【導讀】湖南工業(yè)職業(yè)技術學院網絡技術專業(yè)教學資源庫。項目編號：SXSZZFCG－2020－079B. 標衡采購招標代理有限公司

　　

【正文】 全分析報告。 安全 設備 加固服務 安全加固服務是圍繞著安全 檢測 結果而實施的。通過安全評估暴露出來的 設備 漏洞，通過安全加固優(yōu)化服務進行修補，消除威脅，以保證 靳湘省 安全生產監(jiān)督管理局 電子政務網絡的 整體 安全。 安全加固 服務 此次安全加固是在安全評估的基礎上，針對各個業(yè)務系統暴露出來的主要安全問題給出解決建議，指導并配合 靳湘省 安全生產監(jiān)督管理局 電子政務網 相關管理和技術人員進行安全加固實施： 電子政府安全系統：主要針對口令管理 、安全系統補丁、設備系統軟件版本升級及軟件功能更新服務、主要漏洞給出解決建議； 安全加固流程 湖南 工業(yè)職業(yè)技術學院 網絡技術專業(yè)教學資源庫 25 安全加固內容 （ 1） 設備 加固 加固內容 ? 最新安全補丁 ? 隱藏系統信息 ? 禁止不必要服務 ? 刪除不必要的協議 檢測出相關安全信息：包括各業(yè)務部門的網絡安全、安全設備等信息 相關信 息的分析，發(fā)現存在的安全問題 信息的分類整理 針對具體安全問題，提出相應的解決建議 及各部門提供相應信息 各部門確認信息的有效性 指導并配合具體實施系統加強 各部門確認實施，并指定相關人員及協調資源 湖南 工業(yè)職業(yè)技術學院 網絡技術專業(yè)教學資源庫 26 ? 刪除不必要的賬戶 ? 帳號和密碼策略 ? 修改重要的文件權限 ? 定制安全審計策略 安全策略調整優(yōu)化 在對系統進行全面的安全評估之后，針對系統目前存在的安全隱患和漏洞在技術層面進行安全策略的調整和優(yōu)化。 要充分保障貴單位的整體網絡安全，有效的安全管理策略是確保這一目標 的重要手段，通過安全策略的制定，可以幫助網絡安全策略體系，為后期的安全管理實施提供規(guī)范建議。 安全技術策略 優(yōu)化 安全技術方面是實現網絡安全的最基本的手段和保障，具體要實現的安全策略如下面情況所示： 使用加密產品保障文件、數據的傳輸是安全、可靠的； 使用查、殺病毒產品保障系統內部不被病毒破壞； 使用訪問 /存取控制產品保護重要的文件、服務器系統； 使用災難恢復 /數據備份產品保障在發(fā)生不可預測的災害后，系統可以在最短的時間恢復正常運轉加強對用戶賬號和口令的管理建立和管理用戶的賬號，將用戶賦給組。例如將領導劃分為一 個組，其他工作人員劃分為另外一個組，便于管理； 設置對文件、目錄、其他資源的訪問權限。這樣可以防止某些內部的數據丟失； 加強口令管理（比如設置其生效期、頻繁更改口令等）； 在口令管理上首先杜絕不設口令的賬號存在，縮短口令的有效期時間； 注意保證每個用戶的 ID 是唯一的；對于過期的賬號要及時注銷。 加強對網絡系統的管理在新的網絡用戶注冊時，對其進行必要的定義，明確其授權范圍，建立有益于用戶安全的管理機制； 在網絡用戶準備登陸時，應該對其進行嚴格的身份認證。可以通過此用戶所屬的主機以及采取基于一次性口令的用戶 驗證系統（比如 SecurID 等），檢查進入網絡的用戶是否合法，防止非法用戶進入網絡； 通過對網絡文件進行嚴格的訪問控制（可以通過操作系統本身的功能和特殊的軟件比如CA 的 Assess Control 等），達到限制用戶行為的目的。即用戶只有在得到對某個文件的訪問授權之后才能訪問此文件。 安全管理策略 優(yōu)化 健全的管理體制是維護網絡正常安全運行的關鍵。很多系統因為沒有健全的安全管理體湖南 工業(yè)職業(yè)技術學院 網絡技術專業(yè)教學資源庫 27 制常常出現由于管理的疏忽而導致嚴重的問題。我們認為以下問題應該成為安全管理首要解決的問題： 在組織機構上對安全管理有一個保證 成立 以 貴單位 分管網絡安全的 負責人 為直接領導的 XX 全網安全管理小組 ，小組成員可以由企業(yè)各個骨干節(jié)點、一級、二級節(jié)點網絡管理員參加。 明確制定安全管理小組的成員在管理上的權利和義務。對于小組中的每一個成員，明確指定每個人應該對什么事故負什么樣的責任，責任落實到人頭。 明確指定什么人可以管理什么網絡設備（防火墻、路由器、交換機等等），作到專門的產品維護由專人負責。 組成一個快捷有效的應急響應小組，響應小組可以有選擇的邀請國內、外一些網絡安全專家擔任特聘顧問，比如安全專家等等。以便在發(fā)生攻擊事件時在最短時間內提供 最有利的支持。 制定《企業(yè)員工網絡安全管理條例》，要求每個員工必須遵守。《條例》中可以規(guī)定員工在工作時間可以通過網絡作什么，不可以作什么。例如：不可以隨便更改網絡管理員賦予的IP 地址、不允許員工登陸淫穢、黃色的站點等、不允許員工隨意下載網絡可執(zhí)行程序等等。一旦員工違反《條例》，將給予相應的處罰。 維保期內售后服務 維保期內故障響應時間 我公司提供半小時以內電話響應，現場響應時間為 2 小時，我 司在接到故障通知后在 2 小時內到達指定現場進行維修；我 司承諾：在 4 小時內不能修復故障設備的，我公司及時聯系設備廠商 及系統集成商對 有故障的設備進行及時提供產品備用機器，保障用戶系統安全運行。我 司須在三個工作日內提供與原設備技術參數要求相同或高于原設備技術參數要求的備用產品提供用戶使用。 保密協定 我公司保證對 靳湘省 安全生產監(jiān)督管理局 網絡拓撲結構網絡設備等內部信息嚴格保密，不對外泄漏。我公司并可與 靳湘省 安全生產監(jiān)督管理局 簽訂保密協議。 返廠維修服務 安全設備如果在原廠和集成商提供的質保期之內，設備情況出現硬軟件故障時，我公司將及時聯系設備廠商及系統集成商對有故障的設備進行免費維修。并要求安全產品廠商及系統集成商及時提供產品 備用機器，保障用戶系統安全運行。凡因用戶方使用不當或不 可抗力（如：雷擊，未使用規(guī)定的電源等）而造成的損壞，不屬于保修范圍，需要根據廠商相關規(guī)湖南 工業(yè)職業(yè)技術學院 網絡技術專業(yè)教學資源庫 28 定，支付對應的維修費用。返廠維修時間根據不同情況通常在 15 個工作日以內?，F場響應時間為 2 小時。 免費設備遷移、替換或更換維護服務 若客戶需要調整設備的位置及其配置我公司專業(yè)技術人員可提供專業(yè)的技術支持。如果不在原廠和集成商提供的質保期之內，針對已經過保修期出現設備硬軟件故障的情況， 我公司承諾免費 設備 維護、更換、及安全系統升級等 7*24 小時技術支持服務 ，現場響應時間為 2 小時。 免費咨詢服務 免費為用戶提供技術咨詢等支持服務。包括系統管理的技術指導，協助客戶做好備份計劃，完善工作日志、機房制度，訂立操作守則等。 免費補丁通知及推薦 我公司的服務包括向用戶通知適用于用戶系統上原廠的補丁并提出具體建議。這樣將使用戶系統不斷得到性能和功能上的改善。 免費軟件升級服務 我公司提供免費維保期間的設備系統免費軟件版本升級及軟件功能更新服務。比如對網絡設備及時提供最新的 IOS 系統版本。將用戶使用的產品版本升級到目前 硬件平臺所能支持的最高版本，并提供今后同一硬件平臺下的免費升級 產品 檢測及加固服務 在設備維保期間，我公司可提供每 2 個月一次的系統安全設備檢測及加固。發(fā)現系統上有關安全性、可管理性以及性能等的潛在問題，并及時解決。 我公司硬件設備系統檢測對用戶運行系統完全沒有干擾和影響，并提供一份詳細的可讀性很強的報表及報告呈現于用戶面前，為用戶的維護工作提供理由充分的參考依據。 湖南 工業(yè)職業(yè)技術學院 網絡技術專業(yè)教學資源庫 29 5. 項目實施方案 為了保證項目順利實施， 某 信息產業(yè)有限公司成立了強有力的項目領導小組和項目實施小組。其人員組織、主要職責及其關系如下： （ 1）項目領導小組 由 某 信息產業(yè)有限公司服務總監(jiān)與用戶方組成 職責：主要負責項 目實施的組織領導，質量和進度監(jiān)督，同時組織對項目進行測試驗收。 （ 2）項目實施小組 職責：實施組長負責項目實施的協調指揮。負責與項目實施小組的聯系協調，適時召開項目實施協調會，督導項目的實施進度，解決實施過程中遇到的問題，定期向領導小組報告項目的實施進度。 組別 人員組成 主要職責 項目 領導人 由 某 信息產業(yè)有限公司安全服務總監(jiān)與用戶方擔任 1．負責項目組織協調； 2．負責項目進程監(jiān)控； 3．負責組織項目驗收。 項目 實施小組 由項目技術負責人、工程師及用戶方組成。 1．主要負責項目實施的協調指揮； 2. 負責與項目實施小組的聯系協調及項目實施小組的聯系指揮，適時召開項目實施協調會，督導項目的實施進度； 3. 解決實施過程中遇到的問題，定期向領導小組報告項目的實施進度。 實施時間 為了保證項目網絡安全建設項目順利、有序實施，按時完成。 某 信息產業(yè)有限公司制定了詳盡的項目進度計劃。項目實施以簽訂合同為準，根據 某 信息產業(yè)有限公司工程師對此次項目實施時間的精細分工和整體平均分析，整體項目實施時間預計為 15 天，具體實施時間用戶方可以根據實際情況確定具體時間。實施時間可在為保障效率的前提下靈活變動。 項目進 度計劃安排 根據用戶方對項目進度的要求，希望用戶方在時間和人員安排上做好配合和準備工作，做到既緊密銜接又有合理有序對。 （ 1） 安全檢測 人員配置： 1 名項目經理、 1 名高級安全工程師 時間安排： 3 人天 服務地點：現場 湖南 工業(yè)職業(yè)技術學院 網絡技術專業(yè)教學資源庫 30 服務方式：人工調查、專業(yè)軟件掃描 所需資源：需要貴單位負責人配合設備及系統調查、網絡拓撲結構、分配空閑 IP 地址等 （ 2）安全加固服務 人員配置： 1 名項目經理、 2 名高級安全工程師 時間安排： 5 人天 服務地點：現場 服務方式：人工 所需資源：需要貴單位網絡設備及主機系統負責人配合輸入口令及備份配置 。 （ 3）網絡 安全策略調整、 環(huán)境優(yōu)化增強及安全域規(guī)劃 人員配置： 1 名項目經理、 2 名高級安全工程師 時間安排： 6 人天 服務地點：現場 服務方式：人工 所需資源：需要貴單位負責人配合 ，提供網絡拓撲結構、現有 IP 地址規(guī)劃、安全設備策略配置、現有應用系統描述。 實施 人員 介紹 項目職責 信息安全專業(yè)技能 備注 項目經理 有很強的信息安全項目組織實施經驗 精通信息安全體系構架 精通 BS17799 技術規(guī)范及 ISO 信息安全相關的技術標準 熟悉各大安全廠商的產品線，例如： NetScreen、 Trend、CISCO、 Symantec、 ISS、安氏等。 MCSE、 ORACLE技術認證及信息安全認證 高級安全工程師 精通各種信息安全技術：防火墻、入侵檢測、漏洞掃描、各種黑客攻擊手段和預防措施 精通信息系統安全評估、系統優(yōu)化及加固 精通路由交換技術，熟悉各大廠商的路由器、交換機和負載均衡設備的安裝、調試及排錯 CCNP 認證及信息安全認證 高級安全工程師 精通各種信息安全技術：防火墻、入侵檢測、漏洞掃描、各種黑客攻擊手段和預防措施 熟悉信息系統安全評估、系統優(yōu)化及主機和網絡設備的加固 精通防火墻及入侵檢測技術，熟悉各大廠商的防火墻、入 侵檢測系統的安裝調試及日常維護 信息安全認證 安全工程師 精通各種信息安全技術：防火墻、入侵檢測、漏洞掃描、各種黑客攻擊手段和預防措施 熟悉信息系統安全評估、系統優(yōu)化及主機和網絡設備的加固 熟悉各種操作系統（ Windows/UNIX/lINUX）的安裝調試及優(yōu)化 信息安全認證 湖南 工業(yè)職業(yè)技術學院 網絡技術專業(yè)教學資源庫 31 6. 人員培訓計劃 培訓計劃 我公司將為用戶提供工程師為期 2 天的免費集中培訓。集中培訓我公司將為用戶提供以下培訓課程，培訓時間，地點和用戶商議后確定，培訓人數應用戶要求，地點設在長沙市中心城區(qū)。 培訓的內容主要為： 本項目使用的安全產 品的原理、特點、產品各項功能、詳細設置方法，分析各種設備報告和報表，設備常見故障現象、診斷及解決辦法，軟硬件的安裝、使用及維護，相關的網絡安全基礎知識等。 我將派出具有相應專業(yè)資格和實際工作經驗的教師進行培訓，主要的培訓教員均獲得相應的資格認證并且具有多年的實際教學經驗。 培訓使用的語言和教材均為中文。 培訓課程安排 培訓大綱： 第 1 章 網絡安全技術基礎 安全現狀簡介 安全技術的發(fā)展 攻擊與防護 密碼技術 第 2 章 防火墻原理與實現 防火墻模塊結構 防火墻原理和實現 VPN 原理和實現 第 3 章