【正文】 經(jīng)注冊的設(shè)備會在 NDS 庫中以 ”Computer”類的目標(biāo)實體方式保存一份唯一標(biāo)識其身份的驗證 指紋，這樣，合法的工作站設(shè)備每次在連接 Server 時， NDS 庫中的驗證指紋會對其身份的合法性進行“設(shè)備驗證”。 證券南寧營業(yè)部網(wǎng)絡(luò)系統(tǒng)方案 ３４ 多重防范手段 設(shè)備的注冊和管理 要使用 ”網(wǎng)警入侵檢測系統(tǒng) ”，首先要對網(wǎng)絡(luò)系統(tǒng)的合法設(shè)備 (主要是工作站 )進行注冊。 2)由 ”網(wǎng)警入侵檢測系統(tǒng) ”進行登錄合法性的附加管理，對客戶機設(shè)備的真?zhèn)芜M行識別。 “網(wǎng)警入侵檢測系統(tǒng)”的安全防范 安全防范層次 “網(wǎng)警入侵檢測系統(tǒng) ”是基于原有 NetWare NDS 目錄服務(wù)的安全基礎(chǔ) ， 以外掛式的形式對網(wǎng)絡(luò)的登錄和數(shù)據(jù)訪問進行附加的安全處理。形象地說， 網(wǎng)警系統(tǒng) 象是一名真正的網(wǎng)絡(luò)警察，它對任何網(wǎng)絡(luò)的連接和登錄請求進行附加的登錄安全規(guī)則檢查，并加以記錄，備案待查。 “網(wǎng)警入侵檢測系統(tǒng)”的設(shè)計思想 ”網(wǎng)警 ”入侵檢測系統(tǒng) 是在 “網(wǎng)絡(luò)巡警 ” 的基礎(chǔ)之上開發(fā)和設(shè)計的網(wǎng)絡(luò)安全產(chǎn)品。內(nèi)部人員入侵指營業(yè)部內(nèi)部工作人員發(fā)起的網(wǎng)絡(luò)入侵 ， 其侵入的方式有 ： 利用工作之便 ， 修改應(yīng)用程序和數(shù)據(jù)、利用超級用戶權(quán)限 ， 非法修改系統(tǒng)數(shù)據(jù)和應(yīng)用數(shù)據(jù)、改變系統(tǒng)配置和權(quán)限配置 ， 為外部人員入侵創(chuàng)造 條件等等。 外部人員的入侵過程一般不易一次完成，通常需要多次試探，逐步深入，最后達(dá)到入侵的目的。 從入侵手段上看，可能會 1)竊取管理員的口令 2)利用無口令用戶 3)假冒網(wǎng)卡 MAC 地址 證券南寧營業(yè)部網(wǎng)絡(luò)系統(tǒng)方案 ３３ 4)利用隱藏目標(biāo)或隱藏權(quán)限躲避網(wǎng)絡(luò)管理員的檢查等 外部入侵所能產(chǎn)生的危害程度可輕 可重 ： 有的無關(guān)痛癢 ， 有的干擾網(wǎng)絡(luò)的正常運行 ， 嚴(yán)重的會更改或刪除系統(tǒng) /應(yīng)用關(guān)鍵數(shù)據(jù) ， 甚至使整個系統(tǒng)癱瘓 。 3)直接利用營業(yè)部的無盤站 ， 中斷批處理 ， 奪取對網(wǎng)絡(luò)的自由訪問能力。 外部人員入侵指由非營業(yè)部工作人員發(fā)起的入侵 ， 其入侵方式主要有 ： 1)自帶筆記本計算機自行接入營業(yè)部網(wǎng)絡(luò)或篡改網(wǎng)絡(luò)布線系統(tǒng)接入網(wǎng)絡(luò)。 證券網(wǎng)絡(luò)安全面臨挑戰(zhàn) 計算機網(wǎng)絡(luò)安全涉及許多方面 ， 對網(wǎng)絡(luò)的入侵也是形形色色 ， 手段更是多種多樣 。 NetCop 系統(tǒng)擁有設(shè)備指紋驗證、網(wǎng)絡(luò)登錄規(guī)則審查、關(guān)鍵數(shù)據(jù)保護三層安全防護功能，彌補了諸如網(wǎng)絡(luò)地址假冒、超級用戶特權(quán) 利用、隱藏用戶或隱藏權(quán)限、自帶 PC 機上網(wǎng)等證券網(wǎng)絡(luò)安全應(yīng)用方面的主要不足，為網(wǎng)絡(luò)入侵設(shè)置了多重屏障。 NetCop網(wǎng)警入侵檢測系統(tǒng)是北京中洲基業(yè)軟件技術(shù)有限公司作為 Novell公司 Netware 平臺、 NDS 目錄服務(wù)平臺應(yīng)用產(chǎn)品研發(fā)中心開發(fā)出的國內(nèi)第一套成熟的證券網(wǎng)絡(luò)安全防護系統(tǒng)。 證券南寧營業(yè)部網(wǎng)絡(luò)系統(tǒng)方案 ３２ 網(wǎng)絡(luò)安全 在內(nèi)部網(wǎng)絡(luò)設(shè)計中主 要考慮的是網(wǎng)絡(luò)的可靠性和性能，而如何確保網(wǎng)絡(luò)安全也是一個不容忽視的問題。對日志的分析還可用于預(yù)防入侵，提高網(wǎng)絡(luò)安全。在網(wǎng)絡(luò)系統(tǒng)中，應(yīng)增加管理員、一般使用員等多種操作員類型，以便對用戶的網(wǎng)絡(luò)行為進行限制。所以用戶口令需要采取加密方式存儲和傳輸。 2)用戶口令加密存儲和傳輸 目前，絕大多數(shù)應(yīng)用仍采用口令來確保安全，口令需要通過網(wǎng)絡(luò)傳輸，并且作為數(shù)據(jù)存儲在計算機硬盤中。 IPSec 基于標(biāo)準(zhǔn)的安全性與英特爾 174。英特爾與微軟合作，開發(fā)了一款能夠同時為您帶來安全性和高性能的解決方案：即 Intel Pro/100 S 安全網(wǎng)卡，它可以將加密解密過程卸載至 網(wǎng)卡 板上的英特爾 174。 ■ 對數(shù)據(jù)包進行加密，有助于確保數(shù)據(jù)的機密性。 IPSec 具有以下能力： ■ 對用戶進行身份驗證，幫助防止未經(jīng)授權(quán)的數(shù)據(jù)訪問。 PRO/100 S 網(wǎng)卡 通過提供 IPSec（互聯(lián)網(wǎng)協(xié)議安全）加密能力，可幫助保護局域網(wǎng)上的敏感數(shù)據(jù)。但是，根據(jù) FBI 的調(diào)查，大多數(shù)安全破壞行為發(fā)生在局域網(wǎng)內(nèi)部，未經(jīng)授權(quán)的訪問、欺詐、竊取和其它違反使用規(guī)章的行為。 證券南寧營業(yè)部網(wǎng)絡(luò)系統(tǒng)方案 ３１ 1)在工作站上采用支持 IPSec 加密能力的網(wǎng)卡 網(wǎng)絡(luò)內(nèi)部人員的安全破壞行為超過了網(wǎng)絡(luò)外部入侵者（兩者的比例分別為 55： 30）。同時使用中間件技術(shù)，不允許直接訪問業(yè)務(wù)主機，所有的應(yīng)用連 接都通過代理來完成，這不僅僅增強了業(yè)務(wù)主機的隱蔽性，也提高了業(yè)務(wù)處理效率。 另外，在安全方面有一個最基本的原則：系統(tǒng)的安全性與它被暴露的程度成反比。網(wǎng)段分離可以采用物理方式以及邏輯方式來實現(xiàn)。下面我們將從三個方面來討論保障網(wǎng)絡(luò)安全的若干措施。對內(nèi)，系統(tǒng)則會時刻受到在你身邊而不為你察覺的內(nèi)網(wǎng)用戶的攻擊威脅。對外，我們將面對一群具有高知慧、高能力、高手段而且對網(wǎng)絡(luò)系統(tǒng)和編程語言都有著深刻了解的“黑客”，他們無時無刻不在窺探著你 的網(wǎng)絡(luò)，你卻沒有絲毫的覺察。與此同時，網(wǎng)絡(luò)安全也成為刻不容緩急待解決的問題。 四、安全體系設(shè)計 新世紀(jì)的商務(wù)運作與電腦網(wǎng)絡(luò)息息相關(guān)，成功的商業(yè)機構(gòu)必須有快速可靠的網(wǎng)絡(luò)。 而 WINDOWS NT 操作系統(tǒng)是一種純 32 位的網(wǎng)絡(luò)操作操作系統(tǒng)，它是一種面向分布式圖形應(yīng)用程序的操作平臺，主要是作為 數(shù)據(jù)庫以及交易系統(tǒng)的底層平臺。 目前在證券行業(yè)中的行情服務(wù)器大都是采用 NETWARE 操作系統(tǒng)，它采用的一系列先進技術(shù)以保證操作系統(tǒng)的整體性能具有較高的水平，并且可靠性和安全性都比較不錯。 目前在證券行業(yè)中被廣泛采用的操作系統(tǒng)主要有兩種： NOVELL 公司的NETWARE 操作系統(tǒng)和 Microsoft 公司 WINDOWS NT 操作系統(tǒng)。因此選擇網(wǎng)絡(luò)操作系統(tǒng)成為組網(wǎng)過程中十分重要的一步。當(dāng)讀寫硬盤的時候， DFT5008U2能夠校驗處理壞扇區(qū)，從同一邏輯盤中的其他硬盤獲的壞盤數(shù)據(jù)，并對壞扇區(qū)重置。 DFT5008U2 支持 8 個邏輯硬盤，每個邏輯硬盤支持 8 個分區(qū)。例如自動偵測失效盤 , 熱備用硬盤 , 壞盤數(shù)據(jù)重建 , 在線更換硬盤 , 后臺自動重建等 高擴充性和靈活性 利用擴展模塊， DFT5008U2 可獲得更多的 SCSI 通道。證券南寧營業(yè)部網(wǎng)絡(luò)系統(tǒng)方案 ２８ 為了達(dá)到最高的數(shù)據(jù)吞吐量 , 陣列內(nèi)部所有環(huán)節(jié)均采用 LVD 接口 ,包括并發(fā) I/O，命令隊列特性等都已 在 DFT5008U2 控制器內(nèi)部完成 . 控制器采用高性能的 64位 PowerPC RISC CPU以使 I/O任務(wù)智能化 . 高速緩存可以完成智能的 readahead 和 writeback. 有了高性能的設(shè)計 , DFT5008U2 提供了一個基于 SCSI 計算機的廣泛存儲方案，以應(yīng)用單用戶工作站、高端 PC 服務(wù)器、 UNIX 中央主機等環(huán)境當(dāng)中。 主機系統(tǒng)產(chǎn)品簡介 Compaq Proliant 8000 ? 康柏 ProLiant 8000,具有大量內(nèi)部存儲和容錯性能的超大容量 8 路服務(wù)器 ? 保持業(yè)界領(lǐng)先地位意味著您需要盡可能地實現(xiàn)各種優(yōu)勢，以提高企業(yè)的計算能力并維護您寶貴的 IT 資源 ? 隨著新型應(yīng)用不斷出現(xiàn)、對性能的要求日益苛刻、數(shù)據(jù)和用戶越來越多－－您的 IT 系統(tǒng)始終壓力重重。 中間件服務(wù)器設(shè)計 由于中間件服務(wù)器作為連接外、內(nèi)網(wǎng)的網(wǎng)關(guān)，處于一個非常重要的位置，所證券南寧營業(yè)部網(wǎng)絡(luò)系統(tǒng)方案 ２６ 以我們不推薦采用普通服務(wù)器，應(yīng)該采用專業(yè)服務(wù)器，確保內(nèi)外網(wǎng)通訊穩(wěn)定可靠。 建議主、備份服務(wù)器內(nèi)存大小 基本一致。 ? 主服務(wù)器故障后，備份服務(wù)器自動接管主服務(wù)器的作業(yè)和數(shù)據(jù)。 規(guī)劃說明： ? 雙（或多）主機通過一條 TCP/IP 網(wǎng)絡(luò)線以及一條 RS232 電纜線相連。 LifeKeeper For Windows NT 軟件是 NCR 公司推出的全球第一套基于 NT操作系統(tǒng)，并支持 16 臺服務(wù)器集群的容錯軟件，也是市場上第一套可提供 OSI 七層參考模型的高可用性軟件，自九十年代出推出以來，備受用戶稱譽。 交易服務(wù)器設(shè)計 行情服務(wù)器也建議采用一臺康柏 ProLiant ML570 做主服務(wù)器，用另一臺康柏 ProLiant ML570 做備份服務(wù)器。 雙 Active，服務(wù)器負(fù)載均衡 證券南寧營業(yè)部網(wǎng)絡(luò)系統(tǒng)方案 ２５ 應(yīng)用軟件可與群集軟件協(xié)同工作以平衡群集系統(tǒng)中各服務(wù)器的工作負(fù)載。 ? 獨立的用于電池或 UPS 的電源接口。 RAID 級別保證任意硬盤故障時其上數(shù)據(jù)不會丟失，而且許可使用一塊硬盤作為陣列上 RAID 集的備用盤，當(dāng) RAID 集中的任一硬盤出現(xiàn)故障時，備用硬盤可以自動替換故障硬盤。 ? 兩組熱插拔容錯電源，雙散熱風(fēng)扇 冗余電源保證當(dāng)一個電源及電源通路出現(xiàn)故障時， RAID Array 的 可用性，冗余的風(fēng)扇功能使得當(dāng)一個風(fēng)扇出現(xiàn)故障時 RAID Array 的散熱仍然得到保障。 提升數(shù)據(jù)的安全容錯級別至 % Novell HA Server 群集系統(tǒng)中的磁盤陣列柜配置主要包括：控制器（其上自帶 CPU、緩存）、電源、風(fēng)扇、磁盤存儲子系統(tǒng)，其使用全硬件冗余方式保證數(shù)據(jù)的安全性，從而消除了 Novell HA Server 群集系統(tǒng)的單點故障。 速度上的明顯提升 證券南寧營業(yè)部網(wǎng)絡(luò)系統(tǒng)方案 ２４ Novell HA Server 群集系統(tǒng)中磁盤陣列柜基于 80Mbyte/S 的 Ultra Wide 寬帶 SCSI 技術(shù)或基于 100Mbyte/S 的光纖通道技術(shù)，并且陣列柜內(nèi)部配有 CPU及大冗量緩存做讀寫預(yù)處理（與以太 網(wǎng)絡(luò)相比， 100BaseT 以太網(wǎng)只相當(dāng)于計算方法： 100Mbit/8bit=）。 在今天，“ 數(shù)據(jù)與主機電氣分離 ”觀念已經(jīng)迅速成為當(dāng)前 IT 技術(shù)的新潮流。 ? HAServer 支持多臺服務(wù)器群集，支持分 布式應(yīng)用。 ? 支持使用共享 SCSI 技術(shù)或 FiberChannel 光纖通道技術(shù)的磁盤陣列柜。 ? 支持多條冗余的心跳路徑以有效避免系統(tǒng)誤切換，還可以通過冗余的數(shù)據(jù)通道來提供更高水平的可用性。 ? Novell HA Server 提供兩種切換機制，失效切換和手工切換。為兩臺 NOVELL服務(wù)器提供高性能、不間斷的共享磁盤服務(wù)。當(dāng)一臺服務(wù)器系統(tǒng)發(fā)生故障時，證券南寧營業(yè)部網(wǎng)絡(luò)系統(tǒng)方案 ２３ 另一臺服務(wù)器會立即承擔(dān)發(fā)生故障服務(wù)器的工作，將共享卷、 NDS 權(quán)限、 Netware用戶數(shù)和文件共享等進行遷移，從而保證整個群集系統(tǒng)作業(yè)運行的連續(xù)性。 Novell HAServer 是 Novell 公司的獨立版權(quán)產(chǎn)品，它集合了以往 StandBy、SFTIII 等產(chǎn)品的全部優(yōu)點，專為目前 Client/Server 局域網(wǎng)提供的一種通用的高可用性、高擴充性的解決方案，它使用工業(yè)標(biāo)準(zhǔn)化商品部件，通過一條共享 SCSI總線或光纖通道，將局域網(wǎng)中的兩臺 Novell 服務(wù)器連接，從而支持關(guān)鍵業(yè)務(wù)環(huán)境、支持不斷增長的存儲需求，最大程度地降低服務(wù)器的 down 機時間，具備十分優(yōu)異的容錯性能。 行情服務(wù)器設(shè)計 考慮到有近 1000 個工作站，而且工作站需要做成無盤 WIN98 工作站，服務(wù)器的負(fù)載比較大，因此 Novell 行情服務(wù)器建議采用一臺康柏 ProLiant 8000 做主服務(wù)器，用另一臺康柏 ProLiant 8000 做備份服務(wù)器。對網(wǎng)絡(luò)性能的實現(xiàn)和今后網(wǎng)絡(luò)的升級都十分重要。 五、高質(zhì)量和高效的售后服務(wù) 國際著名服務(wù)器廠商的產(chǎn)品無論在質(zhì)量上、服務(wù)上，還是在技術(shù)支持上都有卓著的聲譽，產(chǎn)品的持續(xù)支持能力也能得到保證。 三、高擴展性 證券南寧營業(yè)部網(wǎng)絡(luò)系統(tǒng)方案 ２２ 在投資范圍內(nèi)，追求最大的可擴展性，為以后擴展升級打下基礎(chǔ)，保護客戶投資。服務(wù)器系統(tǒng)必須具有高安全性，能夠有效的防止黑客的入侵。 服務(wù)器系統(tǒng)設(shè)計原則 服務(wù)器系統(tǒng) 設(shè)計是系統(tǒng)建設(shè)的關(guān)鍵，其直接影響投資規(guī)模和系統(tǒng)成敗，因此要認(rèn)真作好這項工作。 服務(wù)器系統(tǒng)安全性要求 建立企業(yè)內(nèi)部訪問的安全控制機制，提高 服務(wù)器系統(tǒng) 數(shù)據(jù)的安全性和訪問的安全性。 ■ 通過遠(yuǎn)程管理降低支持成本－支持聯(lián)網(wǎng)管理（ WfM） 、 SNMP 和