【正文】 的不斷維護，測試對一個方案的有效性和正確性是至關(guān)重要的。例如：252。 計劃維護252。 計劃演練252。 測試腳本的創(chuàng)建和更新252。 完全測試的實施252。 災(zāi)難時的恢復(fù)其中還有一個關(guān)鍵的部分就是制定企業(yè)容災(zāi)的技術(shù)方案和實施，通過專業(yè)的設(shè)計和實施，是容災(zāi)方案得以真正的貫徹和應(yīng)用。. 內(nèi)容安全. Internet內(nèi)容過濾中國移動提供的網(wǎng)絡(luò)和其它企業(yè)信息化系統(tǒng)資源必須受到保護，并被合理利用。內(nèi)容過濾的必要性存在于可移動介質(zhì)中的軟件或數(shù)據(jù)可能含有惡意代碼，它能夠破壞信息的保密性、有效性和完整性，使用內(nèi)容過濾技術(shù)能有效地過濾惡意代碼。此外，經(jīng)過我們的調(diào)查，目前在中國移動，導(dǎo)致企業(yè)信息化系統(tǒng)資源浪費的主要行為有：252。 員工在工作時間利用公司資源執(zhí)行與工作無關(guān)的活動，包括訪問新聞網(wǎng)站、下載MP3音樂、下載電影、股票信息查詢、網(wǎng)上聊天、色情網(wǎng)站等；252。 員工在工作間隙，如午休時間，利用公司資源執(zhí)行與工作無關(guān)的活動，包括訪問新聞網(wǎng)站、下載MP3音樂、下載電影、股票信息查詢、網(wǎng)上聊天、色情網(wǎng)站、玩聯(lián)機游戲等；252。 員工在下班后，不關(guān)閉辦公場所的個人計算機，而讓計算機繼續(xù)下載巨大的文件，或執(zhí)行聯(lián)機游戲以獲得更高的分數(shù)和經(jīng)驗值等。以上現(xiàn)象比較普遍，它不但直接消耗巨大的網(wǎng)絡(luò)帶寬，當然也在消耗其它企業(yè)信息化系統(tǒng)及電力等資源，更為嚴重的是，有些行為有可能給中國移動帶來法律糾紛。除了通過為員工提供安全意識培訓(xùn)，提高全員的安全素質(zhì)外，使用內(nèi)容過濾技術(shù)是最為有效、最可靠的解決方式，它能從根本上杜絕這類現(xiàn)象的發(fā)生。內(nèi)容過濾系統(tǒng)的指標要求我們認為，中國移動應(yīng)該安裝Internet內(nèi)容過濾系統(tǒng)。由于目前在市場上能夠?qū)崿F(xiàn)內(nèi)容過濾功能的系統(tǒng)比較多，且多為軟件形式，在此我們只給出系統(tǒng)應(yīng)該滿足的特性，而不推薦具體的產(chǎn)品。1. 多系統(tǒng)平臺支持內(nèi)容過濾系統(tǒng)需要具備操作系統(tǒng)平臺無關(guān)性，或至少有針對不同操作系統(tǒng)平臺的不同版本，切功能必須一致。2. 對性能的負面影響內(nèi)容過濾系統(tǒng)不能影響Internet的接通速度，或?qū)油ㄋ俣鹊挠绊憳O小。關(guān)于對性能的影響，需要由系統(tǒng)供應(yīng)商提供具體的分析報告，給出在IP層、TCP層和應(yīng)用層的實際測試結(jié)果。我們建議的過濾時間延遲不得大于20毫秒。3. 匹配能夠按照關(guān)鍵字、服務(wù)端口、網(wǎng)址、時間段等因素進行靈活匹配，以決定是否允許使用此服務(wù)。匹配的復(fù)雜程度與過濾時間延遲無關(guān)；并且能夠?qū)Τ霈F(xiàn)的惡意代碼的特征進行匹配。4. 客戶端透明性使用內(nèi)容過濾系統(tǒng)后，不需要更改發(fā)起網(wǎng)絡(luò)服務(wù)請求的客戶端，即個人計算機的任何配置。5. 過濾數(shù)據(jù)庫的保護作為內(nèi)容過濾系統(tǒng)的基本數(shù)據(jù)源，過濾數(shù)據(jù)庫需要受到嚴格的保護。6. 內(nèi)容識別算法內(nèi)容識別算法將直接影響系統(tǒng)的性能，系統(tǒng)供應(yīng)商要提供算法的性能分析報告。7. 過濾規(guī)則管理過濾規(guī)則的添加、刪除、統(tǒng)計功能要完善，并體現(xiàn)方便性。8. 日志功能對所有的網(wǎng)絡(luò)服務(wù)請求都必須生成日志記錄，能夠提供流量對比分析，及進行其它的多種統(tǒng)計。9. 管理界面的易用性系統(tǒng)應(yīng)具備簡便、易用的圖形化管理界面。. 訪問控制. 網(wǎng)絡(luò)安全體系建設(shè)本項目的目標為，根據(jù)業(yè)務(wù)上或管理上以及《企業(yè)信息化安全域規(guī)范》的各種安全相關(guān)需求，對現(xiàn)有的網(wǎng)絡(luò)系統(tǒng)通過各種網(wǎng)絡(luò)安全防范的技術(shù)手段和管理規(guī)范進行一系列的安全改造，從而將網(wǎng)絡(luò)上存在的安全風險和安全隱患降至最低。本項目的范圍包括了所有與網(wǎng)絡(luò)系統(tǒng)相關(guān)的運作安全考慮。包括了內(nèi)部局域網(wǎng)安全建設(shè)和改造、和第三方合作伙伴的網(wǎng)絡(luò)連接安全建設(shè)和改造、Internet連接安全規(guī)范以及用戶遠程網(wǎng)絡(luò)接入連接相關(guān)的安全方面的考慮。內(nèi)部局域網(wǎng)絡(luò)安全區(qū)域的劃分及互聯(lián)安全改造根據(jù)《企業(yè)信息化安全域規(guī)范》的要求，在內(nèi)部網(wǎng)絡(luò)按照不同的應(yīng)用類別或安全信任級別劃分不同的安全區(qū)域，在不同安全區(qū)域互聯(lián)時針對不同網(wǎng)絡(luò)區(qū)域安全信任級別和業(yè)務(wù)需求的不同實施不同的安全控制措施。內(nèi)部局域網(wǎng)絡(luò)用戶接入認證根據(jù)業(yè)務(wù)需求，建立局域網(wǎng)絡(luò)使用用戶授權(quán)管理機制和相關(guān)的規(guī)范。如可以采用某些技術(shù)來限制局域網(wǎng)絡(luò)接入用戶并主動判斷局域網(wǎng)絡(luò)接入用戶的身份。同時還應(yīng)當建立用戶接入和使用內(nèi)部局域網(wǎng)絡(luò)相關(guān)安全管理規(guī)范。制定內(nèi)部局域網(wǎng)絡(luò)無線局域網(wǎng)絡(luò)技術(shù)使用安全規(guī)范根據(jù)業(yè)務(wù)需求，明確建設(shè)無線局域網(wǎng)絡(luò)必須采用的安全控制技術(shù)手段和相關(guān)安全技術(shù)要求，來確保無線局域網(wǎng)絡(luò)的安全。如對于無線傳輸加密技術(shù)的選擇，無線接入用戶身份的認證等。外聯(lián)網(wǎng)絡(luò)連接安全改造根據(jù)實際業(yè)務(wù)需求和《企業(yè)信息化安全域規(guī)范》的要求，建立外聯(lián)網(wǎng)絡(luò)接入內(nèi)部網(wǎng)絡(luò)統(tǒng)一的安全技術(shù)和安全管理規(guī)范。Internet網(wǎng)絡(luò)接入安全改造根據(jù)實際業(yè)務(wù)需求和《企業(yè)信息化安全域規(guī)范》的要求，明確Internet接入網(wǎng)絡(luò)相關(guān)的技術(shù)和管理規(guī)范。同時，還應(yīng)當明確統(tǒng)一的內(nèi)部用戶訪問Internet用戶使用規(guī)范，并建立嚴格的內(nèi)部用戶訪問Internet授權(quán)的審批流程和審批要求。制定遠程撥號接入用戶網(wǎng)絡(luò)安全規(guī)范(統(tǒng)一認證)根據(jù)實際業(yè)務(wù)需求，制定針對移動用戶遠程撥號接入內(nèi)部網(wǎng)絡(luò)的情況建立安全管理規(guī)范。如明確統(tǒng)一的接入身份認證機制，建立統(tǒng)一的接入平臺等。建設(shè)遠程移動辦公用戶通過Internet接入內(nèi)部網(wǎng)絡(luò)安全基礎(chǔ)設(shè)施并制定相關(guān)規(guī)范根據(jù)實際業(yè)務(wù)需求和《企業(yè)信息化安全域規(guī)范》的要求，建設(shè)VPN基礎(chǔ)設(shè)施和相關(guān)安全技術(shù)機制。并制定統(tǒng)一的Internet網(wǎng)絡(luò)接入內(nèi)部網(wǎng)絡(luò)的安全防護技術(shù)規(guī)范和用戶使用規(guī)范。通過對于網(wǎng)絡(luò)系統(tǒng)的全面的安全保護，從而保護經(jīng)網(wǎng)絡(luò)系統(tǒng)傳輸?shù)臄?shù)據(jù)的安全以及網(wǎng)絡(luò)系統(tǒng)所連接的設(shè)備的安全，使得這些數(shù)據(jù)和設(shè)備免遭他人在未經(jīng)授權(quán)情況下進行的非法操作。具體而言包括了252。 確保了內(nèi)部局域網(wǎng)絡(luò)的合理分割和聯(lián)系，對現(xiàn)有的局域網(wǎng)絡(luò)進行網(wǎng)絡(luò)安全區(qū)域的劃分，確保不同安全信任級別的網(wǎng)絡(luò)安全區(qū)域之間僅根據(jù)業(yè)務(wù)上的必要需求進行了有限的互聯(lián)。確保兩網(wǎng)之間既有聯(lián)系，又相對各自獨立，互不影響。252。 確保內(nèi)部局域網(wǎng)絡(luò)接入骨干網(wǎng)絡(luò)之前建立了相關(guān)的安全訪問控制機制，降低某一個局域網(wǎng)絡(luò)上產(chǎn)生的安全相關(guān)事件對全網(wǎng)絡(luò)的影響。252。 保障了第三方合作伙伴接入網(wǎng)絡(luò)的安全性，防止各類由于第三方合作伙伴接入的安全問題和安全事件的發(fā)生。252。 保障了內(nèi)部網(wǎng)絡(luò)接入的安全性，通過一些具體的技術(shù)實現(xiàn)手段，確保只有經(jīng)過認證的用戶才能有效的訪問內(nèi)部網(wǎng)絡(luò)資源。252。 保障了內(nèi)部無線局域網(wǎng)絡(luò)的安全性，通過一定的技術(shù)規(guī)范來確保未來無線網(wǎng)絡(luò)技術(shù)應(yīng)用的安全性。252。 保障了內(nèi)部網(wǎng)絡(luò)和Internet網(wǎng)絡(luò)互聯(lián)的安全性，防止各類來自Internet的安全攻擊事件的發(fā)生，并確保移動辦公用戶通過Internet遠程接入內(nèi)部網(wǎng)絡(luò)的安全性。. 鑒別認證. 各信息系統(tǒng)的統(tǒng)一單點登錄隨著企業(yè)信息化系統(tǒng)建設(shè)的逐步開展和完善，企業(yè)信息化系統(tǒng)中的應(yīng)用越來越多，需要建立基于統(tǒng)一策略的用戶身份認證與授權(quán)控制機制，以區(qū)別不同的用戶和信息訪問者，并授予他們不同的信息訪問和事務(wù)處理權(quán)限。此外僅依靠用戶ID和口令的認證很不安全，容易被猜測或盜取，會帶來很大的安全風險。為此，動態(tài)口令認證、CA第三方認證，生物識別技術(shù)等被認為是先進的認證方式。下圖是建議的統(tǒng)一認證和授權(quán)系統(tǒng)的目標架構(gòu)：統(tǒng)一認證和授權(quán)系統(tǒng)由以下四個部分組成：252。 目錄服務(wù)：存儲多種不同來源的用戶/資源信息。實現(xiàn)的功能需求：中心存儲用戶信息252。 身份管理：管理用戶身份信息，并提供自動工作流程和自服務(wù)、分權(quán)管理功能。實現(xiàn)的功能需求：中心管理用戶信息252。 認證管理：提供對多種認證方式的中心管理，提供多因素認證服務(wù)。實現(xiàn)的功能需求：正確地識別所有的用戶，并提供合適的身份信息252。 訪問管理：進行訪問規(guī)則定義，并進行訪問規(guī)則的中心控制。實現(xiàn)的功能需求：使用戶能且只能訪問正確的資源. 目錄服務(wù)與身份管理目錄服務(wù)可以提供對身份信息的中心存儲，身份管理可以提供對身份信息的中心管理。部分廠商將目錄服務(wù)和身份管理統(tǒng)稱身份管理。目錄服務(wù)與身份管理的功能可以分為三個子塊，即存儲子模塊，同步子模塊，管理子模塊。1） 存儲子模塊：即目錄服務(wù)模塊；用戶的身份信息具有訪問量遠遠大于修改量的特點，對系統(tǒng)性能要求極高。傳統(tǒng)的關(guān)系型數(shù)據(jù)管理系統(tǒng)（RDBMS）是針對存取、修改操作均衡的數(shù)據(jù)類型進行設(shè)計的，對于大量的、集中的用戶身份信息的存取管理顯得過于笨重?；谝陨系脑颍瑯I(yè)界提出了一種專為針對訪問量遠大于修改量的數(shù)據(jù)類型設(shè)計的數(shù)據(jù)存儲和分布機制，即目錄服務(wù)（Directory Service）。目錄服務(wù)的最初協(xié)議是CCITT組織于1988年提出的DAP（Directory Access Protocol，目錄訪問協(xié)議）。（不利于大規(guī)模的訪問），且不支持TCP/IP。為改進這些缺陷，產(chǎn)生了LDAP（Lightweight Directory Access Protocol，輕量級目錄訪問協(xié)議）。，簡單許多且可以根據(jù)需要定制，并支持TCP/IP。LDAP被廣泛用于目錄服務(wù)?；贚DAP的服務(wù)器軟件可存儲各種改變量不大、而訪問量巨大的信息。LDAP目前是大規(guī)模用戶身份信息集中存儲的主流協(xié)議。2） 同步子模塊：即元目錄，或動態(tài)用戶管理（User Provisioning）模塊；根據(jù)用戶身份信息管理的方式，應(yīng)用可分為以下三類： 1）一類應(yīng)用：目錄使能的應(yīng)用（Directory Enabled Applications）可以采用LDAP目錄作為用戶信息存儲的應(yīng)用，如電子郵件系統(tǒng)等。2）二類應(yīng)用：目錄可連接的應(yīng)用（Directory Connected Applications）不能使用LDAP目錄作為用戶信息存儲，但可以與LDAP目錄同步的應(yīng)用。例如采用數(shù)據(jù)庫的系統(tǒng)，采用Domino的辦公自動化系統(tǒng)等。3）三類應(yīng)用：目錄不可連接的應(yīng)用（NonDirectory Connected Applications）不能使用LDAP作為用戶信息存儲，也不能與目錄同步的獨立的應(yīng)用。例如部分業(yè)務(wù)應(yīng)用。如下圖所示：對一類應(yīng)用：直接利用LDAP目錄進行中心存儲；對二類應(yīng)用：利用元目錄（Meta Directory）系統(tǒng)實現(xiàn)與LDAP目錄的信息同步；對三類應(yīng)用：利用動態(tài)用戶管理（User Provisioning）系統(tǒng)提供與LDAP目錄的集成管理接口（統(tǒng)一管理，但信息不同步）。根據(jù)實際應(yīng)用的價值，也可不必對某些三類應(yīng)用進行集成。3） 管理子模塊：包括針對管理員的分權(quán)管理模塊，針對用戶的自服務(wù)模塊，及基礎(chǔ)的工作流模塊。統(tǒng)一的用戶身份信息管理需要明確集中的用戶身份管理組織，對用戶信息負責。用戶身份管理組織的職能包括：a. 用戶身份管理規(guī)劃，并制訂工作計劃；b. 制訂與維護與用戶管理相關(guān)的業(yè)務(wù)流程；c. 統(tǒng)一用戶編碼規(guī)則；d. 制訂認證憑證政策；e. 確定用戶身份信息的數(shù)據(jù)源，并進行數(shù)據(jù)質(zhì)量分析；f. 用戶分權(quán)管理委派；g. 對認證和授權(quán)現(xiàn)狀進行周期性的審計和跟蹤。集中管理的方式將所有的用戶維護的工作量都落在了管理中心一側(cè)，當用戶數(shù)不斷增加時，管理中心將不堪重負。用戶身份信息的分權(quán)管理，即由最接近用戶的管理員進行用戶信息的維護將能有效減少管理中心的維護量，并提高系統(tǒng)的可擴展性。用戶自服務(wù)（Self Services）是分權(quán)管理的極端形式。提供良好的用戶自服務(wù)功能是降低系統(tǒng)管理壓力，提高用戶滿意度的重要手段。用戶自服務(wù)的內(nèi)容一般包括：1） 認證信息的維護。例如密碼維護、證書更新等；2） 用戶屬性維護。例如電話號碼、備用電子郵箱地址、工作地點、備注等；3） 個性化定制。例如個人偏好、應(yīng)用訂閱等。. 認證管理一般來說，認證方式可以分為以下四類：所知（Something you know）、所持（Something you have）、所具有（Something you are）和所為（Something you do）所知第一種，也是最普遍的認證方式，是“用戶名－密碼”的方式，也被稱之為“基本認證”。如果系統(tǒng)密碼的安全防護很脆弱，惡意的用戶就可以輕易地獲得大量用戶的密碼。由于密碼是最常見的認證方式，并最易遭到攻擊，因此密碼的管理極為重要。制訂詳盡的密碼政策并自動和強制執(zhí)行是確保信息系統(tǒng)安全的第一道保障?；谒绞降恼J證的優(yōu)點是：a. 易于使用b. 被大多數(shù)系統(tǒng)支持缺點是：a. 易忘記b. 易被泄漏，易被猜測c. 能被截獲并使用所持即給用戶頒發(fā)一個唯一的標識物（Identifier）。唯一標識物一般有以下形式，即加密密鑰（Key）、令牌（Token）、智能卡（Smart Card）和數(shù)字證書（Digital Certificate）。1） 加密密鑰一般來說，有以下幾種加密方式：對稱加密（Symmetric Cryptography）、公鑰加密（Public Key Cryptography）或非對稱加密（Asymmetric Cryptography）、數(shù)字簽名（Digital Signature）。2） 數(shù)字證書數(shù)字證書是一種格式化的文檔，這一文檔包括與用戶身份相關(guān)的特定細節(jié)信息。常見的數(shù)字證書認證體系有兩種，一種是PKI（Public Key Infrastructure，公用密鑰基礎(chǔ)設(shè)施），另一種是Kerberos。3） 令牌使用令牌（Token）進行認證的方式古已有之。但傳統(tǒng)的令牌易被惡意用戶獲取并進行重演攻擊（Replay Attack）?，F(xiàn)代的令牌是由一個物理令牌（上面駐有一個只有安全服務(wù)器能驗證的值）以及只有用戶知道的信息的結(jié)合。令牌解決了密碼的安全弱點，但也帶來了復(fù)雜的管理問題，且用戶攜帶也不方便。目前主要有兩種簡化的辦法：a. 由認證供應(yīng)商提供令牌發(fā)行、激活和管理服務(wù)；b. 將令牌融和進已有的認證設(shè)備。4） 智能卡智能卡是一個嵌入了存儲和處理用戶數(shù)據(jù)的計算機芯片的塑料卡。通過物理或無線的方式與閱讀器連接以檢索數(shù)據(jù)?？ㄩ喿x器有很多種類，其讀卡和寫卡的方法也各種各樣。由于歷史的原因，每個智能卡供應(yīng)商都有各自的操作系統(tǒng)。目前主要有四種操作系統(tǒng)標準在相互競爭：Sun公司的JavaCard、MasterCard和Amex的MultOS、微軟的Smart Card for Windows，及Visa Open Platform?；谒址绞降恼J