【文章內(nèi)容簡(jiǎn)介】 手冊(cè)內(nèi)部**認(rèn)為無法向公眾公開透露的信息。為實(shí)現(xiàn)保護(hù)和處理的目的，**內(nèi)部信息根據(jù)其中包含的最敏感數(shù)據(jù)或材料加以分級(jí)。人力資源信息、組織機(jī)構(gòu)示意圖、內(nèi)部電話簿顧客信息、詳細(xì)價(jià)格信息研究和開發(fā)數(shù)據(jù)公司培訓(xùn)材料公司電子郵件系統(tǒng)災(zāi)難及業(yè)務(wù)恢復(fù)計(jì)劃?rùn)C(jī)密**認(rèn)為如果受到威脅會(huì)對(duì)公司、顧客、供應(yīng)商、員工產(chǎn)生不利影響的信息，這些信息包括在正常的業(yè)務(wù)活動(dòng)中對(duì)員工公開，但必須由公司策略和制度加以控制，不得在未經(jīng)授權(quán)的情況下泄露給公眾的信息。非公開財(cái)務(wù)報(bào)表（如費(fèi)用中心報(bào)表）內(nèi)部審計(jì)報(bào)表材料成本、生產(chǎn)成本數(shù)據(jù)短期業(yè)務(wù)計(jì)劃對(duì)手競(jìng)爭(zhēng)力分析報(bào)告采購(gòu)合同和其他投標(biāo)信息自主產(chǎn)品軟件源代碼及相關(guān)文檔限制**認(rèn)為如果受到威脅后會(huì)對(duì)公司、顧客、供應(yīng)商、員工造成財(cái)務(wù)、法律、規(guī)章條例上的嚴(yán)重?fù)p失的信息。這類信息極為敏感，要求個(gè)人在訪問前必須進(jìn)行必要性確認(rèn)（訪問記錄）。保護(hù)機(jī)制包括確保這些信息的副本都要進(jìn)行特別記錄，并在處理后加以銷毀。該級(jí)別的數(shù)據(jù)保護(hù)和處理要求比機(jī)密數(shù)據(jù)更嚴(yán)格。公司薪資信息財(cái)務(wù)庫(kù)和顧客/訂單庫(kù)預(yù)發(fā)布產(chǎn)品信息長(zhǎng)期業(yè)務(wù)戰(zhàn)略計(jì)劃防火墻配置規(guī)則root/Administrator/DBA用戶/操作員密碼和PIN進(jìn)行安全意識(shí)培訓(xùn)一個(gè)機(jī)構(gòu)想要達(dá)到自己的安全計(jì)劃的預(yù)定目標(biāo)，就必須向自己的雇員說明他們的安全計(jì)劃是什么，怎么實(shí)行安全計(jì)劃以及為什么要實(shí)行安全計(jì)劃。目的是讓每一個(gè)雇員都了解安全問題對(duì)于整個(gè)公司和每個(gè)人的重要性。應(yīng)該澄清職責(zé)和可以接受的行為，在違反規(guī)則的情況發(fā)生之前就要說明這樣做的后果，可能是警告，也可能是開除。針對(duì)一個(gè)安全意識(shí)培訓(xùn)計(jì)劃，通常會(huì)有3種聽眾：管理人員、普通員工和技術(shù)人員。每個(gè)聽眾都應(yīng)該受到特定種類的安全意識(shí)培訓(xùn)，從而保證每個(gè)團(tuán)體都了解自己特定的職責(zé)、義務(wù)和期望。安全培訓(xùn)應(yīng)該定期地、持續(xù)地進(jìn)行。這種安全培訓(xùn)一年至少應(yīng)該進(jìn)行一次，目的是讓職員不但了解安全措施如何在自己的環(huán)境中運(yùn)行，而且知道為什么這樣做。進(jìn)行安全意識(shí)培訓(xùn)的主要原因在于改變職員的行為和對(duì)安全的態(tài)度。用戶分級(jí)管理一個(gè)機(jī)構(gòu)存在著很多職能部門，每個(gè)職能部門日常工作所涉及的信息資產(chǎn)都不同，因此從安全管理角度考慮，不同職能部門的用戶應(yīng)該擁有不同等級(jí)的訪問權(quán)限。例如財(cái)務(wù)、戰(zhàn)略計(jì)劃等信息資產(chǎn)只能允許具有相關(guān)權(quán)限等級(jí)的用戶進(jìn)行的訪問。目前**采用AD域進(jìn)行用戶認(rèn)證管理，今后需要將AD域的用戶管理與網(wǎng)絡(luò)準(zhǔn)入控制以及VPN等結(jié)合起來提供用戶的認(rèn)證、授權(quán)及審計(jì)。但是目前**的AD域管理仍存在著一定的問題，在公司多次組織結(jié)構(gòu)調(diào)整后，AD域中的組織結(jié)構(gòu)并未進(jìn)行及時(shí)更新，這樣對(duì)于今后的用戶分級(jí)管理將會(huì)造成不便。因此建議在本次項(xiàng)目中，應(yīng)對(duì)AD域的OU、用戶組等進(jìn)行一定的調(diào)整，使之與**組織架構(gòu)保持一致。 物理層安全解決方案保證計(jì)算機(jī)信息系統(tǒng)各種設(shè)備的物理安全是保障整個(gè)網(wǎng)絡(luò)安全的前提。物理安全是保護(hù)計(jì)算機(jī)網(wǎng)絡(luò)設(shè)備、設(shè)施以及其它媒體免遭地震、水災(zāi)、火災(zāi)等環(huán)境事故以及人為操作失誤或錯(cuò)誤及各種計(jì)算機(jī)犯罪行為導(dǎo)致的破壞過程。它主要包括三個(gè)方面：環(huán)境安全、設(shè)備安全、線路安全。為了將不同密級(jí)的網(wǎng)絡(luò)隔離開，我們還要采用隔離技術(shù)將核心密和普通密兩個(gè)網(wǎng)絡(luò)在物理上隔離同時(shí)保證在邏輯上兩個(gè)網(wǎng)絡(luò)能夠連通。l 環(huán)境安全對(duì)系統(tǒng)所在環(huán)境的安全保護(hù)，如區(qū)域保護(hù)和災(zāi)難保護(hù)；(參見國(guó)家標(biāo)準(zhǔn)GB50173－93《電子計(jì)算機(jī)機(jī)房設(shè)計(jì)規(guī)范》、國(guó)標(biāo)GB2887－89《計(jì)算站場(chǎng)地技術(shù)條件》、GB9361－88《計(jì)算站場(chǎng)地安全要求》l 設(shè)備安全設(shè)備安全主要包括設(shè)備的防盜、防破壞、防電磁信息輻射泄漏、防止線路截獲、抗電磁干擾及電源保護(hù)等；設(shè)備冗余備份；通過嚴(yán)格管理及提高員工的整體安全意識(shí)來實(shí)現(xiàn)。 l 媒體安全包括媒體數(shù)據(jù)的安全及媒體本身的安全。顯然，為保證企業(yè)網(wǎng)絡(luò)的物理安全，除在網(wǎng)絡(luò)規(guī)劃和場(chǎng)地、環(huán)境等要求之外，還要防止系統(tǒng)信息在空間的擴(kuò)散。計(jì)算機(jī)系統(tǒng)通過電磁輻射使信息被截獲而失密的案例已經(jīng)很多，在理論和技術(shù)支持下的驗(yàn)證工作也證實(shí)這種截取距離在幾百甚至可達(dá)千米的復(fù)原顯示技術(shù)給計(jì)算機(jī)系統(tǒng)信息的保密工作帶來了極大的危害。為了防止系統(tǒng)中的信息在空間上的擴(kuò)散，通常是在物理上采取一定的防護(hù)措施，來減少或干擾擴(kuò)散出去的空間信號(hào)。l 隔離技術(shù)隔離技術(shù)要達(dá)到以下幾點(diǎn)關(guān)鍵技術(shù)：1） 物理隔斷。2） 可選擇數(shù)據(jù)交換：兩個(gè)網(wǎng)絡(luò)能夠有選擇的交換數(shù)據(jù)，好像它們直接相連一樣。3） 數(shù)據(jù)是靜態(tài)的：在交換數(shù)據(jù)過程中，數(shù)據(jù)是靜態(tài)的（被動(dòng)的），不能被執(zhí)行。4） 獨(dú)立決策：所有決策要求數(shù)據(jù)在一個(gè)安全的環(huán)境中處理，與不可信的網(wǎng)絡(luò)隔斷。5） 高性能：上述所有工作實(shí)時(shí)進(jìn)行，最大通過量和最小延時(shí)。 網(wǎng)絡(luò)層安全解決方案l 防火墻安全技術(shù)建議**網(wǎng)絡(luò)是一個(gè)由公司總部大樓、大溪地、大金馬、T2區(qū)組成的網(wǎng)絡(luò)體系結(jié)構(gòu)，從網(wǎng)絡(luò)安全角度上講，他們屬于不同的網(wǎng)絡(luò)安全域，因此在網(wǎng)絡(luò)邊界，應(yīng)安裝防火墻，并需要實(shí)施相應(yīng)的安全策略控制。另外，根據(jù)對(duì)外提供信息查詢等服務(wù)的要求，為了控制對(duì)關(guān)鍵服務(wù)器的授權(quán)訪問控制，應(yīng)把對(duì)外公開服務(wù)器集合起來劃分為一個(gè)專門的服務(wù)器子網(wǎng)，設(shè)置防火墻DMZ區(qū)來保護(hù)對(duì)它們的訪問。根據(jù)**的網(wǎng)絡(luò)現(xiàn)狀，我們建議在核心交換機(jī)配置防火墻模塊，實(shí)現(xiàn)虛擬防火墻功能。虛擬防火墻可以將一臺(tái)硬件防火墻在邏輯上劃分成多臺(tái)虛擬的防火墻，每個(gè)虛擬防火墻系統(tǒng)都可以被看成是一臺(tái)完全獨(dú)立的防火墻設(shè)備，可擁有獨(dú)立的系統(tǒng)資源、管理員、安全策略、用戶認(rèn)證數(shù)據(jù)庫(kù)等，以此來實(shí)現(xiàn)對(duì)不同網(wǎng)段或不同設(shè)備的安全防護(hù)。硬件防火墻與交換機(jī)連接后，再通過交換機(jī)連接不同類別的PC終端，這樣虛擬防火墻功能將轉(zhuǎn)嫁應(yīng)用在每臺(tái)交換機(jī)上，使得每臺(tái)交換機(jī)都成了邏輯上的防火墻設(shè)備，以此來實(shí)現(xiàn)PC終端或多臺(tái)服務(wù)器的虛擬防火墻保護(hù)。這樣的布置不僅增加了各終端的安全保護(hù)級(jí)別，而且也類似于一組獨(dú)立的物理防火墻，但是更加便于管理。因?yàn)樗鼈兪翘摂M設(shè)備，所以組織可以輕松地根據(jù)用戶的增長(zhǎng)情況添加或者刪除此種安全結(jié)構(gòu)。l 入侵防御安全技術(shù)建議利用防火墻技術(shù)，經(jīng)過仔細(xì)的配置，通常能夠在內(nèi)外網(wǎng)之間提供安全的網(wǎng)絡(luò)保護(hù)，降低了網(wǎng)絡(luò)安全風(fēng)險(xiǎn)。但是，僅僅使用防火墻，網(wǎng)絡(luò)安全還遠(yuǎn)遠(yuǎn)不夠，主要表現(xiàn)在以下幾個(gè)方面：1） 入侵者可尋找防火墻背后可能敞開的后門；2） 入侵者可能就在防火墻內(nèi)；3） 由于性能的限制，防火墻通常不能提供實(shí)時(shí)的入侵檢測(cè)能力；4） 對(duì)于CC攻擊、SQL注入等應(yīng)用層攻擊，防火墻無能為力；5） 保護(hù)措施單一。入侵防御目的是提供實(shí)時(shí)的入侵檢測(cè)及采取相應(yīng)的防護(hù)手段，如發(fā)現(xiàn)違規(guī)訪問、阻斷網(wǎng)絡(luò)連接、內(nèi)部越權(quán)訪問等，發(fā)現(xiàn)更為隱蔽的攻擊。公司網(wǎng)絡(luò)安全體系必須建立一個(gè)智能化的實(shí)時(shí)攻擊識(shí)別和響應(yīng)系統(tǒng)，管理和降低網(wǎng)絡(luò)安全風(fēng)險(xiǎn)，保證網(wǎng)絡(luò)安全防護(hù)能力能夠不斷增強(qiáng)。目前網(wǎng)絡(luò)入侵安全問題主要采用網(wǎng)絡(luò)入侵防御系統(tǒng)等成熟產(chǎn)品和技術(shù)來解決。IPS產(chǎn)品選型一般遵循以下三個(gè)先決條件： 1：是否對(duì)漏洞掌握的足夠多，并有相關(guān)的防護(hù)措施盡快出臺(tái) 2：是否對(duì)新出現(xiàn)的針對(duì)漏洞的攻擊手段掌握的足夠快 3：是否有能力研究和防護(hù)最新可能出現(xiàn)的攻擊手段 部署網(wǎng)絡(luò)入侵檢測(cè)系統(tǒng)應(yīng)能滿足以下要求：能在網(wǎng)絡(luò)環(huán)境下實(shí)現(xiàn)實(shí)時(shí)地分布協(xié)同地入侵防御，全面防御可能的入侵行為。能及時(shí)識(shí)別各種黑客攻擊行為，發(fā)現(xiàn)攻擊時(shí)，阻斷弱化攻擊行為、并能詳細(xì)記錄，生成入侵報(bào)告，及時(shí)向管理員報(bào)警。能夠按照管理者需要進(jìn)行多個(gè)層次的掃描，按照特定的時(shí)間、廣度和細(xì)度的需求配置多個(gè)掃描。能夠支持大規(guī)模并行檢測(cè)，能夠方便地對(duì)大的網(wǎng)絡(luò)同時(shí)執(zhí)行多個(gè)檢測(cè)。所采用的入侵防御產(chǎn)品和技術(shù)不能被繞過或旁路。檢測(cè)和掃描行為不能影響正常的網(wǎng)絡(luò)連接服務(wù)和網(wǎng)絡(luò)的效率。檢測(cè)的特征庫(kù)要全面并能夠及時(shí)更新。安全檢測(cè)策略可由用戶自行設(shè)定，對(duì)檢測(cè)強(qiáng)度和風(fēng)險(xiǎn)程度進(jìn)行等級(jí)管理，用戶可根據(jù)不同需求選擇相應(yīng)的檢測(cè)策略。能夠幫助建立安全策略，具有詳細(xì)的幫助數(shù)據(jù)庫(kù)，幫助管理員實(shí)現(xiàn)網(wǎng)絡(luò)的安全，并且制定實(shí)際的、可強(qiáng)制執(zhí)行的網(wǎng)絡(luò)安全策略。l 網(wǎng)絡(luò)設(shè)備安全增強(qiáng)技術(shù)建議在漏洞掃描與風(fēng)險(xiǎn)評(píng)估的基礎(chǔ)上對(duì)網(wǎng)絡(luò)設(shè)備進(jìn)行安全性增強(qiáng)配置，下面以CISCO路由器的幾個(gè)安全增強(qiáng)配置為例說明網(wǎng)絡(luò)設(shè)備的安全性也是不容忽視的。1） Login Banner配置：修改login banner，隱藏路由器系統(tǒng)真實(shí)信息，防止真實(shí)信息的泄露。2） Enable secret配置：使用enable secret來加密secret口令。3） Idents配置：通過ident配置來增加路由器安全性。4） 超時(shí)配置：配置VTY，Console的超時(shí)來增加系統(tǒng)訪問安全性。5） 訪問控制配置：通過配置VTY端口的Access List來增加系統(tǒng)訪問的安全性。6） VTY訪問配置：配置VTY的訪問方式，如SSH來增加系統(tǒng)訪問的安全性。7） 用戶驗(yàn)證配置：配置用戶驗(yàn)證方式以增強(qiáng)系統(tǒng)訪問的安全性。8） AAA方式配置：配置AAA方式來增加用戶訪問安全性。9） 路由命令審計(jì)配置：配置AAA命令記賬來增強(qiáng)系統(tǒng)訪問安全性。l 數(shù)據(jù)傳輸安全建議為保證數(shù)據(jù)傳輸?shù)臋C(jī)密性和完整性，建議網(wǎng)絡(luò)中采用安全VPN系統(tǒng)。VPN應(yīng)具有以下功能：1） 信息透明加解密功能，支持網(wǎng)絡(luò)IP數(shù)據(jù)包的機(jī)密性保護(hù)。網(wǎng)絡(luò)密碼機(jī)串聯(lián)在以太網(wǎng)中，凡是流經(jīng)的IP報(bào)文無一例外地都要受到它的分析和檢查，根據(jù)需要進(jìn)行加解密和認(rèn)證處理。信息加解密功能支持政務(wù)系統(tǒng)專有的業(yè)務(wù)服務(wù)，及WWW、FTP、SMTP、Telnet等基于TCP/IP的服務(wù)。2） 支持IPSEC/SSL VPN一體化的方式，適應(yīng)Lan to Lan 和End to Lan兩種不同應(yīng)用，SSL VPN必須支持網(wǎng)絡(luò)層以上的所有B/S和C/S應(yīng)用。3） 信息認(rèn)證功能，支持IP數(shù)據(jù)包的完整性保護(hù)。流過的IP報(bào)文在被加解密的同時(shí)，還要進(jìn)行認(rèn)證處理，由加密方在每個(gè)報(bào)文之后都自動(dòng)附有認(rèn)證碼，其他人無法偽造，在接收方對(duì)該認(rèn)證碼進(jìn)行驗(yàn)證，保證了信息的完整性和不可篡改性。4） 防火墻功能，支持網(wǎng)絡(luò)訪問控制機(jī)制，防止外部非法用戶攻擊。在操作系統(tǒng)底層直接實(shí)現(xiàn)報(bào)文包過濾技術(shù)、IP地址偽裝技術(shù)（NAT），并與信息加密、認(rèn)證機(jī)制無縫結(jié)合。可以保證局域網(wǎng)的邊界安全，防止了通常的類似于IP spoofing（IP地址欺騙）的攻擊。5） 支持遠(yuǎn)程分布式集中統(tǒng)一管理功能。6） 安全審計(jì)及告警功能，支持對(duì)網(wǎng)絡(luò)非法訪問操作的審計(jì)和自動(dòng)告警。VPN網(wǎng)關(guān)對(duì)流過的報(bào)文進(jìn)行動(dòng)態(tài)過濾分析，根據(jù)網(wǎng)絡(luò)安全審計(jì)策略，自動(dòng)調(diào)度審計(jì)進(jìn)程，進(jìn)行審計(jì)記錄，產(chǎn)生審計(jì)報(bào)告，并以多種方式，如語(yǔ)音、Email等方式對(duì)非法事件進(jìn)行實(shí)時(shí)告警，以便安全管理員在第一時(shí)間了解情況，做出正確的應(yīng)對(duì)措施，以盡可能的將非法事件造成的損失降低至最小。 系統(tǒng)及應(yīng)用安全解決方案l 操作系統(tǒng)安全技術(shù)1）操作系統(tǒng)安全要求操作系統(tǒng)是所有計(jì)算機(jī)終端、工作站和服務(wù)器等正常運(yùn)行的基礎(chǔ)，操作系統(tǒng)的安全十分重要。目前的商用操作系統(tǒng)主要有IBM AIX、Linux、AS/400、OS/390、SUN Solaris、HP Unix、Windows、OS/NOVELL Netware等。針對(duì)操作系統(tǒng)應(yīng)用環(huán)境對(duì)安全要求的不同，系統(tǒng)對(duì)操作系統(tǒng)的不同適用范圍作如下要求：關(guān)鍵的服務(wù)器和工作站（如數(shù)據(jù)庫(kù)服務(wù)器、WWW服務(wù)器、代理服務(wù)器、備份服務(wù)器和網(wǎng)管工作站）應(yīng)該采用服務(wù)器版本的操作系統(tǒng)。典型的有：SUN Solaris、HP Unix、Windows NT Server、Windows 2000/2003 Server。網(wǎng)管終端、辦公終端可以采用通用圖形窗口操作系統(tǒng)，如Windows/3x、Windows 95/9Windows NT Workstation/Server、Windows 2000等。2）操作系統(tǒng)安全管理操作系統(tǒng)因?yàn)樵O(shè)計(jì)和版本的問題，存在許多的安全漏洞；同時(shí)因?yàn)樵谑褂弥邪踩O(shè)置不當(dāng)，也會(huì)增加安全漏洞，帶來安全隱患。在沒有其它更高安全級(jí)別的商用操作系統(tǒng)可供選擇的情況下，安全關(guān)鍵在于操作系統(tǒng)的安全管理。為了加強(qiáng)操作系統(tǒng)的安全管理，要從物理安全、登錄安全、用戶安全、文件系統(tǒng)和打印機(jī)安全、注冊(cè)表安全、RAS安全、數(shù)據(jù)安全、各個(gè)應(yīng)用系統(tǒng)安全等方面制定強(qiáng)化安全的措施。l 服務(wù)器安全防護(hù)公司服務(wù)器本身不能保證沒有漏洞，不法分子可能利用服務(wù)的漏洞修改頁(yè)面甚至破壞服務(wù)器。系統(tǒng)中的BUG，使得黑客可以遠(yuǎn)程對(duì)服務(wù)器發(fā)出指令，從而導(dǎo)致對(duì)系統(tǒng)進(jìn)行修改和損壞，包括無限制地向服務(wù)器發(fā)出大量指令，以至于服務(wù)器“拒絕服務(wù)”，最終引起整個(gè)系統(tǒng)的崩潰。這就要求我們必須提高服務(wù)器的抵抗破壞能力，防止拒絕服務(wù)（DOS）或分布式拒絕服務(wù)（DDOS）之類的惡意攻擊，提高服務(wù)器備份與恢復(fù)、防篡改與自動(dòng)修復(fù)能力。如采用服務(wù)器災(zāi)難恢復(fù)系統(tǒng)，一旦服務(wù)器上的數(shù)據(jù)被非法修改，安全系統(tǒng)能夠迅速發(fā)現(xiàn)，并自動(dòng)地對(duì)數(shù)據(jù)進(jìn)行恢復(fù)。因此，我們有必要采取相應(yīng)的措施對(duì)公司的服務(wù)器進(jìn)行安全保護(hù)。必須將整個(gè)公司網(wǎng)以及各種公開服務(wù)器與INTERNET進(jìn)行必要的隔離，避免網(wǎng)絡(luò)結(jié)構(gòu)信息外泄；同時(shí)還要對(duì)外網(wǎng)的服務(wù)請(qǐng)求加以過濾，只允許正常通信的數(shù)據(jù)包到達(dá)相應(yīng)主機(jī)，其它的請(qǐng)求服務(wù)在到達(dá)主機(jī)之前就應(yīng)該遭到拒絕；另外，還要對(duì)內(nèi)部用戶訪問INTERNET而引入的安全風(fēng)險(xiǎn)加以防范，加強(qiáng)內(nèi)部的審計(jì)管理。需要對(duì)公司各種服務(wù)器進(jìn)行安全分級(jí)，對(duì)不同安全級(jí)別的服務(wù)器采取不同的安全保護(hù)措施。例如對(duì)于數(shù)據(jù)庫(kù)服務(wù)器、卡支付服務(wù)器、財(cái)務(wù)服務(wù)器、呼叫中心服務(wù)器等生產(chǎn)相關(guān)的關(guān)鍵服務(wù)器應(yīng)采取最高等級(jí)的安全防護(hù)，在其他服務(wù)器安全措施的基礎(chǔ)上再增加雙因素安全認(rèn)證等保護(hù)手段。 安全域解決方案l 安全域安全域，系統(tǒng)內(nèi)包含相同的安全要求，達(dá)到相同的安全防護(hù)等級(jí)的區(qū)域。同一個(gè)安全域，一般要求有統(tǒng)一的安全管理組織和制度以及統(tǒng)一的安全技術(shù)防護(hù)體系。安全域定義了與內(nèi)部網(wǎng)絡(luò)系統(tǒng)的最低安全等級(jí)，在安全域內(nèi)可以包含更高安全級(jí)別的安全域。安全域分離是指確保至少有一個(gè)安全域，對(duì)自己執(zhí)行是可用的，并且該主體受保護(hù)不被不可信主體從外部干擾和篡改。域分離的具體要求如下：通過將安全域的資源與該域外的主體及不受約束的實(shí)體分離開，使得安全域外的實(shí)體不能觀察或修改安全域內(nèi)的數(shù)據(jù)或編碼；域內(nèi)傳輸是受控的，不能隨意地進(jìn)入或退出安