69EAP安全管控、权限分级与数据防泄露规范一、本课学习目标建立Fab EAP全维度安全认知区分账号、配置、服务、生产数据四类安全风险掌握EAP账号分级权限体系、操作授权与访问审计机制熟悉配置文件、程序目录、日志文件的权限加固方法识别数据泄露、非法篡改、越权操作的典型风险场景与防控手段明确安全操作红线落实日常安全巡检与变更审计要求二、EAP核心安全风险分类1. 账号访问风险弱密码、账号共用、权限过度开放、离职人员账号未回收、远程无管控登录导致无关人员修改配置、启停服务。2. 配置篡改风险配置文件权限未锁定任何人可编辑通信参数、报警过滤、自动化联动逻辑引发批量设备异常、生产联锁失效。3. 程序服务风险EAP服务以最高管理员权限运行程序目录可随意修改恶意脚本、补丁覆盖造成功能篡改。4. 生产数据风险工单信息、晶圆工艺Trace、报警履历、Lot生产记录属于涉密生产数据随意拷贝、外传、导出造成工艺泄密。5. 网络交互风险服务器无访问白名单外部网段可直接访问EAP服务端口内网主机非法抓取SECS报文、生产日志。三、EAP账号分级权限体系四级标准1. 访客只读账号最低权限权限范围仅查看设备在线状态、前台监控界面不可查看配置、日志不可下发任何指令。适用产线作业员、实习人员、外部参观厂商临时查看。限制无服务器登录权限无文件下载、导出功能。2. 普通运维账号一线EAP工程师日常使用权限范围查看全部监控界面、完整日志、设备点位配置下发复位、查询、临时暂停类低风险指令仅可查看配置禁止保存修改、批量推送配置禁止权限启停EAP服务、修改通信参数、编辑自动化脚本、导出完整生产日志。3. 管理员账号组长/资深运维权限范围包含普通运维全部权限额外拥有编辑设备配置、模板、转发规则启停EAP通信子服务、执行配置重载操作定时脚本、备份配置限制禁止版本升级、服务器系统级修改、批量全产线配置推送需双人复核。4. 超级管理员账号IT/系统负责人极少使用权限范围服务器系统登录、程序替换、版本升级、防火墙策略修改、账号创建删除、全盘日志导出。管控规则专人保管日常运维不登录重大变更双人在场操作并登记。账号通用管控规则禁止多人共用同一账号一人一号独立分配密码复杂度大小写数字特殊符号9位以上每90天强制更换闲置账号、离职人员账号24小时内禁用并删除远程登录开启登录日志记录登录IP、时间、操作行为。四、文件与目录权限加固规范1. EAP程序安装目录运行账号仅赋予只读执行权限禁止写入修改超级管理员以外账号无修改、删除、覆盖程序包权限程序目录禁止存放临时脚本、配置备份防止误覆盖。2. 设备配置文件目录配置文件默认只读仅管理员账号拥有写入权限所有ini/xml/json配置文件开启修改日志记录每一次编辑人、时间关键通信模板、MES接口映射文件设置文件锁定无法直接删除。3. 日志存储目录日志仅开放只读查询权限普通运维无法删除、裁剪日志生产追溯日志禁止拷贝至个人U盘、私人电脑日志目录开启写入审计记录所有访问、下载行为。4. 脚本与定时任务目录自动化备份、巡检脚本仅管理员可编辑普通账号只能执行不能修改脚本逻辑防止植入旁路、过滤规则。五、生产数据防泄露管控细则1. 受限数据清单严禁私自外传完整DV工艺Trace采集数据、各腔体工艺参数MES工单、产品型号、Lot批次、良率相关记录设备完整ALID报警台账、机型专属点位SV/DV/CEID对照表EAP全套标准化配置模板、跨系统接口通信报文。2. 数据导出审批流程因工艺分析、厂商故障排查需要导出数据必须提交书面审批登记导出内容、用途、接收人、使用期限到期回收删除导出介质仅允许厂区内部加密服务器禁止个人U盘、外网邮箱传输对外提供报文/日志必须脱敏抹除产品型号、批次、工艺参数。3. 内网传输限制EAP服务器仅允许和厂区指定MES/FDC/AMS服务器互通禁止开放外网访问办公网段与生产Fab网段隔离无跨网段转发权限。六、网络访问安全加固防火墙配置端口白名单仅开放HSMS 7000系列端口、内网运维管理端口其余端口全部拦截服务器登录IP白名单仅运维固定办公主机可SSH/网页登录关闭服务器不必要网络服务禁用FTP、远程共享等高风险传输协议跨VLAN访问EAP服务器必须经过IT审批新增访问策略登记台账。七、日常安全巡检清单每日安全检查查看账号登录日志识别异地、陌生IP登录行为检查EAP配置文件修改记录有无未登记变更确认服务器磁盘无大量日志、配置文件拷贝导出记录。每周安全检查核对账号清单清理闲置、过期账号抽查目录文件权限确认无文件权限被放开检查防火墙策略无新增未知放行端口。每月安全复盘汇总本月所有配置、版本、接口变更审计记录排查是否存在越权操作、违规导出数据记录同步更新权限台账同步IT更新离职人员权限回收。八、安全运维红线规范严禁共用账号、弱密码长期不更换、私自创建临时超级权限账号禁止未审批私自导出工艺Trace、工单、设备点位涉密数据外传不放开配置文件、程序目录全局读写权限不关闭文件修改审计量产EAP服务器禁止接入外网、私人U盘、非厂区合规存储设备任何配置、版本、网络策略变更必须双人复核并完整登记审计台账。九、本课核心总结EAP安全分为账号、配置程序、生产数据、网络交互四大类风险需分层管控。账号分为四级权限按需分配最小权限遵循“最小授权原则”。程序、配置、日志目录严格收紧读写权限开启操作审计记录。工艺、批次、点位数据属于涉密内容导出、外传必须走审批脱敏流程。日常分日/周/月执行安全巡检所有变更留痕可追溯。十、课后小作业EAP存在哪五类核心安全风险EAP账号四级权限分别是什么最低权限账号有哪些限制哪些生产数据属于涉密、禁止私自外传导出EAP生产数据需要遵守什么流程EAP安全运维五条硬性红线是什么
69：EAP安全管控、权限分级与数据防泄露规范
69EAP安全管控、权限分级与数据防泄露规范一、本课学习目标建立Fab EAP全维度安全认知区分账号、配置、服务、生产数据四类安全风险掌握EAP账号分级权限体系、操作授权与访问审计机制熟悉配置文件、程序目录、日志文件的权限加固方法识别数据泄露、非法篡改、越权操作的典型风险场景与防控手段明确安全操作红线落实日常安全巡检与变更审计要求二、EAP核心安全风险分类1. 账号访问风险弱密码、账号共用、权限过度开放、离职人员账号未回收、远程无管控登录导致无关人员修改配置、启停服务。2. 配置篡改风险配置文件权限未锁定任何人可编辑通信参数、报警过滤、自动化联动逻辑引发批量设备异常、生产联锁失效。3. 程序服务风险EAP服务以最高管理员权限运行程序目录可随意修改恶意脚本、补丁覆盖造成功能篡改。4. 生产数据风险工单信息、晶圆工艺Trace、报警履历、Lot生产记录属于涉密生产数据随意拷贝、外传、导出造成工艺泄密。5. 网络交互风险服务器无访问白名单外部网段可直接访问EAP服务端口内网主机非法抓取SECS报文、生产日志。三、EAP账号分级权限体系四级标准1. 访客只读账号最低权限权限范围仅查看设备在线状态、前台监控界面不可查看配置、日志不可下发任何指令。适用产线作业员、实习人员、外部参观厂商临时查看。限制无服务器登录权限无文件下载、导出功能。2. 普通运维账号一线EAP工程师日常使用权限范围查看全部监控界面、完整日志、设备点位配置下发复位、查询、临时暂停类低风险指令仅可查看配置禁止保存修改、批量推送配置禁止权限启停EAP服务、修改通信参数、编辑自动化脚本、导出完整生产日志。3. 管理员账号组长/资深运维权限范围包含普通运维全部权限额外拥有编辑设备配置、模板、转发规则启停EAP通信子服务、执行配置重载操作定时脚本、备份配置限制禁止版本升级、服务器系统级修改、批量全产线配置推送需双人复核。4. 超级管理员账号IT/系统负责人极少使用权限范围服务器系统登录、程序替换、版本升级、防火墙策略修改、账号创建删除、全盘日志导出。管控规则专人保管日常运维不登录重大变更双人在场操作并登记。账号通用管控规则禁止多人共用同一账号一人一号独立分配密码复杂度大小写数字特殊符号9位以上每90天强制更换闲置账号、离职人员账号24小时内禁用并删除远程登录开启登录日志记录登录IP、时间、操作行为。四、文件与目录权限加固规范1. EAP程序安装目录运行账号仅赋予只读执行权限禁止写入修改超级管理员以外账号无修改、删除、覆盖程序包权限程序目录禁止存放临时脚本、配置备份防止误覆盖。2. 设备配置文件目录配置文件默认只读仅管理员账号拥有写入权限所有ini/xml/json配置文件开启修改日志记录每一次编辑人、时间关键通信模板、MES接口映射文件设置文件锁定无法直接删除。3. 日志存储目录日志仅开放只读查询权限普通运维无法删除、裁剪日志生产追溯日志禁止拷贝至个人U盘、私人电脑日志目录开启写入审计记录所有访问、下载行为。4. 脚本与定时任务目录自动化备份、巡检脚本仅管理员可编辑普通账号只能执行不能修改脚本逻辑防止植入旁路、过滤规则。五、生产数据防泄露管控细则1. 受限数据清单严禁私自外传完整DV工艺Trace采集数据、各腔体工艺参数MES工单、产品型号、Lot批次、良率相关记录设备完整ALID报警台账、机型专属点位SV/DV/CEID对照表EAP全套标准化配置模板、跨系统接口通信报文。2. 数据导出审批流程因工艺分析、厂商故障排查需要导出数据必须提交书面审批登记导出内容、用途、接收人、使用期限到期回收删除导出介质仅允许厂区内部加密服务器禁止个人U盘、外网邮箱传输对外提供报文/日志必须脱敏抹除产品型号、批次、工艺参数。3. 内网传输限制EAP服务器仅允许和厂区指定MES/FDC/AMS服务器互通禁止开放外网访问办公网段与生产Fab网段隔离无跨网段转发权限。六、网络访问安全加固防火墙配置端口白名单仅开放HSMS 7000系列端口、内网运维管理端口其余端口全部拦截服务器登录IP白名单仅运维固定办公主机可SSH/网页登录关闭服务器不必要网络服务禁用FTP、远程共享等高风险传输协议跨VLAN访问EAP服务器必须经过IT审批新增访问策略登记台账。七、日常安全巡检清单每日安全检查查看账号登录日志识别异地、陌生IP登录行为检查EAP配置文件修改记录有无未登记变更确认服务器磁盘无大量日志、配置文件拷贝导出记录。每周安全检查核对账号清单清理闲置、过期账号抽查目录文件权限确认无文件权限被放开检查防火墙策略无新增未知放行端口。每月安全复盘汇总本月所有配置、版本、接口变更审计记录排查是否存在越权操作、违规导出数据记录同步更新权限台账同步IT更新离职人员权限回收。八、安全运维红线规范严禁共用账号、弱密码长期不更换、私自创建临时超级权限账号禁止未审批私自导出工艺Trace、工单、设备点位涉密数据外传不放开配置文件、程序目录全局读写权限不关闭文件修改审计量产EAP服务器禁止接入外网、私人U盘、非厂区合规存储设备任何配置、版本、网络策略变更必须双人复核并完整登记审计台账。九、本课核心总结EAP安全分为账号、配置程序、生产数据、网络交互四大类风险需分层管控。账号分为四级权限按需分配最小权限遵循“最小授权原则”。程序、配置、日志目录严格收紧读写权限开启操作审计记录。工艺、批次、点位数据属于涉密内容导出、外传必须走审批脱敏流程。日常分日/周/月执行安全巡检所有变更留痕可追溯。十、课后小作业EAP存在哪五类核心安全风险EAP账号四级权限分别是什么最低权限账号有哪些限制哪些生产数据属于涉密、禁止私自外传导出EAP生产数据需要遵守什么流程EAP安全运维五条硬性红线是什么
