IBM—安全汇报1222

null中国移动企业信息化系统 安全加固 方案 气瓶 现场处置方案 .pdf气瓶 现场处置方案 .doc见习基地管理方案.doc关于群访事件的化解方案建筑工地扬尘治理专项方案下载 设计软课题报告中国移动企业信息化系统 安全加固方案设计软课题报告2004/12 IBM安全项目组日程安排日程安排课题背景介绍 企业信息化系统信息安全体系 安全加固方案及实施 计划 项目进度计划表范例计划下载计划下载计划下载课程教学计划下载 防病毒安全规范 数据库安全规范 防火墙安全规范 企业信息化系统安全域规范 问答课题背景介绍课题背景介绍研究内容研究内容中国移动集团公司信息系统安全加固方案及实施计划 安全加固方案是整个软课题的入口，是总部信息办和各省公司信息办对其所负责的平台（统一信息平台、OA等）的安全指南。 安全规范 与具体平台无关的指导性的安全要求，作为各个平台安全操作手册制定时的安全依据。 安全域划分 防病毒系统管理与配置 网络设备安全 数据库安全规范 防火墙安全规范 中国移动安全操作过程手册（安全配置手册） 根据信息系统安全操作规范，结合中国移动具体网络及应用环境和设备，在现有安全策略和规范中的相关部分上进行深化和细化，详细制定每个具体设备具体流程的操作规范，形成具有很强操作性的安全操作过程手册。 操作系统安全配置手册(SUN SOLARIS/IBM AIX/HP UX /WIN 2000) 数据库安全配置手册（Oracle/ DB2/ Sql Server / Domino/ Exchange） 门户系统安全配置手册 (WebSphere Portal/ BEA WebLogic/ Sun One Portal/ Oracle AS Portal/ MS SharePoint) 网络安全配置手册（DNS,FTP,防病毒，VPN，防火墙，交换机，路由器）研究成果（1）研究成果（1）本软课题，共有31个提交件 《中国移动企业信息化系统 安全加固方案及实施计划》 规范（与具体产品平台无关） 《中国移动企业信息化系统 安全域规范》 《中国移动防病毒安全规范》 《中国移动网络设备安全规范》 《中国移动防火墙安全规范》 《中国移动数据库安全规范》 产品操作手册（见下页） 研究成果（2）研究成果（2）通用应用系统 《中国移动WEB服务器安全配置手册》 （包括通用，IIS, Apache) 《中国移动DNS服务器安全配置手册》 （包括通用，windows DNS, Unix Bind) 《中国移动FTP服务器安全配置手册》 （包括通用，IIS, WU-ftp) 《中国移动电子邮件安全配置手册》 （包括通用，Domino, Exchange) 操作系统 《中国移动操作系统安全配置手册》 （包括通用，Solaris, win2000, HP UX, AIX) 数据库 《中国移动Oracle安全配置手册》 《中国移动DB2安全配置手册》 《中国移动Domino安全配置手册》 《中国移动SQL Server安全配置手册》 门户 《中国移动Websphere Portal安全配置手册》 《中国移动BEA Weblogic安全配置手册》 《中国移动SUN One Portal安全配置手册》 《中国移动Oracle AS Portal安全配置手册》 《中国移动MS Sharepoint安全配置手册》 VPN 《中国移动CheckPoint VPN安全配置手册》 《中国移动Nortel VPN安全配置手册》 《中国移动IBM VPN安全配置手册》 路由器，交换机 《中国移动华为路由器交换机安全配置手册》 《中国移动CISCO路由器交换机安全配置手册》 防火墙 《中国移动CISCO PIX防火墙安全配置手册》 《中国移动Netscreen防火墙安全配置手册》 《中国移动CheckPoint防火墙安全配置手册》 防病毒 《中国移动Symantec防病毒安全配置手册》 《中国移动趋势防病毒安全配置手册》 《中国移动瑞星防病毒安全配置手册》 研究方式研究方式本课题的研究方式分为两类 《安全加固方案和实施计划》以及与平台无关的5个安全规范 IBM负责编写 中国移动提供相关信息，并负责审查和提供修改建议 25个与平台相关的安全操作手册 中国移动负责编写 IBM提供模板，并负责审核和提供修改建议 IBM负责手册中通用部分的撰写 IBM负责文档的整合 感谢相关各省移动对本课题的大力支持。 企业信息化系统信息安全体系企业信息化系统信息安全体系中国移动企业信息化系统安全体系 中国移动企业信息化系统安全体系 企业信息化系统安全体系的三层结构 企业信息化系统安全体系的三层结构 第一层：安全策略 第二层：安全规范和 标准 excel标准偏差excel标准偏差函数exl标准差函数国标检验抽样标准表免费下载红头文件格式标准下载 第一层：安全策略 第二层：安全规范和标准安全策略安全规范和标准第三层：安全操作手册、流程、细则第三层：安全操作手册、流程、细则安全操作手册、流程、细则信息化系统 安全加固方案及实施计划信息化系统 安全加固方案及实施计划加固方案和实施计划分为三个部分加固方案和实施计划分为三个部分 安全管理 企业安全管理考核细则加油站安全管理机构环境和安全管理程序安全管理考核细则外来器械及植入物管理 层面： 第一部分 安全体系完善计划 针对信息化安全体系的整体架构，分析目前在策略、规范、标准方面缺失的部分，制定标准体系规范完善计划 第二部分 安全体系部署/实施计划 给出各省市部署和实施该安全体系的建议，该部分是指导性的，概括性的，各省公司应该根据此加固方案和实施计划制定自己的详细的、切实可行的实施计划。 安全技术层面： 第三部分 总部安全技术体系加固方案和建设计划 根据集团总部信息化系统目前所采用的安全技术现状，结合安全体系的具体要求，制定安全技术体系建设计划。安全体系完善计划(1)安全体系完善计划(1)通过分析中国移动企业信息化系统安全体系结构，发现目前在第二层规范/标准这一层的第二个子层具体规范这一层的建设还比较缺乏。下图所列的规范，除了红色部分外，其它规范还不存在。虽然在规范总则中对这些规范进行了简单的说明，但是还不够全面和深入，对于实际操作还是缺乏明确的依据。 针对以上分析，建议信息化办公室在下一阶段将体系建设的重点放在安全规范建设上，逐步完善体系中所提到的安全规范。安全体系完善计划（2）安全体系完善计划（2）在待建设规范中，有些规范之间是存在一定的关联的，我们建议在建设时能够同时予以考虑和建设。 风险管理规范 和 信息资产管理规范 数据备份和恢复 和 介质安全管理规范 和 业务连续性计划规范 系统安全自测规范 和 安全许可证制度 和 内部安全审计规范 人力资源安全管理 和 个人安全守则 和 用户管理规范 和 远程访问安全规范 安全事件检测和响应规范 和 系统日志规范 其它的规范可以酌情和以上规范整合在一起考虑。 系统生命周期安全管理 安全加密 文档管理规范 补丁管理规范 物理安全规范安全体系完善计划（3）安全体系完善计划（3）针对待建的19个安全规范，针对每个具体的规范定义了该规范建设的目标以及该规范中应该包含的内容概要 例如：信息资产管理规范 目标 对于企业信息化系统安全管理来说，如果没有一份完整的能够说明我们所拥有的信息资产情况的清单，就没有办法评估资产的价值、应该采取的保护措施、应该投入的资源情况等，也就无法开展有意义的企业信息化系统安全工作。所以，中国移动要求所有部门/分公司必须维护一份完整、详细的企业信息化系统资产清单，以便于跟踪企业信息化系统安全状态。 内容 定义信息资产分类标准 定义信息分级保护标准 设计信息资产识别方法 定义识别和登记信息资产的流程 定义信息资产登记表模版 定义信息资产清单维护方法安全体系部署/实施计划（1） 信息安全体系建设的生命周期安全体系部署/实施计划（1） 信息安全体系建设的生命周期安全体系部署/实施计划（2） 企业信息化系统安全建设步骤安全体系部署/实施计划（2） 企业信息化系统安全建设步骤如下图所示，建议企业信息化系统安全建设分为以下三个步骤，首先是在集团公司一级进行总体体系部署的规划，然后进行试点，试点成功后进行推广。而在每一个步骤中的建设都应遵守安全体系建设的PDCA模型，确保中国移动的安全体系能够不断地自我发展，循环上升。 总部安全技术体系加固方案和建设计划 主要安全产品和技术分类总部安全技术体系加固方案和建设计划 主要安全产品和技术分类总部安全技术体系加固方案和建设计划 总部信息化系统安全体系改进建议总部安全技术体系加固方案和建设计划 总部信息化系统安全体系改进建议安全总控中心安全总控中心集中地检测、分析、关连、报告、处理安全入侵和违规事件 集中存储安全事件数据和风险信息 增加整个组织信息安全管理的效率及经济性 支持企业信息安全决策机制及风险评估 为企业信息安全管理量化提供必要基础设施 网络安全审计系统网络安全审计系统网络安全审计系统主要用于监视并记录网络中的各类操作，实时地综合分析网络和系统中发生的安全事件，包括各种外部事件(如外部入侵行为)和内部事件(如内部人员的文件拷贝、信息获取、信息发布、资源变迁等)，并根据设置的安全规则，智能地判断出违规行为，并对违规行为进行记录、报警和阻断。 主要功能 对网络中典型的应用如TELNET、HTTP、FTP、SMTP、POP3等进行全面审计，提供详细信息。按照需要，跟踪并记录指定客户的网络操作，真实地再现用户操作的过程，还原该操作。也可以还原电子邮件、网页访问操作等。 网络数据流量监测功能，包括实时流量监测和历史流量记录，用户可以使用该功能发现一些网络异常现象，尤其是当网络中有拒绝服务攻击（DoS）行为时可以及时发现并采取措施。流量监测功能可以自动定时记录用户所指定的主机和端口的流量。通过查询所记录的主机和端口的历史流量，系统可以绘制流量曲线图，生成统计报表。 ……主机入侵检测系统主机入侵检测系统在目前的中国移动网络结构中使用了实时监视系统，在Internal Zone, Admin Zone, 和Interconnection Zone部署了ISS入侵检测软件。 由于内部网采用的各种操作系统可能会带来安全问题，如运行各种UNIX的操作系统。包括操作系统本身的配置不安全和可能驻留在操作系统内部的黑客程序等带来的威胁。因此，可建立主机IDS以进一步防止黑客的威胁。 安全扫描、安全政策检查安全扫描、安全政策检查安全是需要随时注意及改善的，故系统管理人员需随时了解网络和系统安全状况，因此中国移动需要一套系统弱点扫描的工具，能够协助系统管理人员找出重要服务器上可能具有的安全漏洞，以便及早修补。 网络漏洞扫描系统 数据库风险评估和安全政策审计系统 系统风险评估和安全政策审计系统业务连续性计划/灾难恢复计划业务连续性计划/灾难恢复计划现在社会中，业务的连续性对一个企业越来越重要，在企业中已不是IT一个部门的问题，而是整个企业生死相关的问题。通过对实际情况(包括核心业务，业务中断的损失，可容忍任务中断的时间)进行分析，建设一套切合实际的，投资合理的，内容可靠的业务连续性及容灾备份方案。 如右图所示，容灾备援方案包括一个相互关连的流程，具体包括风险管理、业务冲击分析、恢复能力分析、容灾策略制定、容灾技术方案的制定和实施、企业业务连续性计划的制定和企业容灾方案的管理。网络安全体系建设网络安全体系建设根据业务上或管理上以及《企业信息化安全域规范》的各种安全相关需求，对现有的网络系统通过各种网络安全防范的技术手段和管理规范进行一系列的安全改造，从而将网络上存在的安全风险和安全隐患降至最低。 本项目的范围包括了所有与网络系统相关的运作安全考虑。包括了 内部局域网安全建设和改造 和第三方合作伙伴的网络连接安全建设和改造 Internet连接安全规范 用户远程网络接入连接相关的安全方面的考虑各信息系统的统一单点登录各信息系统的统一单点登录统一认证和授权系统由以下四个部分组成： 目录服务：存储多种不同来源的用户/资源信息。包括： 存储子模块：即目录服务模块 同步子模块：即元目录，或动态用户管理（User Provisioning）模块 身份管理：管理用户身份信息，并提供自动工作流程和自服务、分权管理功能。认证管理：认证方式可以分为以下四类： 所知（Something you know） 所持（Something you have） 所具有（Something you are）和所为（Something you do） 访问管理：进行访问规则定义，并进行访问规则的中心控制，实现SSO。 个人及桌面安全管理个人及桌面安全管理通过对用户桌面电脑使用的操作系统和其他相关安全系统平台进行安全定制，对员工使用的桌面系统进行统一，并对用户日常使用过程中应当注意的安全问题加以明确的规定，从而确保了对桌面系统的安全管理。 该项目的范围包括 统一主流的桌面操作系统平台和其他相关安全系统平台、定制其安全策略 统一制定用户桌面系统使用安全操作手册 建立桌面电脑补丁的自动分发机制员工安全意识普及教育员工安全意识普及教育安全意识培养机制目的 Why? 确保所有员工都理解企业所面临的风险， What? 确保所有员工都了解企业的安全要求 How? 确保所有员工都具有相应的技能遵守安全要求 在通常情况下，绝大多数员工当他们知道了什么是正确的，以及为什么是正确的之后，都会自觉地遵守。 通过提升员工安全意识，可以及时发现，避免安全事件的发生，降低安全事件的影响，从而节约了信息安全成本。 中国移动需要一套系统的、有针对性的、层次分明的教育计划来实现我们的目标。通过教育，让所有的人了解自己在企业信息化系统安全中的角色(role)、责任(responsibility)和义务(liability)，以及如何正确、安全地使用企业信息化系统。信息安全风险评估信息安全风险评估信息安全风险评估项目的目标 了解支撑中国移动关键业务运作的信息系统的安全状况 评估核心信息资产所面临的风险 发现信息安全实践中的薄弱环节和改进机会 明确信息系统的安全需求 提出信息安全控制措施改进方案。 信息安全风险评估项目的主要收益包括 明确核心信息资产面临的主要风险 平衡信息安全风险和投入 培养信息安全风险评估队伍防病毒安全规范防病毒安全规范病毒发展趋势与企业的病毒威胁分析病毒发展趋势与企业的病毒威胁分析病毒发展趋势 病毒技术与系统攻击技术的结合 （蠕虫病毒、木马/黑客病毒） 混合型病毒传播方式多变 （蠕虫病毒） 电子邮件病毒感染 （脚本病毒、蠕虫病毒、木马病毒） 新病毒爆发时间短危害大 （蠕虫病毒、木马病毒、脚本病毒等） 企业的病毒威胁分析 恶意破坏桌面终端、服务器系统、网络系统 性能降低、功能失效；破坏系统和数据，造成系统崩溃，网络阻塞 盗窃桌面终端和服务器系统中的机密信息 帐户密码、信用卡资料、机密文件 文档服务器、邮件服务器成为病毒跳板 网络接口成为重要的病毒入侵途径 Web, FTP, SMTP 防病毒管理面临压力 职责不明确、管理规范不完善、用户防病毒意识不高 企业防病毒安全对策企业防病毒安全对策企业防病毒架构体系建设 覆盖全面、多层次。 涵盖集团公司、各省/直辖市、各地市 覆盖桌面终端、服务器、邮件系统、网关 防毒及时 及时更新病毒码、病毒引擎 统一管理 以集团公司、各省或直辖市为单位，由信息化责任部门设立集团公司、省或直辖市内统一的防病毒管理中心 统一防病毒策略制定、统一防病毒工作监控 企业防病毒管理机制加强 防病毒管理策略 防病毒管理职责定义 防病毒管理方法和机制集团公司防病毒架构集团公司防病毒架构第一层：集中管理层。 集团总部的统一防病毒管理中心统一管理集团总部的防病毒事务，负责集团总部防病毒架构的工作策略配置的制定和分发。部署防病毒服务器，负责对各个部门的桌面工作站或文档服务器的防病毒控制。 第二层：各部门的终端层。 分布于集团总部内网的各个节点，数量众多，通过防病毒软件进行病毒监视和防护。 边界层：网关防病毒。 这个层次分布于集团网络出入接口，在这些外部网络接入点部署邮件防病毒过滤服务器、Web防病毒过滤服务器、FTP防病毒过滤服务器。这些边界防病毒过滤服务器接受集团总部防病毒管理中心的统一管理。 省/直辖市防病毒架构省/直辖市防病毒架构第一层：集中管理层。 成立统一防病毒管理中心。这个层次通过中央控制台统一管理企业的防病毒事务，负责省防病毒架构的工作策略配置的制定和分发。 第二层：分布层。 部署二层防病毒服务器。这个层次具有多个分布在不同地市部门的防病毒服务器，负责局域网内桌面工作站或者文档服务器的防病毒控制。防病毒服务器接受第一层的防病毒管理中心的统一管理控制。 第三层：终端层。 这个层次分布于网络的各个节点，数量众多，通过防病毒软件进行病毒监视和防护。桌面工作站和文档服务器接受二层防病毒服务器的直接管理。 边界层： 网关防病毒。这个层次分布于网络出入接口，在这些外部网络接入点部署邮件防病毒过滤服务器、Web防病毒过滤服务器、FTP防病毒过滤服务器。这些边界防病毒过滤服务器接受省/直辖市中心的统一管理。 防病毒工具功能要求防病毒工具功能要求防病毒运维组织架构防病毒运维组织架构省/直辖市公司建立防病毒管理中心 主要负责防病毒系统的整体规划、落实防病毒系统的具体制度、落实防病毒管理员的工作职责等工作。省/直辖市公司、各地市公司可以参照运维组织架构设立相应的防病毒机构。 省/直辖市公司、各地市公司要设立防病毒日常维护小组 负责防病毒系统的日常维护。省/直辖市公司日常维护小组的成员必须是专职的，地市公司原则上也要有专职的防病毒日常维护人员，也可以根据网络及防病毒系统实际状况由系统管理员兼职。系统管理员也作为网络防病毒日常维护的一部分，与防病毒日常维护小组相互协调工作。 防病毒应急响应小组 由省/直辖市公司防病毒日常维护人员和安全服务提供商以及防病毒厂商技术人员组成，组成人员可以兼职。省/直辖市公司应急响应系统主要负责解决由于病毒造成网络阻塞等重大问题和事件。 防病毒管理策略要点防病毒管理策略要点这些防病毒策略要求用于指导建立可靠有效的防病毒机制，指引安全管理组织和病毒处理小组才能够有效地减轻病毒的对公司的潜在威胁。 信息资产分类与控制 信息资产负责人的防病毒责任 信息资产分类防病毒控制 人员安全 防病毒安全培训 安全时间和故障响应 系统维护管理 落实防病毒管理流程：文档维护、工具变更、紧急时间响应等 防止恶意软件：病毒扫描和文件数据交换控制 远程办公 移动电脑 遵守防病毒法律规定防病毒管理职责定义防病毒管理职责定义集团公司防病毒管理职能 集团公司在防病毒架构体系建设中起到规范标准化、建设指导和监督者的作用。 制定中移动统一的防病毒架构体系建设规范，为各省/直辖市的防病毒架构建设和改进提供了规范性的指导建议； 制定中移动防病毒的 管理制度 档案管理制度下载食品安全管理制度下载三类维修管理制度下载财务管理制度免费下载安全设施管理制度下载 和管理机制规范，指导和规范各省/直辖市的防病毒管理工作； 监督各省/直辖市的防病毒工作，定期以安全审计检查的方式监督下属公司工作是否到位。 省/直辖市公司防病毒管理职能 制定防病毒有关具体管理制度和操作规程细则； 部署病毒防护策略和病毒解决方案； 协调和分配各地分公司防病毒任务和职责权限； 发布计算机病毒疫情，以及突发病毒解决方案； 根据计算机病毒疫情调整防病毒管理策略； 贯彻落实省/直辖市公司病毒防护策略和病毒解决方案； 定时统计、分析、汇总和上报本公司防病毒检测情况报告。 地市公司防病毒管理职能 根据省/直辖市公司下发的最新病毒信息和解决办法处理各种病毒问题； 负责管理辖内病毒防治的管理和日常维护； 定时统计、分析、汇总和上报本公司防病毒检测情况报告。 日常运维管理职能由集团公司、省/直辖市公司和地方公司防病毒相关部门执行和运作。 防病毒管理机制建设要点防病毒管理机制建设要点防病毒管理机制建设的主要目标是： 有效地管理公司内部病毒事件带来的风险 提高公司所有人员对在防病毒管理过程中相关法规制度的理解与遵守 预防病毒潜在的危险，并能够处理突发病毒事件，保证业务运营连续性 防病毒文档管理 管理文档 运行维护文档 防病毒软件管理 安装软件管理 软件升级更新管理 防病毒管理机制建设要点防病毒管理机制建设要点终端计算机用户防病毒条例 建立全网用户应该遵循以下用户使用条例： 未经许可不能卸载防病毒软件，不能更改配置。 如认为防病毒软件影响正常使用，应及时联系管理员进行判断处理。 定时检查更新状态，定时执行扫描。 注意不要使用未经扫描的软盘启动。 不允许访问含有色情、暴力等不健康内容的网站 不随意从互联网上下载软件、游戏、电影等。 不运行任何可疑文件。 对于主题名新奇的电子邮件不要随便打开。 病毒突发事件应急响应机制 成员组成 管理部门、技术部门的相关人员 处理步骤和流程 确认方案 隔离 清楚 恢复 后续检查 防病毒管理机制建设要点防病毒管理机制建设要点防病毒预警机制 新病毒讯息公告与处理 疑似病毒信息发布 防病毒意识培训 防病毒知识普及 防病毒知识全员普及内容 病毒疫情预警 安全漏洞公告 特定病毒处理通告 病毒防治论坛 用于计算机用户在线防病毒技术交流、讨论、求助和建议等 提供相关预防病毒知识 数据库安全规范数据库安全规范数据库安全威胁与对策数据库安全威胁与对策数据库主要安全威胁 数据被篡改、窃取 用户身份被伪造、密码被盗用 未经授权对表、列、行的存取 缺乏有效的跟踪、监控机制 数据库安全管理关键要点 管理细分和委派原则 数据库管理员与安全管理员 最小权限原则 本着"最小权限"原则，从需求和工作职能两方面严格限制对数据库的访问权 帐号安全原则 密码规则、用户帐号管理 有效的审计 用户行为和数据库活动 加强关键数据库安全保护 数据库备份恢复、数据加密 数据库基本安全技术数据库基本安全技术数据库系统的安全防护架构 数据库系统的安全防护架构 数据库系统的安全除依赖自身内部的安全机制外，还与外部网络环境、运行主机环境等因素息息相关。从广义上讲，数据库系统的安全框架可以划分为三个层次： 1. 网络系统层次； 2. 操作系统层次； 3. 数据库管理系统层次。 网络系统层次安全防护 网络系统层次安全防护 数据库的安全首先倚赖于网络系统 网络系统的安全是数据库安全的第一道屏障，外部入侵首先就是从入侵网络系统开始的 针对数据库系统的安全风险，可以采用以下的网络系统层次安全加固方法： 采用防火墙系统 对数据库服务器与外部不受信任网络进行隔离，屏蔽外界对数据库系统的攻击，如SQL注入、未授权访问、密码攻击等； 采用入侵检测系统 对数据库系统的攻击进行监测，发现并切断外部点恶意攻击，如SQL注入、未授权访问、密码攻击等； 采用VPN技术 对网络传输进行安全加密，保护数据库访问的安全，能够有效抵御网络窃听的攻击。 操作系统层次安全加固操作系统层次安全加固数据库系统安装在主机系统之上，为了有效的保障数据库系统安全，必须对主机系统平台进行规范的安全加固。 操作系统用户安全设置 用户组权限设置 数据库使用程序的安全性 操作系统安全日志设置 记录数据库服务的启动、关闭等操作，以及主机管理员、数据库服务管理员、和应用开发人员的行为等 关闭非必要的服务和程序 禁止不使用的数据库服务、应用服务、协议 修补操作系统和更新包 数据库管理系统层次安全加固（一）数据库管理系统层次安全加固（一）数据库安全策略要点 系统安全性策略要点 用户帐户管理 用户身份确认方式管理 操作系统安全要求 数据库安全性策略要点 根据具体的业务应用要求设计数据对象访问、数据加密 用户安全性策略要点 密码安全、用户角色分组、权限管理 数据库管理者安全性策略要点 特权用户密码保护 特权用户使用限制 应用程序开发者安全策略要点 应用程序开发者的权限限制 应用程序开发者角色的使用限制数据库管理系统层次安全加固（二）数据库管理系统层次安全加固（二）数据库帐户安全设置要点 定义数据库系统访问帐户负责人员和业务用途，删除无关的或者不再使用的数据库系统访问人员帐户； 修改数据库管理系统内建帐户的初始密码； 对数据库帐户所使用的资源（如CPU等）进行限制。 密码安全设置要点 多次注册失败帐户锁定 过旧帐户锁定 防止密码重用 密码复杂性设置 密码的传输和存储安全 访问权限安全设置要点 检查帐户的权限是否与业务使用的要求相符，避免帐户获得超出其业务工作必须的权限； 给予帐户需要的最少权限，包括系统权限和对象权限； 采用存储过程、和数据表视图的方式来限制用户进行数据存取操作。 数据库管理系统层次安全加固（三）数据库管理系统层次安全加固（三）数据库加密 对数据库中存储的重要数据进行加密处理，以实现数据存储的安全保护 数据库系统的加密工具包 数据库加密系统 数据库备份与恢复 备份方法 导出、脱机备份和联机备份 备份策略建议 恢复方法 数据文件损坏、控制文件损坏、文件系统损坏、介质恢复 日志与审计 日志记录数据库服务、数据库管理员和用户帐户的访问和操作行为 审计跟踪用户的活动，发现安全设置的漏洞，分析安全事件 语句审计、特权审计、模式对象审计 管理员客户端安全 数据库安全补丁进一步数据库安全考虑进一步数据库安全考虑细粒度访问控制 应用程序安全检查 数据库系统与基于标准的公共密钥体系PKI集成 关键数据库系统灾难备份防火墙安全规范防火墙安全规范防火墙分类 防火墙分类 包过滤（Packet Filter） 应用层代理（Proxy） 电路层代理（Circuit Proxy） 动态包过滤（Dynamic Packet Filter） 全状态检测（Stateful Inspection） 自适应代理（Adaptive Proxy） 深度包检测（Deep Packet Inspection）防火墙常用技术 防火墙常用技术 NAT 双机热备 桥接、路由 内容过滤 带宽管理 附加功能： 攻击保护，联动功能，入侵检测防火墙体系结构 防火墙体系结构 屏蔽路由器（Screening Router） 双穴主机网关（Dual Homed Gateway） 屏蔽主机网关（Screened Host Gateway） 屏蔽子网 （Screened Subnet）包过滤防火墙的基本功能安全要求 包过滤防火墙的基本功能安全要求 未鉴别的端到端策略：一个内部或外部网络上的主体通过防火墙发送数据流到一个外部或内部网络上的客体。 用户数据保护功能 识别与鉴别功能 保密功能 可信安全功能保护 安全审计功能应用网关防火墙的基本功能安全要求 应用网关防火墙的基本功能安全要求 有鉴别的端到端策略：一个内部或外部网络上的主体在发送数据流前，必须通过防火墙的鉴别，才能将数据流传送给一个外部或内部网络上的客体。 用户数据保护功能 识别与鉴别功能 保密功能 可信安全功能保护 安全审计功能防火墙的特殊功能安全要求 防火墙的特殊功能安全要求 模块化多端口 多级过滤 内容过滤 多种形式审计告警 VPN（IPsec 和 SSL） 入侵检测 带宽管理 集中的安全网管 支持802.1Q封装防火墙安全策略 防火墙安全策略 防火墙安全策略配置: 通信策略 访问策略 应用策略 安全策略管理流程： 增添安全策略 更改安全策略 删除安全策略防火墙管理人员角色分类 防火墙管理人员角色分类 超级管理员 负责本公司IP网络安全管理员和安全审计员的选用和监督，负责生成安全管理员和安全审计员的账号及相应权限 安全管理员 负责职权范围内IP网络安全防范工作的具体实施、安全配置操作和维护工作、以及相关网络安全问题的处理。 安全审计员 负责所管理主机系统及网络设备的安全定期审查和维护工作。安全审计员仅可以对日志进行审计分析。 防火墙用户参数管理 防火墙用户参数管理 认证模式 有效时间 连续认证失败时间 连续认证失败次数 恢复时间 口令管理 闲置时间 并发用户管理防火墙日志审计与监控 防火墙日志审计与监控 日志收集 日志分析 建立安全基线 界定可疑活动 日志存储 安全审计建议 建立安全审计报告 安全问题应对流程 审计与整体监控系统配合防火墙日常维护管理 防火墙日常维护管理 防火墙系统资源监控 系统日志监控 数据包捕获分析 定期备份 同步备份、手动备份、 自动备份 远程异地方式、 本地存储方式 防火墙适用环境－单级防火墙结构 防火墙适用环境－单级防火墙结构 防火墙适用环境－多级防火墙结构 防火墙适用环境－多级防火墙结构 防火墙部署原则 防火墙部署原则 骨干层 汇聚层 接入层 企业信息化系统安全域规范企业信息化系统安全域规范安全域规范的主要内容 安全域规范的主要内容 企业信息化系统的现状 企业信息化系统的安全域划分 安全域的管理、技术、设备需求定义 安全域的威胁等级和保护等级 企业信息化系统安全域的网络保护企业信息化系统的应用系统现状 企业信息化系统的应用系统现状 统一信息平台应用： 统一信息平台包括了OA系统，主要提供企业各种公文处理、电子邮件和信息发布等功能；同时还包括统计查询、电子报销、资源预定、办公用品申领、电子期刊、档案管理、知识管理、考核管理、研发项目管理、搜索引擎、远程办公应用等。 MIS应用： MIS包括财务系统、人力资源系统、综合统计系统等应用系统；还包括电子采购系统、全面预算管理系统等。 对外通过合作伙伴门户与外部的合作伙伴连接，对内与BOSS系统和网管系统存在接口。 企业信息化系统的应用系统现状（图）企业信息化系统的应用系统现状（图）企业信息化系统的网络架构（图）企业信息化系统的网络架构（图）企业信息化系统的应用架构 企业信息化系统的应用架构 紧密耦合结构的应用： 例如终端标准化，有一个全集团的终端标准化系统，还有各个业务单位终端标准化子系统。 松散耦合结构的应用： 例如OA系统，各个业务单位都有自身的OA系统，其服务器在各个业务单位的服务器区域，而OA互连主要通过公文网关。 全部集中在集团总部的应用： 例如电子采购系统，各个业务单位没有单独的电子采购系统，只有集中的系统。 企业信息化系统的应用架构 （图）企业信息化系统的应用架构 （图）集团总部 信息化广域专网CMNET VPNPSTN省公司 信息化 全集团 信息化系统 服务器集团总部集团总部企业信息化的网络拓扑（图）集团总部企业信息化的网络拓扑（图）省公司企业信息化的网络拓扑（图）省公司企业信息化的网络拓扑（图）集团公司省计费中心外部接入办公自动化DCN省信息化集团总部 信息化……内部办公 局域网CMNet网管网管地市1 地市 信息化银证邮/ISP县级信息化省网管中心SOCMIS服务器地市分公司MISOAOA服务器因特网网管BOSS统一信息平台统一信息 平台服务器集团公司全集团公司 信息化CMNet专线集团总部企业信息化的一级安全域划分企业信息化的一级安全域划分公共区不在中国移动直接控制范围内的区域。 包括外界的各种访问设备和用户资源，从外部对中国移动信息化系统进行访问并要求服务。半安全区安全区核心安全区位于中国移动信息化系统控制范围内，是公共区与安全区之间的“过渡”区域。 包括所有能被非信任来源直接访问并提供服务的系统和设备。位于中国移动信息化系统控制范围内，是安全控制和保护级别较高的区域。 包括中国移动信息化系统内部用户终端和一些重要程度不高且经常使用的服务器。位于中国移动信息化系统控制范围内，是安全控制和保护级别最高的区域。 包括中国移动信息化系统重要的应用服务器、数据库服务器、管理控制台和服务器。企业信息化一级安全域的安全措施企业信息化一级安全域的安全措施公共区半安全区安全区核心安全区外部防火墙防毒网关代理服务外部域名…防毒服务器流量监控文件服务加密服务…访问控制系统管理入侵检测日志服务…外界访问互联网拨号专线外边界内边界核心边界二级安全域的划分－应用系统分类二级安全域的划分－应用系统分类 全国互访应用： 如e-learning系统，从全集团的角度向所有中国移动员工提供服务。其用户是集团总部和各省公司信息化系统内部员工，从内部安全区或外部半安全区发起访问。 局部应用： 如OA系统，主要是集团总部和各省公司信息化系统为各自的内部员工提供服务，其用户访问来自各自安全区内的日常办公区，服务器放置在各自核心安全区内的服务器区。如果有互访要求，可以通过各自集团－省公司互联区内的公文网关进行数据传输。 对外应用： 如电子采购系统，用户是中国移动的供应商，信息化系统内部只有发布、更新和维护工作。这类应用的用户终端位于公共区，因此其服务器只能放置在半安全区的DMZ区。如果该服务器的保护级别要求很高，也可以放置在核心安全区，通过DMZ区的应用代理服务器作应用数据转发。二级安全域的划分－集团总部（一）二级安全域的划分－集团总部（一）二级安全域的划分－集团总部（二）二级安全域的划分－集团总部（二）二级安全域的划分－省公司（一）二级安全域的划分－省公司（一）二级安全域的划分－省公司（二）二级安全域的划分－省公司（二）公共区 公共区 两个子区域： 非移动用户接入区 移动用户接入区 公共区的业务数据流 公共区的安全策略 公共区的安全设备需求 半安全区 半安全区 两个子区域： DMZ区 集团－省公司互联区 DMZ区的业务数据流 DMZ区的安全策略 DMZ区的安全设备需求 集团－省公司互联区的业务数据流 集团－省公司互联区的安全策略 集团－省公司互联区的安全设备需求 安全区 安全区 三个子区域： 日常办公区 内部系统互联区 省－地市公司互联区 日常办公区的业务数据流 内部系统互联区的业务数据流 省－地市公司互联区的业务数据流 安全区的安全策略 安全的安全设备需求 核心安全区 核心安全区 两个子区域： 服务器区 管理区 服务器区的业务数据流 服务器区的安全策略 服务器区的安全设备需求 管理区的业务数据流 管理区的安全策略 管理区的安全设备需求 企业信息化系统的威胁等级－威胁分析企业信息化系统的威胁等级－威胁分析公共区：与互联网直接相联，威胁主要是来自外部威胁，包括黑客攻击、病毒扩散等，因此属于非信任区，其受到的威胁等级最高。 半安全区：与非信任区直接相联并接受其访问，也会受到一定的外部威胁和内部威胁，因此属于半信任区，其受到的威胁等级较高。 安全区：非信任区不能直接访问，主要是内部威胁存在，但是有一定的安全控制机制，因此属于信任区，其受到的威胁等级较低。 核心安全区：类似安全区，但是有更加严格的安全控制机制进行管理，属于高度信任区，其受到的威胁等级最低。 企业信息化系统的威胁等级－赋值表企业信息化系统的威胁等级－赋值表企业信息化系统的保护等级－指标列表企业信息化系统的保护等级－指标列表企业信息化系统的保护等级－赋值表企业信息化系统的保护等级－赋值表企业信息化系统安全域的网络保护企业信息化系统安全域的网络保护通用网络保护 交换机上的控制 路由器上的控制 防火墙上的控制 问答问答