信息安全建设方案建议书(五)

《信息安全建设方案建议书(五)》由会员分享，可在线阅读，更多相关《信息安全建设方案建议书(五)（32页珍藏版）》请在装配图网上搜索。

1、 第1章 信息安全解决方案设计在第2章里，我们分别从网络、应用、终端与管理四个方面对公司的信息系统安全建设进行了风险与需求的分析。同时根据第3章的安全方案设计原则，我们将公司网络安全建设分为以下几个方面进行了详细的方案设计： 边界安全解决方案； 网安全解决方案； 应用安全解决方案； 安全管理解决方案； 安全服务解决方案。下面我们分别针对这5个安全解决方案进行详细的描述。1.1 边界安全解决方案在第2章的网络安全风险与需求分析中，我们主要从外部网络连接与部网络运行之间进行了风险的分析。边界安全解决方案就是针对与外部网络连接处的安全方面。网络是用户业务和数据通信的纽带、桥梁，网络的主要功能就是为用

2、户业务和数据通信提供可靠的、满足传输服务质量的传输通道。就公司网络系统来讲，网络边界安全负责保护和检测进出网络流量；另一方面，对网络中一些重要的子系统，其边界安全考虑的是进出系统网络流量的保护和控制。针对公司网络系统，来自外部互联网的非安全行为和因素包括： 未经授权的网络访问 身份（网络地址）欺骗 黑客攻击 病毒感染针对以上的风险分析与需求的总结，我们建议在网络边界处设置防火墙系统、安全网关与远程访问系统等来完善公司的边界网络安全保护。1.1.1 防火墙系统为在公司网络与外界网络连接处保障安全，我们建议配置防火墙系统。将防火墙放置在网络联结处，这样可以通过以下方式保护网络： 为防火墙配置适当的

3、网络访问规则，可以防止来自外部网络对网的未经授权访问； 防止源地址欺骗，使得外部黑客不可能将自身伪装成系统部人员，而对网络发起攻击； 通过对网络流量的流量模式进行整型和服务质量保证措施，保证网络应用的可用性和可靠性； 可以根据时间定义防火墙的安全规则，满足网络在不同时间有不同安全需求的现实需要； 提供用户认证机制，使网络访问规则和用户直接联系起来，安全更为有效和针对性； 对网络攻击进行检测，与防火墙置的IDS功能共同组建一个多级网络检测体系。目前新型状态检测的防火墙有效的解决并改善了传统防火墙产品在性能与功能上存在的缺陷，状态检测防火墙具有更高的安全性、系统稳定性、更加显著的功能特性和优异的网

4、络性能，同时具有广泛的适应能力。在不损失网络性能的同时，能够实现网络安全策略的准确制定与执行，同时有效地抵御来自非可信任网络的攻击，并具有对防火墙系统安全性能的诊断功能。其置的入侵检测系统，可以自动识别黑客的入侵，并对其采取确切的响应措施，有效保护网络的安全，同时使防火墙系统具备无可匹敌的安全稳定性。我们可以根据业务模式与具体网络结构方式，不仅仅在部网络与外部网络之间，同时在部网络与部网络之间和各子业务系统之间，考虑采用防火墙设备进行逻辑隔离，控制来自外网络的用户对重要业务系统的访问。1.1.1.1 防火墙技术部署说明（根据具体的网络情况描述）1.1.1.2 产品选型与功能介绍（根据具体产品描

5、述）1.1.2 安全网关由于考虑到公司与互联网（Internet）进行连接，所以我们建议在系统网络与Internet接入处配置“安全网关”，部署位置灵活，可放置在接入路由器与防火墙之间，也可部署在防火墙与部网络之间。随着互联网的飞速发展和应用，计算机病毒已将互联网作为其一种主要的传播途径。其中利用电子传播病毒是最直接的方式，统计显示传播方式占全部病毒传播的90%以上。在过去一段时间所发生的几起影响较大的计算机病毒事件中，以Internet为主要传播途径的病毒占大多数，如Nimda、Code Red等，以与近几年爆发的Sobig.F、Swen、冲击波、振荡波等等。同时，由于病毒的泛滥，垃圾也越来

6、越成为大家头痛的问题。根据国际领导的市场调查机构Radicati Group统计，目前所有的中，超过50是垃圾，也就是说每天在国际上有超过150亿封垃圾被发送出去，使各类企业每年遭受到200亿美元以上由于劳动生产率下降与技术支出带来的损失，到2007年垃圾数量将上升到惊人的2万亿封一年。经过上述风险与需求的分析，在Internet接入处对病毒、垃圾与恶意代码进行控制，是实现接入安全的最佳方案。通过配置“安全网关”，我们可以实现： 保证所有主要的Internet协议的安全，包括 、FTP、SMTP、POP3等信息在进入部网络前由安全网关进行查杀毒； 过滤所有来自互联网的垃圾； 通过SMTP认证保

7、证服务器不会被黑客当作攻击别人的跳板等。1.1.2.1 产品选型与功能描述安全网关的目标是在网络边界或Internet网关处提供全面的病毒防护，而该病毒防护设备是即插即用的，不需要改变任何Internet设置，并对所有应用与服务透明。通过全面阻截已知与未知病毒和防垃圾功能和容过滤功能达到针对企业网络环境的全面防护。安全网关是一款高度可配置与提供负载均衡的产品，为从中型到大型企业提供全面解决方案，并对网络流量透明。v 主要模块 防病毒模块能够扫描最常用的6种协议，阻止未知病毒和计算机蠕虫进入公司网络 防垃圾模块安全网关通过其反垃圾模块检查进入公司的所有。信息被扫描并且被划分成垃圾或非垃圾，在未被

8、请求的到达用户信箱之前进行阻断或修改这些信息的主题 容过滤模块网页过滤模块允许管理员限制因特网访问。可以定义不受欢迎容目录，授权和非授权网页。允许管理员控制公司网络资源，并且阻断非法，黄色或暴力容，或只是不受欢迎容进入公司。可以建立VIP用户列表，这些用户不需应用上述限制v 主要特点： 易于使用：安全网关是目前世面上最易于安装与使用的硬件网关产品，作为网络信息传递的桥梁而非需要重新路由网络流量。 安全：安全网关扫描6种网络协议，而其他硬件网关产品仅能够扫描2到4种网络协议。在安全网关安装在企业边界上时，它实时扫描所有收入与发出与其他的网络传输信息，并且具有防垃圾功能和容过滤功能 表现性能：安全

9、网关的最大性能是可以取得完全扫描与病毒防护。安全网关的硬件与软件性能经过特殊优化处理，能够同时扫描6种网络协议，并且完全对企业网络透明。 扩展性：安全网关专门针对自动负载均衡设计，使增加扫描的速度与增加网络防护可以随时达到。并可支持到百兆。v 功能与优势： 性能高度优化的病毒防护 整合最新硬件与软件技术，提供超乎寻常的优异性能，能够在一个小时扫描上万封，完全对企业网络透明。 性能高度优化的垃圾防护 整合最新硬件与软件技术，提供超乎寻常的优异性能，能够在一个小时扫描上万封，完全对企业网络透明。 拓展性与负载均衡 由于安全网关的高度可拓展性，安全网关适合中到大型企业，能够根据网络通讯流量调节扫描能

10、力。负载均衡是完全自动的，允许工作负载量能够自动在不同工作单元间进行均衡，良好地保障了产品的可拓展性与对企业边界的全面防护。 易于安装与配置 按照即插即用的设计思路，能够非常简便地安装在企业网络中，不需要重新配置或重新路由Internet流量。一旦安装完成，就开始不知疲倦地扫描所有网络流量，保障网络的100安全。 保护所有广泛使用的网络协议 保护所有可能的Internet相关威胁，完全扫描所有常用Internet协议，包括: , FTP, SMTP, POP3, IMAP, NNTP. 容过滤 容过滤防止未知病毒与蠕虫进入企业网络，大幅减少整体网络资源占用与带宽，防止可能的恶意代码进入到企业网

11、络。 远程管理 可以通过一个简洁、启发式的WEB管理控制台远程管理，让企业网络管理员通过企业部任何一台电脑管理该产品。 每日自动病毒更新 可以每日自动病毒更新，意味着安全网关始终可以防护所有最新病毒。 详细报告与可客户化的报警安全网关提供完整的扫描报告，并可以客户化在企业部网络的病毒报警机制。 实时系统监控 安全网关提供网络管理员对网络病毒行为与网络流量的实时监控。1.1.3 远程访问安全根据前面的风险与需求分析可知，公司在通过Internet互连与远程访问方面，主要存在着以下两种类型： 公司总部与分支机构之间的远程访问与互连； 公司与合作伙伴之间的远程访问与互连。在总部与分支之间的互连，一般

12、要求将分支机构的网络接入到总部网络。而与合作伙伴的互连一般情况下合作伙伴访问企业固定的某些应用系统。同时，远程应用中还存在着一种情况，即用户出差或移动状态中需要在远程访问安全方面，我们分别针对这两类应用类型设计了相应的VPN远程访问系统。1.1.3.1 分支与总部的连接目前，由于VPN（虚拟专网）比租用专线更加便宜、灵活，所以有越来越多的公司采用VPN，连接在家工作和出差在外的员工，以与替代连接分公司和合作伙伴的标准广域网。VPN建在互联网的公共网络架构上，通过“隧道”协议，在发端加密数据、在收端解密数据，以保证数据的私密性。如在企业分部与企业总部之间，与企业员工与企业核心数据之间，都可建立起

13、端到端的逻辑隧道(Tunnel)，所谓“隧道”是指其中所传递的数据都经过特殊包装和加密处理，从而能与同一物理链路中其它数据区别开来，避免被不法用户所窃取，只有在隧道的始末两端才可能添加和去除这些特殊包装以得到真实的数据。在通过公共网络(如Internet)传递业务数据时，这项技术尤为必要。现在大多数远程安全访问解决方案是采用IPSec VPN方式，应用最广泛的组网结构是在站点到站点的VPN组网方式。IPSec是网络层的VPN技术，表示它独立于应用程序。IPSec以自己的封包封装原始IP信息，因此可隐藏所有应用协议的信息。一旦IPSec建立加密隧道后，就可以实现各种类型的一对多的连接，如Web、

14、电子、文件传输、VoIP等连接。并且，每个传输必然对应到VPN网关之后的相关服务器上。在设计上，IPSec VPN是一种基础设施性质的安全技术。这类VPN的真正价值在于，它们尽量提高IP环境的安全性。IPSec VPN的诱人之处包括，它采用了集中式安全和策略管理部件，从而大大缓解了维护需求。1.1.3.2 应用系统的远程访问信息技术发展到现在，Web成为标准平台已势不可挡，越来越多的企业开始将ERP、CRM、SCM移植到Web上。SSL VPN将是Web应用热潮的直接受益者，它被认为是实现远程安全访问Web应用的最佳手段。很多情况下，如采用SSL VPN的能够就是降低成本。虽然购买软件或硬件的

15、费用不一定便宜，但部署SSL VPN很便宜。安装了这类软件或硬件，使用者基本上就不需要IT部门的支持了，只要从其PC机上的浏览器向公司网注册即可。SSL连接也更稳定，据Infonetics最近发表的报告表明， SSL将不断获得吸引力。到2006年，74%的移动员工将依赖VPN（比2004年增加15%），预计增长率主要来自SSL，这种IPSec以外的方案避开了部署与管理必要客户软件的复杂性和人力需求。最终用户避免了携带电脑，通过与因特网连接的任何设备就能获得访问，SSL更容易满足用户对移动连接的需求。用户通过与因特网连接的任何设备实现连接，并借助于SSL隧道获得安全访问。虽然这需要在企业防火墙后

16、面增添硬件，但企业只要管理一种设备，不必维护、升级与配置客户软件。SSL VPN将远程安全接入延伸到IPSec VPN扩展不到的地方，使更多的员工，在更多的地方，使用更多的设备，安全访问企业网络资源，同时降低了部署和支持费用。SSL VPN正在成为远程接入的事实标准。SSL VPN可以在任何地点，利用任何设备，连接到相应的网络资源上。SSL VPN通信运行在TCP/ UDP协议上，具有穿越防火墙的能力。这种能力使SSL VPN能够从一家用户网络的代理防火墙背后安全访问另一家用户网络中的资源。IPSec VPN通常不能支持复杂的网络，这是因为它们需要克服穿越防火墙、IP地址冲突等困难。鉴于IPS

17、ec客户机存在的问题，IPSec VPN实际上只适用于易于管理的或者位置固定的设备。SSL VPN是基于应用的VPN，基于应用层上的连接意味着（和IPSec VPN 比较），SSL VPN 更容易提供细粒度远程访问（即可以对用户的权限和可以访问的资源、服务、文件进行更加细致的控制，这是IPSec VPN难以做到的）。IPSec VPN和SSL VPN 将在网络组网中发挥各自的优势。在公司的远程访问安全中，由于分别存在着这两种情况，因此我们建议在方案中采用IPSec 和SSL VPN相结合的部署方式： 总部与分支机构之间的需要通过现有的Internet进行互连，提供分支机构对总部网络的访问。因此

18、，采用基于IPSec的站点到站点的VPN接入是比较理想的接入方式。 出差用户与远程移动用户访问公司部应用、与合作伙伴访问某些特定的业务应用系统，采用SSL VPN方式更能有效的满足应用的需求。1.1.3.3 产品选型与功能说明（根据具体的产品功能描述）1.1.4 入侵检测系统根据之前的安全风险与安全需求分析，在公司网络中，由于直接接入Internet与部网络用户众多，可能面临的风险与威胁有： 拒绝服务攻击（DoS）：通过消耗网络带宽资源或网络设备处理能力资源，使正常的服务和数据通信对网络的传输质量要求得不到满足。尼姆达（Nimda）病毒冲击波（Blaster, Nachi）病毒就是非常典型例子

19、。 信息窃听 资源滥用：部人员访问不当站点、玩网络游戏，浪费网络资源，使正常的服务和数据通信得不到保障。 管理失控：通过窃取网络设备的管理权而使网络失去安全性因此，我们在方案中建议在网络中部署入侵检测系统来入侵与滥用行为进行检测与审计。通过在网络中部署入侵检测系统，可以在安全保障上做到： 检测和发现针对系统中的网络攻击行为，如DoS攻击。对这些攻击行为可以采取记录、报警、主动阻断等动作，以便事后分析和行为追踪。 通过定义禁止访问，限制部人员对不良站点的访问。 对一些恶意网络访问行为可以先记录，后回放，通过这种真实地再现方式更精确的了解攻击意图和模式，为未来更有效地的防类似攻击提供经验 “入侵检

20、测系统”可以提供强大的网络行为审计能力，让网络安全管理员跟踪用户（包括黑客）、应用程序等对网络的使用情况，帮助他们改进网络规划。 对“入侵检测系统”的使用和使用人员的管理一定要有专门的制度。IDS最主要的功能是对网络入侵行为的检测，它包括普通入侵探测和服务拒绝型攻击探测引擎，可以自动识别各种入侵模式，在对网络数据进行分析时与这些模式进行匹配，一旦发现某些入侵的企图，就会进行报警。IDS也支持基于网络异常状况的检测方式。IDS具有强大的碎片重组功能，能够抵御各种高级的入侵方式。为了跟踪最新的入侵方式和网络漏洞，IDS提供大容量的入侵特征库以与方便的升级方式，每一个漏洞都提供了详细的说明和解决方法

21、，并且给出了相关的Bugtraq、CVE以与CAI等国际标准的编号。IDS能够基于时间、地点、用户账户以与协议类型、攻击类型等等制定安全策略。通过对安全策略的调整，用户能够很方便地将IDS自定义成为符合自己组织需要的入侵检测系统。而且，通过IDS提供的正则表达式，用户能够方便地对入侵特征库进行扩充，添加需要的入侵特征，并且能够对入侵的响应过程进行自定义。比如用户需要在发现某种特定类型的攻击方式的时候启动一段自己编写的程序以完成某项功能的时候，就可以利用IDS提供的接口灵活而方便地进行配置完成。在抵御拒绝服务攻击的功能上，IDS不仅仅能够进行攻击的报警，而且能够主动切断攻击。由此产生的大量日志能

22、够通过IDS具备的强大的工作区切换功能进行存储和转发，大大提高了网络入侵检测系统本身的抗攻击能力。为了进一步提高IDS的抗攻击能力，IDS还支持Stealth模式的配置，就是无IP设置。这样攻击者就无法访问运行IDS安全工作站，也就无法对IDS进行直接攻击。1.1.4.1 产品部署说明（根据具体的网络情况描述）1.1.4.2 产品选型与功能描述（根据具体的产品描述）1.2 网安全解决方案面对网络信息安全的各种风险，我们在边界与网关处的安全解决方案解决了许多安全问题。例如：在网络边界，通过防火墙对网络连接和访问的合法性进行控制，通过网关过滤设备对数据流非法容进行控制；在网络传输上，通过入侵检测监

23、视黑客攻击和非法网络活动等。但针对于部网络我们仍然面临着诸多的安全问题。传统上，我们通过漏洞扫描发现系统缺陷；在主机设备，通过主机加固加强主机防护能力，通过防病毒、反间谍软件预防恶意代码等。然而随着网络的发展，病毒与恶意代码本身的技术越来越先进，其防护也越来越复杂。而且随着计算机技术与应用的普与，桌面用户的行为也越来越超出网管员的管理能力畴。因此，在考虑部网络安全时，如果有效的管理网络与终端将是我们考虑的主要问题。在此我们通过以下三种手段来完成基于终端的安全管理： 通过部署网络防病毒系统来完善企业整体防病毒与恶意威胁的能力； 通过漏洞扫描或风险评估工具来发展漏洞、脆弱性与威胁，并通过补丁分发系

24、统对漏洞与脆弱性进行与时的矫正与补充； 通过终端安全管理系统对桌面设备与用户进行安全管理与规，有效保证终端的安全。1.2.1 企业防病毒系统目前公司网络系统中并没有一套完整的防病毒策略和技术方案，工作站安装的防病毒软件各种各样，甚至有些服务器与工作站没有安装防病毒软件，部分工作上使用的防病毒软件病毒特征代码没有与时更新，没有对防病毒软件进行统一的管理。鉴于防病毒的重要性和资源服务器系统网络的当前状况，需要建立一套完整的防病毒系统，把病毒对网络的威胁降到最低。目前企业整体防病毒解决方案均已比较成熟。在此我们针对传统企业防病毒系统部署强调以下几点： 全面性：实施网络防毒系统时，应当对网络所有可能作

25、为病毒寄居、传播与受感染的计算机进行有效防护。避免有“遗忘的角落”造成病毒传播的源泉； 功能与易用性：一方面需要对各种病毒进行有效杀、防；另一方面，也要强调网络防毒在实施、操作，维护和管理中的简洁、方便和高效，最大限度地减轻使用人员和维护人员的工作量； 资源占用：防毒系统和企业现行计算机系统的兼容性、防毒软件的运行效率与占用资源等是企业防病毒系统必须考虑的问题。部署时考虑到企业现有的计算环境与应用平台，是否与需求资源相匹配； 管理体系：为了保证防病毒系统的一致性、完整性和自升级能力，还必须要有一个完善的病毒防护管理体系，负责病毒软件的自动分发、自动升级、集中配置和管理、统一事件和告警处理、保证

26、整个企业围病毒防护体系的一致性和完整性。 防病毒策略：这个是企业防病毒系统最容易被忽略的地方。系统必须明确地规定保护的级别和所需采取的对策，并制定系统的防病毒策略和部署多层防御战略，服务器防病毒、个人桌面计算机防病毒以与所有防病毒产品的统一管理，不要让网络系统中存在“木桶效应”。一个良好的防病毒解决方案需要做到“层层防护，处处设防”，全方位多层次部署防病毒体系。我们为公司网络中提供一个稳定高效、技术一流、方便管理、服务周全的病毒防护解决方案，满足网络系统对病毒防护系统设计的业务需求，确保网络系统能有效抵御各种病毒和恶意程序的攻击。在公司网络中建立病毒防护管理服务器，所有的防毒对象（工作站和服务

27、器）均采用安装代理的方式来实现集中控管。防毒服务器全面控制防毒代理的运行、升级和删除等权限。可以通过防毒服务器自动分发防毒策略和防病毒升级特征库，而整个防毒体系只需要网管与网络安全管理中心的防毒服务器去Internet自动获取病毒库升级就可以自动完成全网的升级工作。极提高了防毒工作的效率。并且这种二层架构的网络防毒体系具有很好的扩展性。1.2.1.1 产品选型与功能描述NOD32企业级防病毒安全套装是一个高性能和稳定的防病毒解决方案，它方便了对网络中所有计算机的保护配置和更新，这些计算机包括：工作站，文件服务器，Exchange和Domino服务器，SMTP网关和边界服务器。它不仅抵御病毒，蠕

28、虫和特洛依木马，还防护新的英特网攻击，如垃圾，间谍程序，拨号器，黑客工具和恶作剧，以与针对系统漏洞，并提供保护阻止安全冒险。入侵防护采用了新一代的防护技术，它比传统的检测系统更加智能化，能在第一时间发现新的威胁，并阻断企图越过传统防病毒软件的未知病毒的攻击，不管该未知病毒是以下列何种方式传播：外围设备、局域网共享资源、电子E-mail、互联网。入侵防护是市场上唯一一款集已知和未知威胁防护于一身的入侵防护软件，能最大程度地抵御病毒、木马、蠕虫等网络威胁。入侵防护企业版主要特性包括： 发现并清除未知病毒：结合了多种恶意代码程序的检测与阻断技术，能有效发现并清除未知病毒。 缓冲区溢出防护：不仅能抵御

29、已知的安全漏洞攻击，而且能防护未知的攻击。能在第一时间保护系统的缓冲区溢出漏洞不会被恶意代码利用作为攻击的手段，即使还没有任何针对该漏洞的资料和补丁程序。 防护性的阻断感染：可以在网络层防止病毒和蠕虫在企业网络中传播。 安全政策定义：通过建立安全政策来控制计算机上运行的程序可执行的操作，使网管人员能对企业网络所有的计算机进行整体控制管理、定义并干预正当的与被禁止的操作。 新一代的防护技术，能抵御所有类型的互联网威胁：包括病毒、木马、蠕虫等。 无可比拟的集中式部署：能不受地域限制，对企业组织中所有的工作站进行客户端分发和集中管理。 占用资源最小化：是在低带宽环境下保护笔记本电脑的理想方案。 基于

30、通用标准的技术：优化网络的防病毒更新速度。 友好直观的用户界面：避免混淆和误操作。1.2.2 终端安全管理在第2章里我们针对终端的安全进行了详细风险与需求的分析。终端安全是我们整体解决方案里不可或缺的部分，因为终端安全是我们日常安全工作是最重要也是需要关注最多的部分。因此相应的终端安全的解决方案必须做到：v 统一、灵活的安全策略所有的安全管理都是通过策略集的定制和分发来完成的，支持集中的安全管理，便于整个系统的统一管理。安全策略分为用户策略和全局策略两类。一般情况下，用户终端工作在网络环境下，接受在线环境下用户策略的控制；对于移动办公的笔记本电脑等移动终端，接受脱机情况下全局策略的保护。管理员

31、可根据组织机构划分管理权限，不同的管理者具有不同的权限和管辖围，支持系统清晰的职权划分。安全策略可以分组分类，不同的策略组所起的控制作用和使用围也不同。为了简化策略的管理，我们将用户按照角色来管理；对不同的角色实施不同的安全策略。策略涉与多个层次：物理和环境、链路和操作、网络、设备、系统、应用、数据、人员等各个层面的安全策略制定、部署和实施，帮助客户有效实现网络安全建设。策略层次如下图所示：v 多层面、全方位保护系统的保护覆盖了“系统核 - 系统设备 - 应用程序”三个层面，提供了全方位的保护。在系统核层面，可自动、透明地帮助用户加固操作系统、降低IT资源风险。终端用户勿需具备专业安全知识便可

32、将自己的计算机终端加固到专家级程度，从而将精力关注于核心业务。在系统设备层面，严格限定用户对硬件设备（例如：磁盘驱动器、CD-ROM、USB设备、打印机、网卡等）的使用权限和网络传输控制，保证该主机遭受攻击或发起对外攻击的可能性都极大降低，同时也防止数据信息泄露。在应用程序层面，严格限定用户在指定电脑上的合法行为和禁止行为，保证了用户只能在合法围正常使用电脑，避免了用户对资源的滥用，也避免了由此造成的维护成本升高。v 智能化分析和异常检测机制系统通过特有的环境因子和用户因子生成报警因子，并结合策略因子和历史数据，共同输入到决策引擎中；该引擎采用专有的安全算法，综合分析判断得出对某个事件是否报警

33、。这样就避免了大量误报给管理员带来的工作量。v 安全和管理相结合计算机终端的生命周期管理过程中，既涉与到安全保护，也涵盖终端管理，这两项工作容都服务于业务目标，目的是保证IT业务和办公的正常运行和健康发展。安全和管理的完善结合，正是终端管理系统设计的重要思想。1.2.2.1 产品选型与功能介绍IP-GUARD终端安全管理系统是为了应对目前终端面临的众多安全威胁而设计的一种安全管理产品，也是实现ELM策略的重要技术手段。提供了对终端生命周期管理（ELM）策略的全面技术支撑，涵盖了资产管理、终端保护、应用监管、审计分析等功能模块。以计算机终端为核心，通过完整、灵活、适应用户需求的措施，提供终端安全

34、解决方案。KSMS面向企业级用户，它部署在网络中每一台计算机终端，实现对终端的全面保护，并且强调对网络终端的统一控制管理。象一个时刻守卫在用户身边的安全管理员，提供有效的安全保护，确保计算机安全使用和企业级的统一管理。1.2.2.1.1 系统体系和结构由三个部分组成：策略服务器（KPS）、管理控制台（KMC）、安全客户端（KSA）。v 分布式的体系结构系统采用分布式体系结构，部署在网络所有需要保护的计算机终端，通过集中的管理中心进行控制管理。KSMS提供灵活的部署能力，具有良好的扩展性。KSMS体系结构如下图所示：在上图中，安全管理中心包括策略服务器、管理控制台、日志和审计数据库。其中，日志和

35、审计数据库可采用独立服务器，也可安装部署在管理控制台。需要保护管理的计算机终端包括企业网络环境中工作的各种PC、笔记本电脑、PC服务器等。接受保护和管理的终端节点会产生各种安全审计信息，可集中传输并存放到日志审计数据库，管理控制台可以访问和管理审计信息并进行统计分析。v 系统组成 策略服务器策略服务器保存并分发安全策略。KPS负责系统的认证授权、策略管理的后台支持，负责整个系统策略的发布和保存。支持分布式部署，能够适用于大规模网络环境的应用。 管理控制台KSMS管理控制台实现系统的集中管理控制。负责用户终端管理、策略定义和应用、系统设置、日志查询和报表分析，为系统的管理提供统一的平台，并支持用

36、户分权管理。 安全客户端安全客户端接受控制台的管理，执行安全策略。KSA部署在需要保护的用户PC和服务器上，保护计算机终端安全使用、约束用户操作行为，系统将各种安全信息和日志传递到控制台供管理员统一分析处理。1.2.2.1.2 主要功能v 资产管理企业级的资产管理功能，帮助管理员和信息主管充分掌握企业围IT信息资产情况，为加强IT管理提供依据。 设备管理管理员可充分掌握分散的计算机终端硬件配置与其变更情况（例如主板、CPU、存、硬盘等），统筹管理，避免资产流失。 软件管理管理员可与时掌握客户端安装软件与变化情况（例如操作系统、版本、补丁、所安装的应用软件等），便于监督管理。 用户管理员工用户是

37、企业资产的重要组成部分。提供基于按组织划分的用户角色的管理，管理员可在线查询用户终端操作系统、进程、设备情况、性能状态等多种信息。 资产识别对非法终端、设备资产的真实性识别可通过绑定IP、MAC、用户的方式实现。v 终端保护KSMS企业级的强制安全策略，提供基础架构保护和资产保护功能，通过多种手段全方位保护计算机终端安全使用。基础架构保护主要包括：终端网络访问控制、恶意程序综合防；资产保护主要包括：设备使用限制、数据文件保护。 终端网络访问控制通过IP地址、IP/TCP/UDP/ICMP/IGMP协议、服务端口等控制，防止遭受外来黑客攻击，并且防止部终端对外（或部网络其它终端）发起攻击。 恶意

38、程序综合防采取多种方式综合防恶意程序破坏。通过端口控制，可阻止特定蠕虫攻击；通过限制程序执行，控制未知病毒发作；通过注册表保护，防止恶意代码篡改；通过补丁管理，可与时通知补丁信息，弥补漏洞；通过与KILL与各种主流防病毒软件联动，集成实现防病毒管理。 设备使用限制通过限制串口/并口、软驱/光驱、USB磁盘、各种形式打印机、PCMCIA卡、红外、1394接口、多网卡/无线网卡、Modem/ADSL等设备使用，有效防止设备滥用、一机多网使用、信息通过设备泄露现象的发生，同时为加强IT制度管理提供技术保障。 数据文件保护通过数据访问权限控制等方式，保护数据、防止破坏和信息泄露。v 应用监管通过多种方

39、式对计算机终端应用状况和用户行为进行监控管理。 非法外联控制通过网络设备限制、网络程序/连接控制等手段，限制终端非法外联，对员工随意访问外部网络的行为进行管理，同时避免从不安全网络引入安全风险。此外，还可通过联动方式，控制终端必须经过统一认证才能经过滤网关连接到外部网络。 网络准入控制可通过检测发现并防止非法终端（非KSMS客户端）接入网络，以此保护企业网络资源；此外，还可与交换机联动，通过802.1x协议方式将非法终端隔离在网络之外。 程序限制可限制网络程序，对 、MSN、网络冲浪等行为进行管理；对游戏与业务无关行为进行技术限制；保证工作效率。 网页过滤预置上百万条分类的URL（暴力、赌博、

40、邪教等）黑，可完全禁止访问；另外可通过自定义黑白、关键字方式过滤非法和网页，限制对禁止网页的访问。 远程维护当终端计算机用户需要现场技术支持时，管理员可通过的远程协助功能帮助用户解决技术问题，在特权许可情况下对客户端进行远程维护和屏幕监控，大幅提高工作效率。v 审计分析提供系统日志、认证日志、报警日志等等多种水晶报表格式的统计分析报告，为管理员提供安全分析依据。日志划分为7个级别（紧急、警报、严重、错误、警告、通知、提示），可选择多种告警方式（声音、Windows消息等）。1.3 应用安全解决方案在第2章里，我们对应用安全的风险与需求进行了详细的分析与定义。在我们整体解决方案中从以下的两个方面

41、来完善应用安全解决方案。1.3.1 身份认证1.4 安全管理解决方案在第2章的安全管理的风险与需求分析中，我们主要从技术层面和行政层面两个方面来进行了阐述。实际上，安全管理是一个复杂而渐进的过程，因为作为管理能力，是需要通过不断的改进和提高。在公司的安全管理解决方案中，我们先从技术和行政这两个层面对的安全管理进行一个基本设计，先建立一个基础的安全管理平台，然而我们会进一步如何建立有效的安全管理体系（SOC），实现可管理的安全进行初步的论述。1.4.1 安全管理平台的建立1.4.1.1 技术层面作为信息安全管理平台所要求的高效和安全应用，是离不开尖端的计算机技术作为基础，当然也离不开企业的行政管

42、理手段，因为没有系统的管理措施，那么再新的技术也无法在系统中得到更好的应用。在技术方面通过专业的网络综合管理系统来建立一个基本安全管理中心的技术平台。通过专业的网络综合管理系统来实现对网络设备、主机设备、安全设备和应用系统的安全管理。由于公司的信息系统建设是分步进行的，网络设备、应用系统以与安全设备、用户平台等具有多样性，因此对管理平台或系统的要求也比较高，必须采用专业的网络综合管理系统，对网络中的所有设备以与系统平台都能够统一集中管理，获取所有设备的工作状态和网络负载状态，同时可以看到网络活动的日志信息，用它来对网络状态进行分析，提供更有效的安全策略，同时网管系统能够监测客户端系统状态，能够

43、接管客户端系统，当网络中的么一用户系统出现问题而自己却无法诊断，这时可以通过网管系统进行远程接管，来协助用户解决问题。1.4.1.2 行政层面在行政层面公司必须成立信息安全管理小组，通过小组会议确立信息安全政策总则、信息安全管理政策、信息安全审计考核与信息安全政策。v 信息安全政策总则主要是确定公司信息安全总体原则，明确今后的安全目标，有组织、有计划的为信息安全建设给出总体方向，是其它政策和标准的依据。v 信息安全管理政策主要是制定信息安全政策和标准流程、管理规、推广实施、定期维护；设置安全组织管理体系的结构；规定领导层对信息安全的责任、考核。v 信息安全策略主要是明确公司部所有用户、所有应用

44、的明确的安全细则，它是作为公司领导对所有用户考核的依据。其具体信息安全政策应包括以下容： 安全事件监测和响应 员工信息安全管理 开发维护部软件 数据和文档管理 商业软件的购买和维护 、电子 硬件设备和物理安全 信息系统的访问控制 网络、系统操作和管理 防御病毒和防御攻击v 信息安全审计指定审计和考核标准的目的是为了考察信息安全政策和标准的执行情况，与时发现问题，纠正问题。这有助于信息安全政策的改进和完善。政策中应该包含审计考核的标准、审计考核时间、方法、结果的处理。在行政层面部分容，如信息系统安全策略设计、详细的安全策略制订等可以通过外部专业的安全咨询公司进行咨询，然后结合企业的信息安全建设来

45、制订。此部分容我们将在下一部分安全服务解决方案里进行进一步的阐述。1.4.2 安全运营中心（SOC）信息安全管理的发展，随着安全需求的提升也不断的发展。近几年以来，安全运营中心（SOC）的概念与技术发展的也越来越成熟。部分涉足比较早的企业和服务商已经有了比较成功的实施案例。在公司的安全管理解决方案中，我们在基础的安全管理平台之上，也提出关于建立有效的安全运营中心（SOC），实现可管理的安全服务。1.4.2.1 SOC基础传统的安全管理方式是将分散在各地、不同种类的安全防护系统分别管理，这样导致安全信息分散互不相通，安全策略难以保持一致，这种传统的管理运行方式因此成为许许多多安全隐患形成的根源。

46、安全运营中心（Security Operation Center）是针对传统管理方式的一种重大变革。它将不同位置、不同安全系统中分散且海量的单一安全事件进行汇总、过滤、收集和关联分析，得出全局角度的安全风险事件，并形成统一的安全决策对安全事件进行响应和处理。总体来说SOC的根本模型就是PDR模型，而SOC系统就是实现其中的D（Detection，检测）和R（Response，响应）。SOC的需求主要是从以下几个方面得到体现： v 大系统的管理 通常安全系统是分别独立逐步的建立起来的，比如防病毒系统、防火墙系统、入侵检测系统等，各个系统都有单独的管理员或者管理控制台。这种相对独立的部署方式带来的

47、问题是各个设备独立的配置、各个引擎独立的事件报警，这些分散独立的安全事件信息难以形成全局的风险观点，导致了安全策略和配置难于统一协调。这种对于大规模系统的安全管理也正是SOC的需求根源，就是说只有大系统、拥有复杂应用的系统才有SOC的需求。 v 海量信息数据 随着安全系统建设越来越大，除了需要协调各个安全系统之间的问题之外，由于安全相关的数据量越来越大，有些关键的安全信息和告警事件常常被低价值或无价值的告警信息所淹没，一些全局性的、影响重大的问题很难被分析和提炼出来。为了从大量的、孤立的单条事件中准确的发现全局性的、整体的安全威胁行为，需要SOC这样一个平台使得整个安全体系的检测能力更加准确，

48、更加集中于影响重大的焦点问题。 v 信息安全目标 我们知道传统的信息安全有7个属性，即性（Confidentiality）、完整性（Integrity）、可用性（Availability）、真实性（Authenticity）、不可否认性（Nonreputiation）、可追究性（Accountability）和可控性/可治理性（Controllability/Governability）。信息安全的目标是要确保全局的掌控，确保整个体系的完整性，而不仅限于局部系统的完整性；对于安全问题、事件的检测要能够汇总和综合到中央监控体系，确保可追究性是整个体系的可追究性。SOC的出现就是为了确保对全局的掌

49、控，实现全面支撑信息安全管理目标。 v 全局可控性 可控性是信息安全7个属性中最重要的一个，可控性最重要的体现是全局监控、预警能力和应急响应处理能力。全局预警就是要建立全局性的安全状况收集系统，对于新的安全漏洞和攻击方法的与时了解，针对体系局部发生的安全入侵等事件进行响应。我们通常用水桶效应来描述分布式系统的安全性问题，认为整个系统的安全性取决于水桶中最薄弱的一块木条。SOC就像是这个水桶的箍，有了这个箍，水桶就很难崩溃，即使出现个别的漏洞，也不至于对整个体系造成灾难性的破坏。SOC充分利用所掌握的空间、时间、知识、能力等资源优势，形成全局性的资源协调体系，为系统的全局可控性提供有力的保障。1

50、.4.2.2 SOC的基本实施有关SOC的基本实施，不同的供应商与实施方都有着不同的理解，其实施的具体方式与结果均不尽一样。在此我们结合启明星辰SOC理论来进行安全管理运营解决方案论述。1.4.2.2.1 SOC的体系结构这里的安全管理运营解决方案是由“四个中心、三个平台”组成的统一安全管理平台。“四个中心”是弱点评估中心、事件监控中心、风险管理中心和应急响应中心；“三个平台”是策略和配置平台、知识管理平台和资源管理平台。 v 四个中心 事件监控中心 监控各个网络设备、操作系统等日志信息，以与安全产品的安全事件报警信息等，以便与时发现正在和已经发生的安全事件，例如网络蠕虫攻击事件、非授权漏洞扫

51、描事件、远程口令暴力破解事件等，与时协调和组织各级安全管理机构进行处理，与时采取积极主动措施，保证网络和业务系统的安全、可靠运行。 弱点评估中心 通过弱点评估中心可以掌握全网各个系统中存在的安全漏洞情况，结合当前安全的安全动态和预警信息，有助于各级安全管理机构与时调整安全策略，开展有针对性的安全工作，并且可以借助弱点评估中心的技术手段和安全考核机制可以有效督促各级安全管理机构将安全工作落实。 风险管理中心 整个风险管理中心的运作可以通过事件监控中心和弱点评估中心所掌握的全网安全动态，有针对性指导各级安全管理机构做好安全防工作，特别是针对当前发生频率较高的攻击做好预警和防工作。本中心是从检测到响

52、应的中枢环节，汇总和分析也是在这里实现的。 应急响应中心 仅仅与时检测到安全事件是不够的，必须做出即时的、正确的响应才能保证网络的安全。应急响应中心作为安全管理运营解决方案的重要组成部分之一为应急响应服务实现工具化、程序化、规化提供了管理平台。应急响应中心主要是通过工单管理系统来实现的。应急响应中心接收由风险管理中心根据安全威胁事件生成的事件通知单，并对事件通知单的处理过程进行管理，将所有事件响应过程信息存入后台数据库，并可生成事件处理和分析报告。 v 三个平台 策略和配置管理平台 网络安全的整体性要求需要有统一安全策略的管理。通过为全网安全管理人员提供统一的安全策略，指导各级安全管理机构因地

53、制宜的做好安全策略的部署工作，有利于在全网形成安全防的合力，提高全网的整体安全防御能力，同时通过安全管理运营解决方案策略和配置管理平台的建设可以进一步完善整个IP网络的安全策略体系建设，为指导各项安全工作的开展提供行动指南，有效解决目前因缺乏口令、认证、访问控制等方面策略而带来到安全风险问题。 知识管理平台 统一的安全策略、安全知识库信息等信息的发布，不仅可以充分共享各种安全信息资源，而且也会成为各级安全管理机构之间进行安全经验交流的平台，有助于提高全网的安全技术水平和能力。足够的安全知识和信息是各个角色正确工作的基础。 资源管理平台 资源管理平台主要包括两个方面：人力资源管理和资产管理。人力

54、资源管理保证在需要的时候，可以找到合适的人。资产管理主要是管理安全管理运营解决方案监控围的各个系统和设备，是风险管理、事件监控协同工作和分析的基础。1.4.2.2.2 SOC的功能特点 v 实时事件关联分析 事件监控中心对来自不同安全系统的报警信息进行实时的关联分析，关联分析的整个过程都是在存中进行的，并根据威胁程度的大小对安全事件进行排序，对不同威胁程度的安全事件通过不同颜色来着重显示。 v 多样化显示方式 事件监控中心提供了多种实时显示方式，如网络拓扑方式、雷达方式、柱形图等，直观的将安全威胁数据呈现给用户。 v 丰富直观的报表 SOC安全管理运营解决方案提供了丰富的报表模板供用户选择，除

55、了文字总结还可以用清晰直观的图形化方式将报表呈现给用户。 v 广泛的平台支持 SOC安全管理运营解决方案支持从各种主流安全系统收集安全事件数据，并可以和网管系统实现结合管理。能够支持产品： 防火墙系统：Checkpoint NG/NGAI and Provider-1, Cisco PIX, Netscreen, Secure Computing Sidewinder G2. 入侵监测系统：启明星辰天阗IDS Enterasys Dragon, ISS RealSecure, Cisco Secure IDS, Snort, Symantec Manhunt, nCircle IP360. 防

56、病毒系统：Sophos Symantec Corporate (Norton) McAfee ePO Trend Micro. 漏洞扫描系统：启明星辰天镜Scanner eEye Retina nCircle IP360 Nessus ISS Scanner Foundstone Foundscan. 网管系统：HP OpenView, MicroMuse NetCool, CA UniCenter. 其他：Windows Event Log UNIX Syslog Tripwire SNMP SNMP Traps. 定制化：基于日志的数据源通常可以在一周左右定制化完成 v 弱点评估管理 SO

57、C安全管理运营解决方案的弱点评估中心通过人工审计和漏洞扫描工具两种方式，收集整个网络的弱点情况并进行统一管理，使得管理人员可以清楚的掌握全网的安全健康状况。 弱点评估管理具有统一的可视界面，显示各个系统的安全漏洞分布情况，包括以下容： 该漏洞相关的信息，包括CVE编号、漏洞描述、受影响的系统类型以与漏洞的解决方案等信息； 统计信息，即给出漏洞的分布、数量等统计信息。 SOC全管理运营解决方案支持多种漏洞扫描工具，包括启明星辰的天镜漏洞扫描系统、ISS Scanner、eEye Retina、Nessus、Foundstone Foundscan等。 v 应急响应管理 SOC安全管理运营解决方案

58、的应急响应管理是通过工作流系统实现的。该系统是专门针对安全事件的处理过程，根据具体的安全响应流程进行定制的。事件监控中心监测到安全事件后有专人生成新的工单，一方面有专人会通过系统报警的方式收到通知并在规定的时间对工单进行接收，并进入对安全事件的处理阶段，另一方面工单跟踪模块会对工单被派发后的整个过程进行跟踪，进行工单收回、重新派发等工作。工单处理结果可能有两种可能：一种是安全事件被解决，这个工单就被关闭，同时工单的容被保存到知识库中，作为历史记录和以后参考用；另一种情况是安全事件因为某些原因没有被彻底解决，这个工单所包含的问题会被重新处理考虑，生成新的工单，进入新的工单处理流程。 应急响应管理

59、完善了从防护到检测再到响应的一个安全事件处理过程的闭环。 v 全面知识管理 SOC安全管理运营解决方案的知识管理平台既提供一般知识管理功能，比如安全知识库、培训和人员考核等，也提供了强大的漏洞库、事件特征库、补丁库、安全配置知识库和应急响应知识库等。1.4.2.2.3 SOC的实现综合以上有关SOC的理论、体系与功能实现，可以了解到SOC是安全管理平台的更高级发展，建设SOC的目的是提升企业安全管理的能力，也是进一步提高企业信息化水平与能力。从整体上来讲是提升企业的管理能力。实现可管理的服务。目前市场上的SOC解决方案并不是很成熟，国际国也没有成熟的SOC体系或标准。因此，企业是建设自身的SO

60、C平台时，对市场解决方案与自身的管理水平要有充分的认识，选择合理合适的安全管理解决方案，这样才能进一步提高企业的信息化管理能力。1.5 安全服务解决方案在整体信息安全体系的建设中，除了针对具体的安全风险与问题进行基于产品和技术的解决方案后，需要对信息安全的管理平台进行建设，以期达到相应的安全目标。这一点我们在上节的安全管理解决方案里已经进行了描述。需要指出的是，整体信息安全体系的建设中，仅仅依靠自身的力量进行安全方案建设、安全管理建设等，均不能够充分的安全保障。所以在这里，我们引入了安全体系建设中的重要一环，即安全服务的建设。实际上安全服务可以简单理解为，有效的引入外部的专业服务资源，为企业提

61、供更高级别的安全服务能力。在完善自身安全建设的同时，协助企业提高安全管理的能力。在此，我们根据公司的安全建设的整体情况，提供了如下6类最基本的安全服务容： 安全咨询服务； 安全评估服务； 安全加固服务； 日常维护服务； 应急响应服务； 安全培训服务。1.5.1 安全咨询服务公司目前缺乏一个企业总体围的、负责制定和实施的安全管理机制部门，难以保证安全制度建立和实施与决策层安全决策的有效性和一致性。信息安全管理职能分散在各个部门，缺少一个强有力的直接向最高领导负责职能部门，协调整个企业部的信息安全工作的，因此安全政策的执行可能会缺乏力度，安全事件处理依据和结果可能会不一致。由此可见，公司急需在专业

62、安全服务厂商的帮助下，建立起适合自身企业特点和管理运作方式的网络安全管理职能部门，来负责协调、管理整个公司业务网络的安全问题。在此基础上，由安全服务厂商在对现有业务流程和管理制度做充分调研的基础上，协助公司制定一套操作性强的安全策略体系，用以指导公司各个业务单位日常的网络安全工作。v 咨询服务容 制定公司的网络安全管理组织架构，协助公司建立企业的网络安全管理小组，并制定小组成员职责文档； 制定公司网络安全管理策略体系，提供一系列的主策略与子策略管理文档； 根据公司相关部门人员的不同角色提供不同级别的安全培训，提高相关人员的整体安全意识和网络安全技术水平；v 设计组织架构与安全策略时的参考规 I

63、SO/IEC 17799-2000信息安全管理实用规则 ISO/IEC 13335信息技术安全管理指南 ISO 7498-2信息处理系统开放系统互连基本参考模型-安全体系结构 SSE-CMM系统安全工程能力成熟模型 GB/T18336-2001信息技术安全技术信息技术安全性评估准则 GB/T17859-1999计算机信息系统安全等级保护划分准则 其他国家法律、法规等1.5.2 安全评估服务1.5.2.1 安全评估模型安全风险模型的建立来自于BS 7799的思想，它是整个风险评估方案的主导。信息资产由于自身的脆弱性，使得威胁的发生成为可能，从而形成风险。一旦安全事件发生，就会造成各种不同的影响。换句话说，风险分析的过程实际上就是对影响、威胁和脆弱性分析的过程，但它们都紧紧围绕着资产为中心。在风险评估阶段，资产的价值、资产破坏后造成的影响、威胁的严重程度、威胁发生的可能性、资产的脆弱程度都成为风险评估的关键因素。在风险模型中，资产的评估主要是对资产进行相对估价，而其估价准则就是依赖于对其影响的分析，从资产的相对价值中体现了威胁的严重程度。这样，威胁评估就仅仅成了对资产所受威胁发生可能性的评估。脆弱性的评估是对资产脆弱程度的评估。安全风险评估就是通过综合分析评估后的资产信息、威胁信息和脆弱性信息