【正文】 X公司產(chǎn)品的核心代碼，是公司非常重要的數(shù)據(jù)；n 應用系統(tǒng)對最大并發(fā)會話沒有限制；n 應用系統(tǒng)對單個賬戶的多重登錄會話沒有判斷和限制；n 應用系統(tǒng)的用戶帳號是采用加密的方式進行存放的，除管理員以外的任何人都無法看到用戶帳號信息，并且管理員無法查看用戶的口令（但管理員可以重置用戶口令）；n 系統(tǒng)對密碼的長度沒有任何約束，軟件中對密碼也沒有限制，但是管理員建議用戶采取復雜密碼，以防止密碼被竊??；n 系統(tǒng)對錯誤的登錄沒有采取措施，當多次登錄失敗時系統(tǒng)不會鎖定帳號；n 應用系統(tǒng)也沒有超時退出措施，當用戶認證通過后長時間沒有任何操作，系統(tǒng)不會自動退出；n 系統(tǒng)對賬戶的管理采用分組的方式進行，首先系統(tǒng)需要將各個代碼文件，按照代碼文件對應的不同產(chǎn)品進行分類，然后創(chuàng)建不同的目錄，將不同產(chǎn)品的代碼防止在不同目錄下；然后系統(tǒng)將目錄和組建立訪問關(guān)系，建立成功后，對于不同目錄下的文件，只有對應組下的用戶方可訪問；n 此外，目錄下對組內(nèi)用戶的操作權(quán)限也有控制，共包含兩大類，一是讀取的權(quán)限；二是修改的權(quán)限；用戶根據(jù)分配到的權(quán)限可對代碼文件執(zhí)行不同的操作；n 如果應用系統(tǒng)的訪問用戶忘記密碼，可向管理員進行申請，管理員對密碼進行初始化后，再次由用戶登錄系統(tǒng)，對密碼進行修改后可正常訪問系統(tǒng)；n 管理員不能查看用戶設定的口令，除此之外可以執(zhí)行任何操作，沒有具體的限制；n 應用系統(tǒng)支持比較好的審計功能，對文件的任何修改都將產(chǎn)生記錄，詳細記錄了文件修改的日期、時間、人員、修改內(nèi)容、修改結(jié)果等信息；但是審計記錄尚未有采取集中的方式；n 應用系統(tǒng)的審計記錄主要是體現(xiàn)在版本控制上，僅提供查詢，不支持報表統(tǒng)計。 內(nèi)部辦公系統(tǒng)內(nèi)部辦公系統(tǒng)主要是提供給員工進行軟件和工具下載使用，沒有使用限制，只要是接入到公司內(nèi)網(wǎng)的終端均可上網(wǎng)下載，另外還有內(nèi)部考勤系統(tǒng)，經(jīng)過調(diào)查具體情況包括：文件服務采取標準的FTP服務器，提供給內(nèi)部辦公人員進行軟件和工具的下載，設備型號為組裝的PC服務器，操作系統(tǒng)為WINDOWS 2000 Advance Server SP4，系統(tǒng)管理人員定期更新各類工具，系統(tǒng)沒有身份鑒別要求，只要是接入到辦公內(nèi)網(wǎng)的用戶均可使用FTP。應避免將某個單一的系統(tǒng)組件，如服務器、終端、網(wǎng)絡設備等作為定級對象。如果一個單位的某個下級單位負責信息系統(tǒng)安全建設、運行維護等過程的全部安全責任，則這個下級單位可以成為信息系統(tǒng)的安全責任單位；如果一個單位中的不同下級單位分別承擔信息系統(tǒng)不同方面的安全責任，則該信息系統(tǒng)的安全責任單位應是這些下級單位共同所屬的單位。 外部服務系統(tǒng)XXX公司提供對外服務的系統(tǒng)包括公司主頁系統(tǒng)、郵件系統(tǒng)和產(chǎn)品升級服務器，各系統(tǒng)的具體情況說明如下：公司主頁系統(tǒng)系統(tǒng)主要實現(xiàn)了對外的信息發(fā)布、公司宣傳、XXX在線客服、公司技術(shù)論壇等欄目，通過Apache進行主頁發(fā)布，并利用主頁系統(tǒng)開發(fā)了“及時雨”在線客服系統(tǒng)（相當于及時通訊軟件），互聯(lián)網(wǎng)的訪客可通過該平臺進行業(yè)務咨詢、技術(shù)咨詢和售后服務咨詢等；經(jīng)過調(diào)查，該系統(tǒng)的具體情況為：n 應用系統(tǒng)為主頁發(fā)布，后臺無支持數(shù)據(jù)庫；發(fā)布的信息大多以靜態(tài)文本的方式發(fā)送；n 主頁系統(tǒng)對互聯(lián)網(wǎng)用戶最大并發(fā)會話數(shù)有限制；n 主頁發(fā)布、“及時語”等應用對互聯(lián)網(wǎng)完全開放，因此不需要進行認證即可進行訪問；技術(shù)論壇部分需要進行認證，認證方式采用用戶名＋口令，互聯(lián)網(wǎng)訪問用戶需要注冊信息（但是如果不注冊也可以訪問論壇，但無法發(fā)表話題和回復話題）；n 主頁系統(tǒng)中的技術(shù)論壇，需要進行認證；并且用戶帳號是以明文的方式存放的；n 主頁技術(shù)論壇對用戶帳號沒有長度和強度的建議；n 技術(shù)論壇沒有鎖定帳號的措施，系統(tǒng)連續(xù)多次錯誤輸入，系統(tǒng)不會進行任何處理；n 技術(shù)論壇也沒有超時退出措施，當用戶認證通過后長時間沒有任何操作，論壇不會自動退出；n 技術(shù)論壇的賬戶管理沒有設置組，對賬戶的管理只是針對到單個用戶；n 技術(shù)論壇管理員具有很高的權(quán)限，除了不能查看訪問應用系統(tǒng)用戶的口令以外，具有使用系統(tǒng)的所有權(quán)限；n 主頁服務器目前還沒有啟動安全審計功能。XXX公司從2004起開始啟用此系統(tǒng)，研發(fā)人員在修改代碼時，首先將代碼從CVS服務器上獲取下到個人計算機，然后在個人計算機上進行修改；修改完畢后再通過CVS上傳代碼，CVS會自動記錄代碼文件的修改過程，進行版本控制，如果需要不同版本的代碼文件時，可以從CVS服務器上找到。ORACLE EBS電子商務套件這是公司2007年7月上線的系統(tǒng)，已實施包括采購、訂單、制造、財務（總帳、應收、應付、資產(chǎn)）和CRM（合同、工程實施、服務）模塊。金蝶K3系統(tǒng)這是公司2005年1月上線的系統(tǒng)，包括財務、生產(chǎn)制造、庫存、采購、銷售等模塊，同樣由于XXX公司于2007年進行信息化改造，將所有的相關(guān)業(yè)務全部移植到新的EBS系統(tǒng)中，因此該系統(tǒng)基本停用，則仍在部分使用采購、庫存、銷售等模塊，此外也同樣需要提供歷史數(shù)據(jù)查詢，因此也在繼續(xù)運行。 信息安全管理平臺目前XXX公司已經(jīng)實施了對全網(wǎng)進行安全事件管理的綜合平臺，采用XXX信息安全管理系統(tǒng)－TopAnalyzer，系統(tǒng)通過資產(chǎn)管理、安全事件管理、安全事件關(guān)聯(lián)分析、安全威脅管理等功能，對XXX的所有信息資產(chǎn)實現(xiàn)了全局的管理，系統(tǒng)通過監(jiān)控、分析和管理XXX信息網(wǎng)絡的整體安全態(tài)勢，依據(jù)BS7799安全管理標準，結(jié)合安全服務的最佳實踐，以風險管理為核心，通過深度數(shù)據(jù)挖掘、事件關(guān)聯(lián)等技術(shù)，實現(xiàn)了對XXX信息網(wǎng)絡內(nèi)部各類安全事件的集中管理和智能分析，提供多視角、實時動態(tài)的企業(yè)風險現(xiàn)狀展示。當IDS檢測到報警后能夠與主機防火墻進行聯(lián)動，自動阻斷外部攻擊行為。該防火墻還針對外部服務器區(qū)域，執(zhí)行反向地址轉(zhuǎn)換策略，將公司主頁服務器、郵件服務器以及升級服務器的地址轉(zhuǎn)換為電信的互聯(lián)網(wǎng)地址，以提供給電信用戶以及使用電信寬帶的分支機構(gòu)來訪問外部服務器區(qū)域；防火墻在管理上采取證書＋口令的雙因素認證方式，防火墻的策略有運行維護中心的安全維護終端進行配置，不允許通過互聯(lián)網(wǎng)遠程配置防火墻；防火墻尚未有開啟日志審計功能，公司也沒有配置全網(wǎng)的日志審計系統(tǒng)。 安全設備情況目前在XXX信息網(wǎng)絡中廣泛使用的安全設備有三大類，一是面向網(wǎng)絡安全類的防火墻、VPN類安全設備；二是面向終端的終端安全管理系統(tǒng)以及防病毒軟件類，三是面向全網(wǎng)進行安全運維的安全管理平臺，各安全設備的配置情況為： 防火墻系統(tǒng)防火墻是XXX信息網(wǎng)絡中使用最為廣泛的安全設備，防火墻系統(tǒng)分別被用在分支機構(gòu)局域網(wǎng)邊界、總部的辦公終端邊界、業(yè)務服務器邊界、研發(fā)終端邊界、研發(fā)服務器邊界以及外部服務器邊界，防火墻的引入將XXX信息網(wǎng)絡隔離為多個安全區(qū)域，實際上起到了轉(zhuǎn)發(fā)層和核心交換層的作用，取代了轉(zhuǎn)發(fā)層常用的路由器和核心交換層常用的三層交換機；并且在安全區(qū)域之間執(zhí)行嚴格的訪問控制策略，有效保護了重要的信息系統(tǒng)資源。遠程管理時采用SSL VPN＋遠程桌面的方式進行；文件服務器主要提供給內(nèi)部辦公人員進行軟件和工具的下載，設備型號為組裝的PC服務器，操作系統(tǒng)為WINDOWS 2000 Advance Server SP4，服務器的管理認證方式為用戶名/口令方式，沒有做到分權(quán)管理；利用WINDOWS自帶的口令加密方式進行保護；在管理上服務器采取高強度口令，并且能夠定期自動更新，對于過期賬戶通過人工方式進行定期檢查，并及時刪除過期帳號，開啟了日志審計功能，審計重點是用戶登錄日志。其中各個區(qū)域之間的訪問關(guān)系分別為：辦公終端區(qū)域：該區(qū)域包含公司總部的所有辦公終端，涉及部門有總裁辦、董事會、行政部、技術(shù)服務中心、人力資源中心、信息管理部、戰(zhàn)略方案中心、銷售中心、商務部、銷售管理部、財務部、行政部、市場部等，該區(qū)域的終端均可通過部署在三樓、四樓以及五樓的防火墻以及核心防火墻訪問到互聯(lián)網(wǎng)；其中銷售管理部、商務部、銷售中心、財務部、行政部的辦公終端可訪問業(yè)務服務器區(qū)域內(nèi)的EBS系統(tǒng)；所有的辦公終端均可以訪問業(yè)務服務器區(qū)域內(nèi)的內(nèi)部論壇；所有的辦公終端均可訪問外部服務器區(qū)域，可以訪問郵件系統(tǒng)，公司主頁以及DNS服務器；技術(shù)服務中心的終端可以訪問研發(fā)服務器區(qū)域的BUGzilla外部服務器；研發(fā)辦公終端區(qū)域：該區(qū)域包含公司研發(fā)中心的所有終端，該區(qū)域可以訪問外部服務器區(qū)域的公司主頁服務器、郵件服務器以及DNS服務器；可以訪問研發(fā)服務器的CVS服務器和BUGzilla服務器；在研發(fā)辦公終端邊界部署了防火墻設備，通過訪問控制規(guī)則限制辦公終端不得訪問互聯(lián)網(wǎng)；業(yè)務服務器區(qū)域：該區(qū)域包含運行著公司的EBS系統(tǒng)以及內(nèi)部論壇的所有服務器，該區(qū)域只接收外部的訪問，目前EBS系統(tǒng)已開放采購、訂單、制造、財務和CRM模塊，并根據(jù)各個部門的職能劃分，系統(tǒng)內(nèi)進行模塊的訪問控制，比如允許行政部訪問EBS的采購模塊；商務部和銷售中心以及各地的分支結(jié)構(gòu)可以訪問訂單模塊；各地分支機構(gòu)的商務人員以及財務部可以訪問其財務模塊；銷售中心以及各地分支機構(gòu)的銷售人員可以訪問其CRM模塊等；業(yè)務服務器區(qū)域直接連接到核心防火墻的端口上，通過核心交換機的訪問控制規(guī)則限制該區(qū)域?qū)ν獾娜魏卧L問；研發(fā)服務器區(qū)域：該區(qū)域包含運行著研發(fā)CVS以及BUGzilla的所有服務器，主要提供給研發(fā)人員使用，此外，技術(shù)服務中心的辦公終端可以訪問其BUGzilla的外部服務器；該區(qū)域與研發(fā)終端區(qū)域以及測試機房區(qū)域共享一臺防火墻，通過防火墻的訪問控制規(guī)則限制該區(qū)域不得對外進行任何訪問；生產(chǎn)車間終端區(qū)域：該區(qū)域包含了生產(chǎn)車間的所有的終端，與三樓的辦公終端共享一臺服務器，防火墻通過嚴格的訪問控制規(guī)則限制該區(qū)域只能訪問業(yè)務服務器區(qū)域的EBS系統(tǒng)，并通過EBS系統(tǒng)的應用訪問控制，限制生產(chǎn)車間終端只能訪問其中的制造模塊；并且該區(qū)域不得訪問其他任何外部區(qū)域；外部服務器區(qū)域：對互聯(lián)網(wǎng)開放，提供四類服務器，包括主頁發(fā)布服務、郵件服務、DNS服務，以及提供給XXX的安全產(chǎn)品用戶進行升級的服務，該區(qū)域直接連接到核心防火墻上，其中主頁發(fā)布服務和郵件、DNS也可提供給辦公終端人員進行訪問；分支機構(gòu)區(qū)域：各分支機構(gòu)的邊界均部署了防火墻，可以訪問互聯(lián)網(wǎng)，并且可通過互聯(lián)網(wǎng)訪問公司的外部服務器區(qū)域以及業(yè)務服務器區(qū)域，并且為確保遠程訪問傳輸?shù)陌踩?，在邊界的防火墻上，以及公司互?lián)網(wǎng)出口的防火墻上都配置了IPSEC VPN模塊，可實現(xiàn)安全傳輸；另外對于一些規(guī)模小的分支機構(gòu)，則通過SSL VPN的方式來訪問公司業(yè)務服務器區(qū)域和外部服務器區(qū)域；移動辦公用戶：類似于分支機構(gòu)區(qū)域，移動辦公人員通過SSL VPN的方式可安全地訪問公司業(yè)務服務器區(qū)域和外部服務器區(qū)域。 《計算機信息系統(tǒng)安全專用產(chǎn)品檢測和銷售許可證管理辦法》公安部令32號216。 GB/T 18336：等同采用ISO 15408216。對于XXX公司信息安全建設，應當以適度風險為核心，以重點保護為原則，從業(yè)務的角度出發(fā)，重點保護重要的業(yè)務、研發(fā)類信息系統(tǒng)，在方案設計中應當遵循以下的原則：適度安全原則任何信息系統(tǒng)都不能做到絕對的安全，在進行XXX信息安全等級保護規(guī)劃中，要在安全需求、安全風險和安全成本之間進行平衡和折中，過多的安全要求必將造成安全成本的迅速增加和運行的復雜性。伴隨著信息系統(tǒng)的快速發(fā)展，信息系統(tǒng)所面臨的安全威脅日益復雜，對信息安全系統(tǒng)的需求與日俱增。目前公司利用防火墻、VPN、防病毒、終端安全管理、安全信息管理等技術(shù)，為公司信息網(wǎng)絡的安全防護起到了一定的效果。 參考標準本方案根據(jù)國家提出的等級保護管理辦法和實施指南，針對XXX信息系統(tǒng)的特點和安全建設需求，進行全面的安全保障規(guī)劃，設計中重點參考的政策和標準包括以下兩個部分： 信息系統(tǒng)安全等級保護標準和規(guī)范本方案重點參考以下的的政策和標準：指導思想中辦[2003]27號文件（關(guān)于轉(zhuǎn)發(fā)《國家信息化領(lǐng)導小組關(guān)于加強信息安全保障工作的意見》的通知）公通字[2004]66號文件（關(guān)于印發(fā)《信息安全等級保護工作的實施意見》的通知）公通字[2007]43號文件（關(guān)于印發(fā)《信息安全等級保護管理辦法》的通知）等級保護GB 178591999 計算機信息系統(tǒng)安全保護等級劃分準則GB/T aaaaaxxxx 信息安全技術(shù) 信息系統(tǒng)安全等級保護實施指南系統(tǒng)定級GB/T aaaaaxxxx 信息安全技術(shù) 信息系統(tǒng)安全保護等級定級指南技術(shù)方面GB/T 202702006 信息安全技術(shù) 網(wǎng)絡基礎(chǔ)安全技術(shù)要求GB/T 202712006 信息安全技術(shù) 信息系統(tǒng)通用安全技術(shù)要求GB/T 202722006 信息安全技術(shù) 操作系統(tǒng)安全技術(shù)要求GB/T 202732006 信息安全技術(shù) 數(shù)據(jù)庫管理系統(tǒng)通用安全技術(shù)要求GA/T6712006 信息安全技術(shù)216。XXX公司作為專業(yè)的信息安全廠商，經(jīng)過十余年的經(jīng)營發(fā)展，已經(jīng)擁有了覆蓋國內(nèi)政府、軍隊、金融、能源、電信、教育等數(shù)萬家用戶，為用戶提供各類安全產(chǎn)品及服務，因此一旦公司的核心技術(shù)資料早到泄露，那么將嚴重影響到用戶的切身利益，將會引起大規(guī)模的恐慌，因此其信息系統(tǒng)可以按照嚴重影響社會和公眾利益的程度進行定級，確定最高為3級。 VLAN 劃分XXX信息網(wǎng)絡內(nèi)沒有引入三層交換機，在網(wǎng)段劃分上則通過防火墻端口自然隔離為不同的VLAN，各個不同的VLAN提供給不同的部門使用，并且按照部門的職能劃分，防火墻執(zhí)行不同的訪問控制策略，具體VLAN劃分的方式如下：VLAN IP地址VLAN內(nèi)用戶網(wǎng)關(guān)防火墻VLAN 1業(yè)務服務器區(qū)域核心防火墻ETH1口VLAN 2行政部四樓防火墻ETH1口VLAN 3總裁辦公室四樓防火墻ETH1口VLAN 4銷售管理和售前四樓防火墻ETH1口VLAN 5銷售體系四樓防火墻ETH1口VLAN 6財務部四樓防火墻ETH1口VLAN 7客服部三樓防火墻ETH1口VLAN 8信息管理部四樓防火墻ETH1口VLAN 9人力資源部四樓防火墻ETH1口VLAN 10生產(chǎn)車間三樓防火墻ETH1口VLA