【文章內(nèi)容簡介】 用戶信息由網(wǎng)站工作人員專人負(fù)責(zé)管理,并執(zhí)行嚴(yán)格保密制度,未經(jīng)允許不得向他人泄露；為確保較高安全系數(shù),留言本加入了系統(tǒng)管理員后臺審核的功能。第六章 系統(tǒng)安全解決方案第一節(jié) 概 述一、目的本文檔目的在于明確說明系統(tǒng)安全解決方案，明確系統(tǒng)的機房環(huán)境、設(shè)備清單、病毒防治、防火墻、入侵檢測系統(tǒng)、漏洞掃描、應(yīng)急響應(yīng)服務(wù)機制等方面內(nèi)容。珠海橫琴新區(qū)華源醫(yī)藥有限公司的全球通醫(yī)藥網(wǎng)系統(tǒng)的運營安全，建立在網(wǎng)站自身的技術(shù)安全性及應(yīng)對外來危險所采取的預(yù)防與管理措施等方面。將安全策略、硬件及軟件等方法結(jié)合起來，構(gòu)成一個統(tǒng)一的防御系統(tǒng)，有效阻止非法用戶進入網(wǎng)絡(luò)，減少網(wǎng)絡(luò)的安全風(fēng)險。 定期進行漏洞掃描，審計跟蹤，及時發(fā)現(xiàn)問題，解決問題。通過入侵檢測等方式實現(xiàn)實時安全監(jiān)控，提供快速響應(yīng)故障的手段，同時具備很好的安全取證措施。 使網(wǎng)絡(luò)管理者能夠很快重新組織被破壞了的文件或應(yīng)用。使系統(tǒng)重新恢復(fù)到破壞前的狀態(tài)，最大限度地減少損失。 在工作站、服務(wù)器上安裝相應(yīng)的防病毒軟件，實現(xiàn)全網(wǎng)統(tǒng)一防病毒。二、范圍系統(tǒng)包括的范圍：機房環(huán)境、設(shè)備清單、病毒防治、防火墻、入侵檢測系統(tǒng)、漏洞掃描、應(yīng)急響應(yīng)服務(wù)機制。第二節(jié) 機房環(huán)境 珠海橫琴新區(qū)華源醫(yī)藥有限公司服務(wù)器托管于北京網(wǎng)聯(lián)無限技術(shù)發(fā)展有限公司，北京網(wǎng)聯(lián)無限技術(shù)發(fā)展有限公司（以下簡稱網(wǎng)聯(lián)無限）一家專門從事數(shù)據(jù)通信行業(yè)的高新技術(shù)企業(yè)（數(shù)據(jù)通信是繼電報、電話業(yè)務(wù)之后的第三種最大的通信業(yè)務(wù)）。網(wǎng)聯(lián)無限數(shù)據(jù)中心是長江集團的附屬公司。長江集團包括長江實業(yè)、和記黃埔、長江基建及香港電燈等四家上市公司，以及長江生命科技，TOM門戶網(wǎng)站，北京網(wǎng)聯(lián)無限數(shù)據(jù)中心等等。作為長實集團的重要成員之一，網(wǎng)聯(lián)無限數(shù)據(jù)中心將得到集團內(nèi)各公司的支持，及相關(guān)的業(yè)務(wù)聯(lián)系。 一、IDC托管 網(wǎng)聯(lián)無限數(shù)據(jù)中心的優(yōu)勢：電力優(yōu)勢：從東方廣場6路市電通過不同Transformer引不同4路市電到機房，通過不同Transformer引每2路相互備份將電力送到用戶機柜，以及高性能的UPS組，再加上單獨的800KW柴油發(fā)電機構(gòu)成強大的電力優(yōu)勢。服務(wù)優(yōu)勢：網(wǎng)聯(lián)無限提供的SLA（SERVICE LEVEL AGREEMENT）服務(wù)品質(zhì)保證，為客戶提供目前北京最好的服務(wù)品質(zhì)。而且將能享受到網(wǎng)聯(lián)無限數(shù)據(jù)中心專門為大客戶定制的貴賓級服務(wù)。便于售后維護：網(wǎng)聯(lián)無限有7*24*365天的售后服務(wù)和技術(shù)支持，無論客戶在網(wǎng)聯(lián)無限服務(wù)器端何時發(fā)生問題即可做到及時維護。我們現(xiàn)在合作的客戶有：Amazon, Joyo, Dangdang,高盛、東芝、NEC、賽門鐵克、長江教育、德勤審計、畢馬威、ABB、美國訊安達(dá)、中美大都會、港中旅、中旅國際、安氏等等。網(wǎng)聯(lián)無限擁有世界級的數(shù)據(jù)中心，專業(yè)穩(wěn)定的工程師隊伍，香港和記黃浦?jǐn)?shù)據(jù)中心成功的管理運營經(jīng)驗。網(wǎng)聯(lián)無限數(shù)據(jù)中心骨干設(shè)備主要為Juniper M10, 3層北電Passport 8600，北電Passport 8100, Alteon184負(fù)載均衡設(shè)備。 NetScreen千兆級硬件防火墻,以及Nokia IP 650+Checkpoint軟件防火墻。 二、機房圖片 第三節(jié) 設(shè)備清單 設(shè)備編號硬件名稱詳細(xì)參數(shù)001服務(wù)器2臺型號：Dell PowerEdge R710詳細(xì)規(guī)格CPU：至強 5500內(nèi)存：4GB DDR3 RDIMM內(nèi)存, 硬盤：500GB陣列卡：支持RAID5 服務(wù)：3年服務(wù)服務(wù)器硬盤8塊容量：500GB規(guī)格：500GB 10K 6Gbps SAS SFF SlimHS HDD /x3650M3/HS22002防火墻/入侵檢測系統(tǒng)山石網(wǎng)科 HillstoneSG6000SG2110（含QOS流控和入侵檢測IPS模塊)）第四節(jié) 病毒防治殺毒軟件名稱：McAfee VirusScan Enterprise 殺毒軟件簡介：McAfee VirusScan Enterprise 。McAfee公司擁有世界權(quán)威的反病毒緊急事務(wù)響應(yīng)小組（AVERT）和Mcafee實驗室（Mcafee LAB），提供7/24的研發(fā)和支持服務(wù)?；贏VERT小組的支持，MCAFEE可以為用戶提供業(yè)界最優(yōu)秀的自動升級服務(wù)：從病毒樣本提取到更新產(chǎn)品并分布到受感染系統(tǒng)，整個周期小于4小時。McAfee VirusScan Enterprise “訪問保護”，“緩沖區(qū)溢出保護”，“有害程序策略”等模塊。結(jié)合先進的“云安全技術(shù)”可以有效的防護病毒對WEB服務(wù)器的侵害。第五節(jié) 防火墻防火墻名稱:SG6000G2110防火墻參數(shù): WEB服務(wù)器采用山石網(wǎng)科SG6000G2110硬件防火墻，防火墻可以有效的控制外界對服務(wù)器的訪問，設(shè)置相應(yīng)的安全策略，關(guān)閉不必要的端口，只開放WEB服務(wù)器必須的80，5631，5632，3389這些外部需要的端口。通過相應(yīng)日志監(jiān)控和阻斷模塊，可以有效的發(fā)現(xiàn)異常訪問，并及時切斷鏈接。防火墻強大的日志統(tǒng)計分析界面，可以清晰的追查惡意訪問IP，并切斷起鏈接。系統(tǒng)日志不僅可以存儲在系統(tǒng)本身，而且可以上載至網(wǎng)絡(luò)硬盤和發(fā)送至管理員郵箱。第六節(jié) 入侵檢測系統(tǒng) 機房入侵檢測系統(tǒng)由國內(nèi)知名的安全設(shè)備廠商綠盟科技提供（型號保密）。產(chǎn)品特性及功能：入侵檢測系統(tǒng)（Intrusion Detection System）是防火墻優(yōu)異的補充，入情監(jiān)測系統(tǒng)被認(rèn)為是防火墻之后的第二道安全閘門，對網(wǎng)絡(luò)進行檢測、外部攻擊和誤操作的實時監(jiān)控，停工動態(tài)保護大大提供了網(wǎng)絡(luò)的安全。入侵檢測系統(tǒng)主要有以下特點：事前警告：機房入侵檢測系統(tǒng)能夠?qū)W(wǎng)絡(luò)系統(tǒng)能過在入侵攻擊對網(wǎng)絡(luò)系統(tǒng)造成危害前，即使檢測到入侵攻擊的發(fā)生，并進行報警；事中警告：入侵攻擊發(fā)生時，入侵檢測系統(tǒng)可以通過與防火墻聯(lián)動、TCP Killer等方式驚醒報警己動態(tài)防御；事后取證：被入侵后，入侵檢測系統(tǒng)可以提供詳細(xì)的攻擊信息，便于取證分析。綜上所述，防火墻提供靜態(tài)防御，而侵檢測系統(tǒng)提供動態(tài)防御，因此防火墻和入侵檢測系統(tǒng)的結(jié)合，能夠給網(wǎng)絡(luò)帶來全面的防御。對防火墻和入侵檢測系統(tǒng)的關(guān)系有一個經(jīng)典的比喻：防火墻相當(dāng)于門衛(wèi)，對于所有進出大門的人員進行檢測，入侵檢測系統(tǒng)相當(dāng)于閉路監(jiān)控系統(tǒng)，監(jiān)控關(guān)鍵位置如財務(wù)、庫房等地安全狀況，僅有門衛(wèi)是無法發(fā)現(xiàn)內(nèi)部人員的非法行為，而閉路監(jiān)控系統(tǒng)可以實時監(jiān)控，發(fā)現(xiàn)異常情況及時報警，兩者配合使用才能保證安全。部分操作界面截圖：IDC機房為網(wǎng)絡(luò)提供了專業(yè)的入侵檢測系統(tǒng)外，我公司的山石網(wǎng)科SG60002010選配的IPS檢測模塊提供了更細(xì)膩的保護，可以進一步的自動檢測入侵事件，執(zhí)行自動切斷服務(wù)，并可以把相應(yīng)的日志保存并發(fā)送到網(wǎng)絡(luò)硬盤，同事IPS模塊可以把對應(yīng)的報警日志發(fā)送到指定郵箱。IPS模塊特征庫具備多種更新（手動，自動升級）。完善的預(yù)警機制，可以隨時將攻擊記錄上載到網(wǎng)絡(luò)硬盤，并可以使用,telnet等方式監(jiān)控和管理網(wǎng)絡(luò)訪問事件。依據(jù)建立的規(guī)則，可以全方位的監(jiān)控網(wǎng)絡(luò)活動，并可以根據(jù)規(guī)則自動阻斷相應(yīng)的連接。且強大的日志功能，為后期的安全取證奠定了基礎(chǔ)。第七節(jié) 漏洞掃描漏洞掃描產(chǎn)品名稱：金山衛(wèi)士產(chǎn)品簡介：金山衛(wèi)士由國內(nèi)知名安全軟件公司金山軟件股份有限公司出品。金山衛(wèi)士具備超強的漏洞檢測和修復(fù)能力。漏洞特征庫具備實時更新能力。系統(tǒng)漏洞實時掃描功能（手動，自動2種方式），可以對系統(tǒng)漏洞的嚴(yán)重性提供報警（中等，嚴(yán)重，重要），針對每一個漏洞進行相應(yīng)的描述，提供修補建議。第八節(jié) 應(yīng)急響應(yīng)服務(wù)機制一、計算機硬件故障應(yīng)急響應(yīng)服務(wù)機制：為保障交易系統(tǒng)安全運行，網(wǎng)站配置2臺同型號Dell PowerEdge R710服務(wù)器，其中一臺服務(wù)器硬件損壞，可快速替補或切換系統(tǒng)硬盤容錯：系統(tǒng)采用4塊支持熱插拔的硬盤組成raid5磁盤陣列，如果系統(tǒng)某個磁盤損壞，可以迅速的還原備份數(shù)據(jù)，保證系統(tǒng)正常運行計算機軟件或網(wǎng)絡(luò)系統(tǒng)應(yīng)急響應(yīng)服務(wù)機制：（1）服務(wù)器操作系統(tǒng)采用Acronis True Image Echo Enterprise Server將系統(tǒng)鏡像備份至硬盤隱藏分區(qū)，并建立光盤鏡像引導(dǎo)。隱藏分區(qū)和光盤可以有效的避免針對磁盤數(shù)據(jù)破壞的病毒，甚至在系統(tǒng)數(shù)據(jù)完全破環(huán)的情況下，仍可以恢復(fù)。（2）服務(wù)器特配的山石網(wǎng)科硬件防火墻可以有效的發(fā)現(xiàn)異常流量，并及時設(shè)置相應(yīng)的策略阻斷異常的網(wǎng)絡(luò)惡意攻擊。防火墻的IPS模塊實時升級特征庫，根據(jù)特征庫和自定義策略可以完全阻斷黑客可以利用的漏洞，讓黑客入侵無機可趁。二、人員網(wǎng)絡(luò)系統(tǒng)安全響應(yīng)機制：IDC機房技術(shù)人員提供7X24小時值守服務(wù)，實時監(jiān)控機房環(huán)境，服務(wù)器報警指示燈，針對相應(yīng)的問題及時與我公司聯(lián)系，在取得我公司授權(quán)進行相應(yīng)的操作全球通醫(yī)藥網(wǎng)技術(shù)人員（3名本科以上技術(shù)人員）每日分成3個班次。在得到IDC機房人員電話故障報修后，對不能遠(yuǎn)程操作，應(yīng)在4小時內(nèi)趕赴機房處理故障。全球通醫(yī)藥網(wǎng)技術(shù)人員每日應(yīng)進行更新防、殺病毒軟件，查看報警郵件，防火墻及系統(tǒng)日志，確保了服務(wù)器中交易信息數(shù)據(jù)的安全性。全球通醫(yī)藥網(wǎng)技術(shù)人員對于系統(tǒng)的每一次正常的更改，必須進行系統(tǒng)備份。根據(jù)改動的大小，選擇增量或完全備份，備份介質(zhì)為本地硬盤，光盤，網(wǎng)絡(luò)傳輸公司總部服務(wù)器三種形式。每日至機房巡檢服務(wù)器，放置，收回光盤備份介質(zhì)。發(fā)生系統(tǒng)故障或攻擊等，及時向分管領(lǐng)導(dǎo)匯報，并根據(jù)實際情況選擇還原或更換硬件，切斷攻擊源等（詳見軟硬件響應(yīng)機制）所有操作都有日志記錄，并保存與網(wǎng)站事業(yè)部文件柜。三、備份系統(tǒng)還原系統(tǒng)所采用的具體應(yīng)對措施：服務(wù)器系統(tǒng)采用Acronis True Image Echo Enterprise Server將系統(tǒng)鏡像備份至硬盤隱藏分區(qū)，并建立光盤鏡像引導(dǎo)。隱藏分區(qū)和光盤可以有效的避免針對磁盤數(shù)據(jù)破壞的病毒，甚至在系統(tǒng)數(shù)據(jù)完全破環(huán)的情況下，仍可以恢復(fù)。通過Acronis True Image Echo Enterprise Server將網(wǎng)站數(shù)據(jù)備份至隱藏分區(qū)和光盤介質(zhì)。備份文檔經(jīng)過本地硬盤，磁盤陣列柜備份后，每日由專人網(wǎng)絡(luò)傳輸至公司本部服務(wù)器實行異地存儲。第九節(jié) 系統(tǒng)資產(chǎn)及關(guān)鍵業(yè)務(wù)信息一、本安全解決方案主要針對以下系統(tǒng)資產(chǎn)及關(guān)鍵業(yè)務(wù)信息提供安全保障：系統(tǒng)資產(chǎn)包括：資產(chǎn)名稱資產(chǎn)描述安全重點服務(wù)器是電子商務(wù)系統(tǒng)運行的硬件平臺防止因為碰撞、電源、溫度等因素導(dǎo)致的硬件故障和損壞。WINDOWS 2003服務(wù)器使用網(wǎng)科硬件防火墻，是用來保護我們整個網(wǎng)絡(luò)的。避免來自Internet上的直接攻擊，提供雙重異種防火墻保護保護。操作系統(tǒng)是電子商務(wù)系統(tǒng)運行的軟件平臺防止非授權(quán)用戶對操作系統(tǒng)的訪問及計算機病毒的攻擊WEB服務(wù)器對電子商務(wù)網(wǎng)站的WEB功能支撐的軟件環(huán)境防止非授權(quán)用戶訪問和病毒攻擊數(shù)據(jù)庫存儲電子商務(wù)相關(guān)的各種信息防止非授權(quán)用戶對數(shù)據(jù)的訪問和修改網(wǎng)站程序?qū)崿F(xiàn)各種網(wǎng)站功能的一組程序防止非授權(quán)用戶訪問及計算病毒攻擊關(guān)鍵業(yè)務(wù)信息包括：信息名稱信息描述安全重點產(chǎn)品信息包括產(chǎn)品的名稱、生產(chǎn)廠家、編碼、分類、規(guī)格、價格、批準(zhǔn)文號等相關(guān)信息防止對產(chǎn)品信息的非授權(quán)修改用戶信息包括用戶的姓名、證件號、地址、聯(lián)系電話等防止用戶信息的泄漏訂單信息包括訂貨人信息、貨品名稱、數(shù)量、金額等防止訂單信息的泄漏第十節(jié) 網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)一、 網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)二、 IIS服務(wù)器 IIS是Internet Information Services的縮寫，是一個World Wide Web server。Gopher server和FTP server全部包容在里面。 IIS意味著你能發(fā)布網(wǎng)頁，并且有ASP（Active Server Pages）、JAVA、VBscript產(chǎn)生頁面，有著一些擴展功能。IIS支持一些有趣的東西，象有編輯環(huán)境的界面（FRONTPAGE）、有全文檢索功能的（INDEX SERVER）、有多媒體功能的（NET SHOW） 其次,IIS是隨Windows NT Server ，是在Windows NT Server上建立Internet服務(wù)器的基本組件。它與Windows NT Server完全集成，允許使用Windows NT Server內(nèi)置的安全性以及NTFS文件系統(tǒng)建立強大靈活的Internet／Intranet站點。IIS（Internet Information Server，互聯(lián)網(wǎng)信息服務(wù)）是一種Web（網(wǎng)頁）服務(wù)組件，其中包括Web服務(wù)器、FTP服務(wù)器、NNTP服務(wù)器和SMTP服務(wù)器，分別用于網(wǎng)頁瀏覽、文件傳輸、新聞服務(wù)和郵件發(fā)送等方面，它使得在網(wǎng)絡(luò)（包括互聯(lián)網(wǎng)和局域網(wǎng)）上發(fā)布信息成了一件很容易的事。在同一時間內(nèi)允許打開的網(wǎng)站頁面數(shù)，打開一個頁面占一個iis，打開一個站內(nèi)框架頁面占2到3個iis；若圖片等被盜鏈，在其它網(wǎng)站打開本站圖片同樣占一個iis。假若設(shè)置參數(shù)為50個iis，則這個站允許同時有50個頁面被打開。但要在同一時間（極短的時間）有50個頁面被打開，需要50個人同時操作，這個概率還是比較低的。所以，100個iis支持日ip1000（同時訪問網(wǎng)站人數(shù)必定遠(yuǎn)低于1000人）以上都不是很大問題，除非網(wǎng)站被盜鏈或框架引發(fā)其它消耗。三、SQLSERVER2000 SQL Server 是一個關(guān)系數(shù)據(jù)庫管理系統(tǒng)，它最初是由Microsoft Sybase 和AshtonTate三家公司共同開發(fā)的，于1