我最近为一家要审计的公司担任了一个男人秀的职位。 networking还没有准备就绪,我一直在寻找一个通用的审计清单,因为没有审计员提供,也没有find很多好的信息。 有没有人有一个很好的模板,会给我一个很好的起点。 我知道这将是高度定制的公司,但一个起点将有助于概述pipe理层需要多less工作。
我一直在寻找一个通用的审计清单,因为审计员没有提供
这是令人失望的。 我这样做了好几年,对于我们来说,提供详细的评估内容以及为什么(方法论)是一种常见的做法。 我们提交了正式的信息请求,为IT人员提供了运行和收集数据的工具,包括收集过程(如果有)的潜在影响。 我们还必须安排详细的议程,这通常意味着他们知道会发生什么。 在这样的倡议下,沙袋里没有任何build设性的目的。 问题通常很多,而且大多数IT人员都愿意讨论他们,如果这项工作是正确的。
也就是说,如果你看,那里有很多的清单。 但是,这一努力的主要目标应该是尽可能多地展现问题,优先考虑问题并制定补救行动计划。 我不会太在意“准备”。 既然你最近已经开始了,应该有一个了解,那个地方一夜之间没有崩溃。
如果您承认需要改进的networking收到了良好的报告,那可能会浪费公司的资金。
我会做一个轻率的假设,并假设你在问如何准备一个以技术为重点的内部安全审计,甚至可能是渗透testing。
如何准备在技术方面进行安全审计将取决于审计的目标。 如果目标是为了定义如何改进基础设施的规范,那么您可能什么也不做。 如果目标是确保没有差距,我build议在审计之前进行差距分析,纠正发现的差距。
对于基本的IT最佳实践,我build议参考PCI DSS 。 当然,它包含了你应该做的很明显的事情,比如修补软件的安全漏洞。
要复制安全审计,我首先回顾一下开源安全testing方法手册中详细介绍的渗透testing方法。 (OSSTMM)
如果你正在寻找更多的细节,我会鼓励你重新写你的问题不太模糊。
当你制作机器的时候,你应该确保你在NSA的安全指南中尽可能多的点到达实际情况(有些东西可能是你的情况矫枉过正):
http://www.nsa.gov/ia/mitigation_guidance/security_configuration_guides/
而当你build立机器时,你应该以自动化的方式来做,每个人都可以从头开始。 通过安装媒体“手工”build设,可能会容易出错,你会错过任何东西。
自动化! 自动化! 自动化!
任何半正规程序都应该尽可能地编写脚本。 这包括系统安装,修补,漏洞扫描/审计,密码强度testing。
我build议你花一些时间阅读COBIT,那就是控制IT的目标。 事实上,它被许多审计公司用来审计IT领域。
我还build议你使用nessus(这将检查您的networking/服务器的漏洞)或mbsa(微软基准安全分析器)等工具,但它只会检查Windows硬件。
既然你问了一个出发点,我认为这可以帮到你。
根据我的经验,如果没有规定要求审计,通常意味着资产审计。 这是最糟糕的一种,因为那时你需要知道公司确实拥有什么,也许是否合法。
就我个人而言,我想指出“审计”一词是通用的,需要详细说明。 我正式不做任何事情,直到我更进一步,更清晰的方向。 非正式地,我变得非常忙碌,试图确保任何在我的控制下可以被审计的东西都是我能够做到的,只是为了确保我的屁股被覆盖。 然后,当我发现他们实际上是什么后,我把他们以前准备的审计中最相关的事情交给他们。
去每台机器确保其完全更新是不实际的。 这就是OpenVAS存在的原因(OpenVAS是Nessus的新免费版本)。 您可以告诉OpenVAS扫描内部networking上的每台计算机,以确定问题区域。 您还需要远程运行它以了解您的远程攻击面。 你会发现你的防火墙规则集和机器易受攻击的问题。
我希望把你做生意的一个陈述放在一起。 目前的过程(如果存在的话)以及未来应该是什么样的。 如果这是一个渗透testing或安全types的审计,他们会告诉你,它不会跨越其他部门。 可能还需要准备好谈论如何支持其他业务部门的法规遵从性,具体取决于贵公司可能处于的规定。
如果我理解得好,你需要一个检查清单,这似乎是一个很好的起点。 有很多build议你可以用互联网挖掘,但我更喜欢这个 。 除了审核主题,您还可以find其他需要及时更新的主题