【正文】 CNZMPLSVPN線路，因此我們建議采用一臺思科公司的 Cisco28n路由器作為**CE，讓各各實業(yè)分公司用戶可以高速、安全、穩(wěn)定地訪問**集團中心機房的應用服務器及訪問集團機房應用服務器。外網(wǎng)WEB服務器接在 AmarantenF600防火墻DMZ區(qū)，對外開啟 tep80服務。在內網(wǎng)防火墻之外采用兩臺 cisco3750三層交換機做路由控制，接入本大樓內分公司網(wǎng)絡及實業(yè)本部網(wǎng)絡，由其控制訪問服務器、分公司VPN及外網(wǎng)路由。第三章**集團企業(yè)信息化及安全整體解決方案服務器端使用兩塊網(wǎng)卡橋接，對外使用網(wǎng)絡橋連接網(wǎng)絡設備，首先通過二層交換機接入到主備用ASA555O防火墻，由防火墻控制所有用戶的訪問權限，關閉非使用端口，開啟服務器所承載以、財務、人力應用服務需要使用的端口。在分公司和省公司都部署相應的PE設備。根據(jù)**信息化IT規(guī)劃總體架構及**目前IT系統(tǒng)現(xiàn)狀， **集團網(wǎng)絡拓撲圖以下為**集團整體網(wǎng)絡規(guī)劃拓撲圖:網(wǎng)絡拓撲圖 **集團整體網(wǎng)絡概述**集團公司網(wǎng)絡整體從安全、穩(wěn)定、高速和服務質量(QoS)方面考慮，采用CNZ電路與SitetoSiteVPN結合的方式組網(wǎng)。l 高度的可靠性，網(wǎng)絡在連接失敗時能有遷回路由，并有效地消除單點失效的隱患。能防止網(wǎng)絡的非法訪問，保護關鍵數(shù)據(jù)不被非法竊取、篡改或泄露。第三章**集團企業(yè)信息化及安全整體解決方案3 **集團企業(yè)信息化及安全整體解決方案 **企業(yè)信息規(guī)劃總體方案 系統(tǒng)設計原則及進度安排**集團的整體網(wǎng)絡在設計中遵循以下原則:l 良好的擴展能力:包括業(yè)務網(wǎng)點的擴展、業(yè)務量和業(yè)務種類的擴展。為此，制定一套完整、可行的事件救援及災難恢復的計劃對于企業(yè)來說是非常重要的。我們考慮的備份主要包括數(shù)據(jù)備份、服務器備份、線路備份等幾個方面。 備份與恢復策略主要設備、軟件、數(shù)據(jù)、電源等都應有備份，并有技術措施和組織措施能夠在較短時間內恢復系統(tǒng)運行。審計信息對于確定是否有網(wǎng)絡攻擊的情況發(fā)生，以及確定問題和攻擊源都非常重要。我們從預防病毒、檢測病毒和殺毒考慮網(wǎng)絡的網(wǎng)絡安全。我們都知道，網(wǎng)絡系統(tǒng)中使用的操作系統(tǒng)大多為W工NDOWS系統(tǒng)，比較容易感染病毒。在功能上，安全掃描工具可以大規(guī)模減少安全管理員的手工勞動，有利于保持全網(wǎng)安全政策的統(tǒng)一和穩(wěn)定。目標可以是工作站、服務器、交換機、數(shù)據(jù)庫應用等各種對象，然后根據(jù)掃描結果向系統(tǒng)管理員提供周密可靠的安全性分析報告，從而為提高網(wǎng)絡安全整體水平產(chǎn)生重要依據(jù)。并把這些信息集中報告給數(shù)據(jù)中心的集中管理控制臺。我們通過在**集團網(wǎng)絡的關鍵環(huán)節(jié)放置入侵檢測產(chǎn)品，它監(jiān)視計算機網(wǎng)絡或計算機系統(tǒng)的運行，從中發(fā)現(xiàn)網(wǎng)絡或系統(tǒng)中是否有違反安全策略的行為和被攻擊的跡象，一旦發(fā)現(xiàn)攻擊能夠發(fā)出報警并采取相應的措施，如阻斷、跟蹤和反擊等。入侵監(jiān)控是對入侵行為的檢測和控制。這個步驟用于檢測網(wǎng)絡的潛在漏洞或非授權行為，同時，它可以提醒管理人員網(wǎng)絡現(xiàn)有的安全隱患及應采取什么樣的防護措施。 網(wǎng)絡安全監(jiān)控與入侵檢測策略網(wǎng)絡安全監(jiān)控可以測試企業(yè)所實施的安全控制是否有效。當局域與遠程網(wǎng)絡連接時，通常在局域網(wǎng)與遠程網(wǎng)絡之間的接口處配置安全保密產(chǎn)品。在同一安全域中，根據(jù)信息的密級和信息重要性進行分割和訪問控制。這種安全控制對連接敏感或重要業(yè)務的網(wǎng)絡，或連接到在高風險地方(例如不在安全管理及控制范圍的公用或外部地方)的用戶尤其重要。網(wǎng)絡訪問控制用于控制內部及外部聯(lián)網(wǎng)服務的訪問，以確?？梢栽L問網(wǎng)絡或網(wǎng)絡服務的用戶不會破壞這些網(wǎng)絡服務的安全。l 一般作業(yè)類的標準用戶訪問配置。l 不同系統(tǒng)及網(wǎng)絡之間的訪問控制及信息分類策略的一致性。l 確認所有與業(yè)務應用系統(tǒng)有關的信息。訪問控制是對用戶進行文件和數(shù)據(jù)操作權限的限制，主要防范用戶的越權訪問。該政策還應包括企業(yè)發(fā)生安全事故后應對外界詢問的指南，及指明企業(yè)信息的保密程度，即哪些信息不應向外界披露。該政策其中一項重要說明是講述企業(yè)是否允許進行遠程操作，以及對這類訪問的控制方法；l 違規(guī)報告政策:指明哪類違規(guī)行為應該報告(例如個人隱私及安全、內部及外部)以及向誰報告。聲明應提及冗余及恢復的解決方法，列出操作時間及因維護而造成的停機時間，以及網(wǎng)絡發(fā)生故障時的負責人是誰。l 可用性聲明:使用戶對系統(tǒng)的可用性有所了解。l 認證政策:通過有效的口令政策，在計算機之間建立信任關系。l 責任政策:指出用戶、操作人員及管理人員的職責。l 訪問政策:制定用戶、操作人員及管理人員的訪問權限，用來保護資產(chǎn)不被盜用。該指南可作為企業(yè)購買產(chǎn)品的參考之一。安全管理策略的實施需要工作人員和領導的支持。從資源管理角度來看，實現(xiàn)資源的統(tǒng)一配置和管理。從技術管理角度來看，實現(xiàn)安全的配置和管理。第二章**集團企業(yè)信息化現(xiàn)狀 安全管理策略安全管理貫穿在安全的各個層次實施。 性能需求由于安全控制的原理和特點，加上了安全的防護手段之后，多多少少會對網(wǎng)絡和系統(tǒng)帶來性能的影響。責權不明，管理混亂、安全管理制度不健全及缺乏可操作性等都可能引起管理安全的風險。這些都將給網(wǎng)絡造成極大的安全風險。利用網(wǎng)絡開些小玩笑，甚至破壞。存有惡意的入侵者便有機會得到入侵的條件。3. 內部管理人員或員工把內部網(wǎng)絡結構、管理員用戶名及口令以及系統(tǒng)的一些重要信息傳播給外人帶來信息泄漏風險。 管理的安全分析管理方面的安全隱患包括:1. 內部管理人員或員工圖方便省事，不設置用戶口令，或者設置的口令過短和過于簡單，導致很容易破解。因此，病毒的危害第二章**集團企業(yè)信息化現(xiàn)狀的不可以輕視的。n 病毒侵害的安全風險網(wǎng)絡是病毒傳播的最好、最快的途徑之一。數(shù)據(jù)庫中數(shù)據(jù)由于意外(硬件問題或軟件崩潰)而導致不可恢復，也是需要考慮的安全問題。n 數(shù)據(jù)庫服務器的安全風險**集團網(wǎng)絡內部的很多應用是基于數(shù)據(jù)庫的。n 系統(tǒng)的安全風險**集團網(wǎng)絡提供基于Web的信息發(fā)布系統(tǒng)，也存在安全的風險，例如Web服務器本身存在漏洞容易受到攻擊，網(wǎng)頁被篡改，Web服務器容易受到網(wǎng)絡病毒的感染。而辦公網(wǎng)絡應用通常是共享網(wǎng)絡資源，比如文件共、打印機共享等。這就需要我們對不同的應用，檢測安全漏洞，采取相應的安全措施，降低應用的安全風險。應用系統(tǒng)是動態(tài)的、不斷變化的。因此應正確估價自己的網(wǎng)絡風險并根據(jù)自己的網(wǎng)絡風險大小作出相應的安全解決方案。但是從實際應用上，系統(tǒng)的安全程度跟對其進行安全配置及系統(tǒng)的應用面有很大關系，操作系統(tǒng)如果沒有采用相應的安全配置，則其是漏洞百出，掌握一般攻擊技術的人都可能入侵得手。目前的操作系統(tǒng)或應用系統(tǒng)無論是Windows還是其它任何商用UNIX操作系統(tǒng)以及其它廠商開發(fā)的應用系統(tǒng)，系統(tǒng)本身必定存在安全漏洞。因此安裝通常都是以缺省選項進行設置。 系統(tǒng)的安全風險分析所謂系統(tǒng)安全通常是指網(wǎng)絡操作系統(tǒng)、應用系統(tǒng)的安全。l 缺乏對網(wǎng)絡入侵行為的探測、報警、取證機制，是網(wǎng)絡在安全方面的一個隱患。l 信息在局域網(wǎng)和廣域網(wǎng)中傳輸，都存在被竊聽和篡改的危險。由于TCP/IP協(xié)議在安全方面考慮的較少，IP地址很容易被假冒(特別在局域網(wǎng)中)。網(wǎng)絡設備故障也是應該考慮的安全風險之一。l 網(wǎng)絡設備的安全隱患，網(wǎng)絡設備中包含路由器、交換機、防火墻等，它們的設置比較復雜，第二章**集團企業(yè)信息化現(xiàn)狀可能由于疏忽或不正確理解而使這些系統(tǒng)可用而安全性不佳。內部不懷好意員工編些破壞程序在內部網(wǎng)上傳播或者內部人員通過各種方式盜取他人涉密信息傳播出去。l 內部人員故意泄漏內部網(wǎng)絡的網(wǎng)絡結構。無論是有不滿情緒的員工的故意破壞，還是沒有訪問關鍵系統(tǒng)權限的員工因誤操作而進入關鍵系統(tǒng)，由此而造成的數(shù)據(jù)泄露、偷竊、損壞或刪除將給企業(yè)帶來很大的負面影響。2) 內部局域網(wǎng)的安全威脅據(jù)調查在已有的網(wǎng)絡安全攻擊事件中約70%是來自內部網(wǎng)絡的侵犯。l 惡意攻擊:入侵者通過發(fā)送大量PING包對內部網(wǎng)重要服務器進行攻擊，使得服務器超負荷工作以至拒絕服務甚至系統(tǒng)癱瘓。如:l 入侵者通過漏洞掃描、Sniffer嗅探等工具來探測掃描網(wǎng)絡及操作系統(tǒng)存在的安全漏洞，如網(wǎng)絡IP地址、應用操作系統(tǒng)的類型、開放哪些TCP端口號、系統(tǒng)保存用戶名和口令等安全信息的關鍵文件等，并通過相應攻擊程序對內網(wǎng)進行攻擊。透過網(wǎng)絡傳播，還會影響到與本系統(tǒng)網(wǎng)絡有連接的外單位網(wǎng)絡。**集團網(wǎng)絡中的服務器及各人主機上都有涉密信息。但是如果Internet與外單位網(wǎng)絡可以與**集團網(wǎng)絡隨意進行互訪，容易導致本系統(tǒng)內部機密泄漏等安全威脅。 網(wǎng)絡結構的安全風險分析1) 來自外部網(wǎng)絡的安全威脅出于業(yè)務的需要，**集團網(wǎng)絡與Internet及其他業(yè)務單位網(wǎng)絡相連接。**集團網(wǎng)絡的通信鏈路存在著安裝竊聽裝置，竊取或篡改網(wǎng)上傳輸?shù)闹匾獢?shù)據(jù)的可能，從而破壞數(shù)據(jù)的完整性。l 報警系統(tǒng)的設計不足可能造成原本可以防止但實際發(fā)生了的事故。l 設備被盜、被毀造成數(shù)據(jù)丟失或信息泄漏。安全以人為本，如果管理不善或一些不可抗力的因數(shù)的存在，**集團網(wǎng)絡的物理環(huán)境可能存在如下的風險:l 地震、水災、火災等環(huán)境事故造成整個系統(tǒng)毀滅。在系統(tǒng)建設過程中，將同步進行IT系統(tǒng)的運行、維護、管理的各項規(guī)范、流程的制定。因此，我們本次企業(yè)信息化建設能集中的系統(tǒng)就集中，不能集中的才考慮由專業(yè)公司自行建設，但是由**進行指導選型。部分專業(yè)公司如郵科公司等，有專門的IT組織和IT開發(fā)團隊，既支撐自身的IT建設，又對外提供1T服務，其他子公司沒有專門的IT部門和IT崗位，但有專人負責企業(yè)信息化工作，人員分散在財務部、信息中心、綜合部等部門。本期建設完成后，將在**層面建立合同協(xié)調服務系統(tǒng)，主要對專業(yè)公司的合同信息、合同狀態(tài)等做實時了解。**層面目前對于業(yè)務管理和業(yè)務運營支撐沒有強烈的系統(tǒng)支撐需求，考慮到實業(yè)本身多業(yè)務、多行業(yè)的特征，并且**對專業(yè)公司主要是進行投資管控，我省業(yè)務運營支撐系統(tǒng)以專業(yè)公司為主來進行建設比較合理，一方面能夠盡可能的貼近專業(yè)公司自身的需求，不是為建系統(tǒng)而建系統(tǒng):另一方面**公司對專業(yè)公司的管理主要是投資類型的管控，而非運營類型管控，因此**沒有必要對專業(yè)公司的業(yè)務運營做過多的管理和干涉，否則容易造成捆住專業(yè)公司手腳的局面。業(yè)務管理和業(yè)務運營支撐上，實業(yè)和主業(yè)之間存在顯著差異:主業(yè)的業(yè)務同質性相當高，而實業(yè)則是一個復雜的、多業(yè)務類型的集團企業(yè)。 業(yè)務管理和運營支撐系統(tǒng)**目前基本沒有業(yè)務管理和業(yè)務運營支撐系統(tǒng)，規(guī)劃中要建立**數(shù)據(jù)中心，收集業(yè)務統(tǒng)計相關數(shù)據(jù)的建設需求。**需要一個統(tǒng)一的門戶來有效整合各子公司的品牌資源，做統(tǒng)一的形象推廣。以系統(tǒng)在選型時必須考慮良好的接口開放性和二次開發(fā)支撐能力。為了降低系統(tǒng)的推進難度，第一期只在**部署統(tǒng)一的0A系統(tǒng)，在系統(tǒng)中為各專業(yè)公司單獨配置流程，達到覆蓋子公司的目標。但是從管理上看，0A系統(tǒng)覆蓋到專業(yè)公司的中層干部以及必要的后勤管理部門是必須的。當人力資源管理達到相當水平后，結合我省的實際情況，人力資源管理部門人員必然會提出一些新的需求，這些需求通過對系統(tǒng)進行二次開發(fā)來滿足。 人力資源管理系統(tǒng)**目前在人力資源管理系統(tǒng)上基本處于一片空白，在業(yè)務上也處于比較原始的人事管理水平。 系統(tǒng)需求分析: 財務系統(tǒng)**集團與各子公司財務業(yè)務統(tǒng)