企业安全设计案例分析

1企业网络平安设计：案例分析企业网络平安设计：案例分析2内容内容l l案例介绍案例介绍l l平安评估平安评估l l平安方案设计平安方案设计3伟达投资伟达投资l l伟达中国投资是一家全球伟达中国投资是一家全球500强的跨国强的跨国能源集团在华的独资企业，从事太阳能，电能源集团在华的独资企业，从事太阳能，电力，石油，化工，相关销售等工程等的公司。力，石油，化工，相关销售等工程等的公司。l l伟达中国投资总部设在上海外滩，上海伟达中国投资总部设在上海外滩，上海总部有总部有200名员工，并在北京拥有名员工，并在北京拥有1家分公司，家分公司，员工约员工约100人。人。4伟达投资的组织结构伟达投资的组织结构上海总部(200人)行政部人力资源部管理部公共关系部固定资产部采购部IT总部市场部销售部北京分公司100人行政部财务部人力资源部管理部销售市场部IT管理部太阳能部质量控制部法律事务部 5伟达投资的开展伟达投资的开展l l伟达中国公司从伟达中国公司从伟达中国公司从伟达中国公司从19851985年成立，经历了一个飞速的开展年成立，经历了一个飞速的开展年成立，经历了一个飞速的开展年成立，经历了一个飞速的开展过程，特别是过程，特别是过程，特别是过程，特别是9090年代起收购了多家国内知名的的公司，而年代起收购了多家国内知名的的公司，而年代起收购了多家国内知名的的公司，而年代起收购了多家国内知名的的公司，而且在中国一直与政府及大型能源企业都有全面的合作。公且在中国一直与政府及大型能源企业都有全面的合作。公且在中国一直与政府及大型能源企业都有全面的合作。公且在中国一直与政府及大型能源企业都有全面的合作。公司营业额在司营业额在司营业额在司营业额在5 5年间增长了年间增长了年间增长了年间增长了1010倍，目前在国内的主要大城市都倍，目前在国内的主要大城市都倍，目前在国内的主要大城市都倍，目前在国内的主要大城市都有分公司和代表处，基于上述的业务增长，员工人数也增有分公司和代表处，基于上述的业务增长，员工人数也增有分公司和代表处，基于上述的业务增长，员工人数也增有分公司和代表处，基于上述的业务增长，员工人数也增加了加了加了加了8 8倍。倍。倍。倍。l l但是公司的急速扩张造成了公司但是公司的急速扩张造成了公司但是公司的急速扩张造成了公司但是公司的急速扩张造成了公司ITIT管理部门的巨大工作压管理部门的巨大工作压管理部门的巨大工作压管理部门的巨大工作压力，公司原有的力，公司原有的力，公司原有的力，公司原有的ITIT管理构架早已不堪重负。于是在管理构架早已不堪重负。于是在管理构架早已不堪重负。于是在管理构架早已不堪重负。于是在20012001年年年年初，公司对伟达中国的整个网络系统进行了一次重大初，公司对伟达中国的整个网络系统进行了一次重大初，公司对伟达中国的整个网络系统进行了一次重大初，公司对伟达中国的整个网络系统进行了一次重大升级，升级，升级，升级，包括增加网络带宽，更换核心设备，包括增加网络带宽，更换核心设备，包括增加网络带宽，更换核心设备，包括增加网络带宽，更换核心设备，并将整个系统并将整个系统并将整个系统并将整个系统从从从从Windows NT4Windows NT4平台全部迁移到了平台全部迁移到了平台全部迁移到了平台全部迁移到了Windows2000Windows2000平台并平台并平台并平台并采用了活动目录效劳，采用了活动目录效劳，采用了活动目录效劳，采用了活动目录效劳，以提高整个网络系统的可用性和可以提高整个网络系统的可用性和可以提高整个网络系统的可用性和可以提高整个网络系统的可用性和可管理性。管理性。管理性。管理性。6伟达的网络拓扑结构伟达的网络拓扑结构7风险风险l l但是，由于太多的日常维护工作而忽略了系但是，由于太多的日常维护工作而忽略了系统策略及平安政策的制订及执行不力，管理统策略及平安政策的制订及执行不力，管理员的日常维护工作又没有标准可循，系统及员的日常维护工作又没有标准可循，系统及数据备份也是根本没有考虑到灾难恢复，经数据备份也是根本没有考虑到灾难恢复，经常会有一些系统平安问题暴露出来。常会有一些系统平安问题暴露出来。8危机！危机！l l该公司网站使用该公司网站使用该公司网站使用该公司网站使用Windows 2000Windows 2000上的上的上的上的IISIIS作为对外的作为对外的作为对外的作为对外的WEBWEB效效效效劳器，该网站劳器，该网站劳器，该网站劳器，该网站WEBWEB效劳器负责公司的信息提供和电子商务。效劳器负责公司的信息提供和电子商务。效劳器负责公司的信息提供和电子商务。效劳器负责公司的信息提供和电子商务。在外网上部署了硬件防火墙，只允许到效劳器在外网上部署了硬件防火墙，只允许到效劳器在外网上部署了硬件防火墙，只允许到效劳器在外网上部署了硬件防火墙，只允许到效劳器TCP 80TCP 80端口端口端口端口的访问。的访问。的访问。的访问。l l但是在但是在但是在但是在1212月月月月2121日上午，一个客户发邮件通知公司网站管理日上午，一个客户发邮件通知公司网站管理日上午，一个客户发邮件通知公司网站管理日上午，一个客户发邮件通知公司网站管理员李勇，说该公司网站的首页被人修改，同时被发布到国员李勇，说该公司网站的首页被人修改，同时被发布到国员李勇，说该公司网站的首页被人修改，同时被发布到国员李勇，说该公司网站的首页被人修改，同时被发布到国内的某黑客论坛，介绍入侵的时间和内容。内的某黑客论坛，介绍入侵的时间和内容。内的某黑客论坛，介绍入侵的时间和内容。内的某黑客论坛，介绍入侵的时间和内容。l l李勇立刻查看网站效劳器，除了网站首页被更改，而且发李勇立刻查看网站效劳器，除了网站首页被更改，而且发李勇立刻查看网站效劳器，除了网站首页被更改，而且发李勇立刻查看网站效劳器，除了网站首页被更改，而且发现任务列表中存在未知可疑进程，并且不能杀死。同时发现任务列表中存在未知可疑进程，并且不能杀死。同时发现任务列表中存在未知可疑进程，并且不能杀死。同时发现任务列表中存在未知可疑进程，并且不能杀死。同时发现网站数据库效劳器有人正在拷贝数据！现网站数据库效劳器有人正在拷贝数据！现网站数据库效劳器有人正在拷贝数据！现网站数据库效劳器有人正在拷贝数据！l l李勇及时断开数据效劳器，利用备份程序及时恢复网站效李勇及时断开数据效劳器，利用备份程序及时恢复网站效李勇及时断开数据效劳器，利用备份程序及时恢复网站效李勇及时断开数据效劳器，利用备份程序及时恢复网站效劳器内容，但是没有过了半小时，又出现类似情况，李勇劳器内容，但是没有过了半小时，又出现类似情况，李勇劳器内容，但是没有过了半小时，又出现类似情况，李勇劳器内容，但是没有过了半小时，又出现类似情况，李勇紧急通知紧急通知紧急通知紧急通知ITIT管理人员王勇，告知该情况，于是王勇联系总管理人员王勇，告知该情况，于是王勇联系总管理人员王勇，告知该情况，于是王勇联系总管理人员王勇，告知该情况，于是王勇联系总部指定的平安效劳提供商维康平安部指定的平安效劳提供商维康平安部指定的平安效劳提供商维康平安部指定的平安效劳提供商维康平安 9问题！问题！经过初步平安检查，发现以下问题：经过初步平安检查，发现以下问题：经过初步平安检查，发现以下问题：经过初步平安检查，发现以下问题：邮件效劳器没有防病毒扫描模块；邮件效劳器没有防病毒扫描模块；邮件效劳器没有防病毒扫描模块；邮件效劳器没有防病毒扫描模块；客户端有客户端有客户端有客户端有W32/MydoomMMW32/MydoomMM邮件病毒问题邮件病毒问题邮件病毒问题邮件病毒问题路由器密码缺省没有修改正，非常容易被人攻击；路由器密码缺省没有修改正，非常容易被人攻击；路由器密码缺省没有修改正，非常容易被人攻击；路由器密码缺省没有修改正，非常容易被人攻击；网站效劳器系统没有安装最新微软补丁网站效劳器系统没有安装最新微软补丁网站效劳器系统没有安装最新微软补丁网站效劳器系统没有安装最新微软补丁没有移除不需要的功能组件；没有移除不需要的功能组件；没有移除不需要的功能组件；没有移除不需要的功能组件；用户访问没有设置复杂密码验证，利用字典攻击，非常容易猜用户访问没有设置复杂密码验证，利用字典攻击，非常容易猜用户访问没有设置复杂密码验证，利用字典攻击，非常容易猜用户访问没有设置复杂密码验证，利用字典攻击，非常容易猜出用户名和密码，同时分厂员工对于网站访问只使用了简出用户名和密码，同时分厂员工对于网站访问只使用了简出用户名和密码，同时分厂员工对于网站访问只使用了简出用户名和密码，同时分厂员工对于网站访问只使用了简单密码验证，容易被人嗅听到密码。单密码验证，容易被人嗅听到密码。单密码验证，容易被人嗅听到密码。单密码验证，容易被人嗅听到密码。数据库系统数据库系统数据库系统数据库系统SQL 2000 SASQL 2000 SA用户缺省没有设置密码；用户缺省没有设置密码；用户缺省没有设置密码；用户缺省没有设置密码；数据库系统数据库系统数据库系统数据库系统SQL 2000 SQL 2000 没有安装任何补丁程序没有安装任何补丁程序没有安装任何补丁程序没有安装任何补丁程序 10亡羊补牢亡羊补牢l l王勇看到方明的报告非常吃惊，急忙上告公王勇看到方明的报告非常吃惊，急忙上告公司司CIO余鸣，介绍公司网络平安状况，同时余鸣，介绍公司网络平安状况，同时提及如果不及时解决公司平安问题，可能会提及如果不及时解决公司平安问题，可能会造成非常大的经济和声誉上的影响。造成非常大的经济和声誉上的影响。l l12月月22日上午，伟达公司立即召开紧急会议日上午，伟达公司立即召开紧急会议商讨此事，商讨此事，希望籍此吸取教训，彻底整改，希望籍此吸取教训，彻底整改，在进行平安风险评估的根底上，全面提高企在进行平安风险评估的根底上，全面提高企业网络平安性。业网络平安性。11用户的目标用户的目标l l“我们做了尽可能多的工作，努力提我们的响应速度，缩短解决问题我们做了尽可能多的工作，努力提我们的响应速度，缩短解决问题我们做了尽可能多的工作，努力提我们的响应速度，缩短解决问题我们做了尽可能多的工作，努力提我们的响应速度，缩短解决问题的时间，但是很多情况下我们总是在问题出现了之后才开始解决，在的时间，但是很多情况下我们总是在问题出现了之后才开始解决，在的时间，但是很多情况下我们总是在问题出现了之后才开始解决，在的时间，但是很多情况下我们总是在问题出现了之后才开始解决，在这种情况下我们很难及时解决问题，每次都会有一天到两天大部份系这种情况下我们很难及时解决问题，每次都会有一天到两天大部份系这种情况下我们很难及时解决问题，每次都会有一天到两天大部份系这种情况下我们很难及时解决问题，每次都会有一天到两天大部份系统不能使用，而且也无法对可能发生的问题做有效的估计李杰，伟统不能使用，而且也无法对可能发生的问题做有效的估计李杰，伟统不能使用，而且也无法对可能发生的问题做有效的估计李杰，伟统不能使用，而且也无法对可能发生的问题做有效的估计李杰，伟达中国的达中国的达中国的达中国的ITIT效劳中心经理抱怨说。效劳中心经理抱怨说。效劳中心经理抱怨说。效劳中心经理抱怨说。l l“我们在很多方面的工作都很成功，但是就是由于这些网络上令人讨我们在很多方面的工作都很成功，但是就是由于这些网络上令人讨我们在很多方面的工作都很成功，但是就是由于这些网络上令人讨我们在很多方面的工作都很成功，但是就是由于这些网络上令人讨厌的病毒，造成了我们还是经常收到来自个方面的投诉，显然这不是厌的病毒，造成了我们还是经常收到来自个方面的投诉，显然这不是厌的病毒，造成了我们还是经常收到来自个方面的投诉，显然这不是厌的病毒，造成了我们还是经常收到来自个方面的投诉，显然这不是我们想看到的。我们需要严密的系统和严格的策略来保证我们业务系我们想看到的。我们需要严密的系统和严格的策略来保证我们业务系我们想看到的。我们需要严密的系统和严格的策略来保证我们业务系我们想看到的。我们需要严密的系统和严格的策略来保证我们业务系统的稳定性和可用性伟达中国首席信息官统的稳定性和可用性伟达中国首席信息官统的稳定性和可用性伟达中国首席信息官统的稳定性和可用性伟达中国首席信息官CIOCIO余鸣先生如是余鸣先生如是余鸣先生如是余鸣先生如是说。说。说。说。l l“我们需要一个可靠、稳定、平安，易于管理和维护的我们需要一个可靠、稳定、平安，易于管理和维护的我们需要一个可靠、稳定、平安，易于管理和维护的我们需要一个可靠、稳定、平安，易于管理和维护的ITIT解决方案，解决方案，解决方案，解决方案，以及基于此方案的优秀以及基于此方案的优秀以及基于此方案的优秀以及基于此方案的优秀ITIT效劳部门，用以支撑我们公司的运营，以及效劳部门，用以支撑我们公司的运营，以及效劳部门，用以支撑我们公司的运营，以及效劳部门，用以支撑我们公司的运营，以及未来的开展。公司总裁未来的开展。公司总裁未来的开展。公司总裁未来的开展。公司总裁(CEO)(CEO)张其军解释。张其军解释。张其军解释。张其军解释。12风险评估风险评估13风险评估的一般过程风险评估的一般过程l l只有经过全面的风险评估过程，才能够有针对性地只有经过全面的风险评估过程，才能够有针对性地只有经过全面的风险评估过程，才能够有针对性地只有经过全面的风险评估过程，才能够有针对性地制定平安实施放案，选择适宜的平安技术和产品。制定平安实施放案，选择适宜的平安技术和产品。制定平安实施放案，选择适宜的平安技术和产品。制定平安实施放案，选择适宜的平安技术和产品。l l在风险评估过程，需要：在风险评估过程，需要：在风险评估过程，需要：在风险评估过程，需要：l l收集一切和网络平安相关的信息；收集一切和网络平安相关的信息；收集一切和网络平安相关的信息；收集一切和网络平安相关的信息；l l使用平安评测工具进行脆弱点检查；使用平安评测工具进行脆弱点检查；使用平安评测工具进行脆弱点检查；使用平安评测工具进行脆弱点检查；l l分析收集到的信息，定义威胁级别。分析收集到的信息，定义威胁级别。分析收集到的信息，定义威胁级别。分析收集到的信息，定义威胁级别。l l平安不是最终结果，而是一种过程或者一种状态。平安不是最终结果，而是一种过程或者一种状态。平安不是最终结果，而是一种过程或者一种状态。平安不是最终结果，而是一种过程或者一种状态。平安评估必须按照一定的周期不断进行，才能保证平安评估必须按照一定的周期不断进行，才能保证平安评估必须按照一定的周期不断进行，才能保证平安评估必须按照一定的周期不断进行，才能保证持续的平安。持续的平安。持续的平安。持续的平安。14需要搜集的根本信息需要搜集的根本信息l l企业信息：企业信息：l l企业名称企业名称l l业务范围业务范围l l地理分布地理分布l l员工数量员工数量l l组织结构组织结构l l管理模式管理模式l l预期的增长或重组预期的增长或重组l l网络：网络：l l物理拓扑结构物理拓扑结构l l网络设备网络设备l l逻辑网络划分活动目录结构逻辑网络划分活动目录结构l l局域网结构局域网结构l l广域网结构广域网结构l l远程访问远程访问l l互联网接入互联网接入l l网络协议类型网络协议类型l l主要网络流量主要网络流量l l防火墙和入侵检测系统防火墙和入侵检测系统l主机：l效劳器数量，名称，用途，分布l效劳器操作系统及版本l用户身份验证方式l工作站数量，用途和分布l工作站操作系统及版本l操作系统补丁部署l防病毒部署l主机防火墙l计算机平安管理l平安管理：l企业平安策略和声明l物理平安管理l员工平安培训l平安响应机制l平安需求和满足程度 15使用使用MBSAMBSA16评价风险评价风险问题严重程度问题严重程度问题严重程度问题严重程度定义定义定义定义建议建议建议建议5 5严重安全问题严重安全问题严重安全问题严重安全问题严重的安全漏洞，如果被利严重的安全漏洞，如果被利严重的安全漏洞，如果被利严重的安全漏洞，如果被利用会对业务产生严重的破坏用会对业务产生严重的破坏用会对业务产生严重的破坏用会对业务产生严重的破坏记录，评估，立即更改记录，评估，立即更改记录，评估，立即更改记录，评估，立即更改4 4高风险安全问题高风险安全问题高风险安全问题高风险安全问题严重的安全漏洞，如果被利严重的安全漏洞，如果被利严重的安全漏洞，如果被利严重的安全漏洞，如果被利用将用将用将用将/可能会对业务产生严重可能会对业务产生严重可能会对业务产生严重可能会对业务产生严重的影响的影响的影响的影响记录，评估，在记录，评估，在记录，评估，在记录，评估，在1515至至至至3030天内天内天内天内更改更改更改更改3 3中度风险的安全问题中度风险的安全问题中度风险的安全问题中度风险的安全问题中度风险的安全问题，可能中度风险的安全问题，可能中度风险的安全问题，可能中度风险的安全问题，可能会影响业务的进行或会影响业务的进行或会影响业务的进行或会影响业务的进行或纪录，评估，在纪录，评估，在纪录，评估，在纪录，评估，在9090天内改进天内改进天内改进天内改进2 2轻微风险的安全问题轻微风险的安全问题轻微风险的安全问题轻微风险的安全问题轻微风险的安全问题，不会轻微风险的安全问题，不会轻微风险的安全问题，不会轻微风险的安全问题，不会对业务带来直接的影响对业务带来直接的影响对业务带来直接的影响对业务带来直接的影响纪录，评估，在纪录，评估，在纪录，评估，在纪录，评估，在120120天内改进天内改进天内改进天内改进1 1安全建议安全建议安全建议安全建议不属于安全问题，但改进后不属于安全问题，但改进后不属于安全问题，但改进后不属于安全问题，但改进后可进一步提高安全可进一步提高安全可进一步提高安全可进一步提高安全记录，评估，在可行的情况记录，评估，在可行的情况记录，评估，在可行的情况记录，评估，在可行的情况下采用下采用下采用下采用17使用平安评测工具使用平安评测工具l l平安评测工具通过内置的漏洞和风险库，对指定的平安评测工具通过内置的漏洞和风险库，对指定的平安评测工具通过内置的漏洞和风险库，对指定的平安评测工具通过内置的漏洞和风险库，对指定的系统进行全面的扫描系统进行全面的扫描系统进行全面的扫描系统进行全面的扫描l l平安评测工具可以快速定位漏洞和风险平安评测工具可以快速定位漏洞和风险平安评测工具可以快速定位漏洞和风险平安评测工具可以快速定位漏洞和风险l lMBSAMBSAMicrosoft Baseline Security AnalyzerMicrosoft Baseline Security Analyzer，基准平安分析器是微软提供的系统平安分析及，基准平安分析器是微软提供的系统平安分析及，基准平安分析器是微软提供的系统平安分析及，基准平安分析器是微软提供的系统平安分析及解决工具。解决工具。解决工具。解决工具。l lMBSAMBSA可以对本机或者网络上的可以对本机或者网络上的可以对本机或者网络上的可以对本机或者网络上的Windows Windows NT/2000/XPNT/2000/XP的系统进行平安性检测，还可以检测的系统进行平安性检测，还可以检测的系统进行平安性检测，还可以检测的系统进行平安性检测，还可以检测其它的一些微软产品，诸如其它的一些微软产品，诸如其它的一些微软产品，诸如其它的一些微软产品，诸如SQL7.0/2000SQL7.0/2000、5.015.01以以以以上版本的上版本的上版本的上版本的Internet ExplorerInternet Explorer、IIS4.0/5.0/5.1IIS4.0/5.0/5.1和和和和Office2000/XPOffice2000/XP，并给出相应的解决方法。，并给出相应的解决方法。，并给出相应的解决方法。，并给出相应的解决方法。18整理结果整理结果:效劳器端效劳器端严重级别严重级别安全问题安全问题5 5 5 5没有安装没有安装没有安装没有安装sp2sp2之后最新的之后最新的之后最新的之后最新的HotfixHotfix3 3 3 3没有限制匿名用户对本地安全子系统的访问没有限制匿名用户对本地安全子系统的访问没有限制匿名用户对本地安全子系统的访问没有限制匿名用户对本地安全子系统的访问4 4 4 4没有制定密码策略没有制定密码策略没有制定密码策略没有制定密码策略 4 4 4 4没有定义账号锁定策略没有定义账号锁定策略没有定义账号锁定策略没有定义账号锁定策略3 3 3 3没有改变没有改变没有改变没有改变administratoradministrator账号以及配置该账号账号以及配置该账号账号以及配置该账号账号以及配置该账号4 4 4 4没有设置没有设置没有设置没有设置“允许从网络访问这台计算机允许从网络访问这台计算机允许从网络访问这台计算机允许从网络访问这台计算机“3 3 3 3删除不需要的协议，并且禁用删除不需要的协议，并且禁用删除不需要的协议，并且禁用删除不需要的协议，并且禁用NetBIOS over NetBIOS over TCP/IPTCP/IP4 4 4 4没有将所有日志的保存方法设为没有将所有日志的保存方法设为没有将所有日志的保存方法设为没有将所有日志的保存方法设为“按需要改按需要改按需要改按需要改写日志写日志写日志写日志”2 2 2 2事件日志文件使用缺省大小事件日志文件使用缺省大小事件日志文件使用缺省大小事件日志文件使用缺省大小3 3 3 3没有针对重要文件进行审核没有针对重要文件进行审核没有针对重要文件进行审核没有针对重要文件进行审核3 3 3 3“允许从网络访问这台计算机允许从网络访问这台计算机允许从网络访问这台计算机允许从网络访问这台计算机”的权限中有的权限中有的权限中有的权限中有everyoneeveryone组组组组3 3 3 3没有设置专职的信息安全管理人员没有设置专职的信息安全管理人员没有设置专职的信息安全管理人员没有设置专职的信息安全管理人员3 3 3 3缺少有效的备份计划和定期检查策略缺少有效的备份计划和定期检查策略缺少有效的备份计划和定期检查策略缺少有效的备份计划和定期检查策略4 4 4 4没有法律顾问没有法律顾问没有法律顾问没有法律顾问4 4 4 4没有应对紧急事件的机制没有应对紧急事件的机制没有应对紧急事件的机制没有应对紧急事件的机制4 4 4 4没有系统容错机制没有系统容错机制没有系统容错机制没有系统容错机制3 3 3 3没有详细的安全管理文档没有详细的安全管理文档没有详细的安全管理文档没有详细的安全管理文档4 4 4 4没有针对登录事件进行审核没有针对登录事件进行审核没有针对登录事件进行审核没有针对登录事件进行审核3 3 3 3没有针对没有针对没有针对没有针对DNSDNS服务器的传输进行安全有效验服务器的传输进行安全有效验服务器的传输进行安全有效验服务器的传输进行安全有效验证证证证3 3 3 3IISIIS服务器安装了太多的不需要组件，也没服务器安装了太多的不需要组件，也没服务器安装了太多的不需要组件，也没服务器安装了太多的不需要组件，也没有安装相关补丁程序有安装相关补丁程序有安装相关补丁程序有安装相关补丁程序4 4 4 4没有特权使用和策略更改的记录没有特权使用和策略更改的记录没有特权使用和策略更改的记录没有特权使用和策略更改的记录2 2 2 2没有监视相关服务器端口的机制没有监视相关服务器端口的机制没有监视相关服务器端口的机制没有监视相关服务器端口的机制3 3 3 3防火墙没有开启入侵检测防火墙没有开启入侵检测防火墙没有开启入侵检测防火墙没有开启入侵检测4 4 4 4没有利用组策略的安全模板进行配置没有利用组策略的安全模板进行配置没有利用组策略的安全模板进行配置没有利用组策略的安全模板进行配置4 4 4 4任何人能够进入电脑机房任何人能够进入电脑机房任何人能够进入电脑机房任何人能够进入电脑机房4 4 4 4没有安全管理的流程没有安全管理的流程没有安全管理的流程没有安全管理的流程3 3 3 3网站安全验证的功能太弱网站安全验证的功能太弱网站安全验证的功能太弱网站安全验证的功能太弱3 3 3 3Sql Sql 安全配置不足安全配置不足安全配置不足安全配置不足4 4 4 4存在网络病毒现象存在网络病毒现象存在网络病毒现象存在网络病毒现象4 4 4 4数据库权限没有严格限定条件数据库权限没有严格限定条件数据库权限没有严格限定条件数据库权限没有严格限定条件4 4 4 4文件服务器的分区格式采用文件服务器的分区格式采用文件服务器的分区格式采用文件服务器的分区格式采用FATFAT分区格式分区格式分区格式分区格式5 5 5 5企业邮件服务器没有安装邮件扫描插件企业邮件服务器没有安装邮件扫描插件企业邮件服务器没有安装邮件扫描插件企业邮件服务器没有安装邮件扫描插件19整理结果：工作站端整理结果：工作站端严重级别严重级别安全问题安全问题5 5 5 5没有安装操作系统补丁没有安装操作系统补丁没有安装操作系统补丁没有安装操作系统补丁3 3 3 3有的计算机没有加入域有的计算机没有加入域有的计算机没有加入域有的计算机没有加入域4 4 4 4没有离开计算机，锁定屏幕习惯没有离开计算机，锁定屏幕习惯没有离开计算机，锁定屏幕习惯没有离开计算机，锁定屏幕习惯 4 4 4 4没有定义账号锁定策略没有定义账号锁定策略没有定义账号锁定策略没有定义账号锁定策略3 3 3 3没有复杂密码习惯没有复杂密码习惯没有复杂密码习惯没有复杂密码习惯4 4 4 4安装不需要的网络协议安装不需要的网络协议安装不需要的网络协议安装不需要的网络协议3 3 3 3随意打开未知内容的邮件随意打开未知内容的邮件随意打开未知内容的邮件随意打开未知内容的邮件4 4 4 4自行下载网络软件，并进行安装自行下载网络软件，并进行安装自行下载网络软件，并进行安装自行下载网络软件，并进行安装2 2 2 2上非法网站导致上非法网站导致上非法网站导致上非法网站导致IEIE被修改被修改被修改被修改3 3 3 3不及时更新防病毒软件病毒库不及时更新防病毒软件病毒库不及时更新防病毒软件病毒库不及时更新防病毒软件病毒库3 3 3 3很多员工会把密码写到及时贴，放很多员工会把密码写到及时贴，放很多员工会把密码写到及时贴，放很多员工会把密码写到及时贴，放在电脑上在电脑上在电脑上在电脑上4 4 4 4随意将公司一些信息告知外来人员随意将公司一些信息告知外来人员随意将公司一些信息告知外来人员随意将公司一些信息告知外来人员4 4 4 4财务经理的笔记本电脑丢失，导致财务经理的笔记本电脑丢失，导致财务经理的笔记本电脑丢失，导致财务经理的笔记本电脑丢失，导致公司机密数据丢失。公司机密数据丢失。公司机密数据丢失。公司机密数据丢失。3 3 3 3公司电脑机箱被随意打开公司电脑机箱被随意打开公司电脑机箱被随意打开公司电脑机箱被随意打开5 5 5 5存在存在存在存在“W32/NimdaMM”W32/NimdaMM”的蠕虫病毒的蠕虫病毒的蠕虫病毒的蠕虫病毒20书写平安评估报告书写平安评估报告l l平安评估报告应该包含的局部：平安评估报告应该包含的局部：平安评估报告应该包含的局部：平安评估报告应该包含的局部：l l文档版本，完成时间，撰写和审核者；文档版本，完成时间，撰写和审核者；文档版本，完成时间，撰写和审核者；文档版本，完成时间，撰写和审核者；l l平安评估说明：平安审核的目的，客户，平安参谋提供者；平安评估说明：平安审核的目的，客户，平安参谋提供者；平安评估说明：平安审核的目的，客户，平安参谋提供者；平安评估说明：平安审核的目的，客户，平安参谋提供者；l l审核目标：审核范围和审核对象；审核目标：审核范围和审核对象；审核目标：审核范围和审核对象；审核目标：审核范围和审核对象；l l审核过程：审核工作开始和结束时间，审核使用的工具和审核过程：审核工作开始和结束时间，审核使用的工具和审核过程：审核工作开始和结束时间，审核使用的工具和审核过程：审核工作开始和结束时间，审核使用的工具和手段，参与者；手段，参与者；手段，参与者；手段，参与者；l l审核结果审核结果审核结果审核结果客户根本信息；客户根本信息；客户根本信息；客户根本信息；l l审核结果审核结果审核结果审核结果客户网络拓扑结构；客户网络拓扑结构；客户网络拓扑结构；客户网络拓扑结构；l l审核结果审核结果审核结果审核结果客户效劳器信息；客户效劳器信息；客户效劳器信息；客户效劳器信息；l l审核结果审核结果审核结果审核结果客户工作站信息；客户工作站信息；客户工作站信息；客户工作站信息；l l审核结果审核结果审核结果审核结果按照严重级别排列的威胁；按照严重级别排列的威胁；按照严重级别排列的威胁；按照严重级别排列的威胁；l l平安现状综合评价平安现状综合评价平安现状综合评价平安现状综合评价l l平安建议平安建议平安建议平安建议l l术语术语术语术语 21平安方案设计平安方案设计22定义企业平安策略定义企业平安策略l l企业平安策略定义企业网络平安的目标和范企业平安策略定义企业网络平安的目标和范围，即平安策略所要求保护的信息资产的组围，即平安策略所要求保护的信息资产的组成和平安策略所适用的范围。成和平安策略所适用的范围。l l企业平安策略作为行为标准，定义信息系统企业平安策略作为行为标准，定义信息系统中用户的行为和动作是否可以接受。每一条中用户的行为和动作是否可以接受。每一条具体的策略都由政策、目的、范围、定义遵具体的策略都由政策、目的、范围、定义遵守和违背政策、违背策略的惩罚和结果等有守和违背政策、违背策略的惩罚和结果等有关的局部组成。这些策略会被作为整个企业关的局部组成。这些策略会被作为整个企业的政策分发到企业的所有组织，并且企业内的政策分发到企业的所有组织，并且企业内所有员工被强制要求必须内遵守。所有员工被强制要求必须内遵守。23InternetInternet访问策略访问策略该策略用来明确每位员工在该策略用来明确每位员工在该策略用来明确每位员工在该策略用来明确每位员工在InternetInternet访问活动中应该访问活动中应该访问活动中应该访问活动中应该担负的责任，并不对企业造成危害。担负的责任，并不对企业造成危害。担负的责任，并不对企业造成危害。担负的责任，并不对企业造成危害。所有被允许能够进行所有被允许能够进行所有被允许能够进行所有被允许能够进行InternetInternet访问的员工必须在该文访问的员工必须在该文访问的员工必须在该文访问的员工必须在该文档上签名，然后才能给予访问权限。档上签名，然后才能给予访问权限。档上签名，然后才能给予访问权限。档上签名，然后才能给予访问权限。组成局部：组成局部：组成局部：组成局部：1 1、定义什么是、定义什么是、定义什么是、定义什么是InternetInternet访问行为访问行为访问行为访问行为2 2、定义责任、定义责任、定义责任、定义责任3 3、定义用户可以做什么，不可以做什么、定义用户可以做什么，不可以做什么、定义用户可以做什么，不可以做什么、定义用户可以做什么，不可以做什么4 4、如果用户违反该策略，相关部门会采取的行动、如果用户违反该策略，相关部门会采取的行动、如果用户违反该策略，相关部门会采取的行动、如果用户违反该策略，相关部门会采取的行动24平安管理平安管理l l在制定平安策略的根底上，企业内部应该成在制定平安策略的根底上，企业内部应该成立平安管理小组，包含相关人员，全面负责立平安管理小组，包含相关人员，全面负责平安管理，主要职责包括：平安管理，主要职责包括：l l平安策略制定和推广平安策略制定和推广l l进行定期的平安审核进行定期的平安审核l l平安事件响应平安事件响应l l平安技术选择和产品选购平安技术选择和产品选购l l员工平安培训员工平安培训l l取得行政和资金上的支持取得行政和资金上的支持l l内部和外部信息交流内部和外部信息交流25平安风险分析平安风险分析l l根据平安评估阶段提供的平安问题列表，按根据平安评估阶段提供的平安问题列表，按照严重级别进行排序，然后进行分析，步骤照严重级别进行排序，然后进行分析，步骤包括：包括：l l分析平安问题面临的风险；分析平安问题面临的风险；l l查找平安问题之间的关联性；查找平安问题之间的关联性；l l寻求解决方案。寻求解决方案。26效劳器平安问题效劳器平安问题1 1等级安全问题安全问题风险风险5系统中没有安装sp2之后最新的Hotfix系统存在严重的安全漏洞5企业邮件服务器没有安装邮件扫描插件病毒邮件的扩散，内部员工通过邮件向外发送企业机密数据4没有制定密码策略弱口令4没有定义账号锁定策略字典或暴力攻击3没有改变administrator账号以及配置该账号口令猜测4“允许从网络访问这台计算机”的权限中有everyone组从网络发起入侵4没有将所有日志的保存方法设为“按需要改写日志”日志不完整或日志伪造2事件日志文件使用缺省大小不完整记录或者日志伪造4没有法律顾问触犯法律或者不能及时得到法律支持27效劳器平安问题效劳器平安问题2 24没有系统容错机制系统容错能力脆弱4没有针对登录事件进行审核非法登录4没有策略更改的记录非法修改策略4没有利用组策略的安全模板进行配置分散的安全管理4任何人能够进入电脑机房物理安全威胁4没有安全管理的流程安全管理混乱，容易导致信息泄漏4没有应对紧急事件的机制延误时机，使安全破坏更为严重3没有设置专职的信息安全管理人员安全管理混乱3没有详细的安全管理文档安全管理混乱4存在网络病毒现象病毒扩散并难以清除4数据库权限没有严格限定条件非法防问4文件服务器的分区格式采用FAT分区格式没有本地安全性3没有限制匿名用户访问空会话威胁28效劳器平安问题效劳器平安问题3 33没有删除不需要的协议，并且禁用NetBIOS over TCP/IP存在潜在的协议漏洞3没有针对重要文件进行审核非法访问和修改3缺少有效的备份计划和定期检查策略灾难发生时无法从备份中恢复数据3没有针对DNS服务器的传输进行安全有效验证非法的区域传输3用户登录验证是明文传输网络窃听3IIS服务器安装了太多的不需要组件，也没有安装相关补丁程序存在严重漏洞，容易被黑客攻击3没有特权使用的记录非法特权使用3防火墙没有开启入侵检测漏洞扫描3Sql 安全配置不足存在可以被入侵者利用的漏洞2没有监视相关服务器端口的机制服务器可能被种植木马2SMTP服务器开启了relay 设置成为垃圾邮件中转站29工作站平安问题工作站平安问题级别级别安全问题安全问题风险风险5没有安装操作系统补丁存在严重漏洞4没有离开计算机，锁定屏幕习惯 被非法访问4没有定义账号锁定策略口令猜测4财务经理的笔记本电脑丢失，导致公司机密数据丢失。数据失窃4安装不需要的网络协议潜在的网络协议漏洞4自行下载网络软件，并进行安装感染病毒，木马，并导致系统不稳定3随意打开未知内容的邮件感染邮件病毒或木马4随意将公司一些信息告知外来人员泄露信息机密3很多员工会把密码写到及时贴，放在电脑上泄露信息机密3不及时更新防病毒软件病毒库感染病毒3公司电脑机箱被随意打开物理威胁3没有复杂密码习惯口令猜测攻击3有的计算机没有加入域无法进行集中管理，无法实现集中身份验证2部门管理人员放在我的文件夹中的数据不会自己备份数据丢失影响影响用户不能正常工作3Snmp的配置可以使用缺省用户探询信息导致公司相关设备信息丢失和一些配置信息被修改30平安设计平安设计31物理平安物理平安l l物理平安是整体平安策略的基石。保护企业效劳器物理平安是整体平安策略的基石。保护企业效劳器物理平安是整体平安策略的基石。保护企业效劳器物理平安是整体平安策略的基石。保护企业效劳器所在地点的物理平安是首要任务。所在地点的物理平安是首要任务。所在地点的物理平安是首要任务。所在地点的物理平安是首要任务。l l保护范围包括在办公楼内的效劳器机房或整个数据保护范围包括在办公楼内的效劳器机房或整个数据保护范围包括在办公楼内的效劳器机房或整个数据保护范围包括在办公楼内的效劳器机房或整个数据中心。还应该注意进入办公楼的入口。如果有人随中心。还应该注意进入办公楼的入口。如果有人随中心。还应该注意进入办公楼的入口。如果有人随中心。还应该注意进入办公楼的入口。如果有人随便可以进入办公楼内，那么他们即使无法登录到网便可以进入办公楼内，那么他们即使无法登录到网便可以进入办公楼内，那么他们即使无法登录到网便可以进入办公楼内，那么他们即使无法登录到网络，也会有许多时机发起攻击。攻击包括：络，也会有许多时机发起攻击。攻击包括：络，也会有许多时机发起攻击。攻击包括：络，也会有许多时机发起攻击。攻击包括：l l拒绝效劳例如，将一台膝上型电脑插入网络作为拒绝效劳例如，将一台膝上型电脑插入网络作为拒绝效劳例如，将一台膝上型电脑插入网络作为拒绝效劳例如，将一台膝上型电脑插入网络作为一个一个一个一个 DHCP DHCP 效劳器，或者切断效劳器电源效劳器，或者切断效劳器电源效劳器，或者切断效劳器电源效劳器，或者切断效劳器电源 l l数据窃取例如，偷窃膝上型电脑或嗅探内部网络数据窃取例如，偷窃膝上型电脑或嗅探内部网络数据窃取例如，偷窃膝上型电脑或嗅探内部网络数据窃取例如，偷窃膝上型电脑或嗅探内部网络的数据包的数据包的数据包的数据包 l l运行恶意代码例如在内部启动蠕虫程序，散播病运行恶意代码例如在内部启动蠕虫程序，散播病运行恶意代码例如在内部启动蠕虫程序，散播病运行恶意代码例如在内部启动蠕虫程序，散播病毒毒毒毒 l l窃取关键的平安信息例如备份磁带、操作手册和窃取关键的平安信息例如备份磁带、操作手册和窃取关键的平安信息例如备份磁带、操作手册和窃取关键的平安信息例如备份磁带、操作手册和网络图，员工通信录网络图，员工通信录网络图，员工通信录网络图，员工通信录 32防止信息泄露防止信息泄露l l攻击者总是要挖空心思找到有关企业网络环境的信息。信攻击者总是要挖空心思找到有关企业网络环境的信息。信攻击者总是要挖空心思找到有关企业网络环境的信息。信攻击者总是要挖空心思找到有关企业网络环境的信息。信息本身有时非常有用，但有的时候，它也是获取进一步信息本身有时非常有用，但有的时候，它也是获取进一步信息本身有时非常有用，但有的时候，它也是获取进一步信息本身有时非常有用，但有的时候，它也是获取进一步信息和资源的一种手段。息和资源的一种手段。息和资源的一种手段。息和资源的一种手段。l l防范信息收集的关键是限制外界对您的资源进行未经授权防范信息收集的关键是限制外界对您的资源进行未经授权防范信息收集的关键是限制外界对您的资源进行未经授权防范信息收集的关键是限制外界对您的资源进行未经授权的访问。确保这种防范效果的方法包括但是不限于：的访问。确保这种防范效果的方法包括但是不限于：的访问。确保这种防范效果的方法包括但是不限于：的访问。确保这种防范效果的方法包括但是不限于：l l确保网络上只有那些已标识的特定设备能够建立远程访问确保网络上只有那些已标识的特定设备能够建立远程访问确保网络上只有那些已标识的特定设备能够建立远程访问确保网络上只有那些已标识的特定设备能够建立远程访问连接。连接。连接。连接。l l在通过外部防火墙直接连接在通过外部防火墙直接连接在通过外部防火墙直接连接在通过外部防火墙直接连接 Internet Internet 的计算机上关闭的计算机上关闭的计算机上关闭的计算机上关闭TCP/IP TCP/IP 上的上的上的上的 NetBIOS NetBIOS，包括端口，包括端口，包括端口，包括端口 135 135、137137、139 139 和和和和 445 445。l l对于对于对于对于WebWeb效劳器，在防火墙或者效劳器上仅启用端口效劳器，在防火墙或者效劳器上仅启用端口效劳器，在防火墙或者效劳器上仅启用端口效劳器，在防火墙或者效劳器上仅启用端口 80 80 和和和和 443 443。l l审查企业对外网站上的信息以确保：审查企业对外网站上的信息以确保：审查企业对外网站上的信息以确保：审查企业对外网站上的信息以确保：l l该站点上使用的电子邮件地址不是管理员帐户。该站点上使用的电子邮件地址不是管理员帐户。该站点上使用的电子邮件地址不是管理员帐户。该站点上使用的电子邮件地址不是管理员帐户。l l没有透露网络技术没有透露网络技术没有透露网络技术没有透露网络技术 l l审查员工向新闻组和论坛张贴的内容，防止暴露企业内部审查员工向新闻组和论坛张贴的内容，防止暴露企业内部审查员工向新闻组和论坛张贴的内容，防止暴露企业内部审查员工向新闻组和论坛张贴的内容，防止暴露企业内部信息，包括管理员在技术论坛上求助技术问题。信息，包括管理员在技术论坛上求助技术问题。信息，包括管理员在技术论坛上求助技术问题。信息，包括管理员在技术论坛上求助技术问题。l l审查为一般公众提供的信息有没有您的审查为一般公众提供的信息有没有您的审查为一般公众提供的信息有没有您的审查为一般公众提供的信息有没有您的 IP IP 地址和域名注册地址和域名注册地址和域名注册地址和域名注册信息。信息。信息。信息。l l确保攻击者无法通过对确保攻击者无法通过对确保攻击者无法通过对确保攻击者无法通过对DNSDNS效劳器执行区域传输。通过转效劳器执行区域传输。通过转效劳器执行区域传输。通过转效劳器执行区域传输。通过转储储储储 DNS DNS 中的所有记录，攻击者可以清楚地发现最易于攻击中的所有记录，攻击者可以清楚地发现最易于攻击中的所有记录，攻击者可以清楚地发现最易于攻击中的所有记录，攻击者可以清楚地发现最易于攻击的计算机。的计算机。的计算机。的计算机。l l减少效劳器暴露的技术细节，修改减少效劳器暴露的技术细节，修改减少效劳器暴露的技术细节，修改减少效劳器暴露的技术细节，修改WebWeb效劳，效劳，效劳，效劳，SMTPSMTP效劳效劳效劳效劳的旗标。的旗标。的旗标。的旗标。33规划网络平安规划网络平安l l将企业网络划分和定义为以下几局部：将企业网络划分和定义为以下几局部：l l内部网络内部网络l l需要被外部访问的企业网络停火区，需要被外部访问的企业网络停火区，DMZl l商业伙伴的网络商业伙伴的网络l l远程访问远程机构或者用户远程访问远程机构或者用户l lInternetl l在防火墙，路由器上进行访问控制和隔离在防火墙，路由器上进行访问控制和隔离l l使用基于网络和基于主机的入侵监测系统，使用基于网络和基于主机的入侵监测系统，提供预警机制，最好能够和防火墙联动。提供预警机制，最好能够和防火墙联动。34l l防火墙防火墙防火墙防火墙l l近乎线性的吞吐速度，在近乎线性的吞吐速度，在近乎线性的吞吐速度，在近乎线性的吞吐速度，在HTTPHTTP吞吐量测试方吞吐量测试方吞吐量测试方吞吐量测试方l l面，面，面，面，ISA ServerISA Server的吞吐量保持为每秒的吞吐量保持为每秒的吞吐量保持为每秒的吞吐量保持为每秒1.59 GB1.59 GBl l应用层性能最好的防火墙应用层性能最好的防火墙应用层性能最好的防火墙应用层性能最好的防火墙l l(数据来源：数据来源：数据来源：数据来源：)l l单台效劳器可以处理单台效劳器可以处理单台效劳器可以处理单台效劳器可以处理48,00048,000个并发连接个并发连接个并发连接个并发连接l l缓存缓存缓存缓存l l极大改善了带宽的利用效率和极大改善了带宽的利用效率和极大改善了带宽的利用效率和极大改善了带宽的利用效率和WebWeb内容的响应时内容的响应时内容的响应时内容的响应时间间间间l l在最近由在最近由在最近由在最近由The Measurement FactoryThe Measurement Factory进行的缓存进行的缓存进行的缓存进行的缓存产品评比中，赢得了价格产品评比中，赢得了价格产品评比中，赢得了价格产品评比中，赢得了价格/性能比工程的第一性能比工程的第一性能比工程的第一性能比工程的第一 l l (数据来源：数据来源：数据来源：数据来源：)l l应用层的精细控制上网行为和丰富的拓展应用层的精细控制上网行为和丰富的拓展应用层的精细控制上网行为和丰富的拓展应用层的精细控制上网行为和丰富的拓展l l允许管理员控制上网行为和为紧急任务分配较高允许管理员控制上网行为和为紧急任务分配较高允许管理员控制上网行为和为紧急任务分配较高允许管理员控制上网行为和为紧急任务分配较高的带宽优先级的带宽优先级的带宽优先级的带宽优先级ISA ServerISA Server：WindowsWindows平台上的最正确平台上的最正确防火墙防火墙35FirewallFirewallInternetInternetInternet应用案例应用案例 -小型网络或分公司的配置小型网络或分公司的配置企业內部网络企业內部网络企业內部网络企业內部网络l lAccess Policy rules -IPAccess Policy rules -IP包包包包,应用程序应用程序应用程序应用程序,用户用户用户用户,组等的访问策略组等的访问策略组等的访问策略组等的访问策略l lBandwidth rules -Bandwidth rules -不同不同不同不同Internet requestInternet request所分配不同带宽的规那么所分配不同带宽的规那么所分配不同带宽的规那么所分配不同带宽的规那么l lPublishing rules -Publishing rules -将将将将InternetInternet效劳效劳效劳效劳(如如如如web,ftp,mail)web,ftp,mail)透过防火墙透过防火墙透过防火墙透过防火墙l l 的保护发布給外网用户的保护发布給外网用户的保护发布給外网用户的保护发布給外网用户l lIntrusion Detection -Intrusion Detection -防火墙入侵监测防火墙入侵监测防火墙入侵监测防火墙入侵监测l lMonitor and Logging Monitor and Logging 进出流量分析与报表进出流量分析与报表进出流量分析与报表进出流量分析与报表l lWeb Web 缓存缓存缓存缓存-所有放火墙的平安策存内容略会被自动应用到缓存内容之上所有放火墙的平安策存内容略会被自动应用到缓存内容之上所有放火墙的平安策存内容略会被自动应用到缓存内容之上所有放火墙的平安策存内容略会被自动应用到缓存内容之上36实施案例实施案例北京市环保局北京市环保局InternetISA Server100100台工作站台工作站台工作站台工作站ISA Server 2000ISA Server 2000TrendMicro InterScanTrendMicro InterScan37DMZDMZ方式方式1:1:一个防火墙连接一个防火墙连接3 3个个网络网络(3-homed)(3-homed)InternetInternet内部网络内部网络内部网络内部网络DMZDMZ区区区区ISAISA效劳器效劳器效劳器效劳器38实施案例实施案例-新晨集团新晨集团(brilliance )(brilliance )ISA Server 2000InternetInternal NetworkPerimeter NetworkMail Server&DNSMail Server&DNSWeb ServerWeb Server39应用范例应用范例 广域广域网网络络的配置的配置总部总部总部总部分支机构分支机构分支机构分支机构ISAISAISPISPl l加速分支机构的访问速度加速分支机构的访问速度加速分支机构的访问速度加速分支机构的访问速度(chain(chain 的部署的部署的部署的部署l l实现内部的平安控制不同部门和网络之间部署防火墙实现内部的平安控制不同部门和网络之间部署防火墙实现内部的平安控制不同部门和网络之间部署防火墙实现内部的平安控制不同部门和网络之间部署防火墙)l l统一的策略管理统一的策略管理统一的策略管理统一的策略管理40DMZDMZ方式方式2:“2:“背靠背模式背靠背模式InternetIn