IT系统整体安全解决方案DOC.docx
《IT系统整体安全解决方案DOC.docx》由会员分享，可在线阅读，更多相关《IT系统整体安全解决方案DOC.docx（53页珍藏版）》请在冰豆网上搜索。
IT系统整体安全解决方案DOC
IT系统整体安全解决方案
2011-8
一、信息系统安全的含义3
二、信息系统涉及的内容4
三、现有信息系统存在的突出问题6
1、信息系统安全管理问题突出6
2、缺乏信息化安全意识与对策7
3、重安全技术，轻安全管理7
4、系统管理意识淡薄7
四、信息系统安全技术及规划8
1、网络安全技术及规划8
（1）网络加密技术8
（2）防火墙技术、内外网隔离、网络安全域的隔离9
（3）网络地址转换技术10
（4）操作系统安全内核技术11
（5）身份验证技术11
（6）网络防病毒技术11
（7）网络安全检测技术13
（8）安全审计与监控技术13
（9）网络备份技术14
2、信息安全技术及规划14
（1）鉴别技术14
（2）数据信息加密技术15
（3）数据完整性鉴别技术15
（4）防抵赖技术15
（5）数据存储安全技术16
（6）数据库安全技术16
（7）信息内容审计技术17
五、信息系统安全管理17
1、信息系统安全管理原则18
（1）、多人负责原则18
（2）、任期有限原则18
（3）、职责分离原则19
2、信息系统安全管理的工作内容19
一、信息系统安全的含义
信息系统安全包括两方面的含义，一是信息安全，二是网络安全，涉及到的试信息化过程中被保护信息系统的整体的安全，是信息系统体系性安全的综合。
具体来说，信息安全指的是信息的保密性、完整性和可用性的保持；网络安全主要从通信网络层面考虑，指的是使信息的传输和网络的运行能够得到安全的保障，内部和外部的非法攻击得到有效的防范和遏制。
信息系统安全概括的讲，根据保护目标的要求和环境的状况，信息网络和信息系统的硬件、软件机器数据需要受到可靠的保护，通信、访问等操作要得到有效保障和合理的控制，不受偶然的或者恶意攻击的原因而遭受到破坏、更改、泄漏，系统连续可靠正常的运行，网络
服务不被中断。
信息化安全的保障涉及网络上信息的保密性、完整性、可用性、真实性和可控性的相关技术和理论，涉及到安全体系的建设，安全风险的评估、控制、管理、策略指定、制度落实、监督审计、持续改进等方面的工作。
信息化安全与一般的安全范畴有许多不同的特点，信息化安全有其特殊性，首先，信息化安全使不能完全达到但有需要不断追求的状态，所谓的安全是相对比较而言的。
其次，信息化安全是一个过程，
是前进的方向，不是静止不变的。
只有将该过程针对保护目标资源不断的应用于网络和其支撑体系，才可能提高系统的安全性。
第三，在信息系统安全中，人始终是一个重要的角色，由于人的动机、素质、品德、责任、心情等因素，在管理、操作、攻击等方面有不同表现，可能造成信息系统的安全问题。
第四，信息系统安全是一个不断对付攻击的循环过程，攻击和防御是循环中交替的矛盾性角色。
防御攻击的技术、策略和管理并不是一劳永逸的，需要更新适应性的发展需求。
第五，信息系统安全是需要定期进行风险评估的，风险存在和规避风险都是不断变化的。
信息系统安全涉及的内容既有技术方面的问题，更重要的是管理方面的问题，两方面相互补充，缺一不可。
技术方面主要侧重于防范、记录、诊断、审计、分析、追溯各种攻击，管理方面侧重于相应于技术实现采取的人员、流程管理和规章制度。
因此，从某种意义上讲，信息系统安全不仅是技术难题，而且也是管理问题。
二、信息系统涉及的内容
信息系统安全所涉及到的主要内容包括：
·系统运行的安全：
主要侧重于保证信息处理和通信传输系统的安全。
其安全的要求是保证系统正常运行，避免因为系统的崩溃和损坏而对系统存储、处理和传输的信息造成破坏和损失，避免物理的不安全导致运行的不正
常或瘫痪，避免由于电磁泄露而产生信息泄漏，干扰他人或受他人干
扰。
·访问权限和系统信息资源保护：
对网络中的各种软硬件资源（主机、硬盘、文件、数据库、子网等）进行访问控制，防止未授权的用户进行非法访问，访问权限控制技术包括口令设置、身份识别、路由设置、端口控制等。
系统信息资源保护包括身份认证、用户口令鉴别、用户存取权限控制、数据库存取权限控制、安全审计、计算机病毒防治、数据保密、数据备份、灾难恢复等。
·信息内容安全：
侧重与保护信息的保密性、真实性和完整性。
避免攻击者利用系统的漏洞进行窃听、冒充、诈骗等有损合法用户的行为。
信息内容安全还包括信息传播产生后果的安全、信息过滤等，防止和控制非法、有害的信息进行传播后的后果。
·作业和交易的安全：
网络中的两个实体之间的信息交流不被非法窃取、篡改和冒充，保证信息在通信过程中的真实性、完整性、保密性和不可否认性。
作业和交易安全的技术包括数据加密、身份认证。
数字签名等，其核心是加密技术的应用。
·人员和安全的规章制度保障：
重大的信息化安全事故通常来自单位阻止的内部，所以对于人员
的管理、确定信息系统安全的基本方针和相应的规章管理制度，是信息系统安全不可缺少的一个部分。
在人员角色、流程、职责、考察、审计、聘任、解聘、辞职、培训、责任分散等方面，建立可操作的管理安全防范体系。
·安全体系整体的防范和应急反应功能：
对于信息系统涉及到的安全问题，建立系统的防范体系，对可能出现的安全威胁和破坏进行预演，对出现的灾难、意外的破坏能够及时的恢复。
三、现有信息系统存在的突出问题
1、信息系统安全管理问题突出
信息系统安全管理包括三个层次的内容：
组织建设、制度建设和人员意识。
组织建设问题是指有关信息安全管理机构的设立。
信息安全的管理包括安全规划、风险管理、应急反应计划、安全教育培训、安全策略制定、安全系统的评估和审计等多方面的内容。
安全管理虽然有一些机构成立，但是各个机构的职责并不是很明确，建立的规章制度可落实性差，甚至没有规章制度。
对人的管理，还需要解决多人负责、责任到人、任期有限的问题。
领导对信息化还不够重视，没有形成群防群治的意识。
信息安全的教育和培训还不够。
2、缺乏信息化安全意识与对策
管理层新在对信息资产所面临威胁的严重性认识不足，或者只限于信息技术安全方面，没有形成一个合理的信息化安全整体方针来指导和组织信息化安全管理工作，表现为缺乏完整的信息安全管理制
度，缺乏对员工进行必要的安全法律法规和安全风险防范教育和培训，现有的安全规章制度组织机构未能严格发挥作用。
3、重安全技术，轻安全管理
虽然现在使用计算机、内部办公局域网来构建信息系统，但是相应的管理措施不到位，如系统运行、维护、开发等岗位不清，职责部
分，存在一人身兼数职现象。
信息化安全大约70％以上的问题是由于管理方面的原因造成的，也就是解决信息化安全问题，不仅仅从技术方面入手，同时更应该加强安全管理的工作。
4、系统管理意识淡薄
现有的安全管理模式仍是传统的管理方法，出了问题才去想补救的办法，头疼医头，脚疼医脚，是一种就事论事，静态的管理办法，不是建立唉安全风险评估基础之上的动态的持续改进管理办法。
四、信息系统安全技术及规划
1、网络安全技术及规划
由于互联网所存在的诸多不安全因素，使得网络使用者必须采取相应的网络安全技术来堵塞漏洞，保证提供通信服务的安全性。
快速发展的网络安全技术能从不同角度逐步保护网络信息不受侵犯，网络安全的基本技术主要包括网络加密技术、防火墙技术、网络地址转换技术、操作系统安全内核技术、身份验证技术、网络防病毒技术、检测审计技术、备份技术等。
（1）网络加密技术
网络信息加密的目的是保护网内的数据、文件、口令和控制信息，保护网上传输的数据。
网络加密常用的方法有链路加密、端点加密和节点加密三种。
链路加密的目的是保护网路节点之间的链路信息安全；端点加密是对源端用户到目的端用户的数据提供加密保护；节点加密的目的是对源节点到目的节点之间的传输链路提供加密保护。
一般常用的加密方法是链路加密和端点加密。
链路加密侧重于在通信链路上而不考虑信源和信宿，是对保密信息通过各链路采用不同的加密密钥提供安全保护。
链路加密是面向节点的，对于网络高层主体是透明的，它对高层的协议信息（地址、检错、帧头帧尾）都加密，
因此数据在传输中是密文的，但在中央节点必须解密得到路由信息。
端到端加密是指信息由发送端自动加密，形成TCP/IP数据包，然后作为不可阅读和不可识别的数据穿过网络，当这些信息一旦到达目的
地，将自动解密、重组，成为可读数据。
端点加密是面向网络高层主体的，它不对下层协议进行信息加密，协议信息以明文的形式传输，用户数据在中央节点不需解密。
端点加密系统的价格比较便宜，并且与链路加密和节点加密相比更可靠，更容易设计、实现和维护。
端点加密还避免了其他加密系统所固有的同步问题，此外，从用户的角度出发，端点加密更自然些，在对数据信息进行加密的同时，不影响网络上其他的用户。
（2）防火墙技术、内外网隔离、网络安全域的隔离
在内外部网络之间，设置防火墙（包括分组过滤和应用代理）实
现内外网的隔离与访问控制是保护内部网络安全的主要措施之一。
防
火墙可以表示为：
防火墙＝过滤器＋安全策略＋网关。
防火墙可以监
控进出网络的数据信息，从而完成仅让安全、核准的数据信息进入，
同时又地址对内部网络构成威胁的数据进入任务。
通常，防火墙服务
的主要目的是：
限制他人进入内部网络、过滤掉不安全服务和非法用
户、限定访问的特殊站点等等。
防火墙的主要技术类型包括网络级数据包过滤器和应用级代理服务器。
由于网络级数据包过滤器和应用级代理服务器两种类型的防
火墙系统各有优缺点，因此在实际中，应将二者结合起来使用。
分组过滤器作用在网络层和传输层，只有满足过滤逻辑的数据包才被转发到相应的目的地出口端，其余数据包则被从数据流中丢弃。
应用代理，俗称"网关"，作用在应用层，特点是完全隔绝了网络通信流，通过对各种应用服务编制专门的代理程序，实现监视和控制应用层通信流的作用。
实际中的应用网关通常有专用工作站实现。
对于内部网络不同网络安全域的隔离及访问控制，防火墙被用来隔离内部网络的一个网段与另外一个网段。
这样就能防止影响一个网段的问题穿过整个网络传播。
针对某些网络，在某些情况下，它的一些局域网的某个网段比另一个网段更受信任，或者某个网段比另一个更敏感，这样，在它们之间设置防火墙就可以限制局部网络安全问题对全局网络造成的影响。
（3）网络地址转换技术
网络地址转换技术也称为地址共享器或地址映射器，设计的初衷是为了解决网络IP地址不足的问题，现在多用于网络安全。
内部主机向外部主机连接时，使用同一个IP地址，相反的，外部主机要向内部主机连接时，必须通过网关映射到内部主机上。
它使外部网络看不到内部网络，从而隐藏内部网络，达到保密的目的，使系统的安全性提高，并且节约从ISP处得到的外部IP地址。
（4）操作系统安全内核技术
除了传统的网络安全技术以外，在操作系统层次上也应该考虑相关的网络安全问题，操作系统平台的安全措施包括：
采用安全性较高的操作系统；对操作系统进行安全配置；利用安全扫描系统检查操作系统的漏洞等。
（5）身份验证技术
身份验证是用户向系统出示自己身份证明的过程。
身份识别是系统查核用户身份证明的过程。
这两个过程是判明和确认通信双发真实身份的两个重要环节。
在拨号上网、主机登录、远程访问等都涉及到身份验证技术的应用。
口令认证、数字证书认证是比较常用的身份验证方式。
身份验证的载体可以存储在诸如USBKey、IC卡等介质上，还可以配备生物活体的身份验证。
基于公开密钥的数字签名技术，一般采用不对称机密技术，通过对整个明文进行某种变换，得到一个值，作为核实签名。
接受者使用发送者的公开密钥对签名进行解密运算，如其结果为明文或与明文的某种运算结果一致，则签名有效，证明双方的身份是真实的。
当然，签名也可以采用多种方式。
（6）网络防病毒技术
在网络环境下，计算机病毒具有不可估量的威胁性和破坏力。
如
果不重视计算机网络防病毒，那可能给社会造成灾难性的后果，因此计算机病毒的防范也是网络安全技术中重要的一环。
网络防病毒技术包括预防病毒、检测病毒和消除病毒三种技术。
预防病毒技术，它通过自身常驻系统内存，优先获得系统的控制权，监视和判断系统中是否由病毒存在，进而阻止计算机病毒进入计算机系统和对系统进行破坏。
技术手段包括：
加密可执行程序、引导保护、系统监控与读写控制（如防病毒卡）等。
检测技术，通过对计算机病毒的特征来进行判断的侦测技术，如自身检验、关键字、文件长度变化等。
病毒检测一直是病毒防护的支柱，然而，随着病毒的数目和可能的切入点的大量增加，识别古怪代码串的进程变得越来越复杂，而且容易产生错误和疏忽。
因此，因此最新的防病毒技术应将病毒检测、多层数据保护和集中是管理等多种功能集成起来，形成多层次防御体系，既有稳健的病毒检测功能，又有客户机/服务器数据保护能力，也就是覆盖全网的多层次方法。
消除病毒技术，通过对计算机病毒的分析，开发出具有杀除病毒程序并恢复原文件的软件。
大量的病毒针对网上资源和应用程序进行攻击，这样的病毒存在于信息共享的网络中，因而要在网关上设防，在病毒从客户机向服务器转移的过程中杀掉，把病毒感染的区域限制在最小的范围内。
网络防病毒技术是相对的，并不能封杀所有的病毒，对于出现的
新类型的病毒，网络防病毒技术有可能出现滞后的现象，因此应及时
更新病毒库。
（7）网络安全检测技术
网络安全取决于网络系统中最薄弱的环节，所以，应及时的发现网络系统中最薄弱的环节。
检测网络中最薄弱环节的方法是定期对网络系统进行安全性分析，及时发现并修正存在的漏洞和弱点。
网络安全检测工具通常是一个网络安全性评估分析软件，其功能是用实践性的方法扫描分析网络系统，检查报告系统中存在的弱点和漏洞，建议补救措施和安全策略，达到增强网络安全性的目的。
（8）安全审计与监控技术
审计是记录用户使用计算机网络系统进行所有活动的过程，它是提高安全性的重要工具，不仅能够识别谁访问了系统，还能指出系统正被怎样的使用，对于确定是否有网络攻击的情况，审计信息对于确定问题和攻击源很重要。
同时，系统事件的记录能够更迅速和系统的识别问题，并且它是后面阶段事故处理的重要依据，为网络犯罪行为及泄密行为提供取证基础。
另外，通过对安全事件的不断收集与积累并且加以分析，有选择性的对其中的某些站点或用户进行审计跟踪，以便对发现或可能产生的破坏性行为提供有力的证据。
采用各层次的安全审计措施是网络安全系统的重要组成部分，对
于审计数据的维护是其重要内容之一，建议网络系统建立安全审计中
心或审计小组，对所有各层次的审计数据进行统一处理和管理。
（9）网络备份技术
备份技术为一个目的而存在：
尽可能的全盘恢复运行计算机系统所需的数据和系统信息。
根据系统安全需求可选择的备份机制有：
场地内高速度、大容量自动的数据存储、备份与恢复；场地外的数据存储、备份与恢复；对系统设备的备份。
备份不仅在网络系统硬件故障或人为失误时起到保护作用，也在入侵者非授权访问或对网络攻击及破坏数据完整性时起到保护作用，同时也是系统灾难恢复的前提之
一。
2、信息安全技术及规划
信息安全技术主要涉及到信息传输的安全、信息存储的安全以及对网络传输信息内容的审计三方面。
（1）鉴别技术
鉴别是对网络中的主体进行验证的过程，通常有三种方式验证主体身份。
一是只有该主体了解的秘密，如口令、密钥；而是主体携带的物品，如智能卡和令牌卡；三是只有该主体具有的独一无二的特征或能力，如指纹、声音、视网膜或签字等。
口令机制：
口令是相互约定的代码，假设只有用户和系统知道。
口令有时由用户选择，有时由系统分配。
智能卡：
访问不但需要口令，也需要使用物理智能卡，在允许其进入系统之前检查是否允许其接触系统。
主体特征识别：
利用个人特征进行鉴别的方式具有很高的安全性。
目前已有的设备包括：
视网膜鉴别仪、声音验证设备、手型识别器和指纹识别器等。
（2）数据信息加密技术
数据信息加密技术目的是对传输中的数据流信息加密，仪防止通信线路上的窃听、泄漏、篡改和破坏。
信息加密过程是由加密算法来实现的，以很小的代价提供很牢靠的安全保护。
在多数情况下，信息加密是保证信息保密性的唯一方法。
（3）数据完整性鉴别技术
对于动态传输的数据信息，许多协议确保信息完整性的方法大多是收错重传、丢弃后续包的办法，但黑客的攻击可以改变信息的内容，所以应采取有效的措施来保证信息的完整性。
（4）防抵赖技术
防抵赖技术包括对源和目的地双方的证明，常用的方法是数字签
名。
数字签名采用一定的数据交换协议，使得通信双方能够满足两个
条件：
接受方能够鉴别发送方所宣称的身份，发送方以后不能否认它发送过数据这一事实。
实现防抵赖技术的途径主要有：
采用可信的第三方数字证书；使用时间戳；采用一个在线的第三方、数字签名与时间戳相结合等方法。
鉴于为保障数据传输的安全，需采用数据加密技术、数据完整性鉴别技术与防抵赖技术。
因此为节省投资、简化系统配置、便于管理、使用方便，有必要选取集成的安全保密技术措施及设备。
（5）数据存储安全技术
在信息系统中，存储的信息主要包括纯粹的数据信息和各种功能性文件信息两大类。
对于纯粹的数据信息的保护，以数据库信息的保护最为典型，而对各种功能文件的保护，终端安全很重要。
（6）数据库安全技术
对数据库系统所管理的数据和资源提供安全保护，一般包括以下几点：
物理完整性，即数据能够免于物理方面的破坏，如调电、火灾等；
逻辑完整性，能够保持数据库的结构，如对一个字段的修改不至于影响其他字段；
元素完整性，包括在每个元素中的数据是准确的；
数据的加密；
用户鉴别，确保每隔用户被正确识别，避免非法用户的入侵；
可获得性，指用户一般可访问数据库和所有授权访问的数据；
可审计性，能够追踪到谁访问过数据库。
要实现对数据库的安全保护，一种选择是安全数据库系统，即从系统的涉及、实现、使用和管理等各个阶段都要遵循一定的系统安全策略；二是以现有的数据库系统所提供的功能为基础构建安全模块，旨在加强现有数据库系统的安全性。
（7）信息内容审计技术
实时对进出内部网络的信息进行内容审计，以防止或追查可能的泄密行为。
五、信息系统安全管理
面对信息化安全的脆弱性，除了在网络设计上增加安全服务功
能，完善系统的安全保密措施外，还必须花大力气加强网络和信息的
安全管理，因为诸多的不安全因素恰恰反映在组织管理和人员管理等
方面，而这又是计算机网络安全所必须考虑的基本问题，所以应引起
个计算机网络应用部门的重视。
在建立管理体系、制度的同时，建议
建立反应团队、诊断团队、监察团队，并且进行经常性的学习和培训。
1、信息系统安全管理原则
对于信息系统的安全管理，需要确定其安全管理原则，一般的，信息系统的安全管理原则有以下三个：
（1）、多人负责原则
每一项与安全有关的操作和管理活动，都必须有两人或多人在场。
所进行的活动应该是与安全管理相关的各项活动：
访问控制使用证件的发放与回收；
信息处理系统使用的媒介发放与回收；
处理保密信息；
硬件和软件的维护；
系统软件的设计、实现和修改；
重要程序和数据的删除和销毁等。
（2）、任期有限原则
一般的讲，任何人最好不要长期担任与安全有关的职务，以免使他认为这个职务使专有的或永久性的。
为遵循任期有限原则，工作人员应不定期的循环任职，强制实行休假制度，并规定对工作人员进行轮流培训，以使任期有限制度切实可行。
（3）、职责分离原则
在信息系统工作的人员不要打听、了解或参与职责意外的任何与安全有关的事情，出于对安全的考虑，下面每组内的两项信息处理工作建议分开：
计算机操作与计算机编程；
机密资料的接收与发送；
安全管理与系统管理；
应用程序与系统程序的编制；
访问证件的管理与其他工作；
计算机操作与信息处理系统使用媒介的保管等。
2、信息系统安全管理的工作内容
信息系统的安全管理部门应根据管理原则和该系统处理数据的保密性，制定相应的管理制度或采取相应的规范。
具体工作是：
根据工作的重要程度，确定该系统的安全等级。
根据确定的安全等级，确定安全管理范围；
制定相应的机房管理制度。
对于安全等级要求较高的系统，要实行分区控制，限制工作人员出入与自己工作无关的区域。
出入管理可
采用证件识别或安装自动识别登记系统，采用磁卡、身份卡等手段，对人员进行识别、登记管理；
制定严格的操作规范。
操作规范要根据职责分离和多人负责的原则，各负其责，不能超越自己的管理范围；
制定完备的系统维护制度。
对系统进行维护时，应采取数据保护措施，如数据备份等。
维护时要首先经上级主管部门批准，并有安全管理人员在场，故障的原因、维护内容和维护前后的情况要详细记录；
三、但愿有一天你会记起，我曾默默地，毫无希望地爱过你。
我这扇门曾为你打开，只为你一人打开，现在，我要把它关上了。
四、你看我的时候我装做在看别处，你在看别处的时候我在看你。
五、陆上的人喜欢寻根究底，虚度很多的光阴。
冬天担忧夏天的迟来，夏天担心冬天的将至。
所以你们不停到处去追求一个遥不可及，四季如夏的地方，我并不羡慕。
六、没想到的是，一别竟是一辈子了。
七、朋友们都羡慕我，其实羡慕他们的人是我。
爱你，很久了，等你，也很久了，现在，我要离开你了，比很久很久还要久⋯⋯
八、Dosomethingtodaythatyourfutureselfwillthankyoufor.从现在开始，做一些让未来的你感谢现在的自己的事。
九、有个懂你的人，是最大的幸福。
这个人，不一定十全十美，但他能读懂你，能走进你的心灵深处，能看懂你心里的一切。
最懂你的人，总是会一直的在你身边，默默守护你，不让你
受一点点的委屈。
真正爱你的人不会说许多爱你的话，却会做许多爱你的事。
十、很久很久，没有对方的消息，也不再想起这个人，也是不想再想起。
十一、我不怕我会忘记他，他在我心底开出了花。
十二、我还在原地等你，你却已经忘记曾来过这里。
十三、那都是很好很好的，我却偏偏不喜欢。
十四、向来缘浅，奈何情深？
十五、习惯难受，习惯思念，习惯等你，可是却一直没有习惯看不到你
十六、爱一个人最好的方式，是经营好
升级会员 