【解读】金融行业等保6点要求规范日志管理

对于金融行业信息科技部门一线运维人员，信息系统运维，设备的日常使用管理向来备受关注。考虑到大部分金融客户已经完成基础建设且处于信息系统的运维阶段的现状，本文中将聚焦运维和安全保障，梳理了金融等保标准中对于信息系统、网络设备、安全产品的日志管理要求，并对相关条款需采取的措施进行了说明。

金融行业信息系统等级保护工作是金融客户信息系统管理的重要内容。围绕金融信息安全等级保护工作的开展，需要一系列适合金融行业的等级保护标准体系作为支撑，以规范和指导金融等级保护工作的实施。

人民银行发布《金融行业信息系统信息安全等级保护实施指引》【JR/T 0071-2012】是“金融行业信息系统等级保护”系列标准中的第一项标准。其中，金融行业增强安全保护类（F类）作为金融行业的增强性安全要求分布在S、A、G 类的要求中，该类要求是在结合等级保护及金融行业相关规定的基础上进行补充和完善。

图1 信息系统等级保护工作主要阶段

要求原文

“日志管理”相关条款原文：

• 应要求外包服务商保留操作痕迹、记录完整的日志，相关内容和保存期限应满足事件分析、安全取证、独立审计和监督检查需要；

• 制定规范化的故障处理流程，建立详细的故障日志(包括故障发生的时间、范围、现象、处理结果和处理人员等内容)；

• 应指定专人对网络进行管理，负责运行日志、网络监控记录的日常维护和报警信息分析和处理工作，并有操作和复核人员的签名，维护记录应至少妥善保存3个月；

• 应定期查看各类信息安全产品相关日志和报表信息并汇总分析，若发现重大问题，立即采取控制措施并按规定程序报告；

• 应定期对运行日志和审计数据进行分析，以便及时发现异常行为。

• 应定期对各类信息安全产品产生的日志和报表进行备份存档（三级系统至少保存3个月）；

要求解读

“日志管理”相关条款解读：

• 重要信息系统需具备操作日志记录功能，能够对用户操作行为、管理员操作行为进行记录，日志内容需包含时间、用户、操作模块、操作行为等信息，建议日志保存一个月以上；

• 运维人员需按照故障处理流程，建立详细的故障日志，日志内容包括故障发生的时间、范围、现象、处理结果和处理人员等；

• 运维人员（网络管理员）需定期查看网络设备相关日志和报表（如防火墙），建议日常每周至少查看一次，查看网络设备运行和日志记录情况；

• 运维人员需定期查看各类信息安全产品相关日志和报表（如IPS、IDS），建议日常每周至少查看一次，对支持报表导出的设备，每周导出周报表；

• 日常运维需备份存档各类信息安全产品相关日志和报表，为三级信息系统服务的信息安全产品的日志至少保存三个月，导出的报表也需妥善存档。建议采取日志服务器和文档服务器解决；

• 运维人员和信息安全人员需对已收集的信息系统日志、网络设备日志、安全产品日志开展分析，建议编制日志分析月报表、季度报表。其中，报表中可对一个时间周期内已确认的异常操作行为、网络攻击行为等进行分类、数量统计、趋势分析等，并据此调整信息系统访问控制、权限设置，调整网络设备和安全产品的策略。

解决用户等保合规需求，切实保障用户信息安全，绿盟安全审计系统(SAS)在对企业客户的长期服务中表现优异。

绿盟安全审计系统 （NSFOCUS  Security Audit System，简称：NSFOCUS SAS）通过网络数据的采集、分析、识别，实时动态监测通信内容、网络行为和网络流量，发现和捕获各种敏感信息、违规行为，实时报警响应，全面记录网络系统中的各种会话和事件，实现对网络信息的智能关联分析、评估及安全事件的准确全程跟踪定位，为整体网络安全策略的制定提供权威可靠的支持。

图2 绿盟科技安全审计系统

内容审计

NSFOCUS SAS系统提供深入的内容审计功能，可对网站访问、邮件收发、远程终端访问、数据库访问、数据传输、文件共享等提供完整的内容检测、信息还原功能；并可自定义关键字库，进行细粒度的审计追踪。

行为审计

NSFOCUS SAS系统提供全面的网络行为审计功能，根据设定行为审计策略，对网站访问、邮件收发、数据库访问、远程终端访问、数据传输、文件共享、网络资源滥用（即时通讯、论坛、在线视频、P2P下载、网络游戏等）等网络应用行为进行监测，对符合行为策略的事件实时告警并记录。

流量审计

NSFOCUS SAS系统提供基于协议识别的流量分析功能，实时统计出当前网络中的各种报文流量，进行综合流量分析，为流量管理策略的制定提供可靠支持。

往期相关内容请点击以下标题查看：

【策略】金融行业等保标准中对于数据安全要求的解读

【解读】金融行业等保标准中对网络安全的要求

	请点击屏幕右上方“…” 关注绿盟科技公众号 NSFOCUS-weixin

↑↑↑长按二维码，下载绿盟云APP