中石化XX公司信息安全整體解決方案模板

某某公司信息安全建設(shè)方案建議書上海方正信息安全技術(shù)有限公司200

目錄第1章 信息安全建設(shè)背景 4第2章 信息安全建設(shè)需求分析 62.1 某某公司的網(wǎng)絡(luò)與應(yīng)用系統(tǒng)現(xiàn)狀 62.2 信息安全的需求來源分析 6 法律法規(guī)對信息安全的要求 6 行業(yè)性規(guī)范對信息安全的要求 7 信息系統(tǒng)風(fēng)險管理對信息安全的要求 82.3 具體的信息安全需求分析 9 網(wǎng)絡(luò)的安全風(fēng)險與需求分析 9 應(yīng)用的安全風(fēng)險與需求分析 11 終端的安全風(fēng)險與需求分析 13 管理的安全風(fēng)險與需求分析 15第3章 信息安全建設(shè)原則與依據(jù) 173.1 信息安全建設(shè)原則 173.2 信息安全建設(shè)的依據(jù) 18第4章 信息安全解決方案設(shè)計 194.1 邊界安全解決方案 19 防火墻系統(tǒng) 20 安全網(wǎng)關(guān) 20 遠(yuǎn)程訪問安全 23 入侵檢測系統(tǒng) 254.2 內(nèi)網(wǎng)安全解決方案 26 企業(yè)防病毒系統(tǒng) 27 終端安全管理 294.3 應(yīng)用安全解決方案 34 身份認(rèn)證 34 數(shù)據(jù)備份與存儲 344.4 安全管理解決方案 34 安全管理平臺的建立 34 安全運營中心（SOC） 364.5 安全服務(wù)解決方案 41 安全咨詢服務(wù) 41 安全評估服務(wù) 42 安全加固服務(wù) 44 日常維護(hù)服務(wù) 46 應(yīng)急響應(yīng)服務(wù) 47 安全培訓(xùn)服務(wù) 484.6 安全方案效益分析 49 安全方案的特點 49 安全方案的效益分析 49 安全方案的總結(jié) 494.7 方案中應(yīng)用的安全產(chǎn)品、安全服務(wù)列表 49第5章 安全方案的實施 505.1 項目實施方案 505.2 安全培訓(xùn)方案 505.3 安全測試和驗收 505.4 售后服務(wù)與技術(shù)支持體系 50第6章 附錄 516.1 公司介紹 516.2 產(chǎn)品介紹 516.3 成功案例 51信息安全建設(shè)背景信息化浪潮席卷全球，一種全新的先進(jìn)生產(chǎn)力的出現(xiàn)已經(jīng)把人類帶入了一個新的時代。網(wǎng)絡(luò)技術(shù)的發(fā)展極大地改變了人們的生活，工作模式，網(wǎng)上新聞、網(wǎng)上購物、遠(yuǎn)程教育、電子商務(wù)等等各種應(yīng)用層出不窮，世界各地的信息資源得到了高度的共享。顯示出對生產(chǎn)力變革的巨大作用。但隨著計算機(jī)以與互聯(lián)網(wǎng)在全球的迅猛發(fā)展，在帶來巨大的進(jìn)步與利益的同時，隨之而來的也是潛伏著的巨大的安全威脅，隨著全球互聯(lián)網(wǎng)的飛速發(fā)展，人們的日常生活、國家的正常運作，全球經(jīng)濟(jì)一體化、社會信息化、軍事信息化、金融、證券、保險、銀行、電信等等領(lǐng)域在享受著互聯(lián)網(wǎng)所帶來的便利的同時，也必須面對著脆弱的網(wǎng)絡(luò)所帶來的巨大安全隱患。信息安全的發(fā)展，從早期的只關(guān)注信息保密的通信保密（COMSEC）內(nèi)涵到關(guān)注信息與信息系統(tǒng)的保密性、完整性和可用性的信息安全（INFOSEC）時代，再到今天的信息保障（InformationAssurance-IA），信息安全已經(jīng)包含了五個主要內(nèi)容，即信息與信息系統(tǒng)的保密性、完整性、可用性、可控性和不可否認(rèn)性，單純的保密和靜態(tài)的保護(hù)已經(jīng)不能適應(yīng)時代的需要，而針對信息與信息系統(tǒng)的保護(hù)、檢測、反應(yīng)、恢復(fù)（PDRR）四個動態(tài)反饋環(huán)節(jié)構(gòu)成了信息保障模型概念的基礎(chǔ)。如何在用戶的現(xiàn)實網(wǎng)絡(luò)環(huán)境中真正體現(xiàn)和貫徹信息保障的基礎(chǔ)模型也是信息安全界的一個重要課題。美國國家安全局（NSA）編寫的《信息保障技術(shù)框架（IATF）》提出：信息保障離不開人、操作、技術(shù)三大要素，而從技術(shù)層面看，信息保障取決于對信息基礎(chǔ)設(shè)施實施名為“深層防御戰(zhàn)略”（Defense-in-Depth）的多層防護(hù)，具體就是要保護(hù)網(wǎng)絡(luò)基礎(chǔ)設(shè)施、保護(hù)飛地邊界、保護(hù)主機(jī)計算環(huán)境以與它們所依賴的支撐性基礎(chǔ)設(shè)施（KMI/PKI、檢測和響應(yīng)）幾個用戶網(wǎng)絡(luò)安全層面。信息保障深層防御戰(zhàn)略已經(jīng)得到不斷的發(fā)展，并且日益被廣泛采納，成為美國政府和工業(yè)界的信息與信息基礎(chǔ)設(shè)施的安全技術(shù)指南。同樣，隨著業(yè)務(wù)的拓展，網(wǎng)絡(luò)不斷的擴(kuò)展和日趨復(fù)雜，對內(nèi)對外服務(wù)不斷增多，保障網(wǎng)絡(luò)的安全運行是非常重要的。如果網(wǎng)絡(luò)在安全方面稍微有點漏洞，就有可能被黑客利用，截取帳號密碼、更改或刪除數(shù)據(jù)，后果相當(dāng)嚴(yán)重，直接帶來無法估量的經(jīng)濟(jì)損失。采用網(wǎng)絡(luò)安全技術(shù)和產(chǎn)品，部署網(wǎng)絡(luò)安全系統(tǒng)，可以極大地提高網(wǎng)絡(luò)系統(tǒng)的安全性，減少安全隱患，防止惡意侵害的發(fā)生。上海方正信息安全技術(shù)有限公司致力于為廣大用戶提供信息網(wǎng)絡(luò)安全服務(wù)和解決方案，在長期的信息安全實踐中，對深層防御戰(zhàn)略有著深刻的體會，并將它完全融合于我們的安全設(shè)計理念和設(shè)計體系之中。在某某公司網(wǎng)絡(luò)安全設(shè)計過程中，我們在充分了解用戶的網(wǎng)絡(luò)結(jié)構(gòu)和安全環(huán)境之上，對用戶的安全需求進(jìn)行了認(rèn)真、細(xì)致的分析。在為用戶進(jìn)行安全設(shè)計過程中，堅持深層防御戰(zhàn)略的設(shè)計思想和設(shè)計理念，力圖實現(xiàn)對某某公司網(wǎng)絡(luò)系統(tǒng)全方位、多層次的安全體系，從主機(jī)、網(wǎng)絡(luò)和網(wǎng)絡(luò)邊界幾個層面為某某公司建設(shè)一個安全的網(wǎng)絡(luò)環(huán)境，保障系統(tǒng)的正常運作。本方案首先介紹我們的安全設(shè)計理念和設(shè)計原則，正確的安全技術(shù)理念是安全方案的靈魂和基礎(chǔ)，更是方案中產(chǎn)品選擇的根據(jù)。沒有理念指導(dǎo)的方案本身就是不安全、不可靠的。在對用戶的網(wǎng)絡(luò)環(huán)境和安全需求進(jìn)行全面分析后，本方案提出了我們針對某某公司的安全解決方案并對方案進(jìn)行了詳細(xì)描述和特點介紹。最后，用戶還可以從本方案中得到上述建議方案的配置細(xì)節(jié)。我們在為用戶提供本方案的同時，還在附件中對上述方案中相關(guān)配置所涉與到的產(chǎn)品進(jìn)行了詳細(xì)的描述。

信息安全建設(shè)需求分析某某公司的網(wǎng)絡(luò)與應(yīng)用系統(tǒng)現(xiàn)狀（略）信息安全的需求來源分析根據(jù)國際標(biāo)準(zhǔn)ISO/IEC17799:2005《信息技術(shù)－信息安全管理業(yè)務(wù)規(guī)范》中對信息安全需求的來源定義。信息安全需求有三個主要來源：第一個來源是法律的、規(guī)定的和合同約定的要求。這些要求是一個組織、它的貿(mào)易伙伴、立約人和服務(wù)提供商都要滿足的；第二個來源是一個組織已經(jīng)制訂的特殊原則、目標(biāo)和需要，它們是用來支持信息處理操作的；第三個來源是組織風(fēng)險的評估。通過風(fēng)險評估，辨別出對資產(chǎn)的威脅、評價了組織對這種威脅的易損性和威脅發(fā)生的可能性，并且對可能的沖擊進(jìn)行了估計。從企業(yè)IT管理的角度來看，其中第一、第二個來源主要是法律與業(yè)務(wù)相關(guān)的硬性要求，即在IT安全建設(shè)方面必須滿足的內(nèi)容。而第三個來源則是信息系統(tǒng)本身所面臨的各種風(fēng)險與其應(yīng)當(dāng)采用的安全防護(hù)、安全管理等。下面我們分別針對以上的三個需求來源對某某公司的信息安全需求進(jìn)行定義。法律法規(guī)對信息安全的要求在我國信息安全保障體系的建設(shè)中，法律環(huán)境的建設(shè)是必不可少的一環(huán)，也可以說是至關(guān)重要的一環(huán)，信息安全的基本原則和基本制度、信息安全保障體系的建設(shè)、信息安全相關(guān)行為的規(guī)范、信息安全中各方權(quán)利義務(wù)的明確、違反信息安全行為的處罰，等等，都是通過相關(guān)法律法規(guī)予以明確的。有了一個完善的信息安全法律體系，有了相應(yīng)的嚴(yán)格司法、執(zhí)法的保障環(huán)境，有了廣大機(jī)關(guān)、企事業(yè)單位與個人對法律規(guī)定的遵守與應(yīng)盡義務(wù)的履行，才可能創(chuàng)造信息安全的環(huán)境，保障國家、經(jīng)濟(jì)建設(shè)和信息化事業(yè)的安全。目前我國現(xiàn)行法律法規(guī)與規(guī)章中，與信息安全直接相關(guān)的有65部，它們涉與網(wǎng)絡(luò)與信息系統(tǒng)安全、信息內(nèi)容安全、信息安全系統(tǒng)與產(chǎn)品、保密與密碼管理、計算機(jī)病毒與危害性程序防治、金融等特定領(lǐng)域的信息安全、信息安全犯罪制裁等多個領(lǐng)域，在文件形式上，有法律、有關(guān)法律問題的決定、司法解釋與相關(guān)文件、行政法規(guī)、法規(guī)性文件、部門規(guī)章與相關(guān)文件、地方性法規(guī)與地方政府規(guī)章與相關(guān)文件多個層次。這些信息安全法律法規(guī)體現(xiàn)了我國信息安全的基本原則，可以簡單歸納為國家安全、單位安全和個人安全相結(jié)合的原則，等級保護(hù)的原則，保障信息權(quán)利的原則，救濟(jì)原則，依法監(jiān)管的原則，技術(shù)中立原則，權(quán)利與義務(wù)統(tǒng)一的原則；而基本制度可以簡單歸納為統(tǒng)一領(lǐng)導(dǎo)與分工負(fù)責(zé)制度，等級保護(hù)制度，技術(shù)檢測與風(fēng)險評估制度，安全產(chǎn)品認(rèn)證制度，生產(chǎn)銷售許可制度，信息安全通報制度，備份制度等。國家在法律法規(guī)方面對信息安全的要求是企業(yè)信息安全建設(shè)的硬性要求。所以，企業(yè)進(jìn)行信息安全建設(shè)的時候，應(yīng)該首先滿足這些。因此法律法規(guī)的重要性讓其成為企業(yè)信息安全建設(shè)的首要需求。行業(yè)性規(guī)范對信息安全的要求我國現(xiàn)有信息安全相關(guān)法律規(guī)定普遍存在的問題是篇幅較小，規(guī)定得比較籠統(tǒng)，主要內(nèi)容集中在對物理環(huán)境的要求、行政管理的要求等方面，對于涉與信息安全的行為規(guī)范一般都規(guī)定的比較簡單，在具體執(zhí)行上指引性還不是很強(qiáng)；目前這些法律法規(guī)普遍在處罰措施方面規(guī)定得不夠具體，導(dǎo)致在信息安全領(lǐng)域?qū)嵤┨幜P時法律依據(jù)的不足；由于各個行業(yè)千差萬別，在一些特定的信息化應(yīng)用領(lǐng)域，相應(yīng)的信息安全規(guī)范相對欠缺，有待于進(jìn)一步發(fā)展。針對以上問題，就要求根據(jù)不同行業(yè)的不同應(yīng)用環(huán)境，制定相關(guān)的規(guī)范和政策性文件，并以此作為國家信息安全法律法規(guī)的有益補(bǔ)充。中國石化自2000年開展以ERP為主線的信息化建設(shè)以來，各項信息化建設(shè)事業(yè)蓬勃發(fā)展，信息化能力和水平有了很大提升，石化信息化整體面貌發(fā)生了明顯改觀。目前，ERP上線企業(yè)的總數(shù)已經(jīng)達(dá)到22家，而且多為上中下游的一些有影響的大型、特大型企業(yè)。電子商務(wù)系統(tǒng)截止到2004年10月底，網(wǎng)上物資采購成交額今年已達(dá)343.43億元；化工產(chǎn)品網(wǎng)上銷售量達(dá)179.39萬噸。甬滬寧管輸系統(tǒng)、二次物流優(yōu)化、煉化一體化MPIMS等一批供應(yīng)鏈優(yōu)化項目建成投用。企業(yè)生產(chǎn)層面信息系統(tǒng)和先進(jìn)過程控制系統(tǒng)進(jìn)一步擴(kuò)大推廣應(yīng)用范圍。標(biāo)準(zhǔn)化、網(wǎng)絡(luò)等信息基礎(chǔ)建設(shè)和信息服務(wù)水平得到進(jìn)一步重視和加強(qiáng)。為適應(yīng)工作需要，還建立了一支專門的信息化建設(shè)隊伍（石化盈科）。在信息化建設(shè)過程中，中石化堅定不移地執(zhí)行了“五統(tǒng)一”方針，就是統(tǒng)一規(guī)劃、統(tǒng)一標(biāo)準(zhǔn)、統(tǒng)一投資、統(tǒng)一建設(shè)、統(tǒng)一管理。按照“五統(tǒng)一”原則，總部建立了統(tǒng)一的組織領(lǐng)導(dǎo)機(jī)構(gòu)——ERP項目指導(dǎo)委員會，重大事項統(tǒng)一決策；制定了統(tǒng)一的建設(shè)規(guī)劃和建設(shè)策略，統(tǒng)一安排每年的實施計劃，編制了《中國石化ERP系統(tǒng)總體規(guī)劃》、《2002-2005年中國石化信息化建設(shè)目標(biāo)和任務(wù)》、《2004-2006年中國石化信息化發(fā)展計劃綱要》；提出關(guān)于ERP、供應(yīng)鏈、電子商務(wù)、網(wǎng)絡(luò)建設(shè)和信息系統(tǒng)安全等5個建設(shè)策略，理順了信息化的工作思路，明確了方向、目標(biāo)和任務(wù)，這些規(guī)劃、策略、辦法保證了中國石化信息化建設(shè)以健康、有序的步伐邁入高速發(fā)展的新階段，并不斷取得新的突破和進(jìn)展。信息系統(tǒng)風(fēng)險管理對信息安全的要求上面我們從法律法規(guī)和行業(yè)規(guī)范討論了石化行業(yè)信息安全的需求，這是信息安全建設(shè)的宏觀需求，具體到每一個企事業(yè)單位，還應(yīng)改明確其信息安全建設(shè)的微觀需求，因為信息安全是保障企事業(yè)單位業(yè)務(wù)的正常發(fā)展的，所以我們還需要從具體企事業(yè)單位的業(yè)務(wù)著手，分析其微觀的信息安全需求。下圖是石化行業(yè)的整個業(yè)務(wù)流程，石化行業(yè)的業(yè)務(wù)網(wǎng)里跑著不同油品的數(shù)據(jù)，這些數(shù)據(jù)實際就是資金。所以，企業(yè)必須保障這些數(shù)據(jù)的傳輸不中斷，以使企業(yè)業(yè)務(wù)運轉(zhuǎn)不會因安全問題停滯。近年來，中石化加快推進(jìn)以ERP為主線的信息化建設(shè)，積極開展地震資料處理、油藏描述、電子商務(wù)、供應(yīng)鏈技術(shù)、MES、先進(jìn)控制、加油IC卡等信息系統(tǒng)的推廣應(yīng)用，加強(qiáng)網(wǎng)絡(luò)、標(biāo)準(zhǔn)化等信息基礎(chǔ)建設(shè)，逐漸培養(yǎng)建立起了中國石化信息化管理、建設(shè)、運行維護(hù)和應(yīng)用四支隊伍，信息化建設(shè)走上了健康、有序、快速發(fā)展的軌道。為了保證中石化在嚴(yán)酷的競爭中取得勝利，除了嚴(yán)格按照《中國石化ERP系統(tǒng)總體規(guī)劃》、《2002-2005年中國石化信息化建設(shè)目標(biāo)和任務(wù)》、《2004-2006年中國石化信息化發(fā)展計劃綱要》等行業(yè)規(guī)范文件來指導(dǎo)工作，還要放開眼光，在不斷完善現(xiàn)有成果ERP、供應(yīng)鏈、電子商務(wù)、網(wǎng)絡(luò)建設(shè)的基礎(chǔ)上，建立起規(guī)范的信息安全制度、策略和方案，讓互聯(lián)網(wǎng)和信息技術(shù)真正為石化業(yè)務(wù)保駕護(hù)航。按照某某公司信息化建設(shè)總體規(guī)劃指南，安全系統(tǒng)建設(shè)應(yīng)該是一個系統(tǒng)的工程，應(yīng)該建立信息安全的完整體系。一個完整的安全體系由四個方面構(gòu)成：安全策略、保護(hù)、檢測和響應(yīng)。安全策略包括信息安全管理策略、信息安全策略、信息安全審計考核。保護(hù)是采用安全技術(shù)即方法來實現(xiàn)的，主要有防火墻、加密、認(rèn)證等。檢測是強(qiáng)制落實信息安全策略的有力工具。響應(yīng)是在檢測到安全漏洞和安全事件之后必須與時作出正確的響應(yīng)，從而把系統(tǒng)調(diào)整到安全狀態(tài)。信息安全的保護(hù)、檢測和響應(yīng)是一個相互緊密整合的整體。具體的信息安全需求分析網(wǎng)絡(luò)的安全風(fēng)險與需求分析所謂網(wǎng)絡(luò)安全風(fēng)險通常是指網(wǎng)絡(luò)結(jié)構(gòu)、網(wǎng)絡(luò)互聯(lián)、邊界訪問、網(wǎng)絡(luò)設(shè)備等所面臨的安全風(fēng)險。某某公司將面臨如下的網(wǎng)絡(luò)安全風(fēng)險：內(nèi)部網(wǎng)絡(luò)與外部網(wǎng)絡(luò)互連的風(fēng)險在某某公司，一共有兩類內(nèi)外網(wǎng)之間的連接：總公司與分支機(jī)構(gòu)之間的專線互連；總公司與分支機(jī)構(gòu)或合作伙伴通過Internet的連接。專線互連相對來講安全性較高，一般來說專線互連的安全性主要關(guān)注的是物理方面的安全，包括物理拓?fù)?、鏈路防盜、防竊聽、路由器安全等。關(guān)于這方面的安全不是本方案的考慮重點，在此我們不在贅述。在網(wǎng)絡(luò)互連上看，我們更關(guān)注通過Internet的連接的風(fēng)險問題。因為我們認(rèn)為，關(guān)于連接的安全風(fēng)險主要來自于Internet。基于Internet公網(wǎng)的開放性、國際性與自由性，網(wǎng)絡(luò)系統(tǒng)面臨的安全威脅主要來自黑客的攻擊。如果外網(wǎng)的Web服務(wù)器或郵件服務(wù)器受到外部攻擊，造成安全受損，則這些機(jī)器有可能被黑客利用成為跳板，進(jìn)而攻擊網(wǎng)絡(luò)中的其他機(jī)器，例如假冒管理員給內(nèi)網(wǎng)用戶發(fā)郵件，誘使用戶執(zhí)行一些反彈型木馬程序來控制內(nèi)網(wǎng)機(jī)器。如果內(nèi)網(wǎng)沒有采取整體的安全防護(hù)措施，一旦內(nèi)網(wǎng)機(jī)器中招后整個內(nèi)網(wǎng)就完全暴露在攻擊者面前，這時攻擊者就可以利用網(wǎng)絡(luò)設(shè)備、系統(tǒng)和數(shù)據(jù)庫漏洞、遠(yuǎn)程溢出、ARP欺騙、網(wǎng)絡(luò)監(jiān)聽、郵件木馬、SQL腳本注入等手段來獲得重要服務(wù)器的控制權(quán)，甚至控制整個網(wǎng)絡(luò)。目前在某某公司的信息化項目中，公司總部同聯(lián)網(wǎng)的分支與合作伙伴間的數(shù)據(jù)傳輸應(yīng)采用特別的保護(hù)措施。物理隔離或?qū)＞W(wǎng)方式是最直接的解決辦法，但他們不符合信息數(shù)字化建設(shè)和資源共享的潮流，而且投入費用也較高，顯然不是長遠(yuǎn)之計。而常規(guī)聯(lián)網(wǎng)方式又必須面對機(jī)密信息在開放環(huán)境中被竊取或篡改等安全性問題，由于TCP/IP協(xié)議固有的開放性和互聯(lián)性，這種安全隱患是肯定存在的。因此，公司總部同聯(lián)網(wǎng)的分支與合作伙伴間的機(jī)密數(shù)據(jù)進(jìn)行傳輸時必須加密，保證數(shù)據(jù)在網(wǎng)上傳輸?shù)臋C(jī)密性、私有性，最終提高數(shù)據(jù)傳輸環(huán)節(jié)的安全性。內(nèi)部網(wǎng)絡(luò)運行的安全風(fēng)險據(jù)Gartner與IDC的相關(guān)調(diào)查報告資料顯示，在已有的網(wǎng)絡(luò)安全攻擊事件中約有70%是來自內(nèi)部網(wǎng)絡(luò)的侵犯。首先，各節(jié)點內(nèi)部網(wǎng)中用戶之間通過網(wǎng)絡(luò)共享網(wǎng)絡(luò)資源。對于常用的操作系統(tǒng)Windows，其網(wǎng)絡(luò)共享的數(shù)據(jù)便是局域網(wǎng)所有用戶都可讀甚至可寫，這樣就可能因無意中把重要的涉密信息或個人隱私信息存放在共享目錄下，因此造成信息泄漏。另外，內(nèi)部管理人員有意或者無意泄漏系統(tǒng)管理員的用戶名、口令等關(guān)鍵信息；泄漏內(nèi)部網(wǎng)的網(wǎng)絡(luò)結(jié)構(gòu)以與重要信息的分布情況，甚至存在內(nèi)部人員編寫程序通過網(wǎng)絡(luò)進(jìn)行傳播，或者故意把黑客程序放在共享資源目錄做個陷阱，乘機(jī)控制并入侵他人主機(jī)。因此，網(wǎng)絡(luò)安全不僅要防范外部網(wǎng)，同時更防范內(nèi)部網(wǎng)。關(guān)于內(nèi)部網(wǎng)運行的安全風(fēng)險防護(hù)方面主要是保證網(wǎng)絡(luò)結(jié)構(gòu)的安全、在網(wǎng)絡(luò)層加強(qiáng)訪問控制能力、加強(qiáng)對攻擊的實時檢測能力和先于入侵者發(fā)現(xiàn)網(wǎng)絡(luò)種存在漏洞的能力；加強(qiáng)全網(wǎng)的病毒防范能力。具體可以概括為：在某某公司網(wǎng)絡(luò)中，整個網(wǎng)絡(luò)的安全首先要確保網(wǎng)絡(luò)設(shè)備的安全，保證非授權(quán)用戶不能訪問任一臺服務(wù)器、路由器、交換機(jī)或防火墻等網(wǎng)絡(luò)設(shè)備。內(nèi)部網(wǎng)絡(luò)與外部網(wǎng)絡(luò)、內(nèi)部網(wǎng)絡(luò)與內(nèi)部網(wǎng)絡(luò)之間和各子業(yè)務(wù)系統(tǒng)之間，考慮采用硬件防火墻設(shè)備進(jìn)行邏輯隔離，控制來自內(nèi)外網(wǎng)絡(luò)的用戶對重要業(yè)務(wù)系統(tǒng)的訪問。加強(qiáng)對內(nèi)部用戶訪問外部網(wǎng)絡(luò)的控制。一般來說，只允許內(nèi)部用戶訪問Internet上的HTTP、、郵件等服務(wù)，而不允許訪問更多的服務(wù)；更進(jìn)一步的是要能夠控制內(nèi)部用戶訪問外部的什么網(wǎng)站、網(wǎng)頁。建立一個完善的網(wǎng)絡(luò)防病毒系統(tǒng)，實現(xiàn)對網(wǎng)絡(luò)病毒防護(hù)的集中控制管理。網(wǎng)絡(luò)防病毒體系應(yīng)包括：網(wǎng)關(guān)級的病毒防護(hù)、服務(wù)器級的病毒防護(hù)、群件級（主要指郵件系統(tǒng)）的病毒防護(hù)以與個人主機(jī)級別的病毒防護(hù)，所有的病毒防護(hù)組建均應(yīng)能集中控制，并具備很強(qiáng)的擴(kuò)展能力。由于入侵具有不可預(yù)測性，網(wǎng)絡(luò)安全的防御體系也要求是動態(tài)的，而非靜態(tài)的。因此，應(yīng)當(dāng)建立實時入侵檢測系統(tǒng)，以便與時發(fā)現(xiàn)各種可能的攻擊企圖，與時采取相應(yīng)的應(yīng)對措施，入侵檢測的監(jiān)測點部署在網(wǎng)絡(luò)服務(wù)器VLAN和核心交換機(jī)與防火墻之間，監(jiān)控局域網(wǎng)端口進(jìn)出的數(shù)據(jù)包。作為動態(tài)防御體系的有機(jī)組成部分，建立網(wǎng)絡(luò)安全評估措施也是必需的。只有先于入侵者發(fā)現(xiàn)網(wǎng)絡(luò)中問題所在，才能更有效地降低安全風(fēng)險，改被動防御為積極主動防御，使我公司網(wǎng)路系統(tǒng)更安全，確保系統(tǒng)業(yè)務(wù)的正常穩(wěn)步運營。實際上，關(guān)于內(nèi)部網(wǎng)絡(luò)的安全防護(hù)是一個整體而系統(tǒng)的工程，整個動態(tài)的防御體系缺一不可，任何一個環(huán)節(jié)的缺失都是造成完全風(fēng)險的漏洞，從而造成不安全因素。應(yīng)用的安全風(fēng)險與需求分析信息系統(tǒng)平臺以與信息系統(tǒng)安全建設(shè)的最終目標(biāo)是保證最終的應(yīng)用系統(tǒng)正常使用。比如網(wǎng)絡(luò)基礎(chǔ)設(shè)施的建設(shè)是保證信息系統(tǒng)應(yīng)用的承載平臺；而信息安全則是保證這個承載平臺上是應(yīng)用安全、保密、可用。因此，應(yīng)用系統(tǒng)的安全風(fēng)險分析是信息安全最重要的部分，因為應(yīng)用系統(tǒng)的安全可靠是信息系統(tǒng)建設(shè)的終目標(biāo)。在這里，我們分別從操作系統(tǒng)平臺、應(yīng)用平臺與數(shù)據(jù)庫平臺三個方面分別來對應(yīng)用系統(tǒng)的安全風(fēng)險進(jìn)行分析與總結(jié)。操作系統(tǒng)風(fēng)險分析系統(tǒng)安全通常是指網(wǎng)絡(luò)操作系統(tǒng)、應(yīng)用系統(tǒng)的安全。對一個網(wǎng)絡(luò)系統(tǒng)而言操作系統(tǒng)或應(yīng)用系統(tǒng)存在不安全因素，將是黑客攻擊得手的關(guān)鍵因素，因黑客攻擊某網(wǎng)絡(luò)系統(tǒng)，一般都是通過攻擊軟件掃描該網(wǎng)絡(luò)系統(tǒng)中主機(jī)是否存在安全漏洞，并通過可利用的安全漏洞進(jìn)行攻擊或控制這臺主機(jī)，為以后進(jìn)一步攻擊打下基礎(chǔ)。我們都知道就目前的操作系統(tǒng)或應(yīng)用系統(tǒng)，無論是微軟的Windows系統(tǒng)，還是其它任何商用UNIX操作系統(tǒng)以與其它廠商開發(fā)的應(yīng)用系統(tǒng)都存在著各種各樣的漏洞，而這些漏洞都將存在重大安全隱患。但是從實際應(yīng)用上，系統(tǒng)的安全程度與對其進(jìn)行安全配置與系統(tǒng)的應(yīng)用面有很大關(guān)系。在整個某某公司網(wǎng)絡(luò)系統(tǒng)中，包含的設(shè)備有各種服務(wù)器、路由器/交換機(jī)等。在服務(wù)器上主要有操作系統(tǒng)、數(shù)據(jù)庫系統(tǒng)和應(yīng)用軟件系統(tǒng)；路由器、交換機(jī)上也有相應(yīng)的操作系統(tǒng)。所有的這些設(shè)備、軟件系統(tǒng)都或多或少地存在著各種各樣的“后門”和漏洞，這些都是重大的安全隱患。一旦被利用并攻擊，將帶來不可估量的損失。如前段時間網(wǎng)絡(luò)上流傳非常兇猛的網(wǎng)絡(luò)蠕蟲病毒，就是一個以微軟公司W(wǎng)indows系列操作系統(tǒng)的一個漏洞為基礎(chǔ)的破壞性、傳染性都很強(qiáng)的蠕蟲病毒。操作系統(tǒng)如果沒有采用相應(yīng)的安全配置，則其是漏洞百出，掌握一般攻擊技術(shù)的人都可能入侵得手，如果進(jìn)行安全配置，比如：給安全漏洞打上補(bǔ)丁、關(guān)閉一些不常用的服務(wù)、禁止開放一些不常用而又比較敏感的端口等，則入侵者要成功進(jìn)入內(nèi)部網(wǎng)是不容易的，這需要相當(dāng)高的技術(shù)水平與相當(dāng)長時間，因此應(yīng)正確估價自己的網(wǎng)絡(luò)風(fēng)險，并根據(jù)自己的網(wǎng)絡(luò)風(fēng)險大小做出相應(yīng)的安全解決方案。應(yīng)用風(fēng)險分析對于某某公司的應(yīng)用系統(tǒng)的安全涉與很多方面。應(yīng)用系統(tǒng)是動態(tài)的、不斷變化的。應(yīng)用的安全性也是動態(tài)的。這就需要我們對不同的應(yīng)用，檢測安全漏洞，采取相應(yīng)的安全措施，降低應(yīng)用的安全風(fēng)險。資源共享某某公司網(wǎng)絡(luò)系統(tǒng)內(nèi)部有著核心的數(shù)據(jù)。而辦公網(wǎng)絡(luò)應(yīng)用通常是共享網(wǎng)絡(luò)資源，比如文件共、打印機(jī)共享等。由此就可能存在著：同事有意、無意把硬盤中重要信息目錄共享，長期暴露在網(wǎng)絡(luò)鄰居上，可能被外部人員輕易偷取或被內(nèi)部其他員工竊取并傳播出去造成泄密，因為缺少必要的訪問控制策略。郵件系統(tǒng)電子郵件為網(wǎng)系統(tǒng)用戶提供電子郵件應(yīng)用。內(nèi)部網(wǎng)用戶能夠進(jìn)行電子郵件發(fā)送和接收這就存在被黑客跟蹤或收到一些特洛伊木馬、病毒程序等，由于許多用戶安全意識比較淡薄，對一些來歷不明的郵件，沒有警惕性，給入侵者提供機(jī)會，給系統(tǒng)帶來不安全因素。應(yīng)用系統(tǒng)對于某某公司業(yè)務(wù)系統(tǒng)，比如ERP系統(tǒng)，在通訊過程中，如何對雙方進(jìn)行認(rèn)證，以保證數(shù)據(jù)通訊的雙方身份的正確性？在通訊完成后，如何保證通訊的任何一方無法否認(rèn)已發(fā)送（防抵賴）過相應(yīng)的數(shù)據(jù)，進(jìn)行抵賴？所以，對這種基于網(wǎng)絡(luò)的應(yīng)用安全性要進(jìn)行充分考慮。目前，應(yīng)用系統(tǒng)面對的安全風(fēng)險主要有：用戶身份假冒：非法用戶假冒合法用戶的身份訪問應(yīng)用資源，如攻擊者通過各種手段取得應(yīng)用系統(tǒng)的一個合法用戶的帳號訪問應(yīng)用資源，或是一個內(nèi)部的合法用戶盜用領(lǐng)導(dǎo)的用戶帳號訪問應(yīng)用資源。用戶身份假冒的風(fēng)險來源主要有兩點：一是應(yīng)用系統(tǒng)的身份認(rèn)證機(jī)制比較薄弱，如把用戶信息（用戶名、口令）在網(wǎng)上明文傳輸，造成用戶信息泄漏；二是用戶自身安全意識不強(qiáng)，如使用簡單的口令，或把口令記在計算機(jī)旁邊。非授權(quán)訪問：非法用戶或者合法用戶訪問在其權(quán)限之外的系統(tǒng)資源。其風(fēng)險來源于兩點：一是應(yīng)用系統(tǒng)沒有正確設(shè)置訪問權(quán)限，使合法用戶通過正常手段就可以訪問到不在權(quán)限范圍之內(nèi)的資源；二是應(yīng)用系統(tǒng)中存在一些后門、隱通道、陷阱等，使非法用戶（特別是系統(tǒng)開發(fā)人員）可以通過非法的途徑進(jìn)入應(yīng)用系統(tǒng)。數(shù)據(jù)竊取、篡改、重放攻擊、抵賴：攻擊者通過偵聽網(wǎng)絡(luò)上傳輸?shù)臄?shù)據(jù)，竊取河北聯(lián)通的重要數(shù)據(jù)，或以此為基礎(chǔ)實現(xiàn)進(jìn)一步的攻擊。包括：攻擊者利用網(wǎng)絡(luò)竊聽工具竊取經(jīng)由網(wǎng)絡(luò)傳輸?shù)臄?shù)據(jù)包，通過分析獲得重要的信息；內(nèi)部用戶通過網(wǎng)絡(luò)偵聽獲取在網(wǎng)絡(luò)上傳輸?shù)挠脩魩ぬ枺么藥ぬ栐L問應(yīng)用資源；攻擊者篡改網(wǎng)絡(luò)上傳輸?shù)臄?shù)據(jù)包，使信息的接收方接收到不正確的信息，影響正常的工作；信息發(fā)送方或接收方抵賴曾經(jīng)發(fā)送過或接收到了信息。數(shù)據(jù)庫系統(tǒng)風(fēng)險分析隨著中石化信息化建設(shè)的迅猛發(fā)展，計算機(jī)網(wǎng)絡(luò)系統(tǒng)中保存的關(guān)鍵數(shù)據(jù)的量愈來愈大，許多數(shù)據(jù)要保存應(yīng)用數(shù)十年以上，甚至是永久性保存。數(shù)據(jù)安全性問題愈來愈突出。如何化解數(shù)據(jù)風(fēng)險，避免人為的和不可抗拒的自然災(zāi)害和計算機(jī)軟硬件故障造成的數(shù)據(jù)破壞，是企業(yè)應(yīng)用安全問題的重要一環(huán)。在一個網(wǎng)絡(luò)中，如果服務(wù)器失敗了，可以由另外一個服務(wù)器接管，而數(shù)據(jù)丟失了，則會造成永遠(yuǎn)無法彌補(bǔ)的損失，因此，數(shù)據(jù)的可靠性尤為重要。如果系統(tǒng)缺乏數(shù)據(jù)備份方案，一旦數(shù)據(jù)丟失，將造成永久性破壞，帶來不能挽回的損失。而好的數(shù)據(jù)備份方案，使得系統(tǒng)無論在何種災(zāi)難性情況下，都可得到有效的恢復(fù)。因此，業(yè)務(wù)的持續(xù)性計劃與災(zāi)難恢復(fù)計劃，也是企業(yè)信息化建設(shè)的重要組成部分。合理的的備份與容災(zāi)計劃也要包含在信息安全建設(shè)的總體規(guī)劃之中。終端的安全風(fēng)險與需求分析對于企業(yè)級用戶，在開展電子化辦公和業(yè)務(wù)處理的過程中，已經(jīng)普遍使用了計算機(jī)系統(tǒng)。在這些計算機(jī)設(shè)備中，除了少量采用大/中/小型機(jī)、服務(wù)器之外，多數(shù)都采用桌面級的PC或PC服務(wù)器。如何保護(hù)這些終端設(shè)備安全使用，并且有效地加以管理，成為企業(yè)和員工普遍關(guān)心的問題。作為企業(yè)級用戶的信息主管或IT/網(wǎng)絡(luò)管理員，在安全保障工作中可能面臨各種問題：對內(nèi)部桌面終端資產(chǎn)狀況缺乏了解。有哪些設(shè)備、哪些軟件、配置如何、都發(fā)生了哪些變化等情況，往往只能通過人工登記的辦法進(jìn)行管理。對資產(chǎn)的流失和隨意安裝軟件的現(xiàn)象無能為力。雖然有內(nèi)部IT管理制度，但隨意使用磁盤拷貝來歷不明的軟件、使用Modem撥號上網(wǎng)等現(xiàn)象無法制止，可能導(dǎo)致設(shè)備濫用、病毒傳播、數(shù)據(jù)泄密等。員工使用的PC往往是（外部或內(nèi)部）黑客入侵的目標(biāo)，也是蠕蟲（例如沖擊波）利用傳播擴(kuò)散的主要途徑。桌面PC由于缺乏科學(xué)統(tǒng)一的管理控制，難以防范黑客和蠕蟲攻擊。員工在上班時間經(jīng)常上網(wǎng)、網(wǎng)上聊天、玩游戲，很大程度上降低了勞動生產(chǎn)力水平，對此缺乏技術(shù)手段加以限制。雖然安裝部署了防病毒軟件，但仍然依賴病毒特征庫。對于蠕蟲攻擊、木馬、未知病毒的防范，往往力不從心。希望借助新的措施，實現(xiàn)對惡意代碼的主動的綜合防范。移動辦公的筆記本電腦可能會從外部引入新的安全隱患，但缺乏保護(hù)手段。計算機(jī)終端不受控制地連接到外部網(wǎng)絡(luò)，防不勝防地引入各種安全威脅，并且在內(nèi)部網(wǎng)絡(luò)傳播。外來人員未經(jīng)同意就將筆記本電腦接入你單位的網(wǎng)絡(luò)，可能會非法獲取資料、偷偷地在某個存在漏洞的地方種植木馬、或者進(jìn)行其它你想不到的網(wǎng)絡(luò)入侵破壞。希望在非法電腦接入網(wǎng)絡(luò)的時候能夠與時發(fā)現(xiàn)并阻止其活動。員工對安全技術(shù)了解有限，管理員也為此可能經(jīng)常忙得不可開交。希望通過集中管理實現(xiàn)對所有計算機(jī)終端的有效保護(hù)?！鎸τ嬎銠C(jī)終端的諸多安全問題，我們需要采取行之有效的措施加以解決。傳統(tǒng)解決方案的局限性信息安全措施有很多，每一種措施都能起到它自身應(yīng)有的作用。但當(dāng)我們的視角必須關(guān)注到計算機(jī)桌面終端的安全時，以往的措施卻存在無法回避的不足：防火墻的不足：防外不防內(nèi)。它側(cè)重于防止外部網(wǎng)絡(luò)對內(nèi)部網(wǎng)絡(luò)攻擊，但對于網(wǎng)絡(luò)內(nèi)部計算機(jī)終端發(fā)起的攻擊難以防范。入侵檢測、漏洞掃描的不足：針對網(wǎng)絡(luò)入侵攻擊行為和系統(tǒng)漏洞，重點在發(fā)現(xiàn)問題，但并不真正解決問題；防病毒軟件、反間諜軟件的不足：依賴已知特征庫完成識別處理，所謂的“識別未知病毒”并不準(zhǔn)確，對于新的安全問題難以做到提前主動預(yù)防，應(yīng)對大規(guī)模惡意代碼攻擊事件的與時性也往往不能得到良好保證。主機(jī)保護(hù)系統(tǒng)的不足：目前主要針對關(guān)鍵服務(wù)器、多數(shù)針對Unix類的系統(tǒng)，成本很高；對于使用廣泛的計算機(jī)終端，保護(hù)手段相對匱乏。保障終端安全的思路為了有針對性地解決計算機(jī)終端安全問題，就必須因地制宜，圍繞計算機(jī)終端本身采用相應(yīng)的安全措施進(jìn)行保護(hù)和管理。終端安全應(yīng)涉與到兩個關(guān)鍵詞：保護(hù)、管理。保護(hù)的目標(biāo)：就是要保障計算機(jī)終端安全使用，做到數(shù)據(jù)安全、系統(tǒng)安全、網(wǎng)絡(luò)安全、應(yīng)用安全。具體可通過防止惡意代碼傳播、控制網(wǎng)絡(luò)訪問、限制資源濫用、用戶行為控制等方式實現(xiàn)。管理的目標(biāo)：就是要通過企業(yè)級的集中控制實現(xiàn)統(tǒng)一管理。一方面，集中收集終端信息、統(tǒng)一監(jiān)控管理；另一方面，將企業(yè)級的安全策略分配落實到所有計算機(jī)客戶終端，強(qiáng)制執(zhí)行安全策略。整個終端安全管理過程應(yīng)圍繞終端應(yīng)用展開進(jìn)行。此外，還應(yīng)提供適合企業(yè)應(yīng)用需要的應(yīng)用監(jiān)管和安全審計，保持安全管理的完整性。管理的安全風(fēng)險與需求分析管理是網(wǎng)絡(luò)安全得到保證的重要組成部分。責(zé)權(quán)不明，管理混亂、安全管理制度不健全與缺乏可操作性等都可能引起管理安全的風(fēng)險。管理的安全風(fēng)險主要可以分為兩類：技術(shù)層面的管理風(fēng)險和行政層面的管理風(fēng)險。技術(shù)層面的管理風(fēng)險技術(shù)層的管理風(fēng)險主要來自于相應(yīng)的信息系統(tǒng)本身的可管理性風(fēng)險。一個完善合理的信息安全解決方案首先要考慮的是企業(yè)網(wǎng)絡(luò)資源（設(shè)備與應(yīng)用）的可管理性。傳統(tǒng)的IT管理觀念將IT環(huán)境按照IT元素分類，分割為：網(wǎng)絡(luò)管理、系統(tǒng)管理、應(yīng)用管理等多個分離的層次，使得業(yè)界紛紛發(fā)展分別針對各個層次的IT元素管理工具。長期以來用戶只能按照這樣的分類模式分散的選擇管理工具軟件，使得被管理的各個相關(guān)環(huán)節(jié)被人為的隔離，IT管理與業(yè)務(wù)管理脫節(jié)，無法更好地觀察、管理、衡量和報告IT給業(yè)務(wù)帶來的價值。更嚴(yán)重的是，給網(wǎng)絡(luò)和業(yè)務(wù)的進(jìn)一步擴(kuò)展和升級設(shè)置了重大的隱患。每一次改造和升級，原有的監(jiān)控工具和維護(hù)人員都涉與巨大的再投入和再集成，以致無邊。從安全技術(shù)而言，網(wǎng)絡(luò)安全要靠一個包括防火墻、入侵檢測、訪問控制、防病毒、安全審計、身份認(rèn)證、加密等多項技術(shù)的安全體系來實現(xiàn)。這樣就需要用一個集中式的管理平臺來總體配置、調(diào)控這個多層面、分布式的系統(tǒng)，實現(xiàn)對各種網(wǎng)絡(luò)安全資源的集中監(jiān)控、統(tǒng)一策略管理、智能審計與多種安全功能模塊之間的互動，使得網(wǎng)絡(luò)安全管理工作由繁變簡，更為有效。因此，從技術(shù)層面上，我們將安全管理風(fēng)險主要總結(jié)為以下兩點：安全管理平臺：安全管理平臺是多種安全技術(shù)、產(chǎn)品、工具得以充分發(fā)揮作用的基礎(chǔ)保證，也是全局安全策略的有機(jī)組成部分。安全解決方案并不是單一的安全產(chǎn)品堆砌。為了使各種安全產(chǎn)品能夠協(xié)調(diào)工作，需要統(tǒng)一、標(biāo)準(zhǔn)的安全管理平臺對其進(jìn)行綜合控制；安全產(chǎn)品的風(fēng)險管理：安全解決方案不可避免的要使用到各種各樣的安全技術(shù)與安全產(chǎn)品來實現(xiàn)相應(yīng)的安全目的。但當(dāng)在信息與網(wǎng)絡(luò)中部署了相應(yīng)的安全產(chǎn)品和安全技術(shù)后，其對原有信息的影響也要充分考慮，這種影響不僅僅性能、易用性等方面的影響，同時也包括相關(guān)的安全影響。因此安全產(chǎn)品的風(fēng)險也需要在整體解決方案中體現(xiàn)；行政層面的管理風(fēng)險信息安全建設(shè)是一個復(fù)雜而系統(tǒng)的過程，很多企業(yè)在采用了各種各樣的安全產(chǎn)品與安全技術(shù)后，企業(yè)還是會面臨各式各樣的安全問題。比如投入大量的人力物力建設(shè)完整體防病毒方案里，內(nèi)網(wǎng)里還會有病毒、蠕蟲等泛濫。為什么會出現(xiàn)這樣情況呢？在企業(yè)內(nèi)部，諸如內(nèi)部管理人員或職員把內(nèi)部網(wǎng)絡(luò)結(jié)構(gòu)、管理員用戶名與口令以與系統(tǒng)的一些重要信息傳播給外人帶來的信息泄漏風(fēng)險；機(jī)房重地卻是任何都可以進(jìn)進(jìn)出出，來去自由。存有惡意的入侵者便有機(jī)會得到入侵的條件。內(nèi)部不滿的職員有的可能熟悉服務(wù)器、小程序、腳本和系統(tǒng)的弱點。利用網(wǎng)絡(luò)開些小玩笑，甚至破壞。如傳出至關(guān)重要的信息、錯誤地進(jìn)入數(shù)據(jù)庫、刪除數(shù)據(jù)等等?？雌饋硎羌夹g(shù)問題導(dǎo)致的結(jié)果，但往往深入的調(diào)查后會發(fā)現(xiàn)，這些問題均是一些由于安全制度或政策的缺失或不執(zhí)行等原因?qū)е碌慕Y(jié)果。在某某公司目前在安全管理方面可能會存在以下問題：缺乏一個企業(yè)總體范圍的、負(fù)責(zé)制定和實施的安全管理機(jī)制部門，難以保證安全制度建立和實施與決策層安全決策的有效性和一致性信息安全管理職能分散在各個部門，缺少一個強(qiáng)有力的直接向最高領(lǐng)導(dǎo)負(fù)責(zé)職能部門，協(xié)調(diào)整個企業(yè)內(nèi)部的信息安全工作的，因此安全政策的執(zhí)行可能會缺乏力度，安全事件處理依據(jù)和結(jié)果可能會不一致。缺少確定的安全管理人員編制，沒有建立完善的緊急響應(yīng)支援體系等等。因此，如何建立起適合自身企業(yè)特點和管理運作方式的網(wǎng)絡(luò)安全管理職能部門，來負(fù)責(zé)協(xié)調(diào)、管理整個公司業(yè)務(wù)網(wǎng)絡(luò)的安全，也是此次安全建設(shè)的重要組成。在此基礎(chǔ)上，由在對現(xiàn)有業(yè)務(wù)流程和管理制度做充分調(diào)研的基礎(chǔ)上，制定一套操作性強(qiáng)的安全策略體系，用以指導(dǎo)黑各個業(yè)務(wù)單位日常的網(wǎng)絡(luò)安全工作，也是充分必要的。

信息安全建設(shè)原則與依據(jù)信息安全建設(shè)除了要對風(fēng)險與需求進(jìn)行充分分析和定義外，還需要明確在信息安全整體建設(shè)時我們需要遵循的標(biāo)準(zhǔn)與原則。信息安全建設(shè)原則我們在某某公司的信息安全整體方案設(shè)計時，主要遵循以下原則：風(fēng)險（需求）、成本（投入）與效果（收益）相平衡的原則對任何一個網(wǎng)絡(luò)來說，絕對安全難以達(dá)到，也不一定必要。信息安全建設(shè)的最高原則是風(fēng)險、成本與效果三原則相結(jié)合的結(jié)果。風(fēng)險：對一個網(wǎng)絡(luò)要進(jìn)行實際分析，對網(wǎng)絡(luò)面臨的威脅與可能承擔(dān)的風(fēng)險進(jìn)行定性與定量相結(jié)合的分析；成本：保護(hù)成本、被保護(hù)信息的價值必須平衡，價值僅1萬元的信息如果用5萬元的技術(shù)和設(shè)備去保護(hù)是一種不適當(dāng)?shù)谋Ｗo(hù)；效果：實施安全方案后，如果實際投入的保護(hù)成本大于保護(hù)收益的話，則安全方案的選擇與實施是不合實際的。因此，安全解決方案的選擇，我們都應(yīng)該根據(jù)企業(yè)自身的實際情況來進(jìn)行。綜合性、整體性、一致性原則對于企業(yè)信息的安全保護(hù)是一個系統(tǒng)的工程，必須建立信息安全的完整體系。設(shè)計要遵循企業(yè)有關(guān)信息化建設(shè)或信息安全建設(shè)總體規(guī)劃的要求，運用系統(tǒng)工程的觀點、方法，分析網(wǎng)絡(luò)的安全問題，并制定具體措施。一個較好的安全措施往往是多種方法適當(dāng)綜合的應(yīng)用結(jié)果。一個計算機(jī)網(wǎng)絡(luò)包括個人、設(shè)備、軟件、數(shù)據(jù)等環(huán)節(jié)。它們在網(wǎng)絡(luò)安全中的地位和影響作用，只有從系統(tǒng)綜合的整體角度去看待和分析，才可能獲得有效、可行的措施。同樣，絡(luò)安全問題應(yīng)與整個網(wǎng)絡(luò)的工作周期（或生命周期）同時存在，制定的安全體系結(jié)構(gòu)必須與網(wǎng)絡(luò)的安全需求相一致。實際上，在網(wǎng)絡(luò)建設(shè)之初就考慮網(wǎng)絡(luò)安全對策，比等網(wǎng)絡(luò)建設(shè)好后再考慮，不但容易，而且花費也少得多。可擴(kuò)展、可發(fā)展性原則信息安全的建設(shè)要立足于公司當(dāng)前信息化建設(shè)的實際情況，滿足當(dāng)前正在建設(shè)的業(yè)務(wù)應(yīng)用與未來的業(yè)務(wù)發(fā)展要求。比如要依從目前石化行業(yè)正在實施的ERP系統(tǒng)的實際需求，同時要考著眼未來，一是要考慮到將來人力資源，辦公自動化，投資業(yè)務(wù)管理系統(tǒng)建設(shè)的需要，二要考慮到ERP系統(tǒng)將來互相連接時的信息安全需求。同時，在方案設(shè)計時要充分繼承企業(yè)現(xiàn)有的信息安全基礎(chǔ)設(shè)施，為了避免浪費，要將目前公司網(wǎng)絡(luò)系統(tǒng)中使用的防火墻，殺毒軟件等安全產(chǎn)品納入信息安全體系中充分使用。信息安全建設(shè)的依據(jù)國家法律、法規(guī)與行業(yè)性規(guī)范文件等《中華人民共和國刑法》《中華人民共和國計算機(jī)信息系統(tǒng)安全保護(hù)條例》《中國石化ERP系統(tǒng)總體規(guī)劃》《2002-2005年中國石化信息化建設(shè)目標(biāo)和任務(wù)》《2004-2006年中國石化信息化發(fā)展計劃綱要》信息安全建設(shè)參考標(biāo)準(zhǔn)等ISO/IEC17799:2000《信息安全管理實用規(guī)則》ISO/IEC13335《信息技術(shù)安全管理指南》ISO7498-2《信息處理系統(tǒng)開放系統(tǒng)互連基本參考模型-安全體系結(jié)構(gòu)》SSE-CMM《系統(tǒng)安全工程能力成熟模型》GB/T18336-2001《信息技術(shù)安全技術(shù)信息技術(shù)安全性評估準(zhǔn)則》GB/T17859-1999《計算機(jī)信息系統(tǒng)安全等級保護(hù)劃分準(zhǔn)則》

信息安全解決方案設(shè)計在第2章里，我們分別從網(wǎng)絡(luò)、應(yīng)用、終端與管理四個方面對公司的信息系統(tǒng)安全建設(shè)進(jìn)行了風(fēng)險與需求的分析。同時根據(jù)第3章的安全方案設(shè)計原則，我們將某某公司網(wǎng)絡(luò)安全建設(shè)分為以下幾個方面進(jìn)行了詳細(xì)的方案設(shè)計：邊界安全解決方案；內(nèi)網(wǎng)安全解決方案；應(yīng)用安全解決方案；安全管理解決方案；安全服務(wù)解決方案。下面我們分別針對這5個安全解決方案進(jìn)行詳細(xì)的描述。邊界安全解決方案在第2章的網(wǎng)絡(luò)安全風(fēng)險與需求分析中，我們主要從外部網(wǎng)絡(luò)連接與內(nèi)部網(wǎng)絡(luò)運行之間進(jìn)行了風(fēng)險的分析。邊界安全解決方案就是針對與外部網(wǎng)絡(luò)連接處的安全方面。網(wǎng)絡(luò)是用戶業(yè)務(wù)和數(shù)據(jù)通信的紐帶、橋梁，網(wǎng)絡(luò)的主要功能就是為用戶業(yè)務(wù)和數(shù)據(jù)通信提供可靠的、滿足傳輸服務(wù)質(zhì)量的傳輸通道。就某某公司網(wǎng)絡(luò)系統(tǒng)來講，網(wǎng)絡(luò)邊界安全負(fù)責(zé)保護(hù)和檢測進(jìn)出網(wǎng)絡(luò)流量；另一方面，對網(wǎng)絡(luò)中一些重要的子系統(tǒng)，其邊界安全考慮的是進(jìn)出系統(tǒng)網(wǎng)絡(luò)流量的保護(hù)和控制。針對某某公司網(wǎng)絡(luò)系統(tǒng)，來自外部互聯(lián)網(wǎng)的非安全行為和因素包括：未經(jīng)授權(quán)的網(wǎng)絡(luò)訪問身份（網(wǎng)絡(luò)地址）欺騙黑客攻擊病毒感染針對以上的風(fēng)險分析與需求的總結(jié)，我們建議在網(wǎng)絡(luò)邊界處設(shè)置防火墻系統(tǒng)、安全網(wǎng)關(guān)與遠(yuǎn)程訪問系統(tǒng)等來完善某某公司的邊界網(wǎng)絡(luò)安全保護(hù)。防火墻系統(tǒng)為在某某公司網(wǎng)絡(luò)與外界網(wǎng)絡(luò)連接處保障安全，我們建議配置防火墻系統(tǒng)。將防火墻放置在網(wǎng)絡(luò)聯(lián)結(jié)處，這樣可以通過以下方式保護(hù)網(wǎng)絡(luò)：為防火墻配置適當(dāng)?shù)木W(wǎng)絡(luò)訪問規(guī)則，可以防止來自外部網(wǎng)絡(luò)對內(nèi)網(wǎng)的未經(jīng)授權(quán)訪問；防止源地址欺騙，使得外部黑客不可能將自身偽裝成系統(tǒng)內(nèi)部人員，而對網(wǎng)絡(luò)發(fā)起攻擊；通過對網(wǎng)絡(luò)流量的流量模式進(jìn)行整型和服務(wù)質(zhì)量保證措施，保證網(wǎng)絡(luò)應(yīng)用的可用性和可靠性；可以根據(jù)時間定義防火墻的安全規(guī)則，滿足網(wǎng)絡(luò)在不同時間有不同安全需求的現(xiàn)實需要；提供用戶認(rèn)證機(jī)制，使網(wǎng)絡(luò)訪問規(guī)則和用戶直接聯(lián)系起來，安全更為有效和針對性；對網(wǎng)絡(luò)攻擊進(jìn)行檢測，與防火墻內(nèi)置的IDS功能共同組建一個多級網(wǎng)絡(luò)檢測體系。目前新型狀態(tài)檢測的防火墻有效的解決并改善了傳統(tǒng)防火墻產(chǎn)品在性能與功能上存在的缺陷，狀態(tài)檢測防火墻具有更高的安全性、系統(tǒng)穩(wěn)定性、更加顯著的功能特性和優(yōu)異的網(wǎng)絡(luò)性能，同時具有廣泛的適應(yīng)能力。在不損失網(wǎng)絡(luò)性能的同時，能夠?qū)崿F(xiàn)網(wǎng)絡(luò)安全策略的準(zhǔn)確制定與執(zhí)行，同時有效地抵御來自非可信任網(wǎng)絡(luò)的攻擊，并具有對防火墻系統(tǒng)安全性能的診斷功能。其內(nèi)置的入侵檢測系統(tǒng)，可以自動識別黑客的入侵，并對其采取確切的響應(yīng)措施，有效保護(hù)網(wǎng)絡(luò)的安全，同時使防火墻系統(tǒng)具備無可匹敵的安全穩(wěn)定性。我們可以根據(jù)業(yè)務(wù)模式與具體網(wǎng)絡(luò)結(jié)構(gòu)方式，不僅僅在內(nèi)部網(wǎng)絡(luò)與外部網(wǎng)絡(luò)之間，同時在內(nèi)部網(wǎng)絡(luò)與內(nèi)部網(wǎng)絡(luò)之間和各子業(yè)務(wù)系統(tǒng)之間，考慮采用防火墻設(shè)備進(jìn)行邏輯隔離，控制來自內(nèi)外網(wǎng)絡(luò)的用戶對重要業(yè)務(wù)系統(tǒng)的訪問。防火墻技術(shù)部署說明（根據(jù)具體的網(wǎng)絡(luò)情況描述）產(chǎn)品選型與功能介紹（根據(jù)具體產(chǎn)品描述）安全網(wǎng)關(guān)由于考慮到某某公司與互聯(lián)網(wǎng)（Internet）進(jìn)行連接，所以我們建議在系統(tǒng)網(wǎng)絡(luò)與Internet接入處配置“安全網(wǎng)關(guān)”，部署位置靈活，可放置在接入路由器與防火墻之間，也可部署在防火墻與內(nèi)部網(wǎng)絡(luò)之間。隨著互聯(lián)網(wǎng)的飛速發(fā)展和應(yīng)用，計算機(jī)病毒已將互聯(lián)網(wǎng)作為其一種主要的傳播途徑。其中利用電子郵件傳播病毒是最直接的方式，統(tǒng)計顯示郵件傳播方式占全部病毒傳播的90%以上。在過去一段時間內(nèi)所發(fā)生的幾起影響較大的計算機(jī)病毒事件中，以Internet為主要傳播途徑的病毒占大多數(shù)，如Nimda、CodeRed等，以與近幾年爆發(fā)的Sobig.F、Swen、沖擊波、振蕩波等等。同時，由于病毒的泛濫，垃圾郵件也越來越成為大家頭痛的問題。根據(jù)國際領(lǐng)導(dǎo)的市場調(diào)查機(jī)構(gòu)RadicatiGroup統(tǒng)計，目前所有的郵件中，超過50％是垃圾郵件，也就是說每天在國際上有超過150億封垃圾郵件被發(fā)送出去，使各類企業(yè)每年遭受到200億美元以上由于勞動生產(chǎn)率下降與技術(shù)支出帶來的損失，到2007年垃圾郵件數(shù)量將上升到驚人的2萬億封一年。經(jīng)過上述風(fēng)險與需求的分析，在Internet接入處對病毒、垃圾郵件與惡意代碼進(jìn)行控制，是實現(xiàn)接入安全的最佳方案。通過配置“安全網(wǎng)關(guān)”，我們可以實現(xiàn)：保證所有主要的Internet協(xié)議的安全，包括HTTP、、POP3等信息在進(jìn)入內(nèi)部網(wǎng)絡(luò)前由安全網(wǎng)關(guān)進(jìn)行查殺毒；過濾所有來自互聯(lián)網(wǎng)的垃圾郵件；通過SMTP認(rèn)證保證郵件服務(wù)器不會被黑客當(dāng)作攻擊別人的跳板等。產(chǎn)品部署說明（根據(jù)具體的網(wǎng)絡(luò)情況描述）產(chǎn)品選型與功能描述（這里我們以方正熊貓的安全網(wǎng)關(guān)PAGD8200為例說明。）方正熊貓安全網(wǎng)關(guān)的目標(biāo)是在網(wǎng)絡(luò)邊界或Internet網(wǎng)關(guān)處提供全面的病毒防護(hù)，而該病毒防護(hù)設(shè)備是即插即用的，不需要改變?nèi)魏蜪nternet設(shè)置，并對所有應(yīng)用與服務(wù)透明。通過全面阻截已知與未知病毒和防垃圾郵件功能和內(nèi)容過濾功能達(dá)到針對企業(yè)網(wǎng)絡(luò)環(huán)境的全面防護(hù)。方正熊貓安全網(wǎng)關(guān)是一款高度可配置與提供負(fù)載均衡的產(chǎn)品，為從中型到大型企業(yè)提供全面解決方案，并對網(wǎng)絡(luò)流量透明。主要模塊防病毒模塊

能夠掃描最常用的6種協(xié)議，阻止未知病毒和計算機(jī)蠕蟲進(jìn)入公司網(wǎng)絡(luò)防垃圾模塊

安全網(wǎng)關(guān)通過其反垃圾郵件模塊檢查進(jìn)入公司的所有郵件。信息被掃描并且被劃分成垃圾或非垃圾，在未被請求的郵件到達(dá)用戶信箱之前進(jìn)行阻斷或修改這些信息的主題內(nèi)容過濾模塊

網(wǎng)頁過濾模塊允許管理員限制因特網(wǎng)訪問?？梢远x不受歡迎內(nèi)容目錄，授權(quán)和非授權(quán)網(wǎng)頁。允許管理員控制公司網(wǎng)絡(luò)資源，并且阻斷非法，黃色或暴力網(wǎng)站內(nèi)容，或只是不受歡迎內(nèi)容進(jìn)入公司?？梢越IP用戶列表，這些用戶不需應(yīng)用上述限制主要特點：易于使用：方正熊貓安全網(wǎng)關(guān)是目前世面上最易于安裝與使用的硬件網(wǎng)關(guān)產(chǎn)品，作為網(wǎng)絡(luò)信息傳遞的橋梁而非需要重新路由網(wǎng)絡(luò)流量。安全：方正熊貓安全網(wǎng)關(guān)掃描6種網(wǎng)絡(luò)協(xié)議，而其他硬件網(wǎng)關(guān)產(chǎn)品僅能夠掃描2到4種網(wǎng)絡(luò)協(xié)議。在方正熊貓安全網(wǎng)關(guān)安裝在企業(yè)邊界上時，它實時掃描所有收入與發(fā)出郵件與其他的網(wǎng)絡(luò)傳輸信息，并且具有防垃圾郵件功能和內(nèi)容過濾功能表現(xiàn)性能：方正熊貓安全網(wǎng)關(guān)的最大性能是可以取得完全掃描與病毒防護(hù)。方正熊貓安全網(wǎng)關(guān)的硬件與軟件性能經(jīng)過特殊優(yōu)化處理，能夠同時掃描6種網(wǎng)絡(luò)協(xié)議，并且完全對企業(yè)網(wǎng)絡(luò)透明。擴(kuò)展性：方正熊貓安全網(wǎng)關(guān)專門針對自動負(fù)載均衡設(shè)計，使增加掃描的速度與增加網(wǎng)絡(luò)防護(hù)可以隨時達(dá)到。并可支持到百兆。功能與優(yōu)勢：性能高度優(yōu)化的病毒防護(hù)整合最新硬件與軟件技術(shù)，提供超乎尋常的優(yōu)異性能，能夠在一個小時內(nèi)掃描上萬封郵件，完全對企業(yè)網(wǎng)絡(luò)透明。性能高度優(yōu)化的垃圾郵件防護(hù)整合最新硬件與軟件技術(shù)，提供超乎尋常的優(yōu)異性能，能夠在一個小時內(nèi)掃描上萬封郵件，完全對企業(yè)網(wǎng)絡(luò)透明。拓展性與負(fù)載均衡由于方正熊貓安全網(wǎng)關(guān)的高度可拓展性，方正熊貓安全網(wǎng)關(guān)適合中到大型企業(yè)，能夠根據(jù)網(wǎng)絡(luò)通訊流量調(diào)節(jié)掃描能力。負(fù)載均衡是完全自動的，允許工作負(fù)載量能夠自動在不同工作單元間進(jìn)行均衡，良好地保障了產(chǎn)品的可拓展性與對企業(yè)邊界的全面防護(hù)。易于安裝與配置按照即插即用的設(shè)計思路，能夠非常簡便地安裝在企業(yè)網(wǎng)絡(luò)中，不需要重新配置或重新路由Internet流量。一旦安裝完成，就開始不知疲倦地掃描所有網(wǎng)絡(luò)流量，保障網(wǎng)絡(luò)的100％安全。保護(hù)所有廣泛使用的網(wǎng)絡(luò)協(xié)議保護(hù)所有可能的Internet相關(guān)威脅，完全掃描所有常用Internet協(xié)議，包括:HTTP,FTP,SMTP,POP3,IMAP,NNTP.內(nèi)容過濾內(nèi)容過濾防止未知病毒與蠕蟲進(jìn)入企業(yè)網(wǎng)絡(luò)，大幅減少整體網(wǎng)絡(luò)資源占用與帶寬，防止可能的惡意代碼進(jìn)入到企業(yè)網(wǎng)絡(luò)。遠(yuǎn)程管理可以通過一個簡潔、啟發(fā)式的WEB管理控制臺遠(yuǎn)程管理，讓企業(yè)網(wǎng)絡(luò)管理員通過企業(yè)內(nèi)部任何一臺電腦管理該產(chǎn)品。每日自動病毒更新可以每日自動病毒更新，意味著方正熊貓安全網(wǎng)關(guān)始終可以防護(hù)所有最新病毒。詳細(xì)報告與可客戶化的報警方正熊貓安全網(wǎng)關(guān)提供完整的掃描報告，并可以客戶化在企業(yè)內(nèi)部網(wǎng)絡(luò)的病毒報警機(jī)制。實時系統(tǒng)監(jiān)控方正熊貓安全網(wǎng)關(guān)提供網(wǎng)絡(luò)管理員對網(wǎng)絡(luò)病毒行為與網(wǎng)絡(luò)流量的實時監(jiān)控。遠(yuǎn)程訪問安全根據(jù)前面的風(fēng)險與需求分析可知，某某公司在通過Internet互連與遠(yuǎn)程訪問方面，主要存在著以下兩種類型：公司總部與分支機(jī)構(gòu)之間的遠(yuǎn)程訪問與互連；公司與合作伙伴之間的遠(yuǎn)程訪問與互連。在總部與分支之間的互連，一般要求將分支機(jī)構(gòu)的網(wǎng)絡(luò)接入到總部網(wǎng)絡(luò)。而與合作伙伴的互連一般情況下合作伙伴訪問企業(yè)固定的某些應(yīng)用系統(tǒng)。同時，遠(yuǎn)程應(yīng)用中還存在著一種情況，即用戶出差或移動狀態(tài)中需要在遠(yuǎn)程訪問安全方面，我們分別針對這兩類應(yīng)用類型設(shè)計了相應(yīng)的VPN遠(yuǎn)程訪問系統(tǒng)。分支與總部的連接目前，由于VPN（虛擬專網(wǎng)）比租用專線更加便宜、靈活，所以有越來越多的公司采用VPN，連接在家工作和出差在外的員工，以與替代連接分公司和合作伙伴的標(biāo)準(zhǔn)廣域網(wǎng)。VPN建在互聯(lián)網(wǎng)的公共網(wǎng)絡(luò)架構(gòu)上，通過“隧道”協(xié)議，在發(fā)端加密數(shù)據(jù)、在收端解密數(shù)據(jù)，以保證數(shù)據(jù)的私密性。如在企業(yè)分部與企業(yè)總部之間，與企業(yè)員工與企業(yè)核心數(shù)據(jù)之間，都可建立起端到端的邏輯隧道(Tunnel)，所謂“隧道”是指其中所傳遞的數(shù)據(jù)都經(jīng)過特殊包裝和加密處理，從而能與同一物理鏈路中其它數(shù)據(jù)區(qū)別開來，避免被不法用戶所竊取，只有在隧道的始末兩端才可能添加和去除這些特殊包裝以得到真實的數(shù)據(jù)。在通過公共網(wǎng)絡(luò)(如Internet)傳遞業(yè)務(wù)數(shù)據(jù)時，這項技術(shù)尤為必要?，F(xiàn)在大多數(shù)遠(yuǎn)程安全訪問解決方案是采用IPSecVPN方式，應(yīng)用最廣泛的組網(wǎng)結(jié)構(gòu)是在站點到站點的VPN組網(wǎng)方式。IPSec是網(wǎng)絡(luò)層的VPN技術(shù)，表示它獨立于應(yīng)用程序。IPSec以自己的封包封裝原始IP信息，因此可隱藏所有應(yīng)用協(xié)議的信息。一旦IPSec建立加密隧道后，就可以實現(xiàn)各種類型的一對多的連接，如Web、電子郵件、文件傳輸、VoIP等連接。并且，每個傳輸必然對應(yīng)到VPN網(wǎng)關(guān)之后的相關(guān)服務(wù)器上。在設(shè)計上，IPSecVPN是一種基礎(chǔ)設(shè)施性質(zhì)的安全技術(shù)。這類VPN的真正價值在于，它們盡量提高IP環(huán)境的安全性。IPSecVPN的誘人之處包括，它采用了集中式安全和策略管理部件，從而大大緩解了維護(hù)需求。應(yīng)用系統(tǒng)的遠(yuǎn)程訪問信息技術(shù)發(fā)展到現(xiàn)在，Web成為標(biāo)準(zhǔn)平臺已勢不可擋，越來越多的企業(yè)開始將ERP、CRM、SCM移植到Web上。SSLVPN將是Web應(yīng)用熱潮的直接受益者，它被認(rèn)為是實現(xiàn)遠(yuǎn)程安全訪問Web應(yīng)用的最佳手段。很多情況下，如采用SSLVPN的能夠就是降低成本。雖然購買軟件或硬件的費用不一定便宜，但部署SSLVPN很便宜。安裝了這類軟件或硬件，使用者基本上就不需要IT部門的支持了，只要從其PC機(jī)上的瀏覽器向公司網(wǎng)注冊即可。SSL連接也更穩(wěn)定，據(jù)Infonetics最近發(fā)表的報告表明，SSL將不斷獲得吸引力。到2006年，74%的移動員工將依賴VPN（比2004年增加15%），預(yù)計增長率主要來自SSL，這種IPSec以外的方案避開了部署與管理必要客戶軟件的復(fù)雜性和人力需求。最終用戶避免了攜帶電腦，通過與因特網(wǎng)連接的任何設(shè)備就能獲得訪問，SSL更容易滿足用戶對移動連接的需求。用戶通過與因特網(wǎng)連接的任何設(shè)備實現(xiàn)連接，并借助于SSL隧道獲得安全訪問。雖然這需要在企業(yè)防火墻后面增添硬件，但企業(yè)只要管理一種設(shè)備，不必維護(hù)、升級與配置客戶軟件。SSLVPN將遠(yuǎn)程安全接入延伸到IPSecVPN擴(kuò)展不到的地方，使更多的員工，在更多的地方，使用更多的設(shè)備，安全訪問企業(yè)網(wǎng)絡(luò)資源，同時降低了部署和支持費用。SSLVPN正在成為遠(yuǎn)程接入的事實標(biāo)準(zhǔn)。SSLVPN可以在任何地點，利用任何設(shè)備，連接到相應(yīng)的網(wǎng)絡(luò)資源上。SSLVPN通信運行在TCP/UDP協(xié)議上，具有穿越防火墻的能力。這種能力使SSLVPN能夠從一家用戶網(wǎng)絡(luò)的代理防火墻背后安全訪問另一家用戶網(wǎng)絡(luò)中的資源。IPSecVPN通常不能支持復(fù)雜的網(wǎng)絡(luò)，這是因為它們需要克服穿越防火墻、IP地址沖突等困難。鑒于IPSec客戶機(jī)存在的問題，IPSecVPN實際上只適用于易于管理的或者位置固定的設(shè)備。SSLVPN是基于應(yīng)用的VPN，基于應(yīng)用層上的連接意味著（和IPSecVPN比較），SSLVPN更容易提供細(xì)粒度遠(yuǎn)程訪問（即可以對用戶的權(quán)限和可以訪問的資源、服務(wù)、文件進(jìn)行更加細(xì)致的控制，這是IPSecVPN難以做到的）。IPSecVPN和SSLVPN將在網(wǎng)絡(luò)組網(wǎng)中發(fā)揮各自的優(yōu)勢。在某某公司的遠(yuǎn)程訪問安全中，由于分別存在著這兩種情況，因此我們建議在方案中采用IPSec和SSLVPN相結(jié)合的部署方式：總部與分支機(jī)構(gòu)之間的需要通過現(xiàn)有的Internet進(jìn)行互連，提供分支機(jī)構(gòu)對總部網(wǎng)絡(luò)的訪問。因此，采用基于IPSec的站點到站點的VPN接入是比較理想的接入方式。出差用戶與遠(yuǎn)程移動用戶訪問公司內(nèi)部應(yīng)用、與合作伙伴訪問某些特定的業(yè)務(wù)應(yīng)用系統(tǒng)，采用SSLVPN方式更能有效的滿足應(yīng)用的需求。產(chǎn)品選型與功能說明（根據(jù)具體的產(chǎn)品功能描述）入侵檢測系統(tǒng)根據(jù)之前的安全風(fēng)險與安全需求分析，在某某公司網(wǎng)絡(luò)中，由于直接接入Internet與內(nèi)部網(wǎng)絡(luò)用戶眾多，可能面臨的風(fēng)險與威脅有：拒絕服務(wù)攻擊（DoS）：通過消耗網(wǎng)絡(luò)帶寬資源或網(wǎng)絡(luò)設(shè)備處理能力資源，使正常的服務(wù)和數(shù)據(jù)通信對網(wǎng)絡(luò)的傳輸質(zhì)量要求得不到滿足。尼姆達(dá)（Nimda）病毒沖擊波（Blaster,Nachi）病毒就是非常典型例子。信息竊聽資源濫用：內(nèi)部人員訪問不當(dāng)站點、玩網(wǎng)絡(luò)游戲，浪費網(wǎng)絡(luò)資源，使正常的服務(wù)和數(shù)據(jù)通信得不到保障。管理失控：通過竊取網(wǎng)絡(luò)設(shè)備的管理權(quán)而使網(wǎng)絡(luò)失去安全性因此，我們在方案中建議在網(wǎng)絡(luò)中部署入侵檢測系統(tǒng)來入侵與濫用行為進(jìn)行檢測與審計。通過在網(wǎng)絡(luò)中部署入侵檢測系統(tǒng)，可以在安全保障上做到：檢測和發(fā)現(xiàn)針對系統(tǒng)中的網(wǎng)絡(luò)攻擊行為，如DoS攻擊。對這些攻擊行為可以采取記錄、報警、主動阻斷等動作，以便事后分析和行為追蹤。通過定義禁止訪問網(wǎng)站，限制內(nèi)部人員對不良站點的訪問。對一些惡意網(wǎng)絡(luò)訪問行為可以先記錄，后回放，通過這種真實地再現(xiàn)方式更精確的了解攻擊意圖和模式，為未來更有效地的防范類似攻擊提供經(jīng)驗“入侵檢測系統(tǒng)”可以提供強(qiáng)大的網(wǎng)絡(luò)行為審計能力，讓網(wǎng)絡(luò)安全管理員跟蹤用戶（包括黑客）、應(yīng)用程序等對網(wǎng)絡(luò)的使用情況，幫助他們改進(jìn)網(wǎng)絡(luò)規(guī)劃。對“入侵檢測系統(tǒng)”的使用和使用人員的管理一定要有專門的制度。IDS最主要的功能是對網(wǎng)絡(luò)入侵行為的檢測，它包括普通入侵探測和服務(wù)拒絕型攻擊探測引擎，可以自動識別各種入侵模式，在對網(wǎng)絡(luò)數(shù)據(jù)進(jìn)行分析時與這些模式進(jìn)行匹配，一旦發(fā)現(xiàn)某些入侵的企圖，就會進(jìn)行報警。IDS也支持基于網(wǎng)絡(luò)異常狀況的檢測方式。IDS具有強(qiáng)大的碎片重組功能，能夠抵御各種高級的入侵方式。為了跟蹤最新的入侵方式和網(wǎng)絡(luò)漏洞，IDS提供大容量的入侵特征庫以與方便的升級方式，每一個漏洞都提供了詳細(xì)的說明和解決方法，并且給出了相關(guān)的Bugtraq、CVE以與CAI等國際標(biāo)準(zhǔn)的編號。IDS能夠基于時間、地點、用戶賬戶以與協(xié)議類型、攻擊類型等等制定安全策略。通過對安全策略的調(diào)整，用戶能夠很方便地將IDS自定義成為符合自己組織需要的入侵檢測系統(tǒng)。而且，通過IDS提供的正則表達(dá)式，用戶能夠方便地對入侵特征庫進(jìn)行擴(kuò)充，添加需要的入侵特征，并且能夠?qū)θ肭值捻憫?yīng)過程進(jìn)行自定義。比如用戶需要在發(fā)現(xiàn)某種特定類型的攻擊方式的時候啟動一段自己編寫的程序以完成某項功能的時候，就可以利用IDS提供的接口靈活而方便地進(jìn)行配置完成。在抵御拒絕服務(wù)攻擊的功能上，IDS不僅僅能夠進(jìn)行攻擊的報警，而且能夠主動切斷攻擊。由此產(chǎn)生的大量日志能夠通過IDS具備的強(qiáng)大的工作區(qū)切換功能進(jìn)行存儲和轉(zhuǎn)發(fā)，大大提高了網(wǎng)絡(luò)入侵檢測系統(tǒng)本身的抗攻擊能力。為了進(jìn)一步提高IDS的抗攻擊能力，IDS還支持Stealth模式的配置，就是無IP設(shè)置。這樣攻擊者就無法訪問運行IDS安全工作站，也就無法對IDS進(jìn)行直接攻擊。產(chǎn)品部署說明（根據(jù)具體的網(wǎng)絡(luò)情況描述）產(chǎn)品選型與功能描述（根據(jù)具體的產(chǎn)品描述）內(nèi)網(wǎng)安全解決方案面對網(wǎng)絡(luò)信息安全的各種風(fēng)險，我們在邊界與網(wǎng)關(guān)處的安全解決方案解決了許多安全問題。例如：在網(wǎng)絡(luò)邊界，通過防火墻對網(wǎng)絡(luò)連接和訪問的合法性進(jìn)行控制，通過網(wǎng)關(guān)過濾設(shè)備對數(shù)據(jù)流非法內(nèi)容進(jìn)行控制；在網(wǎng)絡(luò)傳輸上，通過入侵檢測監(jiān)視黑客攻擊和非法網(wǎng)絡(luò)活動等。但針對于內(nèi)部網(wǎng)絡(luò)我們?nèi)匀幻媾R著諸多的安全問題。傳統(tǒng)上，我們通過漏洞掃描發(fā)現(xiàn)系統(tǒng)缺陷；在主機(jī)設(shè)備，通過主機(jī)加固加強(qiáng)主機(jī)防護(hù)能力，通過防病毒、反間諜軟件預(yù)防惡意代碼等。然而隨著網(wǎng)絡(luò)的發(fā)展，病毒與惡意代碼本身的技術(shù)越來越先進(jìn)，其防護(hù)也越來越復(fù)雜。而且隨著計算機(jī)技術(shù)與應(yīng)用的普與，桌面用戶的行為也越來越超出網(wǎng)管員的管理能力范疇。因此，在考慮內(nèi)部網(wǎng)絡(luò)安全時，如果有效的管理網(wǎng)絡(luò)與終端將是我們考慮的主要問題。在此我們通過以下三種手段來完成基于終端的安全管理：通過部署網(wǎng)絡(luò)防病毒系統(tǒng)來完善企業(yè)整體防病毒與惡意威脅的能力；通過漏洞掃描或風(fēng)險評估工具來發(fā)展漏洞、脆弱性與威脅，并通過補(bǔ)丁分發(fā)系統(tǒng)對漏洞與脆弱性進(jìn)行與時的矯正與補(bǔ)充；通過終端安全管理系統(tǒng)對桌面設(shè)備與用戶進(jìn)行安全管理與規(guī)范，有效保證終端的安全。企業(yè)防病毒系統(tǒng)目前某某公司網(wǎng)絡(luò)系統(tǒng)中并沒有一套完整的防病毒策略和技術(shù)方案，工作站安裝的防病毒軟件各種各樣，甚至有些服務(wù)器與工作站沒有安裝防病毒軟件，部分工作上使用的防病毒軟件病毒特征代碼沒有與時更新，沒有對防病毒軟件進(jìn)行統(tǒng)一的管理。鑒于防病毒的重要性和資源服務(wù)器系統(tǒng)網(wǎng)絡(luò)的當(dāng)前狀況，需要建立一套完整的防病毒系統(tǒng)，把病毒對網(wǎng)絡(luò)的威脅降到最低。目前企業(yè)整體防病毒解決方案均已比較成熟。在此我們針對傳統(tǒng)企業(yè)防病毒系統(tǒng)部署強(qiáng)調(diào)以下幾點：全面性：實施網(wǎng)絡(luò)防毒系統(tǒng)時，應(yīng)當(dāng)對網(wǎng)絡(luò)內(nèi)所有可能作為病毒寄居、傳播與受感染的計算機(jī)進(jìn)行有效防護(hù)。避免有“遺忘的角落”造成病毒傳播的源泉；功能與易用性：一方面需要對各種病毒進(jìn)行有效殺、防；另一方面，也要強(qiáng)調(diào)網(wǎng)絡(luò)防毒在實施、操作，維護(hù)和管理中的簡潔、方便和高效，最大限度地減輕使用人員和維護(hù)人員的工作量；資源占用：防毒系統(tǒng)和企業(yè)現(xiàn)行計算機(jī)系統(tǒng)的兼容性、防毒軟件的運行效率與占用資源等是企業(yè)防病毒系統(tǒng)必須考慮的問題。部署時考慮到企業(yè)現(xiàn)有的計算環(huán)境與應(yīng)用平臺，是否與需求資源相匹配；管理體系：為了保證防病毒系統(tǒng)的一致性、完整性和自升級能力，還必須要有一個完善的病毒防護(hù)管理體系，負(fù)責(zé)病毒軟件的自動分發(fā)、自動升級、集中配置和管理、統(tǒng)一事件和告警處理、保證整個企業(yè)范圍內(nèi)病毒防護(hù)體系的一致性和完整性。防病毒策略：這個是企業(yè)防病毒系統(tǒng)最容易被忽略的地方。系統(tǒng)必須明確地規(guī)定保護(hù)的級別和所需采取的對策，并制定系統(tǒng)的防病毒策略和部署多層防御戰(zhàn)略，服務(wù)器防病毒、個人桌面計算機(jī)防病毒以與所有防病毒產(chǎn)品的統(tǒng)一管理，不要讓網(wǎng)絡(luò)系統(tǒng)中存在“木桶效應(yīng)”。一個良好的防病毒解決方案需要做到“層層防護(hù)，處處設(shè)防”，全方位多層次部署防病毒體系。我們?yōu)槟衬彻揪W(wǎng)絡(luò)中提供一個穩(wěn)定高效、技術(shù)一流、方便管理、服務(wù)周全的病毒防護(hù)解決方案，滿足網(wǎng)絡(luò)系統(tǒng)對病毒防護(hù)系統(tǒng)設(shè)計的業(yè)務(wù)需求，確保網(wǎng)絡(luò)系統(tǒng)能有效抵御各種病毒和惡意程序的攻擊。在某某公司網(wǎng)絡(luò)中建立病毒防護(hù)管理服務(wù)器，所有的防毒對象（工作站和服務(wù)器）均采用安裝代理的方式來實現(xiàn)集中控管。防毒服務(wù)器全面控制防毒代理的運行、升級和刪除等權(quán)限?？梢酝ㄟ^防毒服務(wù)器自動分發(fā)防毒策略和防病毒升級特征庫，而整個防毒體系只需要網(wǎng)管與網(wǎng)絡(luò)安全管理中心的防毒服務(wù)器去Internet自動獲取病毒庫升級就可以自動完成全網(wǎng)的升級工作。極大地提高了防毒工作的效率。并且這種二層架構(gòu)的網(wǎng)絡(luò)防毒體系具有很好的擴(kuò)展性。產(chǎn)品選型與功能描述（在此我們以熊貓企業(yè)版安全套裝PESAwithTruPrevent為例說明。）方正熊貓企業(yè)級防病毒安全套裝（PESAwithTruPrevent）是一個高性能和穩(wěn)定的防病毒解決方案，它方便了對網(wǎng)絡(luò)中所有計算機(jī)的保護(hù)配置和更新，這些計算機(jī)包括：工作站，文件服務(wù)器，Exchange和Domino郵件服務(wù)器，SMTP網(wǎng)關(guān)和邊界服務(wù)器。它不僅抵御病毒，蠕蟲和特洛依木馬，還防護(hù)新的英特網(wǎng)攻擊，如垃圾郵件，間諜程序，撥號器，黑客工具和惡作劇，以與針對系統(tǒng)漏洞，并提供保護(hù)阻止安全冒險。入侵防護(hù)TruPrevent采用了新一代的防護(hù)技術(shù)，它比傳統(tǒng)的檢測系統(tǒng)更加智能化，能在第一時間發(fā)現(xiàn)新的威脅，并阻斷企圖越過傳統(tǒng)防病毒軟件的未知病毒的攻擊，不管該未知病毒是以下列何種方式傳播：外圍設(shè)備、局域網(wǎng)共享資源、電子郵件E-mail、互聯(lián)網(wǎng)。方正熊貓入侵防護(hù)TruPrevent是市場上唯一一款集已知和未知威脅防護(hù)于一身的入侵防護(hù)軟件，能最大程度地抵御病毒、木馬、蠕蟲等網(wǎng)絡(luò)威脅。據(jù)2005年1月7日國際計算機(jī)安全協(xié)會ICSA實驗室的檢測報告，在未安裝基于特征碼的防病毒軟件的環(huán)境下，提供上百例惡意代碼攻擊，方正熊貓入侵防護(hù)TruPrevent抵御攻擊率高達(dá)98.92%。方正熊貓入侵防護(hù)TruPrevent企業(yè)版主要特性包括：發(fā)現(xiàn)并清除未知病毒：結(jié)合了多種惡意代碼程序的檢測與阻斷技術(shù)，能有效發(fā)現(xiàn)并清除未知病毒。緩沖區(qū)溢出防護(hù)：不僅能抵御已知的安全漏洞攻擊，而且能防護(hù)未知的攻擊。能在第一時間保護(hù)系統(tǒng)內(nèi)的緩沖區(qū)溢出漏洞不會被惡意代碼利用作為攻擊的手段，即使還沒有任何針對該漏洞的資料和補(bǔ)丁程序。防護(hù)性的阻斷感染：可以在網(wǎng)絡(luò)層防止病毒和蠕蟲在企業(yè)網(wǎng)絡(luò)中傳播。安全政策定義：通過建立安全政策來控制計算機(jī)上運行的程序可執(zhí)行的操作，使網(wǎng)管人員能對企業(yè)網(wǎng)絡(luò)內(nèi)所有的計算機(jī)進(jìn)行整體控制管理、定義并干預(yù)正當(dāng)?shù)呐c被禁止的操作。新一代的防護(hù)技術(shù)，能抵御所有類型的互聯(lián)網(wǎng)威脅：包括病毒、木馬、蠕蟲等。無可比擬的集中式部署：能不受地域限制，對企業(yè)組織中所有的工作站進(jìn)行客戶端分發(fā)和集中管理。占用資源最小化：是在低帶寬環(huán)境下保護(hù)筆記本電腦的理想方案。基于通用標(biāo)準(zhǔn)的技術(shù)：優(yōu)化網(wǎng)絡(luò)內(nèi)的防病毒更新速度。友好直觀的用戶界面：避免混淆和誤操作。終端安全管理在第2章里我們針對終端的安全進(jìn)行了詳細(xì)風(fēng)險與需求的分析。終端安全是我們整體解決方案里不可或缺的部分，因為終端安全是我們?nèi)粘０踩ぷ魇亲钪匾彩切枰P(guān)注最多的部分。因此相應(yīng)的終端安全的解決方案必須做到：統(tǒng)一、靈活的安全策略所有的安全管理都是通過策略集的定制和分發(fā)來完成的，支持集中的安全管理，便于整個系統(tǒng)的統(tǒng)一管理。安全策略分為用戶策略和全局策略兩類。一般情況下，用戶終端工作在網(wǎng)絡(luò)環(huán)境下，接受在線環(huán)境下用戶策略的控制；對于移動辦公的筆記本電腦等移動終端，接受脫機(jī)情況下全局策略的保護(hù)。管理員可根據(jù)組織機(jī)構(gòu)劃分管理權(quán)限，不同的管理者具有不同的權(quán)限和管轄范圍，支持系統(tǒng)清晰的職權(quán)劃分。安全策略可以分組分類，不同的策略組所起的控制作用和使用范圍也不同。為了簡化策略的管理，我們將用戶按照角色來管理；對不同的角色實施不同的安全策略。策略涉與多個層次：物理和環(huán)境、鏈路和操作、網(wǎng)絡(luò)、設(shè)備、系統(tǒng)、應(yīng)用、數(shù)據(jù)、人員等各個層面的安全策略制定、部署和實施，幫助客戶有效實現(xiàn)網(wǎng)絡(luò)安全建設(shè)。策略層次如下圖所示：多層面、全方位保護(hù)系統(tǒng)的保護(hù)覆蓋了“系統(tǒng)內(nèi)核-系統(tǒng)設(shè)備-應(yīng)用程序”三個層面，提供了全方位的保護(hù)。在系統(tǒng)內(nèi)核層面，可自動、透明地幫助用戶加固操作系統(tǒng)、降低IT資源風(fēng)險。終端用戶勿需具備專業(yè)安全知識便可將自己的計算機(jī)終端加固到專家級程度，從而將精力關(guān)注于核心業(yè)務(wù)。在系統(tǒng)設(shè)備層面，嚴(yán)格限定用戶對硬件設(shè)備（例如：磁盤驅(qū)動器、CD-ROM、USB設(shè)備、打印機(jī)、網(wǎng)卡等）的使用權(quán)限和網(wǎng)絡(luò)傳輸控制，保證該主機(jī)遭受攻擊或發(fā)起對外攻擊的可能性都極大降低，同時也防止數(shù)據(jù)信息泄露。在應(yīng)用程序?qū)用妫瑖?yán)格限定用戶在指定電腦上的合法行為和禁止行為，保證了用戶只能在合法范圍內(nèi)正常使用電腦，避免了用戶對資源的濫用，也避免了由此造成的維護(hù)成本升高。智能化分析和異常檢測機(jī)制系統(tǒng)通過特有的環(huán)境因子和用戶因子生成報警因子，并結(jié)合策略因子和歷史數(shù)據(jù)，共同輸入到?jīng)Q策引擎中；該引擎采用專有的安全算法，綜合分析判斷得出對某個事件是否報警。這樣就避免了大量誤報給管理員帶來的工作量。安全和管理相結(jié)合計算機(jī)終端的生命周期管理過程中，既涉與到安全保護(hù)，也涵蓋終端管理，這兩項工作內(nèi)容都服務(wù)于業(yè)務(wù)目標(biāo)，目的是保證IT業(yè)務(wù)和辦公的正常運行和健康發(fā)展。安全和管理的完善結(jié)合，正是終端管理系統(tǒng)設(shè)計的重要思想。產(chǎn)品選型與功能介紹（在此我們以冠群金辰的KILL終端安全管理系統(tǒng)為例進(jìn)行說明。）KILL終端安全管理系統(tǒng)（KSMS）是為了應(yīng)對目前終端面臨的眾多安全威脅而設(shè)計的一種安全管理產(chǎn)品，也是實現(xiàn)ELM策略的重要技術(shù)手段。KSMS提供了對終端生命周期管理（ELM）策略的全面技術(shù)支撐，涵蓋了資產(chǎn)管理、終端保護(hù)、應(yīng)用監(jiān)管、審計分析等功能模塊。KSMS以計算機(jī)終端為核心，通過完整、靈活、適應(yīng)用戶需求的措施，提供終端安全解決方案。KSMS面向企業(yè)級用戶，它部署在網(wǎng)絡(luò)中每一臺計算機(jī)終端，實現(xiàn)對終端的全面保護(hù)，并且強(qiáng)調(diào)對網(wǎng)絡(luò)終端的統(tǒng)一控制管理。KSMS象一個時刻守衛(wèi)在用戶身邊的安全管理員，提供有效的安全保護(hù)，確保計算機(jī)安全使用和企業(yè)級的統(tǒng)一管理。系統(tǒng)體系和結(jié)構(gòu)KSMS由三個部分組成：策略服務(wù)器（KPS）、管理控制臺（KMC）、安全客戶端（KSA）。分布式的體系結(jié)構(gòu)KSMS系統(tǒng)采用分布式體系結(jié)構(gòu)，部署在網(wǎng)絡(luò)內(nèi)所有需要保護(hù)的計算機(jī)終端，通過集中的管理中心進(jìn)行控制管理。KSMS提供靈活的部署能力，具有良好的擴(kuò)展性。KSMS體系結(jié)構(gòu)如下圖所示：在上圖中，KSMS安全管理中心包括KSMS策略服務(wù)器（KPS）、管理控制臺（KMC）、日志和審計數(shù)據(jù)庫。其中，日志和審計數(shù)據(jù)庫可采用獨立服務(wù)器，也可安裝部署在管理控制臺。需要保護(hù)管理的計算機(jī)終端（KSA）包括企業(yè)網(wǎng)絡(luò)環(huán)境中工作的各種PC、筆記本電腦、PC服務(wù)器等。接受保護(hù)和管理的終端節(jié)點會產(chǎn)生各種安全審計信息，可集中傳輸并存放到日志審計數(shù)據(jù)庫，管理控制臺可以訪問和管理審計信息并進(jìn)行統(tǒng)計分析。KSMS系統(tǒng)組成策略服務(wù)器（KPS）KSMS策略服務(wù)器保存并分發(fā)安全策略。KPS負(fù)責(zé)系統(tǒng)的認(rèn)證授權(quán)、策略管理的后臺支持，負(fù)責(zé)整個系統(tǒng)策略的發(fā)布和保存。支持分布式部署，能夠適用于大規(guī)模網(wǎng)絡(luò)環(huán)境的應(yīng)用。管理控制臺（KMC）KSMS管理控制臺實現(xiàn)系統(tǒng)的集中管理控制。KMC負(fù)責(zé)用戶終端管理、策略定義和應(yīng)用、系統(tǒng)設(shè)置、日志查詢和報表分析，為系統(tǒng)的管理提供統(tǒng)一的平臺，并支持用戶分權(quán)管理。安全客戶端（KSA）KSMS安全客戶端接受控制臺的管理，執(zhí)行安全策略。KSA部署在需要保護(hù)的用戶PC和服務(wù)器上，保護(hù)計算機(jī)終端安全使用、約束用戶操作行為，系統(tǒng)將各種安全信息和日志傳遞到控制臺供管理員統(tǒng)一分析處理。主要功能資產(chǎn)管理KSMS企業(yè)級的資產(chǎn)管理功能，幫助管理員和信息主管充分掌握企業(yè)范圍內(nèi)IT信息資產(chǎn)情況，為加強(qiáng)IT管理提供依據(jù)。設(shè)備管理管理員可充分掌握分散的計算機(jī)終端硬件配置與其變更情況（例如主板、CPU、內(nèi)存、硬盤等），統(tǒng)籌管理，避免資產(chǎn)流失。軟件管理管理員可與時掌握客戶端安裝軟件與變化情況（例如操作系統(tǒng)、版本、補(bǔ)丁、所安裝的應(yīng)用軟件等），便于監(jiān)督管理。用戶管理員工用戶是企業(yè)資產(chǎn)的重要組成部分。KSMS提供基于按組織劃分的用戶角色的管理，管理員可在線查詢用戶終端操作系統(tǒng)、進(jìn)程、設(shè)備情況、性能狀態(tài)等多種信息。資產(chǎn)識別對非法終端、設(shè)備資產(chǎn)的真實性識別可通過綁定IP、MAC、用戶的方式實現(xiàn)。終端保護(hù)KSMS企業(yè)級的強(qiáng)制安全策略，提供基礎(chǔ)架構(gòu)保護(hù)和資產(chǎn)保護(hù)功能，通過多種手段全方位保護(hù)計算機(jī)終端安全使用?；A(chǔ)架構(gòu)保護(hù)主要包括：終端網(wǎng)絡(luò)訪問控制、惡意程序綜合防范；資產(chǎn)保護(hù)主要包括：設(shè)備使用限制、數(shù)據(jù)文件保護(hù)。終端網(wǎng)絡(luò)訪問控制通過IP地址、IP/TCP/UDP/ICMP/IGMP協(xié)議、服務(wù)端口等控制，防止遭受外來黑客攻擊，并且防止內(nèi)部終端對外（或內(nèi)部網(wǎng)絡(luò)其它終端）發(fā)起攻擊。惡意程序綜合防范采取多種方式綜合防范惡意程序破壞。通過端口控制，可阻止特定蠕蟲攻擊；通過限制程序執(zhí)行，控制未知病毒發(fā)作；通過注冊表保護(hù)，防止惡意代碼篡改；通過補(bǔ)丁管理，可與時通知補(bǔ)丁信息，彌補(bǔ)漏洞；通過與KILL與各種主流防病毒軟件聯(lián)動，集成實現(xiàn)防病毒管理。設(shè)備使用限制通過限制串口/并口、軟驅(qū)/光驅(qū)、USB磁盤、各種形式打印機(jī)、PCMCIA卡、紅外、1394接口、多網(wǎng)卡/無線網(wǎng)卡、Modem/ADSL等設(shè)備使用，有效防止設(shè)備濫用、一機(jī)多網(wǎng)使用、信息通過設(shè)備泄露現(xiàn)象的發(fā)生，同時為加強(qiáng)IT制度管理提供技術(shù)保障。數(shù)據(jù)文件保護(hù)通過數(shù)據(jù)訪問權(quán)限控制等方式，保護(hù)數(shù)據(jù)、防止破壞和信息泄露。應(yīng)用監(jiān)管KSMS通過多種方式對計算機(jī)終端應(yīng)用狀況和用戶行為進(jìn)行監(jiān)控管理。非法外聯(lián)控制KSMS通過網(wǎng)絡(luò)設(shè)備限制、網(wǎng)絡(luò)程序/連接控制等手段，限制終端非法外聯(lián)，對員工隨意訪問外部網(wǎng)絡(luò)的行為進(jìn)行管理，同時避免從不安全網(wǎng)絡(luò)引入安全風(fēng)險。此外，還可通過聯(lián)動方式，控制終端必須經(jīng)過KSMS統(tǒng)一認(rèn)證才能經(jīng)冠群金辰KILL過濾網(wǎng)關(guān)連接到外部網(wǎng)絡(luò)。網(wǎng)絡(luò)準(zhǔn)入控制可通過檢測發(fā)現(xiàn)并防止非法終端（非KSMS客戶端）接入網(wǎng)絡(luò)，以此保護(hù)企業(yè)網(wǎng)絡(luò)資源；此外，還可與交換機(jī)聯(lián)動，通過802.1x協(xié)議方式將非法終端隔離在網(wǎng)絡(luò)之外。程序限制可限制網(wǎng)絡(luò)程序，對QQ、MSN、網(wǎng)絡(luò)沖浪等行為進(jìn)行管理；對游戲與業(yè)務(wù)無關(guān)行為進(jìn)行技術(shù)限制；保證工作效率。網(wǎng)頁過濾預(yù)置上百萬條分類的URL網(wǎng)站（暴力、色情、賭博、邪教等）黑名單，可完全禁止訪問；另外可通過自定義黑白名單、關(guān)鍵字方式過濾非法網(wǎng)站和網(wǎng)頁，限制對禁止網(wǎng)頁的訪問。遠(yuǎn)程維護(hù)當(dāng)終端計算機(jī)用戶需要現(xiàn)場技術(shù)支持時，管理員可通過KSMS的遠(yuǎn)程協(xié)助功能幫助用戶解決技術(shù)問題，在特權(quán)許可情況下對客戶端進(jìn)行遠(yuǎn)程維護(hù)和屏幕監(jiān)控，大幅提高工作效率。審計分析KSMS提供系統(tǒng)日志、認(rèn)證日志、報警日志等等多種水晶報表格式的統(tǒng)計分析報告，為管理員提供安全分析依據(jù)。日志劃分為7個級別（緊急、警報、嚴(yán)重、錯誤、警告、通知、提示），可選擇多種告警方式（聲音、郵件、Windows消息等）。應(yīng)用安全解決方案在第2章里，我們對應(yīng)用安全的風(fēng)險與需求進(jìn)行了詳細(xì)的分析與定義。在我們整體解決方案中從以下的兩個方面來完善應(yīng)用安全解決方案。身份認(rèn)證（由于身份認(rèn)證解決方案與信息