【正文】 CNZMPLSVPN線路，因此我們建議采用一臺(tái)思科公司的 Cisco28n路由器作為**CE，讓各各實(shí)業(yè)分公司用戶可以高速、安全、穩(wěn)定地訪問**集團(tuán)中心機(jī)房的應(yīng)用服務(wù)器及訪問集團(tuán)機(jī)房應(yīng)用服務(wù)器。外網(wǎng)WEB服務(wù)器接在 AmarantenF600防火墻DMZ區(qū)，對(duì)外開啟 tep80服務(wù)。在內(nèi)網(wǎng)防火墻之外采用兩臺(tái) cisco3750三層交換機(jī)做路由控制，接入本大樓內(nèi)分公司網(wǎng)絡(luò)及實(shí)業(yè)本部網(wǎng)絡(luò)，由其控制訪問服務(wù)器、分公司VPN及外網(wǎng)路由。第三章**集團(tuán)企業(yè)信息化及安全整體解決方案服務(wù)器端使用兩塊網(wǎng)卡橋接，對(duì)外使用網(wǎng)絡(luò)橋連接網(wǎng)絡(luò)設(shè)備，首先通過二層交換機(jī)接入到主備用ASA555O防火墻，由防火墻控制所有用戶的訪問權(quán)限，關(guān)閉非使用端口，開啟服務(wù)器所承載以、財(cái)務(wù)、人力應(yīng)用服務(wù)需要使用的端口。在分公司和省公司都部署相應(yīng)的PE設(shè)備。根據(jù)**信息化IT規(guī)劃總體架構(gòu)及**目前IT系統(tǒng)現(xiàn)狀， **集團(tuán)網(wǎng)絡(luò)拓?fù)鋱D以下為**集團(tuán)整體網(wǎng)絡(luò)規(guī)劃拓?fù)鋱D:網(wǎng)絡(luò)拓?fù)鋱D **集團(tuán)整體網(wǎng)絡(luò)概述**集團(tuán)公司網(wǎng)絡(luò)整體從安全、穩(wěn)定、高速和服務(wù)質(zhì)量(QoS)方面考慮，采用CNZ電路與SitetoSiteVPN結(jié)合的方式組網(wǎng)。l 高度的可靠性，網(wǎng)絡(luò)在連接失敗時(shí)能有遷回路由，并有效地消除單點(diǎn)失效的隱患。能防止網(wǎng)絡(luò)的非法訪問，保護(hù)關(guān)鍵數(shù)據(jù)不被非法竊取、篡改或泄露。第三章**集團(tuán)企業(yè)信息化及安全整體解決方案3 **集團(tuán)企業(yè)信息化及安全整體解決方案 **企業(yè)信息規(guī)劃總體方案 系統(tǒng)設(shè)計(jì)原則及進(jìn)度安排**集團(tuán)的整體網(wǎng)絡(luò)在設(shè)計(jì)中遵循以下原則:l 良好的擴(kuò)展能力:包括業(yè)務(wù)網(wǎng)點(diǎn)的擴(kuò)展、業(yè)務(wù)量和業(yè)務(wù)種類的擴(kuò)展。為此，制定一套完整、可行的事件救援及災(zāi)難恢復(fù)的計(jì)劃對(duì)于企業(yè)來說是非常重要的。我們考慮的備份主要包括數(shù)據(jù)備份、服務(wù)器備份、線路備份等幾個(gè)方面。 備份與恢復(fù)策略主要設(shè)備、軟件、數(shù)據(jù)、電源等都應(yīng)有備份，并有技術(shù)措施和組織措施能夠在較短時(shí)間內(nèi)恢復(fù)系統(tǒng)運(yùn)行。審計(jì)信息對(duì)于確定是否有網(wǎng)絡(luò)攻擊的情況發(fā)生，以及確定問題和攻擊源都非常重要。我們從預(yù)防病毒、檢測(cè)病毒和殺毒考慮網(wǎng)絡(luò)的網(wǎng)絡(luò)安全。我們都知道，網(wǎng)絡(luò)系統(tǒng)中使用的操作系統(tǒng)大多為W工NDOWS系統(tǒng)，比較容易感染病毒。在功能上，安全掃描工具可以大規(guī)模減少安全管理員的手工勞動(dòng)，有利于保持全網(wǎng)安全政策的統(tǒng)一和穩(wěn)定。目標(biāo)可以是工作站、服務(wù)器、交換機(jī)、數(shù)據(jù)庫應(yīng)用等各種對(duì)象，然后根據(jù)掃描結(jié)果向系統(tǒng)管理員提供周密可靠的安全性分析報(bào)告，從而為提高網(wǎng)絡(luò)安全整體水平產(chǎn)生重要依據(jù)。并把這些信息集中報(bào)告給數(shù)據(jù)中心的集中管理控制臺(tái)。我們通過在**集團(tuán)網(wǎng)絡(luò)的關(guān)鍵環(huán)節(jié)放置入侵檢測(cè)產(chǎn)品，它監(jiān)視計(jì)算機(jī)網(wǎng)絡(luò)或計(jì)算機(jī)系統(tǒng)的運(yùn)行，從中發(fā)現(xiàn)網(wǎng)絡(luò)或系統(tǒng)中是否有違反安全策略的行為和被攻擊的跡象，一旦發(fā)現(xiàn)攻擊能夠發(fā)出報(bào)警并采取相應(yīng)的措施，如阻斷、跟蹤和反擊等。入侵監(jiān)控是對(duì)入侵行為的檢測(cè)和控制。這個(gè)步驟用于檢測(cè)網(wǎng)絡(luò)的潛在漏洞或非授權(quán)行為，同時(shí)，它可以提醒管理人員網(wǎng)絡(luò)現(xiàn)有的安全隱患及應(yīng)采取什么樣的防護(hù)措施。 網(wǎng)絡(luò)安全監(jiān)控與入侵檢測(cè)策略網(wǎng)絡(luò)安全監(jiān)控可以測(cè)試企業(yè)所實(shí)施的安全控制是否有效。當(dāng)局域與遠(yuǎn)程網(wǎng)絡(luò)連接時(shí)，通常在局域網(wǎng)與遠(yuǎn)程網(wǎng)絡(luò)之間的接口處配置安全保密產(chǎn)品。在同一安全域中，根據(jù)信息的密級(jí)和信息重要性進(jìn)行分割和訪問控制。這種安全控制對(duì)連接敏感或重要業(yè)務(wù)的網(wǎng)絡(luò)，或連接到在高風(fēng)險(xiǎn)地方(例如不在安全管理及控制范圍的公用或外部地方)的用戶尤其重要。網(wǎng)絡(luò)訪問控制用于控制內(nèi)部及外部聯(lián)網(wǎng)服務(wù)的訪問，以確?？梢栽L問網(wǎng)絡(luò)或網(wǎng)絡(luò)服務(wù)的用戶不會(huì)破壞這些網(wǎng)絡(luò)服務(wù)的安全。l 一般作業(yè)類的標(biāo)準(zhǔn)用戶訪問配置。l 不同系統(tǒng)及網(wǎng)絡(luò)之間的訪問控制及信息分類策略的一致性。l 確認(rèn)所有與業(yè)務(wù)應(yīng)用系統(tǒng)有關(guān)的信息。訪問控制是對(duì)用戶進(jìn)行文件和數(shù)據(jù)操作權(quán)限的限制，主要防范用戶的越權(quán)訪問。該政策還應(yīng)包括企業(yè)發(fā)生安全事故后應(yīng)對(duì)外界詢問的指南，及指明企業(yè)信息的保密程度，即哪些信息不應(yīng)向外界披露。該政策其中一項(xiàng)重要說明是講述企業(yè)是否允許進(jìn)行遠(yuǎn)程操作，以及對(duì)這類訪問的控制方法；l 違規(guī)報(bào)告政策:指明哪類違規(guī)行為應(yīng)該報(bào)告(例如個(gè)人隱私及安全、內(nèi)部及外部)以及向誰報(bào)告。聲明應(yīng)提及冗余及恢復(fù)的解決方法，列出操作時(shí)間及因維護(hù)而造成的停機(jī)時(shí)間，以及網(wǎng)絡(luò)發(fā)生故障時(shí)的負(fù)責(zé)人是誰。l 可用性聲明:使用戶對(duì)系統(tǒng)的可用性有所了解。l 認(rèn)證政策:通過有效的口令政策，在計(jì)算機(jī)之間建立信任關(guān)系。l 責(zé)任政策:指出用戶、操作人員及管理人員的職責(zé)。l 訪問政策:制定用戶、操作人員及管理人員的訪問權(quán)限，用來保護(hù)資產(chǎn)不被盜用。該指南可作為企業(yè)購買產(chǎn)品的參考之一。安全管理策略的實(shí)施需要工作人員和領(lǐng)導(dǎo)的支持。從資源管理角度來看，實(shí)現(xiàn)資源的統(tǒng)一配置和管理。從技術(shù)管理角度來看，實(shí)現(xiàn)安全的配置和管理。第二章**集團(tuán)企業(yè)信息化現(xiàn)狀 安全管理策略安全管理貫穿在安全的各個(gè)層次實(shí)施。 性能需求由于安全控制的原理和特點(diǎn)，加上了安全的防護(hù)手段之后，多多少少會(huì)對(duì)網(wǎng)絡(luò)和系統(tǒng)帶來性能的影響。責(zé)權(quán)不明，管理混亂、安全管理制度不健全及缺乏可操作性等都可能引起管理安全的風(fēng)險(xiǎn)。這些都將給網(wǎng)絡(luò)造成極大的安全風(fēng)險(xiǎn)。利用網(wǎng)絡(luò)開些小玩笑，甚至破壞。存有惡意的入侵者便有機(jī)會(huì)得到入侵的條件。3. 內(nèi)部管理人員或員工把內(nèi)部網(wǎng)絡(luò)結(jié)構(gòu)、管理員用戶名及口令以及系統(tǒng)的一些重要信息傳播給外人帶來信息泄漏風(fēng)險(xiǎn)。 管理的安全分析管理方面的安全隱患包括:1. 內(nèi)部管理人員或員工圖方便省事，不設(shè)置用戶口令，或者設(shè)置的口令過短和過于簡(jiǎn)單，導(dǎo)致很容易破解。因此，病毒的危害第二章**集團(tuán)企業(yè)信息化現(xiàn)狀的不可以輕視的。n 病毒侵害的安全風(fēng)險(xiǎn)網(wǎng)絡(luò)是病毒傳播的最好、最快的途徑之一。數(shù)據(jù)庫中數(shù)據(jù)由于意外(硬件問題或軟件崩潰)而導(dǎo)致不可恢復(fù)，也是需要考慮的安全問題。n 數(shù)據(jù)庫服務(wù)器的安全風(fēng)險(xiǎn)**集團(tuán)網(wǎng)絡(luò)內(nèi)部的很多應(yīng)用是基于數(shù)據(jù)庫的。n 系統(tǒng)的安全風(fēng)險(xiǎn)**集團(tuán)網(wǎng)絡(luò)提供基于Web的信息發(fā)布系統(tǒng)，也存在安全的風(fēng)險(xiǎn)，例如Web服務(wù)器本身存在漏洞容易受到攻擊，網(wǎng)頁被篡改，Web服務(wù)器容易受到網(wǎng)絡(luò)病毒的感染。而辦公網(wǎng)絡(luò)應(yīng)用通常是共享網(wǎng)絡(luò)資源，比如文件共、打印機(jī)共享等。這就需要我們對(duì)不同的應(yīng)用，檢測(cè)安全漏洞，采取相應(yīng)的安全措施，降低應(yīng)用的安全風(fēng)險(xiǎn)。應(yīng)用系統(tǒng)是動(dòng)態(tài)的、不斷變化的。因此應(yīng)正確估價(jià)自己的網(wǎng)絡(luò)風(fēng)險(xiǎn)并根據(jù)自己的網(wǎng)絡(luò)風(fēng)險(xiǎn)大小作出相應(yīng)的安全解決方案。但是從實(shí)際應(yīng)用上，系統(tǒng)的安全程度跟對(duì)其進(jìn)行安全配置及系統(tǒng)的應(yīng)用面有很大關(guān)系，操作系統(tǒng)如果沒有采用相應(yīng)的安全配置，則其是漏洞百出，掌握一般攻擊技術(shù)的人都可能入侵得手。目前的操作系統(tǒng)或應(yīng)用系統(tǒng)無論是Windows還是其它任何商用UNIX操作系統(tǒng)以及其它廠商開發(fā)的應(yīng)用系統(tǒng)，系統(tǒng)本身必定存在安全漏洞。因此安裝通常都是以缺省選項(xiàng)進(jìn)行設(shè)置。 系統(tǒng)的安全風(fēng)險(xiǎn)分析所謂系統(tǒng)安全通常是指網(wǎng)絡(luò)操作系統(tǒng)、應(yīng)用系統(tǒng)的安全。l 缺乏對(duì)網(wǎng)絡(luò)入侵行為的探測(cè)、報(bào)警、取證機(jī)制，是網(wǎng)絡(luò)在安全方面的一個(gè)隱患。l 信息在局域網(wǎng)和廣域網(wǎng)中傳輸，都存在被竊聽和篡改的危險(xiǎn)。由于TCP/IP協(xié)議在安全方面考慮的較少，IP地址很容易被假冒(特別在局域網(wǎng)中)。網(wǎng)絡(luò)設(shè)備故障也是應(yīng)該考慮的安全風(fēng)險(xiǎn)之一。l 網(wǎng)絡(luò)設(shè)備的安全隱患，網(wǎng)絡(luò)設(shè)備中包含路由器、交換機(jī)、防火墻等，它們的設(shè)置比較復(fù)雜，第二章**集團(tuán)企業(yè)信息化現(xiàn)狀可能由于疏忽或不正確理解而使這些系統(tǒng)可用而安全性不佳。內(nèi)部不懷好意員工編些破壞程序在內(nèi)部網(wǎng)上傳播或者內(nèi)部人員通過各種方式盜取他人涉密信息傳播出去。l 內(nèi)部人員故意泄漏內(nèi)部網(wǎng)絡(luò)的網(wǎng)絡(luò)結(jié)構(gòu)。無論是有不滿情緒的員工的故意破壞，還是沒有訪問關(guān)鍵系統(tǒng)權(quán)限的員工因誤操作而進(jìn)入關(guān)鍵系統(tǒng)，由此而造成的數(shù)據(jù)泄露、偷竊、損壞或刪除將給企業(yè)帶來很大的負(fù)面影響。2) 內(nèi)部局域網(wǎng)的安全威脅據(jù)調(diào)查在已有的網(wǎng)絡(luò)安全攻擊事件中約70%是來自內(nèi)部網(wǎng)絡(luò)的侵犯。l 惡意攻擊:入侵者通過發(fā)送大量PING包對(duì)內(nèi)部網(wǎng)重要服務(wù)器進(jìn)行攻擊，使得服務(wù)器超負(fù)荷工作以至拒絕服務(wù)甚至系統(tǒng)癱瘓。如:l 入侵者通過漏洞掃描、Sniffer嗅探等工具來探測(cè)掃描網(wǎng)絡(luò)及操作系統(tǒng)存在的安全漏洞，如網(wǎng)絡(luò)IP地址、應(yīng)用操作系統(tǒng)的類型、開放哪些TCP端口號(hào)、系統(tǒng)保存用戶名和口令等安全信息的關(guān)鍵文件等，并通過相應(yīng)攻擊程序?qū)?nèi)網(wǎng)進(jìn)行攻擊。透過網(wǎng)絡(luò)傳播，還會(huì)影響到與本系統(tǒng)網(wǎng)絡(luò)有連接的外單位網(wǎng)絡(luò)。**集團(tuán)網(wǎng)絡(luò)中的服務(wù)器及各人主機(jī)上都有涉密信息。但是如果Internet與外單位網(wǎng)絡(luò)可以與**集團(tuán)網(wǎng)絡(luò)隨意進(jìn)行互訪，容易導(dǎo)致本系統(tǒng)內(nèi)部機(jī)密泄漏等安全威脅。 網(wǎng)絡(luò)結(jié)構(gòu)的安全風(fēng)險(xiǎn)分析1) 來自外部網(wǎng)絡(luò)的安全威脅出于業(yè)務(wù)的需要，**集團(tuán)網(wǎng)絡(luò)與Internet及其他業(yè)務(wù)單位網(wǎng)絡(luò)相連接。**集團(tuán)網(wǎng)絡(luò)的通信鏈路存在著安裝竊聽裝置，竊取或篡改網(wǎng)上傳輸?shù)闹匾獢?shù)據(jù)的可能，從而破壞數(shù)據(jù)的完整性。l 報(bào)警系統(tǒng)的設(shè)計(jì)不足可能造成原本可以防止但實(shí)際發(fā)生了的事故。l 設(shè)備被盜、被毀造成數(shù)據(jù)丟失或信息泄漏。安全以人為本，如果管理不善或一些不可抗力的因數(shù)的存在，**集團(tuán)網(wǎng)絡(luò)的物理環(huán)境可能存在如下的風(fēng)險(xiǎn):l 地震、水災(zāi)、火災(zāi)等環(huán)境事故造成整個(gè)系統(tǒng)毀滅。在系統(tǒng)建設(shè)過程中，將同步進(jìn)行IT系統(tǒng)的運(yùn)行、維護(hù)、管理的各項(xiàng)規(guī)范、流程的制定。因此，我們本次企業(yè)信息化建設(shè)能集中的系統(tǒng)就集中，不能集中的才考慮由專業(yè)公司自行建設(shè)，但是由**進(jìn)行指導(dǎo)選型。部分專業(yè)公司如郵科公司等，有專門的IT組織和IT開發(fā)團(tuán)隊(duì)，既支撐自身的IT建設(shè)，又對(duì)外提供1T服務(wù)，其他子公司沒有專門的IT部門和IT崗位，但有專人負(fù)責(zé)企業(yè)信息化工作，人員分散在財(cái)務(wù)部、信息中心、綜合部等部門。本期建設(shè)完成后，將在**層面建立合同協(xié)調(diào)服務(wù)系統(tǒng)，主要對(duì)專業(yè)公司的合同信息、合同狀態(tài)等做實(shí)時(shí)了解。**層面目前對(duì)于業(yè)務(wù)管理和業(yè)務(wù)運(yùn)營(yíng)支撐沒有強(qiáng)烈的系統(tǒng)支撐需求，考慮到實(shí)業(yè)本身多業(yè)務(wù)、多行業(yè)的特征，并且**對(duì)專業(yè)公司主要是進(jìn)行投資管控，我省業(yè)務(wù)運(yùn)營(yíng)支撐系統(tǒng)以專業(yè)公司為主來進(jìn)行建設(shè)比較合理，一方面能夠盡可能的貼近專業(yè)公司自身的需求，不是為建系統(tǒng)而建系統(tǒng):另一方面**公司對(duì)專業(yè)公司的管理主要是投資類型的管控，而非運(yùn)營(yíng)類型管控，因此**沒有必要對(duì)專業(yè)公司的業(yè)務(wù)運(yùn)營(yíng)做過多的管理和干涉，否則容易造成捆住專業(yè)公司手腳的局面。業(yè)務(wù)管理和業(yè)務(wù)運(yùn)營(yíng)支撐上，實(shí)業(yè)和主業(yè)之間存在顯著差異:主業(yè)的業(yè)務(wù)同質(zhì)性相當(dāng)高，而實(shí)業(yè)則是一個(gè)復(fù)雜的、多業(yè)務(wù)類型的集團(tuán)企業(yè)。 業(yè)務(wù)管理和運(yùn)營(yíng)支撐系統(tǒng)**目前基本沒有業(yè)務(wù)管理和業(yè)務(wù)運(yùn)營(yíng)支撐系統(tǒng)，規(guī)劃中要建立**數(shù)據(jù)中心，收集業(yè)務(wù)統(tǒng)計(jì)相關(guān)數(shù)據(jù)的建設(shè)需求。**需要一個(gè)統(tǒng)一的門戶來有效整合各子公司的品牌資源，做統(tǒng)一的形象推廣。以系統(tǒng)在選型時(shí)必須考慮良好的接口開放性和二次開發(fā)支撐能力。為了降低系統(tǒng)的推進(jìn)難度，第一期只在**部署統(tǒng)一的0A系統(tǒng)，在系統(tǒng)中為各專業(yè)公司單獨(dú)配置流程，達(dá)到覆蓋子公司的目標(biāo)。但是從管理上看，0A系統(tǒng)覆蓋到專業(yè)公司的中層干部以及必要的后勤管理部門是必須的。當(dāng)人力資源管理達(dá)到相當(dāng)水平后，結(jié)合我省的實(shí)際情況，人力資源管理部門人員必然會(huì)提出一些新的需求，這些需求通過對(duì)系統(tǒng)進(jìn)行二次開發(fā)來滿足。 人力資源管理系統(tǒng)**目前在人力資源管理系統(tǒng)上基本處于一片空白，在業(yè)務(wù)上也處于比較原始的人事管理水平。 系統(tǒng)需求分析: 財(cái)務(wù)系統(tǒng)**集團(tuán)與各子公司財(cái)務(wù)業(yè)務(wù)統(tǒng)