【正文】 證計算機網(wǎng)絡(luò)系統(tǒng)是保護整個技術(shù)體系架構(gòu)安全的前提和基礎(chǔ)。在技術(shù)體系架構(gòu)中占有舉足輕重的地位。隨著電子化的進程，現(xiàn)代企業(yè)越來越依賴與計算機網(wǎng)絡(luò)系統(tǒng)。隨著網(wǎng)絡(luò)技術(shù)的不斷發(fā)展，對網(wǎng)絡(luò)系統(tǒng)保護的要求也越來越高。尤其是近兩年隨著網(wǎng)絡(luò)的快速普及以及網(wǎng)絡(luò)開放性、共享性和互聯(lián)程度的擴大，特別是Internet的出現(xiàn)，網(wǎng)絡(luò)的重要性和影響也越來越大。而另一方面，網(wǎng)絡(luò)由于其獨特的方便性和開放性，使得網(wǎng)絡(luò)相對十分脆弱，極易受到外部黑客的攻擊或系統(tǒng)內(nèi)部人員不規(guī)范使用或惡意的破壞。為了解決這個問題，我們通過各種網(wǎng)絡(luò)安全防范的技術(shù)手段加之相應(yīng)的管理規(guī)范。盡可能的將網(wǎng)絡(luò)上存在的安全風險和安全隱患降制最低。由于網(wǎng)絡(luò)安全的范圍很廣，安全的管理和技術(shù)手段也很多很復(fù)雜。在此我們根據(jù)對網(wǎng)絡(luò)安全的認識和理解將整個網(wǎng)絡(luò)安全的管理和技術(shù)手段分為三大個部分：通用網(wǎng)絡(luò)安全管理規(guī)范、外部網(wǎng)絡(luò)安全管理規(guī)范以及內(nèi)部網(wǎng)絡(luò)安全管理規(guī)范。我們認為中國人壽應(yīng)該針對這三個方面根據(jù)國際標準制定詳盡的網(wǎng)絡(luò)安全管理規(guī)范。 通用網(wǎng)絡(luò)安全管理規(guī)范通用網(wǎng)絡(luò)安全管理規(guī)范主要規(guī)定了一系列通用的網(wǎng)絡(luò)安全管理手段和管理規(guī)范，這些管理和技術(shù)上的規(guī)范是針對整個網(wǎng)絡(luò)整體而言的，適用于各種類型的網(wǎng)絡(luò)如局域網(wǎng)，廣域網(wǎng)，Internet等。其中主要包括以下主題：l 網(wǎng)絡(luò)線路/設(shè)備的加固管理規(guī)范l 防火墻安全管理規(guī)范l 網(wǎng)絡(luò)入侵檢測標準(IDS)l 網(wǎng)絡(luò)實時監(jiān)控管理標準l 網(wǎng)絡(luò)滲透性測試規(guī)范l 網(wǎng)絡(luò)拒絕服務(wù)防范規(guī)范l VPN技術(shù)實施通用規(guī)范l 通用網(wǎng)絡(luò)服務(wù)的使用授權(quán)管理規(guī)范l 網(wǎng)絡(luò)系統(tǒng)相關(guān)日志和權(quán)限的審計管理 外部網(wǎng)絡(luò)安全管理規(guī)范外部網(wǎng)絡(luò)安全管理規(guī)范主要規(guī)定了企業(yè)內(nèi)部網(wǎng)絡(luò)范圍以外的外部網(wǎng)絡(luò)相關(guān)的網(wǎng)絡(luò)安全技術(shù)和管理規(guī)范。其中我們定義企業(yè)外部網(wǎng)絡(luò)就是需要企業(yè)內(nèi)部網(wǎng)絡(luò)連接所有的公司以外的網(wǎng)絡(luò)，其中包括了互聯(lián)網(wǎng)絡(luò)Internet，遠程用戶通過撥號的方式遠程訪問，第三方合作伙伴和公司內(nèi)部網(wǎng)絡(luò)的遠程連接。因此該部分內(nèi)容主要包括了以下主題：l Internet訪問安全管理規(guī)范l 遠程訪問安全管理規(guī)范 內(nèi)部網(wǎng)絡(luò)安全管理規(guī)范內(nèi)部網(wǎng)絡(luò)安全管理規(guī)范，主要規(guī)定了和企業(yè)內(nèi)部網(wǎng)絡(luò)相關(guān)的網(wǎng)絡(luò)安全技術(shù)和管理規(guī)范。其中我們對于企業(yè)的內(nèi)部網(wǎng)絡(luò)的界定為：凡是在企業(yè)內(nèi)部的網(wǎng)絡(luò)一律稱之為內(nèi)部網(wǎng)絡(luò)，其中包括了各地分公司、總公司的局域網(wǎng)，也包括了各個不同的業(yè)務(wù)單元之間的廣域網(wǎng)連接。因此該部分內(nèi)容主要包括了以下主題：l 內(nèi)部局域網(wǎng)絡(luò)安全管理規(guī)范l 內(nèi)部網(wǎng)絡(luò)虛擬局域網(wǎng)（VLAN）劃分標準l 內(nèi)部廣域網(wǎng)絡(luò)安全管理規(guī)范由于企業(yè)業(yè)務(wù)本身的特性不僅需要容量大、帶寬足的網(wǎng)絡(luò)，對安全的要求也很高。建議中國人壽盡快制定關(guān)于以上三方面的詳細的網(wǎng)絡(luò)管理規(guī)范內(nèi)容，在制定的過程中參照相關(guān)的國際標準和國家標準。 數(shù)據(jù)庫安全目標模式數(shù)據(jù)庫安全管理規(guī)范的內(nèi)容包括：l 加固操作系統(tǒng)和網(wǎng)絡(luò)防止由于系統(tǒng)和網(wǎng)絡(luò)的漏洞導(dǎo)致的數(shù)據(jù)庫安全問題。為防止存儲設(shè)備的物理損壞導(dǎo)致的影響，對于大型的應(yīng)用應(yīng)該采用磁盤陣列容錯和冗余等措施。l 數(shù)據(jù)庫設(shè)置的安全管理數(shù)據(jù)庫設(shè)置的安全管理包括：初始的安全配置：比如禁用某些數(shù)據(jù)庫系統(tǒng)的默認帳號；配置數(shù)據(jù)庫，使得存儲過程以最小需要的級別來運行；禁止系統(tǒng)管理員對數(shù)據(jù)庫系統(tǒng)自身控制文件的訪問等。數(shù)據(jù)庫補丁的更新管理：定期檢查數(shù)據(jù)庫供應(yīng)商的網(wǎng)站，更新最新的補丁。數(shù)據(jù)庫角色分離管理機制：如可以把系統(tǒng)管理員分為數(shù)據(jù)庫管理員DBA，數(shù)據(jù)庫安全管理員SSO，數(shù)據(jù)庫審計員Auditor三類，各司其職。l 數(shù)據(jù)庫用戶認證管理參見認證與授權(quán)部分。l 數(shù)據(jù)庫用戶授權(quán)管理參見認證與授權(quán)部分。l 數(shù)據(jù)庫日志和安全審計數(shù)據(jù)庫日志和安全審計需要注意三層的應(yīng)用服務(wù)器架構(gòu)增加了審計的復(fù)雜度。通常應(yīng)用服務(wù)器代表用戶進行數(shù)據(jù)庫操作。應(yīng)用服務(wù)器訪問數(shù)據(jù)庫時應(yīng)該利用用戶各自的真實帳戶，而不應(yīng)該使用代碼內(nèi)嵌的帳戶，使得能夠記錄特定用戶的訪問日志。此外，審計會影響數(shù)據(jù)庫系統(tǒng)的性能，不要試圖用最詳細的級別來審計所有的數(shù)據(jù)庫行為，否則只會使數(shù)據(jù)庫用戶的日常使用受到重大影響。l 數(shù)據(jù)庫加密管理數(shù)據(jù)庫加密管理也有兩種機制：一是使用數(shù)據(jù)庫本身的加密機制；二是利用數(shù)據(jù)庫外部的應(yīng)用進行加密。在存在多個需要加密的大型應(yīng)用及多個需要加密的數(shù)據(jù)庫環(huán)境的情況下，可以利用一個企業(yè)級的加密服務(wù)器來提供集中式的加解密服務(wù)。這樣可以提供比較完善的密鑰管理和訪問控制的機制。 認證與授權(quán)系統(tǒng)統(tǒng)一的認證與授權(quán)系統(tǒng)是整個中國人壽信息安全的主要組成部分，故在此單獨討論。要實現(xiàn)這個統(tǒng)一的安全認證系統(tǒng)，首先要確定整個中國人壽的用戶管理和安全認證體系。認證與授權(quán)在中國人壽IT架構(gòu)中所處的位置目前中國人壽的應(yīng)用系統(tǒng)涉及到對內(nèi)部員工與對外部客戶業(yè)務(wù)支持的功能，在這些應(yīng)用中存在著大量的對用戶進行身份認證和授權(quán)工作，同時還要通過加密等手段對信息實行安全保護。認證與授權(quán)作為一種安全服務(wù)，是系統(tǒng)服務(wù)的一種，如圖76所示：圖 76認證與授權(quán)服務(wù)與其他服務(wù)的關(guān)系如同許多其它系統(tǒng)服務(wù)，認證與授權(quán)的發(fā)展趨勢是從應(yīng)用中分離出來，獨立成認證與授權(quán)服務(wù)器產(chǎn)品，并在此基礎(chǔ)上實現(xiàn)對不同應(yīng)用的集成。一個完整的安全認證業(yè)務(wù)過程如圖77所示：圖 77安全認證業(yè)務(wù)流程在認證與授權(quán)、訪問控制、內(nèi)容安全、審計跟蹤等過程中，只有正確識別確認用戶身份并賦予正確的權(quán)限，才能支持用戶規(guī)則策略服務(wù)、工作流和業(yè)務(wù)應(yīng)用等系統(tǒng)準確、有效的工作。 認證與授權(quán)管理設(shè)計原則中國人壽目前在認證與授權(quán)管理工作中存在的問題集中起來有以下幾點：l 用戶身份信息（包括內(nèi)部員工、外部客戶）的不完整或者缺失；l 用戶身份信息的注冊、存放、管理分別隸屬于不同系統(tǒng)私有；l 在不同的系統(tǒng)中，認證與授權(quán)存在著不同的規(guī)范和技術(shù)。這些問題嚴重影響到中國人壽信息系統(tǒng)的安全性、可管理性，制約了中國人壽服務(wù)和技術(shù)應(yīng)用水平的提高。中國人壽必須要建立統(tǒng)一的認證和授權(quán)管理系統(tǒng)，這是一項系統(tǒng)工程，為確保其實施成功，應(yīng)遵循以下設(shè)計原則：l 總體設(shè)計，分步實施良好的規(guī)劃是成功的一半。保險業(yè)務(wù)變革快速、人員分散、應(yīng)用復(fù)雜，對認證和授權(quán)管理的總體規(guī)劃和集成設(shè)計至關(guān)重要。同時，認證和授權(quán)管理的建設(shè)工程龐大，需遵循分布實施的原則，按階段逐步實施，優(yōu)先進行可快速見效（QuickWin）的有關(guān)工作，并在一定范圍內(nèi)進行試點再加以推廣。l 集中和分布相結(jié)合的體系結(jié)構(gòu)集中進行規(guī)劃、設(shè)計和配置、數(shù)據(jù)維護，對于保證系統(tǒng)的一致性很重要。另一方面，分布部署并分布管理，由最接近最終用戶群的管理員進行內(nèi)部、外部用戶信息的管理，并統(tǒng)一進行數(shù)據(jù)同步存儲，這將提高系統(tǒng)管理的效率、保證數(shù)據(jù)的準確性和可信度。l 盡可能利用已有的技術(shù)基礎(chǔ)設(shè)施和設(shè)計保證中國人壽已有的技術(shù)基礎(chǔ)設(shè)施的投資是中國人壽認證和授權(quán)管理的重要設(shè)計原則。方案設(shè)計應(yīng)充分考慮中國人壽的網(wǎng)絡(luò)現(xiàn)狀，考慮操作環(huán)境、Web服務(wù)器、數(shù)據(jù)庫服務(wù)器的兼容性和支持度，實現(xiàn)現(xiàn)有認證和授權(quán)服務(wù)的平滑遷移。l 全面考慮內(nèi)部和外部用戶的使用需求方案應(yīng)全面考慮內(nèi)部員工、合作伙伴、供應(yīng)商和客戶的使用需求。提供與公司外部的交叉認證，以實現(xiàn)信息集成，并實現(xiàn)高效的溝通。l 易于實施，高效、可靠進行認證和授權(quán)管理建設(shè)，可選技術(shù)和可選產(chǎn)品眾多。對中國人壽而言，根據(jù)公司現(xiàn)狀選擇最適宜的技術(shù)和產(chǎn)品，進行成功的實施最為重要。系統(tǒng)的高效和可靠性是衡量系統(tǒng)成功的重要指標?？煽紤]借助外部服務(wù)商進行系統(tǒng)實施。l 便于管理，易于擴展好的系統(tǒng)需要好的管理。方案設(shè)計應(yīng)易于管理，易于使用，易于推行。此外，需要提供對用戶認證和授權(quán)全過程的全面的審計和跟蹤。l 模塊化設(shè)計方案應(yīng)遵循開放的行業(yè)標準、平臺獨立，以支持模塊化設(shè)計、分步式實施。 總體架構(gòu)基于中國人壽的實際需求和基本設(shè)計原則，結(jié)合認證與授權(quán)技術(shù)發(fā)展的趨勢，可以給出以下認證與授權(quán)管理總體架構(gòu)：圖 78中國人壽認證授權(quán)服務(wù)邏輯架構(gòu)說明：目錄服務(wù)系統(tǒng)是架構(gòu)的基礎(chǔ)模塊。缺乏目錄服務(wù)，將無法有效支持身份管理、認證管理和訪問管理。身份管理系統(tǒng)是實現(xiàn)不同應(yīng)用的身份存儲統(tǒng)一管理的基礎(chǔ)。除非不實施身份信息的統(tǒng)一管理，否則身份管理系統(tǒng)不可或缺。認證管理系統(tǒng)并非必須，各系統(tǒng)往往自帶認證模塊。如果需實施PKI，需要提供證書管理服務(wù)。由于系統(tǒng)資源的多樣性，訪問管理系統(tǒng)有多種，目前最為成熟的是對Web資源的訪問管理（稱為Web SSO）。審計服務(wù)可以附加在各類系統(tǒng)（門戶服務(wù)器、認證管理系統(tǒng)、訪問管理系統(tǒng)等）中，也可以是獨立的產(chǎn)品。采用以上架構(gòu)，可以提供身份信息的統(tǒng)一存儲和統(tǒng)一管理，并實現(xiàn)身份認證及資源訪問的集成管理，同時最大程度地保護中國人壽現(xiàn)有的技術(shù)基礎(chǔ)設(shè)施的投資。 數(shù)據(jù)中心安全系統(tǒng)布局一級數(shù)據(jù)中心：圖 79 一級數(shù)據(jù)中心安全系統(tǒng)布局l 一級數(shù)據(jù)中心與因特網(wǎng)之間采用兩級防火墻l 一級數(shù)據(jù)中心與合作伙伴之間采用兩級防火墻l 與省公司之間設(shè)立防火墻l 與合作伙伴之間設(shè)立防火墻l 每級防火墻均采用雙機負載均衡的方式配置l OA系統(tǒng)、管理網(wǎng)絡(luò)與生產(chǎn)網(wǎng)絡(luò)用防火墻隔開l 預(yù)留呼叫中心網(wǎng)段，以備以后使用l 配置防病毒系統(tǒng)l 配置日志管理系統(tǒng)以檢查各倍監(jiān)測系統(tǒng)的日志變化l 安裝入侵檢測系統(tǒng)l 在關(guān)鍵應(yīng)用系統(tǒng)服務(wù)器上進行操作系統(tǒng)加固l 使用LDAP進行認證與授權(quán)控制二級數(shù)據(jù)中心：圖 710二級數(shù)據(jù)中心安全系統(tǒng)布局l 二級數(shù)據(jù)中心與因特網(wǎng)之間采用兩級防火墻l 二級數(shù)據(jù)中心與合作伙伴之間采用兩級防火墻l 每級防火墻均采用雙機負載均衡的方式配置l OA系統(tǒng)、呼叫中心、管理網(wǎng)絡(luò)與生產(chǎn)網(wǎng)絡(luò)用防火墻隔開l 配置防病毒系統(tǒng)l 配置日志管理系統(tǒng)以檢查各倍監(jiān)測系統(tǒng)的日志變化l 安裝入侵檢測系統(tǒng)l 在關(guān)鍵應(yīng)用系統(tǒng)服務(wù)器上進行操作系統(tǒng)加固l 使用LDAP進行認證與授權(quán)控制l 與總公司之間設(shè)立防火墻l 與合作伙伴之間設(shè)立防火墻 機房數(shù)據(jù)中心機房建設(shè)是保證計算機網(wǎng)絡(luò)設(shè)備和各級勞動保障系統(tǒng)正常運轉(zhuǎn)的關(guān)鍵?，F(xiàn)在的計算機設(shè)備對運行環(huán)境要求較高。因此，必須按照一定的標準規(guī)范，科學(xué)地設(shè)計機房。 一、機房建設(shè)需要執(zhí)行的標準 主機房建設(shè)工程必須遵循國家機房設(shè)計標準規(guī)范的要求。 二、場地要求 計算機機房在多層建筑或高層建筑物內(nèi)一般應(yīng)設(shè)于第二、三層，水源充足，電力穩(wěn)定可靠，應(yīng)遠離產(chǎn)生粉塵、油煙、有害氣體以及貯存具有腐蝕性、易燃、易爆物品的倉庫等；遠離強震源和強噪聲源；避開強電磁場干擾（如廣播發(fā)射臺、雷達站、高壓線等），此外還要具備下列條件： 對環(huán)境的溫度、濕度要求； 對空氣的潔凈度、新鮮度和流動速度要求； 對電源、電壓、頻率和穩(wěn)定性、后備時間要求； 對照明的照度、眩光、均勻度、穩(wěn)定性、顯色性、光效要求及產(chǎn)生有害電磁波的限制及應(yīng)急照明要求； 對各房間樓板荷載要求； 主機房： KN/ m2；配線間及網(wǎng)絡(luò)設(shè)備間： KN/ m2；電源室：要根據(jù)蓄電池擺放形式確定，；一般工作間：。 對消防、電磁干擾、安全保密還必須滿足機房工作人員的衛(wèi)生環(huán)境要求和對外的形象要求。 三、機房組成及劃分 功能劃分 數(shù)據(jù)中心機房組成應(yīng)按計算機運行特點及設(shè)備具體要求確定，機房面積可根據(jù)計算機設(shè)備數(shù)量或占地面積進行估算。 一般機房設(shè)計，除考慮主機房用房外，還要考慮到配置各種輔助用房，具體包括以下幾類：（1）輔助工作間類：如網(wǎng)管監(jiān)控、終端數(shù)據(jù)錄入、備份介質(zhì)存儲等。（2）硬件維護、軟件調(diào)試、培訓(xùn)教室、辦公室等工作用房。（3）配套動力用房：包括配電間、發(fā)電機房等。（4）輔助用房：廁所、樓梯、電梯等用房。 結(jié)構(gòu)與裝修 數(shù)據(jù)中心機房在結(jié)構(gòu)上應(yīng)設(shè)獨立的出入口，當與其它部門共用出入口時，應(yīng)避免人流、物流交叉；宜設(shè)門廳、休息室和值班室。人員出入主機和基本工作間應(yīng)更衣?lián)Q鞋。機房與其他建筑物合建時，應(yīng)單獨設(shè)防火分區(qū)。計算機房安全出口不應(yīng)少于兩個，并盡可能設(shè)于機房兩端。機房裝修包括地板、吊頂、墻壁裝修以及隔斷、防火金屬門建設(shè)；機房裝修要體現(xiàn)機房區(qū)域的特點，從內(nèi)部看，要重點體現(xiàn)高科技的工作環(huán)境、嚴謹?shù)目茖W(xué)氣氛、簡潔大方的裝修線條、莊重典雅的裝修色彩、以及以人為本的環(huán)保裝修理念。機房裝修要嚴格按照國家相應(yīng)的標準規(guī)范執(zhí)行。 供配電系統(tǒng) 根據(jù)運行負荷的重要性程度確定供電電源等級。機房電氣系統(tǒng)包括機房區(qū)的動力、照明、監(jiān)控、通訊、維護等用電系統(tǒng)，按負荷性質(zhì)分為計算機設(shè)備負荷和輔助設(shè)備負荷，計算機設(shè)備和動力設(shè)備應(yīng)分開供電。供配電系統(tǒng)的組成包括配電柜、動力線纜、線槽及插座、接地防雷、照明箱及燈具、應(yīng)急燈、照明線管。應(yīng)獨立設(shè)置計算機設(shè)備專用配電柜和輔助設(shè)備配電柜。 雷擊一般分為直擊雷和感應(yīng)雷，在機房防雷系統(tǒng)設(shè)計中主要避免感應(yīng)雷，在配電柜進線側(cè)面的三條火線、一條零線分別并聯(lián)一個過電壓保護裝置。 機房空調(diào)系統(tǒng) 根據(jù)數(shù)據(jù)中心機房環(huán)境及設(shè)計規(guī)范要求，主機房和基本工作間，均應(yīng)設(shè)置空氣調(diào)節(jié)系統(tǒng)。其組成包括精密空調(diào)、通風管路、新風系統(tǒng)。流送回風所采用下送上回、上送下回、上送側(cè)回等方式。新風宜采用經(jīng)溫濕度、潔凈度預(yù)處理后的新風，與回風混合后送入機房。 機房消防系統(tǒng) 機房消防系統(tǒng)由煙感、溫感等消防報警系統(tǒng)及自動滅火系統(tǒng)組成。根據(jù)《電子計算機機房設(shè)計規(guī)范》（GB5017493），計算機主機房應(yīng)設(shè)置氣體消防滅火系統(tǒng)。一般工作間、輔助間可采用水消防措施。同時，機房應(yīng)設(shè)置火災(zāi)自動報警裝置和應(yīng)急廣播。 機房環(huán)境監(jiān)控系統(tǒng) 機房環(huán)境監(jiān)控系統(tǒng)是對機房中的空調(diào)設(shè)備、UPS設(shè)備、配電柜、空調(diào)水管有無漏水、機房環(huán)境的溫濕度等環(huán)境參數(shù)進行集中監(jiān)測管理的系統(tǒng)，是機房管理人員實現(xiàn)機房科學(xué)管理的重要手段。其組成包括空調(diào)系統(tǒng)監(jiān)控、UPS系統(tǒng)監(jiān)控、配電系統(tǒng)監(jiān)控、漏水監(jiān)測系統(tǒng)、溫濕度監(jiān)測系統(tǒng)。一套好的機房環(huán)境監(jiān)控系統(tǒng)是機房硬件環(huán)境系統(tǒng)建設(shè)的有利補充，對保障計算機設(shè)備正常運行十分必要。 機房安全防范系統(tǒng) 機房安全防范系統(tǒng)是保障機房安全的重要措施。它對機房內(nèi)的重點區(qū)域進行實時圖像監(jiān)視和錄像，對出入口實施門禁控制管理和考勤管理，對有可能發(fā)生入侵的場所實施報警管理。它由圖像監(jiān)控系統(tǒng)，門禁系統(tǒng)，防盜報警系統(tǒng)等子系統(tǒng)構(gòu)成。各子系統(tǒng)之間實行一定的聯(lián)動管理控制，以實現(xiàn)更優(yōu)化的安全防范控制。 機房綜合布線系統(tǒng) 機房綜合布線系統(tǒng)是