GDMME 白皮书
看清风险 让防护与管理有据可依
企业需要的不只是更多告警 而是知道哪些事项值得处理、由谁跟进 以及完成后如何核对 GDMME 的管理理念 是把防火墙管理、集中监察与客户报告连成一条清楚的工作线 让日常防护与事故复原都有依据
先确认范围 再安排工作；保留结果 让下一步有据可依
看清风险 减少管理负担
把分散的连线、事件及待办事项整理成可理解的资讯 让负责人把时间放在需要处理的工作 以下整理 GDMME 的管理方向与核对重点
单台防火墙管理介面已有实作；集中监察目前为本机示范 资料均为模拟 尚未接驳真实设备
小萤幕可在表内左右卷动
| 管理重点 | 对客户的用途 | 核对重点 |
|---|---|---|
| 日常防火墙管理 | 集中日常操作与事件 | 按部署设备及纪录覆盖范围验收 让日常检查有清楚依据 |
| 可疑连线线索整理 | 厘清值得跟进的线索 | 连同连线背景与名单比对阅读；查询结果不代表已确认攻击 |
| 多设备与站点监察 | 减少分散检查与重复跟进 | 核对设备状况、事件优先次序、重复告警及未收到的资料 |
| 客户专属报告 | 覆核结果与待办事项 | 让客户看清自己的状况、负责人及下一步 |
由设备纪录 走到清楚报告
GDMME 防火墙处理单部设备的日常操作与事件资讯；集中监察把多个设备及站点放在同一个工作视野；客户报告则整理需要知道的风险、处理结果与下一步
- GDMME 防火墙整理单部设备的操作与事件日常设备管理
- 集中监察汇整设备、站点与待办事项减少分散检查
- 客户报告看清结果、责任与下一步支援覆核与跟进
监察与报告先行 设备变更由获授权人员另行确认 集中监察初期不包括批次修改规则、更新或重启设备
客户专属报告 知道重点与下一步
报告让客户了解自己的设备与站点：发现甚么、如何处理、哪些事项尚待确认 以及由谁跟进 内容以阅读及覆核为主 管理操作另设权限
- 看清事件
- 列明资料来自哪里、涵盖甚么时间 以及如何计数；分开告警、阻挡纪录及已确认的攻击结果
- 看清缺口
- 显示最后更新时间、未收到的资料及监察范围 避免把「在线」或「没有告警」当成安全结论
- 看清责任
- 列出待办事项、负责人与覆核安排；每位客户只可读取获授权的自身资料
处理结果要看得懂
- 红 · 已阻挡
- 绿 · 已通过
- 琥珀 · 未确定
文字与纪录须配合颜色 「通过」表示该次连线或动作获准 不是对整个环境的安全判定
客户专属报告在完成登入、资料权限及结果核对等验证后开放
反勒索防护 兼顾预防与复原
防护要减少入侵与扩散机会 也要为业务受影响时做好准备 网络、设备、帐户、备份及事故处理需要互相配合 并有清楚负责人
网络连线
分隔不同工作区域 限制远端接入 保留业务真正需要的连线 减少问题向其他系统扩散的机会
工作设备
持续更新系统与应用程式 配合设备防护及程式使用限制 并核对哪些设备已纳入管理
帐户权限
按工作需要授予权限 为重要登入增加身份核实 分开管理与日常帐户 及时处理人员离职与权限变更
可用备份
备份与日常帐户及网络适当分隔 保留过往版本并防止任意删改；企业帐户无法登入时仍须有独立复原途径 并定期测试
事故与复原
先约定联络人及处理次序；发生问题时协调隔离、保存证据 再按业务需要确认复原范围与结果
结果可核对 责任才清楚
以下是建议的验收问题 按你的环境与服务范围确认需要的纪录 列明负责人、检查日期及仍需处理的事项
小萤幕可在表内左右卷动
| 需要确认的事情 | 客户应能核对的结果 |
|---|---|
| 告警是否有处理结果？ | 保留事件与实际动作纪录 分清只发出通知、已放行、已阻挡及尚未确认 |
| 重要工作是否仍能进行？ | 测试业务需要的连线及应被拒绝的连线 记录结果并由业务负责人确认 |
| 资料是否只让合适的人看到？ | 核对登入与权限 测试未获授权的人不能读取其他客户的资料或执行管理操作 |
| 启用防护后会否影响工作？ | 在约定设备、功能及负载下量度速度、延迟与连线稳定性；设备标示的连接速度不能代替实测 |
| 报告是否够新、够完整？ | 列明更新时间、纪录保留期、未收到的资料及涵盖范围 避免用旧资料判断现况 |
| 变更出问题时怎样回复？ | 保留设定备份、回复测试与更新安排 列明设备停止支援后的处理责任 |
| 资料如何保留与处理？ | 确认资料保存位置、保留期、使用授权 以及服务交接时的资料处理安排 |
| 备份是否真的能复原？ | 保留完整性与复原测试结果 由业务确认可接受的资料损失与复原时间 |
按验证结果 逐步落实
先把范围与责任说清楚 再验证设备、资料与报告 每一步保留结果 作为下一步的依据
- 确认范围
01 · 明确需要与责任
列出设备、站点、重要工作、负责人及需要的报告
- 核对设备
02 · 验证防护与营运
核对事件、处理结果、工作影响及回复方法 保留测试纪录
- 核对资料
03 · 建立可靠监察
验证接入与资料权限 确认更新时间、资料缺口及告警整理方式
- 覆核报告
04 · 支援持续跟进
确认客户只看到自身获授权资料 报告能说清结果、责任与下一步 再按验证结果确认开放范围
客户常见问题
GDMME 希望帮客户解决甚么管理问题？
把设备、事件与待办事项整理得更清楚 协助负责人辨别优先次序 并以纪录核对跟进结果 工作范围与责任按每次委托确认
设备防护和备份是否全部包含？
防护工具、备份平台、使用授权及实施工作须逐项确认 本文的防护与验收建议 不代表全部项目已包含在每个服务方案
看到告警 是否代表已阻挡？
告警可能只代表系统发出通知 是否阻挡 须看该次事件的实际处理纪录；没有纪录时应标示未确定
告警数量等于成功攻击次数？
不是 告警可能重复或误判 须连同资料来源、时间范围及处理结果阅读 才能厘清需要跟进的事项
在线、绿色或没有告警 代表安全吗？
不能单凭这些状态判断安全 绿色通过只描述该次动作 没有告警也可能涉及资料缺口；报告须列明复盖与更新时间
网络位置能判断攻击者身分？
不能 中继服务或被入侵设备可能遮蔽来源 地理位置只是线索 不能单凭它确认身分或国籍
是否保证防止勒索软件或成功复原？
防护需要设备、帐户、网络、备份与事故处理配合 不能保证阻止所有威胁或解密 复原测试有助确认准备程度；恢复成功仍不能排除资料曾被外泄