【文章內(nèi)容簡介】 以提高辦公的效率，但同時也造成用戶的信息易受到攻擊，造成泄密。特別是對于移動辦公的情況更是如此。因此，需要對移動用戶的文件及文件夾進行本地安全管理，防止文件泄密等安全隱患。 本設(shè)計方案采用清華紫光公司出品的紫光 S 鎖產(chǎn)品， “紫光 S 鎖 ”是清華紫光 “桌面計算機信息安全保護系統(tǒng) ”的商品名稱。紫光 S 鎖的內(nèi)部集成了包括中央處理器8 （ CPU）、加密運算協(xié)處理器（ CAU）、只讀存儲器（ ROM），隨機存儲器（ RAM）、電可擦除可編程只讀存儲器（ E2PROM）等，以及固化在 ROM 內(nèi)部的芯片操 作系統(tǒng)COS（ Chip Operating System）、硬件 ID 號、各種密鑰和加密算法等。紫光 S 鎖采用了通過中國人民銀行認證的 SmartCOS，其安全模塊可防止非法數(shù)據(jù)的侵入和數(shù)據(jù)的篡改，防止非法軟件對 S 鎖進行操作。 基于單位目前網(wǎng)絡(luò)的現(xiàn)狀，在網(wǎng)絡(luò)中添加一臺服務(wù)器，用于安裝 IMSS。 （ 1)郵件防毒。采用趨勢科技的 ScanMail for Notes。該產(chǎn)品可以和 Domino 的群件服務(wù)器無縫相結(jié)合并內(nèi)嵌到 Notes 的數(shù)據(jù)庫中，可防止病毒入侵到 LotueNotes 的數(shù)據(jù)庫及電子 郵件，實時掃描并清除隱藏于數(shù)據(jù)庫及信件附件中的病毒?？赏ㄟ^任何 Notes工作站或 Web 界面遠程控管防毒 管理工作 ，并提供實時監(jiān)控病毒流量的活動記錄報告。 ScanMail是 Notes Domino Server 使用率最高的防病毒軟件。 （ 2)服務(wù)器防毒。采用趨勢科技的 ServerProtect。該產(chǎn)品的最大特點是內(nèi)含集中管理的概念，防毒模塊和管理模塊可分開安裝。一方面減少了整個防毒系統(tǒng)對 原系統(tǒng)的影響，另一方面使所有服務(wù)器的防毒系統(tǒng)可以從單點進行部署，管理和更新。 （ 3)客戶端防毒。采用趨勢科技的 OfficeScan。該產(chǎn)品作為網(wǎng)絡(luò)版的客戶端防毒系統(tǒng)，使 管理者 通過單點控制所有客戶機上的防毒模塊，并可以自動對所有客戶端的防毒模塊進行更新。其最大特點是擁有靈活的產(chǎn)品集中部署方式，不受 Windows 域管理模式的約束，除支持 SMS，登錄域腳本，共享安裝以外，還支持純 Web 的部署方式。 （ 4)集中控管 TVCS。管理員可以通過此工具在整個企業(yè)范圍內(nèi)進行配置、監(jiān)視和維護趨勢科技的防病毒軟件，支持跨域和跨網(wǎng)段的管理，并能顯示基于服務(wù)器的防病毒產(chǎn)品狀態(tài)。無論運行于何種平臺和位置， TVCS 在整個網(wǎng)絡(luò)中總起一個單一管理控制臺作用。簡便的安裝和分發(fā)代理部署，網(wǎng)絡(luò)的分析和病毒統(tǒng)計功能以及自動下載病毒代碼文件和病毒爆發(fā)警報，給管理帶來極大的便利。 動態(tài)口令系統(tǒng)在國際公開的密碼算法基礎(chǔ)上，結(jié)合生成動態(tài)口令的特點，加以精心修改，通過十次以上的非線性迭代運算，完成時間參數(shù)與密鑰 充分的混合擴散。在此基礎(chǔ)上，采用先進的身份認證及加解密流程、先進的密鑰管理方式，從整體上保證了系統(tǒng)的安全性。 “防火墻 ” 單位安全網(wǎng)由多個具有不同安全信任度的網(wǎng)絡(luò)部分構(gòu)成，在控制不可信連接、分辨非法訪問、辨別身份偽裝等方面存在著很大的缺陷，從而構(gòu)成了對網(wǎng)絡(luò)安全的重要隱患。本設(shè)計方案選用四臺網(wǎng)御防火墻，分別配置在高性能服務(wù)器和三個重要部門的局域網(wǎng)出入口，實現(xiàn)這些重要部門的訪問控制。 通過在核心交換機和高性能服務(wù)器群之間及核心交換機和重要部門之間部署防火墻，通過防火墻將網(wǎng)絡(luò)內(nèi)部不同部 門的網(wǎng)絡(luò)或關(guān)鍵服務(wù)器劃分為不同的網(wǎng)段，彼此隔離。這樣不僅保護了單位網(wǎng)絡(luò)服務(wù)器，使其不受來自內(nèi)部的攻擊，也保護了各部門網(wǎng)絡(luò)和數(shù)據(jù)服務(wù)器不受來自單位網(wǎng)內(nèi)部其他部門的網(wǎng)絡(luò)的攻擊。如果有人闖進您的一個部門，或者如果病毒開始蔓延，網(wǎng)段能夠限制造成的損壞進一步擴大。 、信息完整性校驗 為有效解決辦公區(qū)之間信息的傳輸安全，可以在多個子網(wǎng)之間建立起獨立的安全通道，通過嚴格的加密和認證措施來保證通道中傳送的數(shù)據(jù)的完整性、真實性和私有性。 9 SJW22 網(wǎng)絡(luò)密碼機系統(tǒng)組成 網(wǎng)絡(luò)密碼機（硬件） :是一個基 于專用內(nèi)核，具有自主版權(quán)的高級通信保護控制系統(tǒng)。 本地管理器（軟件） :是一個安裝于密碼機本地管理平臺上的基于網(wǎng)絡(luò)或串口方式的網(wǎng)絡(luò)密碼機本地管理系統(tǒng)軟件。 中心管理器（軟件） :是一個安裝于中心管理平臺（ Windows 系統(tǒng)）上的對全網(wǎng)的密碼機設(shè)備進行統(tǒng)一管理的系統(tǒng)軟件。 根據(jù)以上多層次安全防范的策略，安全網(wǎng)的安全建設(shè)可采取 “加密 ”、 “外防 ”、 “內(nèi)審 ”相結(jié)合的方法， “內(nèi)審 ”是對系統(tǒng)內(nèi)部進行監(jiān)視、審查，識別系統(tǒng)是否正在受到攻擊以及內(nèi)部機密信息是否泄密，以解決內(nèi)層安全。 安全 審計系統(tǒng)能幫助用戶對安全網(wǎng)的安全進行實時監(jiān)控，及時發(fā)現(xiàn)整個網(wǎng)絡(luò)上的動態(tài)，發(fā)現(xiàn)網(wǎng)絡(luò)入侵和違規(guī)行為，忠實記錄網(wǎng)絡(luò)上發(fā)生的一切，提供取證手段。作為網(wǎng)絡(luò)安全十分重要的一種手段，安全審計系統(tǒng)包括識別、記錄、存儲、分析與安全相關(guān)行為有關(guān)的信息。 在安全網(wǎng)中使用的安全審計系統(tǒng)應(yīng)實現(xiàn)如下功能：安全審計自動響應(yīng)、安全審計數(shù)據(jù)生成、安全審計分析、安全審計瀏覽、安全審計事件存儲、安全審計事件選擇等。 本設(shè)計方案選用 “漢邦軟科 ”的安全審計系統(tǒng)作為安全審計工具。 漢邦安全審計系統(tǒng)是針對目前網(wǎng)絡(luò)發(fā)展現(xiàn)狀及存在的安全問 題，面向企事業(yè)的網(wǎng)絡(luò)管理人員而設(shè)計的一套網(wǎng)絡(luò)安全產(chǎn)品，是一個分布在整個安全網(wǎng)范圍內(nèi)的網(wǎng)絡(luò)安全監(jiān)視監(jiān)測、控制系統(tǒng)。 （ 1）安全審計系統(tǒng)由安全監(jiān)控中心和主機傳感器兩個部分構(gòu)成。主機傳感器安裝在要監(jiān)視的目標主機上，其監(jiān)視目標主機的人機界面操作、監(jiān)控 RAS 連接、監(jiān)控網(wǎng)絡(luò)連接情況及共享資源的使用情況。安全監(jiān)控中心是管理平臺和監(jiān)控平臺，網(wǎng)絡(luò)管理員通過安全監(jiān)控中心為主機傳感器設(shè)定監(jiān)控規(guī)則，同時獲得監(jiān)控結(jié)果、報警信息以及日志的審計。主要功能有文件保護審計和主機信息審計。 ① 文件保護審計：文件保護安裝在審計中心，可有效的對被審計主機端的文件進行管理規(guī)則設(shè)置，包括禁止讀、禁止寫、禁止刪除、禁止修改屬性、禁止重命名、記錄日志、提供報警等功能。以及對文件保護進行用戶管理。 ② 主機信息審計 :對網(wǎng)絡(luò)內(nèi)公共資源中，所有主機進行審計，可以審計到主機的機器名、當前用戶、操作系統(tǒng)類型、 IP 地址信息。 （ 2)資源監(jiān)控系統(tǒng)主要有四類功能。 ① 監(jiān)視屏幕 :在用戶指定的時間段內(nèi)，系統(tǒng)自動每隔數(shù)秒或數(shù)分截獲一次屏幕 。用戶實時控制屏幕截獲的開始和結(jié)束。 3 防火墻的配置 防火墻的初始配置 像路由器一樣，在使用之前，防火墻也需要經(jīng)過基本的初始配置。但因各種防火墻的初始配置基本類似，所以在此僅以 Cisco PIX 防火墻為例進行介紹。 防火墻的初始配置也是通過控制端口（ Console）與 PC 機（通常是便于移動的筆記本電腦）的串口連接，再通過 Windows 系統(tǒng)自帶的超級終端（ HyperTerminal）程序進行選項配置。防火墻的初始配置物理連接與前面介紹的交換機初始配置連接方法10 一樣，參見圖 1 所示。 防火墻除了以上所說的通過控制端口（ Console）進行初始配置外，也可以通過tel 和 Tffp 配置方式進行高級配置，但 Tel 配置方式都是在命令方式中配置，難度較大，而 Tffp 方式需要專用的 Tffp 服務(wù)器軟件，但配置界面比較友好。 防火墻與路由器一樣也有四種用戶配置模式，即：普通模式（ Unprivileged mode）、特權(quán)模式（ Privileged Mode）、配置模式（ Configuration Mode）和端口模式（ Interface Mode），進入這四種用戶模式的命令也與路由器一樣： 普通用戶模式無需特別命令，啟動后即進入； 進入特權(quán)用戶模式的命令為 enable；進入配置模式的命令為 config terminal；而進入端口模式的命令為 interface ether（） 。不過因為防火墻的端口沒有路由器那么復雜，所以通常把端口模式歸為配置模式，統(tǒng)稱為 全局配置模式 。 防火墻的具體配置步驟如下： 1. 將防火墻的 Console 端口用一條防火墻自帶的串行電纜連接到筆記本電腦的一個空余串口上，參見圖 1。 2. 打開 PIX 防火電源，讓系統(tǒng)加電初始化，然后開啟與防火墻連接的主機。 3. 運行筆記本電腦 Windows 系統(tǒng)中的超級終端（ HyperTerminal）程序（通常在附件 程序組中）。對超級終端的配置與交換機或路由器的配置一樣，參見本教程前面有關(guān)介紹。 4. 當 PIX 防火墻進入系統(tǒng)后即顯示 pixfirewall的提示符，這就證明防火墻已啟動成功，所進入的是防火墻用戶模式。可以 進行進一步的配置了。 5. 輸入命令： enable,進入特權(quán)用戶模式，此時系統(tǒng)提示為： pixfirewall。 6. 輸入命令： configure terminal,進入全局配置模式，對系統(tǒng)進行初始化設(shè)置。 （ 1） . 首先配置防火墻的網(wǎng)卡參數(shù)（以