企業(yè)

ENTERPRISE

中國(guó)石油天然氣集團(tuán)公司項(xiàng)目案例

閱讀量：

項(xiàng)目背景
中國(guó)石油天然氣集團(tuán)公司（簡(jiǎn)稱(chēng)∶中國(guó)石油）是國(guó)有重要骨干企業(yè)，是以油氣業(yè)務(wù)、工程技術(shù)服務(wù)、石油工程建設(shè)、石油裝備制造、金融服務(wù)、新能源開(kāi)發(fā)等為主營(yíng)業(yè)務(wù)的綜合性國(guó)際能源公司，是中國(guó)主要的油氣生產(chǎn)商和供應(yīng)商之一。作為中國(guó)境內(nèi)最大的原油、天然氣生產(chǎn)、供應(yīng)商，中國(guó)石油業(yè)務(wù)涉及石油天然氣勘探開(kāi)發(fā)、煉油化工、管道運(yùn)輸、油氣煉化產(chǎn)品銷(xiāo)售、石油工程技術(shù)服務(wù).石油機(jī)械加工制造、石油貿(mào)易等各個(gè)領(lǐng)域，在中國(guó)石油、天然氣生產(chǎn)、加工和市場(chǎng)中占據(jù)主導(dǎo)地位。
為保持整個(gè)集團(tuán)公司的有效運(yùn)營(yíng)，中國(guó)石油部署了郵件系統(tǒng)、OA系統(tǒng)、財(cái)務(wù)系統(tǒng)、門(mén)戶(hù)網(wǎng)站等一系列重要信息系統(tǒng)。為響應(yīng)、貫徹國(guó)家關(guān)于信息系統(tǒng)開(kāi)展等級(jí)保護(hù)工作的重要精神，需要對(duì)集團(tuán)總公司內(nèi)所運(yùn)營(yíng)的各個(gè)系統(tǒng)開(kāi)展等級(jí)保護(hù)的檢查與自查工作，并對(duì)各子公司的信息系統(tǒng)安全性進(jìn)行抽查檢查，涉及主機(jī)安全檢查、網(wǎng)絡(luò)安全檢查、物理安全檢查、數(shù)據(jù)安全檢查、應(yīng)用安全檢查5個(gè)技術(shù)檢查層面以及安全管理制度、安全管理機(jī)構(gòu)、人員安全管理、系統(tǒng)建設(shè)管理、系統(tǒng)運(yùn)維管理5個(gè)管理檢查層面，以發(fā)現(xiàn)存在的信息安全風(fēng)險(xiǎn)，保障信息系統(tǒng)安全性以及各項(xiàng)圍繞、依托于信息系統(tǒng)工作的有效開(kāi)展。

項(xiàng)目?jī)?nèi)容

Plan-1

集團(tuán)公司總部自查

集團(tuán)公司總部作為整個(gè)公司運(yùn)營(yíng)中心，匯聚了來(lái)自各分支結(jié)構(gòu)的多種數(shù)據(jù)如OA、財(cái)務(wù)、郵件等等。隨之部署了大量的應(yīng)用服務(wù)器、數(shù)據(jù)庫(kù)服務(wù)器、交換機(jī)、防火墻等設(shè)備，用干支撐整個(gè)集團(tuán)業(yè)務(wù)流轉(zhuǎn)。但是由干歷史原因，信息系統(tǒng)安全建設(shè)方面的投入不大，不知如何開(kāi)展信息系統(tǒng)等級(jí)保護(hù)建設(shè)。鑒于以上需求，安恒信息提供信息系統(tǒng)等級(jí)保護(hù)檢查工具箱，作為開(kāi)展信息系統(tǒng)等級(jí)保護(hù)建設(shè)狀況自查工具開(kāi)展檢查工作，從中發(fā)現(xiàn)存在著哪些薄弱環(huán)節(jié)，及時(shí)督促整改。如;是否存在網(wǎng)頁(yè)漏洞、是否存在操作系統(tǒng)漏洞、服務(wù)器配置是否安全、交換機(jī)與防火墻的配置是否正確、應(yīng)用及服務(wù)器是否存在弱口令情況、是否存在惡意代碼后門(mén)、是否存在管理不完善的情況等等敏感角度進(jìn)行檢查。
在實(shí)際實(shí)施過(guò)程中，主要前往機(jī)房以及關(guān)鍵網(wǎng)絡(luò)節(jié)點(diǎn)進(jìn)行檢查∶
對(duì)于服務(wù)器主要開(kāi)展配置檢查、操作系統(tǒng)漏洞、惡意代碼后門(mén)檢查，從服務(wù)器級(jí)確保不存在可能會(huì)被黑客利用與攻擊的風(fēng)險(xiǎn)
對(duì)部署的應(yīng)用如OA、網(wǎng)站等應(yīng)用，分別從數(shù)據(jù)庫(kù)、網(wǎng)頁(yè)兩個(gè)方面進(jìn)行檢查，檢查內(nèi)容包括數(shù)據(jù)庫(kù)配置是否是安全配置、網(wǎng)頁(yè)是否存在如SQL注入、跨站腳本等易被利用的漏洞，防止黑客從外部通過(guò)應(yīng)用入侵辦公局域網(wǎng)絡(luò)
對(duì)部署的交換機(jī)、防火墻從配置、弱口令兩個(gè)角度進(jìn)行檢查，檢查包括策略是否生效、是否存在弱口令情況。杜絕因?yàn)榉阑饓?、交換機(jī)的配置不當(dāng)，或者存在易猜解的口令使得原有的安全防護(hù)手段失去應(yīng)有的作用
Plan-2
分支結(jié)構(gòu)服務(wù)器、網(wǎng)站抽查
各分支機(jī)構(gòu)為集團(tuán)公司策略執(zhí)行公司，有各自的應(yīng)用、郵件等各種服務(wù)器運(yùn)行。總公司存在著對(duì)各分支機(jī)構(gòu)進(jìn)行定期網(wǎng)站、服務(wù)器進(jìn)行檢查的需求，以確保各分支機(jī)構(gòu)具備基本的抗攻擊能力。

在實(shí)施過(guò)程中，采用在集團(tuán)公司總部，使用信息安全等級(jí)保護(hù)檢查工具箱具備的系統(tǒng)漏洞檢查工具、網(wǎng)站安全檢查工具兩款工具，對(duì)各分支機(jī)構(gòu)的服務(wù)器、網(wǎng)站以遠(yuǎn)程檢查的方式進(jìn)行定期安全檢查。一旦發(fā)現(xiàn)網(wǎng)站漏洞，督促存在漏洞的分支結(jié)構(gòu)及時(shí)整改，從而保障信息系統(tǒng)安全。

項(xiàng)目?jī)r(jià)值

中國(guó)石油通過(guò)使用安恒信息的信息安全等級(jí)保護(hù)檢查工具箱，有效地實(shí)現(xiàn)了對(duì)集團(tuán)總公司的全方位等級(jí)保護(hù)建設(shè)情況檢查，以及實(shí)現(xiàn)了對(duì)各分支機(jī)構(gòu)的遠(yuǎn)程定期檢查，保障了集團(tuán)總公司以及各分支機(jī)構(gòu)的網(wǎng)絡(luò)安全。

AI+安全>

數(shù)據(jù)安全>

數(shù)據(jù)基礎(chǔ)設(shè)施>

態(tài)勢(shì)感知>

云安全>

基礎(chǔ)安全>

終端安全>

商用密碼>

軟件供應(yīng)鏈安全>

網(wǎng)絡(luò)空間靶場(chǎng)>

工業(yè)互聯(lián)網(wǎng)安全>