网络安全解决方案

网络安全建议书(vers ion :1.0)加安信息技术有限公司200 2 13126目录前言 4第一章 加安及其安全方法论介绍 51.1 加安 安全模型 TMS 安全体系模型 61.2 加安 全程安全服务模型 71.3 加安 安全服务 71.4 加安 整体安全解决方案 81.4.1 安全技术解决方案 81.4.2 安全管理解决方案 91.5 安全体系设计的原则 101.6 提供的整体解决方案 101.6.1安全技术体系 111.6.2 整体安全管理体系 12第二章 系统应用特点及安全风险分析 132.1 保证系统信息安全的目的和意义 132.2 网络及应用分析 142.2.1系统应用特点概述 错误！未定义书签。2.1.2网络系统及应用状况 错误！未定义书签。2.3 安全威胁分析 142.4 用户安全需求分析 15第三章 安全策略分析及技术解决方案 173.1 安全风险分析 173.2 安全目标分析 183.3 安全产品解决方案 193.3.1防病毒系统 193.3.2统一的用户管理与双因子增强认证系统 213.3.3 风险评估（漏洞扫描）系统 2433 4入侵检测系统（IDS） 263.3.5 VPN 加密 293.3. 6关系型数据库安全管理 303.3.7 统一的安全管理平台 313.3.8 安全策略管理 32第四章其它建议 344.1 安全的逐步实施 344.2 加强安全制度和安全队伍的建立 344.3 加强安全素质和风险意识培训 344.4 持续的安全管理 354.5 重视备份 35第五章附件 :相关安全产品介绍 365.1 SYMANTEC ANTIVIRUS 防毒软件 365.2 PASSGO SSO （单点登录和统一安全认证系统） 375.4 DEFENDER 强双因子身份认证产品 405.5 ESM SYMANTEC 主机风险评估产品介绍 435.6 NETRECON 具备路径原因分析的网络安全评估工具 485.7 ITA SYMANTEC 基于主机的入侵检测和策略管理 525.8NETPROWLERSYMANTEC 动态网络入侵检测产品 585.9PENTASAFE 数据库安全系列产品简介 67、八 、亠刖言在全球信息化的推动下，实现国民经济信息化、企业信息化已经成为新世纪 开局阶段的潮流。计算机信息网络规模不断扩大，信息技术和信息产业以前所未 有之势，渗透着各行各业和人民生活，正在逐步改变着人们的生产和生活方式， 推动着企业进步和机制、体制的不断改革。计算机信息网络作用不断扩大的同时， 信息网络的安全一旦遭受破坏，其影 响或损失也十分巨大。因此，信息安全问题已经成为国内外专家学者和广大用户 十分关注的话题。工业作为国民经济的支柱产业，为国民经济和人民生活服务型 行业，计算机及网络技术应用范围广、种类繁多且十分复杂。特别是计算机网络 及电网自动化水平的高速发展，一旦信息安全出现问题，将危机电网的安全运行， 所造成的损失和影响将是无法估量的。工业的特点决定了系统信息安全不仅具有 一般计算机信息网络信息安全的特征，而且还具有实时运行控制系统信息安全的 特征。因此，深入研究系统信息安全的特点，在实现“数字系统”的进程中，制 定保证系统信息安全措施是我们面临的巨大挑战和考验。第一章 加安及其安全方法论介绍加安信息技术有限公司 （加安科技） ，专业的 IT 安全方案提供商和 IT 安全服务提供商， 努力成为客户最信赖、 最紧密、 最可靠的安全伙伴。 加安科技为中国的电信行业、 金融行业、 行业和政府机构等重要用户提供信息安全产品和服务， 并为中国企业电子商务和信息化建设 提供持续不断的全面安全支持。加安科技的前身是 RMG集团亚洲分公司在中国设立的办事处，代理销售安全产品和提供安全技术服务。 2000 年，加安信息技术有限公司在中国广州正式成立，同年在上海设立了 办事处。 通过大量的资源投入， 加安科技致力成为安全服务提供商的姣姣者和用户的长期伙 伴。加安科技针对中国用户在 IT 安全需求出发， 倡导“技术、 管理和服务” 三位一体的 TMS 安全体系模型。加安 安全解决方案，首次将“ AS/400 主机安全”、“企业应用安全” 、“中间 件安全”、“Web安全”、“防火墙管理”和“数据库安全”加入到安全技术体系范畴。加安安全服务体系 ， 从“咨询 -设计-实施-培训-管理-响应”六个方面提供全程的服务保障。加安科技凭借专业技术、丰富的销售经验及优质的客户服务，成功地与全球领先的IT安全厂商建立了坚实的合作伙伴关系。作为PentaSafe中国唯一总代理和 Symantec企业级安全合作伙伴 （全球一级代理 ），加安科技不仅将全球最尖端的安全技术和产品带给了中国用 户，同时也将最宝贵的 IT 安全经验和周全的服务带给了用户。1.1加安安全模型一一TMS安全体系模型加安科技根据多年对信息安全体系结构的研究和安全模型的实效分析，针对中国用户普遍存在“管理薄弱”的实际特点，提出了 “技术、管理和服务”三位一体的TMS安全体系模型。TMS安全体系由安全技术体系、安全管理体系和“全程安全服务模型”组成。用户建立 企业安全体系的目标应当是建立“安全技术体系”与“安全管理体系”，而不是二者之一。同时应当针对“技术体系”和“管理体系”的具体需求配备相应的专业服务。加安安全技术体系是一个塔式模型，定义了企业信息网络中不同领域和不同层面的安 全问题和安全技术，指导用户根据自己的实际需求来规划安全技术体系建设的实施步骤。力口安安全技术模型不仅仅包含风险评估、防火墙、入侵检测、访问控制、内容安全，还首次 将安全扩展到小型机、企业应用、中间件、分布式Web应用等等关键IT部件。加安安全管理体系是一个三层模型，指明了企业安全体系中的三个基本管理对象“人员、策略、技术”之间的相互关系，并指出了 “知识管理” 、“策略管理”、“技术管理”之间 的管理代沟和解决办法。 利用国际先进安全理念帮助企业制定企业安全策略，并对安全策略的教育、学习、执行和检查进行动态管理，确保与企业安全目标的一致性。加安全程安全服务模型是一个轮式模型，为企业的安全建设实施全程专业安全服务。贯穿安全建设和管理的始终一一从咨询到设计，从实施到培训，从管理到应急响应， 加安提供多层次，不同阶段的专业服务。 确保用户投入和目标达到最大的一致性， 降低安全体系的 总体拥有成本。1.2加安全程安全服务模型全程安全服务模型：安全服务是基于企业安全策略，并跟踪企业安全建设和安全维护的整个周期而提供的“设计-评估-实施-培训-管理-响应”全程式安全服务。加安安全服务的原则：全程性、动态性、经济性全程性：对用户技术体系和管理体系的“规划-实施-管理”全部流程均提供服务支持；动态性：满足用户动态的安全目标，适应动态的安全风险；经济性：超值的服务，降低用户的总体拥有成本。1.3加安安全服务1、策略设计(Policy Design )依托先进的安全思想和安全理念，根据企业的安全目标，帮助用户制定企业安全策略。2、 风险评估(Vulnerability Assessment)查找网络结构漏洞与不安全的商业操作行为；基于已定义的安全策略，在不影响每日网络工作的情况下，对敏感的信息系统进行风险扫描评估，并对企业安全现状作出安全风险报告和风险分析。3、安全实施(Security Implementation )针对安全产品的“规划-安装-配置-优化”服务，帮助企业快速、合理部署安全技术系统。4、 安全培训 ( Security Training )对企业不同用户的不同要求， 提供定制的安全培训。 保障企业人员安全知识水平与企业 安全目标的一致性。5、 安全管理 ( Security Management )加安安全管理服务(管理外包服务) ，由加安科技的专业工程师定期检查与维护企业安 全体系状况，帮助企业管理和监控企业的各个安全系统，减轻企业的安全投入。6、 紧急响应 ( Emergency Response) 加安紧急情况响应服务结合了先进的安全研究与事故响应机制， 协助企业在最短的时间 内防范安全入侵者和快速灾难恢复，保障企业商业运作的持续运行。1.4 加安 整体安全解决方案1.4.1 安全技术解决方案1、防火墙 /VPN (Firewall/VPN) 由业界领先的应用代理型防火墙构架多层次的企业安全防线； 灵活的配置手段 和日志管理满足各种用户需求， 并通过防火墙集群技术满足用户高带宽和高可用性 需求。2、风险评估 (Vulnerability Assessment) 从“系统主机”和“网络”两方面实施安全风险评估，实现对整个网络的整体 安全评估。强大的跨系统评估能力，支持包括 AS/400 在内的绝大多数操作平台； 支持 TCP/IP 和 IPX 网络安全评估。2、 入侵检测 (Intruder Detection System)“网络入侵检测系统”和 “主机入侵检测系统”的协同配合， 编织企业的立体 防护体系。从“网关 / 网络/ 主机”三个层面对非法入侵进行准确识别和立体防卫。 动态策略定义专利技术，保证入侵检测系统的 7*24 在线运行，杜绝任何可能的入 侵机会。3、访问控制及身份认证 (Access Control & Authentication) 在企业范围内实现用户跨操作平台和跨应用的单点登录和统一用户访问控制系统，配合“双因子”强身份认证系统，实现整个网络的统一安全访问控制。5、主机安全 (Host Security)对所有 AS/400 主机的安全评估、安全检测和安全增强功能，为在开放体系中 的 AS/400 提供充分的安全保障。 通过增加对异构 Unix 主机的集中用户管理和 Root 权限管理功能，构建安全稳健的 Unix 主机应用环境。6、数据库安全 (Database Security)对Oracle、Sybase和SQL数据库实现审计、策略、口令和安全增强的全面安 全管理软件。7、应用及中间件安全 (Application & Middle-Ware)针对大型企业的PeopleSoft和JDEdwards企业应用平台设计的安全保障方案； 为电子商务应用中的 BEA 中间件而实施的安全审计、安全检测和安全增强解决方 案。8、Web 安全(Web Security)对IIS、iPlanet、Apache等Web服务器的安全评估、入侵检测和安全增强；在分布式Web应用中实施单点登录和增强访问控制功能。9、内容安全 (Content Security)包含个人防毒、 网络防毒和网关防毒的整体防毒解决方案； 另有根据用户定义 原则的网站内容过滤解决方案和邮件内容过滤解决方案， 监控并杜绝非法的访问流 量和有嫌疑的邮件通信。10、高可用性方案 ( High Availability Solution)针对关键网络设备的集群和均衡负载系统； 针对关键信息的本地备份和远程备 份系统；针对安全事故和数据丢失的灾难恢复系统。1.4.2 安全管理解决方案1、安全体系管理 (Security Architecture Management)将系统、主机、企业应用、中间件、Web服务器、数据库、入侵检测系统和防火墙等等几乎所有与电子商务相关的 IT 系统纳入统一的中央控制管理平台，建立真正意义 上的“统一管理，分散控制”的安全体系。2、全策略管理 (Security Policy Ma nageme nt)业界首个把管理策略作为重要因素纳入安全管理范畴的技术产品，构建与企业安全目标水平相当的安全管理水平。基于 Intranet 的企业安全策略管理系统，实现了企业安全策略的定制、分发教育和管理监控等安全管理任务的电子化处理。1.5 安全体系设计的原则1）需求、风险、代价平衡分析的原则对任一网络来说，绝对安全难以达到，也不一定必要。对一个网络要进行实际分析，对 网络面临的威胁及可能承担的风险进行定性与定量相结合的分析， 然后制定规范和措施， 确 定本系统的安全策略。 保护成本、 被保护信息的价值必须平衡， 价值仅 1 万元的信息如果用 5 万元的技术和设备去保护是一种不适当的保护。2）综合性、整体性原则运用系统工程的观点、方法，分析网络的安全问题，并制定具体措施。 一个较好的安全 措施往往是多种方法适当综合的应用结果。一个计算机网络包括个人、 设备、软件、数据等 环节。 它们在网络安全中的地位和影响作用， 只有从系统综合的整体角度去看待和分析， 才 可能获得有效、可行的措施。3）一致性原则这主要是指网络安全问题应与整个网络的工作周期 （或生命周期） 同时存在， 制定的安 全体系结构必须与网络的安全需求相一致。实际上，在网络建设之初就考虑网络安全对策， 比等网络建设好后再考虑，不但容易，而且花费也少得多。4）易操作性原则安全措施要由人来完成，如果措施过于复杂，对人的要求过高，本身就降低了安全性。 其次，采用的措施不能影响系统正常运行。5）适应性、灵活性原则安全措施必须能随着网络性能及安全需求的变化而变化，要容易适应、容易修改。6）多重保护原则任何安全保护措施都不是绝对安全的， 都可能被攻破。 但是建立一个多重保护系统， 各 层保护相互补充，当一层保护被攻破时，其它层保护仍可保护信息的安全。1.6 提供的整体解决方案整体安全解决方案包括访问控制、边界安全、网络安全、主机安全、数据库安全、内容安全、应用及中间件安全、高可用性安全等八个安全技术方面组成，并通过统一的安全管理平台实现全面的安全策略和安全监控管理。统的 安 全 体 系、 安 全 尺$ 策 略 管 理访问控制边界安全网络安全主机安全数据库安全内容安全应用及中间件安全高可用性安全1.6.1安全技术体系1“访问控制”方面：在企业范围内实现用户跨操作平台和跨应用的单点登陆和统一用 户访问控制系统，配合“双因素”强身份认证系统，实现整个网络的统一安全访问控制。2“边界安全”方面：由业界领先的应用代理型防火墙构架多层次的企业安全防线； 灵活的配置手段和日志管理满足各种用户需求，并通过防火墙集群技术满足用户高宽带和高可用性需求。3“网络安全” 方面：采用网络风险评估和网络入侵检测对网络中的黑客和违法事件 进行监控和响应；采用相应的通讯加密措施保障网络通讯安全。4“主机安全”方面：采用主机风险评估和主机入侵检测对主机上的黑客和违法事件 进行监控和响应。安全增强的全面安全管理方案。6“内容安全” 方面：包含个人防毒，网络防毒和网关防毒的整体防毒解决方案；另 有根据用户定义原则的网站内容过滤解决方案和邮件内容过滤解决方案， 监控并杜 绝非法的访问流量和有嫌疑的邮件通信。7“应用及中间件安全” 方面： 针对各种应用平台设计的安全保障方案；为电子商务应 用的BEA中间件而实施的安全审计，安全检测和安全增强解决方案。8.“高可用性” 方面： 针对关键网络设备的集群和均衡负载系统；针对关键信息的本地 备份和远程备份系统；针对安全事故和数据丢失的灾难恢复系统。1.6.2 整体安全管理体系建议计算机网络在建立安全技术体系的同时， 对“安全技术管理” ，“安全策略管理”和 “安全知识管理” 三个方面做出统一计划。 建立与技术体系相一致的管理体系， 可以大大提 升企业整体安全水平。为了帮助企业建立有实效的“安全管理体制” ，加安推出了两个管理解决方案来帮助用 户建立企业自己的“安全策略管理中心” 和“安全知识管理中心” 。通过电子化的管理体制， 实现“人”，“安全策略”和“安全技术”的协调统一，最大化的体现安全管理的严密性和一 致性。9“安全体系管理”方面：将系统、主机、企业应用、中间件、WEB服务器、数据库、 入侵检测系统、和防火墙等等几乎所有与电子商务相关的IT系统纳入统一的中央 控制管理平台，建立真正意义上的“统一管理，放散控制”的安全体系10.“安全策略管理”方面：业界首个将“人”作为重要因素纳入到安全管理范畴的技 术产品，构建与企业安全目标水平相当的安全管理水平。基于Internet 的企业安全策略管理系统， 实现了企业安全策略的制定、 分发教育和管理监控等安全管理任 务的电子化处理。第二章 系统应用特点及安全风险分析2.1 保证系统信息安全的目的和意义随着 Internet 的迅速发展，信息安全问题面临新的挑战。系统信息安全问题已威胁到系 统的安全、稳定、经济、优质运行，影响着“数字系统”的实现进程。研究系统信息安全问 题、开发相应的应用系统、 制定系统信息遭受外部攻击时的防范与系统恢复措施等信息安全 战略是当前信息化工作的重要内容。 系统信息安全已经成为企业生产、 经营和管理的重要组 成部分。数据网络在系统中的应用日益广泛， 已经成为不可或缺的基础设施。 国家数据网同时承 载着实时、 准实时控制业务及管理信息业务。 虽然网络利用率较高， 但信息的安全问题较多， 主要是安全级别较低的业务与安全级别较高的业务混用， 存在很多安全隐患。 随着信息与网 络技术的发展，计算机犯罪不断增加，信息安全问题已经引起政府和企业的高度重视。系统信息安全是系统安全运行和对社会可靠供电的保障，是一项涉及电网调度自动化、 继电保护及安全装置、厂、站自动化、配电网自动化、负荷控制、市场交易、营销、信息网 络系统等有关生产、 经营和管理方面的多领域、复杂的大型系统工程。 结合工业特点， 总结 工业信息网络系统和运行实时控制系统运行管理经验，深入分析系统信息安全存在的问题， 探讨建立系统信息安全体系，保证电网安全稳定运行，提高企业社会效益和经济效益。作为“安全生命周期” 的第一阶段， 安全需求分析的目的就是为今后的安全方案选型和 安全产品实施作出整体规划和指导。 悉心分析客户每一个安全需求， 是准确实现客户安全要 求的基础性工作。我们按照 “网络及应用分析 -安全威胁分析 -安全需求分析” 的逻辑分析步骤对网络的 安全状况和安全需求逐层进行了分析：网络及应用分析 ：对目标网络和应用作出结构性的分析；安全威胁分析 ：发现网络可能受到的安全攻击和安全威胁；安全需求分析 ：确定用户关心和系统客观存在的安全需求2.2 网络及应用分析2.3 安全威胁分析网络虽然是一个相对独立的内网，但由于和整个系统内网连接，地域广泛、 分散， 涉及的接口、平台众多，人员复杂，管理人员素质不一，给安全管理带来很大困难；同时又与互 联网相连，以网络系统的特殊性质和地位，其网络信息蕴涵价值巨大，安全风险不言而喻。所有的安全风险都可能被利用成病毒的肆意传播和复制已经总之，来自外网和内网的安全攻击均对网络构成安全威胁。为安全攻击，进而对整个网络带来损害。典型的安全风险包括：1）病毒网络的开放性和便利性为病毒的广泛传播打开了方便之门。成为威胁系统安全和数据安全的首害之一。2）未授权访问未授权访问是指未经授权的实体获得了访问网络资产， 甚至篡改网络资产的权利。 由于 TCP/IP 广播模式的存在， 为包截获和侦听提供了可能和方便。 比如通过 EtherPeek 或 Sniffer 等协议分析和包解码器， 就很容易从网络的任一节点取得网络上其他登录用户的帐号 / 密码， 进而为冒充该用户创造了条件。此外， 由于疏忽和访问控制策略设置不严密也经常导致无意的信息访问失控，如允许匿 名访问和无意中把某些资源对所有用户开放等等。3）假冒假冒与未授权访问有很密切的联系。除了破解密码，采用包欺骗， IP 欺骗和重放攻击 等，也很容易实现对服务器的欺骗，从而实现冒充访问。4）拒绝服务DOS（Denial of Service,拒绝服务 ） ，是指服务的中断。中断原因可能是系统被破坏或暂时性不可用。例如摧毁计算机硬盘、 切断物理结构设备和耗尽所有可用内存及 CPU处理能 力等。大多数的 DOS攻击源于TCP/IP协议本身的弱点，如 TCP SYN（利用TCP连接分配内 存），Ping of Death （ Ping大数据包）和SMURFS击（利用广播信息泛滥堵塞网络）等。5）关键数据的泄密和破坏由于前面所阐述的 TCP/IP 设计缺陷，如果不作特殊的加密处理，内部人员（或物理上 有办法接触终端设备以及远程登入网络者） 完全可以不用费事猜测高权限用户的密码就可以 从网络读取传输的任何信息。 当然， 他们也很容易冒充高级用户对系统的关键资源进行访问 甚至破坏。信息泄密的另一种可能是通讯线路中的信号辐射， 通过收集这些辐射并用相应的转换设 备或搭线侦听也可以达到窃取信息的目的。6) 网络攻击网络攻击的方法和自动化工具在 Internet 自由传播，使得实施网络攻击变得前所未有 的容易，所有暴露在 Internet 上的主机都有可能成为网络黑客甚至是网络初学者的攻击对 象和试验场。网络与系统内部其他应用网络相连， 同时又通过互联网提供对外WWW服务， 无论是外 部拨号访问还是通过专线远程接入，这些通道完全可能成为非法攻击进入网络的直接通道。7) 物理威胁物理威胁永远存在，但在本方案中暂不作考虑。除了上述威胁， 系统还存在其它的安全隐患， 如操作系统和数据库系统潜在的安全漏洞， 网管和数据库管理员疏忽的安全设置等等。2.4 用户安全需求分析根据初步了解，我们认为用户所关心的安全需求主要集中在以下几方面：1、授权与访问控制需求由于客观上存在网络冒充、IP欺骗和其他非法入侵的危险，加上采用 DHCP动态分配 每台联网机器的 IP, 给跟踪和定位带来很大的困难， 因此网络迫切需要一种严格的授权和访 问控制功能，确保只让信任的内部用户， 从合法的机器联入系统。 同时，对已联入网的每个 用户行为有很好的审计、跟踪手段。2 、入侵检测鉴于网络系统涉及地域的广度和人员的复杂性，特别是与外网相连，大大增强了非法 入侵带来的风险， 因此急需开展和加强风险评估、 入侵检测方面的安全防护工作， 以保证网 络系统和关键信息的安全性。3、防病毒病毒是目前最普遍、最有效和危害最大的信息安全威胁，实施立体防护的防病毒系统经营和管理岗位， 上网用户刻不容缓。 系统计算机信息网络系统已经覆盖了企业各个生产、 在进行多种数据交换时， 随时可能受到病毒的攻击， 随着工业走向市场， 与外界网上交流越 来越多， 通过电子邮件来联系业务， 交换数据等都可能不知不觉中感染病毒， 并在企业内部 网络上不断扩散。 必须在信息网络整个系统的各个环节上严加防范， 才能有效的防止和控制 病毒的侵害。系统在现有网络防病毒体系基础上，加强对各个可能被计算机病毒侵入的环节进行病 毒防火墙的控制，在省公司及各发、 供电企业，分别建立计算机病毒管理中心，按其信息网 络管辖范围， 分级进行防范计算机病毒的统一管理。 在计算机病毒预防、 检测和病毒定义码 的分发等环节，建立较完善的技术等级和管理制度。4、应用数据库及中间件的安全由于核心服务器提供生产管理和调度服务，办公OA等多种应用，所以其对其数据资 料（经常是敏感数据）的访问需求和级别的控制， 保证数据库的安全性就显得尤为重要；同 时，中间件和应用软件也有自己的安全需求和管理模式， 这些也给企业带来了新的安全漏洞。 保护数据库的安全， 避免企业机密数据不受窃取， 篡改； 保护中间件和应用软件不受黑客攻 击，高效，全面的数据库及中间件安全管理将必不可少。5、安全管理需求 网管是实施安全最根本的手段，80%以上的安全事件源于管理上的漏洞和措施不当。为了加强网络系统的安全管理，希望有好的安全管理平台实现对各个安全组件的安全管理， 减少失误、 提高效率和安全故障解决能力的好办法。 同时也应加强对安全策略的管理和管理 制度的制定，实施对公司内部人员的安全培训，提高统一的安全意识。第三章 安全策略分析及技术解决方案安全策略分析主要解决在安全风险分析基础上的安全建模， 具体而言， 包括三个步 骤：安全风险分析 ：对安全威胁的危害性、 发生可能性和发生频率作出综合评估， 对企 业和组织机构安全风险作出整体分析；安全目标分析 ：依据企业安全风险分析转化为企业安全目标和功能需求， 并参考企 业安全建设规划作出具体的安全策略和实施建议。实现机制与技术分析： 选择合理的安全机制和技术实现既定的安全目标。3.1 安全风险分析通过对整个网络的安全威胁分析， 我们知道了网络可能面临的安全威胁有哪些。 但网络 安全建设是一个系统工程， 必须对各种风险损失和风险发生的可能性进行综合考虑， 总结出 机构面对的安全风险的实际情况。 同时， 对网络信息系统的安全建设作出实施建议，具体来看：(1)网络系统主要包括生产控制系统和内部MIS、0A管理应用系统，而这些应用和重要的数据资源集中在核心服务器， 因此， 按照资源重要性划分， 信息安全主要围绕核心服务 器展开，具体包括边界安全，服务器安全，通信安全和应用安全。( 2)对于前面提到的安全威胁，按照风险大小和重要程度概括如下：缺乏严格的网段隔离和连接访问控制手段。从网络的边界看，缺乏对进入网络者的控制，从而可能通过冒充其他有权限的用户从上述某一接口进入内网；从网络内部来看，缺乏进一步的网段隔离和访问控制手段，为此，有好奇心和非法企图的内部用户， 很容易在内部子网间随意 “漫游”，甚至进入重点的应用服 务器获取想要的资源。缺乏严格统一的授权认证机制。 对于这样一个地域广大， 人员众多的系统网络， 仅采用传统的PAP认证，很容易发生密码猜测、中途侦听和重放攻击引起的冒 充和非法数据访问；同时，随着网络规模和应用的快速增长，每个用户从操作 系统身份到应用系统身份分离，由此带来多套“帐号 / 密码”记忆、管理和认证 上的复杂、不便和日益突出的安全风险。缺乏风险评估和入侵检测手段。这就造成几方面的问题，一是对系统安全状况缺乏了解，无法进行有的放矢的安全实施；二是对非法入侵和攻击被动挨打，无法提前作出反应；三是任一时刻，对进入系统的用户行为缺乏审计和监视手 段，导致对用户的访问只有基于资源的静态访问控制而没有基于行为的动态控 制；缺乏数据安全保护措施。网络系统运载大量重要数据，特别是核心服务器上运 行重要的生产控制系统， 所以数据库的安全保护和备份是一个非常重要的问题。 同时数据在网络上传输， 而 TCP/IP 网络本身很容易被侦听和还原出真实有效信 息，因此，在缺乏任何保密机制的情况下，系统风险难以想象。 缺乏全面的病毒防治体系。在一个典型的Windows 网络环境下，病毒是最普遍而致命的安全威胁，由于病毒的隐蔽性、易传播性和破坏性，一旦发作，整个 系统数据可能瞬间毁于一旦。缺乏必要的网络安全管理系统。这将给网络系统故障定位和管理员的系统维护 增加很大难度，同时也容易造成管理上的安全漏洞。3.2 安全目标分析安全目标的设计可从多种角度进行划分， 比如根据 ISO 国际安全标准， 定义各层的安全 目标及实现方法；也可以按照信息安全的定义，从信息安全的四个特性去定义目标和方法。 在本项目中，我们以风险分析为依据，针对用户的重点安全需求，确定以下安全实施目标：（ 1） 建立完善的病毒防护系统从网络到桌面，从静态扫描到动态检测，从查毒 到杀毒，以及染毒文件的自动隔离，对病毒库的自动更新，实现对系统数据的 立体防毒；（ 2） 建立统一的增强身份认证系统，加强进入控制，防止冒充和非法的资源访问；（ 3） 实现合理的网段隔离和对非法连接的限制， 减少和防止 IP 欺骗， 路由欺骗等入 侵行为，以及泛滥而不加限制的内部漫游；（ 4） 建立安全评估和入侵检测体系通过扫描，随时了解系统网络和重要主机的 安全状况，包括安全弱点，系统漏洞和管理员疏忽及策略配置的不当等；对网 络内外的入侵和非授权访问具有监测和预警机制；这样管理员对自身和外部入侵引起的风险都能做到有的放矢，未雨绸缪；（ 5） 实现对关键线路和应用数据的加密保护，防止侦听和泄密；（ 6） 建立对核心服务器上运行的数据库需要额外重点保护，防止重要数据外泄；（7） 选择好的安全管理系统，提高系统维护和故障排除等管理性工作的效率，减少 管理环节的风险。3.3 安全产品解决方案根据上面确定的系统目标， 安全机制和技术实现思路， 结合具体的网络应用， 我们采用 如下产品配置方案：3.3.1 防病毒系统1） 安全目标 建立统一的网络防毒系统；能有效检测和防范包括普通病毒和特洛依木马、非法ActiveX 、 Applet 、插件等非法代码经网络渗入主机系统2） 产品结构Symantec 所提供的多层次防毒解毒方案包含从第一层工作站、第二层服务器、第三层 电子邮件服务器到第四层防火墙都有专门的防毒软件， 提供完善的保护。 同时运用赛门铁克 控制中心Symantec System Center （SSC）,作为企业內防毒之安装、维护、及有效更新及报表管理。?工作站级-NORTON An tiVirus 7.0 for Win dows 95/98中文版-NORTON An tiVirus 7.0 for NT/2K Workstatio ns 中文版-NORTON An tiVirus 7.0 for Win dows 3.x/DOS-NORTON An tiVirus 6.0 for Maci ntosh?服务器级-NORTON An tiVirus 7.0 for Win dows NT Servers中文版-NORTON An tiVirus 5.0 for OS/2-NORTON An tiVirus 7.0 for NetWare -NORTON An tiVirus 2.0 for Lotus Notes 中文版-NORTON An tiVirus 1.5 for Microsoft Excha nge中文版?网关级-NORTON AntiVirus for Internet Email Gateways-NORTON AntiVirus for Firewalls?管理级-Symantec System Center 4.0 中文版3) 产品配置网络防毒软件安装针对內部之有网络连接的电脑： 规划成控制中心提供两种建议模式并用， 有效于短时间 內安装(a) Pull 安装方式：利用网络的 登录脚本安装 Win9x，DOS/Win3.x(b) Push 安装方式： Windows NT，Windows 2000 ， NetWare中央控制式更新病毒定义码防毒软件装完， 才是防毒工作的开始，有效、 即时、 同步是企业內防毒软件更新时首要 考虑之三大要素， 所有 Symantec 产品的最佳后援服务， 提供 LiveUpdate 单键产品与病毒定 义码更新， 同时通过规划架设于贵公司架设中央控制 LiveUpdate 服务器， 自动由 Symantec 网站下载最新病毒定义码与产品更新可包含所有 Symantec 的产品，最短时间內解决贵公司 全面最新病毒威胁 !管理病毒警报及报表系统：Symantec System Center 4.0 集中式管理主控台，提供单一管理主控台，可以容易地 安装与管理企业中多种混合平台，自动地从中央位置将最新的Norton AntiVirus 软件、病毒定义文件，分发至用户端与服务器系统。同时，嵌入Microsoft Management Console(MMC,提供用户熟悉的标准介面( Windows资源管理器)给使用者。防毒自动化服务机制 :针对未知病毒的防护， Symantec 免费提供扫描和传送 (Scan & Deliver) 自动防毒解毒 机制，通过 Symantec SARC病毒防治中心 (Symantec AntiVirus Research Center)，于最短时间內将文件解毒传回贵公司，过程中无需通过人的联系，所有机制都內建于NortonAntiVirus 软件自动机制中，同时，同时SARC传送追踪编号给用户，让用户收到解决方案SARC也会利用在过程中输入的信息与用户联络，若贵公司需要广州 Symantec工程师也可协助用户追踪查询文件的状况，直接通过上述Symantec提供给贵公司之专门的电話联络即可目前SARC平均之解毒时间约 6小时，SARC平均解毒，下表是SRAC近三个月来，通过SCAN& Deliver 之自动机制收到之病毒样本，及平均之解毒时间月份通过 SCAN &Deliver 之自动机制收到之病毒样本数SARC （赛门铁克病毒防治研究中心）平均解毒时间Sep, 199952036.99 hrsOct，199965175.37hrsNov. 1999 （11/18 止）31134.89hrs通过SARC的自动防护机制，赛门铁克给的承诺是从客户送文件到收到解决方案，4个小时之內需要完成！提供以指数成长的防护*当赛门铁克解获一个客戶的就题全球所有的MR企在问题发生前先提供解决方案（让病毒定文码传播的比病毒快）3.3.2统一的用户管理与双因子增强认证系统网络系统涉及多种应用和不同的主机系统，分散的用户管理，频繁的登录操作，多套帐号/密码的记忆，不仅给用户和系统管理员带来烦恼，而且增强了网络的风险。为此，建议 采用Symantec公司的PASSGO SSO产品，实现从操作系统到应用，统一的用户管理，以及“一次登录认证，就可访问所有授权的主机和应用系统（以下称“Single-Sign-On ）”的能力。从长远来看，建立这样一个平台，对于日后不断增长的网络规模和应用也是一劳永逸的事情。通过和Symantec公司Defender双因子身份认证产品的无逢结合，可在统一用户管理和Single-Sign-On的基础上获得增强的身份认证。1）安全目标：实现对不同主机和应用系统中用户帐号的统一管理及密码同步；实现增强而又灵活方便的身份认证机制，减少对主机的假冒和非授权访问；2）产品结构：PassGo SSO单点登录系统:由“PassGo服务器/PassGo代理/PassGo客户端软件/” 3部 分组成，同时可以提供可选的 “集中用户管理”模块。管理基于 Web方式，客户端和PassGo 服务器间可采用普通 HTTP或SHTTP加密连接，其余模块之间的通讯均为加密通讯。PassGo服务器：负责帐号管理、安全规则制定和安全认证，并接收和协调各代理的帐号/密码同步请求与执行相关操作。PassGo服务器还定义每个用户的“应用视图”，这样当用户执行完系统登录后，就不用在进入不同应用再作一次身份认证，而是通过视图，点击鼠标就可完成对授权应用的访问。PassGo代理：包括 “PassGo访问控制代理”和“ PassGo同步代理”两种，前者负责 捕获PassGo用户的帐号/密码改动和接收登录认证请求，并传给 PassGo服务器处理，PassGo服务器在收到帐号/密码的改变信息后，会将这种改变同步到多个“ PassGo同步代理”服务器上。PassGo客户端：通过在工作站安装这一软件，用户可以获得Single-Sign-On的好处。同 时，具备一定权限的用户还可以通过浏览器远程管理PassGo服务器。PassG同步代理PassGo产品结构图Defender双因子身份认证系统：是一个标准的、具有强有力的双重因数认证策略的安全解决方案。Defender使用标准的比较条件/回复技术来创建一个一次性的密码，这远比使 用静态密码安全。在进行口令比较时，Defender安全服务器通过易于使用的令牌来计算这个一次性密码，潜在的入侵者无法破解这个一次性的密码。对于高风险用户的口令安全， Defender是一个很好的解决方案。Defender安全服务器（DSS :双重因数身份验证服务器。比较条件/回复身份验证系统与用户的唯一令牌一起执行，确保只有被许可的用户方可获得访问权。Defender令牌：Defender提供硬令牌和软令牌。所有的令牌要求一个用户唯一的PIN入口来激活和产生唯一的一次性的密码。令牌机制包括两种手持的硬令牌，一个智能卡，或一个软令牌（电子自动发布或通过一张软盘）。手持令牌提供系统的可移植性和工作站的独立性，以及电池更换功能，它使得进行身份验证的代价比必需更新令牌来进行验 证所花费的要小得多。智能令牌卡在卡上的智能芯片上存储了用户资料和比较条件/回复算法，这种形式确保了高度的安全性并且利用了智能卡的方便性。软令牌是用电子学方法（不需要物理媒介的传递）或通过软盘安装在笔记本电脑和台式电脑上的。Defender管理平台（DMC：管理用户ID、令牌、多重Defender安全服务器（本地的和 远程的）、安全策略、管理器、RADIUS概况、用户组和模板。DMC也报告使用和稽查信息。DMC是一个提供实时管理的统一MM（微软管理控制台）界面。向导提供了所有的标准任务。报告提供了用户以及与安全有关的信息。Defender的RADIUS服务器：允许支持RADIUS的通信服务器和防火墙使用Defender安全服务器作为双因子身份验证系统。Defender的主要功能确保只有被许可的用户方能远程访问网络；使系统安全、易操作的电子注册和软令牌的交付成为可能；用MM（ Microsoft Management Console ）统一用户图形界面，实时地对用户、令牌、安全服务、安全策略和审计日志进行全面的高级管理和常规管理；包含一个自动转换备份服务器许可，为Defender安全服务器提供高度的实效性;Defen der 是基于 :业界认可的安全标准的、可靠的安全解决方案； 提供多种硬令牌和软令牌;双因子的身份验证机制；全面的管理和报告软件： Defender 允许对所有用户、服务器和稽查审计信息进行集中管理。它的管理、报告软件使得生成用户及与安全相关信息的报告更为容易3） 产品配置：PassGo SSO 产品配置：PassGo服务器：在网管子网或服务器子网选择一台器，同时安装IIS或Netscape Web Server,处于安全考虑，PassGo访问控制代理：在有以下需求之一的NT服务器上安装:证需要交给PassGo服务器处理；二是当其管理的用户帐号被禁用NT（ SP4以上）或 Win2000服务定要放在防火墙保护的网段； 是其用户的登录认要同步其他的服务器（而不仅仅是获得同步）PassGo同步代理：凡是需要获得帐号PassGo客户端：安装在所有需要获得IE 或 Netscape 浏览器。用户管理：可把所有内部用户都纳入同时对应用也可以按性质分组,通过规则和脚本建立起用户 认证关系。/激活,或密码改变时,需/密码同步效果的 NT 服务器均应安装 ;Single-Sign-On 的工作站上,该工作站最好安装PassGo 管理,并按组织部门或安全级别分组；/用户组对应用 /应用组的访问和Defender 双因子身份认证系统配置：Defender 验证系统：为了与 PassGo SSO 集成,可以在上述 PassGo 服务器上安装Defender安全服务器作为验证服务器，Defender用户数据库和其他 Defender组件（SQL 7.0以上）可以安装在同一台机或另一台 NT 服务器上。VPN 和防火墙。漏洞扫描只能告诉用户系Defender 验证代理：所有支持 Defender 验证的通讯服务器、3.3.3 风险评估（漏洞扫描）系统风险评估与漏洞扫描有两对于企业安全状况审查, 仅仅有漏洞扫描是不能满足要求的。大不同之处：1、安全风险是站在企业的角度审视所面临的安全威胁,这些安全威胁包括安统或网络存在的安全漏洞在哪里, 并做出简单的漏洞修正的建议。全漏洞,配置不当,用户风险等等。所以,风险评估的评估范围比漏洞扫描要广；2、仅仅有扫描报告对企业用户来说是不够的, 只有在风险扫描的基础上对风险进行发生可能性和危 害性进行分析（比如：风险分级和评分） ,才能给用户一个有管理价值的安全风险报告。所 以,评估分析能力是风险评估系统的重要指标之一。安全问题是动态变化的，只有采用定期的风险评估，才能及时发现企业范围内的安全风险。全面的风险评估报告是建立企业安全基准的重要参考。所以，全面评估能力和定期执行能力也是风险评估系统的重要指标。1）安全目标：在关键节点实现主机的漏洞扫描及报告；对全网的网络安全漏洞扫描及报告。2）产品结构：ESM主机风险评估软件：由“ ESM管理器/ESM代理/ESM控制台” 3层模块组成的分 布式主机风险评估系统。出色的图形界面，灵活的策略定制、域管理以及报告输出功能。所有模块之间的通讯均为加密通讯。ESM代理：安装在被评估主机上的后台扫描程序，通过分析系统配置和系统版本，发现系统漏洞和配置漏洞。可评估38多种操作平台（NT/Wi n2000, TruU nix, Soralis, AIX,HP-UX, NCR, IRIX, Redhat, VMS等等），能够支持企业用户跨平台的安全策略管理要 求。网络系统中的网络主机均可纳入保护范围之内。ESM管理器：主机风险评估系统的中央管理器和信息存贮库。定义安全策略和企业策 略评估计划；管理所有ESM代理并与之通讯；安全信息的集中存储；报表生成并输出。ESM控制台：主机风险评估安全管理员的管理界面。单一界面对企业范围内的风险评 估实现所有管理任务（配置管理、策略定义、在线安全修正和报表生成）。NetRecon网络风险评估软件：NetRecon是一个漏洞和风险评估工具，用于发现、发掘 和报告网络安全漏洞。象一个老虎队一样质询网络和系统；在系统间分享信息并继续探测各种漏洞直到发现所有的安全漏洞。NetRecon独有的路径分析技术可以帮助发现漏洞的根本原因。NetRecon不仅支持IP网络扫描，还支持IPX网络扫描。NetRecon在对网络和系统进行扫描时，采用了具有专利UltraScan 技术，当一个对象获取相关的数据后，数据会作为输入提供给其他的一个或多个工作对象，多个对象同时探测多个目标，并连续地工作。NetworkNetRecon3） 产品配置：（产品配置图示请参见附件）主机风险评估系统的配置在所有关键主机（包括安全管理主机）上配置ESM代理软件；并通过与放置在网管子网（必须在防火墙之后的内网）的ESM管理器通讯，下传评估策略、执行策略和上传评估报告。若存在远程网段的 ESM代理，建议在远程网段配置 ESM管理器（但仍由中央管理 控制），减少因远程通讯带来的安全事件报警的时延。 ESM管理器负责存储所有安全策略和 安全报告。由安装在安全管理员桌面的 ESM控制台对整个主机风险评估系统实施统一管理。全范围分布执行，集中管理，统一报表是这个系统的三大特征。网络风险评估系统的配置：在防火墙内网/外网各配置一个NetRecon网络风险评估系统。区别企业外网和内网的不同网络应用特点，分别输出企业外网和内网安全报告。这种内外分开的配置可以减少打开防火墙安全策略的风险。风险评估系统的统一配置:在NetRecon系统平台上配置 ESM代理，并在 ESM控制台上增加 NetRecon的管理策 略。这样可以实现将 ESM主机评估报告和 NetRecon网络评估报告集中上传到 ESM管理器, 企业用户可以在 ESM控制台内看到整个企业的全面安全报告。3.3. 4入侵检测系统（IDS ）一个完整的入侵检测系统必须从网络和主机两个方面实现入侵检测系统，只有这样才能充分保证全面的安全防御能力。我们建议在网络系统配置 Symantec公司ProwlerlDS入侵检测系统。NetProwler网络入侵检测软件：由NetProwler代理/NetProwler管理器/NetProwler控入侵检测功能，并依据安全策略对主机入侵作出适当反应；NetProwler软件主要是为目标网络提供实时网络分析，发现网络攻击并预警相关安全产品作出网络增强的响应。ProwlerlDS系统为企业提供了 “主机 +网络”统一的入侵检测控制平台。1）安全目标：在关键节点实现主机的实时入侵检测；在关键网段实现网络的实时入侵检测。2）产品结构：（详细的产品介绍请参见附件中的产品资料）Intruder Alert主机入侵检测软件：由“ ITA管理器/ITA代理/ITA控制台” 3层模块组成的分布式主机入侵检测系统。出色的图形界面，灵活的策略定制、 域管理以及报告输出功能。所有模块之间的通讯均为加密通讯。筑 trU ihri 川 FtHIHIITA代理：安装在被保护主机上的后台监控程序，通过实时分析系统操作和用户行为,发现主机入侵和违规操作。可保护20多种操作平台（NT/Win2000, TruUnix, Soralis, AIX,HP-UX, NCR, IRIX, Redhat, VMS 等等），能够支持企业用户跨平台的安全管理要求。网络系统中的网络主机均可纳入保护范围之内。ITA管理器：主机入侵检测系统的中央管理器和信息存贮库。定义安全策略和入侵响应策略；管理所有ITA代理并与之通讯；安全信息的集中存储；报表生成并输出。ITA控制台：入侵检测安全管理员的管理界面。单一界面对企业范围内的主机入侵检测实现所有管理任务（配置管理、策略定义、实时监控和报表生成）。制台” 3层模块组成的分布式的网络入侵检测系统。独有的SDSI专利技术保证动态的网络入侵策略定义和更新。所有模块之间的通讯均为加密通讯。NetProwler代理：运行在目标网络上的独享NT主机上，通过实时分析网络流量，识别网络入侵特征行为并报警。NetProwler管理器：配置网络入侵检测策略；负