【正文】 在計算機網(wǎng)絡(luò)安全方面存在的問題，它能夠解決對機器身份的真?zhèn)巫R別(防止地址假冒、自帶PC機上網(wǎng)、對現(xiàn)有的無盤站進行改動等)，同時提供更加有效的網(wǎng)絡(luò)登錄安全檢查和對關(guān)鍵數(shù)據(jù)的保護（防超級用戶特權(quán)利用、防隱藏用戶或隱藏權(quán)限等），是一種有效的幫助用戶對營業(yè)部內(nèi)部的設(shè)備使用進行規(guī)范化管理、制定合理的安全防范制度的網(wǎng)絡(luò)安全管理解決方案。形象地說，網(wǎng)警系統(tǒng)象是一名真正的網(wǎng)絡(luò)警察，它對任何網(wǎng)絡(luò)的連接和登錄請求進行附加的登錄安全規(guī)則檢查，并加以記錄，備案待查。 同時，它也是一名“數(shù)據(jù)警察”，它查看任何對關(guān)鍵數(shù)據(jù)的寫操作的初始請求，并根據(jù)數(shù)據(jù)安全規(guī)則允許或拒絕該操作(即使是超級用戶)。3）“網(wǎng)警入侵檢測系統(tǒng)”的安全防范（1）安全防范層次“網(wǎng)警入侵檢測系統(tǒng)”是基于原有NetWare NDS目錄服務(wù)的安全基礎(chǔ)，以外掛式的形式對網(wǎng)絡(luò)的登錄和數(shù)據(jù)訪問進行附加的安全處理。 使用”網(wǎng)警入侵檢測系統(tǒng)”時，網(wǎng)絡(luò)安全防范分成幾個層次：1)原有NetWare系統(tǒng)的登錄管理，口令管理，文件權(quán)限管理。2)由”網(wǎng)警入侵檢測系統(tǒng)”進行登錄合法性的附加管理，對客戶機設(shè)備的真?zhèn)芜M行識別。3)由”網(wǎng)警入侵檢測系統(tǒng)”實施對服務(wù)器網(wǎng)絡(luò)數(shù)據(jù)的附加權(quán)限管理。（2）多重防范手段設(shè)備的注冊和管理要使用”網(wǎng)警入侵檢測系統(tǒng)”，首先要對網(wǎng)絡(luò)系統(tǒng)的合法設(shè)備(主要是工作站)進行注冊。所有的連網(wǎng)客戶機只有在注冊后才被認可為合法的設(shè)備。經(jīng)注冊的設(shè)備會在NDS庫中以”Computer”類的目標實體方式保存一份唯一標識其身份的驗證指紋，這樣，合法的工作站設(shè)備每次在連接Server時，NDS庫中的驗證指紋會對其身份的合法性進行“設(shè)備驗證”。登錄規(guī)則的制定登錄規(guī)則的制定是指在設(shè)備驗證的基礎(chǔ)之上再行規(guī)劃每臺NetWare服務(wù)器的登錄細則。管理員可以按照位置(此位置可以包含多臺設(shè)備)或某具體設(shè)備的名稱、登錄的用戶或組織、登錄的時間、登錄網(wǎng)段等多方面因素的組合來設(shè)定具體的登錄檢查規(guī)則?！本W(wǎng)警入侵檢測系統(tǒng)”在服務(wù)器將對登錄進行規(guī)則匹配，并按規(guī)則實施行動(禁止或允許登錄)。數(shù)據(jù)保安關(guān)鍵數(shù)據(jù)寫規(guī)則制定由于證券營業(yè)部對系統(tǒng)性能的要求較高，因此只制定一些簡單的規(guī)則，否則會影響系統(tǒng)的整體性能。在關(guān)鍵數(shù)據(jù)寫規(guī)則的判定中，如果有同一網(wǎng)卡地址多次登錄服務(wù)器，則只許第一個登錄的客戶機連接進行寫操作。在實際應(yīng)用中，可以用此手段保護營業(yè)部向上交所和深交所提交的交易數(shù)據(jù)(報盤數(shù)據(jù))。 例如：將文件卷指定為報盤數(shù)據(jù)所在的卷，將網(wǎng)卡地址指定為專用報盤機的MAC地址。這樣，系統(tǒng)能保證只有專用報盤機才可以寫這些數(shù)據(jù)，而其它機器則不能寫報盤數(shù)據(jù)，即使是超級用戶。 4） “網(wǎng)警入侵檢測系統(tǒng)”的運行機制（1）“網(wǎng)警入侵檢測系統(tǒng)”按照以下機制運行：★所有的客戶機在使用前必須預(yù)先注冊到系統(tǒng)中。★所有的客戶機按照登錄規(guī)則以合法的用戶在合法的時間和網(wǎng)段上登錄。★如果要求進行設(shè)備真?zhèn)悟炞C，每個客戶機要在網(wǎng)絡(luò)登錄前運行設(shè)備驗證程序，標明設(shè)備的身份。 ★任何違反登錄規(guī)則的網(wǎng)絡(luò)登錄將被視為網(wǎng)絡(luò)入侵，服務(wù)器將產(chǎn)生報警信息。根據(jù)服務(wù)器的清除模式，決定是否真的清除這個非法連接/登錄。服務(wù)器每次事件(合法/非法)處理的記錄以日志文件的形式保存在服務(wù)器上?！锶魏螌﹃P(guān)鍵數(shù)據(jù)寫操作的初始請求(例如創(chuàng)建，打開寫，改名等)都應(yīng)該是從合法的機器上發(fā)出的，否則該操作將被視為非法操作，并加以記錄。★如果有監(jiān)視臺與服務(wù)器連接，服務(wù)器向監(jiān)視臺傳送實時日志信息。監(jiān)視臺顯示所連接服務(wù)器上發(fā)生的事件(連接/登錄時間、設(shè)備維護時間、服務(wù)器管理事件，關(guān)鍵文件違規(guī)寫事件)信息，并對網(wǎng)絡(luò)入侵事件進行聲音報警?！锟刂婆_上可以了解更多的信息。例如服務(wù)器所有在線登錄工作站的情況，所有注冊設(shè)備的使用歷史情況?？刂婆_還能做所有的管理工作?！镆慌_服務(wù)器可連接多個監(jiān)視臺；一個監(jiān)視臺可監(jiān)視多個服務(wù)器。由于服務(wù)器記錄信息或監(jiān)控信息較多，可以有選擇地進行記錄和監(jiān)視。 服務(wù)器有靈活的選項，以滿足不同用戶對軟件功能的定制。（2）系統(tǒng)對入侵事件處理當網(wǎng)絡(luò)發(fā)生非法登錄事件時，系統(tǒng)將產(chǎn)生報警信息，管理員收到報警后可以進行如下響應(yīng)：★了解非法登錄的設(shè)備信息和服務(wù)器連接信息?！锪私夂屯茢嗍录脑?。★依據(jù)日志和在線信息調(diào)查過去的相關(guān)歷史情況?！锒ㄎ环欠üぷ髡?已注冊者直接定位，未注冊者定位至網(wǎng)段)。當出現(xiàn)關(guān)鍵數(shù)據(jù)有非法寫請求時，系統(tǒng)將否定該請求，產(chǎn)生報警信息。 管理員可以進行如下響應(yīng)：★了解非法請求的操作類型，發(fā)出請求的連接，機器名稱以及登錄的用戶名。★迅速定位非法請求的工作站，查明具體操作原因。5）“網(wǎng)警入侵檢測系統(tǒng)”綜合作用 “網(wǎng)警入侵檢測系統(tǒng)”最大的技術(shù)特點就是彌補了既有網(wǎng)絡(luò)安全技術(shù)尤其是在證券網(wǎng)絡(luò)安全方面應(yīng)用的主要不足(例如防止地址假冒、超級用戶特權(quán)利用、自帶PC機上網(wǎng)、隱藏用戶或隱藏權(quán)限等等)；同時提高了對網(wǎng)絡(luò)安全管理的易操作性。 有了”網(wǎng)警入侵檢測系統(tǒng)”這些彌補性的功能后，在對付外來網(wǎng)絡(luò)入侵的手段方面，只要網(wǎng)絡(luò)環(huán)境配置得當，網(wǎng)絡(luò)安全的技術(shù)保障基本上能滿足網(wǎng)絡(luò)安全的需要。 從實踐上來看，安全事故一旦出現(xiàn)，需要對事故的原因進行分析。 而分析的信息除了人的活動線索以外，還要有數(shù)據(jù)的線索?！本W(wǎng)警入侵檢測系統(tǒng)”能夠提供有用的系統(tǒng)活動記錄。”網(wǎng)警入侵檢測系統(tǒng)”對關(guān)鍵數(shù)據(jù)的訪問記錄可以幫助了解破壞數(shù)據(jù)的現(xiàn)場情況。 “網(wǎng)警入侵檢測系統(tǒng)”不僅是一個有用的工具，它還特別有助于打好網(wǎng)絡(luò)安全的基礎(chǔ)?！本W(wǎng)警入侵檢測系統(tǒng)”將網(wǎng)絡(luò)中的設(shè)備注冊信息按照層次型的結(jié)構(gòu)存放在目錄服務(wù)數(shù)據(jù)庫(NDS)中，無形地為今后其它對網(wǎng)絡(luò)設(shè)備的管理(不僅僅是安全方面)建立了數(shù)據(jù)庫基礎(chǔ)，并且開拓了思路。”網(wǎng)警入侵檢測系統(tǒng)”嚴格的登錄審查和數(shù)據(jù)審查使得內(nèi)部人員操作更易實現(xiàn)規(guī)范化。 “網(wǎng)警入侵檢測系統(tǒng)”的安全基礎(chǔ)是Netware目錄服務(wù)(NDS)。 目錄服務(wù)在安全性，高效性及可靠性等諸方面擁有巨大優(yōu)勢，是今后網(wǎng)絡(luò)管理的發(fā)展方向。 良好的基礎(chǔ)使”網(wǎng)警入侵檢測系統(tǒng)”具有可靠、持久的發(fā)展?jié)摿?。在未來多方位網(wǎng)絡(luò)運算的環(huán)境下，網(wǎng)絡(luò)安全所涉及方面將越來越廣泛?！本W(wǎng)警入侵檢測系統(tǒng)”將有助于建立正確的安全服務(wù)理念，增強網(wǎng)絡(luò)安全意識，促進安全操作規(guī)范的形成；從而在整體上加強網(wǎng)絡(luò)建設(shè)的質(zhì)量，提供更完善，更安全的服務(wù)。五、工程實施工程實施成功的要素總結(jié)我們多年的工程實施經(jīng)驗，我們認為以下幾點在工程實施的過程中起著重要的作用：1）各級領(lǐng)導(dǎo)的支持與用戶的參與各級領(lǐng)導(dǎo)的支持與最終用戶的參與是工程實施成功的首要條件。在工程實施的過程中，領(lǐng)導(dǎo)的支持與協(xié)調(diào)起著關(guān)鍵的作用，是工程得以順利實施的重要保障，特別是在大型信息管理網(wǎng)絡(luò)工程的實施中，這一點顯得尤為重要。使用者的積極配合能夠使我們對用戶需求得以更確切的理解，使我們與用戶的不同意見能夠得以迅速地溝通，從而保證系統(tǒng)能夠滿足用戶的實際業(yè)務(wù)需求。另外，用戶的參與和配合也是一個接受培訓(xùn)的過程，這對整個系統(tǒng)能夠順利投入運行起著重要的作用。2）廠商的經(jīng)驗與能力證券交易業(yè)務(wù)復(fù)雜程度高，流程要求嚴，網(wǎng)絡(luò)覆蓋面大，特種業(yè)務(wù)多，要求網(wǎng)絡(luò)系統(tǒng)不僅要滿足現(xiàn)有的一切業(yè)務(wù)要求，而且要具有一定的靈活性與適用性，以便于能夠應(yīng)付國內(nèi)證券交易業(yè)務(wù)的不斷變化和發(fā)展。多年來一直致力于系統(tǒng)集成和應(yīng)用軟件系統(tǒng)的設(shè)計、開發(fā)與實施，產(chǎn)品應(yīng)用于證券、銀行、社保等多個重要行業(yè)。在多年應(yīng)用軟件系統(tǒng)的設(shè)計、開發(fā)和具體的工程實施過程中，積累了豐富的經(jīng)驗，并具有雄厚的技術(shù)實力。3）嚴格的工程化實施管理辦法工程化的管理要求在工程實施以前制定出詳細的工程實施計劃與步驟，對系統(tǒng)硬件、網(wǎng)絡(luò)、系統(tǒng)軟件等的安裝測試，業(yè)務(wù)應(yīng)用軟件的開發(fā)與測試、系統(tǒng)集成、培訓(xùn)等各項工作做出合理的安排，并成立工程實施領(lǐng)導(dǎo)小組，有效地把握與控制工程實施的進度。4）人員的保障在工程量大、環(huán)節(jié)多、時間緊迫的情況下，人力資源將變得非常重要，針對證券柳州營業(yè)部網(wǎng)絡(luò)工程，我們將成立若干任務(wù)小組，明確各個小組的任務(wù)與職責(zé)，以保證工程實施的各個環(huán)節(jié)得以順利進行。5）強有力的后續(xù)支持與服務(wù)一個網(wǎng)絡(luò)系統(tǒng)的生命周期不僅依賴于它對用戶現(xiàn)在需求的適用性，而且依賴于它對用戶將來不斷變化和發(fā)展的適用性。隨著中國證券體制的不斷改革與深化，證券業(yè)務(wù)的需求也不會一成不變，這就要求廠商具有強有力的后續(xù)支持與服務(wù)能力。公司集多年的開發(fā)管理與工程實施經(jīng)驗，對業(yè)務(wù)的發(fā)展有著充分的了解，在后續(xù)支持與服務(wù)方面有多年的經(jīng)驗和熟練的技術(shù)隊伍，我們有信心把證券網(wǎng)絡(luò)系統(tǒng)建設(shè)成最好的計算機網(wǎng)絡(luò)系統(tǒng)。工程管理組織公司不只是在系統(tǒng)集成上，而且在工程管理方面同樣具有顯著的優(yōu)勢。多年來，我們一直致力于各行業(yè)應(yīng)用軟件的設(shè)計、開發(fā)與系統(tǒng)集成的實施，形成了從產(chǎn)品的設(shè)計/開發(fā)、生產(chǎn)，到安裝及售后服務(wù)的工程化管理體制，建立起了一套完善的質(zhì)量控制體系。以下將介紹我們針對網(wǎng)絡(luò)系統(tǒng)工程實施的管理思想，所有這些思想都是以保持雙方長期合作關(guān)系為出發(fā)點的。我們建議該項工程的管理組織機構(gòu)如下圖所示：工程領(lǐng)導(dǎo)小組項目經(jīng)理技術(shù)工程 組硬件工程 組培訓(xùn)組后勤組質(zhì)量控制 組各小組具體職責(zé)如下所述：★工程領(lǐng)導(dǎo)小組由雙方高層領(lǐng)導(dǎo)人員組成，主要負責(zé)重大決策、組織、協(xié)調(diào)工作，并對工程項目建設(shè)過程中的進度、計劃和質(zhì)量進行監(jiān)督。★項目經(jīng)理項目經(jīng)理是全部項目管理的核心，將負責(zé)整個項目全過程的所有管理職責(zé)，制訂項目計劃，保證各小組的工程保持技術(shù)上的一致性，定基檢查項目計劃的完成情況和質(zhì)量，并向工程領(lǐng)導(dǎo)小組匯報?！镉布こ探M負責(zé)機房及設(shè)施布置規(guī)劃硬件設(shè)備的安裝、測試及維護工作網(wǎng)絡(luò)規(guī)劃及網(wǎng)絡(luò)設(shè)備的安裝與測試★技術(shù)支持組負責(zé)數(shù)據(jù)的移植工作在系統(tǒng)試運行階段，確保整個系統(tǒng)全天正常運行★培訓(xùn)組制定培訓(xùn)計劃，準備各種培訓(xùn)教材承擔(dān)對軟件開發(fā)人員、操作員、系統(tǒng)管理維護員的培訓(xùn)工作★質(zhì)量控制組制定質(zhì)量保證計劃，對工程實施各階段的質(zhì)量進行監(jiān)督擬定測試計劃設(shè)計測試方案與程序執(zhí)行測試任務(wù)★后勤組負責(zé)整個項目執(zhí)行過程中文件資料打印、管理及后勤工作，輔助茂目的順利實施。在整個工程的實施過程中，各小組負責(zé)人定期召開會議，交流情況，并向雙方領(lǐng)導(dǎo)匯報，以便于雙方領(lǐng)導(dǎo)及時了解情況，有效地控制工程實施的進度。工程實施步驟公司建議證券的網(wǎng)絡(luò)系統(tǒng)建設(shè)分兩個階段進行。 第一個階段先按本方案的建議進行綜合布線以及中心機房裝修工作，為網(wǎng)絡(luò)系統(tǒng)構(gòu)建一個良好的物理線路基礎(chǔ)。第一階段預(yù)計施工時間為45天。 在完成第一階段工作并上線成功后，開始第二個階段的網(wǎng)絡(luò)系統(tǒng)建設(shè)工作，將證券的網(wǎng)絡(luò)系統(tǒng)建設(shè)成為一個強健的、能夠同時處理大量并發(fā)訪問的、高可用的、穩(wěn)定的證券公司網(wǎng)絡(luò)系統(tǒng)。第二階段預(yù)計施工時間為10天。工程文檔本項目將按照GB856788的要求提供各類開發(fā)文檔，包括：系統(tǒng)方案設(shè)計測試報告維護手冊使用手冊系統(tǒng)手冊等３２ / 3