【正文】 X公司產(chǎn)品的核心代碼，是公司非常重要的數(shù)據(jù)；n 應(yīng)用系統(tǒng)對最大并發(fā)會(huì)話沒有限制；n 應(yīng)用系統(tǒng)對單個(gè)賬戶的多重登錄會(huì)話沒有判斷和限制；n 應(yīng)用系統(tǒng)的用戶帳號(hào)是采用加密的方式進(jìn)行存放的，除管理員以外的任何人都無法看到用戶帳號(hào)信息，并且管理員無法查看用戶的口令（但管理員可以重置用戶口令）；n 系統(tǒng)對密碼的長度沒有任何約束，軟件中對密碼也沒有限制，但是管理員建議用戶采取復(fù)雜密碼，以防止密碼被竊??；n 系統(tǒng)對錯(cuò)誤的登錄沒有采取措施，當(dāng)多次登錄失敗時(shí)系統(tǒng)不會(huì)鎖定帳號(hào)；n 應(yīng)用系統(tǒng)也沒有超時(shí)退出措施，當(dāng)用戶認(rèn)證通過后長時(shí)間沒有任何操作，系統(tǒng)不會(huì)自動(dòng)退出；n 系統(tǒng)對賬戶的管理采用分組的方式進(jìn)行，首先系統(tǒng)需要將各個(gè)代碼文件，按照代碼文件對應(yīng)的不同產(chǎn)品進(jìn)行分類，然后創(chuàng)建不同的目錄，將不同產(chǎn)品的代碼防止在不同目錄下；然后系統(tǒng)將目錄和組建立訪問關(guān)系，建立成功后，對于不同目錄下的文件，只有對應(yīng)組下的用戶方可訪問；n 此外，目錄下對組內(nèi)用戶的操作權(quán)限也有控制，共包含兩大類，一是讀取的權(quán)限；二是修改的權(quán)限；用戶根據(jù)分配到的權(quán)限可對代碼文件執(zhí)行不同的操作；n 如果應(yīng)用系統(tǒng)的訪問用戶忘記密碼，可向管理員進(jìn)行申請，管理員對密碼進(jìn)行初始化后，再次由用戶登錄系統(tǒng)，對密碼進(jìn)行修改后可正常訪問系統(tǒng)；n 管理員不能查看用戶設(shè)定的口令，除此之外可以執(zhí)行任何操作，沒有具體的限制；n 應(yīng)用系統(tǒng)支持比較好的審計(jì)功能，對文件的任何修改都將產(chǎn)生記錄，詳細(xì)記錄了文件修改的日期、時(shí)間、人員、修改內(nèi)容、修改結(jié)果等信息；但是審計(jì)記錄尚未有采取集中的方式；n 應(yīng)用系統(tǒng)的審計(jì)記錄主要是體現(xiàn)在版本控制上，僅提供查詢，不支持報(bào)表統(tǒng)計(jì)。 內(nèi)部辦公系統(tǒng)內(nèi)部辦公系統(tǒng)主要是提供給員工進(jìn)行軟件和工具下載使用，沒有使用限制，只要是接入到公司內(nèi)網(wǎng)的終端均可上網(wǎng)下載，另外還有內(nèi)部考勤系統(tǒng)，經(jīng)過調(diào)查具體情況包括：文件服務(wù)采取標(biāo)準(zhǔn)的FTP服務(wù)器，提供給內(nèi)部辦公人員進(jìn)行軟件和工具的下載，設(shè)備型號(hào)為組裝的PC服務(wù)器，操作系統(tǒng)為WINDOWS 2000 Advance Server SP4，系統(tǒng)管理人員定期更新各類工具，系統(tǒng)沒有身份鑒別要求，只要是接入到辦公內(nèi)網(wǎng)的用戶均可使用FTP。應(yīng)避免將某個(gè)單一的系統(tǒng)組件，如服務(wù)器、終端、網(wǎng)絡(luò)設(shè)備等作為定級(jí)對象。如果一個(gè)單位的某個(gè)下級(jí)單位負(fù)責(zé)信息系統(tǒng)安全建設(shè)、運(yùn)行維護(hù)等過程的全部安全責(zé)任，則這個(gè)下級(jí)單位可以成為信息系統(tǒng)的安全責(zé)任單位；如果一個(gè)單位中的不同下級(jí)單位分別承擔(dān)信息系統(tǒng)不同方面的安全責(zé)任，則該信息系統(tǒng)的安全責(zé)任單位應(yīng)是這些下級(jí)單位共同所屬的單位。 外部服務(wù)系統(tǒng)XXX公司提供對外服務(wù)的系統(tǒng)包括公司主頁系統(tǒng)、郵件系統(tǒng)和產(chǎn)品升級(jí)服務(wù)器，各系統(tǒng)的具體情況說明如下：公司主頁系統(tǒng)系統(tǒng)主要實(shí)現(xiàn)了對外的信息發(fā)布、公司宣傳、XXX在線客服、公司技術(shù)論壇等欄目，通過Apache進(jìn)行主頁發(fā)布，并利用主頁系統(tǒng)開發(fā)了“及時(shí)雨”在線客服系統(tǒng)（相當(dāng)于及時(shí)通訊軟件），互聯(lián)網(wǎng)的訪客可通過該平臺(tái)進(jìn)行業(yè)務(wù)咨詢、技術(shù)咨詢和售后服務(wù)咨詢等；經(jīng)過調(diào)查，該系統(tǒng)的具體情況為：n 應(yīng)用系統(tǒng)為主頁發(fā)布，后臺(tái)無支持?jǐn)?shù)據(jù)庫；發(fā)布的信息大多以靜態(tài)文本的方式發(fā)送；n 主頁系統(tǒng)對互聯(lián)網(wǎng)用戶最大并發(fā)會(huì)話數(shù)有限制；n 主頁發(fā)布、“及時(shí)語”等應(yīng)用對互聯(lián)網(wǎng)完全開放，因此不需要進(jìn)行認(rèn)證即可進(jìn)行訪問；技術(shù)論壇部分需要進(jìn)行認(rèn)證，認(rèn)證方式采用用戶名＋口令，互聯(lián)網(wǎng)訪問用戶需要注冊信息（但是如果不注冊也可以訪問論壇，但無法發(fā)表話題和回復(fù)話題）；n 主頁系統(tǒng)中的技術(shù)論壇，需要進(jìn)行認(rèn)證；并且用戶帳號(hào)是以明文的方式存放的；n 主頁技術(shù)論壇對用戶帳號(hào)沒有長度和強(qiáng)度的建議；n 技術(shù)論壇沒有鎖定帳號(hào)的措施，系統(tǒng)連續(xù)多次錯(cuò)誤輸入，系統(tǒng)不會(huì)進(jìn)行任何處理；n 技術(shù)論壇也沒有超時(shí)退出措施，當(dāng)用戶認(rèn)證通過后長時(shí)間沒有任何操作，論壇不會(huì)自動(dòng)退出；n 技術(shù)論壇的賬戶管理沒有設(shè)置組，對賬戶的管理只是針對到單個(gè)用戶；n 技術(shù)論壇管理員具有很高的權(quán)限，除了不能查看訪問應(yīng)用系統(tǒng)用戶的口令以外，具有使用系統(tǒng)的所有權(quán)限；n 主頁服務(wù)器目前還沒有啟動(dòng)安全審計(jì)功能。XXX公司從2004起開始啟用此系統(tǒng)，研發(fā)人員在修改代碼時(shí)，首先將代碼從CVS服務(wù)器上獲取下到個(gè)人計(jì)算機(jī)，然后在個(gè)人計(jì)算機(jī)上進(jìn)行修改；修改完畢后再通過CVS上傳代碼，CVS會(huì)自動(dòng)記錄代碼文件的修改過程，進(jìn)行版本控制，如果需要不同版本的代碼文件時(shí)，可以從CVS服務(wù)器上找到。ORACLE EBS電子商務(wù)套件這是公司2007年7月上線的系統(tǒng)，已實(shí)施包括采購、訂單、制造、財(cái)務(wù)（總帳、應(yīng)收、應(yīng)付、資產(chǎn)）和CRM（合同、工程實(shí)施、服務(wù)）模塊。金蝶K3系統(tǒng)這是公司2005年1月上線的系統(tǒng)，包括財(cái)務(wù)、生產(chǎn)制造、庫存、采購、銷售等模塊，同樣由于XXX公司于2007年進(jìn)行信息化改造，將所有的相關(guān)業(yè)務(wù)全部移植到新的EBS系統(tǒng)中，因此該系統(tǒng)基本停用，則仍在部分使用采購、庫存、銷售等模塊，此外也同樣需要提供歷史數(shù)據(jù)查詢，因此也在繼續(xù)運(yùn)行。 信息安全管理平臺(tái)目前XXX公司已經(jīng)實(shí)施了對全網(wǎng)進(jìn)行安全事件管理的綜合平臺(tái)，采用XXX信息安全管理系統(tǒng)－TopAnalyzer，系統(tǒng)通過資產(chǎn)管理、安全事件管理、安全事件關(guān)聯(lián)分析、安全威脅管理等功能，對XXX的所有信息資產(chǎn)實(shí)現(xiàn)了全局的管理，系統(tǒng)通過監(jiān)控、分析和管理XXX信息網(wǎng)絡(luò)的整體安全態(tài)勢，依據(jù)BS7799安全管理標(biāo)準(zhǔn)，結(jié)合安全服務(wù)的最佳實(shí)踐，以風(fēng)險(xiǎn)管理為核心，通過深度數(shù)據(jù)挖掘、事件關(guān)聯(lián)等技術(shù)，實(shí)現(xiàn)了對XXX信息網(wǎng)絡(luò)內(nèi)部各類安全事件的集中管理和智能分析，提供多視角、實(shí)時(shí)動(dòng)態(tài)的企業(yè)風(fēng)險(xiǎn)現(xiàn)狀展示。當(dāng)IDS檢測到報(bào)警后能夠與主機(jī)防火墻進(jìn)行聯(lián)動(dòng)，自動(dòng)阻斷外部攻擊行為。該防火墻還針對外部服務(wù)器區(qū)域，執(zhí)行反向地址轉(zhuǎn)換策略，將公司主頁服務(wù)器、郵件服務(wù)器以及升級(jí)服務(wù)器的地址轉(zhuǎn)換為電信的互聯(lián)網(wǎng)地址，以提供給電信用戶以及使用電信寬帶的分支機(jī)構(gòu)來訪問外部服務(wù)器區(qū)域；防火墻在管理上采取證書＋口令的雙因素認(rèn)證方式，防火墻的策略有運(yùn)行維護(hù)中心的安全維護(hù)終端進(jìn)行配置，不允許通過互聯(lián)網(wǎng)遠(yuǎn)程配置防火墻；防火墻尚未有開啟日志審計(jì)功能，公司也沒有配置全網(wǎng)的日志審計(jì)系統(tǒng)。 安全設(shè)備情況目前在XXX信息網(wǎng)絡(luò)中廣泛使用的安全設(shè)備有三大類，一是面向網(wǎng)絡(luò)安全類的防火墻、VPN類安全設(shè)備；二是面向終端的終端安全管理系統(tǒng)以及防病毒軟件類，三是面向全網(wǎng)進(jìn)行安全運(yùn)維的安全管理平臺(tái)，各安全設(shè)備的配置情況為： 防火墻系統(tǒng)防火墻是XXX信息網(wǎng)絡(luò)中使用最為廣泛的安全設(shè)備，防火墻系統(tǒng)分別被用在分支機(jī)構(gòu)局域網(wǎng)邊界、總部的辦公終端邊界、業(yè)務(wù)服務(wù)器邊界、研發(fā)終端邊界、研發(fā)服務(wù)器邊界以及外部服務(wù)器邊界，防火墻的引入將XXX信息網(wǎng)絡(luò)隔離為多個(gè)安全區(qū)域，實(shí)際上起到了轉(zhuǎn)發(fā)層和核心交換層的作用，取代了轉(zhuǎn)發(fā)層常用的路由器和核心交換層常用的三層交換機(jī)；并且在安全區(qū)域之間執(zhí)行嚴(yán)格的訪問控制策略，有效保護(hù)了重要的信息系統(tǒng)資源。遠(yuǎn)程管理時(shí)采用SSL VPN＋遠(yuǎn)程桌面的方式進(jìn)行；文件服務(wù)器主要提供給內(nèi)部辦公人員進(jìn)行軟件和工具的下載，設(shè)備型號(hào)為組裝的PC服務(wù)器，操作系統(tǒng)為WINDOWS 2000 Advance Server SP4，服務(wù)器的管理認(rèn)證方式為用戶名/口令方式，沒有做到分權(quán)管理；利用WINDOWS自帶的口令加密方式進(jìn)行保護(hù)；在管理上服務(wù)器采取高強(qiáng)度口令，并且能夠定期自動(dòng)更新，對于過期賬戶通過人工方式進(jìn)行定期檢查，并及時(shí)刪除過期帳號(hào)，開啟了日志審計(jì)功能，審計(jì)重點(diǎn)是用戶登錄日志。其中各個(gè)區(qū)域之間的訪問關(guān)系分別為：辦公終端區(qū)域：該區(qū)域包含公司總部的所有辦公終端，涉及部門有總裁辦、董事會(huì)、行政部、技術(shù)服務(wù)中心、人力資源中心、信息管理部、戰(zhàn)略方案中心、銷售中心、商務(wù)部、銷售管理部、財(cái)務(wù)部、行政部、市場部等，該區(qū)域的終端均可通過部署在三樓、四樓以及五樓的防火墻以及核心防火墻訪問到互聯(lián)網(wǎng)；其中銷售管理部、商務(wù)部、銷售中心、財(cái)務(wù)部、行政部的辦公終端可訪問業(yè)務(wù)服務(wù)器區(qū)域內(nèi)的EBS系統(tǒng)；所有的辦公終端均可以訪問業(yè)務(wù)服務(wù)器區(qū)域內(nèi)的內(nèi)部論壇；所有的辦公終端均可訪問外部服務(wù)器區(qū)域，可以訪問郵件系統(tǒng)，公司主頁以及DNS服務(wù)器；技術(shù)服務(wù)中心的終端可以訪問研發(fā)服務(wù)器區(qū)域的BUGzilla外部服務(wù)器；研發(fā)辦公終端區(qū)域：該區(qū)域包含公司研發(fā)中心的所有終端，該區(qū)域可以訪問外部服務(wù)器區(qū)域的公司主頁服務(wù)器、郵件服務(wù)器以及DNS服務(wù)器；可以訪問研發(fā)服務(wù)器的CVS服務(wù)器和BUGzilla服務(wù)器；在研發(fā)辦公終端邊界部署了防火墻設(shè)備，通過訪問控制規(guī)則限制辦公終端不得訪問互聯(lián)網(wǎng)；業(yè)務(wù)服務(wù)器區(qū)域：該區(qū)域包含運(yùn)行著公司的EBS系統(tǒng)以及內(nèi)部論壇的所有服務(wù)器，該區(qū)域只接收外部的訪問，目前EBS系統(tǒng)已開放采購、訂單、制造、財(cái)務(wù)和CRM模塊，并根據(jù)各個(gè)部門的職能劃分，系統(tǒng)內(nèi)進(jìn)行模塊的訪問控制，比如允許行政部訪問EBS的采購模塊；商務(wù)部和銷售中心以及各地的分支結(jié)構(gòu)可以訪問訂單模塊；各地分支機(jī)構(gòu)的商務(wù)人員以及財(cái)務(wù)部可以訪問其財(cái)務(wù)模塊；銷售中心以及各地分支機(jī)構(gòu)的銷售人員可以訪問其CRM模塊等；業(yè)務(wù)服務(wù)器區(qū)域直接連接到核心防火墻的端口上，通過核心交換機(jī)的訪問控制規(guī)則限制該區(qū)域?qū)ν獾娜魏卧L問；研發(fā)服務(wù)器區(qū)域：該區(qū)域包含運(yùn)行著研發(fā)CVS以及BUGzilla的所有服務(wù)器，主要提供給研發(fā)人員使用，此外，技術(shù)服務(wù)中心的辦公終端可以訪問其BUGzilla的外部服務(wù)器；該區(qū)域與研發(fā)終端區(qū)域以及測試機(jī)房區(qū)域共享一臺(tái)防火墻，通過防火墻的訪問控制規(guī)則限制該區(qū)域不得對外進(jìn)行任何訪問；生產(chǎn)車間終端區(qū)域：該區(qū)域包含了生產(chǎn)車間的所有的終端，與三樓的辦公終端共享一臺(tái)服務(wù)器，防火墻通過嚴(yán)格的訪問控制規(guī)則限制該區(qū)域只能訪問業(yè)務(wù)服務(wù)器區(qū)域的EBS系統(tǒng)，并通過EBS系統(tǒng)的應(yīng)用訪問控制，限制生產(chǎn)車間終端只能訪問其中的制造模塊；并且該區(qū)域不得訪問其他任何外部區(qū)域；外部服務(wù)器區(qū)域：對互聯(lián)網(wǎng)開放，提供四類服務(wù)器，包括主頁發(fā)布服務(wù)、郵件服務(wù)、DNS服務(wù)，以及提供給XXX的安全產(chǎn)品用戶進(jìn)行升級(jí)的服務(wù)，該區(qū)域直接連接到核心防火墻上，其中主頁發(fā)布服務(wù)和郵件、DNS也可提供給辦公終端人員進(jìn)行訪問；分支機(jī)構(gòu)區(qū)域：各分支機(jī)構(gòu)的邊界均部署了防火墻，可以訪問互聯(lián)網(wǎng)，并且可通過互聯(lián)網(wǎng)訪問公司的外部服務(wù)器區(qū)域以及業(yè)務(wù)服務(wù)器區(qū)域，并且為確保遠(yuǎn)程訪問傳輸?shù)陌踩裕谶吔绲姆阑饓ι?，以及公司互?lián)網(wǎng)出口的防火墻上都配置了IPSEC VPN模塊，可實(shí)現(xiàn)安全傳輸；另外對于一些規(guī)模小的分支機(jī)構(gòu)，則通過SSL VPN的方式來訪問公司業(yè)務(wù)服務(wù)器區(qū)域和外部服務(wù)器區(qū)域；移動(dòng)辦公用戶：類似于分支機(jī)構(gòu)區(qū)域，移動(dòng)辦公人員通過SSL VPN的方式可安全地訪問公司業(yè)務(wù)服務(wù)器區(qū)域和外部服務(wù)器區(qū)域。 《計(jì)算機(jī)信息系統(tǒng)安全專用產(chǎn)品檢測和銷售許可證管理辦法》公安部令32號(hào)216。 GB/T 18336：等同采用ISO 15408216。對于XXX公司信息安全建設(shè)，應(yīng)當(dāng)以適度風(fēng)險(xiǎn)為核心，以重點(diǎn)保護(hù)為原則，從業(yè)務(wù)的角度出發(fā)，重點(diǎn)保護(hù)重要的業(yè)務(wù)、研發(fā)類信息系統(tǒng)，在方案設(shè)計(jì)中應(yīng)當(dāng)遵循以下的原則：適度安全原則任何信息系統(tǒng)都不能做到絕對的安全，在進(jìn)行XXX信息安全等級(jí)保護(hù)規(guī)劃中，要在安全需求、安全風(fēng)險(xiǎn)和安全成本之間進(jìn)行平衡和折中，過多的安全要求必將造成安全成本的迅速增加和運(yùn)行的復(fù)雜性。伴隨著信息系統(tǒng)的快速發(fā)展，信息系統(tǒng)所面臨的安全威脅日益復(fù)雜，對信息安全系統(tǒng)的需求與日俱增。目前公司利用防火墻、VPN、防病毒、終端安全管理、安全信息管理等技術(shù)，為公司信息網(wǎng)絡(luò)的安全防護(hù)起到了一定的效果。 參考標(biāo)準(zhǔn)本方案根據(jù)國家提出的等級(jí)保護(hù)管理辦法和實(shí)施指南，針對XXX信息系統(tǒng)的特點(diǎn)和安全建設(shè)需求，進(jìn)行全面的安全保障規(guī)劃，設(shè)計(jì)中重點(diǎn)參考的政策和標(biāo)準(zhǔn)包括以下兩個(gè)部分： 信息系統(tǒng)安全等級(jí)保護(hù)標(biāo)準(zhǔn)和規(guī)范本方案重點(diǎn)參考以下的的政策和標(biāo)準(zhǔn)：指導(dǎo)思想中辦[2003]27號(hào)文件（關(guān)于轉(zhuǎn)發(fā)《國家信息化領(lǐng)導(dǎo)小組關(guān)于加強(qiáng)信息安全保障工作的意見》的通知）公通字[2004]66號(hào)文件（關(guān)于印發(fā)《信息安全等級(jí)保護(hù)工作的實(shí)施意見》的通知）公通字[2007]43號(hào)文件（關(guān)于印發(fā)《信息安全等級(jí)保護(hù)管理辦法》的通知）等級(jí)保護(hù)GB 178591999 計(jì)算機(jī)信息系統(tǒng)安全保護(hù)等級(jí)劃分準(zhǔn)則GB/T aaaaaxxxx 信息安全技術(shù) 信息系統(tǒng)安全等級(jí)保護(hù)實(shí)施指南系統(tǒng)定級(jí)GB/T aaaaaxxxx 信息安全技術(shù) 信息系統(tǒng)安全保護(hù)等級(jí)定級(jí)指南技術(shù)方面GB/T 202702006 信息安全技術(shù) 網(wǎng)絡(luò)基礎(chǔ)安全技術(shù)要求GB/T 202712006 信息安全技術(shù) 信息系統(tǒng)通用安全技術(shù)要求GB/T 202722006 信息安全技術(shù) 操作系統(tǒng)安全技術(shù)要求GB/T 202732006 信息安全技術(shù) 數(shù)據(jù)庫管理系統(tǒng)通用安全技術(shù)要求GA/T6712006 信息安全技術(shù)216。XXX公司作為專業(yè)的信息安全廠商，經(jīng)過十余年的經(jīng)營發(fā)展，已經(jīng)擁有了覆蓋國內(nèi)政府、軍隊(duì)、金融、能源、電信、教育等數(shù)萬家用戶，為用戶提供各類安全產(chǎn)品及服務(wù)，因此一旦公司的核心技術(shù)資料早到泄露，那么將嚴(yán)重影響到用戶的切身利益，將會(huì)引起大規(guī)模的恐慌，因此其信息系統(tǒng)可以按照嚴(yán)重影響社會(huì)和公眾利益的程度進(jìn)行定級(jí)，確定最高為3級(jí)。 VLAN 劃分XXX信息網(wǎng)絡(luò)內(nèi)沒有引入三層交換機(jī)，在網(wǎng)段劃分上則通過防火墻端口自然隔離為不同的VLAN，各個(gè)不同的VLAN提供給不同的部門使用，并且按照部門的職能劃分，防火墻執(zhí)行不同的訪問控制策略，具體VLAN劃分的方式如下：VLAN IP地址VLAN內(nèi)用戶網(wǎng)關(guān)防火墻VLAN 1業(yè)務(wù)服務(wù)器區(qū)域核心防火墻ETH1口VLAN 2行政部四樓防火墻ETH1口VLAN 3總裁辦公室四樓防火墻ETH1口VLAN 4銷售管理和售前四樓防火墻ETH1口VLAN 5銷售體系四樓防火墻ETH1口VLAN 6財(cái)務(wù)部四樓防火墻ETH1口VLAN 7客服部三樓防火墻ETH1口VLAN 8信息管理部四樓防火墻ETH1口VLAN 9人力資源部四樓防火墻ETH1口VLAN 10生產(chǎn)車間三樓防火墻ETH1口VLA