銀行整體安全服務項目書

1、銀行整體安全服務項目書目錄1.公司介紹41.1.xx公司51.2.b公司52.信息安全風險及銀行業(yè)面臨的挑戰(zhàn)62.1.信息安全的現(xiàn)狀62.2.國內企業(yè)信息安全方面的問題72.3.銀行和金融服務機構的安全挑戰(zhàn)72.4.安全服務項目所涉及的任務83.xx銀行上海分行整體安全服務介紹104.第一階段：風險評估114.1.第一步：邊界審核和遠程測試（黑箱測試）124.1.1.方法論124.1.2.信息收集124.1.3.網(wǎng)絡結構分析134.1.4.情景分析134.1.5.模擬攻擊134.2.第二步：系統(tǒng)分析、改善建議和應用測試（白箱測試）194.2.1.方法論195.第二階段：解決方案215.1.網(wǎng)絡

2、架構分析215.1.1.網(wǎng)絡架構分析目標215.1.2.方法論215.1.3.成果225.1.4.對客戶的要求225.2.制定安全策略225.2.1.安全策略范圍225.2.2.成果235.2.3.方法論235.3.整體安全實施方案266.保密原則276.1.文檔管理276.1.1.客戶數(shù)據(jù)文檔處理策略276.1.2.用戶報告處理原則276.2.客戶參考內容276.2.1.交叉參考277.項目團隊介紹297.1.項目團隊架構297.2.項目人員情況表318.項目合作形式及合作內容329.項目時間表、工作量和項目費用339.1.項目時間表339.2.工作量估計339.3.項目費用3310.成功案

3、例3511.附件3611.1.測試工具3611.2.部分用戶和合作伙伴的反饋意見37第 37 頁 共 37 頁1. 公司介紹xx公司是目前國內領先的安全方案供應商和安全服務提供商。在國家863信息安全專項工程金融安全子項目（合作方為xx分行）以及某國家關鍵部門的安全集成和后期延續(xù)性服務項目實施的過程中xx公司積累了大量的安全集成和安全服務經驗。同時，在上述的整體安全項目的后續(xù)服務過程中，我們也發(fā)現(xiàn)在目前的國內金融系統(tǒng)的整體安全服務領域我們與國際主流安全服務商之間的差距，因此在xx銀行上海分行的項目中，我們將和業(yè)界公認的領先者b公司合作，將國際領先的b企業(yè)級安全服務首次引入中國。b公司則是國際領

4、先的信息安全服務公司，致力于為改善國際企業(yè)和金融機構的信息安全。b（亞太）的用戶包括亞洲著名的銀行、銀行交易機構、企業(yè)用戶和外包服務供應商（參見成功案例）。在本項目中，易虹天地公司是b公司亞太區(qū)的總代理和分支業(yè)務機構，負責向亞太用戶推廣和實施 b 服務。xx公司與b公司的合作，旨在結合xx公司對國內金融行業(yè)業(yè)務系統(tǒng)現(xiàn)狀、政策的了解，以及b公司在高級信息安全專業(yè)服務方面專業(yè)化和強大技術實力（icsa.lab）的優(yōu)勢，向中國用戶提供全面而高水平的服務，增強國內銀行和金融企業(yè)應對信息安全問題的能力，改變國內信息安全，尤其是安全管理較為落后的局面。通過與xx銀行上海分行的前期交流，我們了解到，xx銀行

5、對自身的安全問題有一個較為清晰的認識，對整體業(yè)務安全和系統(tǒng)穩(wěn)定性、安全性等方面有一定需求，希望尋求相關公司提供解決方案，對包括業(yè)務系統(tǒng)在內的整體安全狀況進行評估和測試。在此情況下，我們希望能夠與xx銀行上海分行一起，針對上述問題，實施整體安全服務。在對xx銀行實施整體安全服務的過程中，我們將嚴格參照iso 17799 (信息安全管理實施規(guī)范)的規(guī)范進行實施。同時，我們還參照包括香港金融機構的電子銀行服務安全風險管理指南和國際結算銀行的電子銀行風險管理規(guī)范中的相關內容。鑒于國內外安全管理方面的不同發(fā)展進程，我們將盡量結合國內用戶的實際情況，有選擇地采用國外銀行業(yè)安全實踐xx銀行之有效的安全標準和

6、安全措施。1.1. xx公司xx公司前身是上海xx有限公司，成立于vv年3月。 xx致力于推動我國信息產業(yè)的發(fā)展，利用聯(lián)合的優(yōu)勢，自主開發(fā)信息安全軟件，產品覆蓋電子商務安全、金融銀行安全、安全電子郵件、企業(yè)網(wǎng)絡安全和ic應用卡等領域，并針對用戶的實際要求，提供全方位、多層次的安全解決方案，并給出有效的安全咨詢意見。成立至今的兩年多的時間里，xx投入大量資金、人力，為維護企業(yè)網(wǎng)絡安全、建立一個安全的可信賴的安全電子商務環(huán)境做出了大量的科研開發(fā)工作，填補了國內在信息安全領域多項空白，并已和政府、企業(yè)、銀行、銀行和icp領域開展了多方位的合作，取得良好的社會與經濟效益。1.2. b公司 b公司作為國

7、際互連網(wǎng)安全領域的領導者，其安全服務用戶對象包括數(shù)百家大型公司和政府。其中：b為美國聯(lián)邦儲蓄和保險集團的檢查人員提供長期的培訓服務，美國證監(jiān)會采用b的方法和認證作為在線交易的有效性和安全性的參考依據(jù)。在香港，b公司協(xié)助香港生產力促進局提高全港用戶對網(wǎng)絡安全問題的意識，同時作為香港金融管理局認同的安全服務提供商，b為協(xié)助香港金融管理局制定電子銀行安全管理規(guī)范提供咨詢意見并提供相關服務。同時b也是香港計算機網(wǎng)絡應急處理協(xié)調中心顧問委員會的重要成員。b（香港）在香港金融管理局的安全規(guī)范指導下，為金融客戶提供的服務內容包括：安全策略制定和實施、物理安全檢測、安全風險控制、安全預警、階段性評估、安全漏洞

8、檢測和記錄、系統(tǒng)與網(wǎng)絡安全（含網(wǎng)絡設備檢查）、強身份認證和數(shù)據(jù)保密性分析。2. 信息安全風險及銀行業(yè)面臨的挑戰(zhàn)2.1. 信息安全的現(xiàn)狀信息安全是涉及計算機、網(wǎng)絡技術、通信技術、密碼技術、企業(yè)管理和社會工程的綜合科學。旨在保護信息和相關應用系統(tǒng)的保密性、完整性和可用性。隨著新技術的發(fā)展和普及，企業(yè)的業(yè)務活動越來越多地依賴更加復雜的計算機設備和通訊手段來完成，安全風險隨之增加。無論是包括銀行、保險、電信等行業(yè)在內的敏感企業(yè)，還是普通的制造和商業(yè)企業(yè)，都已經認識到了信息安全的重要性。盡管如此，信息安全方面的專業(yè)調查仍然向我們展示了一些令人震驚的結果：l 60%的企業(yè)機構可能受到拒絕服務類攻擊。l 8

9、0%的用戶不知道自己的網(wǎng)絡系統(tǒng)究竟提供了哪些服務，其中哪些可以從外部通過 internet 訪問。l 80%的企業(yè)不具備完備的安全政策。l 70%配備了防火墻的站點依然無法防范已知的攻擊手段。上述現(xiàn)象的存在，主要由于企業(yè)的安全管理意識不強，安全管理手段欠佳造成的。大部企業(yè)雖然在安全方面有所認識，并采取了相應的安全手段，卻不能很好地將安全問題提高到企業(yè)的業(yè)務戰(zhàn)略的高度加以考慮。因此，在安全項目的實施中，常常會因為缺乏對安全工作的重視或認為安全工作必須服務于業(yè)務系統(tǒng)而進行妥協(xié)，在應用系統(tǒng)中埋下案例隱患。另外，企業(yè)在實施安全項目時，經常將安全工作簡單地理解為采購大量軟硬件設備，嚴格控制用戶訪問的過程

10、，這顯然不是正確的安全觀點。實踐證明，信息安全的重點是管理，而非技術。企業(yè)必須認真地分析自身的業(yè)務需求，并據(jù)此制定相應的安全戰(zhàn)略；在它的指導下，建立和健全安全管理體系，規(guī)范業(yè)務活動和操作流程，提高安全防范意識，實施技術保障手段和應急措施，最終有效地保證企業(yè)的信息安全，降低運營風險。2.2. 國內企業(yè)信息安全方面的問題國內企業(yè)在信息安全方面必須解決的問題包括：a) 缺乏完善的信息安全法規(guī)和特定行業(yè)的安全標準，使企業(yè)在實施信息安全項目時存在較大的盲目性。b) 國內市場上的安全技術、安全產品和安全服務嚴重滯后，無法滿足企業(yè)的信息安全要求，也不能幫助國內企業(yè)應對國外最新發(fā)現(xiàn)的安全風險。c) 安全廠商、

11、服務商和企業(yè)用戶對信息安全的風險、防范手段和安全技術缺乏系統(tǒng)研究，無法針對企業(yè)的需求，形成全面的信息安全戰(zhàn)略。d) 企業(yè)信息安全項目的實施沒有列入企業(yè)的戰(zhàn)略高度，不能與企業(yè)的業(yè)務目標很好地統(tǒng)一。e) 企業(yè)用戶普遍缺乏針對信息安全問題的緊急響應能力，無法及時發(fā)現(xiàn)隱患，阻止攻擊、濫用等安全問題的出現(xiàn)。2.3. 銀行和金融服務機構的安全挑戰(zhàn)信息是銀行和金融服務機構最重要的財富。如何保障信息資產的完整性、保密性和可用性，并允許用戶以適當?shù)姆绞綄ζ溥M行便利的訪問，已經成為一個日益突出的商業(yè)問題。在傳統(tǒng)應用向internet 應用發(fā)展的進程中，銀行和金融企業(yè)面臨的內外部風險不斷增加，形成包括拒絕服務、數(shù)據(jù)

12、修改、計算機欺詐、人為破壞、計算機病毒及其它潛在的安全問題和隱患。這種情況下，如何制訂完善的企業(yè)安全戰(zhàn)略，綜合運用包括物理和電子手段在內的安全措施，對交易信息、資產和客戶資料進行保護，具有非常重要的意義。銀行的金融系統(tǒng)主要運行于分行網(wǎng)絡、內部設施 、internet、專網(wǎng)和虛擬專網(wǎng)等復雜環(huán)境，應用系統(tǒng)包括包括網(wǎng)上支付、網(wǎng)上銀行、電子清算等。其中的每一個環(huán)節(jié)，無論是金融交易，還是金融系統(tǒng)或網(wǎng)絡環(huán)境等，都是高度復雜的。這種復雜性本身就是一種重大的風險因素，如果不能有效地管理和把握，勢必威脅企業(yè)的信息安全。多數(shù)金融企業(yè)對信息安全的認識仍有待于提高。一方面，部分企業(yè)對于安全戰(zhàn)略的制訂和實施缺乏緊迫感，

13、直到出現(xiàn)安全問題，造成危害，才去亡羊補牢；另一方面，在已經建立和實施了信息安全機制的企業(yè)中，多數(shù)企業(yè)還單純寄希望于高技術手段的采購和實施，對安全管理的改善缺乏投入，安全管理嚴重滯后于技術采購，既不能發(fā)揮現(xiàn)有安全機制的作用，也不能消除多種安全技術并存時產生的種種安全漏洞。針對上述情況，銀行和金融企業(yè)的安全工作應該從分析企業(yè)的業(yè)務模式和與業(yè)務相關的信息安全風險入手，由安全專家與銀行的高層管理人員一起，審查銀行的業(yè)務目標、安全戰(zhàn)略和安全架構，制定出行之有效的安全戰(zhàn)略，才通過適當安全技術的采用而加以實施；之后，還要對可能存在安全風險的地方，進行深入測試和審查，逐步加以完善。2.4. 安全服務項目所涉及

14、的任務當企業(yè)網(wǎng)絡接入到互連網(wǎng)中，所面臨的主要安全威脅有： 來自組織外界的導致服務中斷因素（黑客攻擊手段，如ddos等） 在線重要信息的被竊和關鍵信息在傳輸過程中丟失； 數(shù)據(jù)和用戶身份的誤用或冒認；上述的這些安全威脅主要的方式有：拒絕服務攻擊、數(shù)據(jù)篡改、計算機欺詐行為、系統(tǒng)破壞、資源濫用、計算機病毒、潛在的風險和災難等。因此為了實現(xiàn)系統(tǒng)的整體安全目標，在技術和安全產品的基礎上必須設計一個整體安全策略。安全項目的范圍主要包括： 分析和評估客戶現(xiàn)有的it環(huán)境； 為了解客戶主要資產以及相關的安全風險，雙方必須進行一個高水平的系統(tǒng)安全風險評估； 建立一個企業(yè)級的安全策略； 對相關設備和主要的服務器設立安

15、全策略的標準； 向管理層提交安全目標綜述。其中安全目標綜述包括： 企業(yè)范圍內的安全策略； 專項的安全說明，包括：n 防火墻安全策略；n 非軍事區(qū)安全策略；n 路由器/交換機的安全策略；n 管理員工作站安全策略；n 關鍵服務器安全策略；n internet主機安全策略；3. xx銀行上海分行整體安全服務介紹xx公司和b公司很榮幸能夠合作向xx銀行上海分行一套完整而又行之有效的整體安全服務。在這個項目書中，我們將在整體安全的框架下，分步介紹在整個項目計劃的每一步中所采用的方法、工具和相關技術。xx公司和b公司有足夠的經驗和資源在一個較短的時間段內完成既定的計劃。我們對該項目中所涉及的技術問題有足夠

16、的了解，同時相信我們按時完成任務。在執(zhí)行該項目的過程中，xx銀行上海分行即其員工的通力合作也是確保項目計劃成功完成的一個重要保障。在整個項目計劃中，主要包括以下幾個重要過程： 風險評估 制定解決方案 計劃實施 實施審查 維護與支持4. 第一階段：風險評估對于xx銀行上海分行這類以服務為導向的企業(yè)而言，企業(yè)唯一重要的財富是企業(yè)的用戶信息。企業(yè)越來越將注意力放在在保證現(xiàn)有運營業(yè)務穩(wěn)定的基礎上，如何保護企業(yè)信息的完整性、保密性和可用性。另外，日益增長的internet業(yè)務的需求為企業(yè)帶來了眾多的不安全因素。因此，對xx銀行而言，在越來越滿足信息的交流、數(shù)據(jù)的共享以及和第三方的電子業(yè)務合作過程中，企業(yè)

17、的系統(tǒng)和數(shù)據(jù)安全絕對不能落后于業(yè)務的迅猛發(fā)展。特別在基于internet的業(yè)務環(huán)境中，企業(yè)的資產的防護力是非常脆弱的。其中由internet帶來的主要安全風險有： 外來的因素導致服務中斷：黑客能夠關閉網(wǎng)絡服務或降低網(wǎng)絡服務的效率； 在線交易信息的被竊或關鍵數(shù)據(jù)在傳輸過程中被惡意切斷； 交易數(shù)據(jù)的欺詐或用戶的冒認；除了上述的威脅以外，其他常見的威脅還有：拒絕服務攻擊、數(shù)據(jù)篡改、計算機商業(yè)詐騙、破壞企業(yè)數(shù)據(jù)、濫用權限、計算機病毒和其他潛在的災難。基于上述因素，xx銀行希望能夠評估和改善現(xiàn)有的安全策略以及安全架構以將運行風險降到最低。在整個安全服務項目中，第一階段就是風險評估階段。該階段主要包括以下

18、幾個步驟的工作： 邊界審核以及遠程測試（黑箱測試）； 系統(tǒng)分析、改善建議和應用測試（白箱測試）；在風險評估階段，項目目標（待定）在風險評估階段，對客戶方的需求（待定）在風險評估階段，項目環(huán)境（待定）在風險評估階段，項目計劃在合同制定以后3周內，在得到用戶的許可以后開始執(zhí)行。整個計劃中，兩個步驟將分別將持續(xù)12個工作日（大約2周）。在整個項目需要2個安全分析專家，同時指定的項目經理將和客戶保持交流以確保按時保質地完成項目報告。項目的初期，將由雙方開始一個啟動會議以實現(xiàn)： 將安全專家和該項目團隊中的其他人員進行合作； 對項目的范圍以及項目計劃進行綜述； 對安全專家的工作任務以及工作日期進行確定。整

19、個系統(tǒng)分析與改善報告將在遠程測試完成以后兩周內提交給客戶。該項目的兩個步驟分別是客戶無須提供詳細材料的黑箱測試和基于客戶提供的材料進行的白箱測試咨詢服務，在一定的時間段內，我們希望能夠實現(xiàn)下列目標： 系統(tǒng)分析報告（含行為報告和管理報告） 一個加固后的系統(tǒng)安全架構包括對現(xiàn)有安全產品的建議； 將相關的知識傳授給客戶方的員工； 對將來的計劃提供建議。每個報告將包括： 總結性陳述； 對達到該結果所進行的項目過程的描述； 該項目中所有行為的報告； 詳細的系統(tǒng)漏洞報告（參見附件），包括安全建議和相關背景信息。4.1. 第一步：邊界審核和遠程測試（黑箱測試）4.1.1. 方法論遠程測試的針對對象是由用戶指定

20、的服務器或網(wǎng)絡設備，整個測試過程是采用黑箱模式（客戶無須提供其網(wǎng)絡細節(jié)或僅有客戶提供必要的信息）。整個遠程測試主要包括以下幾個步驟：信息收集、網(wǎng)絡結構分析、實戰(zhàn)分析和后續(xù)的相關分析、探測以及最終報告。4.1.2. 信息收集來自各個網(wǎng)絡的公共信息將被收集，其中包括whois數(shù)據(jù)庫、路由信息、dns信息等。另外所收集的信息還包括設備供應商、應用開發(fā)商等信息。4.1.3. 網(wǎng)絡結構分析網(wǎng)絡結構分析的主要目的是對用戶應用網(wǎng)絡的邊界因素進行結構分析。該步驟的主要目標是擁護如何建立自己的dmz區(qū)以及路由器、防火墻和網(wǎng)絡代理的布置點等。信息收集階段還對用戶網(wǎng)絡的拓撲結構信息進行收集，包括：子網(wǎng)的分布、路由器

21、、服務器和網(wǎng)絡之間的路由次數(shù)統(tǒng)計以及其他潛在的通道。該階段包括路由分析和過濾分析，web服務以及其他服務將會被識別出來，該過程中會大量地使用端口掃描。整個過程包括兩種操作方式：普通方式和秘密方式秘密方式將采用各種工具來檢查直接連接在internet上的設備而不被其他工具發(fā)覺，同時它還試圖識別這些設備、它們的操作系統(tǒng)以及在該操作系統(tǒng)上跑的服務。普通模式將采用普通方法且在完成這些操作時。不掩蓋操作行為。4.1.4. 情景分析在該階段，xx公司將協(xié)助用戶發(fā)現(xiàn)系統(tǒng)的漏洞、錯誤的系統(tǒng)設置、可能的bug以及其他與安全有關的問題。一旦我們發(fā)現(xiàn)這些問題后，我們將研究這些問題，并且向用戶演示一個模擬攻擊情景并解

22、釋是如何發(fā)現(xiàn)這些問題以及這些問題所造成的潛在威脅。4.1.5. 模擬攻擊在該步驟中，在用戶的現(xiàn)場監(jiān)督下，將會有兩類的模擬攻擊被發(fā)動。一類是普通的非破壞性攻擊，一類是模擬的dos攻擊。在該階段，對測試人員的素質要求會非常高，測試者將試圖采用各類手段試圖進入用戶的網(wǎng)絡中，因此對測試人員的知識、經驗以及一些創(chuàng)造性的素質要求比較高，因此它更象一向藝術而不僅僅是技術。在這階段，測試者將試圖： 發(fā)現(xiàn)哪些服務器能夠被遠程攻擊危害，如果這些服務器或相關系統(tǒng)被發(fā)現(xiàn)有漏洞的話； 采用多種通用的攻擊手段（spoofing 或 bouncing）來試圖進入用戶系統(tǒng)； 發(fā)現(xiàn)在服務器上跑的應用是否有安全漏洞（如buffe

23、r overflows、race conditions等） 發(fā)現(xiàn)一些配置信息，如數(shù)據(jù)庫、文件系統(tǒng)或網(wǎng)絡設備； 發(fā)現(xiàn)一些其他配置信息，如路由器、交換機、防火墻和服務器等。測試者將使用各種方式來進行模擬攻擊,比如說，可以通過攻擊防火墻來發(fā)現(xiàn)它是否能被破壞。測試者將試圖檢測應用系統(tǒng)中所有在跑的業(yè)務并檢測它們的弱點。其中特別是一些以超級帳戶權限（如root）運行的應用。另外測試者將測試一些設置有疏漏的網(wǎng)絡設備，如路由器等，以確認是否能夠利用這些漏洞來提供進入網(wǎng)絡系統(tǒng)的后門。一旦一臺服務器能夠被破壞，測試者將通過模擬黑客以該服務器為平臺進行其他的測試，主要包括以下的幾點： 安裝特洛依木馬以試圖搜索用戶口

24、令； 安裝偵聽器（sniffer）來搜索用戶口令； 下載應用程序以離線分析應用程序中的漏洞（如：寫得不完善的cgi程序和html程序）； 下載口令文件； 發(fā)現(xiàn)其他能被攻擊的與被測系統(tǒng)有信任關系的系統(tǒng)；值得注意的是在整個測試過程中，所有的數(shù)據(jù)都是由三方約定好的指定負責人來對數(shù)據(jù)進行加密保存，且在最終提交報告時，所有與該項操作有關的日志將被包含在整個報告中。在整個模擬攻擊測試中，包括以下幾個測試部分：. 防火墻測試測試內容 一些未設置好的防火墻能夠被多種繞過防火墻的技術所破壞； 另一種典型的ip spoof工具可以將數(shù)據(jù)包篡改為好象來自內部的數(shù)據(jù)包 一些在內部網(wǎng)或dmz區(qū)的客戶端由于

25、為得到合適的配置，將有可能被端口掃描工具發(fā)現(xiàn)作為攻擊點； 一些惡意的applet和帶有特洛依木馬程序附件的郵件可以被用來破壞內部網(wǎng)安全。測試工具 internet掃描器 多種惡意腳本程序 ip spoof 工具 多種端口掃描器 遠程探測工具 惡意的java applets 特洛依木馬程序實施 識別遠程系統(tǒng) 對dmz區(qū)和internet網(wǎng)絡的分析 在約定時間內的蠻力攻擊 ip spoofi攻擊 端口掃描 對錯誤配置的客戶端進行攻擊 惡意applets 和 trojan 攻擊. unix 安全審核測試內容 unix系統(tǒng)是一類比較復雜的多用戶、多任務的分布式操作系統(tǒng)，它有多種的系統(tǒng)漏洞

26、將導致系統(tǒng)的安全威脅； 多種unix操作系統(tǒng)（包括sun、hp、sco unix、compaq、aix、bsd、linux等）都有自己的安全問題； 操作系統(tǒng)級的安全問題只能通過仔細的安全審核來發(fā)現(xiàn)，并且通過合適的打補丁等辦法來解決。測試工具 unix 系統(tǒng)管理工具 針對多種unix的安全工具； 口令破譯工具； tcp/ip網(wǎng)絡工具； d.o.s.和其他unix攻擊工具包。實施 收集系統(tǒng)信息； 關于c/s機制的分析； 檢查文件系統(tǒng)的安全； 用戶及口令的安全； 基于網(wǎng)絡的安全； 可執(zhí)行軟件程序的安全； 帳戶和審計工具的設置。. windows nt 系統(tǒng)的安全審核測試內容 windo

27、ws nt 有許多安全漏洞從而導致系統(tǒng)的毀壞； 在該系統(tǒng)上跑的許多微軟的應用程序本身有許多安全漏洞； 操作系統(tǒng)級的安全問題只能通過仔細的安全審核來發(fā)現(xiàn)，并且通過合適的打補丁等辦法來解決。測試工具 nt的系統(tǒng)管理工具； nt 掃描器； nt d.o.s. 攻擊工具包 ； netbios 黑客工具； nt l0phtcrack 工具。實施 信息收集； 域之間的信任關系審查； ntfs 的安全； 基于netbios的攻擊； remote access services審查； users, groups, acl的審查； 注冊登記表的安全； 安全行為審計。. tcp/ip網(wǎng)絡層攻擊測試內

28、容 由于tcp/ip 協(xié)議本身具備多種安全漏洞，尤其是身份認證和權限控制等； 在該攻擊中，將被測試的協(xié)議有：命名服務 (dns), 郵件傳輸服務(smtp, pop, imap, mime), 文件傳輸r (ftp, tftp, rcp, uucp),控制信息 (icmp)； 典型的d.o.s.攻擊就是利用了協(xié)議本身的漏洞來攻擊的。測試工具 dns工具包； 郵件攻擊； 文件傳輸攻擊工具包； icmp工具包。實施 識別網(wǎng)絡資源； dmz區(qū)和internet網(wǎng)絡架構分析architecture analysis of dmz and internal network； dns 服務攻擊； mail

29、 服務攻擊； 文件傳輸攻擊； icmp 攻擊； denial-of-service 評估。. www 應用攻擊測試內容 由于web服務是直接掛在公共網(wǎng)絡上的，因此它最容易受到多種攻擊（如內容被改）且通過它能夠給dmz帶來威脅； 造成web應用漏洞的主要因素有：http協(xié)議、cgi腳本以及數(shù)據(jù)庫接口設計的問題等； web 服務器的設置錯誤也是造成安全漏洞的主要原因； 在某些環(huán)境下，系統(tǒng)資源也可能被濫用做d.o.s.攻擊的工具測試工具 http 和 ssl工具包； cgi 探測器； sql 攻擊腳本； web 服務器自身安全工具包。實施 識別和分析相關軟件； 分析cgi腳本和其他相關

30、程序； 數(shù)據(jù)庫攻擊； web服務器設置分析； web服務器攻擊測試。. 應用安全測試測試內容 在應用系統(tǒng)中使用的軟件程序在實施過程中一般總會有安全漏洞； 這些漏洞的造成原因往往是保密數(shù)據(jù)的被竊、超級用戶權限使用、數(shù)據(jù)修改等。測試工具 suid程序測試工具； 數(shù)據(jù)庫工具； 其他安全工具。實施 識別和分析應用軟件 審核與這些應用有關的商業(yè)操作； 評估應用軟件的安全分析； 軟件設置分析； 錯誤跟蹤、安全審計、備份策略。. denial-of-service攻擊測試測試內容 通用的d.o.s.攻擊就是利用tcp/ip協(xié)議的漏洞而進行一種消耗企業(yè)網(wǎng)絡資源，降低企業(yè)服務質量的攻

31、擊手段； 這類攻擊非常常見也是目前主流的針對大型企業(yè)的網(wǎng)絡攻擊手段； 基于tcp/ip協(xié)議的攻擊手段，尤其是針對應用的攻擊非常常見，其他常見的攻擊則是消耗企業(yè)的網(wǎng)絡資源。 測試工具 基于tcp/ip協(xié)議的 dos 工具，如：teardrop, land, nestea, boink, smurf 針對用戶網(wǎng)絡應用的 dos 攻擊腳本 針對用戶網(wǎng)絡資源的 dos 攻擊腳本 撥號攻擊。實施 辨識和分析潛在的l dos 目標 協(xié)議攻擊測試 應用攻擊測試 網(wǎng)絡資源攻擊測試 modem攻擊測試4.2. 第二步：系統(tǒng)分析、改善建議和應用測試（白箱測試）4.2.1. 方法論整個系統(tǒng)分析將對以下的幾個方向進行

32、分析： 對服務器的評估，主要包括：操作系統(tǒng)管理權限的不適當配置或缺省配置中存在的問題； 入侵檢測系統(tǒng)的放置和配置； 防火墻系統(tǒng)的放置和配置； 路由器和交換機配置分析； 應用測試。. unix服務器的分析方法unix系統(tǒng)是一類比較復雜的多用戶、多任務的分布式操作系統(tǒng)。它有多種的系統(tǒng)漏洞將導致系統(tǒng)的安全威脅，多種unix操作系統(tǒng)（包括sun、hp、sco unix、compaq、aix、bsd、linux等）都有自己的安全問題。操作系統(tǒng)級的安全問題只能通過仔細的安全審核來發(fā)現(xiàn)，并且通過合適的打補丁等辦法來解決。在整個項目過程中，我們使用下列方法來實現(xiàn)對unix服務器的安全分析： 文件

33、系統(tǒng)分析（權限、日志以及其他非必要的文件） 進程分析（所跑的進程、啟動、日志等） 配置分析（操作管理員、kernel、啟動、審計） 脆弱性分析（overflows, 打補丁, 不安全的symlinks/paths/umask） 對身份驗證方式以及服務器之間的trust關系的審核. windows nt / 2000 服務器的分析方法windows nt操作系統(tǒng)本身采用了一些安全功能以解決其安全問題，但是一些缺省的配置往往在安全問題上有所忽略。而且，由于該類操作系統(tǒng)市場份額較大，且針對性的黑客攻擊手段非常多。因此，對windows nt操作系統(tǒng)的分析，主要集中在對操作系統(tǒng)的誤配置以

34、及其他被外界發(fā)現(xiàn)的系統(tǒng)漏洞。我們將向用戶提供修改意見和其他安全行為指導。5. 第二階段：解決方案在這階段，xx銀行上海分行將會得到我們對其業(yè)務系統(tǒng)進行評估后得到的結果，并根據(jù)上述結果和整個系統(tǒng)架構分析報告，我們將一起共同制定整個xx銀行上海分行的安全策略并在架構設計上給出我們的意見，以便將在業(yè)務發(fā)展的過程中可能潛在的安全威脅。5.1. 網(wǎng)絡架構分析5.1.1. 網(wǎng)絡架構分析目標問題在銀行原有的業(yè)務系統(tǒng)中采用了多家集成商的產品以及多種網(wǎng)絡解決方案，在用戶將這些產品和方案集中在一起的時候，如何才能確信整個網(wǎng)絡系統(tǒng)是足夠安全和強壯的，這個問題涉及到如何在已有的網(wǎng)絡和應用環(huán)境下，建立一個有效的安全架構

35、并為未來的網(wǎng)絡建設以及可能的新應用打下扎實的基礎？在前期對整個系統(tǒng)的網(wǎng)絡建設進行了足夠的安全分析且對關鍵的安全目標進行了深入的分析以后，我們將給出系統(tǒng)架構分析報告。解決方案在安全結構分析報告中，我們將整合外界的資源以及兩家公司在該領域的經驗來和用戶一起分析現(xiàn)有的系統(tǒng)安全架構，并向用戶提供可行有效的系統(tǒng)整改建議。這是一個多家共同參與的過程且能夠在組織建設上向客戶提供合適的建議。5.1.2. 方法論一旦參與架構分析的人員能夠落實，那么我們將采用下列的各種方法來確保我們的項目是順利實施的： 目標分析； 對現(xiàn)有架構的介紹； 對可能的變化進行介紹； 對已經發(fā)現(xiàn)的問題的介紹； 制定系統(tǒng)問題表； 制定商業(yè)目

36、標表； 對每項細節(jié)因素的分析； 制定整改目標； 發(fā)現(xiàn)的其他問題； 架構修改計劃。5.1.3. 成果 2天的系統(tǒng)架構分析 workshop； 架構修改建議和觀察的問題報告； 管理總結； 管理層報告。5.1.4. 對客戶的要求為了便于該項目的順利進行，要求客戶提供以下的支持： 相關技術人員能夠參與會議 詳細的系統(tǒng)架構圖，包括：硬件、軟件和數(shù)據(jù)流圖。5.2. 制定安全策略制定一個整體安全策略的目的是在采用新的技術工具和實現(xiàn)現(xiàn)有技術升級的基礎上的一個更高層次的安全手段，正如我們一致認同的：安全問題三分技術七分管理，只有一個有效的安全管理策略和技術因素緊密結合在一起，我們才能認為是一個整體安全解決方案。

37、5.2.1. 安全策略范圍整個安全咨詢過程中，我們將會： 分析和評估xx銀行上海分行的現(xiàn)有it實踐行為； 在前期工作的基礎上，對xx銀行上海分行現(xiàn)有的主要資產以及相關的威脅進行一個整體評估； 制定一個企業(yè)級的整體安全策略； 對與安全相關的設備和服務器建立安全標準； 向xx銀行上海分行高層提交含上述內容的報告。5.2.2. 成果 企業(yè)級的整體安全策略； 專項安全策略陳述，包括：n 防火墻安全策略；n dmz安全策略；n 路由器/交換機安全策略；n 管理層的安全策略；n 關鍵服務器安全策略；n internet服務器安全策略。5.2.3. 方法論安全策略的目標是羅列出企業(yè)級安全策略各項內容，同時將

38、這些要求轉換成可行的安全文件，并促使相關部門安全這些文件要求來實現(xiàn)各項安全規(guī)劃。安全策略的方法是通過量化各種安全等級并且分析用戶的各項it設備的潛在威脅。參與這項工作的人員在策略審核和設計方面都具有多年的經驗。最終提交的安全策略是基于bs7799-1999 對相關領域的知道意見的。另外，在該項項目中，我們得到了icsa實驗室的技術支持，他們在安全設備（包括：防火墻、ids、防病毒、加密產品）上的研究經驗（包括：行業(yè)標準、性能研究、風險測試）將很好的體現(xiàn)在我們的方案中。該階段的工作將會由一個啟動會議來啟動（包括：人員介紹、項目任務的闡述和分解以及信息收集等），另外關于b專家在各階段點的階段性工作

39、應該雙方有所約定?？偠灾?，整個計劃包括以下幾個步驟： 為制定安全策略準備材料，包括信息收集、信息分析、討論關于將提交的安全策略中的目標和方向； 對企業(yè)資產及威脅的闡述，并對各種威脅進行解釋和評估； 起草安全策略的草案供項目組成員和客戶高層審閱； 做為評估的結果，準備最終安全策略報告； 向用戶相關人員移交并解釋安全策略。. 第一階段：企業(yè)級安全策略企業(yè)級安全策略是在對客戶進行一個深入的高水平的評估后進行，它對整個安全策略進行分別闡述。.1. 安全策略范圍我們的安全策略將以以下的方式進行： 定義用戶內部的計算機網(wǎng)絡系統(tǒng)以及it資產的應用以及管理規(guī)范，安全分析報告將包括

40、企業(yè)內部的主要應用以及外部相關的應用； 支持與internet路由相關的鏈接以及基于web的應用； 提供物理環(huán)境的安全； 提供人員安全的指導策略； 提供系統(tǒng)管理員的安全策略； 定義權限控制以及身份認證的目標； 分別定義詳細的內部和外部人員的安全策略； 制定備份安全策略。.2. 安全分析在安全策略設計階段，我們主要完成以下的一些任務： 對現(xiàn)有的所有與企業(yè)安全有關部門的安全相關文件、策略進行審核； 對用戶所處商業(yè)環(huán)境中的安全威脅進行評估； 將所有的發(fā)現(xiàn)集中體現(xiàn)在整體安全策略中。對文件的審核以及風險評估將用戶現(xiàn)有的安全情況，均衡考慮安全保護和生產力的因素，并解決以下問題： 識別用戶需要

41、保護的對象； 識別這些安全對象產生威脅的因素； 提供企業(yè)級安全策略的基礎因素。整個安全策略主要包括以下內容： 安全策略綜述； 數(shù)據(jù)分類策略； 物理安全策略； 權限控制安全策略； 數(shù)據(jù)安全策略； 應用安全策略； 網(wǎng)絡與通信安全策略； 安全審計策略； 安全事故反應。.3. 對用戶的要求為便于安全專家工作，用戶方要求提供以下的支持： 所有早期的安全相關的材料，包括安全審計報告以及安全事故記錄； 所有和安全相關部門的人員，以便于交流； 安排管理層的協(xié)商。該步驟需要花費11個人日并且至少需要兩個安全專家介入。. 第二階段：設備的安全策略基于對企業(yè)的前期安全審核以及第一階段的工

42、作，分析小組將制定用戶網(wǎng)絡中現(xiàn)有的網(wǎng)絡設備和網(wǎng)絡服務器的安全策略。這項工作能夠協(xié)助用戶發(fā)現(xiàn)網(wǎng)絡系統(tǒng)中的漏洞并向用戶提交整改意見。.1. 安全策略范圍對現(xiàn)有的網(wǎng)絡設備以及服務器的安全策略主要包括以下內容： 路由器和交換機； 防火墻和代理設置； dmz策略； web服務器（internet/intranet），郵件服務器和文件服務器； 關鍵業(yè)務服務器； 管理員工作站。.2. 安全分析在安全策略設計階段，我們主要完成以下的一些任務： 對所有已使用的文件和設置進行審核，同時會見it人員和用戶； 評估整個企業(yè)的安全風險； 將發(fā)現(xiàn)的問題在安全策略建議書中陳列出來。詳細的策略陳述

43、將包括： 防火墻安全策略； dmz安全策略； 路由器/交換機安全策略； 管理員工作站安全策略； 關鍵業(yè)務服務器安全策略； internet服務器安全策略。.3. 對用戶的要求為便于安全專家工作，用戶方要求提供以下的支持： 已在使用的安全策略綜述； 提供便利能夠直接審查安全設備和服務器； 提供便利能夠直接審查安全設備和服務器的日志和報告； 審查網(wǎng)絡拓撲圖和it架構文件。該步驟需要花費11個人日并且至少需要兩個安全專家介入。5.3. 整體安全實施方案6. 保密原則由于系統(tǒng)安全服務的特殊性，我們將和用戶簽定保密協(xié)議（參見附件），我們在處理與用戶有關的數(shù)據(jù)時，遵循以下的原則： 所有的數(shù)據(jù)

44、收集以及分析工作將在項目經理的筆記本電腦內完成； 該筆記本電腦內的數(shù)據(jù)將會是保密存放； 一旦報告提交給用戶以后，所有的相關數(shù)據(jù)將會被銷毀。6.1. 文檔管理6.1.1. 客戶數(shù)據(jù)文檔處理策略為了研究和分析的目的，我們會在項目進程中保留部分關于技術細節(jié)的數(shù)據(jù)，但是我們會遵循以下的原則： 在相關處理完成以后，這些數(shù)據(jù)會被處理掉； 一些重要的數(shù)據(jù)，在以后階段可能用到的（如和產品提供商有關的信息），將在項目過程中被安全地保存； 任何與客戶有關的數(shù)據(jù)信息將按期銷毀。6.1.2. 用戶報告處理原則一旦用戶報告被提交且被用戶接受，所有的與該項目有關的數(shù)據(jù)將根據(jù)用戶的意見封存或銷毀。6.2. 客戶參考內容6.

45、2.1. 交叉參考所有與安全有關的發(fā)現(xiàn)，將存儲在我們自己的知識庫中，但是我們不會提到任何用戶名字所有與安全有關的發(fā)現(xiàn)將僅用作技術領域的交叉參考。在未得到用戶書面許可的，我們不會將用戶名字向任何第三方透露。7. 項目團隊介紹7.1. 項目團隊架構xx銀行上海分行安全咨詢項目意義深遠，影響面大。xx公司作為參選公司，深感責任重大。把此項目立項為公司的最重大的項目，選派公司銀行安全方面的專家，按照項目需求全力進行方案建議書的設計和編寫。假如xx公司能夠有幸成為該項目最終的合作伙伴，為保證整個項目的成功實施，將選派公司最優(yōu)秀的項目管理和技術專家組成“xx銀行上海分行安全咨詢項目組”配合xx銀行全力參與

46、項目的整體工作。并且有信心保證整體項目的成功實施。鑒于本次項目實施的技術難度以及國內外實施類似項目較大的技術差距，我們特別邀請了b公司（原icsa）的海外資深專家參與該項目，為本項目的實施過程中的某些技術難點提供知識庫支持、遠程和部分現(xiàn)場技術實施支持。本次項目的工作重點主要是針對xx銀行網(wǎng)絡特點和管理需要做出一份出色的安全咨詢規(guī)劃。xx公司計劃在該項目中投入以下技術力量，保證項目的按時、保質地完成：* 項目總監(jiān)1名* 項目經理 1名 * 項目實施人員 4名* 項目聯(lián)絡員 1名本次xx項目總監(jiān)計劃由xx公司常務副總經理擔任，多名有兩年以上的網(wǎng)絡安全集成、咨詢以及項目監(jiān)理經驗，參與xx分行（s21

47、9項目）、國家某重點安全部門等項目的技術人員承擔：安全評估、架構審核、制定解決方案、項目聯(lián)絡的工作。同時b公司也將派出包括含該公司亞太區(qū)cto、兩名cisa在內的強大陣容參與該項目，在此附上項目人員情況表，請xx銀行領導審核。在整個項目中，項目團隊的構成包括來自三方面的人員：xx公司、b公司以及xx銀行上海分行，其中xx公司做為本次項目的主要承擔單位，b公司作為本項目的特邀單位，對整個項目實施過程中的某些技術難點提供知識庫支持、遠程和部分現(xiàn)場技術實施支持。具體人員架構如下：boc項目團隊xx銀行上海分行項目經理項目人員上海xx項目總監(jiān)項目經理項目協(xié)調人員項目人員b項目經理安全咨詢專家安全咨詢專

48、家7.2. 項目人員情況表基 本 情 況姓 名工作年限學歷畢業(yè)院校參 加 項 目 情 況年 月 年 月項 目 名 稱承 擔 角 色本項目擬擔任的角色（含工作地點）工作任務8. 項目合作形式及合作內容在本次項目的合作中，xx從技術角度負責整個安全咨詢項目的詳細方案設計、技術實現(xiàn)和培訓工作，xx銀行上海分行電腦處提供必要的技術以及人員上的配合，同時將對整個項目的實現(xiàn)過程進行嚴格的質量控制和管理。b公司做為整個項目的整體咨詢以及技術支持，將向該項目提供在線的支持，其中在項目的某些關鍵點，該公司將以現(xiàn)場支持的方式以確保該項目的成功進行。由于本項目區(qū)別于一般的系統(tǒng)集成項目，而且網(wǎng)絡安全也是一個非常敏感的

49、問題，因此，一些用戶敏感的操作，我們將通過向用戶提交工具、指導操作以及提供現(xiàn)場支持的方式來由用戶自己來完成，或在用戶的現(xiàn)場監(jiān)督下來完成。所有的數(shù)據(jù)我們將嚴格遵守雙方的協(xié)議以確保xx銀行上海分行的權益不受損害。合作方式和合作內容是密不可分，并有機合為一體，為正確實施這一方式和內容，xx認為應在以下幾個方面做出補充：1、合作方式中如何體現(xiàn)版權所有的問題；2、合作方式和合作內容中如何體現(xiàn)項目推廣的問題；3、合作內容中如何體現(xiàn)項目的平滑過渡、知識移交的問題。當項目完成之后（指試運行之后），根據(jù)項目的連續(xù)性及推廣的可操作性，xx公司應積極參與項目的推廣。為了實施項目知識的平滑移交，應強調二方面的工作，一

50、是xx銀行參與整個項目的每一個步驟，同時還要加大培訓力度。9. 項目時間表、工作量和項目費用9.1. 項目時間表9.2. 工作量估計9.3. 項目費用the implementation timetable for smartics is as follow:tentativemajor activities start date end date1. stage 1(project initiation, system analysis and design)1.1 project initiation 04.01.2002 01.02.20021.2 system analysis and

51、 design 04.01.2002 19.04.20021.3 delivery of documentation 25.03.2002 19.04.20022. stage 2(systems development)2.1 preparation of development site 04.01.2001 01.03.20022.2 hardware delivery 04.03.2002 15.03.20022.3 software delivery 04.03.2002 15.03.20022.4 smart card delivery (for development cards

52、) 04.03.2002 04.04.20022.5. installation tests (for hardware and software) 18.03.2002 04.04.20022.6 system development and unit tests (forsystem)20.04.2002 19.09.20022.7 card acceptance tests (for system tests anduat cards)20.06.2002 23.08.20022.8 smart card delivery (for system tests and uatcards)2

53、6.08.2002 20.09.20022.9 function tests (for system) 20.08.2002 19.10.20022.10 system integration 20.08.2002 15.11.20022.11 system integration tests (system tests) 15.10.2002 03.01.20032.12 delivery of documentation 04.12.2002 03.01.20033. stage 3(user acceptance test and load test)3.1 preparation of testing site 20.06.2002 23.08.20023.2 hardware delivery 26.08.2002