【正文】 經(jīng)注冊(cè)的設(shè)備會(huì)在 NDS庫(kù)中以 ”Computer”類(lèi)的目標(biāo)實(shí)體方式保存一份唯一標(biāo)識(shí)其身份的驗(yàn)證指紋，這樣，合法的工作站設(shè)備每次在連接 Server 時(shí)， NDS 庫(kù)中的驗(yàn)證指紋會(huì)對(duì)其身份的合法性進(jìn)行“設(shè)備驗(yàn)證”。 證券南寧營(yíng)業(yè)部網(wǎng)絡(luò)系統(tǒng)方案 ３４ 多重防范手段 設(shè)備的注冊(cè)和管理 要使用 ”網(wǎng)警入侵檢測(cè)系統(tǒng) ”，首先要對(duì)網(wǎng)絡(luò)系統(tǒng)的合法設(shè)備 (主要是工作站 )進(jìn)行注冊(cè)。 2)由 ”網(wǎng)警入侵檢測(cè)系統(tǒng) ”進(jìn)行登錄合 法性的附加管理，對(duì)客戶(hù)機(jī)設(shè)備的真?zhèn)芜M(jìn)行識(shí)別。 “網(wǎng)警入侵檢測(cè)系統(tǒng)”的安全防范 安全防范層次 “網(wǎng)警入侵檢測(cè)系統(tǒng) ”是基于原有 NetWare NDS 目錄服務(wù)的安全基礎(chǔ) ， 以外掛式的形式對(duì)網(wǎng)絡(luò)的登錄和數(shù)據(jù)訪(fǎng)問(wèn)進(jìn)行附加的安全處理。形象地說(shuō)， 網(wǎng)警系統(tǒng) 象是一名真正的網(wǎng)絡(luò)警察，它對(duì)任何網(wǎng)絡(luò)的連接和登錄請(qǐng)求進(jìn)行附加的登錄安全規(guī)則檢 查，并加以記錄，備案待查。 “網(wǎng)警入侵檢測(cè)系統(tǒng)”的設(shè)計(jì)思想 ”網(wǎng)警 ”入侵檢測(cè) 系統(tǒng) 是在 “網(wǎng)絡(luò)巡警 ” 的基礎(chǔ)之上開(kāi)發(fā)和設(shè)計(jì)的網(wǎng)絡(luò)安全產(chǎn)品。內(nèi)部人員入侵指營(yíng)業(yè)部?jī)?nèi)部工作人員發(fā)起的網(wǎng)絡(luò)入侵 ， 其侵入的方式有 ： 利用工作之便 ， 修改應(yīng)用程序和數(shù)據(jù)、利用超級(jí)用戶(hù)權(quán)限 ， 非法修改系統(tǒng)數(shù)據(jù)和應(yīng)用數(shù)據(jù)、改變系統(tǒng)配置和權(quán)限配置 ， 為外部人員入侵創(chuàng)造條件等等。 外部人員的入侵過(guò)程一般不易一次完成，通常需要多次試探，逐步深入，最后達(dá)到入侵的目的。 從入侵手段上看，可能會(huì) 1)竊取管理員的口令 2)利用無(wú)口令用戶(hù) 3)假冒網(wǎng)卡 MAC 地址 證券南寧營(yíng)業(yè)部網(wǎng)絡(luò)系統(tǒng)方案 ３３ 4)利用隱藏目標(biāo)或隱藏權(quán)限躲避網(wǎng)絡(luò)管理員的檢查等 外部入侵所能產(chǎn)生的危害程度可輕可重 ： 有的無(wú)關(guān)痛癢 ， 有的干擾網(wǎng)絡(luò)的正常運(yùn)行 ， 嚴(yán)重的會(huì)更改或刪除系統(tǒng) /應(yīng)用關(guān)鍵數(shù)據(jù) ， 甚至使整個(gè)系統(tǒng)癱瘓 。 3)直接利用營(yíng)業(yè)部的無(wú)盤(pán)站 ， 中斷批處理 ， 奪取對(duì)網(wǎng)絡(luò)的自由訪(fǎng)問(wèn)能力。 外部人員入侵指由非營(yíng)業(yè)部工作人員發(fā)起的入侵 ， 其入侵方式主要有 ： 1)自帶筆記本計(jì)算機(jī)自行接入營(yíng)業(yè)部網(wǎng)絡(luò)或篡改網(wǎng)絡(luò) 布線(xiàn)系統(tǒng)接入網(wǎng)絡(luò)。 證券網(wǎng)絡(luò)安全面臨挑戰(zhàn) 計(jì)算機(jī)網(wǎng)絡(luò)安全涉及許多方面 ， 對(duì)網(wǎng)絡(luò)的入侵也是形形色色 ， 手段更是多種多樣 。 NetCop 系統(tǒng)擁有設(shè)備指紋驗(yàn)證、網(wǎng)絡(luò)登錄規(guī)則審查、關(guān)鍵數(shù)據(jù)保護(hù)三層安全防護(hù)功能，彌補(bǔ)了諸如網(wǎng)絡(luò)地址假冒、超級(jí)用戶(hù)特權(quán)利用、隱藏用戶(hù)或隱藏權(quán)限、自帶 PC 機(jī)上網(wǎng)等證券網(wǎng)絡(luò)安全應(yīng)用方面的主要不足，為網(wǎng)絡(luò)入侵設(shè)置了多重屏障。 NetCop網(wǎng)警入侵檢測(cè)系統(tǒng)是北京中洲基業(yè)軟件技術(shù)有限公司作為 Novell公司 Netware 平臺(tái)、 NDS 目錄服務(wù)平臺(tái)應(yīng)用產(chǎn)品研發(fā)中心開(kāi)發(fā)出的國(guó)內(nèi)第一套成熟的證券網(wǎng)絡(luò)安全防護(hù)系統(tǒng)。 證券南寧營(yíng)業(yè)部網(wǎng)絡(luò)系統(tǒng)方案 ３２ 網(wǎng)絡(luò)安全 在內(nèi)部網(wǎng)絡(luò)設(shè)計(jì)中主要考慮的是網(wǎng)絡(luò)的可靠性和性能，而如何確保網(wǎng)絡(luò)安全也是一個(gè)不容忽視的問(wèn)題。對(duì)日志的分析還可用于預(yù)防入侵，提高網(wǎng)絡(luò)安全。在網(wǎng)絡(luò)系統(tǒng)中，應(yīng)增加管理員、 一般使用員等多種操作員類(lèi)型，以便對(duì)用戶(hù)的網(wǎng)絡(luò)行為進(jìn)行限制。所以用戶(hù)口令需要采取加密方式存儲(chǔ)和傳輸。 2)用戶(hù)口令加密存儲(chǔ)和傳輸 目前，絕大多數(shù)應(yīng)用仍采用口令來(lái)確保安全，口令需要通過(guò)網(wǎng)絡(luò)傳輸，并且作為數(shù)據(jù)存儲(chǔ)在計(jì)算機(jī)硬盤(pán)中。 IPSec 基于標(biāo)準(zhǔn)的安全性與英特爾 174。英特爾與微軟合作，開(kāi)發(fā)了一款能夠同時(shí)為您帶來(lái)安全性和高性能的解決方案：即 Intel Pro/100 S 安全網(wǎng)卡，它可以將加密解密過(guò)程卸載至 網(wǎng)卡 板上的英特爾 174。 ■ 對(duì)數(shù)據(jù)包進(jìn)行加密，有助于確保數(shù)據(jù)的機(jī)密性。 IPSec具有以下能力： ■ 對(duì)用戶(hù)進(jìn)行身份驗(yàn)證，幫助防止未經(jīng)授權(quán)的數(shù)據(jù)訪(fǎng)問(wèn)。 PRO/100 S 網(wǎng)卡通過(guò)提供 IPSec（互聯(lián)網(wǎng)協(xié)議安全）加密能力，可幫助保護(hù)局域網(wǎng)上的敏感數(shù)據(jù)。但是，根據(jù) FBI 的調(diào)查，大多數(shù)安全破壞行為發(fā)生在局域網(wǎng)內(nèi)部，未經(jīng)授權(quán)的訪(fǎng)問(wèn)、欺詐、竊取和其它違反使用規(guī)章的行為。 證券南寧營(yíng)業(yè)部網(wǎng)絡(luò)系統(tǒng)方案 ３１ 1)在工作站上采用支持 IPSec 加密能力的網(wǎng)卡 網(wǎng)絡(luò)內(nèi)部人員的安全破壞行為超過(guò)了網(wǎng)絡(luò)外部入侵者（兩者的比例分別為 55： 30）。同時(shí)使用中間件技術(shù)，不允許直接訪(fǎng)問(wèn)業(yè)務(wù)主機(jī)，所有的應(yīng)用連接都通過(guò)代理來(lái)完成，這不僅僅增強(qiáng)了業(yè)務(wù)主機(jī)的隱蔽性，也提高了業(yè)務(wù)處理效率。 另外，在安全方面有一個(gè)最基本的原則：系統(tǒng)的安全性與它被暴露的程度成反比。網(wǎng)段分離可以采用物理方式以及邏輯方式來(lái)實(shí)現(xiàn)。下面我們將從三個(gè)方面來(lái)討論保障網(wǎng)絡(luò)安全的若干措施。對(duì)內(nèi)，系統(tǒng)則會(huì)時(shí)刻受到在你身邊而不為你察覺(jué)的內(nèi)網(wǎng)用戶(hù)的攻擊威脅。對(duì)外，我們將面對(duì)一群具有高知慧、高能力、高手段而且對(duì)網(wǎng)絡(luò)系統(tǒng)和編程語(yǔ)言都有著深刻了解的“黑客”，他們無(wú)時(shí)無(wú)刻不在窺探著你的網(wǎng)絡(luò)，你卻沒(méi)有絲毫的覺(jué)察。與此同時(shí)，網(wǎng)絡(luò)安全也成為刻不容緩急待解決的問(wèn)題。 四 、安全體系設(shè)計(jì) 新世紀(jì)的商務(wù)運(yùn)作與電腦網(wǎng)絡(luò)息息相關(guān)，成功的商業(yè)機(jī)構(gòu)必須有快速可靠的網(wǎng)絡(luò)。 而 WINDOWS NT 操作系統(tǒng)是一種純 32 位的網(wǎng)絡(luò)操作操作系統(tǒng)，它是一種面向分布式圖形應(yīng)用程序的操作平臺(tái)，主要是作為數(shù)據(jù)庫(kù)以及交易系統(tǒng)的底層平臺(tái)。 目前在證券行業(yè)中的行情服務(wù)器大都是采用 NETWARE 操作系統(tǒng)，它采用的一系列先進(jìn)技術(shù)以保證操作系統(tǒng)的整體性能具有較高的水平，并且可靠性和安全性都比較不錯(cuò)。 目前在證券行業(yè)中被廣泛采用的操作系統(tǒng)主要有兩種： NOVELL 公司的NETWARE 操作系統(tǒng)和 Microsoft 公司 WINDOWS NT 操作系統(tǒng)。因此選擇網(wǎng)絡(luò)操作系統(tǒng)成為組網(wǎng)過(guò)程中十分重要的一步。當(dāng)讀寫(xiě)硬盤(pán)的時(shí)候， DFT5008U2能夠校驗(yàn)處理壞扇區(qū)，從同一邏輯盤(pán)中的其他硬盤(pán)獲的壞盤(pán)數(shù)據(jù)，并對(duì)壞扇區(qū)重置。 DFT5008U2 支持 8 個(gè)邏輯硬盤(pán)，每個(gè)邏輯硬盤(pán)支持 8 個(gè)分區(qū)。例如自動(dòng)偵測(cè)失效盤(pán) , 熱備用硬盤(pán) , 壞盤(pán)數(shù)據(jù)重建 , 在線(xiàn)更換硬盤(pán) , 后臺(tái)自動(dòng)重建等 高擴(kuò)充性和靈活性 利用擴(kuò)展模塊， DFT5008U2 可獲得更多的 SCSI通道。證券南寧營(yíng)業(yè)部網(wǎng)絡(luò)系統(tǒng)方案 ２８ 為了達(dá)到最高的數(shù)據(jù)吞吐量 , 陣列內(nèi)部所有環(huán)節(jié)均采用 LVD 接口 ,包括并發(fā) I/O，命令隊(duì)列特性等都已在 DFT5008U2 控制器內(nèi)部完成 . 控制器采用高性能的 64位 PowerPC RISC CPU以使 I/O任務(wù)智能化 . 高速緩存可以 完成智能的 readahead 和 writeback. 有了高性能的設(shè)計(jì) , DFT5008U2 提供了一個(gè)基于 SCSI 計(jì)算機(jī)的廣泛存儲(chǔ)方案，以應(yīng)用單用戶(hù)工作站、高端 PC 服務(wù)器、 UNIX 中央主機(jī)等環(huán)境當(dāng)中。 主機(jī)系統(tǒng)產(chǎn)品簡(jiǎn)介 Compaq Proliant 8000 ? 康柏 ProLiant 8000,具有 大量?jī)?nèi)部存儲(chǔ)和容錯(cuò)性能的超大容量 8 路服務(wù)器 ? 保持業(yè)界領(lǐng)先地位意味著您需要盡可能地實(shí)現(xiàn)各種優(yōu)勢(shì)，以提高企業(yè)的計(jì)算能力并維護(hù)您寶貴的 IT 資源 ? 隨著新型應(yīng)用不斷出現(xiàn)、對(duì)性能的要求日益苛刻、數(shù)據(jù)和用戶(hù)越來(lái)越多－－您的 IT 系統(tǒng)始終壓力重重。 中間件服務(wù)器設(shè)計(jì) 由于中間件服務(wù)器作為連接外、內(nèi)網(wǎng)的網(wǎng)關(guān)，處于一個(gè)非常重要的位置，所證券南寧營(yíng)業(yè)部網(wǎng)絡(luò)系統(tǒng)方案 ２６ 以我們不推薦采用普通服務(wù)器，應(yīng)該采用專(zhuān)業(yè)服務(wù)器，確保內(nèi)外網(wǎng)通訊穩(wěn)定可靠。 建議主、備份服務(wù)器內(nèi)存大小基本一致。 ? 主服務(wù)器故障后，備份服務(wù)器自動(dòng)接管主服務(wù)器的作業(yè)和數(shù)據(jù)。 規(guī)劃說(shuō)明： ? 雙（或多）主機(jī)通過(guò)一條 TCP/IP 網(wǎng)絡(luò)線(xiàn)以及一條 RS232 電纜線(xiàn)相連。 LifeKeeper For Windows NT 軟件是 NCR 公司推出的全球第一套基于 NT操作系統(tǒng)，并支持 16 臺(tái)服務(wù)器集群的容錯(cuò)軟件，也是市場(chǎng)上第一套可提供 OSI 七層參考模型的高可用性軟件，自九十年代出推出以來(lái)，備受用戶(hù)稱(chēng)譽(yù)。 交易服務(wù)器設(shè)計(jì) 行情服務(wù)器也建議采用一臺(tái)康柏 ProLiant ML570 做主服務(wù)器，用另一臺(tái)康柏 ProLiant ML570 做備份服務(wù)器。 雙 Active，服務(wù)器負(fù)載均衡 證券南寧營(yíng)業(yè)部網(wǎng)絡(luò)系統(tǒng)方案 ２５ 應(yīng)用軟件可與群集軟件協(xié)同工作以 平衡群集系統(tǒng)中各服務(wù)器的工作負(fù)載。 ? 獨(dú)立的用于電池或 UPS 的電源接口。 RAID 級(jí)別保證任意硬盤(pán)故障時(shí)其上數(shù)據(jù)不會(huì)丟失，而且許可使用一塊硬盤(pán)作為陣列上 RAID 集的備用盤(pán)，當(dāng) RAID 集中的任一硬盤(pán)出現(xiàn)故障時(shí)，備用硬盤(pán)可以自動(dòng)替換故障硬盤(pán)。 ? 兩組熱插拔容錯(cuò)電源，雙散熱風(fēng)扇 冗余電源保證當(dāng)一個(gè)電源及電源通路出現(xiàn)故障時(shí)， RAID Array 的可用性，冗余的風(fēng)扇功能使得當(dāng)一個(gè)風(fēng)扇出現(xiàn)故障時(shí) RAID Array 的散熱仍然得到保障。 提升數(shù)據(jù)的安全容錯(cuò)級(jí)別至 % Novell HA Server 群集系統(tǒng)中的磁盤(pán)陣列柜配置主要包括：控制器（其上自帶 CPU、緩存）、電源、風(fēng)扇、磁盤(pán)存儲(chǔ)子系統(tǒng)，其使用全硬件冗余方式保證數(shù)據(jù)的安全性，從而消除了 Novell HA Server 群集系統(tǒng) 的單點(diǎn)故障。 速度上的明顯提升 證券南寧營(yíng)業(yè)部網(wǎng)絡(luò)系統(tǒng)方案 ２４ Novell HA Server 群集系統(tǒng)中磁盤(pán)陣列柜基于 80Mbyte/S 的 Ultra Wide 寬帶 SCSI 技術(shù)或基于 100Mbyte/S 的光纖通道技術(shù)，并且陣列柜內(nèi)部配有 CPU及大冗量緩存做讀寫(xiě)預(yù)處理（與以太網(wǎng)絡(luò)相比， 100BaseT 以太網(wǎng)只相當(dāng)于計(jì)算方法： 100Mbit/8bit=）。 在今天，“ 數(shù)據(jù)與主機(jī)電氣分離 ”觀(guān)念已經(jīng)迅速成為當(dāng)前 IT 技術(shù)的新潮流。 ? HAServer 支持多臺(tái)服務(wù)器群集，支持分布式應(yīng)用。 ? 支持使用共享 SCSI 技術(shù)或 FiberChannel 光纖通道技術(shù)的磁盤(pán)陣列柜。 ? 支持多條冗余的心跳路徑以有效避免系統(tǒng)誤切換，還可以通過(guò)冗余的數(shù)據(jù)通道來(lái)提供更高水平的可用性。 ? Novell HA Server 提供兩種切換機(jī)制，失效切換和手工切換。為兩臺(tái) NOVELL服務(wù)器提供高性能、不間斷的共享磁盤(pán)服務(wù)。當(dāng)一臺(tái)服務(wù)器系統(tǒng)發(fā)生故障時(shí)，證券南寧營(yíng)業(yè)部網(wǎng)絡(luò)系統(tǒng)方案 ２３ 另一臺(tái)服務(wù)器會(huì)立即承擔(dān)發(fā)生故障服務(wù)器的工作，將共享卷、 NDS 權(quán)限、 Netware用戶(hù)數(shù)和文件共享等進(jìn)行遷移，從而保證整個(gè)群集系統(tǒng)作業(yè)運(yùn)行的連續(xù)性。 Novell HAServer 是 Novell 公司的獨(dú)立版權(quán)產(chǎn)品，它集合了以往 StandBy、SFTIII 等產(chǎn)品的全部?jī)?yōu)點(diǎn)， 專(zhuān)為目前 Client/Server 局域網(wǎng)提供的一種通用的高可用性、高擴(kuò)充性的解決方案，它使用工業(yè)標(biāo)準(zhǔn)化商品部件，通過(guò)一條共享 SCSI總線(xiàn)或光纖通道，將局域網(wǎng)中的兩臺(tái) Novell 服務(wù)器連接，從而支持關(guān)鍵業(yè)務(wù)環(huán)境、支持不斷增長(zhǎng)的存儲(chǔ)需求，最大程度地降低服務(wù)器的 down 機(jī)時(shí)間，具備十分優(yōu)異的容錯(cuò)性能。 行情服務(wù)器設(shè)計(jì) 考慮到有近 1000 個(gè) 工作站，而且工作站需要做成無(wú)盤(pán) WIN98 工作站，服務(wù)器的負(fù)載比較大，因此 Novell 行情服務(wù)器建議采用一臺(tái)康柏 ProLiant 8000 做主服務(wù)器，用另一臺(tái)康柏 ProLiant 8000做備份服務(wù)器。對(duì)網(wǎng)絡(luò)性能的實(shí)現(xiàn)和今后網(wǎng)絡(luò)的升級(jí)都十分重要。 五、高質(zhì)量和高效的售后服務(wù) 國(guó)際著名服務(wù)器廠(chǎng)商的產(chǎn)品無(wú)論在質(zhì)量上、服務(wù)上，還是在技術(shù)支持上都有卓著的聲譽(yù)，產(chǎn)品的持續(xù)支持能力也能得到保證。 三、高擴(kuò)展性 證券南寧營(yíng)業(yè)部網(wǎng)絡(luò)系統(tǒng)方案 ２２ 在投資范圍內(nèi)，追求最大的可擴(kuò)展性，為以后擴(kuò)展升級(jí)打下基礎(chǔ)，保護(hù)客戶(hù)投資。服務(wù)器系統(tǒng)必須具有高安全性，能夠有效的防止黑客的入侵。 服務(wù)器系統(tǒng)設(shè)計(jì)原 則 服務(wù)器系統(tǒng) 設(shè)計(jì)是系統(tǒng)建設(shè)的關(guān)鍵，其直接影響投資規(guī)模和系統(tǒng)成敗，因此要認(rèn)真作好這項(xiàng)工作。 服務(wù)器系統(tǒng)安全性要求 建立企業(yè)內(nèi)部訪(fǎng)問(wèn)的安全控制機(jī)制，提高 服務(wù)器系統(tǒng) 數(shù)據(jù)的安全性和訪(fǎng)問(wèn)的安全性。 ■ 通過(guò) 遠(yuǎn)程管理降低支持成本－支持聯(lián)網(wǎng)管理（ WfM） 、 SNMP 和 。