企業(yè)信息安全解決實施方案456

...wd......wd......wd...企業(yè)信息安全解決方案白皮書目錄1概述31.1信息安全面臨的難題分析31.2如何實現(xiàn)高效卓越的企業(yè)信息安全體系41.3信息安全方案特點61.3.1設(shè)計根本原則61.3.2建設(shè)目標(biāo)及要求71.4安全體系根本內(nèi)容81.5安全體系構(gòu)造建議81.6信息安全通用方案91.6.1安全系統(tǒng)架構(gòu)91.6.2安全管理系統(tǒng)-制度建設(shè)101.6.3邊界防護(hù)設(shè)計111.6.4系統(tǒng)安全保護(hù)131.6.5應(yīng)用系統(tǒng)安全151.6.6數(shù)據(jù)安全防護(hù)161.6.7安全保障手段和技術(shù)方法要求161.7信息安全專項方案171.7.14A安全解決方案171.7.2PKI安全解決方案21概述信息安全面臨的難題分析網(wǎng)絡(luò)帶給人們很大便利，但互聯(lián)網(wǎng)是一個面向群眾的公開網(wǎng)絡(luò)，存在安全隱患。網(wǎng)絡(luò)的安全形勢日趨嚴(yán)峻，對很多公司來說，信息安全不僅是挑戰(zhàn)技術(shù)，更是生存的歷練。一般來說，公司關(guān)注的安全威脅包括下面幾種〔按照關(guān)注程度從高到低排序〕：病毒或蠕蟲間諜軟件/流氓軟件垃圾郵件未經(jīng)授權(quán)的雇員對文件或數(shù)據(jù)的訪問外部人員偷竊客戶數(shù)據(jù)網(wǎng)絡(luò)釣魚和域欺騙帶有公司數(shù)據(jù)的可移動設(shè)備遺失或失竊知識產(chǎn)權(quán)失竊拒絕服務(wù)攻擊或其他網(wǎng)絡(luò)攻擊僵尸網(wǎng)絡(luò)對IT資源的遠(yuǎn)程控制對無線/RFID系統(tǒng)的攻擊VoIP入侵公司在安全防范方面進(jìn)展投資以期獲得回報，一般來說，是為了到達(dá)幾個目的：員工處理安全相關(guān)問題的時間減少更好地保護(hù)客戶數(shù)據(jù)安全漏洞減少網(wǎng)絡(luò)宕機(jī)時間減少改良對知識產(chǎn)權(quán)的保護(hù)采取更好的風(fēng)險管理策略用于處理偶發(fā)時間的時間減少這些年來，一系列財務(wù)失敗事件的發(fā)生加強(qiáng)了人們對企業(yè)風(fēng)險的關(guān)注。美國在2002年公布了《薩班斯-奧克斯利法案》，我國相關(guān)部委也發(fā)布了有著中國薩班斯法案之稱的《企業(yè)內(nèi)部控制根本標(biāo)準(zhǔn)》。內(nèi)控標(biāo)準(zhǔn)要求企業(yè)將內(nèi)部控制框架納入企業(yè)風(fēng)險管理框架中，要求企業(yè)進(jìn)展信息化系統(tǒng)落地，要求企業(yè)遵從財政部、國資委相關(guān)管理條文要求，特別是在戰(zhàn)略、財務(wù)、法律風(fēng)險管理信息的搜集、風(fēng)險評估、風(fēng)險行為管理等方面，符合深交所、上交所關(guān)于上市公司加強(qiáng)內(nèi)部控制和信息披露方面的要求和控制點。如何實現(xiàn)高效卓越的企業(yè)信息安全體系企業(yè)需要評估IT安全風(fēng)險，獲得相關(guān)建議，降低安全復(fù)雜度，并量化安全投資的價值。企業(yè)一般以信息化根基架構(gòu)作為信息安全的切入點，希望防患于未然，將安全嵌入到業(yè)務(wù)流程和內(nèi)控制度中，提供更好的整合度，變?nèi)斯じ深A(yù)為自動化，從而提升管理和監(jiān)控的效能。企業(yè)也認(rèn)識到，需要與國際安全標(biāo)準(zhǔn)接軌，在內(nèi)部貫徹ISO27001和ISO2000、ITIL，能更好保證管控制度落地，有效杜絕安全隱患。我們建議，實現(xiàn)高效卓越的企業(yè)信息安全體系，可以參考如下過程，同時這也是我公司的信息安全咨詢服務(wù)流程：首先，基于企業(yè)自身安全方面的成熟度和企業(yè)信息安全需求，結(jié)合國家和行業(yè)政策標(biāo)準(zhǔn)要求，進(jìn)展合理評估，制定最正確的安全策略和風(fēng)險防御方案。在瞬息萬變的形勢下，企業(yè)應(yīng)從整體角度考慮信息安全的投資和安全保障風(fēng)險的價值，制定符合自身需求的安全策略和風(fēng)險防御方案，并隨著市場壓力的變化和業(yè)務(wù)目標(biāo)的調(diào)整，不斷調(diào)整企業(yè)自身的應(yīng)對策略，追求安全能力的動態(tài)平衡。企業(yè)的治理活動包括設(shè)定經(jīng)營戰(zhàn)略和目標(biāo),確定風(fēng)險偏好。制定內(nèi)部政策和監(jiān)視績效;風(fēng)險管理活動包括識別和評價那些可能會影響目標(biāo)實現(xiàn)能力的風(fēng)險,應(yīng)用風(fēng)險管理來獲得競爭優(yōu)勢和確定風(fēng)險應(yīng)對策略和控制活動;遵守活動包括遵照目標(biāo)經(jīng)營,確保遵守法律和法規(guī)、內(nèi)部政策與程序以及利益相關(guān)者的委托。其次，對企業(yè)進(jìn)展信息安全能力評級，結(jié)合各類風(fēng)險知識庫和標(biāo)準(zhǔn)的風(fēng)險評估流程，從資產(chǎn)調(diào)查開場，進(jìn)展安全管理評估、網(wǎng)絡(luò)安全評估、應(yīng)用安全評估、主機(jī)安全評估和漏洞測試，進(jìn)展系統(tǒng)安全等級評價和差距評估。然后，構(gòu)筑企業(yè)的信息安全路線圖，尋求安全的解決之道，通過信息安全技術(shù)與產(chǎn)品的優(yōu)化組合，尋求最優(yōu)解決方案。最后，提出實施方案，進(jìn)展安全體系實施，形成安全的最正確實踐，并在此實踐的根基上進(jìn)展日常運營和持續(xù)改良。在整個安全體系的建設(shè)過程中，應(yīng)重點梳理業(yè)務(wù)系統(tǒng)相關(guān)實施與運維支持相關(guān)的制度和流程，以內(nèi)控管理制度為根基，參考ISO20000及ISO270001相關(guān)標(biāo)準(zhǔn)，設(shè)計具有一定前瞻性的業(yè)務(wù)系統(tǒng)內(nèi)控體系框架；對業(yè)務(wù)系統(tǒng)關(guān)鍵流程、風(fēng)險控制、制度及文檔體系進(jìn)展評估，提出內(nèi)部整改方案，與信息安全解決方案整體考慮，統(tǒng)一實施。在公司控制層上，應(yīng)形成有效的IT治理架構(gòu)、IT戰(zhàn)略與規(guī)劃、IT組織與政策等。我公司信息安全解決之道：我公司擁有多年的企業(yè)信息化建設(shè)的經(jīng)歷，在企業(yè)信息安全方面可以提供專業(yè)經(jīng)歷和行業(yè)知識，能夠運用我們的解決方案和專業(yè)技術(shù)，確定業(yè)務(wù)和技術(shù)的開展趨勢并尋求最正確解決方案來幫助客戶。我們的咨詢團(tuán)隊可以深入了解客戶業(yè)務(wù)，幫助客戶實現(xiàn)卓越高效的信息安全。在信息安全的幾個領(lǐng)域，我們擁有先進(jìn)技術(shù)或有長期合作的技術(shù)領(lǐng)先的公司，我們攜手合作，為客戶提供最正確的服務(wù)。比方，在身份認(rèn)證和訪問管理方面，我們與日本NTTData合作，提出統(tǒng)一用戶管理VIM和單點登錄〔SSO〕產(chǎn)品解決方案；在數(shù)據(jù)安全和隱私方面的保護(hù)方面，我們提出DRM數(shù)字版權(quán)管理解決方案，可以有效防范數(shù)據(jù)泄密，保證數(shù)字產(chǎn)品的授權(quán)、加密、閱讀、轉(zhuǎn)換等過程中的數(shù)字版權(quán)保護(hù)；在企業(yè)安全應(yīng)用、根基架構(gòu)安全以及業(yè)務(wù)的連續(xù)性管理方面，我們結(jié)合日立公司的系統(tǒng)運行管理軟件和桌面管理軟件，全面介紹這方面的解決方案。信息安全方案特點設(shè)計根本原則安全體系建設(shè)總體目標(biāo)是：對企業(yè)信息化進(jìn)展全方位、分層次的安全保護(hù)，建設(shè)動態(tài)信息安全防護(hù)體系，實現(xiàn)加強(qiáng)系統(tǒng)的安全，保障網(wǎng)絡(luò)的暢通及相關(guān)應(yīng)用系統(tǒng)的可靠運行，減少各種安全事件對信息系統(tǒng)的威脅，防止信息安全事件造成的損失。建設(shè)系統(tǒng)安全體系應(yīng)遵循以下原則：整體性原則構(gòu)造化分析安全問題，做到全面覆蓋，突出重點符合性、標(biāo)準(zhǔn)化與標(biāo)準(zhǔn)化原則依據(jù)國家信息安全政策、符合相關(guān)法規(guī)標(biāo)準(zhǔn)要求。安全體系的整體設(shè)計要求基于國際標(biāo)準(zhǔn)和國家公布的有關(guān)標(biāo)準(zhǔn)〔比方：等級保護(hù)、分級保護(hù)、SOX、企業(yè)內(nèi)部控制根本標(biāo)準(zhǔn)等〕，堅持統(tǒng)一、標(biāo)準(zhǔn)、標(biāo)準(zhǔn)的原則，為未來業(yè)務(wù)開展奠定良好的根基。針對性原則根據(jù)客戶組織構(gòu)造特點，網(wǎng)絡(luò)特點、業(yè)務(wù)特點，針對性解決安全問題?？沙掷m(xù)性，靈活性與可擴(kuò)展性原則應(yīng)滿足信息系統(tǒng)全生命周期的持續(xù)安全保障要求。安全體系設(shè)計必須具有良好的靈活性與可擴(kuò)展性，能夠根據(jù)業(yè)務(wù)不斷深入開展的需要，提供技術(shù)升級、系統(tǒng)更新的靈活性。在軟件升級時不應(yīng)影響組織的日常辦公工作?？晒芾硇耘c易維護(hù)性原則隨著公司業(yè)務(wù)的不斷開展，安全管理任務(wù)必定會日益繁重，因此系統(tǒng)安全體系的建設(shè)必須有良好的可管理性和易維護(hù)性。建設(shè)目標(biāo)及要求信息安全保障工程建設(shè)的總體目標(biāo)是：切實為信息系統(tǒng)提供可靠的安全服務(wù)，增強(qiáng)信息系統(tǒng)安全性，從技術(shù)角度防范信息系統(tǒng)安全風(fēng)險，為促進(jìn)業(yè)務(wù)系統(tǒng)效率提供安全保障，實現(xiàn)系統(tǒng)的安全資源共享和相互配合服務(wù)，為信息系統(tǒng)數(shù)據(jù)傳輸提供安全保障，全面推動信息系統(tǒng)安全在系統(tǒng)中的應(yīng)用。安全體系建設(shè)的具體目標(biāo)：構(gòu)建可信可控的網(wǎng)絡(luò)平臺合理劃分安全域，明確不同安全域之間的信任關(guān)系，并相應(yīng)地采取物理隔離、防火墻、訪問控制列表等安全措施，實現(xiàn)不同安全域之間網(wǎng)絡(luò)層面的訪問控制和檢測；構(gòu)建安全可靠的系統(tǒng)平臺通過部署完善的各安全子系統(tǒng)及存儲藏份系統(tǒng)，并結(jié)合全面的安全服務(wù)和管理，實現(xiàn)系統(tǒng)層面的訪問控制和數(shù)據(jù)的存儲安全；構(gòu)建安全有效的管理平臺在充分利用目前先進(jìn)的安全技術(shù)的根基上，加強(qiáng)管理建設(shè)，建設(shè)有效的責(zé)任機(jī)制、人才培訓(xùn)機(jī)制、應(yīng)急響應(yīng)機(jī)制，完善安全管理制度，為信息化建設(shè)和運維提供安全有效的管理保障。安全體系根本內(nèi)容信息系統(tǒng)安全管理是由用戶、應(yīng)用軟件廠商、系統(tǒng)軟件廠商、硬件設(shè)備廠商等多方提供的，對于安全體系的分析大體如下：系統(tǒng)安全應(yīng)包含以下三方面的內(nèi)容：保密性：防止網(wǎng)絡(luò)中信息被泄漏或被非授權(quán)實體使用，確保信息只能由授權(quán)實體知曉和使用；完整性：系統(tǒng)的數(shù)據(jù)不被無意或蓄意的刪除、修改、偽造、亂序、重放、插入或破壞。數(shù)據(jù)只能由授權(quán)實體修改；可用性：數(shù)據(jù)或服務(wù)在需要時允許授權(quán)個人或?qū)嶓w使用。從網(wǎng)絡(luò)安全技術(shù)的觀點分析，安全問題分以下幾類：1、物理安全：是主機(jī)和網(wǎng)絡(luò)設(shè)備等硬件的安全。2、網(wǎng)絡(luò)安全：通過網(wǎng)絡(luò)鏈路傳送的數(shù)據(jù)被竊聽；非法用戶與非授權(quán)的客戶的非法使用，而造成網(wǎng)絡(luò)路由錯誤，信息被攔截或監(jiān)聽。3、系統(tǒng)安全：目前流行的許多操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)均存在系統(tǒng)安全漏洞，如Windows操作系統(tǒng)和其它一些操作系統(tǒng)。4、應(yīng)用安全：事實上在網(wǎng)絡(luò)系統(tǒng)之上的應(yīng)用軟件服務(wù)，如應(yīng)用服務(wù)器、電子郵件服務(wù)器、Web服務(wù)器等均存在大量的安全隱患，很容易受到病毒、黑客的攻擊。5、信息安全：包括標(biāo)準(zhǔn)化操作、合法性使用、防止信息泄露、信息篡改、信息抵賴、信息假冒等等。安全體系構(gòu)造建議本系統(tǒng)的安全體系的整體建議分為三個層面：安全組織體系、安全管理體系、安全技術(shù)體系。本系統(tǒng)的安全體系構(gòu)造中的安全技術(shù)體系需要與系統(tǒng)開發(fā)技術(shù)嚴(yán)密結(jié)合，大體框架為以下列圖中間局部所標(biāo)示：信息安全通用方案安全系統(tǒng)架構(gòu)一般來說，信息系統(tǒng)在網(wǎng)絡(luò)布局上包括了互聯(lián)網(wǎng)、專網(wǎng)、局域網(wǎng)；在業(yè)務(wù)類型上分為公開信息系統(tǒng)和受控信息系統(tǒng)；在數(shù)據(jù)存儲和傳輸上分為可公開資源和保護(hù)資源，為此將交易系統(tǒng)安全架構(gòu)分為：網(wǎng)絡(luò)系統(tǒng)安全、應(yīng)用系統(tǒng)安全和數(shù)據(jù)安全。應(yīng)從安全管理機(jī)構(gòu)、安全管理制度、安全管理技術(shù)和安全教育培訓(xùn)等方面加強(qiáng)信息管理系統(tǒng)的安全性。安全系統(tǒng)從架構(gòu)上分為多層，每個安全層有各自的功能和作用范圍，如以下列圖所示。網(wǎng)絡(luò)系統(tǒng)安全邊界安全防護(hù)：為信息管理系統(tǒng)網(wǎng)絡(luò)系統(tǒng)提供根本防護(hù)服務(wù)，包括防火墻、入侵檢測。操作系統(tǒng)安全保護(hù)：漏洞掃描、防病毒、網(wǎng)頁防篡改等。故障恢復(fù)和備份服務(wù)：保證出現(xiàn)意外事故時系統(tǒng)運行的連續(xù)性，信息系統(tǒng)應(yīng)具備可靠、可查、可恢復(fù)等。應(yīng)用系統(tǒng)安全認(rèn)證與授權(quán)：為應(yīng)用系統(tǒng)提供身份認(rèn)證、授權(quán)服務(wù)和訪問控制等。數(shù)據(jù)安全防護(hù)數(shù)據(jù)安全防護(hù)：主要提供包括加解密、簽名及簽名驗證等安全服務(wù)，以支持信息的機(jī)密性、完整性和不可抵賴性。安全管理系統(tǒng)從行政管理和制度建設(shè)方面全面建設(shè)安全管理系統(tǒng)。安全信任系統(tǒng)構(gòu)筑安全信任系統(tǒng)，通過PKI、密碼服務(wù)系統(tǒng)的建設(shè)保障身份認(rèn)證、權(quán)限認(rèn)證、和數(shù)據(jù)加密過程的安全控制；通過DRM數(shù)字版權(quán)保護(hù)系統(tǒng)的實施，從根本上解決文件泄密，到達(dá)知識產(chǎn)權(quán)保護(hù)的目的。安全管理系統(tǒng)-制度建設(shè)ISO27001信息安全管理體系標(biāo)準(zhǔn)〔ISO27001)可有效保護(hù)信息資源,保護(hù)信息化進(jìn)程安康、有序、可持續(xù)開展。ISO27001是信息安全領(lǐng)域的管理體系標(biāo)準(zhǔn)，類似于質(zhì)量管理體系認(rèn)證的ISO9000標(biāo)準(zhǔn)。ITILITIL是InformationTechnologyInfrastructureLibrary的縮寫。ITIL融合全球最正確實踐，是IT部門用于方案、研發(fā)、實施和運維的高質(zhì)量的服務(wù)準(zhǔn)則，是目前全球IT服務(wù)領(lǐng)域最受認(rèn)可的系統(tǒng)而實用的構(gòu)造化方法。ITIL已經(jīng)成為IT服務(wù)管理領(lǐng)域最正確實踐事實上的國際標(biāo)準(zhǔn)。ITIL可以與ISO9001兼容，提高IT組織服務(wù)質(zhì)量。ISO20000 ISO20000標(biāo)準(zhǔn)著重于通過“IT服務(wù)標(biāo)準(zhǔn)化〞來管理IT問題，即將IT問題歸類，識別問題的內(nèi)在聯(lián)系，然后依據(jù)服務(wù)水準(zhǔn)協(xié)議進(jìn)展方案、推行和監(jiān)控，并強(qiáng)調(diào)與客戶的溝通。該標(biāo)準(zhǔn)同時關(guān)注體系的能力，體系變更時所要求的管理水平、財務(wù)預(yù)算、軟件控制和分配。邊界防護(hù)設(shè)計概述建設(shè)網(wǎng)絡(luò)防護(hù)系統(tǒng)的目的是將網(wǎng)絡(luò)系統(tǒng)在計算機(jī)網(wǎng)絡(luò)的鏈路層、網(wǎng)絡(luò)層和傳輸層建設(shè)各個局部網(wǎng)絡(luò)的邊界安全防護(hù)體系，把可能出現(xiàn)的網(wǎng)絡(luò)安全風(fēng)險減少到較小的程度，與其它安全防護(hù)措施配合工作，保證整個網(wǎng)絡(luò)的安全。網(wǎng)絡(luò)層安全保護(hù)也可稱為邊界防護(hù)，是指在屬于可信安全域的內(nèi)部網(wǎng)絡(luò)與不可信的外部網(wǎng)絡(luò)連接時，對內(nèi)部網(wǎng)絡(luò)與外部網(wǎng)絡(luò)連接的邊界進(jìn)展保護(hù)。這一概念不但適用于各交易中心網(wǎng)絡(luò)與專網(wǎng)之間的防護(hù)關(guān)系，也能運用在各個業(yè)務(wù)子網(wǎng)之間的安全保護(hù)中。網(wǎng)絡(luò)層邊界保護(hù)方案根據(jù)安全保障體系建設(shè)的要求，通過各種邊界保護(hù)策略，提供全面的邊界保護(hù)，這里本著多重深度防御的思想。設(shè)計標(biāo)準(zhǔn)和依據(jù)〈〈計算機(jī)信息系統(tǒng)安全等級保護(hù)通用技術(shù)要求〉〉；〈〈計算機(jī)信息系統(tǒng)安全等級保護(hù)網(wǎng)絡(luò)技術(shù)要求〉〉；〈〈計算機(jī)信息系統(tǒng)安全等級保護(hù)操作系統(tǒng)技術(shù)要求〉〉。主要功能1、防火墻1〕布署位置與互聯(lián)網(wǎng)連接的外網(wǎng)接口處；核心數(shù)據(jù)存儲區(qū)入口處；與專網(wǎng)連接的入口處；2〕根本功能對防火墻保護(hù)的內(nèi)部網(wǎng)絡(luò)提供的服務(wù)進(jìn)展限制—服務(wù)過濾；對防火墻保護(hù)的內(nèi)部網(wǎng)絡(luò)提供訪問地址限制—IP地址過濾；對防火墻保護(hù)的內(nèi)部網(wǎng)絡(luò)提供屏蔽保護(hù)并提供附加地址資源—NAT網(wǎng)絡(luò)地址轉(zhuǎn)換；對合法的訪問連接動態(tài)地翻開所需的端口，并在連接完畢的時候，自動地關(guān)閉—動態(tài)過濾；提供網(wǎng)絡(luò)數(shù)據(jù)流的安全審計功能，提供網(wǎng)絡(luò)活動日志，并對局部網(wǎng)絡(luò)攻擊和可疑網(wǎng)絡(luò)活動報警。連接到高風(fēng)險外部網(wǎng)絡(luò)的內(nèi)部網(wǎng)絡(luò)，必然會遭受攻擊。這需要網(wǎng)絡(luò)管理員審計通過防火墻的重要信息，并及時響應(yīng)審計發(fā)現(xiàn)的問題和報警信息；提供安全代理訪問、防止某些利用異常協(xié)議數(shù)據(jù)進(jìn)展的網(wǎng)絡(luò)攻擊；支持設(shè)定多種安全域，并對各個安全域?qū)嵤┎煌陌踩呗?。包括在?nèi)部網(wǎng)絡(luò)節(jié)點和外部網(wǎng)之間設(shè)立非軍事區(qū)DMZ域；支持設(shè)備的MAC地址與IP地址綁定，可以防止內(nèi)部網(wǎng)絡(luò)的IP偽冒和濫用；具有一定的分布式拒絕服務(wù)攻擊抵御能力。2、入侵檢測現(xiàn)代信息安全保障體系建設(shè)要求對安全環(huán)境進(jìn)展動態(tài)監(jiān)測，以便能夠發(fā)現(xiàn)安全態(tài)勢的變化，檢測外部入侵，發(fā)現(xiàn)違規(guī)網(wǎng)絡(luò)活動。因此需要在信息系統(tǒng)網(wǎng)絡(luò)節(jié)點配置網(wǎng)絡(luò)入侵檢測系統(tǒng)〔IDS〕。布署位置與互聯(lián)網(wǎng)連接的外網(wǎng)接口處。根本功能入侵是破壞計算機(jī)或網(wǎng)絡(luò)系統(tǒng)信息保密性、完整性、可用性的行為。包括來自目標(biāo)網(wǎng)絡(luò)外部的非法入侵和授權(quán)用戶進(jìn)展的違規(guī)訪問。入侵檢測系統(tǒng)能夠監(jiān)視和分析發(fā)生在計算機(jī)系統(tǒng)或者網(wǎng)絡(luò)上的事件，并根據(jù)系統(tǒng)安全策略進(jìn)展攻擊響應(yīng)。網(wǎng)絡(luò)入侵檢測系統(tǒng)以嗅探器方式偵聽網(wǎng)絡(luò)信息流，分析截獲的網(wǎng)絡(luò)數(shù)據(jù)包，發(fā)現(xiàn)入侵或異常行為，并進(jìn)展報警、記日志和攻擊阻斷等響應(yīng)。IDS能夠全面的記錄和管理日志，進(jìn)展離線分析，并對特殊事件提供回放功能。3、路由控制除了利用防火墻進(jìn)展根本網(wǎng)絡(luò)邊界保護(hù)以外，可以利用具有網(wǎng)絡(luò)控制功能的設(shè)施進(jìn)展輔助網(wǎng)絡(luò)邊界保護(hù)，這就是路由控制機(jī)制。路由控制機(jī)制主要是依靠路由器、交換機(jī)等智能網(wǎng)絡(luò)設(shè)備來實現(xiàn)，利用路由控制機(jī)制可以實現(xiàn)內(nèi)部的網(wǎng)絡(luò)安全分割。布署位置與互聯(lián)網(wǎng)連接處；與專網(wǎng)的連接處；根本功能路由器具有ACL訪問控制功能，能夠?qū)崿F(xiàn)基于簡單安全策略的數(shù)據(jù)包過濾，可以用于實現(xiàn)輔助網(wǎng)絡(luò)邊界保護(hù)。雖然路由器的訪問控制功能和安全保護(hù)性能不如防火墻，在一些未配置防火墻的網(wǎng)絡(luò)節(jié)點，它可以局部代替防火墻功能?？狗植际骄芙^服務(wù)〔DDOS〕攻擊，分布式拒絕服務(wù)攻擊網(wǎng)絡(luò)系統(tǒng)的可用性，是一種難以防范的網(wǎng)絡(luò)攻擊形式，通過路由控制可以抵御DDOS攻擊。4、虛擬局域網(wǎng)VLAN在交換以太網(wǎng)環(huán)境下，利用虛擬局域網(wǎng)VLAN技術(shù)可以有效地改善網(wǎng)絡(luò)安全性和網(wǎng)絡(luò)性能。VLAN是指在交換局域網(wǎng)的根基上，通過支持VLAN的交換機(jī)系統(tǒng)構(gòu)建的可跨越不同網(wǎng)段、不同網(wǎng)絡(luò)的端到端的邏輯網(wǎng)絡(luò)。一個 VLAN組成一個邏輯子網(wǎng)，即一個邏輯播送域，它可以覆蓋多個網(wǎng)絡(luò)設(shè)備，允許處于不同地理位置的網(wǎng)絡(luò)用戶參加到一個邏輯子網(wǎng)中。系統(tǒng)網(wǎng)絡(luò)的VLAN劃分可根據(jù)子網(wǎng)構(gòu)造和網(wǎng)絡(luò)應(yīng)用系統(tǒng)的實際情況，按以上策略進(jìn)展劃分，并根據(jù)系統(tǒng)安全策略控制相應(yīng)VLAN的訪問權(quán)限。外網(wǎng)區(qū)網(wǎng)絡(luò)安全策略外網(wǎng)的防護(hù)是邊界防護(hù)的重點，它包括了防火墻、入侵檢測、路由控制。其中防火墻采用雙機(jī)熱備份構(gòu)造，防止出現(xiàn)“單一失效點〞。在外網(wǎng)與內(nèi)網(wǎng)數(shù)據(jù)區(qū)之間采用邏輯隔離保護(hù)措施。核心數(shù)據(jù)區(qū)網(wǎng)絡(luò)安全策略由于核心數(shù)據(jù)區(qū)的重要性，為其配備了防火墻、入侵檢測、VLAN以及基于設(shè)備的安全認(rèn)證系統(tǒng)?！舶踩J(rèn)證系統(tǒng)不屬于網(wǎng)絡(luò)層面的防護(hù)體系，它是基于PKI的高級信任設(shè)施，屬于交易中心總體安全架構(gòu)的內(nèi)容?！硲?yīng)用業(yè)務(wù)區(qū)網(wǎng)絡(luò)安全策略各個應(yīng)用子系統(tǒng)之間采用邏輯隔離保護(hù)措施，包括了防火墻和VLAN劃分。系統(tǒng)安全保護(hù)概述操作系統(tǒng)是業(yè)務(wù)和關(guān)鍵信息的主要承載體，只有保障操作系統(tǒng)平臺的安全和正常運行，才能保證系統(tǒng)為用戶提供各種應(yīng)用服務(wù)。對主機(jī)操作系統(tǒng)的保護(hù)成為系統(tǒng)安全防御中的重中之重。多數(shù)的攻擊和入侵目標(biāo)是網(wǎng)絡(luò)中的主機(jī)。針對主機(jī)操作系統(tǒng)的安全威脅主要包括：計算機(jī)病毒感染、系統(tǒng)漏洞、非法攻擊、特洛伊木馬等。操作系統(tǒng)保護(hù)包括對重要服務(wù)器和主機(jī)的保護(hù)。操作系統(tǒng)保護(hù)的總體目標(biāo)是保障操作系統(tǒng)平臺的安全和正常運行，為應(yīng)用系統(tǒng)提供及時多樣的服務(wù)。主要功能1、病毒防治本方案中的病毒防治系統(tǒng)主要對安全支撐平臺中可能感染的病毒進(jìn)展查殺，具有如下根本功能：支持對網(wǎng)絡(luò)、服務(wù)器和工作站進(jìn)展實時病毒監(jiān)控；能夠在中心控制臺上向多個目標(biāo)系統(tǒng)分發(fā)新版殺毒軟件；能夠在中心控制臺上對多個目標(biāo)系統(tǒng)監(jiān)視病毒防治情況；支持多種平臺的病毒防范；支持對Internet/Intranet服務(wù)器的病毒防治，能夠阻止惡意的Java或ActiveX小程序的破壞；支持對電子郵件附件的病毒防治，包括WORD、EXCEL中的宏病毒；支持對壓縮文件的病毒檢測；支持廣泛的病毒處理選項，如對染毒文件進(jìn)展實時殺毒，移出，刪除，重命名等；提供對病毒特征信息和檢測引擎的定期在線更新服務(wù)；支持日志記錄功能；支持多種方式的告警功能〔聲音、圖像、EMAIL等〕。2、漏洞掃描漏洞可以分為：設(shè)計漏洞：系統(tǒng)設(shè)計缺陷；實現(xiàn)漏洞：軟件編碼缺陷；配置漏洞：系統(tǒng)參數(shù)錯誤；漏洞的防范是增強(qiáng)系統(tǒng)安全的主要手段之一。通過調(diào)整系統(tǒng)配置、軟件升級和給系統(tǒng)打安全補(bǔ)丁改善系統(tǒng)安全狀況，其中最主要的是操作系統(tǒng)內(nèi)核的加固：采用高等級安全操作系統(tǒng)是解決系統(tǒng)安全的根本性方法。目前安全操作系統(tǒng)的應(yīng)用受到安全操作系統(tǒng)產(chǎn)品本身成熟度和所支持的應(yīng)用系統(tǒng)與輔助硬件的限制。操作系統(tǒng)的內(nèi)核加固是可選擇的改善操作系統(tǒng)安全性的重要途徑。對特別重要的主機(jī)系統(tǒng)進(jìn)展操作系統(tǒng)內(nèi)核加固。3、黑客防護(hù)網(wǎng)絡(luò)黑客而言，他們的主要目的在于竊取數(shù)據(jù)和非法修改系統(tǒng)，其手段之一是竊取合法用戶的口令，在合法身份的掩護(hù)下進(jìn)展非法操作；其手段之二便是利用網(wǎng)絡(luò)操作系統(tǒng)的某些合法但不為系統(tǒng)管理員和合法用戶所熟知的操作指令。信息網(wǎng)絡(luò)系統(tǒng)要彌補(bǔ)這些漏洞，需要使用專門的系統(tǒng)風(fēng)險評估工具，來幫助系統(tǒng)管理員找出哪些指令是不應(yīng)該安裝的，哪些指令是應(yīng)該縮小其用戶使用權(quán)限的。在完成了這些工作之后，操作系統(tǒng)自身的安全性問題將在一定程度上得到保障。這里包括主頁防篡改技術(shù)。4、系統(tǒng)監(jiān)控安全審核在系統(tǒng)外部對受保護(hù)的系統(tǒng)自動地模擬各種訪問動作，通過系統(tǒng)對這些動作的響應(yīng)對系統(tǒng)的安全狀況進(jìn)展評估。安全審核通過改善系統(tǒng)對經(jīng)典安全模型的實現(xiàn)〔包括安全機(jī)制的實現(xiàn)和使用〕到達(dá)增強(qiáng)安全性的目的，典型的產(chǎn)品如ISS的掃描器。系統(tǒng)監(jiān)控：在交易中心和各分中心分別建設(shè)網(wǎng)絡(luò)系統(tǒng)監(jiān)控系統(tǒng)，提供對網(wǎng)絡(luò)服務(wù)器和網(wǎng)絡(luò)交換設(shè)備的監(jiān)控。應(yīng)用系統(tǒng)安全應(yīng)用系統(tǒng)的安全方案涉及以下幾個方面的建設(shè)：身份認(rèn)證服務(wù)系統(tǒng)；訪問控制及授權(quán)管理；數(shù)據(jù)加密；操作留痕。身份認(rèn)證服務(wù)系統(tǒng)身份認(rèn)證系統(tǒng)基于PKI體系架構(gòu)，利用公鑰證書在系統(tǒng)中說明個體和機(jī)構(gòu)的身份，該公鑰證書和密碼系統(tǒng)結(jié)合可以為應(yīng)用系統(tǒng)提供安全保障。身份認(rèn)證要解決的根本問題是驗證操作者有效性問題，PKI應(yīng)用的核心就是利用數(shù)字證書實現(xiàn)身份認(rèn)證，這種證書稱為公鑰證書或簽名證書。身份認(rèn)證服務(wù)系統(tǒng)的作用范圍主要包括以下幾個方面：應(yīng)用系統(tǒng)的管理平臺，用于提供管理員登錄的身份驗證；各個應(yīng)用系統(tǒng)的信息維護(hù)平臺，用于對子系統(tǒng)維護(hù)的注冊認(rèn)證；各種設(shè)備之間的訪問接入，提供了對各種設(shè)備的身份注冊和認(rèn)證。授權(quán)管理與權(quán)限認(rèn)證任何多用戶的信息系統(tǒng)不可防止的涉及到權(quán)限管理問題，系統(tǒng)的使用者越多、使用者本身的社會屬性或分工越復(fù)雜，權(quán)限問題也就越復(fù)雜。本系統(tǒng)基于傳統(tǒng)權(quán)限訪問控制技術(shù)，實現(xiàn)統(tǒng)一用戶管理系統(tǒng)，能實現(xiàn)統(tǒng)一的用戶身份和角色管理、系統(tǒng)級訪問控制管理和統(tǒng)一的注冊認(rèn)證，同時為各應(yīng)用系統(tǒng)提供用戶信息共享服務(wù)，實現(xiàn)單點登錄、互聯(lián)互通。數(shù)據(jù)加密通過PKI加密、數(shù)字水印加密等技術(shù)手段，對重要資源進(jìn)展高強(qiáng)度安全保護(hù)。審計服務(wù)和管理由于在SSO系統(tǒng)中，用戶從唯一的入口通過單一的身份來登錄所有應(yīng)用系統(tǒng)，因此在用戶的登陸入口處可以集中進(jìn)展審計記錄。這種審計記錄基于用戶身份，可以準(zhǔn)確地記錄用戶對資源訪問的詳細(xì)情況，為抗否認(rèn)性提供了依據(jù)，并可以實現(xiàn)完善的審計服務(wù)和管理。通常的HTTP記錄不包含用戶信息，只能記錄到IP。通過對SSO日志的分析，可以統(tǒng)計出信息的訊問頻率，得出用戶訪問某些資源的興趣和次數(shù)。數(shù)據(jù)安全防護(hù)信息數(shù)據(jù)系統(tǒng)的安全保護(hù)其主要目的是：防止各應(yīng)用系統(tǒng)中的數(shù)據(jù)資源的喪失、被篡改、非授權(quán)訪問，以及建設(shè)全面操作核查數(shù)據(jù)比對管理體系，提高根本數(shù)據(jù)源使用的安全可靠性。為了實現(xiàn)上述目標(biāo)，方案在數(shù)據(jù)層安全保護(hù)方面重點從以下幾個方面進(jìn)展規(guī)劃：·數(shù)據(jù)存儲安全：保障數(shù)據(jù)源信息的數(shù)例存儲；·數(shù)據(jù)傳輸安全：確保數(shù)據(jù)在信息交換、傳輸中的安全；·數(shù)據(jù)備份與恢復(fù)：在數(shù)據(jù)源被毀壞的情況下確保數(shù)據(jù)可被恢復(fù)，保障系統(tǒng)正常運行；·數(shù)據(jù)核查：完善對數(shù)據(jù)源及其操作的監(jiān)管能力。系統(tǒng)的數(shù)據(jù)信息來源較多、類型繁雜，在對交易中心的業(yè)務(wù)應(yīng)用系統(tǒng)進(jìn)展調(diào)研分析后，根據(jù)所處理和存儲的數(shù)據(jù)在重要程度及保密性、完整性、可用性等方面的不同要求，將采用防喪失、防篡改、防竊取等技術(shù)措施，提高對重要數(shù)據(jù)的保護(hù)力度。安全保障手段和技術(shù)方法要求針對信息系統(tǒng)數(shù)據(jù)的安全分級與分類，以及應(yīng)用系統(tǒng)的關(guān)鍵性、數(shù)據(jù)更新頻率、數(shù)據(jù)集中程度、不可抵賴性等因素，采取各種保護(hù)措施，對必須保護(hù)的數(shù)據(jù)提供足夠的保護(hù)，對不重要的數(shù)據(jù)不提供多余的保護(hù)。要求的安全技術(shù)有：·身份認(rèn)證鑒別；·訪問控制；·關(guān)鍵數(shù)據(jù)加密；·防偽水?。弧ぐ踩珜徲?。信息安全專項方案4A安全解決方案4A級解決方案著眼于應(yīng)用級和系統(tǒng)級的集中統(tǒng)一的帳號〔Account〕管理、授權(quán)(Authorization)管理、認(rèn)證〔Authentication〕管理和安全審計(Audit)的安全系統(tǒng)。解決方案特點方案特點統(tǒng)一的身份、賬號管理體系，業(yè)務(wù)系統(tǒng)基于主賬戶的強(qiáng)身份認(rèn)證和統(tǒng)一入口。賬戶同步機(jī)制，非法賬號、休眠賬號的發(fā)現(xiàn)、檢測與控制。身份認(rèn)證集中完成，適應(yīng)企業(yè)內(nèi)部多個身份，角色自由切換。授權(quán)管理統(tǒng)一完成，管理分級、分權(quán)，靈活設(shè)置用戶不同的訪問策略。主機(jī)、網(wǎng)絡(luò)設(shè)備、業(yè)務(wù)系統(tǒng)、中間件等IT環(huán)境輕松集成可以采用數(shù)字證書，通過加密、簽名等有效手段保證網(wǎng)絡(luò)層、應(yīng)用層、內(nèi)容層安全可靠的認(rèn)證機(jī)制實現(xiàn)單點登錄,Agent型反向代理方式，支持跨企業(yè)，支持Web、C/S集中安全審計管理，收集、記錄、管理用戶對業(yè)務(wù)支撐系統(tǒng)的高敏感度的數(shù)據(jù)訪問和關(guān)鍵操作行為記錄。適用于SOX法，可平穩(wěn)實現(xiàn)對《企業(yè)內(nèi)部控制根本標(biāo)準(zhǔn)》的支持管理范圍：應(yīng)用資源業(yè)務(wù)支撐系統(tǒng)的所有應(yīng)用系統(tǒng)，包括績效，CRM，供給鏈，HR等。系統(tǒng)資源：業(yè)務(wù)支撐系統(tǒng)的所有后臺系統(tǒng)，包括主機(jī)操作系統(tǒng)、數(shù)據(jù)庫系統(tǒng)、網(wǎng)絡(luò)設(shè)備、安全設(shè)備〔防火墻〕等。VIM和SSO產(chǎn)品介紹ID?權(quán)限的一元管理?對分散在多個系統(tǒng)中的的用戶信息和權(quán)限信息進(jìn)展統(tǒng)一管理。信息自動更新提供功能?通過對用戶信息的登錄和變更操作，相互聯(lián)動的各業(yè)務(wù)系統(tǒng)自動進(jìn)展權(quán)限賦予和停頓。自助服務(wù)?最終用戶自己進(jìn)展密碼的再設(shè)定和個人檔案的更新。監(jiān)控?報告?現(xiàn)在的帳戶狀況〔可用ID、已停用ID、權(quán)限設(shè)定狀態(tài)〕等信息的記錄和報告。?帳戶作成／廢除、權(quán)限賦予／變更、申請／成認(rèn)等的記錄和報告。?用戶登錄和使用各業(yè)務(wù)系統(tǒng)資源的記錄和報告。申請作業(yè)流程?用戶可以進(jìn)展訪問權(quán)限變更的申請，管理者可以進(jìn)展審查和成認(rèn)。帳戶的生命周期管理?通過對帳戶進(jìn)展定期的盤點，實現(xiàn)帳戶的生命周期管理〔從帳戶生成到刪除〕。與單點登錄系統(tǒng)聯(lián)動?通過與SSO的聯(lián)動，可以實現(xiàn)Web系統(tǒng)的單點登錄。高度認(rèn)證對應(yīng)?通過與IC卡?指紋認(rèn)證?PKI等的聯(lián)動，實現(xiàn)高準(zhǔn)確度的認(rèn)證機(jī)能。多樣的信息服務(wù)接口?通過提供如LDAP、Web〔IIS、Netscape、Apache、Domino等〕、ActiveDirectory、Radius等多種服務(wù)接口，可以為各種各樣的系統(tǒng)提供認(rèn)證服務(wù)功能。VIM的內(nèi)部控制功能內(nèi)部控制系統(tǒng)是指在企業(yè)等組織內(nèi)部，為消除違規(guī)行為、操作故障、誤操作，通過制訂組織有効運營所必需的各項業(yè)務(wù)基準(zhǔn)和手續(xù)，在此之上進(jìn)展管理?監(jiān)視?保障等一系列工作所需的組織機(jī)制。薩班斯?奧克斯萊法案〔SOX法〕規(guī)定，構(gòu)筑和運行公司內(nèi)部控制系統(tǒng)是經(jīng)營者的義務(wù)，與此同時通過外部監(jiān)管人員對之進(jìn)展監(jiān)管并公開發(fā)表監(jiān)管意見也是經(jīng)營者的義務(wù)之一。在我國,由五部委聯(lián)合出臺了《企業(yè)內(nèi)部控制根本標(biāo)準(zhǔn)》，用于提高和標(biāo)準(zhǔn)企業(yè)進(jìn)展內(nèi)部控制管理?！皟?nèi)部控制〞必要的根本功能一般包括以下項目。

項目概要説明DirectoryIdentity內(nèi)部控制主要功能ＩＤ發(fā)行?同步ＩＤ/ＰＷ新增?刪除，在各系統(tǒng)中自動同步○○口令管理基于口令策略，催促口令定期更新△局部實現(xiàn)〕○策略管理定義管理用戶ＩＤ和角色之間的對應(yīng)關(guān)系×○自助服務(wù)用戶可自行更新、初始化口令×○日志分析?報告作成使違規(guī)ＩＤ發(fā)行、不當(dāng)授權(quán)等的調(diào)查成為可能×○訪問管理管理用戶可訪問的系統(tǒng)及可訪問的功能范圍△局部實現(xiàn)〕○單點登錄一次認(rèn)證后，可使用許可范圍內(nèi)的所有功能×△〔需其他系統(tǒng)支持〕工作流程定義新用戶ＩＤ發(fā)行相關(guān)処理流程，并內(nèi)置審批程序×○SSO功能一覽功能說明認(rèn)證方式密碼認(rèn)證功能對訪問用戶的ID和密碼進(jìn)展驗證，確定是否可以訪問。數(shù)字證書認(rèn)證功能對訪問用戶的數(shù)字證書進(jìn)展驗證，確定是否可以訪問。IC卡認(rèn)證功能(PKI)對訪問用戶的ID卡里保存的數(shù)字證書進(jìn)展驗證，確定是否可以訪問。生物認(rèn)證功能對訪問用戶的指紋進(jìn)展進(jìn)展驗證，確定是否可以訪問?？蛻粽J(rèn)證(需要定制開發(fā))根據(jù)所生成的客戶模塊，非標(biāo)準(zhǔn)方式的任意設(shè)備進(jìn)展對應(yīng)與驗證。認(rèn)證數(shù)據(jù)庫LDAP認(rèn)證功能執(zhí)行LDAP服務(wù)器聯(lián)結(jié)以及取得用戶信息。PKI認(rèn)證功能使用CA證書以及CRL對CA認(rèn)證中心發(fā)布的證書進(jìn)展確認(rèn)。客戶認(rèn)證(需要定制開發(fā))生成聯(lián)結(jié)外部數(shù)據(jù)庫的模塊，可以使用認(rèn)證策略對任意數(shù)據(jù)庫進(jìn)展認(rèn)證。認(rèn)可認(rèn)可對訪問用戶是否具有Web頁面的訪問功能進(jìn)展確認(rèn)。高度ACL認(rèn)可功能根據(jù)多個指定的條件進(jìn)展訪問控制列表的認(rèn)可處理的功能。單點登錄代理型反向代理方式不依存于Web服務(wù)器的操作系統(tǒng)和開發(fā)語言；