件的安全漏洞；

安全配置，包括操作系统安全配置、支撑软件安全配置、业务系统安全配置、网络安全配置；

系统状态，包括操作系统运行时的进程、端口、服务状态；

系统重要资产，包括操作系统安全配置文件、支撑软件重要文件、系统安装程序列表、业务系统文件、数据存储文件；

系统运行状态，包括各服务器的资源占用情况以及承载网络的使用情况。

4.如权利要求1所述的建立业务系统的安全基线的方法，其特征在于，所述安全基线包括如下类别：

安全漏洞基线、安全配置基线、系统状态基线、系统重要资产基线、系统运行状态基线。

5.如权利要求1所述的建立业务系统的安全基线的方法，其特征在于，所述安全基线的内容包括如下类别：

管理要求类：主要根据安全需求制定终端所要达到的要求的要素，包括业务系统安全核心配置规范和安全基线监控要求。

技术指标类：主要为各配置项设定具体内容，通过不同的策略值满足不同层次的要求，包括安全漏洞基线、系统状态基线、安全配置基线、重要资产基线和运行状态基线五部分内容；

应用支撑类：主要为了增强标准的实用性和可用性，制定了相关的要求规范，内容包括安全基线核心配置目录、安全基线配置格式规范和安全基线配置实施指南。

6.如权利要求1所述的建立业务系统的安全基线的方法，其特征在于，通过XML语言的树形结构来描述所述安全基线架构。

7.一种建立业务系统的安全基线的装置，其特征在于，包括:

安全因素统计模块，用于统计业务系统的安全因素，得到安全基线的内容；

内容获取模块，用于根据所述安全因素，得到安全基线的内容；

分类模块，用于根据所述安全基线的内容，对安全基线进行分类；

安全基线结构形成模块，用于根据所述安全基线的分类，形成安全基线架构；

安全基线结构描述模块,用于对所述安全基线架构进行描述,形成业务系统的安全基线。

8.如权利要求7所述的一种建立业务系统的安全基线的装置，其特征在于，所述安全因素包括：

业务系统的业务系统层、功能架构层和系统实现层，各层具备对应的安全因素；以及

根据业务系统的业务处理过程中的数据来源、数据类型、数据输入方式和数据传输载体。

9.如权利要求7所述的一种建立业务系统的安全基线的装置，其特征在于，所述分类模块将安全基线的分类包括：

安全漏洞基线、安全配置基线、系统状态基线、系统重要资产基线、系统运行状态基线。

10.如权利要求7所述的一种建立业务系统的安全基线的装置，其特征在于，所述内容获取模块得到的安全内容包括如下类别：

管理要求类：主要根据安全需求制定终端所要达到的要求的要素，包括业务系统安全核心配置规范和安全基线监控要求。

技术指标类：主要为各配置项设定具体内容，通过不同的策略值满足不同层次的要求，包括安全漏洞基线、系统状态基线、安全配置基线、重要资产基线和运行状态基线五部分内容；

应用支撑类：主要为了增强标准的实用性和可用性，制定了相关的要求规范，内容包括安全基线核心配置目录、安全基线配置格式规范和安全基线配置实施指南。