随着我国信息化建设的不断深入，信息安全意识淡薄、信息安全防范能力不足、信息系统安全建设和管理目标不明确等问题逐步凸显，同时信息安全监管依据与标准较为缺乏、信息安全监管措施不到位、信息安全监管体系也有待完善。为解决上述信息安全问题，维护国家安全、公共利益和社会稳定，有效地提高我国信息化建设的整体水平，需建立信息安全等级保护制度。信息安全等级保护制度是国家在国民经济和社会信息化的发展过程中，保障和促进信息化建设健康发展的一项基本制度。
　　为了全面贯彻落实信息安全等级保护制度，公安部会同有关部门在全国范围内组织开展了信息系统安全等级保护工作。该项工作主要分为定级、备案、建设整改、等级测评和监督检查五个环节。其中安全建设整改工作是信息安全等级保护工作的重要组成部分。主要内容包括制定信息系统安全建设整改工作规划并部署；信息系统安全现状分析；确定安全策略，制定安全建设整改方案；开展信息系统安全管理建设整改工作；开展信息系统安全技术建设整改工作；开展安全自查和等级测评。公安部于2009年发布了《关于开展信息安全等级保护安全建设整改工作的指导意见》（公信安[2009]1429号），强调依据信息安全等级保护有关政策和标准，开展信息安全等级保护安全建设整改工作。通过组织开展信息安全等级保护安全管理制度建设、技术措施建设和等级测评，落实等级保护制度的各项要求，使信息系统安全管理水平明显提高，安全防范能力明显增强，安全隐患和安全事故明显减少。
　　本文主要依据信息系统安全等级保护基本要求，结合信息安全等级保护安全技术建设整改工作内容，提出了基于“安全建设整改”的服务器安全加固方案设计、安全加固流程和安全加固方法等。基于“安全建设整改”的服务器安全加固工作贯穿了安全技术建设整改工作的多个方面，主要内容涉及物理安全、主机安全、应用安全和数据安全及备份恢复等。下面重点对基于“安全建设整改”的服务器安全加固可行性分析、方案设计和加固内容进行详细的叙述。
　　服务器安全加固以实际需求为牵引
　　首先服务器安全加固是以《信息系统安全等级保护基本要求》为依据，以信息系统为最小加固单位，对信息系统范围内的服务器操作系统、数据库、中间件以及虚拟机集群或小机分区，以技术手段通过更改安全配置、加强审计备份、升级补丁等直接操作方式，从而达到提升服务器自身的安全防护能力的目标。
　　其次，通过对等保要求类、等保控制点和等保要求项的仔细分析、梳理，确定信息系统服务器加固项目中能够执行的等保要求项，并将这些加固项从技术实现角度分为可以实现的加固项，部分可加固项和安全建议项。
　　在此基础上，进一步结合实际安全需求，分析现有安全技术和安全策略要求，从加固实施的角度，引入了“等保要求加固子项（简称加固子项）”的概念。所谓“加固子项”是对 “等保要求项”的进一步细分，将每一个检查动作和加固动作相对应，达到每一个“加固子项”可以确定为一个独立的检查动作，并且有一个对应的加固动作，按照等保基本要求，实现每一个加固动作。
　　表1中列举了适合于进行直接加固的操作项，主要包括了物理安全、主机安全、应用安全和数据安全及备份恢复四个方面。
　　服务器安全加固方案要构建闭环系统
　　基于“信息安全等级保护安全建设整改”的服务器安全加固方案设计是服务器安全加固实施过程中的关键环节，是做好服务器安全加固工作的基础，其中的内容主要包括安全加固工作概述、安全加固工作的流程与方法、安全加固工作的准备、安全加固工作实施、安全加固工作总结等方面。
　　服务器安全加固工作概述主要将加固的目的和意义进行简要的叙述，讲明服务器安全加固需要遵循的原则，对服务器安全加固的依据进行说明，并进一步明确服务器加固的工作范围、工作组织和工作安排等方面的内容。通过工作概述的描述，对服务器安全加固的工作概况有一个全面的了解。
　　通过对服务器安全加固的流程与方法描述，使得安全加固主线和脉络有较为清晰。其中服务器安全加固的流程如图1所示，主要包括加固准备、加固实施和加固总结三个方面的内容。服务器安全加固的方法主要采用文档清分、人员访谈、信息采集、论证确认、现场加固和验证审核等方式进行。
　　加固准备工作是以《信息安全等级保护基本要求》为指导形成服务器安全加固总体方案，依据总体方案对基本要求项进行梳理、拆分和论证确认需要加固的项目形成服务器加固可行性分析报告。进一步依据可行性分析报告编制服务器安全加固实施方案，在此基础上依据基本要求编写服务器安全加固操作表单和脚本，并在测试环境中对加固表单进行测试。通过对被加固单位信息系统安全等级保护测评的结果分析与整理，梳理出服务器的安全加固项，初步确认加固范围，经过测试确认可加固项，进一步形成被加固单位服务器加固实施方案，对加固操作表单和脚本进行修改，制定被加固单位现场实施计划。
　　加固实施工作主要包括加固范围现场确认、加固方法和内容的现场确认、加固现场实施、加固过程中的异常处置、加固结果现场确认、加固后服务器的安全监控、加固后服务器的试运行报告，在安全监控期结束后应对加固的效果进行验证分析。
　　加固总结工作主要是对加固的结果进行验收和确认，建立较为成熟的加固方法和流程，并对加固工作进行总结。
　　服务器安全加固的流程把控
　　通过上述对服务器安全加固的可行性分析以及对服务器安全加固的方案设计的描述，已对服务器安全加固的流程和方式有了初步了解。基于“安全建设整改”的服务器安全加固内容应与安全加固的流程相一致，具体分为三个阶段，即安全加固准备阶段工作内容、安全加固实施阶段的工作内容和安全加固总结阶段的工作内容。下面对服务器安全加固在三个阶段的具体内容进行详细叙述。
　　1.安全加固准备
　　成立加固实施团队 在完成服务器安全加固实施工作时，实施团队应负责完成服务器操作系统、数据库和中间件等的加固任务，同时还需要信息系统开发、运维人员的配合。需要建立一支由加固实施人员、信息系统开发人员和信息系统运维人员共同组成的加固团队。 　　加固对象清分 依据等级保护测评工作确认的范围，确定实施加固的信息系统，并进一步提取出需要加固信息系统中的服务器信息，服务器信息主要包括操作系统类型及版本号、数据库类型及版本号、中间件类型及版本号、是否采用虚拟技术、应用软件使用服务和端口以及补丁更新情况等。
　　等保测评结果梳理 服务器安全加固主要是依据信息系统安全等级保护测评结果对服务器进行安全配置和补丁更新等操作，需要对等保测评结果进行较为深入的分析，并参照安全加固可行性分析结果梳理服务器加固的内容。
　　加固内容初步确认 由项目实施组对等级保护测评结果梳理中产生表单的内容进行逐项的测试，在测试中排除存在问题的加固项和加固内容，测试的内容主要包括服务器安全配置更改、补丁更新、加固操作后服务器重新启动、加固后补丁卸载和加固异常后系统恢复等。
　　2.安全加固实施
　　安全加固内容现场确认 服务器安全加固现场确认工作主要是指对准备阶段确定的服务器加固方法、加固内容和操作步骤，由被加固单位的服务器管理员、数据库管理员和应用系统管理员共同确认可加固的内容与可实施的操作步骤。
　　安全加固现场实施 服务器安全加固应依据以下操作顺序进行。首先对服务器操作系统、数据库和中间件的补丁进行更新操作，补丁更新操作完成后重启服务器，监测服务器能否正常运行，如果正常运行则进入安全配置操作，如果运行出现异常则进行补丁回退等操作或启动应急恢复流程。其次，对服务器操作系统、数据库和中间件进行安全配置更新，并重启服务器，监测服务器能否正常运行，如果运行正常则对加固结果进行确认，如果运行出现异常则进行安全配置回退操作或启动应急恢复流程。最后对不能实施加固的内容进行确认并提出安全建议。
　　安全加固结果分析 主要是对安全加固的内容进行的分析和总结，对每个服务器上安装的操作系统、数据库、中间件以及采用虚拟技术中已加固成功的项和未加固的成功项进行区分整理，进一步对照信息系统安全等级保护测评报告中服务器安全测评结果验证加固的效果。
　　安全运行监控 主要是对服务器安全加固后的工作进行监控和确认。安全监控的作用在于服务器进行加固处理后，某些隐藏的问题没有当场暴露，而是运行一定时间后才显露出来，影响业务系统的正常运行。因此加固人员需要在完成现场加固结果确认后，进行一定时间的服务器运行状态监控。
　　3.安全加固总结
　　安全加固效果验证 安全加固效果验证主要依据信息安全等级保护基本要求，对已经完成操作的加固项是否达到等级保护要求进行判定，对照被加固单位信息系统安全等级保护测评报告的结果，验证原不符合项通过加固后成为符合项或部分符合项，以验证结果为依据编写服务器安全加固效果验证报告。由于被加固单位的加固内容存在差异性，各单位服务器安全加固效果验证应存在不同，安全加固效果验证应在安全监控期结束后进行。
　　安全加固工作完善 对安全加固的文档、安全加固的方法和安全加固的内容进行修订与完善，形成一套完整的安全加固措施。
　　服务器安全加固提升信息系统防护能力
　　目前服务器安全加固的方式多种多样，主要包括服务器物理安全保护加固方式、服务器硬盘加固方式、通过第三方软件对服务器操作系统和数据库进行加固的方式、通过更改配置和补丁更新等进行直接加固的方式。
　　同时，加固的安全基线要求也不相同，有的是依据国家信息安全标准和制度要求，有的是依据本行业或本单位的信息安全标准和规范，有的则是针对性较强的加固内容。但从整体上看，服务器安全加固的目标是一致的，都是为提高服务器自身的安全防护能力，保护服务器的重要、核心数据安全。
　　服务器安全加固作为信息安全等级保护安全建设整改工作的重要组成部分，其涵盖了较多的内容（涉及到信息安全等级保护技术要求的四个方面），并且与信息系统业务应用联系紧密，对提高信息系统的整体安全性起到了关键作用，进一步提升了信息系统的安全防护能力，为信息安全保障工作打下了坚实的基础。