【正文】 ， WHOIS，ARP， NETBIOS， RIP， IRC， SUNRPC， MSSQL， NTALK， ECHO，PMAP， AUTH， TNS， TDS 等 30 種以上協(xié)議的分析； 9) 入侵檢測系統(tǒng)采用的事件庫必須經(jīng)過國際 CVE 組織的授權(quán)證書 。 7*24*365 快速響應服務， 1 小時內(nèi)響應（本地） 提供全天候的緊急響應服務，本地在 2 個小時內(nèi)到達現(xiàn)場 判定安全事件類型 從網(wǎng)絡流量、系統(tǒng)和 IDS 日志記錄、桌面日志中判斷安全事件類型。 客戶信息系統(tǒng)安全加固 對系統(tǒng)中發(fā)現(xiàn)的漏洞進行安全加固，消除安全隱患。制訂業(yè)務連續(xù)性計劃并成立危機管理小組。所有計劃內(nèi)的變更在實施之前必須經(jīng)過授權(quán)，在投入生產(chǎn)運用之前，需按照已制訂的系統(tǒng)測試程序，進行嚴格、全面的測試； 12) 生產(chǎn)環(huán)境的變更：對重要的業(yè)務應用程序、操作系統(tǒng)和硬件做出變更時都要嚴格遵從變更控制程序 ，在變更在實施之前必須經(jīng)過授權(quán)，在投入生產(chǎn)運用之前，需按照已制訂的系統(tǒng)測試程序，進行嚴格、全面的測試； 13) 問題管理：確保所有的 IT 系統(tǒng)問題按照一致的方式上報并記錄在案； 14) 源代碼管理：確保對生產(chǎn)源代碼做出的所有變更都獲得了正確的授權(quán)和控制，并且所有這些變更都是可審計的； 15) 軟件授權(quán)：確保使用中的已授權(quán)軟件通過合法途徑獲得，而且沒有違反授權(quán)規(guī)定； 容量設計：確保關(guān)鍵的 IT 系統(tǒng)和網(wǎng)絡和能夠及時和高效率、低成本地達到業(yè)務發(fā)展的要求。在集成這些技術(shù)到相關(guān)產(chǎn)品時，不能忽視匹配重要的新入侵防護解決方案。 應用級攻擊 – 入侵防護 一旦發(fā)生拒絕服務攻擊可使企業(yè)網(wǎng)站斷線幾個小時甚至更多。即使招聘一批安全專家，但成本相對較高，資源浪費。 3) 簽訂外包服務合同。 亞洲大藥房網(wǎng)上藥品交易平臺 安全服務體系建設內(nèi)容有： 1) 建立安全服務規(guī)范。 7 安全服務體系建設 隨著互聯(lián)網(wǎng)技術(shù)的每一步發(fā)展，都伴隨著新的黑客技術(shù)及漏洞的產(chǎn)生，任何防護產(chǎn)品或方式都無法終結(jié)網(wǎng)絡安全威脅。 網(wǎng)絡基礎(chǔ)架構(gòu) – 入侵防護 入侵防護保護 網(wǎng)絡基礎(chǔ)架構(gòu)，以便業(yè)務不受打斷。這些風險存在于電子郵件及諸如病毒、蠕蟲、入侵和不正當 Web 內(nèi)容等的 Web 流量。對所有的主要業(yè)務應用程序和操作系統(tǒng)生成全面的審計跟蹤記錄； 7) PC 軟件安裝：確保所有的 IT 資源上只安裝經(jīng)過授權(quán)、得到許可的無病毒軟件，而且系統(tǒng)按照核準的程序安裝； 8) 系統(tǒng) 測試：確保所有新的程序和所有被修改的現(xiàn)有程序只有在獲得相關(guān)的數(shù)據(jù)、系統(tǒng)管理者授權(quán)，并和只能管理人員協(xié)商、在完成一系列測試程序后才能轉(zhuǎn)移到生產(chǎn)環(huán)境中； 9) 從開發(fā)到生產(chǎn)環(huán)境的程序轉(zhuǎn)換：應防止含有邏輯錯誤或不屬于程序最新版本的計算機程序應用到生產(chǎn)環(huán)境中，確保系統(tǒng)文件不斷更新，數(shù)據(jù)、系統(tǒng)用戶及時掌握程序變化情況。如果遇到系統(tǒng)來重受損時，可以利用災難恢復系統(tǒng)進行快速恢復。在這一步中，通常會將受影響系統(tǒng)和服務隔離。 3) 對控制臺與探測引擎之間的數(shù)據(jù)通信及存儲進行加密、完整性檢查，并進行基于 RSA（ 1024 位）的身份鑒別處理； 4) 網(wǎng)絡探測引擎應采用固化模塊（包含軟硬件），使用專有操作系統(tǒng)，探測引擎不設 IP 地址 ，便于 在網(wǎng)絡中實現(xiàn)自身隱藏及帶外管理。 7) 能夠定期升級最新攻擊特征，支持遠程升級方式，要求升級過程不停止監(jiān)測過程。必須配備入侵檢測系統(tǒng)，對透過防火墻的攻擊進行檢測并做相應反應（記錄、報警、阻斷）。 防火墻 防火墻是網(wǎng)絡安全最基本、最經(jīng)濟、最有效的手段之一 ,可以實現(xiàn)內(nèi)部、外部網(wǎng)或不同信任域網(wǎng)絡之間的隔離，達到有效的控制對網(wǎng)絡訪 問的作用。 13)具有全網(wǎng) 集中監(jiān)控 和 管理 的 功能 ， 并要求實時監(jiān)控 ； 14)是通過 TCPIP的方式實現(xiàn)，必須支持遠 程瀏覽器（ WEB）管理方式 ； 15)支持病毒源頭查詢機制，通過日志查找病毒源頭 ； 16)支持目錄和文件防修改、刪除、寫入保護功能 。 5) 運用先進技術(shù)防范未知病毒、 Inter惡意代碼（ Jave /Active X） ，可對未知病毒進行隔離 。 7) 系統(tǒng)兼容性：防病毒軟件有一部分常駐程序，如果跟其它軟件不兼容將會帶 來更大的問題。 網(wǎng)絡防病毒軟件主要考慮以下幾個方面： 1) 病毒查殺能力：也就是對實際流行病毒的查殺能力。實際上，在系統(tǒng)建設的開始就 考慮系統(tǒng)安全對策，比在系統(tǒng)建設好后再考慮安全措施，不但容易，且花費也少得多。 綜合性、整體性原則 運用系統(tǒng)工程的觀點、方法，分析系統(tǒng)的安全及具體措施。 驗證登陸方式 采用本公司 安全驗證組件對于系統(tǒng)所有登陸安全處理生產(chǎn) 驗證碼 Session 加密處理。 可控性是信息安全 7 個屬性中最重要的一個，可控性最重要的體現(xiàn)是全局監(jiān)控、預警能力和 應急響應處理能力。 3) 人事管理漏洞：指對系統(tǒng)管理員、秘密信息管理員和存儲介質(zhì)管理員等的審查、錄用、素質(zhì)和道德培養(yǎng)以及調(diào)離、解聘各個環(huán)節(jié)中，管理制度及執(zhí)行中出現(xiàn)漏洞和 疏忽。如果遇到系統(tǒng)來重受損時，可以利用災難恢復系統(tǒng)進行快速恢復。 2) 后門：操作系統(tǒng)的開發(fā)者用于系統(tǒng)診斷、維護或其它目的而有意或無意留下的，攻擊者可用此獲得操作特權(quán)或?qū)ο到y(tǒng)資源進行非授權(quán)訪問或使用。如故意加重服務器的接入訪問流量使得其它用戶無法訪問該服務器，或是用大量的數(shù)據(jù)包阻塞某個網(wǎng)絡地址。 (6) 數(shù)據(jù)媒體的損壞、出錯。在保證交易有效的前提下盡可能的保證業(yè)務不中斷。（權(quán)限：包括下訂單和修改、查詢訂單信息 。系統(tǒng)安全解決方案 目 錄 1 系統(tǒng)概述 ................................................................................................................. 1 系統(tǒng)應用領(lǐng)域及建設目標 .......................................................................... 1 系統(tǒng)資產(chǎn)描述 .............................................................................................. 1 系統(tǒng)業(yè)務描述 .............................................................................................. 1 系統(tǒng)用戶描述 .............................................................................................. 1 2 安全需求分析 ......................................................................................................... 2 總體安全需求 .............................................................................................. 2 物理安全需求分析 ...................................................................................... 3 網(wǎng)絡安全需求分析 ...................................................................................... 4 主機安全需 求分析 ...................................................................................... 5 應用安全需求分析 ...................................................................................... 6 數(shù)據(jù)安全需求 .............................................................................................. 7 安全管理需求分析 ...................................................................................... 7 信息安全目標 .............................................................................................. 8 3 亞洲大藥房 網(wǎng)站代碼安全防護方案 ................................................................... 9 網(wǎng)站對于 .......................................................................................................... 9 驗證登陸方式 .................................................................................................. 9 系統(tǒng)加密方式 .................................................................................................. 9 4 安全設計規(guī)劃 ....................................................................................................... 10 安全設計目 標 ............................................................................................ 10 設計原則 .................................................................................................... 10 需求、風險、代價平衡分析的原則 .............................................. 10 綜合性、整體性原則 ...................................................................... 10 一致性原則 .......................................................................................11 易操作性原則 ........................