K/3 WISE产品安全部署和安全运维指引(非官方,仅代表个人见解,仅供参考)
目的:根据公告显示,K/3 WISE即将停止服务,作为K/3 WISE的一位多年的产品人,个人觉得有必要,也有有义务总结一些有关K/3 WISE安全运维的思路,提供给伙伴、客户进行参考,力所能及的帮助伙伴、客户做好K/3 WISE的安全运维工作,避免发生诸如数据泄露、数据窃取、数据破坏、勒索攻击、数据丢失等可防可控的恶性事件发生。
本文旨在将K/3 WISE的安全相关的事项进行罗列,不涉及各项安全措施的具体操作,有关操作会因使用的软件、版本的不同会有区别,需要自行查阅相关专业的操作说明书进行操作。
特别声明:本文仅是就个人所知进行总结,可能会有错漏,不对任何机构、伙伴、客户的系统安全负责,仅供运维参考。强烈推荐引进第三方网络安全机构进行评估,并根据各自的情况和安全诉求,整理完整的网络安全方案并限期整改。
一、 K/3 WISE部署拓扑图及基本安全要求
K/3系统是三层结构应用,系统部署分多部分进行,包括客户端、中间层、数据库、WEB服务器、客户端、web客户端(含移动轻应用)几大部分。一般部署拓扑图如下:
数据库服务器:基于Windows Server操作系统的Sql Server数据库服务器,部署Sql SERVER服务器、K/3数据服务部件。该服务器承担了K/3 WISE的数据存储、数据运算能力等,是企业的安全核心。需防止服务器被劫持、入侵、恶意篡改,数据被破环、被窃取,同时需要保证在发生灾难时可以快速恢复企业数据。
中间层服务器:基于Windows Server操作系统的COM+服务,部署K/3 WISE中间层。该服务器承担了K/3 WISE的核心业务逻辑、数据库操作等能力,是保障K/3 WISE核心业务运行的核心。需防止服务器被劫持、入侵、恶意篡改、非法调用,同时需要保证在发生灾难时可以快速恢复,持续提供ERP业务服务。
WEB服务器:基于Windows Server的IIS站点服务,部署K/3 WISE WEB服务。该服务器提供K/3 HR、CRM、SRM、门户、移动应用等WEB服务,为可选服务安装部件。该服务器是常见的黑客攻击的目标,攻击手段众多,如:SOL注入攻击、XSS跨站脚本攻击、任意文件上传漏洞、任意文件读取漏洞、DDos分布式拒绝服务攻击、网站cc攻击、暴力破解、DNS查询攻击、CSRF跨站点请求伪造、RCE远程命令/代码执行攻击、信息泄露等常见的攻击方式。需防止服务器被劫持、入侵、恶意篡改、非法调用,同时需要保证在发生灾难时可以快速切断服务,并可快速恢复。
客户端:基于Windows桌面操作系统的Winform应用程序,部署K/3 WISE客户端,一般部署在K/3 WISE用户的工作电脑上。客户端提供K/3 WISE的操作界面,承担与中间层服务器交互,实现企业业务运行。需防止被劫持、病毒、木马等攻击。
WEB客户端(含移动轻应用):基于IE浏览器的网页访问,需要部署K/3 WISE支持部件(在线安装)。WEB客户端提供网页端的操作界面,与WEB服务器交互,完成企业业务运行。需防止被不明来历的访问、攻击等。
二、 K/3 WISE安全部署指引
(一)网络:
内外网隔离:严格分割企业内外网,增设防火墙,除windows自带的防火墙外,建议购买第三方安全产品的防火墙(如深信服企业级防火墙等),并将K/3 WISE部署在企业内部网络。有关内外网隔离方案请咨询专业的网络服务提供商。
(二)服务器:
1、数据库服务器:
l 部署在企业内部网络,并与办公网络隔离,开启防火墙
l 操作系统所有用户密码、SQL Server服务用户密码均采用强密码策略,并定期更新密码
l 关闭不必要的服务和端口,仅允许中间层服务器、WEB服务器通过1433端口访问数据库,严禁开放远程终端服务,服务器管理通过跳板机进行。
l 关闭xp_cmdshell服务。
l 做好数据库定期备份计划,并实现备份文件的脱网存储。
2、中间层服务器:
l 部署在企业内部网络,开启防火墙,不与非K/3 WISE的其他服务部署在同一服务器
l 操作系统所有用户密码均采用强密码策略,并定期更新密码
l 关闭不必要的服务和端口(详细端口请查阅社区发布的K/3 WISE的部署文档),严禁开放远程终端服务,服务器管理通过跳板机进行。
l 开启白名单模式访问,仅允许公司内部的可信客户端访问K/3 WISE服务。
3、WEB服务器:
l 部署在企业内部网络,开启防火墙,不与非K/3 WISE的其他服务部署在同一服务器上。
l 操作系统所有用户密码均采用强密码策略,并定期更新密码
l 关闭不必要的服务和端口(详细端口请查阅社区发布的K/3 WISE的部署文档),严禁开放远程终端服务,服务器管理通过跳板机实现。
l 开启白名单模式访问,仅允许公司内部的客户端访问K/3 WISE 的WEB服务
(三)客户端
1、客户端:
l 部署在企业内部网络。
l 操作系统所有用户密码均采用强密码策略,并定期更新密码
l 关闭不必要的服务和端口,严禁开放远程终端服务,如必须开启,请更换为非3389的端口,并指定访问用户。
2、WEB客户端:
l 在企业内网使用,通过WEB服务器的白名单方式控制访问,不随意浏览不明网络。
三、 K/3 WISE日常运维安全指引
1. 定期备份K/3 WISE数据库,并定期检查备份的正确性,同时实现脱网、脱机或付费的云盘存储。
2. 定期检查和更新所有服务器、客户端的用户、密码,如发现可疑用户、可疑登录,须第一时间排查清理,确保网络安全。
3. 如有采用第三方防火墙,请及时更新至最信版本,并实时监控网络可以时间,及时处理。
4. 所有服务器、客户端均需及时更新系统补丁、软件补丁,确保安全漏洞的及时修补
5. 所有服务器、客户端均需要安装防病毒软件,并定期更新。
6. 定期审查所有服务器的系统日志,如发现可疑情况,须第一时间排查清理。
K/3 WISE产品安全部署和安全运维指引(非官方,仅代表个人见解,仅供参考)
本文2024-09-16 16:26:19发表“k3wise知识”栏目。
本文链接:https://wenku.my7c.com/article/kingdee-k3wise-9244.html