USDP產(chǎn)品安全解決方案

-.zUSDP產(chǎn)品平安解決方案**市星系數(shù)據(jù)資訊**2002年6月目錄toc\o"1-3"1引言32網(wǎng)絡平安32.1網(wǎng)絡規(guī)劃32.2防火墻32.3VPN 43系統(tǒng)平安63.1核心策略分層平安防護63.2操作系統(tǒng)的平安配置73.3數(shù)據(jù)庫系統(tǒng)的平安配置73.4應用效勞器的平安配置73.5實時入侵檢測83.6平安漏洞評估系統(tǒng)83.7病毒防護84數(shù)據(jù)平安94.1存儲平安94.2傳輸平安94.3容災系統(tǒng)105應用平安135.1用戶平安145.2數(shù)據(jù)平安145.3功能平安146管理平安146.1內(nèi)部管理平安156.2外部管理平安157結論15引言對于一個企業(yè)來說，平安在信息化管理系統(tǒng)的實施中是至關重要的。有時，一個關鍵數(shù)據(jù)的喪失，可能會造成企業(yè)很多業(yè)務的中止，或給其生產(chǎn)帶來一系列的麻煩，所以，企業(yè)信息系統(tǒng)的平安性成為企業(yè)實施信息化管理系統(tǒng)的首要考慮因素。一般來說，平安主要包括以下兩個方面，第一是本身非人為的平安性，這主要包括雷電，地震或效勞器本身摔壞或其它因素使*些硬件和軟件造成不可修復性損壞，這局部的平安措施主要是對數(shù)據(jù)進展及時備份。第二個平安方面是企業(yè)本身的信息系統(tǒng)要做到防病毒，防黑客或非合法用戶的。通常來講，第二個環(huán)節(jié)是重中之重，因為黑客，病毒攻擊的可能性隨時會存在。**星系的USDP產(chǎn)品在設計之初，就以平安，適用，靈活為設計原則。在平安方面，USDP采取了多層平安構造體系〔分為網(wǎng)絡平安、系統(tǒng)平安、數(shù)據(jù)平安、應用平安、管理平安〕，從根本上解決了企業(yè)信息化的平安隱患，使信息系統(tǒng)可以24*7的平安穩(wěn)定地運行。多層平安構造體系是嚴密聯(lián)系的，從技術和業(yè)務兩個方面上來保證系統(tǒng)的平安。網(wǎng)絡平安USDP產(chǎn)品采用B/S體系構造，所以在保證產(chǎn)品平安時，首先要保證網(wǎng)絡系統(tǒng)的平安，在網(wǎng)絡平安方面，我們采用了如下解決方案：網(wǎng)絡規(guī)劃、VPN、防火墻等。網(wǎng)絡規(guī)劃一個成功的平安的網(wǎng)絡系統(tǒng)設計，要先從網(wǎng)絡規(guī)劃開場，因為網(wǎng)絡的拓撲構造是和平安性息息相關的，如果網(wǎng)絡的設計有問題，則對整個系統(tǒng)構成不僅僅是性能上的問題，更有可能在平安上引起隱患。**星系可以根據(jù)客戶的實際情況，為客戶設計出合理，經(jīng)濟的平安網(wǎng)絡方案。防火墻所謂“防火墻〞，就是一種將內(nèi)網(wǎng)和外網(wǎng)分開的方法，實際上是一種隔離技術。防火墻是在兩個網(wǎng)絡通訊時執(zhí)行的一種控制尺度，它能允許你“同意〞的人和數(shù)據(jù)進入你的網(wǎng)絡，同時將你“不同意〞的人和數(shù)據(jù)拒之門外，最大限度地阻止網(wǎng)絡中的黑客來你的網(wǎng)絡，防止他們更改、拷貝、毀壞你的重要信息。它相當于一個閥門，一個過濾器或者說國家的海關、邊防檢查站，負責審查經(jīng)過的數(shù)據(jù)和信息，根據(jù)設定的規(guī)則處理不同的情況。由此可見，建立一個平安的防火墻系統(tǒng)并不僅僅取決于購置了什么牌子的設備，更重要的是在于使用者是否了解本企業(yè)網(wǎng)絡的情況、掌握用戶的實際需求并正確地付諸實施。一般的平安來說：防火墻是必不可少的，因為內(nèi)部效勞主機不能完全暴露在外網(wǎng)上，因為再主流的操作系統(tǒng)和應用軟件，其中平安問題也屢見不鮮，例如最常見的緩沖區(qū)溢出漏洞存在于各種Uni*，Linu*和Window系統(tǒng)操作系統(tǒng)中，還有一些常用軟件的漏洞，如IIS的平安漏洞，wu-ftp的漏洞，所以說防火墻是保證系統(tǒng)平安的首要考慮因素。目前防火墻主要有三類：建立在通用操作系統(tǒng)上的軟件防火墻、具有平安操作系統(tǒng)的軟硬件結合的防火墻和基于專用平安操作系統(tǒng)的硬件防火墻。代表產(chǎn)品有CheckPoint、東大阿派Neteye、Linu*下的IPChains、Cisco的PI*等等。目前的防火墻從構造上講，可分為兩種：用網(wǎng)關構造。內(nèi)部網(wǎng)絡<—>代理網(wǎng)關(Pro*yGateway)<—>Internet。路由器加過濾器構造。內(nèi)部網(wǎng)絡<—>過濾器(Filter)<—>路由器(Router)<—>Internet?？偟膩碇v，應用網(wǎng)關構造的防火墻系統(tǒng)在平安控制的粒度上更加細致，多數(shù)基于軟件系統(tǒng)，用戶界面更加友好，管理控制較為方便；路由器加過濾器構造的防火墻系統(tǒng)多數(shù)基于硬件或軟硬件結合，速度比擬快，但是一般僅控制到第三層和第四層協(xié)議，不能細致區(qū)分各種不同業(yè)務；有一局部防火墻結合了包過濾和應用網(wǎng)關兩種功能，形成復合型防火墻。具體使用防火墻則應該根據(jù)本企業(yè)實際情況加以選擇。下面我就用一個實際例子講解建立平安防火墻系統(tǒng)的過程。網(wǎng)絡構造拓撲圖所有的內(nèi)部網(wǎng)絡用戶通過兩個路由器連接防火墻，防火墻作為本網(wǎng)絡的唯一出口連接到Internet。內(nèi)部網(wǎng)絡有兩個網(wǎng)段：192。168。1。0/255。255。255。0和192。168。2。0/255。255。255。0。一般來說，防火墻起以下幾個作用：障內(nèi)部網(wǎng)絡平安，制止外部用戶連接到內(nèi)部網(wǎng)絡。要求具備防IP地址欺騙能力。要求具備防止IP地址盜用功能，保證特權用戶的IP不受侵害。要求對可以Internet的用戶進展限制，僅允許特定用戶的IP地址可以外部網(wǎng)絡。隱蔽內(nèi)部網(wǎng)絡構造過濾掉一些不允許出入的包，一般來說，只允許對業(yè)務有關的數(shù)據(jù)在端口上出入，并且能阻止*些病毒的特征串出入組建防火墻的關鍵在于對用戶需求的掌握和對工具的熟練的運用和實施上面。因為防火墻把內(nèi)外網(wǎng)隔離起來后，當我們要維護或遠程備份等工作時，我們就面要使用下面的VPN技術來把公司或各分公司的內(nèi)網(wǎng)和效勞主機平安地聯(lián)系在一起。VPNVPN技術是指在公共的網(wǎng)絡平臺上傳輸用戶私有的數(shù)據(jù)，實現(xiàn)方式是在公網(wǎng)如Internet上搭建隧道，從而使在互聯(lián)網(wǎng)上傳輸私有數(shù)據(jù)得到保證。這種技術的效果類似于傳統(tǒng)的租用專線聯(lián)網(wǎng)方式，但其費用遠比采用專線方式聯(lián)網(wǎng)廉價。目前與企業(yè)相關的VPN隧道協(xié)議分三種：點到點隧道協(xié)議PPTP，第二層隧道協(xié)議L2TP，網(wǎng)絡層隧道協(xié)議IPSec。1．點到點隧道協(xié)議-PPTP。PPTP協(xié)議在一個已存在的IP連接上封裝PPP會話，只要網(wǎng)絡層是連通的，就可以運行PPTP協(xié)議。PPTP協(xié)議將控制包與數(shù)據(jù)包分開，控制包采用TCP控制，用于嚴格的狀態(tài)查詢以及信令信息；數(shù)據(jù)包局部先封裝在PPP協(xié)議中，然后封裝到GREV2協(xié)議中。GRE是通用路由封裝協(xié)議，用于在標準IP包中封裝任何形式的數(shù)據(jù)包，因此PPTP可以支持所有的協(xié)議，包括IP，IP*，NetBEUI等等。除了搭建隧道，PPTP本身沒有定義加密機制，但它繼承了PPP的認證和加密機制，包括認證機制PAP/CHAP/MS-CHAP以及加密機制MPPE。2．第二層隧道協(xié)議-L2TP。L2TP是一個國際標準隧道協(xié)議，它結合了PPTP協(xié)議以及第二層轉發(fā)L2F協(xié)議的優(yōu)點。L2TP與PPTP的最大不同在于L2TP將控制包和數(shù)據(jù)包合二為一，并運行在UDP上，而不是TCP上。UDP省去了TCP中同步、檢錯、重傳等機制，因此L2TP速度很快。與PPTP類似，L2TP也可支持多種協(xié)議。L2TP協(xié)議本身并沒有提供任何加密功能。3．IPsec協(xié)議。IPsec是標準的第三層平安協(xié)議，用于保護IP數(shù)據(jù)包或上層數(shù)據(jù)，它可以定義哪些數(shù)據(jù)流需要保護，怎樣保護以及應該將這些受保護的數(shù)據(jù)流轉發(fā)給誰。由于它工作在網(wǎng)絡層，因此可以用于兩臺主機之間，網(wǎng)絡平安網(wǎng)關之間〔如防火墻，路由器〕，或主機與網(wǎng)關之間。IPsec協(xié)議分兩種：ESP和AH，這兩種協(xié)議都可以提供網(wǎng)絡平安，如數(shù)據(jù)源認證〔確保接收到的數(shù)據(jù)是來自發(fā)送方〕，數(shù)據(jù)完整性〔確保數(shù)據(jù)沒有被更改〕以及防中繼保護〔確保數(shù)據(jù)到達次序的完整性〕。除此之外，ESP協(xié)議還支持數(shù)據(jù)的**性，能夠確保其它人無法讀取傳送的數(shù)據(jù)，這實際上是采用加密算法來實現(xiàn)的。IPsec的平安效勞要求支持共享鑰匙完成認證和/或**。在IPsec協(xié)議中引入了一個鑰匙管理協(xié)議，稱Internet鑰匙交換協(xié)議-IKE，該協(xié)議可以動態(tài)認證IPsec對等體，協(xié)商平安效勞，并自動生成共享鑰匙。IPsec協(xié)議〔AH或ESP〕保護整個IP包或IP包中的上層協(xié)議。IPsec有兩種工作方式：傳輸方式保護上層協(xié)議如TCP；隧道方式保護整個IP包。在傳輸方式下，IPsec**加在IP**和上層協(xié)議**之間；而在隧道方式下，整個IP包都封裝在一個新的IP包中，并在新的IP**和原來的IP**之間插入IPsec頭。兩種IPsec協(xié)議AH和ESP都可以工作在傳輸方式下或隧道方式下。4．L2TP與IPsec傳輸方式的集成。鑒于IPsec缺少用戶認證，只支持IP協(xié)議，目前有一種趨勢將L2TP和IPsec結合起來使用，采用L2TP作為隧道協(xié)議，而用IPsec協(xié)議保護數(shù)據(jù)。PPTP和L2TP都支持多協(xié)議，但要記住L2TP協(xié)議缺少數(shù)據(jù)**性的保護。PPTP和L2TP都不具有機器認證的能力，而必須依賴于用戶認證。在所有的VPN協(xié)議中，IPsec提供最好的平安性，但IPsec無法提供用戶認證，也不支持多協(xié)議。許多廠家都采用的附加的特性來支持用戶認證，比方支持Radius協(xié)議。IPsec協(xié)議十分靈活，可以滿足所有網(wǎng)關到網(wǎng)關的VPN連接。如下列圖：上圖的解決方案是把帶有VPN功能的3公司的防火墻，采用硬件加速引擎的硬件防火墻。網(wǎng)絡平安產(chǎn)品推薦廠商： NetScreen Cisco 安氏 3 LucentTechnologies推薦產(chǎn)品： 東大阿爾派NetEye CiscoPI*防火墻 3SuperStack防火墻 CheckPointFireWall 朗新科技NetShine(適合Linu*平臺) 中科院平安中心的ERCIST(安勝)防火墻系統(tǒng)平安系統(tǒng)平安至關重要，因為系統(tǒng)一旦被入侵，則應用系統(tǒng)的數(shù)據(jù)就可能會被泄露出去，雖然在數(shù)據(jù)存儲上有加密措施，但整個系統(tǒng)被控制，將對數(shù)據(jù)的平安性造成重大的平安隱患，因為系統(tǒng)有被入侵者全部偷走，毀掉，解密的可能，還有，如果被移植木馬系統(tǒng)，將對整個公司的信息網(wǎng)造成重大的損失，這一個步驟，我們主要措施如下。核心策略分層平安防護在網(wǎng)絡和系統(tǒng)的平安領域，往往其進步是同一些具有標志性概念的提出聯(lián)系在一起的，“分層平安防護〞就是這樣一個概念。它提出了這樣一種思路：結合不同的平安保護因素，例如防病毒軟件、防火墻和平安漏洞檢測工具，來創(chuàng)立一個比單一防護有效得多的綜合保護屏障。分層的平安防護成倍地增加了黑客攻擊的本錢和難度，從而大大減少了他們的攻擊頻度。分層的平安防護技術具體來說包括攻擊檢測、攻擊防*、攻擊后的恢復三個大方向，其中每一個方向有一個代表性的產(chǎn)品：入侵檢測系統(tǒng)負責進展攻擊檢測，防火墻和強制控制系統(tǒng)負責攻擊防*，攻擊后的恢復則由自動恢復系統(tǒng)來解決。這三大方向表達了在網(wǎng)絡平安防護上的多層平安防護的思想。下面我們就多層次保護中的主要環(huán)節(jié)做具體說明。防火墻我們在網(wǎng)絡平安上已經(jīng)講過，不過，由于病毒防*和實時檢測系統(tǒng)方面的技術因素比擬多，所以歸并到系統(tǒng)平安上來。操作系統(tǒng)的平安配置操作系統(tǒng)的平安配置的涉及面很廣，第一要去掉一些操作系統(tǒng)本身安裝時自帶的不平安的東西，例如，UNI*安裝后有一些不平安的效勞如Rlogin，還有一些無用的用戶名等，這些都需要重新清理，第二：消除一些應用軟件的漏洞。這局部工作可以配合平安評估軟件來找出漏洞，還有密切關注平安公司和軟件提供商的平安公告，及時安裝平安補丁。數(shù)據(jù)庫系統(tǒng)的平安配置 數(shù)據(jù)庫的平安首先要對口令進展嚴格的控制，因為口令的管理的不妥，可能會造成攻擊都很大的時機。還有，在數(shù)據(jù)庫時，口令不能是文安放，在USDP產(chǎn)品中，在系統(tǒng)初始化后，數(shù)據(jù)庫的口令不會明文放在配置文件中，而是以動態(tài)加密的方法保存著。 數(shù)據(jù)庫的平安配置還包括數(shù)據(jù)庫的權限的分配問題，應該刪掉一些不必要的用戶，數(shù)據(jù)庫維護人員和應用人員的權限嚴格分開。一般的數(shù)據(jù)庫本身有一些平安機制可選取，例如只允許*幾臺或*網(wǎng)段的機器可本數(shù)據(jù)庫等，這時我們可以用這個規(guī)則來制訂平安，只允許維護人員和應用效勞器等的IP可以數(shù)據(jù)庫效勞。 另外，有一些數(shù)據(jù)庫本身因為技術的復雜性，其產(chǎn)品其身設計有漏洞，這時就應該及時地打好補丁，來防*數(shù)據(jù)庫的入侵。應用效勞器的平安配置應用效勞器的平安性也必須考慮在系統(tǒng)平安中，一個很明顯的例子就是有些應用效勞器本身有源碼泄露的漏洞，這樣，入侵者可透過防火墻直接從WEB方式得到源碼，給系統(tǒng)造成很大的威脅。應用效勞器配置在安裝后，一般有一些管理程序或*例在系統(tǒng)里面，這里我們必須要刪掉或移走這些程序，因為這些程序也能給系統(tǒng)造成平安隱患，透過這些程序，有些不良用戶可以看到系統(tǒng)的根本信息，如程序的存儲路徑等。這局部主要解決方案是系統(tǒng)實施時作一次比擬徹底的配置，打上最新的補丁來配合應服效勞器的順利運行。**星系在這方面有著比擬獨到的研究，對各種產(chǎn)品有著比擬透徹，實時的的了解，在各種應用效勞器的安裝實施方面，我們可以解決這方面的隱患。實時入侵檢測入侵檢測系統(tǒng)是指監(jiān)視〔或者在可能的情況下阻止〕入侵或者試圖控制你的系統(tǒng)或者網(wǎng)絡資源等不良行為的系統(tǒng)。入侵檢測系統(tǒng)是近年出現(xiàn)的新型網(wǎng)絡平安技術，其目的是提供實時的入侵檢測及采取相應的防護手段。選擇入侵檢測系統(tǒng)，應特別注意其主要性能的情況，包括：協(xié)議分析及檢測能力、解碼效率(速度)、自身平安的完備性、準確度及完整度／防欺騙能力、模式更新速度，等等。入侵檢測系統(tǒng)是分層平安中日益被普遍采用的成分，它將有效地提升黑客進入網(wǎng)絡系統(tǒng)的門檻。入侵監(jiān)測系統(tǒng)能夠通過向管理員發(fā)出入侵或者入侵企圖來加強當前的存取控制系統(tǒng)，例如防火墻。識別防火墻通常不能識別的攻擊，如來自企業(yè)內(nèi)部的攻擊；在發(fā)現(xiàn)入侵企圖之后提供必要的信息，幫助系統(tǒng)移植。平安漏洞評估系統(tǒng)平安漏洞評估系統(tǒng)是一個漏洞和風險評估工具，用于發(fā)現(xiàn)、開掘和報告網(wǎng)絡平安漏洞。一個出色的平安評估系統(tǒng)不僅能夠檢測和報告漏洞，而且還可以發(fā)現(xiàn)漏洞發(fā)生在什么地方以及發(fā)生的原因。它在系統(tǒng)間分享信息并繼續(xù)探測各種漏洞直到發(fā)現(xiàn)所有的平安漏洞；還可以通過開掘漏洞以提供更高的可信度以確保被檢測出的漏洞是真正的漏洞。這就使得風險分析更加準確，并確保管理員可以把風險程度最高的漏洞放在優(yōu)先考慮的位置。最新的漏洞評估系統(tǒng)還采用了獨特的“路徑分析技術〞，用以發(fā)現(xiàn)漏洞的根本原因。通過分析漏洞的根本原因，任何重復的漏洞、模式或異常的現(xiàn)象很容易被確定到是否是重要問題，或被確定到網(wǎng)絡中的系統(tǒng)并且迅速被排除。病毒防護防病毒軟件的應用也是多層平安防護的一項必要措施。它是專門為防止和未知的病毒感染你的信息系統(tǒng)而設計的。它的針對性很強，但是需要不斷更新，而且存在一定的片面性。讓我們看看多層防護策略是如何發(fā)揮作用的。即使網(wǎng)絡中的入侵檢測系統(tǒng)失效，防火墻、平安漏洞評估和防病毒軟件還會起作用。配置合理的防火墻能夠在入侵檢測系統(tǒng)發(fā)現(xiàn)之前阻止最普通的攻擊。平安漏洞評估能夠發(fā)現(xiàn)漏洞并幫助去除這些漏洞。如果一個系統(tǒng)沒有平安漏洞，即使一個攻擊沒有被發(fā)現(xiàn)，則這樣的攻擊也不會成功。即使入侵檢測系統(tǒng)沒有發(fā)現(xiàn)病毒，防火墻沒能夠阻止病毒，平安漏洞檢測沒有去除病毒傳播途徑，防病毒軟件同樣能夠偵測這些病毒。所以，在使用了多層平安防護措施以后，企圖入侵你的公司的信息系統(tǒng)的黑客要付出成數(shù)倍的代價才有可能到達入侵目的。這時，你的信息系統(tǒng)的平安系數(shù)得到了大大的提升。如果你擁有多層平安防護系統(tǒng)，則，黑客滲透進來的本錢就更高，他們就需要更多的資源，而這些都是大多數(shù)潛在的黑客做不到的。多層平安防護系統(tǒng)使得入侵者更可能放棄對你系統(tǒng)的攻擊。如下列圖：就是冠群金辰的一個解決方案圖：推薦廠商：SymantecCorpNAI冠群金辰安氏CheckPointNetworkAssociates，Inc的InternetSecuritySuite(ISS)/RealSecureCisco的CiscoNetRanger中科網(wǎng)威的天眼網(wǎng)絡偵測系統(tǒng)數(shù)據(jù)平安存儲平安存儲加密被廣泛地用到了USDP的整個系統(tǒng)中，*些關鍵信息例如密碼關鍵以及相關重要業(yè)務數(shù)據(jù)被加密保存在數(shù)據(jù)庫或文本中或其它邏輯存儲設備中，這樣一來，連系統(tǒng)管理員也無法得到真實的數(shù)據(jù)，在系統(tǒng)中，只有在經(jīng)過我們的初始化的系統(tǒng)后，再添加一個管理員，只有這個管理員才能看到真正準確的信息。傳輸平安數(shù)據(jù)在傳輸中，如果涉及到企業(yè)重要的信息，不能以明文方式出去，以免遭到不良動機的人竊下數(shù)據(jù)包，再加以組合從而看到企業(yè)的信息，為了不致使數(shù)據(jù)被竊，其中數(shù)據(jù)傳輸中，我們可以采用SSL加密來保證傳輸?shù)钠桨残浴?．SSL〔SecureSocketLayer〕協(xié)議是由Netscape首先發(fā)表的網(wǎng)絡資料平安傳輸協(xié)定，其首要目的是在兩個通信間提供秘密而可靠的連接。該協(xié)議由兩層組成，底層是建立在可靠的傳輸協(xié)議〔例如：TCP〕上的是SSL的記錄層，用來封裝高層的協(xié)議。SSL握手協(xié)議準許效勞器端與客戶端在開場傳輸數(shù)據(jù)前，能夠通過特定的加密算法相互鑒別。SSL的先進之處在于它是一個獨立的應用協(xié)議，其它更高層協(xié)議能夠建立在SSL協(xié)議上。目前大局部的WebServer及Browser大多支持SSL的資料加密傳輸協(xié)定。因此，可以利用這個功能，將局部具有**性質(zhì)的網(wǎng)頁設定在加密的傳輸模式，如此即可防止資料在網(wǎng)絡上傳送時被其他人竊聽。SSL是利用公開密鑰的加密技術〔RSA〕來作為用戶端與主機端在傳送**資料時的加密通訊協(xié)定。目前，大局部的WebServer及Browser都廣泛使用SSL技術。對消費者而言，SSL已經(jīng)解決了大局部的問題。但是，對電子商務而言問題并沒有完全解決，因為SSL只做能到資料**，廠商無法確定是誰填下了這份資料，即使這一點做到了，還有和銀行清算的問題。還有一個文件存儲的平安性，這局部我們可以推薦用戶使用PGP對平安性要求高的文檔來加密。2．PGP〔PrettyGoodPrivacy〕目前，還有一種非常好的連接網(wǎng)絡與桌面的平安方法，PGP〔PrettyGoodPrivacy〕。PGP是一個公鑰加密程序，與以前的加密方法不同的是PGP公鑰加密的信息只能用私鑰解密。在傳統(tǒng)的加密方法中，通常一個密鑰既能加密也能解密。則在開場傳輸數(shù)據(jù)前，如何通過一個不平安的信道傳輸密鑰呢.使用PGP公鑰加密法，你可以廣泛傳播公鑰，同時平安地保存好私鑰。由于只有你可擁有私鑰，所以，任何人都可以用你的公鑰加密寫給你的信息，而不用擔憂信息被竊聽。使用PGP的另一個好處是可以在文檔中使用數(shù)字簽名。一個使用私鑰加密的密鑰只能用公鑰解密。這樣，如果人們閱讀用你的公鑰解密后的文件，他們就會確定只有你才能寫出這個文件。目前最新版本的PGP2。6。3是美國和加拿大使用的版本，PGP2.6.3i是一般Internet上使用的，它可以從.P下載。PGP是一個軟件加密程序，用戶可以使用它在不平安的通信鏈路上創(chuàng)立平安的消息和通信。PGP協(xié)議已經(jīng)成為公鑰加密技術和全球*圍消息平安性的事實標準。因為所有人都能看到它的源代碼，從而查找出故障和平安性漏洞，所有的故障和漏洞都在發(fā)現(xiàn)后被改正了。此外，我們在維護或后臺采編信息到效勞器上時，我們用VPN來使內(nèi)外網(wǎng)聯(lián)合在一起，其中VPN的出入數(shù)據(jù)也嚴格經(jīng)過了加密，例如有些VPN廠商采用DES，3DES，RC4或RSA等強加密算法來加密，還有，我們在維護機器時，采用的軟件也最好使用有加密性平安性高的軟件，例如，telnet本身是幾乎以明文傳輸?shù)目刂瞥绦?，這時，我們最發(fā)采用SSH來代替。這時，我們在內(nèi)部工作時，采用雙種加密，使數(shù)據(jù)無論是在內(nèi)網(wǎng)還是在外網(wǎng)，都消除數(shù)據(jù)被竊聽的可能性。容災系統(tǒng)容災系統(tǒng)的構造比擬復雜，一般來說，它首要的功能的數(shù)據(jù)備份功能，以防止硬碟在運行時出現(xiàn)損壞時，這些自動地數(shù)據(jù)實時地備份到備份設備如磁帶，磁碟等存貯介質(zhì)中，第二個容災功能要求是當系統(tǒng)出現(xiàn)不可測問題的，容災系統(tǒng)的備份時機自動啟開工作，來接替主機的工作，使之系統(tǒng)能在24*7正常地工作。一般地，容災系統(tǒng)的工程比擬大，消耗也比擬大，比擬對信息的實時性或平安性特別重要的情況下，一般要有一個容災小組來規(guī)劃整個系統(tǒng)的災難可能發(fā)生的情況及整個系統(tǒng)的運行環(huán)境，以便于內(nèi)部實施或請專門的技術公司實施容災系統(tǒng)。在備份方面，比擬成熟的技術有DAS(DirectAttachedStorage)，SAN(StorageAreaNetwork)和NAS(NetworkAttachStroage)。NAS與SAN都是在DAS的根底上開展起來的，是新型數(shù)據(jù)存儲模式中的兩個主要開展方向。而RAID只是三種存儲的一個常用根底存儲方式。1．DASTypicalLANusingDASDAS系統(tǒng)軟件安裝較為煩瑣，初始化RAID及調(diào)試第三方軟件一般需要兩天時間，無獨立的存儲操作系統(tǒng)，需相應效勞器或客戶端支持，容易造成網(wǎng)絡癱瘓，管理較復雜。需要第三方軟件支持。由于各系統(tǒng)平臺文件系統(tǒng)不同，增容時需對各自系統(tǒng)分別增加數(shù)據(jù)存儲設備及管理軟件。異地備份，備份過程麻煩。依靠雙效勞器和相關軟件實現(xiàn)雙機容錯功能，但兩效勞器同時發(fā)生故障，用戶就不能進展數(shù)據(jù)存儲。而SAN和NAS在存貯上可以克制上述一些缺點2．SANSAN可以定義為是以數(shù)據(jù)存儲為中心，采用可伸縮的網(wǎng)絡拓撲構造，通過具有高傳輸速率的光通道的直接連接方式，提供SAN內(nèi)部任意節(jié)點之間的多路可選擇的數(shù)據(jù)交換，并且將數(shù)據(jù)存儲管理集中在相對獨立的存儲區(qū)域網(wǎng)內(nèi)。在多種光通道傳輸協(xié)議逐漸走向標準化并且跨平臺群集文件系統(tǒng)投入使用后，SAN最終將實現(xiàn)在多種操作系統(tǒng)下，最大限度的數(shù)據(jù)共享和數(shù)據(jù)優(yōu)化管理，以及系統(tǒng)的無縫擴大。。TypicalLANusingSAN3．NAS網(wǎng)絡附加存儲設備〔NAS〕是一種專業(yè)的網(wǎng)絡文件存儲及文件備份設備，或稱為網(wǎng)絡直聯(lián)存儲設備、網(wǎng)絡磁盤陣列。一個NAS里面包括核心處理器，文件效勞管理工具，一個或者多個的硬盤驅動器用于數(shù)據(jù)的存儲。NAS可以應用在任何的網(wǎng)絡環(huán)境當中。主效勞器和客戶端可以非常方便地在NAS上存取任意格式的文件，包括SMB格式〔Windows〕NFS格式(Uni*，Linu*)和CIFS格式等等。NAS系統(tǒng)可以根據(jù)效勞器或者客戶端計算機發(fā)出的指令完成對內(nèi)在文件的管理。另外的特性包括：獨立于操作平臺，不同類的文件共享，穿插協(xié)議用戶平安性/許可性，瀏覽器界面的操作/管理，和不會中斷網(wǎng)絡的增加和移除效勞器。NAS是在RAID的根底上增加了存儲操作系統(tǒng)，而SAN是獨立出一個數(shù)據(jù)存儲網(wǎng)絡，網(wǎng)絡內(nèi)部的數(shù)據(jù)傳輸率很快，但操作系統(tǒng)仍停留在效勞器端，用戶不是在直接SAN的網(wǎng)絡，因此這就造成SAN在異構環(huán)境下不能實現(xiàn)文件共享。NAS與SAN的數(shù)據(jù)存儲可通過下面的圖來表示：SAN存儲NAS存儲以上兩圖說明：SAN是只能獨享的數(shù)據(jù)存儲池，NAS是共享與獨享兼顧的數(shù)據(jù)存儲池。因此，NAS與SAN的關系也可以表述為：NAS是Network-attached，而SAN是Channel-attached。其中SAN實施費用比擬高，但速度上很快，并且有一局部廠商實現(xiàn)在異種文件系統(tǒng)的共享，但一般來說，技術上有一定的故障。同SAN相比，NAS技術是相對成熟的。盡管有一些SAN文件共享解決方案存在，它們一般是針對特定的要求，多個效勞器要求高速的的接入通過私有的輕量級的協(xié)議來實現(xiàn)共享數(shù)據(jù)。NAS是網(wǎng)絡技術在存儲領域的延伸和開展，數(shù)據(jù)以文件的形式按照網(wǎng)絡協(xié)議在客戶機與存儲設備之間流動，它可以利用NFS實現(xiàn)異構平臺的客戶機對數(shù)據(jù)的共享，集成在存儲設備內(nèi)的專用文件效勞器提高了文件傳輸?shù)腎/O速度。一旦用戶把互連性和多平臺性放在首位的時候，對NAS的考慮會多一些。但是，當數(shù)據(jù)存儲開展到一定規(guī)模，NAS的缺陷就顯現(xiàn)出來，如數(shù)據(jù)效勞和數(shù)據(jù)管理形成了網(wǎng)絡的雙重負擔；磁盤陣列必須配置專用文件效勞器，后期擴容本錢高；一般文件效勞器沒有高可用配置，有單點故障；通過網(wǎng)絡協(xié)議的方式，對存儲系統(tǒng)的數(shù)據(jù)平安構成威脅等。顯然，NAS技術不能滿足可靠度為99。999%的數(shù)據(jù)存儲系統(tǒng)的要求。SAN主要針對海量/面向數(shù)據(jù)塊的數(shù)據(jù)傳輸，NAS提供文件級數(shù)據(jù)功能，另外，在一個系統(tǒng)中SAN和NAS可以并存推薦廠商： EMCVeritas IBM HPPro 神州數(shù)碼應用平安平安的實施，一半在于根底的平安，另一半在于應用和管理的平安，其中，應用平安在整個USDP的產(chǎn)品中都考慮到比擬周全，使產(chǎn)品無論從邏輯上還是從功能上都能到達一個很平安的層次，首先，在功能上，我們采用了完全跨平臺的*ML來作為底層編層語言，用多層構造來保證其可用性，可擴展性和高度的可集成性，從而沉著不迫24*7提供很高的保證。在管理上，日志管理是一個很方便的監(jiān)視作用，他能動態(tài)地監(jiān)視用戶的每一個動作，從而可以從根本上指導用戶的操作，例如在培訓方面，通過對日志的分析，可以看到一個用戶對系統(tǒng)應用的掌握程度，如果在*一個環(huán)節(jié)出錯，培訓管理員或系統(tǒng)管理員可以通知是怎么出錯，還有，日志還有動態(tài)歸檔功能，當一個環(huán)節(jié)是由于操作不當或其它原因，歸檔后用戶可以EMAIL到我們的技術支持來查看日志來得出原因。USDP產(chǎn)品可以從根本上看到用戶在系統(tǒng)中的每一個操作，并且只能管理員才能看到這些操作記錄，通過配置這些操作可以動態(tài)地以EMAIL，F(xiàn)A*或短消息發(fā)給特定的人。在邏輯上我以主要以下三個管理機制用戶平安所用用戶登錄必須通過一個入口登錄到系統(tǒng)，沒有驗證的用戶是看不到系統(tǒng)的任何數(shù)據(jù)，因為，我們的每一個頁面都有身份驗證，并且，用戶登錄時，會動態(tài)地記下其登錄時間，用戶名以及IP等。另外，用戶管理是和權限控制聯(lián)系在一起的，在系統(tǒng)初始化后，有一個超級用戶，這個用戶可以添加其它用戶，例如倉管員，對于他的功能就只能調(diào)拔該倉的產(chǎn)品，可對其它財務數(shù)據(jù)來說，他是看不到的，這樣可以到達業(yè)務的一個比擬好的**性，在多用戶下，可以用角色來分配權限給用戶，這樣更加方便了系統(tǒng)的可操作性。數(shù)據(jù)平安在權限管理中，產(chǎn)品的管理上采用了地域的劃分法，倉庫和部門劃分等方法，力求把權限細分到最小化，而在操作上到達簡單化。在權限管理中，對權限的賦予和收回都采用了嚴格的措施，使用戶看處到他應該得到到的數(shù)據(jù)，而其它數(shù)據(jù)的存在根本不知道，這在菜單上表現(xiàn)來說，如果用戶沒一個一級權限，則這個主菜單