數(shù)據(jù)中心安全建設(shè)的方案設(shè)計(jì)

1、.wd.wd.wd.數(shù)據(jù)中心安全解決方案目錄 TOC o 1-3 h z u HYPERLINK l _Toc372295854第一章 解決方案 PAGEREF _Toc372295854 h 2HYPERLINK l _Toc3722958551.1 建設(shè)需求 PAGEREF _Toc372295855 h 2HYPERLINK l _Toc3722958561.2 建設(shè)思路 PAGEREF _Toc372295856 h 2HYPERLINK l _Toc3722958571.3 總體方案 PAGEREF _Toc372295857 h 3HYPERLINK l _Toc372295858

2、1.3.1 IP準(zhǔn)入控制系統(tǒng) PAGEREF _Toc372295858 h 4HYPERLINK l _Toc3722958591.3.2 防泄密技術(shù)的選擇 PAGEREF _Toc372295859 h 6HYPERLINK l _Toc3722958601.3.3 主機(jī)賬號(hào)生命周期管理系統(tǒng) PAGEREF _Toc372295860 h 6HYPERLINK l _Toc3722958611.3.4 數(shù)據(jù)庫(kù)賬號(hào)生命周期管理系統(tǒng) PAGEREF _Toc372295861 h 7HYPERLINK l _Toc3722958621.3.5 令牌認(rèn)證系統(tǒng) PAGEREF _Toc372295

3、862 h 7HYPERLINK l _Toc3722958631.3.6 數(shù)據(jù)庫(kù)審計(jì)系統(tǒng) PAGEREF _Toc372295863 h 8HYPERLINK l _Toc3722958641.3.7 數(shù)據(jù)脫敏系統(tǒng) PAGEREF _Toc372295864 h 8HYPERLINK l _Toc3722958651.3.8 應(yīng)用內(nèi)嵌賬號(hào)管理系統(tǒng) PAGEREF _Toc372295865 h 9HYPERLINK l _Toc3722958661.3.9 云計(jì)算平臺(tái) PAGEREF _Toc372295866 h 12HYPERLINK l _Toc3722958671.3.10 防火墻

4、PAGEREF _Toc372295867 h 13HYPERLINK l _Toc3722958681.3.11 統(tǒng)一安全運(yùn)營(yíng)平臺(tái) PAGEREF _Toc372295868 h 13HYPERLINK l _Toc3722958691.3.12 安全運(yùn)維服務(wù) PAGEREF _Toc372295869 h 15HYPERLINK l _Toc3722958701.4 實(shí)施效果 PAGEREF _Toc372295870 h 15HYPERLINK l _Toc3722958711.4.1 針對(duì)終端接入的管理 PAGEREF _Toc372295871 h 15HYPERLINK l _To

5、c3722958721.4.2 針對(duì)敏感數(shù)據(jù)的使用管理 PAGEREF _Toc372295872 h 16HYPERLINK l _Toc3722958731.4.3 針對(duì)敏感數(shù)據(jù)的訪問(wèn)管理 PAGEREF _Toc372295873 h 17HYPERLINK l _Toc3722958741.4.4 針對(duì)主機(jī)設(shè)備訪問(wèn)的管理 PAGEREF _Toc372295874 h 17HYPERLINK l _Toc3722958751.4.5 針對(duì)數(shù)據(jù)庫(kù)訪問(wèn)的管理 PAGEREF _Toc372295875 h 18HYPERLINK l _Toc3722958761.4.6 針對(duì)數(shù)據(jù)庫(kù)的審計(jì)

6、PAGEREF _Toc372295876 h 19HYPERLINK l _Toc3722958771.4.7 針對(duì)應(yīng)用內(nèi)嵌賬號(hào)的管理 PAGEREF _Toc372295877 h 21HYPERLINK l _Toc3722958781.4.8 安全運(yùn)營(yíng)的標(biāo)準(zhǔn) PAGEREF _Toc372295878 h 21HYPERLINK l _Toc3722958791.4.9 針對(duì)管理的優(yōu)化 PAGEREF _Toc372295879 h 22HYPERLINK l _Toc372295880第二章 工程預(yù)算及工程要求 PAGEREF _Toc372295880 h 23HYPERLINK

7、l _Toc3722958812.1 工程預(yù)算 PAGEREF _Toc372295881 h 23HYPERLINK l _Toc3722958822.1.1 工程一期預(yù)算 PAGEREF _Toc372295882 h 23HYPERLINK l _Toc3722958832.1.2 一期實(shí)現(xiàn)目標(biāo) PAGEREF _Toc372295883 h 24HYPERLINK l _Toc3722958842.2 工程要求 PAGEREF _Toc372295884 h 25HYPERLINK l _Toc3722958852.2.1 用戶環(huán)境配合條件 PAGEREF _Toc372295885

8、h 25解決方案建設(shè)需求XXX用戶經(jīng)過(guò)多年的信息化建設(shè)，各項(xiàng)業(yè)務(wù)都順利的開(kāi)展起來(lái)了，數(shù)據(jù)中心已經(jīng)積累了很多珍貴的數(shù)據(jù)，這些無(wú)形的資產(chǎn)比硬件資產(chǎn)還重要，但它們卻面臨著非常大的安全挑戰(zhàn)。在早期的系統(tǒng)建設(shè)過(guò)程中，大多用戶不會(huì)考慮數(shù)據(jù)安全、應(yīng)用安全層面的問(wèn)題，經(jīng)過(guò)多年的開(kāi)展，數(shù)據(jù)中心越來(lái)越龐大，業(yè)務(wù)越來(lái)越復(fù)雜，但信息安全完全沒(méi)有配套建設(shè)，經(jīng)常會(huì)發(fā)生一些安全事件，如：數(shù)據(jù)庫(kù)的表被人刪除了、主機(jī)密碼被人修改了、敏感數(shù)據(jù)泄露了、特權(quán)賬號(hào)被第三方人員使用等等情況，而這些安全事件往往都是特權(quán)用戶從后臺(tái)直接操作的，非常隱蔽，這時(shí)候往往無(wú)從查起。其實(shí)，信息安全建設(shè)在系統(tǒng)的設(shè)計(jì)初期開(kāi)場(chǎng)，就應(yīng)該要介入，始終貫穿其中，這

9、樣花費(fèi)的人力物力才是最小。當(dāng)一個(gè)系統(tǒng)建成后，發(fā)現(xiàn)問(wèn)題了，回頭再來(lái)考慮安全建設(shè)，這樣投入的成本將會(huì)變得最大。建設(shè)思路數(shù)據(jù)中心的安全體系建設(shè)并非安全產(chǎn)品的堆砌，它是一個(gè)根據(jù)用戶具體業(yè)務(wù)環(huán)境、使用習(xí)慣、安全策略要求等多個(gè)方面構(gòu)建的一套生態(tài)體系，涉及眾多的安全技術(shù)，實(shí)施過(guò)程需要涉及大量的調(diào)研、咨詢等工作，還會(huì)涉及到眾多的安全廠家之間的協(xié)調(diào)、產(chǎn)品的選型，安全系統(tǒng)建成后怎么維持這個(gè)生態(tài)體系的平衡，是一個(gè)復(fù)雜的系統(tǒng)工程，一般建議分期投資建設(shè)，從技術(shù)到管理，逐步實(shí)現(xiàn)組織的戰(zhàn)略目標(biāo)。整體設(shè)計(jì)思路是將需要保護(hù)的核心業(yè)務(wù)主機(jī)包及數(shù)據(jù)庫(kù)圍起來(lái)，與其他網(wǎng)絡(luò)區(qū)域進(jìn)展邏輯隔離，封閉一切不應(yīng)該暴漏的端口、IP，在不影響現(xiàn)有業(yè)

10、務(wù)的情況下形成數(shù)據(jù)孤島，設(shè)置固定的數(shù)據(jù)訪問(wèn)入口，對(duì)入口進(jìn)展嚴(yán)格的訪問(wèn)控制及審計(jì)。由之前的被動(dòng)安全變?yōu)橹鲃?dòng)防御，控制安全事故的發(fā)生，對(duì)接入系統(tǒng)的人員進(jìn)展有效的認(rèn)證、授權(quán)、審計(jì)，讓敏感操作變得更加透明，有效防止安全事件的發(fā)生。在訪問(wèn)入口部署防火墻、賬號(hào)生命周期管理系統(tǒng)、數(shù)據(jù)加密系統(tǒng)、令牌認(rèn)證系統(tǒng)、審計(jì)系統(tǒng)等安全設(shè)施，對(duì)所有外界向核心區(qū)域主機(jī)發(fā)起的訪問(wèn)進(jìn)展控制、授權(quán)、審計(jì)，對(duì)流出核心區(qū)域的批量敏感數(shù)據(jù)進(jìn)展加密處理，所有加密的數(shù)據(jù)將被有效的包圍在安全域之內(nèi)，并跟蹤數(shù)據(jù)產(chǎn)生、扭轉(zhuǎn)、銷毀的整個(gè)生命周期，杜絕敏感數(shù)據(jù)外泄及濫用行為。為了保證XXX用戶的業(yè)務(wù)連續(xù)性，各安全子系統(tǒng)都采用旁路的方式部署到網(wǎng)絡(luò)當(dāng)中，

11、其中賬號(hào)生命周期管理系統(tǒng)、審計(jì)系統(tǒng)、數(shù)據(jù)庫(kù)都采用雙機(jī)的模式，以提供自身的高可靠性；加密系統(tǒng)、特權(quán)賬號(hào)生命周期管理系統(tǒng)、令牌認(rèn)證系統(tǒng)都建議部署在VMware云計(jì)算平臺(tái)上，利用VMware強(qiáng)大的服務(wù)器虛擬化能力為防泄密系統(tǒng)提供良好的可靠性與可擴(kuò)展性保證?？傮w方案信息安全系統(tǒng)整體部署架構(gòu)圖1、在核心交換機(jī)上部署防護(hù)墻模塊或獨(dú)立防火墻，把重要的主機(jī)、數(shù)據(jù)庫(kù)與其他子網(wǎng)進(jìn)展邏輯隔離，劃分安全區(qū)域，對(duì)不必要的端口進(jìn)展封閉，隔離終端IP對(duì)數(shù)據(jù)中心可達(dá)。2、在終端會(huì)聚的交換機(jī)上旁路部署IP準(zhǔn)入控制系統(tǒng)，實(shí)現(xiàn)非法外聯(lián)、IP實(shí)名制，對(duì)接入內(nèi)網(wǎng)的終端進(jìn)展有效的控制。3、部署主機(jī)賬號(hào)管理系統(tǒng)，限制所有終端對(duì)主機(jī)的訪問(wèn)只

12、能通過(guò)管理系統(tǒng)發(fā)起，并對(duì)Telnet、SSH、RDP等訪問(wèn)過(guò)程進(jìn)展控制、審計(jì)，防止終端將數(shù)據(jù)從主機(jī)上私自復(fù)制到本地硬盤(pán)，防止誤操作。4、部署數(shù)據(jù)賬號(hào)管理系統(tǒng)，對(duì)數(shù)據(jù)庫(kù)訪問(wèn)工具PL-SQL、FTP工具等常用維護(hù)工具進(jìn)展統(tǒng)一的發(fā)布，對(duì)前臺(tái)數(shù)據(jù)庫(kù)訪問(wèn)操作進(jìn)展審計(jì)記錄，把數(shù)據(jù)包圍在服務(wù)器端。對(duì)下載數(shù)據(jù)行為進(jìn)展嚴(yán)格控制，并對(duì)提取的數(shù)據(jù)進(jìn)展加密處理。5、部署加密系統(tǒng)DLP，對(duì)所有流出數(shù)據(jù)中心的數(shù)據(jù)進(jìn)展自動(dòng)加密處理，并對(duì)數(shù)據(jù)的產(chǎn)生、扭轉(zhuǎn)、編輯、銷毀進(jìn)展生命周期管理。6、部署數(shù)據(jù)庫(kù)審計(jì)系統(tǒng)，對(duì)數(shù)據(jù)庫(kù)訪問(wèn)行為進(jìn)展審計(jì)，監(jiān)控敏感數(shù)據(jù)訪問(wèn)情況，監(jiān)控?cái)?shù)據(jù)庫(kù)操作行為，記錄數(shù)據(jù)庫(kù)后臺(tái)變化情況，事后回查。7、在生產(chǎn)庫(kù)與測(cè)試

13、庫(kù)之間部署數(shù)據(jù)脫敏系統(tǒng)，對(duì)從在線庫(kù)抽取的數(shù)據(jù)進(jìn)展自動(dòng)脫敏，再導(dǎo)入測(cè)試庫(kù)，防止數(shù)據(jù)泄露。對(duì)后臺(tái)訪問(wèn)在線庫(kù)的人群進(jìn)展權(quán)限管理，對(duì)訪問(wèn)的敏感字段進(jìn)展自動(dòng)遮罩。8、部署應(yīng)用內(nèi)嵌賬號(hào)管理系統(tǒng)，對(duì)應(yīng)用系統(tǒng)內(nèi)嵌的特權(quán)賬號(hào)進(jìn)展有效的托管，實(shí)現(xiàn)賬號(hào)的定期修改、密碼強(qiáng)度、密碼加密等安全策略。9、部署令牌認(rèn)證系統(tǒng)，對(duì)登入數(shù)據(jù)中心區(qū)的用戶使用雙因素認(rèn)證，確認(rèn)訪問(wèn)數(shù)據(jù)中心者的身份，杜絕賬號(hào)共用現(xiàn)象。10、部署云計(jì)算平臺(tái)，為防泄密系統(tǒng)提供良好的運(yùn)行環(huán)境。云計(jì)算平臺(tái)提高了系統(tǒng)的可靠性、可擴(kuò)展性，減少宕機(jī)時(shí)間，降低維護(hù)成本。11、所有系統(tǒng)都采用活動(dòng)目錄認(rèn)證，并加以動(dòng)態(tài)令牌做為雙因素認(rèn)證，實(shí)現(xiàn)對(duì)用戶身份的準(zhǔn)確鑒別。IP準(zhǔn)入控制

14、系統(tǒng)現(xiàn)在國(guó)內(nèi)外，有很多廠商推出自己的準(zhǔn)入控制系統(tǒng)解決方案，目的就是為了在終端接入網(wǎng)絡(luò)前對(duì)其進(jìn)展安全檢查，只允許合法的用戶接入到網(wǎng)絡(luò)當(dāng)中，防止隨意接入網(wǎng)絡(luò)給系統(tǒng)帶來(lái)風(fēng)險(xiǎn)。主流的解決方案有兩種方式，旁路部署方式都是基于802.1X的，需要跟交換機(jī)做聯(lián)動(dòng)；串接的部署方式不需要與交換機(jī)聯(lián)動(dòng)，但會(huì)給網(wǎng)絡(luò)的通過(guò)性與性能帶來(lái)挑戰(zhàn)，采用的用戶不多。這些解決方案，在復(fù)雜的中國(guó)環(huán)境部署成功的并不多，要么網(wǎng)絡(luò)條件非常好，交換機(jī)都支持802.1X，要么網(wǎng)絡(luò)非常扁平化，終端都可以收斂到同一個(gè)出口。IP地址管理困難：接入Intranet的計(jì)算機(jī)設(shè)備都需要一個(gè)合法的IP地址，IP地址的分配和管理是一件令網(wǎng)絡(luò)管理人員頭疼的事

15、情，IP地址、MAC地址、計(jì)算機(jī)名冒用、濫用現(xiàn)象廣泛存在，而管理人員缺乏有效的監(jiān)控手段。局域網(wǎng)上假設(shè)有兩臺(tái)主機(jī)IP地址一樣，那么兩臺(tái)主機(jī)相互報(bào)警，造成應(yīng)用混亂。因此，IP地址盜用與沖突成了網(wǎng)管員最頭疼的問(wèn)題。當(dāng)幾百臺(tái)、甚至上千臺(tái)主機(jī)同時(shí)上網(wǎng)，如何控制IP地址盜用與沖突更是當(dāng)務(wù)之急。在實(shí)際中，網(wǎng)絡(luò)管理員為入網(wǎng)用戶分配和提供的IP地址，只有通過(guò)客戶進(jìn)展正確地注冊(cè)后才有效。這為終端用戶直接接觸IP地址提供了一條途徑。由于終端用戶的介入，入網(wǎng)用戶有可能自由修改IP地址。改動(dòng)后的IP地址在聯(lián)網(wǎng)運(yùn)行時(shí)可導(dǎo)致三種結(jié)果：非法的IP地址，自行修改的IP地址不在規(guī)劃的網(wǎng)段內(nèi)，網(wǎng)絡(luò)呼叫中斷。重復(fù)的IP地址，與已經(jīng)分

16、配且正在聯(lián)網(wǎng)運(yùn)行的合法的IP地址發(fā)生資源沖突，無(wú)法鏈接。非法占用已分配的資源，盜用其它注冊(cè)用戶的合法IP地址且注冊(cè)該IP地址的機(jī)器未通電運(yùn)行聯(lián)網(wǎng)通訊。IPScan能很好的控制非法的IP接入，并對(duì)內(nèi)網(wǎng)已有的聯(lián)網(wǎng)IP通過(guò)切斷聯(lián)網(wǎng)實(shí)現(xiàn)迅速快捷的控制，以很方便的方式實(shí)現(xiàn)內(nèi)網(wǎng)安全威脅的最小化。IPScan通過(guò)對(duì)IP/MAC的綁定，對(duì)每個(gè)IP地址都可以進(jìn)展實(shí)時(shí)的監(jiān)控，一旦發(fā)現(xiàn)非法的IP地址和某個(gè)IP地址進(jìn)展非法操作的時(shí)候，都可以及時(shí)對(duì)這些IP地址進(jìn)展操作，有效的防止IP沖突。產(chǎn)品是基于二層數(shù)據(jù)鏈路層的設(shè)計(jì)理念，可以有效地控制ARP播送病毒，通過(guò)探測(cè)ARP播送包，可以自動(dòng)阻止中毒主機(jī)大量發(fā)送ARP播送，從而

17、保證了內(nèi)網(wǎng)的安全。通過(guò)實(shí)現(xiàn)IP地址的綁定，從而變相的實(shí)現(xiàn)了網(wǎng)絡(luò)實(shí)名制，在接入網(wǎng)絡(luò)的終端都被授予唯一的IP地址，在網(wǎng)絡(luò)中產(chǎn)生的所有日志將會(huì)變得非常有意義，它可以關(guān)聯(lián)到是哪一個(gè)終端哪一個(gè)用戶，能讓安全日志產(chǎn)生定責(zé)的作用。防泄密技術(shù)的選擇國(guó)外有良好的法律環(huán)境，內(nèi)部有意泄密相對(duì)極少，對(duì)內(nèi)部人員確認(rèn)為可信，數(shù)據(jù)泄露主要來(lái)自外部入侵和內(nèi)部無(wú)意間的泄密。因此，國(guó)外DLP數(shù)據(jù)防泄漏解決方案主要用來(lái)防止外部入侵和內(nèi)部無(wú)意間泄密，可以解決局部問(wèn)題，但無(wú)法防止內(nèi)部主動(dòng)泄密，只能更多地依賴管理手段。而國(guó)內(nèi)環(huán)境，法律威懾力小，追蹤難度大，泄密者比較容易逃脫法律制裁，犯罪成本比較??；同時(shí)，國(guó)內(nèi)各種管理制度不完善，內(nèi)部人員

18、無(wú)意間泄密的概率也比較大。國(guó)內(nèi)DLP以加密權(quán)限為核心，從主動(dòng)預(yù)防的立足點(diǎn)來(lái)防止數(shù)據(jù)泄露，對(duì)數(shù)據(jù)進(jìn)展加密，從源頭上進(jìn)展控制。即使內(nèi)部數(shù)據(jù)流失到外部，也因?yàn)橐驯患用芏鵁o(wú)法使用，從而保證了數(shù)據(jù)的安全。所以國(guó)內(nèi)DLP既能防止內(nèi)部泄密包括內(nèi)部有意泄密和無(wú)意泄密，同時(shí)也能防止外部入侵竊密。主機(jī)賬號(hào)生命周期管理系統(tǒng)XXX用戶局越來(lái)越多的業(yè)務(wù)外包給系統(tǒng)提供商或者其他專業(yè)代維公司，這些業(yè)務(wù)系統(tǒng)涉及了大量的公民敏感信息。如何有效地監(jiān)控第三方廠商和運(yùn)維人員的操作行為，并進(jìn)展嚴(yán)格的審計(jì)是用戶現(xiàn)在面臨的一個(gè)挑戰(zhàn)。嚴(yán)格的規(guī)章制度只能約束一局部人的行為，只有通過(guò)嚴(yán)格的權(quán)限控制和操作審計(jì)才能確保安全管理制度的有效執(zhí)行，在發(fā)生

19、安全事件后，才能有效的復(fù)原事故現(xiàn)場(chǎng)，準(zhǔn)確的定位到責(zé)任人。主機(jī)賬號(hào)生命周期管理系統(tǒng)能幫助用戶建設(shè)集中的和統(tǒng)一的主機(jī)運(yùn)維管理平臺(tái)，實(shí)現(xiàn)自動(dòng)化的監(jiān)控審計(jì)，對(duì)所有維護(hù)人員和支持人員的操作行為T(mén)elnet、SSH、RDP、FTP、SFTP、VNC、KVM等協(xié)議進(jìn)展監(jiān)控和跟蹤審計(jì)，實(shí)現(xiàn)對(duì)所有登錄系統(tǒng)的人員的所有操作進(jìn)展全面行為過(guò)程審計(jì)，到達(dá)對(duì)所訪問(wèn)主機(jī)的操作行為進(jìn)展采集，以便實(shí)時(shí)監(jiān)控和事后回放分析、重現(xiàn)和檢索，以最大限度地減少運(yùn)行事故、降低運(yùn)行風(fēng)險(xiǎn)、進(jìn)展責(zé)任追溯，不可抵賴。同時(shí)提供直觀的問(wèn)題報(bào)告工具，防止敏感數(shù)據(jù)從物理層被竊取。按照規(guī)定，一段時(shí)間內(nèi)必須修改一次主機(jī)及數(shù)據(jù)庫(kù)的密碼，以符合安全性要求，往往這些

20、密碼太多，修改一次也費(fèi)時(shí)費(fèi)力，還經(jīng)常出現(xiàn)root密碼修改后忘記的情況。很多時(shí)候，維護(hù)人員為了方便記憶密碼，將密碼記錄在一個(gè)文件里，以明文方式保存在電腦上，即使文件加了個(gè)簡(jiǎn)單的密碼，一旦這些數(shù)據(jù)泄漏，后果不堪設(shè)想?，F(xiàn)在可采用主機(jī)賬號(hào)生命周期管理系統(tǒng)進(jìn)展密碼托管，可以設(shè)定定期自動(dòng)修改主機(jī)密碼，不用人工干預(yù)了。既提高了信息安全工作的效率，又降低了管理成本，還降低了安全風(fēng)險(xiǎn)。數(shù)據(jù)庫(kù)賬號(hào)生命周期管理系統(tǒng)目前，XXX用戶的支持人員及第三方維護(hù)人員都是采用PL/SQL等工具對(duì)在線庫(kù)或離線庫(kù)進(jìn)展直接操作，有的是通過(guò)業(yè)務(wù)系統(tǒng)的某些模塊直接操作數(shù)據(jù)庫(kù)，導(dǎo)致敏感數(shù)據(jù)可以直接被編輯、刪除，無(wú)法對(duì)其進(jìn)展集中控制。針對(duì)這

21、種情況，目前較有效的解決方案是通過(guò)數(shù)據(jù)庫(kù)賬號(hào)生命周期管理系統(tǒng)來(lái)實(shí)現(xiàn)。通過(guò)賬號(hào)生命周期管理系統(tǒng)的虛擬化技術(shù)，將有高風(fēng)險(xiǎn)的操作工具發(fā)布出來(lái)如PL/SQL、業(yè)務(wù)系統(tǒng)的主界面、C/S架構(gòu)系統(tǒng)的客戶端等，客戶端零安裝，用戶對(duì)程序遠(yuǎn)程調(diào)用，防止真實(shí)數(shù)據(jù)的傳輸和漏泄，能實(shí)現(xiàn)防止數(shù)據(jù)的泄露、對(duì)重要操作進(jìn)展全程跟蹤審計(jì)、對(duì)重要命令進(jìn)展預(yù)警。系統(tǒng)制止所有操作終端與服務(wù)器之間的數(shù)據(jù)復(fù)制操作，但操作人員經(jīng)常需要復(fù)制一段代碼或腳本到PL/SQL里面進(jìn)展查詢操作，如果是用手敲，勢(shì)必會(huì)影響工作效率。這里就要求數(shù)據(jù)庫(kù)賬號(hào)生命周期管理系統(tǒng)具備單向數(shù)據(jù)流的控制，只允許從終端復(fù)制數(shù)據(jù)到系統(tǒng)，制止從系統(tǒng)上復(fù)制數(shù)據(jù)到本地磁盤(pán)，這樣既保

22、存了用戶的使用習(xí)慣，又到達(dá)了安全的目的。如果支持人員要把數(shù)據(jù)保存到本地終端上進(jìn)展二次處理，需要將文件導(dǎo)出到指定的存儲(chǔ)路徑上，文件產(chǎn)生后會(huì)被自動(dòng)加密處理，支持人員可以在指定的路徑下載加密的文件到本地磁盤(pán)，并進(jìn)展后期的二次處理，同時(shí)在存儲(chǔ)上保存有文件副本備查。如果支持人員需要把修改好的數(shù)據(jù)上傳應(yīng)用系統(tǒng)中或主機(jī)中，需要將文件導(dǎo)入到指定的存儲(chǔ)路徑上，文件上傳后會(huì)被自動(dòng)解密處理，即可被應(yīng)用系統(tǒng)或主機(jī)正常識(shí)別。雙因素認(rèn)證系統(tǒng)目前，系統(tǒng)中的主機(jī)賬號(hào)共用情況比較普遍，一個(gè)賬號(hào)多個(gè)人使用，這就造成了事后難以定責(zé)的為難局面，而且靜態(tài)的口令也容易被獲取。為了杜絕這種現(xiàn)象，可采用雙因素認(rèn)證系統(tǒng)加強(qiáng)身份認(rèn)證的管理。傳統(tǒng)

23、的方式是在每臺(tái)需要保護(hù)的主機(jī)、數(shù)據(jù)庫(kù)上啟用Agent，如果主機(jī)數(shù)量很多的話，配置工作量很大，維護(hù)起來(lái)很繁瑣。我們推薦給XXX用戶局的解決方案是將令牌認(rèn)證系統(tǒng)與主機(jī)賬號(hào)生命周期管理系統(tǒng)結(jié)合做雙因素認(rèn)證，大大減少了配置工作量的同時(shí)，還滿足了系統(tǒng)安全性要求。另外，對(duì)于所有重要的業(yè)務(wù)系統(tǒng)、安全系統(tǒng)，都應(yīng)該采用雙因素認(rèn)證，以防止賬號(hào)共用情況，發(fā)生安全事件后，能準(zhǔn)確的定責(zé)。數(shù)據(jù)庫(kù)審計(jì)系統(tǒng)審計(jì)系統(tǒng)在整個(gè)系統(tǒng)中起到一個(gè)很好的補(bǔ)充作用。數(shù)據(jù)庫(kù)賬號(hào)生命周期管理系統(tǒng)雖然會(huì)記錄所有操作數(shù)據(jù)庫(kù)的行為，但他只是記錄前臺(tái)的操作過(guò)程，但對(duì)于發(fā)生安全事件后快速定位、復(fù)原整個(gè)事件過(guò)程還是有些欠缺。專業(yè)數(shù)據(jù)庫(kù)審計(jì)系統(tǒng)會(huì)對(duì)數(shù)據(jù)庫(kù)操作

24、進(jìn)展審計(jì)，記錄數(shù)據(jù)庫(kù)的日常操作行為，記錄敏感數(shù)據(jù)的訪問(wèn)、修改行為，會(huì)準(zhǔn)確了每一個(gè)字符。在安全事件發(fā)生后，可以準(zhǔn)確的使用操作命令來(lái)檢索需要審計(jì)的信息，甚至可以組合幾條信息來(lái)準(zhǔn)確定位，提高了審計(jì)的效率。它可以對(duì)數(shù)據(jù)庫(kù)發(fā)生的所有變化進(jìn)展回放，讓用戶知道重要操作后數(shù)據(jù)庫(kù)返回了什么樣的結(jié)果、發(fā)生了什么變化，可以很好的幫助用戶恢復(fù)整個(gè)事件的原始軌跡，有助于復(fù)原參數(shù)及取證。并可可以深入到應(yīng)用層協(xié)議如操作命令、數(shù)據(jù)庫(kù)對(duì)象、業(yè)務(wù)操作過(guò)程實(shí)現(xiàn)細(xì)料度的安全審計(jì)，并根據(jù)事先設(shè)置的安全策略采取諸如產(chǎn)生告警記錄、發(fā)送告警郵件或短信、提升風(fēng)險(xiǎn)等級(jí)。數(shù)據(jù)脫敏系統(tǒng)在我們的用戶系統(tǒng)里面，存在著大量的敏感信息：公民數(shù)據(jù)、業(yè)務(wù)數(shù)據(jù)等

25、，業(yè)務(wù)系統(tǒng)軟件開(kāi)發(fā)的最后階段，是需要盡量真實(shí)的數(shù)據(jù)來(lái)作為根基測(cè)試軟件的一系列功能。尤其是用戶系統(tǒng)這樣的大型系統(tǒng)實(shí)施或開(kāi)發(fā)的時(shí)候，對(duì)于根基數(shù)據(jù)的要求很嚴(yán)格，很多時(shí)候都是直接克隆生產(chǎn)環(huán)境的數(shù)據(jù)來(lái)進(jìn)展軟件系統(tǒng)的測(cè)試，但是隨之而來(lái)的影響卻是深遠(yuǎn)的，生產(chǎn)數(shù)據(jù)中，首先它是一個(gè)真實(shí)的數(shù)據(jù)，透過(guò)數(shù)據(jù) 基本上掌握了整個(gè)數(shù)據(jù)庫(kù)的資料。其次，在這當(dāng)中包含很多敏感數(shù)據(jù)，不光是敏感數(shù)據(jù)，而且還是真實(shí)的敏感數(shù)據(jù)。如果在測(cè)試環(huán)境中發(fā)生了信息泄露問(wèn)題，那么對(duì)于用戶數(shù)據(jù)安全將造成致命的后果。近年來(lái)，政府行業(yè)重大的敏感數(shù)據(jù)泄漏事件時(shí)有發(fā)生，如以以下圖所示：核心數(shù)據(jù)脫敏模塊的建設(shè)基于動(dòng)態(tài)數(shù)據(jù)脫敏技術(shù)，通常是應(yīng)用于生產(chǎn)系統(tǒng)，當(dāng)對(duì)數(shù)據(jù)

26、庫(kù)提出讀取數(shù)據(jù)的請(qǐng)求時(shí)，動(dòng)態(tài)數(shù)據(jù)脫敏按照訪問(wèn)用戶的角色執(zhí)行不同的脫敏規(guī)那么。如以以下圖所示：授權(quán)用戶可以讀取完整的原始數(shù)據(jù)，而非授權(quán)用戶只能看到脫敏后的數(shù)據(jù)。應(yīng)用內(nèi)嵌賬號(hào)管理系統(tǒng)復(fù)雜的IT環(huán)境，在其中包含過(guò)個(gè)腳本，進(jìn)程，應(yīng)用程序需要訪問(wèn)多個(gè)平臺(tái)的資源和數(shù)據(jù)庫(kù)中存取敏感信息。為了更好地訪問(wèn)這些資源，應(yīng)用程序和腳本會(huì)利用數(shù)據(jù)庫(kù)上的帳號(hào)去獲取數(shù)據(jù)，有些帳號(hào)只有只讀權(quán)限，還有些帳號(hào)具有讀寫(xiě)權(quán)限。保護(hù)、管理和共享這類與應(yīng)用程序相關(guān)的帳號(hào)成為了IT部門(mén)或者應(yīng)用負(fù)責(zé)人的巨大挑戰(zhàn)，也是放在用戶面前的審計(jì)難題。調(diào)查說(shuō)明42%的用戶從不修改嵌入在應(yīng)用程序內(nèi)的帳號(hào)密碼。這是一個(gè)嚴(yán)重的安全風(fēng)險(xiǎn)，并且明顯地違背了許多法

27、律法規(guī)的要求，同樣也是直接導(dǎo)致運(yùn)維效率低下的主要原因。應(yīng)用程序的內(nèi)嵌帳號(hào)通常也是具有非常高的權(quán)限的，可以毫無(wú)控制地訪問(wèn)后端系統(tǒng)。如果該帳號(hào)不有效管理起來(lái)，勢(shì)必帶來(lái)繞開(kāi)常規(guī)管理流程的非法訪問(wèn)。以上圖的Billing系統(tǒng)為例，前端Bill應(yīng)用通過(guò)內(nèi)置的數(shù)據(jù)庫(kù)用戶連接數(shù)據(jù)庫(kù)，用以更新數(shù)據(jù)庫(kù)中相關(guān)記錄。非授權(quán)的第三方人員一旦知曉該密碼，那么可以肆無(wú)忌憚地進(jìn)入數(shù)據(jù)庫(kù)，刪除記錄，修改數(shù)據(jù)。如上描述，嵌入在應(yīng)用程序中的密碼會(huì)帶來(lái)如下安全風(fēng)險(xiǎn)：密碼不定期修改：為了獲得更高的安全水平，密碼需要定期修改。而應(yīng)用程序內(nèi)嵌密碼其密碼修改正程非常復(fù)雜，因?yàn)槊艽a會(huì)被寫(xiě)入在應(yīng)用程序的多處。運(yùn)維人員和開(kāi)發(fā)人員都知曉應(yīng)用密碼：

28、由于應(yīng)用程序密碼被嵌入在程序中，并且不會(huì)定期修改，所以通常密碼在IT運(yùn)維人員和開(kāi)發(fā)人員整個(gè)企業(yè)中是共享的，特別還包括離職員工以及外包人員。密碼強(qiáng)度不夠：由于密碼是IT運(yùn)維人員或者開(kāi)發(fā)人員手工創(chuàng)立的，為了能夠應(yīng)對(duì)緊急情況，這些密碼盡量定義地簡(jiǎn)單，便于能夠記憶。這將導(dǎo)致企業(yè)特權(quán)帳號(hào)密碼的策略不合規(guī)。密碼存儲(chǔ)在明文中：嵌入的密碼在配置文件或者源代碼中是明文存儲(chǔ)的，有時(shí)密碼也不符合強(qiáng)度要求。所以這些密碼很容易被訪問(wèn)到源代碼和配置文件的人員獲得。對(duì)應(yīng)用程序內(nèi)嵌密碼缺乏審計(jì)：在緊急情況下，IT運(yùn)維人員和開(kāi)發(fā)人員都需要使用應(yīng)用程序密碼，現(xiàn)有的密碼方案無(wú)法提供相應(yīng)的使用記錄的控制和審計(jì)。審計(jì)與合規(guī)：無(wú)法保護(hù)應(yīng)

29、用程序帳號(hào)，審計(jì)其使用記錄會(huì)違法安全標(biāo)準(zhǔn)和法規(guī)，并且導(dǎo)致無(wú)法通過(guò)內(nèi)審和外審要求。應(yīng)用程序帳號(hào)管理常見(jiàn)需求如之前章節(jié)描述，由于應(yīng)用程序密碼濫用狀況引起了安全與合規(guī)性風(fēng)險(xiǎn)。擁有了應(yīng)用程序就可以訪問(wèn)企業(yè)的核心應(yīng)用，為了成功地控制這些應(yīng)用帳號(hào)，所選擇的解決方案必須滿足如下要求：安全需求：1. 加密：應(yīng)用程序密碼必須存儲(chǔ)在安全的場(chǎng)所，無(wú)論是存儲(chǔ)，還是被傳送至應(yīng)用程序，密碼必須被加密。2. 訪問(wèn)控制：必須有很強(qiáng)的訪問(wèn)控制作用在密碼使用之上，嚴(yán)格限定能夠訪問(wèn)密碼的人員或者是應(yīng)用程序3. 審計(jì)：能夠快速審計(jì)到任何訪問(wèn)密碼的活動(dòng)，包括個(gè)人訪問(wèn)記錄。4. 高可用性：相應(yīng)的應(yīng)用程序無(wú)法承受宕機(jī)時(shí)間。應(yīng)用程序始終能夠

30、訪問(wèn)這些密碼，不管是在網(wǎng)絡(luò)連接的問(wèn)題或者存儲(chǔ)發(fā)生故障。管理需求：1. 廣泛的平臺(tái)支持性：一個(gè)企業(yè)一般會(huì)擁有不同類型的系統(tǒng)、應(yīng)用和腳本等。為了能夠支持企業(yè)中不同應(yīng)用的需求，應(yīng)用程序密碼管理方案必須支持如下廣泛平臺(tái)：a) 腳本 Shell, Perl, bat, Sqlplus, JCL等b) 應(yīng)用程序 自定義開(kāi)發(fā)的C/C+應(yīng)用程序，Java，.NET， Cobol等，也有一些諸如Oracle，SAP的商業(yè)系統(tǒng)c) 應(yīng)用服務(wù)器 大局部企業(yè)至少會(huì)擁有常見(jiàn)應(yīng)用服務(wù)器的一款：比方IBM WebSphere, Oracle WebLogic，JBOSS 或者Tomcat 2. 簡(jiǎn)單和靈活的整合：改變應(yīng)用消

31、除硬編碼密碼的方式應(yīng)該簡(jiǎn)單明了。整個(gè)方式應(yīng)該簡(jiǎn)化和縮短應(yīng)用程序向動(dòng)態(tài)密碼管理遷移的周期。3. 支持復(fù)雜的分布式環(huán)境：大型企業(yè)中分布式系統(tǒng)非常多見(jiàn)。例如，一個(gè)集中的數(shù)據(jù)中心和多很分支機(jī)構(gòu)運(yùn)行著連接到中心的應(yīng)用程序。網(wǎng)絡(luò)連接不是時(shí)時(shí)刻刻可靠的，偶爾也會(huì)斷網(wǎng)或發(fā)生震蕩，所以企業(yè)應(yīng)用程序的高可用性是非常重要的，方案應(yīng)該允許分支機(jī)構(gòu)在連接到總部的網(wǎng)絡(luò)發(fā)生故障時(shí)，依舊能夠運(yùn)行良好。預(yù)設(shè)賬號(hào)口令管理系統(tǒng)通地在改變業(yè)務(wù)系統(tǒng)請(qǐng)求預(yù)設(shè)帳號(hào)方式，由傳統(tǒng)的應(yīng)用內(nèi)置帳號(hào)密碼，更改為向預(yù)設(shè)賬號(hào)口令管理系統(tǒng)發(fā)起預(yù)設(shè)帳號(hào)密碼請(qǐng)求，通過(guò)對(duì)網(wǎng)絡(luò)傳輸中的請(qǐng)求、返回?cái)?shù)據(jù)進(jìn)展加密，對(duì)請(qǐng)求源進(jìn)展認(rèn)證與授權(quán)的方式，安全保證最新的帳號(hào)密碼信

32、息的供應(yīng)。云計(jì)算平臺(tái)目前，大多數(shù)用戶的數(shù)據(jù)中心都部署了VMware的云計(jì)算平臺(tái)，這個(gè)平臺(tái)可以很好的融入到信息安全體系當(dāng)中。賬號(hào)生命周期管理系統(tǒng)、加密系統(tǒng)、雙因素認(rèn)證系統(tǒng)、活動(dòng)目錄、內(nèi)嵌賬號(hào)管理、數(shù)據(jù)脫敏系統(tǒng)、統(tǒng)一安全運(yùn)營(yíng)平臺(tái)、文件服務(wù)器都是標(biāo)準(zhǔn)軟件應(yīng)用，都可以跑在VMware云計(jì)算平臺(tái)上。利用VMware可以方便的對(duì)信息安全子系統(tǒng)做快照、系統(tǒng)遷移、系統(tǒng)擴(kuò)容等，在發(fā)生故障時(shí)可快速恢復(fù)系統(tǒng)，為信息安全系統(tǒng)提供了良好的支撐平臺(tái)，降低了宕機(jī)時(shí)間，降低了維護(hù)成本，提高了工作效率。防火墻在數(shù)據(jù)中心部署獨(dú)立高性能防火墻，利用防火墻邏輯隔離出兩個(gè)區(qū)域，一個(gè)是內(nèi)部核心服務(wù)器及數(shù)據(jù)庫(kù)區(qū)域數(shù)據(jù)中心區(qū)，一個(gè)是信息安全

33、系統(tǒng)及其他對(duì)外服務(wù)器區(qū)域DMZ非軍事區(qū)。在主機(jī)賬號(hào)生命周期管理系統(tǒng)上線運(yùn)行后，數(shù)據(jù)中心防火墻需要配置安全策略，對(duì)FTP、SSH、Telnet、RDP以及所有未使用的端口進(jìn)展封閉，制止任何外部終端對(duì)數(shù)據(jù)中心主機(jī)直接發(fā)起有效連接，制止終端直接接觸數(shù)據(jù)中心的資產(chǎn)，只允許其通過(guò)管理系統(tǒng)來(lái)訪問(wèn)數(shù)據(jù)中心，但允許數(shù)據(jù)中心內(nèi)部主機(jī)之間的互相連接。在數(shù)據(jù)庫(kù)賬號(hào)生命周期管理系統(tǒng)上線運(yùn)行后，數(shù)據(jù)中心防火墻需要做安全策略，對(duì)數(shù)據(jù)庫(kù)端口進(jìn)展封閉，制止任何外部終端直接采用數(shù)據(jù)庫(kù)工具操作數(shù)據(jù)庫(kù)，但允許數(shù)據(jù)中心內(nèi)部主機(jī)之間的數(shù)據(jù)同步。統(tǒng)一安全運(yùn)營(yíng)平臺(tái)隨著信息架構(gòu)與應(yīng)用系統(tǒng)日漸龐大，現(xiàn)行IT架構(gòu)中，早已不是單一系統(tǒng)或是單一設(shè)備

34、的單純環(huán)境，系統(tǒng)中往往擁有各種安全設(shè)備、主機(jī)設(shè)備、網(wǎng)絡(luò)設(shè)備、應(yīng)用系統(tǒng)、中間件數(shù)據(jù)庫(kù)等等，每天產(chǎn)生巨大的日志文件，即使是派專人都無(wú)法處理過(guò)來(lái)，一個(gè)安全事件的追查，對(duì)于結(jié)合異質(zhì)系統(tǒng)、平臺(tái)的問(wèn)題上，卻又需要花費(fèi)大量的人力時(shí)間，對(duì)于問(wèn)題解決的時(shí)間花費(fèi)與異構(gòu)平臺(tái)問(wèn)題查找，都無(wú)法有效管理與降低成本。統(tǒng)一安全運(yùn)營(yíng)平臺(tái)可從單一位置實(shí)時(shí)搜尋、報(bào)警及報(bào)告任何使用者、網(wǎng)絡(luò)、系統(tǒng)或應(yīng)用程序活動(dòng)、配置變更及其它IT數(shù)據(jù)。消除設(shè)置多重主控臺(tái)的需要，從單一位置即可追查攻擊者的行蹤。現(xiàn)在可以執(zhí)行更為深入的分析，并更快速而徹底地予以回應(yīng)，降低風(fēng)險(xiǎn)及不安全暴露的程度。意外事件回應(yīng)在接獲任何可疑活動(dòng)的報(bào)警或報(bào)告時(shí)，統(tǒng)一安全運(yùn)營(yíng)平臺(tái)

35、將會(huì)是第一個(gè)處理的窗口。只需在統(tǒng)一安全運(yùn)營(yíng)平臺(tái)搜尋框中輸入你所掌握的詳細(xì)數(shù)據(jù)，包括IDS報(bào)警的來(lái)源及目標(biāo)IP，或是認(rèn)為其私人數(shù)據(jù)已外泄的客戶賬戶ID即可。統(tǒng)一安全運(yùn)營(yíng)平臺(tái)會(huì)立即傳回整個(gè)網(wǎng)絡(luò)中所有應(yīng)用程序、主機(jī)及裝置中，與該搜尋條件有關(guān)的每一事件。雖然開(kāi)場(chǎng)傳回的數(shù)據(jù)非常多，但統(tǒng)一安全運(yùn)營(yíng)平臺(tái)可協(xié)助用戶理出頭緒，并依照所希望的方式加以整理。其會(huì)自動(dòng)擷取及讓用戶篩選時(shí)間及其它字段、依據(jù)關(guān)鍵詞及模式將事件分類，因此用戶可快速處理完所有的活動(dòng)數(shù)據(jù)。假設(shè)用戶發(fā)現(xiàn)值得注意的事件，并希望加以追蹤，僅要點(diǎn)擊任何名詞，即可針對(duì)所點(diǎn)擊的詞匯執(zhí)行新搜尋。正因?yàn)榻y(tǒng)一安全運(yùn)營(yíng)平臺(tái)可為任何IT數(shù)據(jù)制作索引而不僅是安全性事件

36、或日志文件，因此用戶只需使用統(tǒng)一安全運(yùn)營(yíng)平臺(tái)，即可掌握全盤(pán)狀況。用戶可在此單一位置中，搜尋及發(fā)現(xiàn)攻擊者當(dāng)下可能執(zhí)行的程序、過(guò)去執(zhí)行的程序，并查看其可能已修改的配置變更。安全性監(jiān)控統(tǒng)一安全運(yùn)營(yíng)平臺(tái)可讓用戶非常容易跨越IT束縛監(jiān)控安全性事件；搜尋用戶路由器及防火墻日志文件中的數(shù)據(jù)流違反情況，尋找服務(wù)器及應(yīng)用程序上的違反情況，或是尋找未經(jīng)授權(quán)或不安全的配置變更。運(yùn)用統(tǒng)一安全運(yùn)營(yíng)平臺(tái)的趨勢(shì)分析、分類及執(zhí)行識(shí)別功能，即可快速識(shí)別極為復(fù)雜的使用情況，例如可疑的執(zhí)行及模式，或是網(wǎng)絡(luò)活動(dòng)的變化。報(bào)警功能可透過(guò)電子郵件、RSS、短信或觸發(fā)腳本寄送通知，可輕易與用戶現(xiàn)有的監(jiān)控主控臺(tái)整合。報(bào)警還能觸發(fā)自動(dòng)化動(dòng)作，以

37、便立即響應(yīng)特定狀況，譬如命令防火墻封鎖入侵者日后的數(shù)據(jù)流。變更偵測(cè)通過(guò)統(tǒng)一安全運(yùn)營(yíng)平臺(tái)，可持續(xù)監(jiān)測(cè)所有路徑上的檔案，無(wú)須另行部署其它代理程序。每次在用戶所監(jiān)控的路徑上參加、變更或刪除檔案時(shí)，統(tǒng)一安全運(yùn)營(yíng)平臺(tái)皆會(huì)記錄一個(gè)事件。用戶也可以讓統(tǒng)一安全運(yùn)營(yíng)平臺(tái)在每次整體檔案有所變更時(shí)，皆為其制作快照索引。假設(shè)已部署專用的變更監(jiān)控工具，亦無(wú)影響，只要使用統(tǒng)一安全運(yùn)營(yíng)平臺(tái)為其所記錄的事件制作索引，代替直接監(jiān)控變更即可。無(wú)論來(lái)源為何，只要索引中的數(shù)據(jù)變更，用戶就會(huì)接獲重大配置設(shè)定變更的警示，并能輕易追蹤配置變更的錯(cuò)誤癥結(jié)原因。安全性報(bào)告統(tǒng)一安全運(yùn)營(yíng)平臺(tái)為用戶提供單一位置，可跨越所有的IT根基構(gòu)造及技術(shù)產(chǎn)生報(bào)

38、告，包括跨越所有服務(wù)器、設(shè)備及應(yīng)用程序，為安全性事件、效能統(tǒng)計(jì)數(shù)據(jù)及配置變更提供報(bào)告，并使用趨勢(shì)圖表及摘要辨識(shí)異常及可疑變化。其報(bào)告采用交互式能讓用戶深入開(kāi)掘，以了解問(wèn)題的原因及影響。使用統(tǒng)一安全運(yùn)營(yíng)平臺(tái)可傳達(dá)用戶根基構(gòu)造的安全性 基本原那么、檢查存取控制，或是密切監(jiān)視使用者的行為，并為用戶的客戶、管理階層或同事制作自動(dòng)化的調(diào)度報(bào)表，或產(chǎn)生特定操作的報(bào)告。然后將報(bào)告結(jié)果列在儀表板上，為用戶組織中的資產(chǎn)管理人提供應(yīng)用程序及系統(tǒng)的實(shí)時(shí)檢查，以增加對(duì)狀況的掌握能力。安全運(yùn)維服務(wù)漏洞掃描服務(wù)：漏洞掃描結(jié)果、比照分析報(bào)告、漏洞情況匯總表系統(tǒng)加固服務(wù)：系統(tǒng)加固和優(yōu)化解決方案，系統(tǒng)加固實(shí)施報(bào)告輔助 基線評(píng)估

39、：對(duì)目標(biāo)系統(tǒng)進(jìn)展最小安全策略評(píng)估安全滲透測(cè)試服務(wù)：滲透測(cè)試方案，滲透測(cè)試報(bào)告安全設(shè)備巡檢服務(wù)：巡檢標(biāo)準(zhǔn)、巡檢報(bào)告系統(tǒng)安全評(píng)審服務(wù)：系統(tǒng)安全審核報(bào)告安全策略安全參謀咨詢服務(wù)：信息安全咨詢、安全規(guī)劃、解決方案咨詢。安全事件響應(yīng)：安全事件報(bào)告安全駐點(diǎn)服務(wù)：提供周報(bào)、月報(bào)、安全系統(tǒng)日常運(yùn)維操作安全工程實(shí)施：調(diào)研、訪談、業(yè)務(wù)需求實(shí)施效果各安全子系統(tǒng)上線后，給數(shù)據(jù)中心的安全管理來(lái)帶明顯的效果，對(duì)終端、用戶、賬號(hào)、主機(jī)、網(wǎng)絡(luò)、中間件、數(shù)據(jù)庫(kù)、應(yīng)用系統(tǒng)、安全管理等各個(gè)層面進(jìn)展有效的補(bǔ)充，形成一個(gè)縱深的防御體系，并結(jié)合日常的安全運(yùn)維服務(wù)，讓安全體系維持更新與運(yùn)作，對(duì)安全事件有主動(dòng)預(yù)防及事后回查的效果。針對(duì)終端接

40、入的管理完整掌控企業(yè)內(nèi)部所有IP/MAC地址資源，自動(dòng)收集、偵測(cè)IP/MAC地址。提供在線、離線、未使用及未授權(quán)IP地址使用者的信息?；贚ayer 2(MAC層)及Layer 3(IP層)阻斷網(wǎng)絡(luò)設(shè)備接入。自動(dòng)阻斷未授權(quán)MAC地址使用者接入網(wǎng)絡(luò)。自動(dòng)阻斷未授權(quán)IP地址使用者接入網(wǎng)絡(luò)。具備IP與MAC地址綁定功能，自動(dòng)阻斷非授權(quán)綁定的使用者接入網(wǎng)絡(luò)。自動(dòng)檢測(cè)IP地址沖突，并自動(dòng)阻斷非授權(quán)該IP使用者接入網(wǎng)絡(luò)。提供對(duì)重要應(yīng)用系統(tǒng)設(shè)備IP地址的保護(hù)能力。提供網(wǎng)絡(luò)上IP/MAC地址詳細(xì)信息的功能。自動(dòng)探測(cè)并阻斷網(wǎng)絡(luò)上未授權(quán)的DHCP服務(wù)器。具備偵測(cè)并阻斷未授權(quán)設(shè)備如無(wú)線AP。內(nèi)建Secured DH

41、CP 功能具備IP/MAC地址管理功能，防止靜態(tài)IP地址與DHCP IP范圍沖突具備硬件網(wǎng)絡(luò)設(shè)備偵測(cè)功能。支持外部數(shù)據(jù)的導(dǎo)入等聯(lián)動(dòng)功能。支持多重VLAN。Server與數(shù)據(jù)庫(kù)具備冗余功能。提供異常Event Log及報(bào)表功能?？奢敵鯡xcel文件形式提供各種情況的信息CSV、HTML、Txt文件輸出。提供API接口做第三方的拓展性開(kāi)發(fā)。針對(duì)敏感數(shù)據(jù)的使用管理根據(jù)用戶的不同級(jí)別，可以設(shè)置文件的不同使用權(quán)限和期限；實(shí)時(shí)監(jiān)控敏感文件使用者使用文件的情況；防止用戶非法拷貝、復(fù)制、打印、下載文件；防止用戶通過(guò)電子郵件、移動(dòng)硬盤(pán)、優(yōu)盤(pán)、軟盤(pán)等泄密；防止屏幕拷貝，屏幕錄制等使用第三方軟件非法操作；可以從服務(wù)

42、器端及時(shí)控制加密文件的使用權(quán)限及期限；可以進(jìn)展用戶、用戶組、安全策略的管理；根據(jù)工作流程建設(shè)策略，對(duì)用戶權(quán)限實(shí)現(xiàn)模塊化設(shè)置；可以把用戶的密鑰，權(quán)限與指定的臺(tái)式機(jī)，筆記本電腦進(jìn)展綁定，實(shí)現(xiàn)離線瀏覽；可以把用戶的密鑰，權(quán)限與指定的USB鎖進(jìn)展綁定，實(shí)現(xiàn)離線瀏覽；可以控制用戶的閱讀，打印次數(shù)；結(jié)合水印技術(shù)可以查找文件泄密渠道；針對(duì)敏感數(shù)據(jù)的訪問(wèn)管理采用SQL Proxy技術(shù)，動(dòng)態(tài)攔截SQL命令，并按照數(shù)據(jù)脫敏規(guī)那么對(duì)SQL命令進(jìn)展調(diào)整，不需更改和另行轉(zhuǎn)換數(shù)據(jù)庫(kù)實(shí)際內(nèi)容?？梢罁?jù)“數(shù)據(jù)庫(kù)、數(shù)據(jù)表、和字段名稱定義數(shù)據(jù)自動(dòng)脫敏規(guī)那么，并可以使用數(shù)據(jù)庫(kù)自帯的內(nèi)置函數(shù)，定制數(shù)據(jù)脫敏規(guī)那么。數(shù)據(jù)脫敏規(guī)那么支持：局

43、部脫敏例如：姓名“王大名王某某隱藏脫敏例如：密碼 “confidential依據(jù)“特定條件進(jìn)展脫敏例如：根據(jù)A字段的內(nèi)容，來(lái)決定是否對(duì)B字段進(jìn)展脫敏脫敏使用的字符，支持中英文各種標(biāo)準(zhǔn)字符；可對(duì)英文數(shù)字主鍵值數(shù)據(jù)如：身份證號(hào)碼進(jìn)展脫敏，并使應(yīng)用系統(tǒng)的主鍵值關(guān)聯(lián)查詢功能仍維持正常，不會(huì)因主鍵值脫敏后查不到資料。支持“*、等萬(wàn)用字符，可以彈性設(shè)定數(shù)據(jù)庫(kù)表和字段的名稱；支持“中英文編碼脫敏功能，支持BIG5與UNICODE編碼，不會(huì)因字符編碼長(zhǎng)度不同而導(dǎo)致中文脫敏后產(chǎn)生亂碼?？砂凑铡皵?shù)據(jù)庫(kù)用戶、連接數(shù)據(jù)庫(kù)的應(yīng)用系統(tǒng)名稱、主機(jī)名稱、時(shí)間、SQL命令關(guān)鍵字等多條件組合，來(lái)定義不同的脫敏規(guī)那么。針對(duì)主機(jī)設(shè)備

44、訪問(wèn)的管理建設(shè)UNIX類服務(wù)器、LINUX類服務(wù)器、Windows類服務(wù)器、網(wǎng)絡(luò)安全等重要設(shè)備的統(tǒng)一操作管理平臺(tái)，統(tǒng)一操作管理入口，并對(duì)用戶操作管理等網(wǎng)絡(luò)訪問(wèn)行為進(jìn)展控制，防止用戶直接接觸目標(biāo)服務(wù)器重要資源，構(gòu)建安全標(biāo)準(zhǔn)的服務(wù)器操作管理唯一通道。準(zhǔn)確識(shí)別用戶操作意圖，識(shí)別用戶輸入操作命令，并對(duì)用戶操作進(jìn)展限制。操作限制支持時(shí)間、用戶原始IP地址、目標(biāo)服務(wù)器地址、用戶名稱、系統(tǒng)帳號(hào)、使用的命令等策略因子。對(duì)高危命令要能自動(dòng)阻斷命令的執(zhí)行，對(duì)越權(quán)操作行為要能及時(shí)警告。用戶通過(guò)SSH、TELNET、RDP、 X-WINDOW、VNC 、FTP、SFTP、SCP等方式在服務(wù)器上的所有操作行為，都能做到

45、全記錄、全審計(jì)。在審計(jì)對(duì)象出現(xiàn)故障或有管理事故時(shí)，審計(jì)管理系統(tǒng)可以快速、準(zhǔn)確的定位查詢相關(guān)日志?；胤攀录恼麄€(gè)過(guò)程，用以問(wèn)題的解決和責(zé)任認(rèn)定。在服務(wù)器上所有的字符命令操作日志，都可以與第三方的syslog日志分析系統(tǒng)做無(wú)縫結(jié)合。 不在服務(wù)器上安裝任何代理軟件，設(shè)備的部署不影響企業(yè)正常的業(yè)務(wù)數(shù)據(jù)流，不會(huì)發(fā)生正常業(yè)務(wù)流單點(diǎn)故障。不會(huì)更改現(xiàn)有的網(wǎng)絡(luò)拓?fù)?，不?huì)改變用戶的使用習(xí)慣支持現(xiàn)有標(biāo)準(zhǔn)TELNET、SSH、SFTP、FTP、RDP等客戶端，不需安裝任何第三方特殊功能客戶端，不需要特殊客戶端軟件和本產(chǎn)品配合使用。日志可以長(zhǎng)期保存，以備日后查詢審計(jì)。針對(duì)數(shù)據(jù)庫(kù)訪問(wèn)的管理數(shù)據(jù)庫(kù)賬號(hào)生命周期管理系統(tǒng)可以實(shí)

46、現(xiàn)資源的統(tǒng)一，無(wú)論B/S、C/S架構(gòu)應(yīng)用如PL/SQL，還是其他計(jì)算機(jī)資源，都可以采用統(tǒng)一的瀏覽器方式發(fā)布，構(gòu)建統(tǒng)一應(yīng)用門(mén)戶，提高用戶訪問(wèn)體驗(yàn)，做到快速部署新增應(yīng)用系統(tǒng)；統(tǒng)一的應(yīng)用發(fā)布平臺(tái)，統(tǒng)一的應(yīng)用訪問(wèn)門(mén)戶，統(tǒng)一的接入方式，方便的應(yīng)用權(quán)限管理，支持單點(diǎn)登錄及雙因素認(rèn)證，一次登錄后用戶可以直觀的看到自己所能訪問(wèn)的應(yīng)用資源；數(shù)據(jù)采用集中方式管理，讓用戶自由選擇網(wǎng)點(diǎn)及設(shè)備進(jìn)展應(yīng)用訪問(wèn)，只有鼠標(biāo)、鍵盤(pán)、屏幕數(shù)據(jù)經(jīng)過(guò)網(wǎng)絡(luò)，大大加強(qiáng)了數(shù)據(jù)中心的安全性，杜絕泄密。由于網(wǎng)絡(luò)中不走實(shí)際應(yīng)用數(shù)據(jù)，所以對(duì)帶寬的需求是固定的一個(gè)終端100K即可，能夠有效降低訪問(wèn)帶寬，合理利用帶寬資源；可以方便的控制方便的控制訪問(wèn)數(shù)

47、據(jù)庫(kù)賬號(hào)生命周期管理系統(tǒng)的客戶端權(quán)限，如：本地打印、添加本地設(shè)備、映射本地目錄、虛擬化目錄訪問(wèn)、訪問(wèn)時(shí)間等；復(fù)雜的應(yīng)用構(gòu)造往往對(duì)終端的要求越來(lái)越高，如安裝眾多的插件、眾多的應(yīng)用端口、兼容性問(wèn)題、C/S架構(gòu)導(dǎo)致終端運(yùn)行緩慢、終端補(bǔ)丁升級(jí)、終端病毒感染、機(jī)器的老化等，維護(hù)的成本越來(lái)越高，數(shù)據(jù)庫(kù)賬號(hào)生命周期管理系統(tǒng)的建設(shè)，對(duì)終端的要求是只需要瀏覽器，對(duì)終端的配置及系統(tǒng)環(huán)境沒(méi)有太多要求，大大降低了維護(hù)的成本，并且只需要開(kāi)放80端口，防火墻的配置不需要再經(jīng)常變化，加強(qiáng)了安全性，降低了管理成本；方便的監(jiān)控應(yīng)用訪問(wèn)情況，對(duì)終端的應(yīng)用訪問(wèn)過(guò)程進(jìn)展有效監(jiān)控，并對(duì)訪問(wèn)行為進(jìn)展審計(jì)記錄；針對(duì)數(shù)據(jù)庫(kù)的審計(jì)數(shù)據(jù)庫(kù)不安全

48、配置；數(shù)據(jù)庫(kù)潛在弱點(diǎn)；數(shù)據(jù)庫(kù)用戶弱口令；數(shù)據(jù)庫(kù)軟件補(bǔ)丁層次；數(shù)據(jù)庫(kù)潛藏木馬等等。能夠針對(duì)TNS、TDS等協(xié)議進(jìn)展解析復(fù)原，包括數(shù)據(jù)訪問(wèn)的各項(xiàng)要素，如執(zhí)行的SQL命令、請(qǐng)求內(nèi)容、包長(zhǎng)度、操作回應(yīng)、作用數(shù)量、執(zhí)行時(shí)長(zhǎng)；以及客戶端及主機(jī)端IP、MAC地址、客戶端操作系統(tǒng)用戶名、主機(jī)名、端口、工具、及數(shù)據(jù)庫(kù)登錄用戶名、服務(wù)標(biāo)識(shí)等內(nèi)容。針對(duì)于數(shù)據(jù)庫(kù)的操作行為進(jìn)展實(shí)時(shí)檢測(cè)，根據(jù)預(yù)設(shè)置的風(fēng)險(xiǎn)控制策略，結(jié)合對(duì)數(shù)據(jù)庫(kù)活動(dòng)的實(shí)時(shí)監(jiān)控信息，進(jìn)展特征檢測(cè)，任何嘗試的攻擊操作都會(huì)被檢測(cè)到并進(jìn)展阻斷或告警。不僅支持對(duì)數(shù)據(jù)請(qǐng)求的報(bào)文進(jìn)展審計(jì)，同時(shí)應(yīng)對(duì)請(qǐng)求的返回結(jié)果進(jìn)展審計(jì)，如操作回應(yīng)、作用數(shù)量、執(zhí)行時(shí)長(zhǎng)等內(nèi)容，并能夠根據(jù)返回的回應(yīng)進(jìn)展審計(jì)策略定制。提供全方位的多層應(yīng)用層、中間層、數(shù)據(jù)庫(kù)層的訪問(wèn)審計(jì)，通過(guò)多層業(yè)務(wù)審計(jì)可實(shí)現(xiàn)數(shù)據(jù)操作原始訪問(wèn)者的準(zhǔn)確定位。提供針對(duì)用戶數(shù)據(jù)庫(kù)、表、字段、操作的審計(jì)規(guī)那么； 提供對(duì)存儲(chǔ)過(guò)程、函數(shù)、包的審計(jì)規(guī)那么； 提供對(duì)視圖、索引的審計(jì)規(guī)那么； 精細(xì)到表、字段、具體報(bào)文內(nèi)容的細(xì)粒度審計(jì)規(guī)那么，實(shí)現(xiàn)對(duì)敏感信息的精細(xì)監(jiān)控； 基于IP地址、MAC地址和端口號(hào)審計(jì)；提供可定義作用數(shù)量動(dòng)作門(mén)限，如SQL操作返回的記錄