【正文】 訪問業(yè)務(wù)服務(wù)器區(qū)域；n 研發(fā)終端只能訪問外部服務(wù)器區(qū)域。 安全設(shè)備情況目前在XXX信息網(wǎng)絡(luò)中廣泛使用的安全設(shè)備有三大類，一是面向網(wǎng)絡(luò)安全類的防火墻、VPN類安全設(shè)備；二是面向終端的終端安全管理系統(tǒng)以及防病毒軟件類，三是面向全網(wǎng)進(jìn)行安全運(yùn)維的安全管理平臺(tái)，各安全設(shè)備的配置情況為： 防火墻系統(tǒng)防火墻是XXX信息網(wǎng)絡(luò)中使用最為廣泛的安全設(shè)備，防火墻系統(tǒng)分別被用在分支機(jī)構(gòu)局域網(wǎng)邊界、總部的辦公終端邊界、業(yè)務(wù)服務(wù)器邊界、研發(fā)終端邊界、研發(fā)服務(wù)器邊界以及外部服務(wù)器邊界，防火墻的引入將XXX信息網(wǎng)絡(luò)隔離為多個(gè)安全區(qū)域，實(shí)際上起到了轉(zhuǎn)發(fā)層和核心交換層的作用，取代了轉(zhuǎn)發(fā)層常用的路由器和核心交換層常用的三層交換機(jī)；并且在安全區(qū)域之間執(zhí)行嚴(yán)格的訪問控制策略，有效保護(hù)了重要的信息系統(tǒng)資源。遠(yuǎn)程管理時(shí)采用SSL VPN＋遠(yuǎn)程桌面的方式進(jìn)行. 數(shù)據(jù)庫服務(wù)器數(shù)據(jù)庫主要用于支撐業(yè)務(wù)應(yīng)用服務(wù)器，包括用友U8系統(tǒng)的數(shù)據(jù)庫、金蝶CRM的數(shù)據(jù)庫、金蝶K3系統(tǒng)的數(shù)據(jù)庫以及ORACLE EBS系統(tǒng)的數(shù)據(jù)庫，其中用友U8系統(tǒng)以及金蝶K3系統(tǒng)的數(shù)據(jù)庫與應(yīng)用系統(tǒng)均安裝在同一臺(tái)服務(wù)器上，其他的則單獨(dú)安裝，該類服務(wù)器包括：用友U8后臺(tái)數(shù)據(jù)庫用友U8財(cái)務(wù)系統(tǒng)的應(yīng)用和數(shù)據(jù)庫都安裝在一臺(tái)服務(wù)器上，設(shè)備型號(hào)為IBM Xseries 345，操作系統(tǒng)為WINDOWS 2000 Advance Server SP4，數(shù)據(jù)庫版本為SQL SERVER 2000 SP3，數(shù)據(jù)庫口令與操作系統(tǒng)的口令分離，分別使用不同的帳號(hào)與口令；數(shù)據(jù)庫口令沒有嚴(yán)格的強(qiáng)度要求，數(shù)據(jù)庫口令不定期進(jìn)行更換，以保障口令的安全性；并且數(shù)據(jù)庫管理員經(jīng)常查看數(shù)據(jù)庫帳號(hào)，對(duì)過期賬戶進(jìn)行及時(shí)刪除；數(shù)據(jù)庫配置了日志審計(jì)功能，審計(jì)內(nèi)容僅包含登錄信息審計(jì)，對(duì)操作沒有審計(jì)措施；金蝶K3后臺(tái)數(shù)據(jù)庫系統(tǒng)與數(shù)據(jù)庫服務(wù)器均安裝在同一臺(tái)設(shè)備上，設(shè)備型號(hào)為IBM Xseries 345，操作系統(tǒng)為WINDOWS 2000 Advance Server SP4，數(shù)據(jù)庫版本為SQL SERVER 2000 SP3，數(shù)據(jù)庫口令與操作系統(tǒng)的口令分離，分別使用不同的帳號(hào)與口令；數(shù)據(jù)庫口令沒有嚴(yán)格的強(qiáng)度要求，數(shù)據(jù)庫口令不定期進(jìn)行更換，以保障口令的安全性；并且數(shù)據(jù)庫管理員經(jīng)常查看數(shù)據(jù)庫帳號(hào)，對(duì)過期賬戶進(jìn)行及時(shí)刪除；數(shù)據(jù)庫配置了日志審計(jì)功能，審計(jì)內(nèi)容僅包含登錄信息審計(jì)，對(duì)操作沒有審計(jì)措施；金蝶CRM后臺(tái)數(shù)據(jù)庫數(shù)據(jù)庫與應(yīng)用服務(wù)器分離，安裝數(shù)據(jù)庫的設(shè)備型號(hào)為IBM Xseries 345，操作系統(tǒng)為WINDOWS 2000 Advance Server SP4，數(shù)據(jù)庫版本為SQL SERVER 2000 SP3，數(shù)據(jù)庫口令與操作系統(tǒng)的口令分離，分別使用不同的帳號(hào)與口令；數(shù)據(jù)庫口令沒有嚴(yán)格的強(qiáng)度要求，數(shù)據(jù)庫口令不定期進(jìn)行更換，以保障口令的安全性；并且數(shù)據(jù)庫管理員經(jīng)常查看數(shù)據(jù)庫帳號(hào)，對(duì)過期賬戶進(jìn)行及時(shí)刪除；數(shù)據(jù)庫配置了日志審計(jì)功能，審計(jì)內(nèi)容僅包含登錄信息審計(jì)，對(duì)操作沒有審計(jì)措施；；ORACLE EBS后臺(tái)數(shù)據(jù)庫數(shù)據(jù)庫與應(yīng)用服務(wù)器分離，安裝數(shù)據(jù)庫的設(shè)備型號(hào)為IBM 9133 Model 55A，操作系統(tǒng)為AIX ，數(shù)據(jù)庫版本為Oracle 9i，服務(wù)器管理員認(rèn)證方式為用戶名/口令認(rèn)證，操作系統(tǒng)口令有明確的強(qiáng)度要求，并且系統(tǒng)管理員經(jīng)常定期更換操作系統(tǒng)口令；操作系統(tǒng)口令與數(shù)據(jù)庫口令分離，數(shù)據(jù)庫口令也有嚴(yán)格的強(qiáng)度要求，并且定期進(jìn)行更換；系統(tǒng)管理員還不定期地檢查數(shù)據(jù)庫過期賬戶，并及時(shí)刪除過期賬戶；服務(wù)器可以通過互聯(lián)網(wǎng)進(jìn)行遠(yuǎn)程管理，管理方式為SSL VPN遠(yuǎn)程管理 + TELNET；數(shù)據(jù)庫配置了日志審計(jì)功能，審計(jì)內(nèi)容僅包含登錄信息審計(jì)，對(duì)操作沒有審計(jì)措施；。；服務(wù)器IP地址分別為：內(nèi)部研發(fā)使用的服務(wù)器IP地址為：；外部提供給技術(shù)服務(wù)中心等部門使用的服務(wù)器IP地址為：；服務(wù)器沒有啟用IP地址訪問控制，只通過用戶名和口令來認(rèn)證管理員身份； 運(yùn)維服務(wù)器目前已啟用的運(yùn)維服務(wù)器包括了三臺(tái)已安裝了XXX終端安全管理平臺(tái)和安全信息管理平臺(tái)的服務(wù)器，其中兩臺(tái)為應(yīng)用服務(wù)器，分別安裝了終端安全管理軟件（TopDesk）和安全信息管理軟件（TopAnalyzer），另外一臺(tái)為數(shù)據(jù)庫，數(shù)據(jù)庫版本為Orale 9i。 外部服務(wù)器包括對(duì)外的WEB發(fā)布、郵件應(yīng)用和一些對(duì)外的升級(jí)服務(wù)器，服務(wù)器均部署在外部服務(wù)器區(qū)域，該類服務(wù)器包括：WEB服務(wù)器實(shí)現(xiàn)公司主頁對(duì)外發(fā)布的服務(wù)器，共安裝了兩臺(tái)服務(wù)器，設(shè)備型號(hào)為IBM Server Xseries 335，管理員認(rèn)證手段為用戶名/口令方式，沒有做到分權(quán)管理，口令保護(hù)采取操作系統(tǒng)自帶的加密措施來保障；操作系統(tǒng)口令有強(qiáng)度要求，定期地進(jìn)行維護(hù)；對(duì)于過期賬戶定期地進(jìn)行檢查和刪除，遠(yuǎn)程管理采用SSH的方式進(jìn)行；服務(wù)器沒有開啟日志審計(jì)功能；郵件服務(wù)器實(shí)現(xiàn)公司郵件的發(fā)送和傳輸，郵件采取了Mirapoint的郵件解決方案，在硬件上也采取了Micrapoint專用郵件服務(wù)器Mirapoint M500，共使用兩臺(tái)，其操作系統(tǒng)也是專用的MOS操作系統(tǒng)，該系統(tǒng)的口令采取內(nèi)部加密措施，可以很好的保障管理員帳號(hào)的安全性；系統(tǒng)對(duì)管理員登錄的認(rèn)證方式為用戶名/口令方式，其口令強(qiáng)度有一定的要求，定期地進(jìn)行維護(hù)；對(duì)于過期賬戶定期地進(jìn)行檢查和刪除，遠(yuǎn)程管理采用TELNET的方式進(jìn)行；服務(wù)器沒有開啟日志審計(jì)功能。遠(yuǎn)程管理時(shí)采用SSL VPN＋遠(yuǎn)程桌面的方式進(jìn)行；文件服務(wù)器主要提供給內(nèi)部辦公人員進(jìn)行軟件和工具的下載，設(shè)備型號(hào)為組裝的PC服務(wù)器，操作系統(tǒng)為WINDOWS 2000 Advance Server SP4，服務(wù)器的管理認(rèn)證方式為用戶名/口令方式，沒有做到分權(quán)管理；利用WINDOWS自帶的口令加密方式進(jìn)行保護(hù)；在管理上服務(wù)器采取高強(qiáng)度口令，并且能夠定期自動(dòng)更新，對(duì)于過期賬戶通過人工方式進(jìn)行定期檢查，并及時(shí)刪除過期帳號(hào)，開啟了日志審計(jì)功能，審計(jì)重點(diǎn)是用戶登錄日志。 內(nèi)部辦公服務(wù)器包括內(nèi)部主頁服務(wù)器，考勤服務(wù)器和進(jìn)行辦公軟件下載的文件服務(wù)器，服務(wù)器均部署在業(yè)務(wù)服務(wù)器區(qū)域，該類服務(wù)器包括：內(nèi)部主頁服務(wù)器主要提供實(shí)現(xiàn)內(nèi)部主頁的發(fā)布和內(nèi)部論壇的使用，設(shè)備型號(hào)為IBM Xseries 346，操作系統(tǒng)為WINDOWS 2000 Advance Server SP4，服務(wù)器的管理認(rèn)證方式為用戶名/口令方式，沒有做到分權(quán)管理；利用WINDOWS自帶的口令加密方式進(jìn)行保護(hù)；在管理上服務(wù)器采取高強(qiáng)度口令，并且能夠定期自動(dòng)更新，對(duì)于過期賬戶通過人工方式進(jìn)行定期檢查，并及時(shí)刪除過期帳號(hào)，開啟了日志審計(jì)功能，審計(jì)重點(diǎn)是用戶登錄日志。遠(yuǎn)程管理時(shí)采用SSL VPN＋遠(yuǎn)程桌面的方式進(jìn)行；ORACLE EBS應(yīng)用服務(wù)器應(yīng)用服務(wù)器與數(shù)據(jù)庫分開安裝，設(shè)備型號(hào)為IBM 9133 Model 55A，操作系統(tǒng)為IBM AIX ，服務(wù)器的管理認(rèn)證方式為用戶名/口令方式，沒有做到分權(quán)管理；利用AIX自帶的加密機(jī)制進(jìn)行口令保護(hù)，防止口令被竊??；在管理上服務(wù)器采取高強(qiáng)度口令，并且能夠定期自動(dòng)更新，對(duì)于過期賬戶通過人工方式進(jìn)行定期檢查，并及時(shí)刪除過期帳號(hào)，開啟了日志審計(jì)功能，審計(jì)重點(diǎn)是用戶登錄日志和故障日志。 信息資產(chǎn)描述 網(wǎng)絡(luò)設(shè)備情況XXX信息網(wǎng)絡(luò)的特點(diǎn)是采用防火墻來進(jìn)行連接，因此其用到的網(wǎng)絡(luò)設(shè)備很少，網(wǎng)絡(luò)設(shè)備主要是二層交換機(jī)，二層交換機(jī)的型號(hào)有CISCO、DELINK以及華為的設(shè)備，作為接入層網(wǎng)絡(luò)設(shè)備連接到各個(gè)終端以及服務(wù)器上；此外，在總部的網(wǎng)通寬帶出口處部署了一臺(tái)華為AR46型號(hào)的路由器，作為互聯(lián)網(wǎng)接入路由器使用，沒有啟用日志功能，該設(shè)備目前采用Telnet的方式進(jìn)行登錄，為方便維護(hù)允許遠(yuǎn)程登錄，認(rèn)證方式為帳號(hào)加口令的方式，在管理員登錄進(jìn)行訪問時(shí)，如果連續(xù)三次輸入錯(cuò)誤則自動(dòng)退出；防止惡意的嘗試登錄等行為；在業(yè)務(wù)服務(wù)器區(qū)域和外部服務(wù)器區(qū)域分別部署了CISCO 3550交換機(jī)（沒有啟用三層功能），并且直接連接到服務(wù)器，設(shè)備沒有啟用日志功能，采用CONSOLE的方式進(jìn)行管理員登錄，認(rèn)證方式為帳號(hào)加口令的方式，在管理登錄進(jìn)行訪問時(shí)，如果連續(xù)三次輸入錯(cuò)誤則自動(dòng)退出；防止惡意的嘗試登錄等行為。其中各個(gè)區(qū)域之間的訪問關(guān)系分別為：辦公終端區(qū)域：該區(qū)域包含公司總部的所有辦公終端，涉及部門有總裁辦、董事會(huì)、行政部、技術(shù)服務(wù)中心、人力資源中心、信息管理部、戰(zhàn)略方案中心、銷售中心、商務(wù)部、銷售管理部、財(cái)務(wù)部、行政部、市場部等，該區(qū)域的終端均可通過部署在三樓、四樓以及五樓的防火墻以及核心防火墻訪問到互聯(lián)網(wǎng)；其中銷售管理部、商務(wù)部、銷售中心、財(cái)務(wù)部、行政部的辦公終端可訪問業(yè)務(wù)服務(wù)器區(qū)域內(nèi)的EBS系統(tǒng)；所有的辦公終端均可以訪問業(yè)務(wù)服務(wù)器區(qū)域內(nèi)的內(nèi)部論壇；所有的辦公終端均可訪問外部服務(wù)器區(qū)域，可以訪問郵件系統(tǒng)，公司主頁以及DNS服務(wù)器；技術(shù)服務(wù)中心的終端可以訪問研發(fā)服務(wù)器區(qū)域的BUGzilla外部服務(wù)器；研發(fā)辦公終端區(qū)域：該區(qū)域包含公司研發(fā)中心的所有終端，該區(qū)域可以訪問外部服務(wù)器區(qū)域的公司主頁服務(wù)器、郵件服務(wù)器以及DNS服務(wù)器；可以訪問研發(fā)服務(wù)器的CVS服務(wù)器和BUGzilla服務(wù)器；在研發(fā)辦公終端邊界部署了防火墻設(shè)備，通過訪問控制規(guī)則限制辦公終端不得訪問互聯(lián)網(wǎng)；業(yè)務(wù)服務(wù)器區(qū)域：該區(qū)域包含運(yùn)行著公司的EBS系統(tǒng)以及內(nèi)部論壇的所有服務(wù)器，該區(qū)域只接收外部的訪問，目前EBS系統(tǒng)已開放采購、訂單、制造、財(cái)務(wù)和CRM模塊，并根據(jù)各個(gè)部門的職能劃分，系統(tǒng)內(nèi)進(jìn)行模塊的訪問控制，比如允許行政部訪問EBS的采購模塊；商務(wù)部和銷售中心以及各地的分支結(jié)構(gòu)可以訪問訂單模塊；各地分支機(jī)構(gòu)的商務(wù)人員以及財(cái)務(wù)部可以訪問其財(cái)務(wù)模塊；銷售中心以及各地分支機(jī)構(gòu)的銷售人員可以訪問其CRM模塊等；業(yè)務(wù)服務(wù)器區(qū)域直接連接到核心防火墻的端口上，通過核心交換機(jī)的訪問控制規(guī)則限制該區(qū)域?qū)ν獾娜魏卧L問；研發(fā)服務(wù)器區(qū)域：該區(qū)域包含運(yùn)行著研發(fā)CVS以及BUGzilla的所有服務(wù)器，主要提供給研發(fā)人員使用，此外，技術(shù)服務(wù)中心的辦公終端可以訪問其BUGzilla的外部服務(wù)器；該區(qū)域與研發(fā)終端區(qū)域以及測試機(jī)房區(qū)域共享一臺(tái)防火墻，通過防火墻的訪問控制規(guī)則限制該區(qū)域不得對(duì)外進(jìn)行任何訪問；生產(chǎn)車間終端區(qū)域：該區(qū)域包含了生產(chǎn)車間的所有的終端，與三樓的辦公終端共享一臺(tái)服務(wù)器，防火墻通過嚴(yán)格的訪問控制規(guī)則限制該區(qū)域只能訪問業(yè)務(wù)服務(wù)器區(qū)域的EBS系統(tǒng)，并通過EBS系統(tǒng)的應(yīng)用訪問控制，限制生產(chǎn)車間終端只能訪問其中的制造模塊；并且該區(qū)域不得訪問其他任何外部區(qū)域；外部服務(wù)器區(qū)域：對(duì)互聯(lián)網(wǎng)開放，提供四類服務(wù)器，包括主頁發(fā)布服務(wù)、郵件服務(wù)、DNS服務(wù)，以及提供給XXX的安全產(chǎn)品用戶進(jìn)行升級(jí)的服務(wù)，該區(qū)域直接連接到核心防火墻上，其中主頁發(fā)布服務(wù)和郵件、DNS也可提供給辦公終端人員進(jìn)行訪問；分支機(jī)構(gòu)區(qū)域：各分支機(jī)構(gòu)的邊界均部署了防火墻，可以訪問互聯(lián)網(wǎng)，并且可通過互聯(lián)網(wǎng)訪問公司的外部服務(wù)器區(qū)域以及業(yè)務(wù)服務(wù)器區(qū)域，并且為確保遠(yuǎn)程訪問傳輸?shù)陌踩?，在邊界的防火墻上，以及公司互?lián)網(wǎng)出口的防火墻上都配置了IPSEC VPN模塊，可實(shí)現(xiàn)安全傳輸；另外對(duì)于一些規(guī)模小的分支機(jī)構(gòu)，則通過SSL VPN的方式來訪問公司業(yè)務(wù)服務(wù)器區(qū)域和外部服務(wù)器區(qū)域；移動(dòng)辦公用戶：類似于分支機(jī)構(gòu)區(qū)域，移動(dòng)辦公人員通過SSL VPN的方式可安全地訪問公司業(yè)務(wù)服務(wù)器區(qū)域和外部服務(wù)器區(qū)域。此外，對(duì)于公司里一些涉及國家秘密的文件，單獨(dú)建設(shè)了涉密網(wǎng)（涉密檔案室），對(duì)涉密文件進(jìn)行單獨(dú)處理，并嚴(yán)格按照國家保密局的相關(guān)技術(shù)和管理要求進(jìn)行管理，在本方案中不再對(duì)其進(jìn)行設(shè)計(jì)。2 系統(tǒng)現(xiàn)狀描述 網(wǎng)絡(luò)架構(gòu)描述XXX公司信息系統(tǒng)的建設(shè)是伴隨著企業(yè)的發(fā)展而演進(jìn)的，2005年底隨著公司遷入華控大廈，公司對(duì)原有的網(wǎng)絡(luò)進(jìn)行了改造，形成了現(xiàn)有的網(wǎng)絡(luò)結(jié)構(gòu)，從整體上看主要包括以下幾個(gè)部分： XXX公司網(wǎng)絡(luò)架構(gòu)示意圖，XXX公司信息網(wǎng)絡(luò)包括總部和分支機(jī)構(gòu)兩大部分，其中重要的服務(wù)器均集中在總部，分級(jí)機(jī)構(gòu)只包含了辦公終端部分，XXX在全國共有35家分支機(jī)構(gòu)，各分支機(jī)構(gòu)均通過互聯(lián)網(wǎng)遠(yuǎn)程訪問總部。 其他說明作為國家信息安全保障體系建設(shè)的政策標(biāo)準(zhǔn)，等級(jí)保護(hù)提出信息系統(tǒng)的運(yùn)營、使用單位應(yīng)當(dāng)依照等級(jí)保護(hù)的辦法及其相關(guān)標(biāo)準(zhǔn)規(guī)范，履行信息安全等級(jí)保護(hù)的義務(wù)和責(zé)任，同時(shí)還提出了五個(gè)級(jí)別的信息系統(tǒng)建設(shè)要求，從信息系統(tǒng)保護(hù)等級(jí)的劃分定義可以看到，等級(jí)保護(hù)高度關(guān)注國家利益和社會(huì)秩序，信息系統(tǒng)一旦早到破壞后如果對(duì)社會(huì)秩序和公眾利益造成嚴(yán)重?fù)p害，那么其信息系統(tǒng)至少應(yīng)在3級(jí)以上。 《計(jì)算機(jī)信息系統(tǒng)安全專用產(chǎn)品檢測和銷售許可證管理辦法》公安部令32號(hào)216。 GB 9361：《計(jì)算站場地安全要求》216。 ISO/IEC 13335，第一部分：《IT安全的概念和模型》；第二部分：《IT安全的管理和計(jì)劃制定》；第三部分：《IT安全管理技術(shù)》；第四部分：《安全措施的選擇》；第五部分：《網(wǎng)絡(luò)安全管理指南》。這是目前世界上最權(quán)威的信息安全管理操作指南，對(duì)信息安全工作具有重要指導(dǎo)意義。 GB/T 18336：等同采用ISO 15408216。該標(biāo)準(zhǔn)歷經(jīng)數(shù)年完成，提出了新的安全模型，是很多信息安全理論的基礎(chǔ)。終端計(jì)算機(jī)系統(tǒng)安全等級(jí)技術(shù)要求GA/T 7092007 信息安全技術(shù) 信息系統(tǒng)安全等級(jí)保護(hù)基本模型GB/T aaaaaxxxx 信息安全技術(shù) 信息系統(tǒng)安全等級(jí)保護(hù)基本要求管理方面GB/T aaaaaxxxx 信息安全技術(shù) 信息系統(tǒng)安全等級(jí)保護(hù)基本要求ISO/IEC 27001 信息系統(tǒng)安全管理體系標(biāo)準(zhǔn)方案設(shè)計(jì)信息安全技術(shù) 信息系統(tǒng)等級(jí)保護(hù)安全建設(shè)技術(shù)方案設(shè)計(jì)規(guī)范方案架構(gòu)IATF 信息保障技術(shù)框架 其他信息安全標(biāo)準(zhǔn)和規(guī)范216。重點(diǎn)保護(hù)原則根據(jù)信息系統(tǒng)的重要程度、業(yè)務(wù)特點(diǎn)，通過劃分不同安全保護(hù)等級(jí)的信息系統(tǒng)，實(shí)現(xiàn)不同強(qiáng)度的安全保護(hù)，集中資源優(yōu)先保護(hù)涉及核心業(yè)務(wù)或關(guān)鍵信息資產(chǎn)的信息系統(tǒng)；本方案在設(shè)計(jì)中將重點(diǎn)保護(hù)XXX公司涉及生產(chǎn)、研發(fā)、銷售等關(guān)鍵業(yè)務(wù)的信息系統(tǒng)，對(duì)其他信息系統(tǒng)則降低保護(hù)等級(jí)進(jìn)行一般性設(shè)計(jì)和防護(hù)；技術(shù)管理并重原則信息安全問題從來就不是單純的技術(shù)問題，把防范黑客入侵和病毒感染理解為信息安全問題的全部是片面的，僅僅通過部署安全產(chǎn)品很難完全覆蓋XXX所有的信息安全問題，因此必須要把技術(shù)措施和管理措施結(jié)合起來，更有效的保障XXX信息系統(tǒng)