【正文】 服務(wù)器存儲(chǔ)網(wǎng)絡(luò)安全設(shè)備項(xiàng)目實(shí)施方案服務(wù)器存儲(chǔ)網(wǎng)絡(luò)安全設(shè)備項(xiàng)目實(shí)施方案1項(xiàng)目實(shí)施方案考慮到xxx與數(shù)據(jù)庫建設(shè)項(xiàng)目的工程量、質(zhì)量與涉及面等因素，在此工程實(shí)施前必需有嚴(yán)密的進(jìn)度控制和精心的組織安排。我們根據(jù)本方案確定的項(xiàng)目目標(biāo)以及具體建設(shè)要求，對(duì)建設(shè)任務(wù)以及工程進(jìn)度進(jìn)行綜合安排計(jì)劃，具體各個(gè)部分的實(shí)施可以視工程情況相互協(xié)調(diào)、齊頭并進(jìn)。 序號(hào)任務(wù)內(nèi)容描述1方案調(diào)整與合同簽訂完成投標(biāo)文件修改，確定本項(xiàng)目訂購的硬件設(shè)備和軟件。2項(xiàng)目組成立正式合同簽訂后，將成立工程項(xiàng)目組，任命項(xiàng)目經(jīng)理，確定最終的項(xiàng)目組成員，并以書面形式正式通知用戶。3設(shè)備采購按照項(xiàng)目建設(shè)合同中關(guān)于設(shè)備購貨有關(guān)條款和議定的日期，組織設(shè)備軟、硬件的購置工作。4前期調(diào)研對(duì)用戶安裝現(xiàn)場的電源、地線、空間、照明等工程實(shí)施時(shí)必需的安裝環(huán)境進(jìn)行調(diào)查確認(rèn)，并做好系統(tǒng)安裝準(zhǔn)備。5詳細(xì)方案設(shè)計(jì)對(duì)項(xiàng)目建設(shè)最終確定的總體方案作實(shí)施等方案設(shè)計(jì)。6施工準(zhǔn)備項(xiàng)目建設(shè)工程施工前，我公司項(xiàng)目組將進(jìn)行一些必要的準(zhǔn)備工作。7設(shè)備交貨設(shè)備到貨并發(fā)送到用戶指定地點(diǎn)并進(jìn)行設(shè)備驗(yàn)收，按照合同的軟、硬件清單簽收到貨的設(shè)備。8設(shè)備安裝與節(jié)點(diǎn)調(diào)試按照合同要求、技術(shù)方案和工程安裝實(shí)施計(jì)劃，完成項(xiàng)目建設(shè)合同內(nèi)各系統(tǒng)的安裝調(diào)試工作，包括全面實(shí)施準(zhǔn)備、項(xiàng)目全面實(shí)施等內(nèi)容。9系統(tǒng)聯(lián)合調(diào)試項(xiàng)目建設(shè)系統(tǒng)安裝完成后，對(duì)整個(gè)設(shè)備及系統(tǒng)在實(shí)際環(huán)境中進(jìn)行整體調(diào)試。10系統(tǒng)試運(yùn)行項(xiàng)目建設(shè)系統(tǒng)在初步驗(yàn)收后投入試運(yùn)行。11系統(tǒng)終驗(yàn)系統(tǒng)投入正常工作。、系統(tǒng)集成216。 查看軟件版本1) 通過IE瀏覽器登陸到安全設(shè)備,查看當(dāng)前安全設(shè)備的軟件版本。2) 通過串口登陸到安全設(shè)備后臺(tái),查看軟件版本。216。 產(chǎn)品信息記錄記錄下用戶安全設(shè)備編號(hào)，作好記錄工作216。 查看安全設(shè)備重啟后能否正常啟動(dòng)216。 查看安全設(shè)備的console口是否可用1. 要求管理員分級(jí)，包括超級(jí)管理員、安全管理員、日志管理員等，并定義相應(yīng)的職責(zé)，維護(hù)相應(yīng)的文檔和記錄。2. 防火墻管理人員應(yīng)定期接受培訓(xùn)。3. 對(duì)防火墻管理的限制，包括，關(guān)閉telnet、ping、snmp等，以及使用SSH而不是telnet遠(yuǎn)程管理防火墻。4. 賬號(hào)管理是否安全，設(shè)置了哪些口令和帳戶策略，員工辭職，如何進(jìn)行口令變更？ 5. 防火墻配置文件是否備份？如何進(jìn)行配置同步？6. 改變防火墻缺省配置。7. 是否有適當(dāng)?shù)姆阑饓S護(hù)控制程序？8. 加固防火墻操作系統(tǒng)，并使用防火墻軟件的最新穩(wěn)定版本或補(bǔ)丁，確保補(bǔ)丁的來源可靠。9. 是否對(duì)防火墻進(jìn)行脆弱性評(píng)估/測試？（隨機(jī)和定期測試）10. 防火墻訪問控制規(guī)則集是否和防火墻策略一致？應(yīng)該確保訪問控制規(guī)則集依從防火墻策略，如嚴(yán)格禁止某些服務(wù)、嚴(yán)格開放某些服務(wù)、缺省時(shí)禁止所有服務(wù)等，以滿足用戶安全需求，實(shí)現(xiàn)安全目標(biāo)。11. 防火墻訪問控制規(guī)則是否有次序性？是否將常用的訪問控制規(guī)則放在前面以增加防火墻的性能？評(píng)估防火墻規(guī)則次序的有效性。12. 防火墻訪問控制規(guī)則集的一般次序?yàn)椋?78。 反電子欺騙的過濾（如，阻斷私有地址、從外口出現(xiàn)的內(nèi)部地址）178。 用戶允許規(guī)則（如，允許HTTP到公網(wǎng)Web服務(wù)器）178。 管理允許規(guī)則178。 拒絕并報(bào)警（如，向管理員報(bào)警可疑通信）178。 拒絕并記錄（如，記錄用于分析的其它通信）防火墻是在第一次匹配的基礎(chǔ)上運(yùn)行，因此，按照上述的次序配置防火墻，對(duì)于確保排除可疑通信是很重要的。13. 防火墻訪問控制規(guī)則中是否有保護(hù)防火墻自身安全的規(guī)則14. 防火墻是否配置成能抵抗DoS/DDoS攻擊？15. 防火墻是否阻斷下述欺騙、私有（RFC1918）和非法的地址178。 標(biāo)準(zhǔn)的不可路由地址（、）178。 私有（RFC1918）地址（ – 、 – ..、 – ）178。 保留地址（）178。 非法地址（）16. 是否確保外出的過濾？17. 確保有僅允許源IP是內(nèi)部網(wǎng)的通信通過而源IP不是內(nèi)部網(wǎng)的通信被丟棄的規(guī)則，并確保任何源IP不是內(nèi)部網(wǎng)的通信被記錄。18. 是否執(zhí)行NAT，配置是否適當(dāng)？19. 任何和外網(wǎng)有信息交流的機(jī)器都必須經(jīng)過地址轉(zhuǎn)換（NAT）才允許訪問外網(wǎng)，同樣外網(wǎng)的機(jī)器要訪問內(nèi)部機(jī)器，也只能是其經(jīng)過NAT后的IP，以保證系統(tǒng)的內(nèi)部地址、配置和有關(guān)的設(shè)計(jì)信息如拓?fù)浣Y(jié)構(gòu)等不能泄露到不可信的外網(wǎng)中去。20. 在適當(dāng)?shù)牡胤?，防火墻是否有下面的控制?1. 如，URL過濾、端口阻斷、防IP欺騙、過濾進(jìn)入的Java或ActiveX、防病毒等。22. 防火墻是否支持“拒絕所有服務(wù)，除非明確允許”的策略？23. 根據(jù)xxx的需求，配置系統(tǒng)所需對(duì)外開放的端口映射。1. 具有特權(quán)訪問防火墻的人員的活動(dòng)是否鑒別、監(jiān)控和檢查？對(duì)防火墻的管理人員的活動(dòng)，防火墻應(yīng)該有記錄，并要求記錄不能修改，以明確責(zé)任，同時(shí)能檢查對(duì)防火墻的變化。2. 通過防火墻的通信活動(dòng)是否日志？在適當(dāng)?shù)牡胤?，是否有監(jiān)控和響應(yīng)任何不適當(dāng)?shù)幕顒?dòng)的程序？確保防火墻能夠日志，并標(biāo)識(shí)、配置日志主機(jī)，確保日志安全傳輸。管理員通過檢查日志來識(shí)別可能顯示攻擊的任何潛在模式，使用審計(jì)日志可以監(jiān)控破壞安全策略的進(jìn)入服務(wù)、外出服務(wù)和嘗試訪問。3. 是否精確設(shè)置并維護(hù)防火墻時(shí)間？ 配置防火墻使得在日志記錄中包括時(shí)間信息。精確設(shè)置防火墻的時(shí)間，使得管理員追蹤網(wǎng)絡(luò)攻擊更準(zhǔn)確。4. 是否按照策略檢查、回顧及定期存檔日志，并存儲(chǔ)在安全介質(zhì)上？確保對(duì)防火墻日志進(jìn)行定期存儲(chǔ)并檢查，產(chǎn)生防火墻報(bào)告，為管理人員提供必需的信息以幫助分析防火墻的活動(dòng)，并為管理部門提供防火墻效率情況。5. 重大事件或活動(dòng)是否設(shè)置報(bào)警？是否有對(duì)可以攻擊的響應(yīng)程序？6. 如適當(dāng)設(shè)置入侵檢測功能，或者配合使用IDS（入侵檢測系統(tǒng)），以防止某些類型的攻擊或預(yù)防未知的攻擊。7. 是否有災(zāi)難恢復(fù)計(jì)劃？恢復(fù)是否測試過？8. 評(píng)估備份和恢復(fù)程序（包括持續(xù)性）的適當(dāng)性，考慮：對(duì)重要防火墻的熱備份、備份多長時(shí)間做一次、執(zhí)行備份是否加密、最近成功備份測試的結(jié)果等。1. 交換機(jī)配置文件是否離線保存、注釋、保密、有限訪問，并保持與運(yùn)行配置同步2. 是否在交換機(jī)上運(yùn)行最新的穩(wěn)定的IOS版本3. 是否定期檢查交換機(jī)的安全性？特別在改變重要配置之后。4. 是否限制交換機(jī)的物理訪問？僅允許授權(quán)人員才可以訪問交換機(jī)。5. VLAN 1中不允許引入用戶數(shù)據(jù)，只能用于交換機(jī)內(nèi)部通訊。6. 考慮使用PVLANs，隔離一個(gè)VLAN中的主機(jī)。7. 考慮設(shè)置交換機(jī)的Security Banner，陳述“未授權(quán)的訪問是被禁止的”。8. 是否關(guān)閉交換機(jī)上不必要的服務(wù)？包括：TCP和UDP小服務(wù)、CDP、finger等。9. 必需的服務(wù)打開，是否安全地配置這些服務(wù)？。10. 保護(hù)管理接口的安全11. shutdown所有不用的端口。并將所有未用端口設(shè)置為第3層連接的vlan。12. 加強(qiáng)con、aux、vty等端口的安全。13. 將密碼加密，并使用用戶的方式登陸。14. 使用SSH代替Telnet，并設(shè)置強(qiáng)壯口令。無法避免Telnet時(shí)，是否為Telnet的使用設(shè)置了一些限制？15. 采用帶外方式管理交換機(jī)。如果帶外管理不可行，那么應(yīng)該為帶內(nèi)管理指定一個(gè)獨(dú)立的VLAN號(hào)。16. 設(shè)置會(huì)話超時(shí)，并配置特權(quán)等級(jí)。17. 使HTTP server失效，即，不使用Web瀏覽器配置和管理交換機(jī)。18. 如果使用SNMP，建議使用SNMPv2，并使用強(qiáng)壯的SNMP munity strings?；蛘卟皇褂脮r(shí)，使SNMP失效。19. 實(shí)現(xiàn)端口安全以限定基于MAC地址的訪問。使端口的autotrunking失效。20. 使用交換機(jī)的端口映像功能用于IDS的接入。21. 使不用的交換