USDP產(chǎn)品安全解決方案

-.zUSDP產(chǎn)品平安解決方案**市星系數(shù)據(jù)資訊**2002年6月目錄toc\o"1-3"1引言32網(wǎng)絡(luò)平安32.1網(wǎng)絡(luò)規(guī)劃32.2防火墻32.3VPN 43系統(tǒng)平安63.1核心策略分層平安防護(hù)63.2操作系統(tǒng)的平安配置73.3數(shù)據(jù)庫系統(tǒng)的平安配置73.4應(yīng)用效勞器的平安配置73.5實(shí)時(shí)入侵檢測83.6平安漏洞評估系統(tǒng)83.7病毒防護(hù)84數(shù)據(jù)平安94.1存儲平安94.2傳輸平安94.3容災(zāi)系統(tǒng)105應(yīng)用平安135.1用戶平安145.2數(shù)據(jù)平安145.3功能平安146管理平安146.1內(nèi)部管理平安156.2外部管理平安157結(jié)論15引言對于一個(gè)企業(yè)來說，平安在信息化管理系統(tǒng)的實(shí)施中是至關(guān)重要的。有時(shí)，一個(gè)關(guān)鍵數(shù)據(jù)的喪失，可能會造成企業(yè)很多業(yè)務(wù)的中止，或給其生產(chǎn)帶來一系列的麻煩，所以，企業(yè)信息系統(tǒng)的平安性成為企業(yè)實(shí)施信息化管理系統(tǒng)的首要考慮因素。一般來說，平安主要包括以下兩個(gè)方面，第一是本身非人為的平安性，這主要包括雷電，地震或效勞器本身摔壞或其它因素使*些硬件和軟件造成不可修復(fù)性損壞，這局部的平安措施主要是對數(shù)據(jù)進(jìn)展及時(shí)備份。第二個(gè)平安方面是企業(yè)本身的信息系統(tǒng)要做到防病毒，防黑客或非合法用戶的。通常來講，第二個(gè)環(huán)節(jié)是重中之重，因?yàn)楹诳?，病毒攻擊的可能性隨時(shí)會存在。**星系的USDP產(chǎn)品在設(shè)計(jì)之初，就以平安，適用，靈活為設(shè)計(jì)原則。在平安方面，USDP采取了多層平安構(gòu)造體系〔分為網(wǎng)絡(luò)平安、系統(tǒng)平安、數(shù)據(jù)平安、應(yīng)用平安、管理平安〕，從根本上解決了企業(yè)信息化的平安隱患，使信息系統(tǒng)可以24*7的平安穩(wěn)定地運(yùn)行。多層平安構(gòu)造體系是嚴(yán)密聯(lián)系的，從技術(shù)和業(yè)務(wù)兩個(gè)方面上來保證系統(tǒng)的平安。網(wǎng)絡(luò)平安USDP產(chǎn)品采用B/S體系構(gòu)造，所以在保證產(chǎn)品平安時(shí)，首先要保證網(wǎng)絡(luò)系統(tǒng)的平安，在網(wǎng)絡(luò)平安方面，我們采用了如下解決方案：網(wǎng)絡(luò)規(guī)劃、VPN、防火墻等。網(wǎng)絡(luò)規(guī)劃一個(gè)成功的平安的網(wǎng)絡(luò)系統(tǒng)設(shè)計(jì)，要先從網(wǎng)絡(luò)規(guī)劃開場，因?yàn)榫W(wǎng)絡(luò)的拓?fù)錁?gòu)造是和平安性息息相關(guān)的，如果網(wǎng)絡(luò)的設(shè)計(jì)有問題，則對整個(gè)系統(tǒng)構(gòu)成不僅僅是性能上的問題，更有可能在平安上引起隱患。**星系可以根據(jù)客戶的實(shí)際情況，為客戶設(shè)計(jì)出合理，經(jīng)濟(jì)的平安網(wǎng)絡(luò)方案。防火墻所謂“防火墻〞，就是一種將內(nèi)網(wǎng)和外網(wǎng)分開的方法，實(shí)際上是一種隔離技術(shù)。防火墻是在兩個(gè)網(wǎng)絡(luò)通訊時(shí)執(zhí)行的一種控制尺度，它能允許你“同意〞的人和數(shù)據(jù)進(jìn)入你的網(wǎng)絡(luò)，同時(shí)將你“不同意〞的人和數(shù)據(jù)拒之門外，最大限度地阻止網(wǎng)絡(luò)中的黑客來你的網(wǎng)絡(luò)，防止他們更改、拷貝、毀壞你的重要信息。它相當(dāng)于一個(gè)閥門，一個(gè)過濾器或者說國家的海關(guān)、邊防檢查站，負(fù)責(zé)審查經(jīng)過的數(shù)據(jù)和信息，根據(jù)設(shè)定的規(guī)則處理不同的情況。由此可見，建立一個(gè)平安的防火墻系統(tǒng)并不僅僅取決于購置了什么牌子的設(shè)備，更重要的是在于使用者是否了解本企業(yè)網(wǎng)絡(luò)的情況、掌握用戶的實(shí)際需求并正確地付諸實(shí)施。一般的平安來說：防火墻是必不可少的，因?yàn)閮?nèi)部效勞主機(jī)不能完全暴露在外網(wǎng)上，因?yàn)樵僦髁鞯牟僮飨到y(tǒng)和應(yīng)用軟件，其中平安問題也屢見不鮮，例如最常見的緩沖區(qū)溢出漏洞存在于各種Uni*，Linu*和Window系統(tǒng)操作系統(tǒng)中，還有一些常用軟件的漏洞，如IIS的平安漏洞，wu-ftp的漏洞，所以說防火墻是保證系統(tǒng)平安的首要考慮因素。目前防火墻主要有三類：建立在通用操作系統(tǒng)上的軟件防火墻、具有平安操作系統(tǒng)的軟硬件結(jié)合的防火墻和基于專用平安操作系統(tǒng)的硬件防火墻。代表產(chǎn)品有CheckPoint、東大阿派Neteye、Linu*下的IPChains、Cisco的PI*等等。目前的防火墻從構(gòu)造上講，可分為兩種：用網(wǎng)關(guān)構(gòu)造。內(nèi)部網(wǎng)絡(luò)<—>代理網(wǎng)關(guān)(Pro*yGateway)<—>Internet。路由器加過濾器構(gòu)造。內(nèi)部網(wǎng)絡(luò)<—>過濾器(Filter)<—>路由器(Router)<—>Internet?？偟膩碇v，應(yīng)用網(wǎng)關(guān)構(gòu)造的防火墻系統(tǒng)在平安控制的粒度上更加細(xì)致，多數(shù)基于軟件系統(tǒng)，用戶界面更加友好，管理控制較為方便；路由器加過濾器構(gòu)造的防火墻系統(tǒng)多數(shù)基于硬件或軟硬件結(jié)合，速度比擬快，但是一般僅控制到第三層和第四層協(xié)議，不能細(xì)致區(qū)分各種不同業(yè)務(wù)；有一局部防火墻結(jié)合了包過濾和應(yīng)用網(wǎng)關(guān)兩種功能，形成復(fù)合型防火墻。具體使用防火墻則應(yīng)該根據(jù)本企業(yè)實(shí)際情況加以選擇。下面我就用一個(gè)實(shí)際例子講解建立平安防火墻系統(tǒng)的過程。網(wǎng)絡(luò)構(gòu)造拓?fù)鋱D所有的內(nèi)部網(wǎng)絡(luò)用戶通過兩個(gè)路由器連接防火墻，防火墻作為本網(wǎng)絡(luò)的唯一出口連接到Internet。內(nèi)部網(wǎng)絡(luò)有兩個(gè)網(wǎng)段：192。168。1。0/255。255。255。0和192。168。2。0/255。255。255。0。一般來說，防火墻起以下幾個(gè)作用：障內(nèi)部網(wǎng)絡(luò)平安，制止外部用戶連接到內(nèi)部網(wǎng)絡(luò)。要求具備防IP地址欺騙能力。要求具備防止IP地址盜用功能，保證特權(quán)用戶的IP不受侵害。要求對可以Internet的用戶進(jìn)展限制，僅允許特定用戶的IP地址可以外部網(wǎng)絡(luò)。隱蔽內(nèi)部網(wǎng)絡(luò)構(gòu)造過濾掉一些不允許出入的包，一般來說，只允許對業(yè)務(wù)有關(guān)的數(shù)據(jù)在端口上出入，并且能阻止*些病毒的特征串出入組建防火墻的關(guān)鍵在于對用戶需求的掌握和對工具的熟練的運(yùn)用和實(shí)施上面。因?yàn)榉阑饓Π褍?nèi)外網(wǎng)隔離起來后，當(dāng)我們要維護(hù)或遠(yuǎn)程備份等工作時(shí)，我們就面要使用下面的VPN技術(shù)來把公司或各分公司的內(nèi)網(wǎng)和效勞主機(jī)平安地聯(lián)系在一起。VPNVPN技術(shù)是指在公共的網(wǎng)絡(luò)平臺上傳輸用戶私有的數(shù)據(jù)，實(shí)現(xiàn)方式是在公網(wǎng)如Internet上搭建隧道，從而使在互聯(lián)網(wǎng)上傳輸私有數(shù)據(jù)得到保證。這種技術(shù)的效果類似于傳統(tǒng)的租用專線聯(lián)網(wǎng)方式，但其費(fèi)用遠(yuǎn)比采用專線方式聯(lián)網(wǎng)廉價(jià)。目前與企業(yè)相關(guān)的VPN隧道協(xié)議分三種：點(diǎn)到點(diǎn)隧道協(xié)議PPTP，第二層隧道協(xié)議L2TP，網(wǎng)絡(luò)層隧道協(xié)議IPSec。1．點(diǎn)到點(diǎn)隧道協(xié)議-PPTP。PPTP協(xié)議在一個(gè)已存在的IP連接上封裝PPP會話，只要網(wǎng)絡(luò)層是連通的，就可以運(yùn)行PPTP協(xié)議。PPTP協(xié)議將控制包與數(shù)據(jù)包分開，控制包采用TCP控制，用于嚴(yán)格的狀態(tài)查詢以及信令信息；數(shù)據(jù)包局部先封裝在PPP協(xié)議中，然后封裝到GREV2協(xié)議中。GRE是通用路由封裝協(xié)議，用于在標(biāo)準(zhǔn)IP包中封裝任何形式的數(shù)據(jù)包，因此PPTP可以支持所有的協(xié)議，包括IP，IP*，NetBEUI等等。除了搭建隧道，PPTP本身沒有定義加密機(jī)制，但它繼承了PPP的認(rèn)證和加密機(jī)制，包括認(rèn)證機(jī)制PAP/CHAP/MS-CHAP以及加密機(jī)制MPPE。2．第二層隧道協(xié)議-L2TP。L2TP是一個(gè)國際標(biāo)準(zhǔn)隧道協(xié)議，它結(jié)合了PPTP協(xié)議以及第二層轉(zhuǎn)發(fā)L2F協(xié)議的優(yōu)點(diǎn)。L2TP與PPTP的最大不同在于L2TP將控制包和數(shù)據(jù)包合二為一，并運(yùn)行在UDP上，而不是TCP上。UDP省去了TCP中同步、檢錯(cuò)、重傳等機(jī)制，因此L2TP速度很快。與PPTP類似，L2TP也可支持多種協(xié)議。L2TP協(xié)議本身并沒有提供任何加密功能。3．IPsec協(xié)議。IPsec是標(biāo)準(zhǔn)的第三層平安協(xié)議，用于保護(hù)IP數(shù)據(jù)包或上層數(shù)據(jù)，它可以定義哪些數(shù)據(jù)流需要保護(hù)，怎樣保護(hù)以及應(yīng)該將這些受保護(hù)的數(shù)據(jù)流轉(zhuǎn)發(fā)給誰。由于它工作在網(wǎng)絡(luò)層，因此可以用于兩臺主機(jī)之間，網(wǎng)絡(luò)平安網(wǎng)關(guān)之間〔如防火墻，路由器〕，或主機(jī)與網(wǎng)關(guān)之間。IPsec協(xié)議分兩種：ESP和AH，這兩種協(xié)議都可以提供網(wǎng)絡(luò)平安，如數(shù)據(jù)源認(rèn)證〔確保接收到的數(shù)據(jù)是來自發(fā)送方〕，數(shù)據(jù)完整性〔確保數(shù)據(jù)沒有被更改〕以及防中繼保護(hù)〔確保數(shù)據(jù)到達(dá)次序的完整性〕。除此之外，ESP協(xié)議還支持?jǐn)?shù)據(jù)的**性，能夠確保其它人無法讀取傳送的數(shù)據(jù)，這實(shí)際上是采用加密算法來實(shí)現(xiàn)的。IPsec的平安效勞要求支持共享鑰匙完成認(rèn)證和/或**。在IPsec協(xié)議中引入了一個(gè)鑰匙管理協(xié)議，稱Internet鑰匙交換協(xié)議-IKE，該協(xié)議可以動態(tài)認(rèn)證IPsec對等體，協(xié)商平安效勞，并自動生成共享鑰匙。IPsec協(xié)議〔AH或ESP〕保護(hù)整個(gè)IP包或IP包中的上層協(xié)議。IPsec有兩種工作方式：傳輸方式保護(hù)上層協(xié)議如TCP；隧道方式保護(hù)整個(gè)IP包。在傳輸方式下，IPsec**加在IP**和上層協(xié)議**之間；而在隧道方式下，整個(gè)IP包都封裝在一個(gè)新的IP包中，并在新的IP**和原來的IP**之間插入IPsec頭。兩種IPsec協(xié)議AH和ESP都可以工作在傳輸方式下或隧道方式下。4．L2TP與IPsec傳輸方式的集成。鑒于IPsec缺少用戶認(rèn)證，只支持IP協(xié)議，目前有一種趨勢將L2TP和IPsec結(jié)合起來使用，采用L2TP作為隧道協(xié)議，而用IPsec協(xié)議保護(hù)數(shù)據(jù)。PPTP和L2TP都支持多協(xié)議，但要記住L2TP協(xié)議缺少數(shù)據(jù)**性的保護(hù)。PPTP和L2TP都不具有機(jī)器認(rèn)證的能力，而必須依賴于用戶認(rèn)證。在所有的VPN協(xié)議中，IPsec提供最好的平安性，但I(xiàn)Psec無法提供用戶認(rèn)證，也不支持多協(xié)議。許多廠家都采用的附加的特性來支持用戶認(rèn)證，比方支持Radius協(xié)議。IPsec協(xié)議十分靈活，可以滿足所有網(wǎng)關(guān)到網(wǎng)關(guān)的VPN連接。如下列圖：上圖的解決方案是把帶有VPN功能的3公司的防火墻，采用硬件加速引擎的硬件防火墻。網(wǎng)絡(luò)平安產(chǎn)品推薦廠商： NetScreen Cisco 安氏 3 LucentTechnologies推薦產(chǎn)品： 東大阿爾派NetEye CiscoPI*防火墻 3SuperStack防火墻 CheckPointFireWall 朗新科技NetShine(適合Linu*平臺) 中科院平安中心的ERCIST(安勝)防火墻系統(tǒng)平安系統(tǒng)平安至關(guān)重要，因?yàn)橄到y(tǒng)一旦被入侵，則應(yīng)用系統(tǒng)的數(shù)據(jù)就可能會被泄露出去，雖然在數(shù)據(jù)存儲上有加密措施，但整個(gè)系統(tǒng)被控制，將對數(shù)據(jù)的平安性造成重大的平安隱患，因?yàn)橄到y(tǒng)有被入侵者全部偷走，毀掉，解密的可能，還有，如果被移植木馬系統(tǒng)，將對整個(gè)公司的信息網(wǎng)造成重大的損失，這一個(gè)步驟，我們主要措施如下。核心策略分層平安防護(hù)在網(wǎng)絡(luò)和系統(tǒng)的平安領(lǐng)域，往往其進(jìn)步是同一些具有標(biāo)志性概念的提出聯(lián)系在一起的，“分層平安防護(hù)〞就是這樣一個(gè)概念。它提出了這樣一種思路：結(jié)合不同的平安保護(hù)因素，例如防病毒軟件、防火墻和平安漏洞檢測工具，來創(chuàng)立一個(gè)比單一防護(hù)有效得多的綜合保護(hù)屏障。分層的平安防護(hù)成倍地增加了黑客攻擊的本錢和難度，從而大大減少了他們的攻擊頻度。分層的平安防護(hù)技術(shù)具體來說包括攻擊檢測、攻擊防*、攻擊后的恢復(fù)三個(gè)大方向，其中每一個(gè)方向有一個(gè)代表性的產(chǎn)品：入侵檢測系統(tǒng)負(fù)責(zé)進(jìn)展攻擊檢測，防火墻和強(qiáng)制控制系統(tǒng)負(fù)責(zé)攻擊防*，攻擊后的恢復(fù)則由自動恢復(fù)系統(tǒng)來解決。這三大方向表達(dá)了在網(wǎng)絡(luò)平安防護(hù)上的多層平安防護(hù)的思想。下面我們就多層次保護(hù)中的主要環(huán)節(jié)做具體說明。防火墻我們在網(wǎng)絡(luò)平安上已經(jīng)講過，不過，由于病毒防*和實(shí)時(shí)檢測系統(tǒng)方面的技術(shù)因素比擬多，所以歸并到系統(tǒng)平安上來。操作系統(tǒng)的平安配置操作系統(tǒng)的平安配置的涉及面很廣，第一要去掉一些操作系統(tǒng)本身安裝時(shí)自帶的不平安的東西，例如，UNI*安裝后有一些不平安的效勞如Rlogin，還有一些無用的用戶名等，這些都需要重新清理，第二：消除一些應(yīng)用軟件的漏洞。這局部工作可以配合平安評估軟件來找出漏洞，還有密切關(guān)注平安公司和軟件提供商的平安公告，及時(shí)安裝平安補(bǔ)丁。數(shù)據(jù)庫系統(tǒng)的平安配置 數(shù)據(jù)庫的平安首先要對口令進(jìn)展嚴(yán)格的控制，因?yàn)榭诹畹墓芾淼牟煌?，可能會造成攻擊都很大的時(shí)機(jī)。還有，在數(shù)據(jù)庫時(shí)，口令不能是文安放，在USDP產(chǎn)品中，在系統(tǒng)初始化后，數(shù)據(jù)庫的口令不會明文放在配置文件中，而是以動態(tài)加密的方法保存著。 數(shù)據(jù)庫的平安配置還包括數(shù)據(jù)庫的權(quán)限的分配問題，應(yīng)該刪掉一些不必要的用戶，數(shù)據(jù)庫維護(hù)人員和應(yīng)用人員的權(quán)限嚴(yán)格分開。一般的數(shù)據(jù)庫本身有一些平安機(jī)制可選取，例如只允許*幾臺或*網(wǎng)段的機(jī)器可本數(shù)據(jù)庫等，這時(shí)我們可以用這個(gè)規(guī)則來制訂平安，只允許維護(hù)人員和應(yīng)用效勞器等的IP可以數(shù)據(jù)庫效勞。 另外，有一些數(shù)據(jù)庫本身因?yàn)榧夹g(shù)的復(fù)雜性，其產(chǎn)品其身設(shè)計(jì)有漏洞，這時(shí)就應(yīng)該及時(shí)地打好補(bǔ)丁，來防*數(shù)據(jù)庫的入侵。應(yīng)用效勞器的平安配置應(yīng)用效勞器的平安性也必須考慮在系統(tǒng)平安中，一個(gè)很明顯的例子就是有些應(yīng)用效勞器本身有源碼泄露的漏洞，這樣，入侵者可透過防火墻直接從WEB方式得到源碼，給系統(tǒng)造成很大的威脅。應(yīng)用效勞器配置在安裝后，一般有一些管理程序或*例在系統(tǒng)里面，這里我們必須要刪掉或移走這些程序，因?yàn)檫@些程序也能給系統(tǒng)造成平安隱患，透過這些程序，有些不良用戶可以看到系統(tǒng)的根本信息，如程序的存儲路徑等。這局部主要解決方案是系統(tǒng)實(shí)施時(shí)作一次比擬徹底的配置，打上最新的補(bǔ)丁來配合應(yīng)服效勞器的順利運(yùn)行。**星系在這方面有著比擬獨(dú)到的研究，對各種產(chǎn)品有著比擬透徹，實(shí)時(shí)的的了解，在各種應(yīng)用效勞器的安裝實(shí)施方面，我們可以解決這方面的隱患。實(shí)時(shí)入侵檢測入侵檢測系統(tǒng)是指監(jiān)視〔或者在可能的情況下阻止〕入侵或者試圖控制你的系統(tǒng)或者網(wǎng)絡(luò)資源等不良行為的系統(tǒng)。入侵檢測系統(tǒng)是近年出現(xiàn)的新型網(wǎng)絡(luò)平安技術(shù)，其目的是提供實(shí)時(shí)的入侵檢測及采取相應(yīng)的防護(hù)手段。選擇入侵檢測系統(tǒng)，應(yīng)特別注意其主要性能的情況，包括：協(xié)議分析及檢測能力、解碼效率(速度)、自身平安的完備性、準(zhǔn)確度及完整度／防欺騙能力、模式更新速度，等等。入侵檢測系統(tǒng)是分層平安中日益被普遍采用的成分，它將有效地提升黑客進(jìn)入網(wǎng)絡(luò)系統(tǒng)的門檻。入侵監(jiān)測系統(tǒng)能夠通過向管理員發(fā)出入侵或者入侵企圖來加強(qiáng)當(dāng)前的存取控制系統(tǒng)，例如防火墻。識別防火墻通常不能識別的攻擊，如來自企業(yè)內(nèi)部的攻擊；在發(fā)現(xiàn)入侵企圖之后提供必要的信息，幫助系統(tǒng)移植。平安漏洞評估系統(tǒng)平安漏洞評估系統(tǒng)是一個(gè)漏洞和風(fēng)險(xiǎn)評估工具，用于發(fā)現(xiàn)、開掘和報(bào)告網(wǎng)絡(luò)平安漏洞。一個(gè)出色的平安評估系統(tǒng)不僅能夠檢測和報(bào)告漏洞，而且還可以發(fā)現(xiàn)漏洞發(fā)生在什么地方以及發(fā)生的原因。它在系統(tǒng)間分享信息并繼續(xù)探測各種漏洞直到發(fā)現(xiàn)所有的平安漏洞；還可以通過開掘漏洞以提供更高的可信度以確保被檢測出的漏洞是真正的漏洞。這就使得風(fēng)險(xiǎn)分析更加準(zhǔn)確，并確保管理員可以把風(fēng)險(xiǎn)程度最高的漏洞放在優(yōu)先考慮的位置。最新的漏洞評估系統(tǒng)還采用了獨(dú)特的“路徑分析技術(shù)〞，用以發(fā)現(xiàn)漏洞的根本原因。通過分析漏洞的根本原因，任何重復(fù)的漏洞、模式或異常的現(xiàn)象很容易被確定到是否是重要問題，或被確定到網(wǎng)絡(luò)中的系統(tǒng)并且迅速被排除。病毒防護(hù)防病毒軟件的應(yīng)用也是多層平安防護(hù)的一項(xiàng)必要措施。它是專門為防止和未知的病毒感染你的信息系統(tǒng)而設(shè)計(jì)的。它的針對性很強(qiáng)，但是需要不斷更新，而且存在一定的片面性。讓我們看看多層防護(hù)策略是如何發(fā)揮作用的。即使網(wǎng)絡(luò)中的入侵檢測系統(tǒng)失效，防火墻、平安漏洞評估和防病毒軟件還會起作用。配置合理的防火墻能夠在入侵檢測系統(tǒng)發(fā)現(xiàn)之前阻止最普通的攻擊。平安漏洞評估能夠發(fā)現(xiàn)漏洞并幫助去除這些漏洞。如果一個(gè)系統(tǒng)沒有平安漏洞，即使一個(gè)攻擊沒有被發(fā)現(xiàn)，則這樣的攻擊也不會成功。即使入侵檢測系統(tǒng)沒有發(fā)現(xiàn)病毒，防火墻沒能夠阻止病毒，平安漏洞檢測沒有去除病毒傳播途徑，防病毒軟件同樣能夠偵測這些病毒。所以，在使用了多層平安防護(hù)措施以后，企圖入侵你的公司的信息系統(tǒng)的黑客要付出成數(shù)倍的代價(jià)才有可能到達(dá)入侵目的。這時(shí)，你的信息系統(tǒng)的平安系數(shù)得到了大大的提升。如果你擁有多層平安防護(hù)系統(tǒng)，則，黑客滲透進(jìn)來的本錢就更高，他們就需要更多的資源，而這些都是大多數(shù)潛在的黑客做不到的。多層平安防護(hù)系統(tǒng)使得入侵者更可能放棄對你系統(tǒng)的攻擊。如下列圖：就是冠群金辰的一個(gè)解決方案圖：推薦廠商：SymantecCorpNAI冠群金辰安氏CheckPointNetworkAssociates，Inc的InternetSecuritySuite(ISS)/RealSecureCisco的CiscoNetRanger中科網(wǎng)威的天眼網(wǎng)絡(luò)偵測系統(tǒng)數(shù)據(jù)平安存儲平安存儲加密被廣泛地用到了USDP的整個(gè)系統(tǒng)中，*些關(guān)鍵信息例如密碼關(guān)鍵以及相關(guān)重要業(yè)務(wù)數(shù)據(jù)被加密保存在數(shù)據(jù)庫或文本中或其它邏輯存儲設(shè)備中，這樣一來，連系統(tǒng)管理員也無法得到真實(shí)的數(shù)據(jù)，在系統(tǒng)中，只有在經(jīng)過我們的初始化的系統(tǒng)后，再添加一個(gè)管理員，只有這個(gè)管理員才能看到真正準(zhǔn)確的信息。傳輸平安數(shù)據(jù)在傳輸中，如果涉及到企業(yè)重要的信息，不能以明文方式出去，以免遭到不良動機(jī)的人竊下數(shù)據(jù)包，再加以組合從而看到企業(yè)的信息，為了不致使數(shù)據(jù)被竊，其中數(shù)據(jù)傳輸中，我們可以采用SSL加密來保證傳輸?shù)钠桨残浴?．SSL〔SecureSocketLayer〕協(xié)議是由Netscape首先發(fā)表的網(wǎng)絡(luò)資料平安傳輸協(xié)定，其首要目的是在兩個(gè)通信間提供秘密而可靠的連接。該協(xié)議由兩層組成，底層是建立在可靠的傳輸協(xié)議〔例如：TCP〕上的是SSL的記錄層，用來封裝高層的協(xié)議。SSL握手協(xié)議準(zhǔn)許效勞器端與客戶端在開場傳輸數(shù)據(jù)前，能夠通過特定的加密算法相互鑒別。SSL的先進(jìn)之處在于它是一個(gè)獨(dú)立的應(yīng)用協(xié)議，其它更高層協(xié)議能夠建立在SSL協(xié)議上。目前大局部的WebServer及Browser大多支持SSL的資料加密傳輸協(xié)定。因此，可以利用這個(gè)功能，將局部具有**性質(zhì)的網(wǎng)頁設(shè)定在加密的傳輸模式，如此即可防止資料在網(wǎng)絡(luò)上傳送時(shí)被其他人竊聽。SSL是利用公開密鑰的加密技術(shù)〔RSA〕來作為用戶端與主機(jī)端在傳送**資料時(shí)的加密通訊協(xié)定。目前，大局部的WebServer及Browser都廣泛使用SSL技術(shù)。對消費(fèi)者而言，SSL已經(jīng)解決了大局部的問題。但是，對電子商務(wù)而言問題并沒有完全解決，因?yàn)镾SL只做能到資料**，廠商無法確定是誰填下了這份資料，即使這一點(diǎn)做到了，還有和銀行清算的問題。還有一個(gè)文件存儲的平安性，這局部我們可以推薦用戶使用PGP對平安性要求高的文檔來加密。2．PGP〔PrettyGoodPrivacy〕目前，還有一種非常好的連接網(wǎng)絡(luò)與桌面的平安方法，PGP〔PrettyGoodPrivacy〕。PGP是一個(gè)公鑰加密程序，與以前的加密方法不同的是PGP公鑰加密的信息只能用私鑰解密。在傳統(tǒng)的加密方法中，通常一個(gè)密鑰既能加密也能解密。則在開場傳輸數(shù)據(jù)前，如何通過一個(gè)不平安的信道傳輸密鑰呢.使用PGP公鑰加密法，你可以廣泛傳播公鑰，同時(shí)平安地保存好私鑰。由于只有你可擁有私鑰，所以，任何人都可以用你的公鑰加密寫給你的信息，而不用擔(dān)憂信息被竊聽。使用PGP的另一個(gè)好處是可以在文檔中使用數(shù)字簽名。一個(gè)使用私鑰加密的密鑰只能用公鑰解密。這樣，如果人們閱讀用你的公鑰解密后的文件，他們就會確定只有你才能寫出這個(gè)文件。目前最新版本的PGP2。6。3是美國和加拿大使用的版本，PGP2.6.3i是一般Internet上使用的，它可以從.P下載。PGP是一個(gè)軟件加密程序，用戶可以使用它在不平安的通信鏈路上創(chuàng)立平安的消息和通信。PGP協(xié)議已經(jīng)成為公鑰加密技術(shù)和全球*圍消息平安性的事實(shí)標(biāo)準(zhǔn)。因?yàn)樗腥硕寄芸吹剿脑创a，從而查找出故障和平安性漏洞，所有的故障和漏洞都在發(fā)現(xiàn)后被改正了。此外，我們在維護(hù)或后臺采編信息到效勞器上時(shí)，我們用VPN來使內(nèi)外網(wǎng)聯(lián)合在一起，其中VPN的出入數(shù)據(jù)也嚴(yán)格經(jīng)過了加密，例如有些VPN廠商采用DES，3DES，RC4或RSA等強(qiáng)加密算法來加密，還有，我們在維護(hù)機(jī)器時(shí)，采用的軟件也最好使用有加密性平安性高的軟件，例如，telnet本身是幾乎以明文傳輸?shù)目刂瞥绦?，這時(shí)，我們最發(fā)采用SSH來代替。這時(shí)，我們在內(nèi)部工作時(shí)，采用雙種加密，使數(shù)據(jù)無論是在內(nèi)網(wǎng)還是在外網(wǎng)，都消除數(shù)據(jù)被竊聽的可能性。容災(zāi)系統(tǒng)容災(zāi)系統(tǒng)的構(gòu)造比擬復(fù)雜，一般來說，它首要的功能的數(shù)據(jù)備份功能，以防止硬碟在運(yùn)行時(shí)出現(xiàn)損壞時(shí)，這些自動地?cái)?shù)據(jù)實(shí)時(shí)地備份到備份設(shè)備如磁帶，磁碟等存貯介質(zhì)中，第二個(gè)容災(zāi)功能要求是當(dāng)系統(tǒng)出現(xiàn)不可測問題的，容災(zāi)系統(tǒng)的備份時(shí)機(jī)自動啟開工作，來接替主機(jī)的工作，使之系統(tǒng)能在24*7正常地工作。一般地，容災(zāi)系統(tǒng)的工程比擬大，消耗也比擬大，比擬對信息的實(shí)時(shí)性或平安性特別重要的情況下，一般要有一個(gè)容災(zāi)小組來規(guī)劃整個(gè)系統(tǒng)的災(zāi)難可能發(fā)生的情況及整個(gè)系統(tǒng)的運(yùn)行環(huán)境，以便于內(nèi)部實(shí)施或請專門的技術(shù)公司實(shí)施容災(zāi)系統(tǒng)。在備份方面，比擬成熟的技術(shù)有DAS(DirectAttachedStorage)，SAN(StorageAreaNetwork)和NAS(NetworkAttachStroage)。NAS與SAN都是在DAS的根底上開展起來的，是新型數(shù)據(jù)存儲模式中的兩個(gè)主要開展方向。而RAID只是三種存儲的一個(gè)常用根底存儲方式。1．DASTypicalLANusingDASDAS系統(tǒng)軟件安裝較為煩瑣，初始化RAID及調(diào)試第三方軟件一般需要兩天時(shí)間，無獨(dú)立的存儲操作系統(tǒng)，需相應(yīng)效勞器或客戶端支持，容易造成網(wǎng)絡(luò)癱瘓，管理較復(fù)雜。需要第三方軟件支持。由于各系統(tǒng)平臺文件系統(tǒng)不同，增容時(shí)需對各自系統(tǒng)分別增加數(shù)據(jù)存儲設(shè)備及管理軟件。異地備份，備份過程麻煩。依靠雙效勞器和相關(guān)軟件實(shí)現(xiàn)雙機(jī)容錯(cuò)功能，但兩效勞器同時(shí)發(fā)生故障，用戶就不能進(jìn)展數(shù)據(jù)存儲。而SAN和NAS在存貯上可以克制上述一些缺點(diǎn)2．SANSAN可以定義為是以數(shù)據(jù)存儲為中心，采用可伸縮的網(wǎng)絡(luò)拓?fù)錁?gòu)造，通過具有高傳輸速率的光通道的直接連接方式，提供SAN內(nèi)部任意節(jié)點(diǎn)之間的多路可選擇的數(shù)據(jù)交換，并且將數(shù)據(jù)存儲管理集中在相對獨(dú)立的存儲區(qū)域網(wǎng)內(nèi)。在多種光通道傳輸協(xié)議逐漸走向標(biāo)準(zhǔn)化并且跨平臺群集文件系統(tǒng)投入使用后，SAN最終將實(shí)現(xiàn)在多種操作系統(tǒng)下，最大限度的數(shù)據(jù)共享和數(shù)據(jù)優(yōu)化管理，以及系統(tǒng)的無縫擴(kuò)大。。TypicalLANusingSAN3．NAS網(wǎng)絡(luò)附加存儲設(shè)備〔NAS〕是一種專業(yè)的網(wǎng)絡(luò)文件存儲及文件備份設(shè)備，或稱為網(wǎng)絡(luò)直聯(lián)存儲設(shè)備、網(wǎng)絡(luò)磁盤陣列。一個(gè)NAS里面包括核心處理器，文件效勞管理工具，一個(gè)或者多個(gè)的硬盤驅(qū)動器用于數(shù)據(jù)的存儲。NAS可以應(yīng)用在任何的網(wǎng)絡(luò)環(huán)境當(dāng)中。主效勞器和客戶端可以非常方便地在NAS上存取任意格式的文件，包括SMB格式〔Windows〕NFS格式(Uni*，Linu*)和CIFS格式等等。NAS系統(tǒng)可以根據(jù)效勞器或者客戶端計(jì)算機(jī)發(fā)出的指令完成對內(nèi)在文件的管理。另外的特性包括：獨(dú)立于操作平臺，不同類的文件共享，穿插協(xié)議用戶平安性/許可性，瀏覽器界面的操作/管理，和不會中斷網(wǎng)絡(luò)的增加和移除效勞器。NAS是在RAID的根底上增加了存儲操作系統(tǒng)，而SAN是獨(dú)立出一個(gè)數(shù)據(jù)存儲網(wǎng)絡(luò)，網(wǎng)絡(luò)內(nèi)部的數(shù)據(jù)傳輸率很快，但操作系統(tǒng)仍停留在效勞器端，用戶不是在直接SAN的網(wǎng)絡(luò)，因此這就造成SAN在異構(gòu)環(huán)境下不能實(shí)現(xiàn)文件共享。NAS與SAN的數(shù)據(jù)存儲可通過下面的圖來表示：SAN存儲NAS存儲以上兩圖說明：SAN是只能獨(dú)享的數(shù)據(jù)存儲池，NAS是共享與獨(dú)享兼顧的數(shù)據(jù)存儲池。因此，NAS與SAN的關(guān)系也可以表述為：NAS是Network-attached，而SAN是Channel-attached。其中SAN實(shí)施費(fèi)用比擬高，但速度上很快，并且有一局部廠商實(shí)現(xiàn)在異種文件系統(tǒng)的共享，但一般來說，技術(shù)上有一定的故障。同SAN相比，NAS技術(shù)是相對成熟的。盡管有一些SAN文件共享解決方案存在，它們一般是針對特定的要求，多個(gè)效勞器要求高速的的接入通過私有的輕量級的協(xié)議來實(shí)現(xiàn)共享數(shù)據(jù)。NAS是網(wǎng)絡(luò)技術(shù)在存儲領(lǐng)域的延伸和開展，數(shù)據(jù)以文件的形式按照網(wǎng)絡(luò)協(xié)議在客戶機(jī)與存儲設(shè)備之間流動，它可以利用NFS實(shí)現(xiàn)異構(gòu)平臺的客戶機(jī)對數(shù)據(jù)的共享，集成在存儲設(shè)備內(nèi)的專用文件效勞器提高了文件傳輸?shù)腎/O速度。一旦用戶把互連性和多平臺性放在首位的時(shí)候，對NAS的考慮會多一些。但是，當(dāng)數(shù)據(jù)存儲開展到一定規(guī)模，NAS的缺陷就顯現(xiàn)出來，如數(shù)據(jù)效勞和數(shù)據(jù)管理形成了網(wǎng)絡(luò)的雙重負(fù)擔(dān)；磁盤陣列必須配置專用文件效勞器，后期擴(kuò)容本錢高；一般文件效勞器沒有高可用配置，有單點(diǎn)故障；通過網(wǎng)絡(luò)協(xié)議的方式，對存儲系統(tǒng)的數(shù)據(jù)平安構(gòu)成威脅等。顯然，NAS技術(shù)不能滿足可靠度為99。999%的數(shù)據(jù)存儲系統(tǒng)的要求。SAN主要針對海量/面向數(shù)據(jù)塊的數(shù)據(jù)傳輸，NAS提供文件級數(shù)據(jù)功能，另外，在一個(gè)系統(tǒng)中SAN和NAS可以并存推薦廠商： EMCVeritas IBM HPPro 神州數(shù)碼應(yīng)用平安平安的實(shí)施，一半在于根底的平安，另一半在于應(yīng)用和管理的平安，其中，應(yīng)用平安在整個(gè)USDP的產(chǎn)品中都考慮到比擬周全，使產(chǎn)品無論從邏輯上還是從功能上都能到達(dá)一個(gè)很平安的層次，首先，在功能上，我們采用了完全跨平臺的*ML來作為底層編層語言，用多層構(gòu)造來保證其可用性，可擴(kuò)展性和高度的可集成性，從而沉著不迫24*7提供很高的保證。在管理上，日志管理是一個(gè)很方便的監(jiān)視作用，他能動態(tài)地監(jiān)視用戶的每一個(gè)動作，從而可以從根本上指導(dǎo)用戶的操作，例如在培訓(xùn)方面，通過對日志的分析，可以看到一個(gè)用戶對系統(tǒng)應(yīng)用的掌握程度，如果在*一個(gè)環(huán)節(jié)出錯(cuò)，培訓(xùn)管理員或系統(tǒng)管理員可以通知是怎么出錯(cuò)，還有，日志還有動態(tài)歸檔功能，當(dāng)一個(gè)環(huán)節(jié)是由于操作不當(dāng)或其它原因，歸檔后用戶可以EMAIL到我們的技術(shù)支持來查看日志來得出原因。USDP產(chǎn)品可以從根本上看到用戶在系統(tǒng)中的每一個(gè)操作，并且只能管理員才能看到這些操作記錄，通過配置這些操作可以動態(tài)地以EMAIL，F(xiàn)A*或短消息發(fā)給特定的人。在邏輯上我以主要以下三個(gè)管理機(jī)制用戶平安所用用戶登錄必須通過一個(gè)入口登錄到系統(tǒng)，沒有驗(yàn)證的用戶是看不到系統(tǒng)的任何數(shù)據(jù)，因?yàn)?，我們的每一個(gè)頁面都有身份驗(yàn)證，并且，用戶登錄時(shí)，會動態(tài)地記下其登錄時(shí)間，用戶名以及IP等。另外，用戶管理是和權(quán)限控制聯(lián)系在一起的，在系統(tǒng)初始化后，有一個(gè)超級用戶，這個(gè)用戶可以添加其它用戶，例如倉管員，對于他的功能就只能調(diào)拔該倉的產(chǎn)品，可對其它財(cái)務(wù)數(shù)據(jù)來說，他是看不到的，這樣可以到達(dá)業(yè)務(wù)的一個(gè)比擬好的**性，在多用戶下，可以用角色來分配權(quán)限給用戶，這樣更加方便了系統(tǒng)的可操作性。數(shù)據(jù)平安在權(quán)限管理中，產(chǎn)品的管理上采用了地域的劃分法，倉庫和部門劃分等方法，力求把權(quán)限細(xì)分到最小化，而在操作上到達(dá)簡單化。在權(quán)限管理中，對權(quán)限的賦予和收回都采用了嚴(yán)格的措施，使用戶看處到他應(yīng)該得到到的數(shù)據(jù)，而其它數(shù)據(jù)的存在根本不知道，這在菜單上表現(xiàn)來說，如果用戶沒一個(gè)一級權(quán)限，則這個(gè)主菜單