【文章內(nèi)容簡介】 手冊內(nèi)部**認為無法向公眾公開透露的信息。為實現(xiàn)保護和處理的目的，**內(nèi)部信息根據(jù)其中包含的最敏感數(shù)據(jù)或材料加以分級。人力資源信息、組織機構示意圖、內(nèi)部電話簿顧客信息、詳細價格信息研究和開發(fā)數(shù)據(jù)公司培訓材料公司電子郵件系統(tǒng)災難及業(yè)務恢復計劃機密**認為如果受到威脅會對公司、顧客、供應商、員工產(chǎn)生不利影響的信息，這些信息包括在正常的業(yè)務活動中對員工公開，但必須由公司策略和制度加以控制，不得在未經(jīng)授權的情況下泄露給公眾的信息。非公開財務報表（如費用中心報表）內(nèi)部審計報表材料成本、生產(chǎn)成本數(shù)據(jù)短期業(yè)務計劃對手競爭力分析報告采購合同和其他投標信息自主產(chǎn)品軟件源代碼及相關文檔限制**認為如果受到威脅后會對公司、顧客、供應商、員工造成財務、法律、規(guī)章條例上的嚴重損失的信息。這類信息極為敏感，要求個人在訪問前必須進行必要性確認（訪問記錄）。保護機制包括確保這些信息的副本都要進行特別記錄，并在處理后加以銷毀。該級別的數(shù)據(jù)保護和處理要求比機密數(shù)據(jù)更嚴格。公司薪資信息財務庫和顧客/訂單庫預發(fā)布產(chǎn)品信息長期業(yè)務戰(zhàn)略計劃防火墻配置規(guī)則root/Administrator/DBA用戶/操作員密碼和PIN進行安全意識培訓一個機構想要達到自己的安全計劃的預定目標，就必須向自己的雇員說明他們的安全計劃是什么，怎么實行安全計劃以及為什么要實行安全計劃。目的是讓每一個雇員都了解安全問題對于整個公司和每個人的重要性。應該澄清職責和可以接受的行為，在違反規(guī)則的情況發(fā)生之前就要說明這樣做的后果，可能是警告，也可能是開除。針對一個安全意識培訓計劃，通常會有3種聽眾：管理人員、普通員工和技術人員。每個聽眾都應該受到特定種類的安全意識培訓，從而保證每個團體都了解自己特定的職責、義務和期望。安全培訓應該定期地、持續(xù)地進行。這種安全培訓一年至少應該進行一次，目的是讓職員不但了解安全措施如何在自己的環(huán)境中運行，而且知道為什么這樣做。進行安全意識培訓的主要原因在于改變職員的行為和對安全的態(tài)度。用戶分級管理一個機構存在著很多職能部門，每個職能部門日常工作所涉及的信息資產(chǎn)都不同，因此從安全管理角度考慮，不同職能部門的用戶應該擁有不同等級的訪問權限。例如財務、戰(zhàn)略計劃等信息資產(chǎn)只能允許具有相關權限等級的用戶進行的訪問。目前**采用AD域進行用戶認證管理，今后需要將AD域的用戶管理與網(wǎng)絡準入控制以及VPN等結合起來提供用戶的認證、授權及審計。但是目前**的AD域管理仍存在著一定的問題，在公司多次組織結構調整后，AD域中的組織結構并未進行及時更新，這樣對于今后的用戶分級管理將會造成不便。因此建議在本次項目中，應對AD域的OU、用戶組等進行一定的調整，使之與**組織架構保持一致。 物理層安全解決方案保證計算機信息系統(tǒng)各種設備的物理安全是保障整個網(wǎng)絡安全的前提。物理安全是保護計算機網(wǎng)絡設備、設施以及其它媒體免遭地震、水災、火災等環(huán)境事故以及人為操作失誤或錯誤及各種計算機犯罪行為導致的破壞過程。它主要包括三個方面：環(huán)境安全、設備安全、線路安全。為了將不同密級的網(wǎng)絡隔離開，我們還要采用隔離技術將核心密和普通密兩個網(wǎng)絡在物理上隔離同時保證在邏輯上兩個網(wǎng)絡能夠連通。l 環(huán)境安全對系統(tǒng)所在環(huán)境的安全保護，如區(qū)域保護和災難保護；(參見國家標準GB50173－93《電子計算機機房設計規(guī)范》、國標GB2887－89《計算站場地技術條件》、GB9361－88《計算站場地安全要求》l 設備安全設備安全主要包括設備的防盜、防破壞、防電磁信息輻射泄漏、防止線路截獲、抗電磁干擾及電源保護等；設備冗余備份；通過嚴格管理及提高員工的整體安全意識來實現(xiàn)。 l 媒體安全包括媒體數(shù)據(jù)的安全及媒體本身的安全。顯然，為保證企業(yè)網(wǎng)絡的物理安全，除在網(wǎng)絡規(guī)劃和場地、環(huán)境等要求之外，還要防止系統(tǒng)信息在空間的擴散。計算機系統(tǒng)通過電磁輻射使信息被截獲而失密的案例已經(jīng)很多，在理論和技術支持下的驗證工作也證實這種截取距離在幾百甚至可達千米的復原顯示技術給計算機系統(tǒng)信息的保密工作帶來了極大的危害。為了防止系統(tǒng)中的信息在空間上的擴散，通常是在物理上采取一定的防護措施，來減少或干擾擴散出去的空間信號。l 隔離技術隔離技術要達到以下幾點關鍵技術：1） 物理隔斷。2） 可選擇數(shù)據(jù)交換：兩個網(wǎng)絡能夠有選擇的交換數(shù)據(jù)，好像它們直接相連一樣。3） 數(shù)據(jù)是靜態(tài)的：在交換數(shù)據(jù)過程中，數(shù)據(jù)是靜態(tài)的（被動的），不能被執(zhí)行。4） 獨立決策：所有決策要求數(shù)據(jù)在一個安全的環(huán)境中處理，與不可信的網(wǎng)絡隔斷。5） 高性能：上述所有工作實時進行，最大通過量和最小延時。 網(wǎng)絡層安全解決方案l 防火墻安全技術建議**網(wǎng)絡是一個由公司總部大樓、大溪地、大金馬、T2區(qū)組成的網(wǎng)絡體系結構，從網(wǎng)絡安全角度上講，他們屬于不同的網(wǎng)絡安全域，因此在網(wǎng)絡邊界，應安裝防火墻，并需要實施相應的安全策略控制。另外，根據(jù)對外提供信息查詢等服務的要求，為了控制對關鍵服務器的授權訪問控制，應把對外公開服務器集合起來劃分為一個專門的服務器子網(wǎng)，設置防火墻DMZ區(qū)來保護對它們的訪問。根據(jù)**的網(wǎng)絡現(xiàn)狀，我們建議在核心交換機配置防火墻模塊，實現(xiàn)虛擬防火墻功能。虛擬防火墻可以將一臺硬件防火墻在邏輯上劃分成多臺虛擬的防火墻，每個虛擬防火墻系統(tǒng)都可以被看成是一臺完全獨立的防火墻設備，可擁有獨立的系統(tǒng)資源、管理員、安全策略、用戶認證數(shù)據(jù)庫等，以此來實現(xiàn)對不同網(wǎng)段或不同設備的安全防護。硬件防火墻與交換機連接后，再通過交換機連接不同類別的PC終端，這樣虛擬防火墻功能將轉嫁應用在每臺交換機上，使得每臺交換機都成了邏輯上的防火墻設備，以此來實現(xiàn)PC終端或多臺服務器的虛擬防火墻保護。這樣的布置不僅增加了各終端的安全保護級別，而且也類似于一組獨立的物理防火墻，但是更加便于管理。因為它們是虛擬設備，所以組織可以輕松地根據(jù)用戶的增長情況添加或者刪除此種安全結構。l 入侵防御安全技術建議利用防火墻技術，經(jīng)過仔細的配置，通常能夠在內(nèi)外網(wǎng)之間提供安全的網(wǎng)絡保護，降低了網(wǎng)絡安全風險。但是，僅僅使用防火墻，網(wǎng)絡安全還遠遠不夠，主要表現(xiàn)在以下幾個方面：1） 入侵者可尋找防火墻背后可能敞開的后門；2） 入侵者可能就在防火墻內(nèi)；3） 由于性能的限制，防火墻通常不能提供實時的入侵檢測能力；4） 對于CC攻擊、SQL注入等應用層攻擊，防火墻無能為力；5） 保護措施單一。入侵防御目的是提供實時的入侵檢測及采取相應的防護手段，如發(fā)現(xiàn)違規(guī)訪問、阻斷網(wǎng)絡連接、內(nèi)部越權訪問等，發(fā)現(xiàn)更為隱蔽的攻擊。公司網(wǎng)絡安全體系必須建立一個智能化的實時攻擊識別和響應系統(tǒng)，管理和降低網(wǎng)絡安全風險，保證網(wǎng)絡安全防護能力能夠不斷增強。目前網(wǎng)絡入侵安全問題主要采用網(wǎng)絡入侵防御系統(tǒng)等成熟產(chǎn)品和技術來解決。IPS產(chǎn)品選型一般遵循以下三個先決條件： 1：是否對漏洞掌握的足夠多，并有相關的防護措施盡快出臺 2：是否對新出現(xiàn)的針對漏洞的攻擊手段掌握的足夠快 3：是否有能力研究和防護最新可能出現(xiàn)的攻擊手段 部署網(wǎng)絡入侵檢測系統(tǒng)應能滿足以下要求：能在網(wǎng)絡環(huán)境下實現(xiàn)實時地分布協(xié)同地入侵防御，全面防御可能的入侵行為。能及時識別各種黑客攻擊行為，發(fā)現(xiàn)攻擊時，阻斷弱化攻擊行為、并能詳細記錄，生成入侵報告，及時向管理員報警。能夠按照管理者需要進行多個層次的掃描，按照特定的時間、廣度和細度的需求配置多個掃描。能夠支持大規(guī)模并行檢測，能夠方便地對大的網(wǎng)絡同時執(zhí)行多個檢測。所采用的入侵防御產(chǎn)品和技術不能被繞過或旁路。檢測和掃描行為不能影響正常的網(wǎng)絡連接服務和網(wǎng)絡的效率。檢測的特征庫要全面并能夠及時更新。安全檢測策略可由用戶自行設定，對檢測強度和風險程度進行等級管理，用戶可根據(jù)不同需求選擇相應的檢測策略。能夠幫助建立安全策略，具有詳細的幫助數(shù)據(jù)庫，幫助管理員實現(xiàn)網(wǎng)絡的安全，并且制定實際的、可強制執(zhí)行的網(wǎng)絡安全策略。l 網(wǎng)絡設備安全增強技術建議在漏洞掃描與風險評估的基礎上對網(wǎng)絡設備進行安全性增強配置，下面以CISCO路由器的幾個安全增強配置為例說明網(wǎng)絡設備的安全性也是不容忽視的。1） Login Banner配置：修改login banner，隱藏路由器系統(tǒng)真實信息，防止真實信息的泄露。2） Enable secret配置：使用enable secret來加密secret口令。3） Idents配置：通過ident配置來增加路由器安全性。4） 超時配置：配置VTY，Console的超時來增加系統(tǒng)訪問安全性。5） 訪問控制配置：通過配置VTY端口的Access List來增加系統(tǒng)訪問的安全性。6） VTY訪問配置：配置VTY的訪問方式，如SSH來增加系統(tǒng)訪問的安全性。7） 用戶驗證配置：配置用戶驗證方式以增強系統(tǒng)訪問的安全性。8） AAA方式配置：配置AAA方式來增加用戶訪問安全性。9） 路由命令審計配置：配置AAA命令記賬來增強系統(tǒng)訪問安全性。l 數(shù)據(jù)傳輸安全建議為保證數(shù)據(jù)傳輸?shù)臋C密性和完整性，建議網(wǎng)絡中采用安全VPN系統(tǒng)。VPN應具有以下功能：1） 信息透明加解密功能，支持網(wǎng)絡IP數(shù)據(jù)包的機密性保護。網(wǎng)絡密碼機串聯(lián)在以太網(wǎng)中，凡是流經(jīng)的IP報文無一例外地都要受到它的分析和檢查，根據(jù)需要進行加解密和認證處理。信息加解密功能支持政務系統(tǒng)專有的業(yè)務服務，及WWW、FTP、SMTP、Telnet等基于TCP/IP的服務。2） 支持IPSEC/SSL VPN一體化的方式，適應Lan to Lan 和End to Lan兩種不同應用，SSL VPN必須支持網(wǎng)絡層以上的所有B/S和C/S應用。3） 信息認證功能，支持IP數(shù)據(jù)包的完整性保護。流過的IP報文在被加解密的同時，還要進行認證處理，由加密方在每個報文之后都自動附有認證碼，其他人無法偽造，在接收方對該認證碼進行驗證，保證了信息的完整性和不可篡改性。4） 防火墻功能，支持網(wǎng)絡訪問控制機制，防止外部非法用戶攻擊。在操作系統(tǒng)底層直接實現(xiàn)報文包過濾技術、IP地址偽裝技術（NAT），并與信息加密、認證機制無縫結合?？梢员ＷC局域網(wǎng)的邊界安全，防止了通常的類似于IP spoofing（IP地址欺騙）的攻擊。5） 支持遠程分布式集中統(tǒng)一管理功能。6） 安全審計及告警功能，支持對網(wǎng)絡非法訪問操作的審計和自動告警。VPN網(wǎng)關對流過的報文進行動態(tài)過濾分析，根據(jù)網(wǎng)絡安全審計策略，自動調度審計進程，進行審計記錄，產(chǎn)生審計報告，并以多種方式，如語音、Email等方式對非法事件進行實時告警，以便安全管理員在第一時間了解情況，做出正確的應對措施，以盡可能的將非法事件造成的損失降低至最小。 系統(tǒng)及應用安全解決方案l 操作系統(tǒng)安全技術1）操作系統(tǒng)安全要求操作系統(tǒng)是所有計算機終端、工作站和服務器等正常運行的基礎，操作系統(tǒng)的安全十分重要。目前的商用操作系統(tǒng)主要有IBM AIX、Linux、AS/400、OS/390、SUN Solaris、HP Unix、Windows、OS/NOVELL Netware等。針對操作系統(tǒng)應用環(huán)境對安全要求的不同，系統(tǒng)對操作系統(tǒng)的不同適用范圍作如下要求：關鍵的服務器和工作站（如數(shù)據(jù)庫服務器、WWW服務器、代理服務器、備份服務器和網(wǎng)管工作站）應該采用服務器版本的操作系統(tǒng)。典型的有：SUN Solaris、HP Unix、Windows NT Server、Windows 2000/2003 Server。網(wǎng)管終端、辦公終端可以采用通用圖形窗口操作系統(tǒng)，如Windows/3x、Windows 95/9Windows NT Workstation/Server、Windows 2000等。2）操作系統(tǒng)安全管理操作系統(tǒng)因為設計和版本的問題，存在許多的安全漏洞；同時因為在使用中安全設置不當，也會增加安全漏洞，帶來安全隱患。在沒有其它更高安全級別的商用操作系統(tǒng)可供選擇的情況下，安全關鍵在于操作系統(tǒng)的安全管理。為了加強操作系統(tǒng)的安全管理，要從物理安全、登錄安全、用戶安全、文件系統(tǒng)和打印機安全、注冊表安全、RAS安全、數(shù)據(jù)安全、各個應用系統(tǒng)安全等方面制定強化安全的措施。l 服務器安全防護公司服務器本身不能保證沒有漏洞，不法分子可能利用服務的漏洞修改頁面甚至破壞服務器。系統(tǒng)中的BUG，使得黑客可以遠程對服務器發(fā)出指令，從而導致對系統(tǒng)進行修改和損壞，包括無限制地向服務器發(fā)出大量指令，以至于服務器“拒絕服務”，最終引起整個系統(tǒng)的崩潰。這就要求我們必須提高服務器的抵抗破壞能力，防止拒絕服務（DOS）或分布式拒絕服務（DDOS）之類的惡意攻擊，提高服務器備份與恢復、防篡改與自動修復能力。如采用服務器災難恢復系統(tǒng)，一旦服務器上的數(shù)據(jù)被非法修改，安全系統(tǒng)能夠迅速發(fā)現(xiàn)，并自動地對數(shù)據(jù)進行恢復。因此，我們有必要采取相應的措施對公司的服務器進行安全保護。必須將整個公司網(wǎng)以及各種公開服務器與INTERNET進行必要的隔離，避免網(wǎng)絡結構信息外泄；同時還要對外網(wǎng)的服務請求加以過濾，只允許正常通信的數(shù)據(jù)包到達相應主機，其它的請求服務在到達主機之前就應該遭到拒絕；另外，還要對內(nèi)部用戶訪問INTERNET而引入的安全風險加以防范，加強內(nèi)部的審計管理。需要對公司各種服務器進行安全分級，對不同安全級別的服務器采取不同的安全保護措施。例如對于數(shù)據(jù)庫服務器、卡支付服務器、財務服務器、呼叫中心服務器等生產(chǎn)相關的關鍵服務器應采取最高等級的安全防護，在其他服務器安全措施的基礎上再增加雙因素安全認證等保護手段。 安全域解決方案l 安全域安全域，系統(tǒng)內(nèi)包含相同的安全要求，達到相同的安全防護等級的區(qū)域。同一個安全域，一般要求有統(tǒng)一的安全管理組織和制度以及統(tǒng)一的安全技術防護體系。安全域定義了與內(nèi)部網(wǎng)絡系統(tǒng)的最低安全等級，在安全域內(nèi)可以包含更高安全級別的安全域。安全域分離是指確保至少有一個安全域，對自己執(zhí)行是可用的，并且該主體受保護不被不可信主體從外部干擾和篡改。域分離的具體要求如下：通過將安全域的資源與該域外的主體及不受約束的實體分離開，使得安全域外的實體不能觀察或修改安全域內(nèi)的數(shù)據(jù)或編碼；域內(nèi)傳輸是受控的，不能隨意地進入或退出安