冠群金辰安全解决方案模板0517Word格式文档下载.docx

1、系统中的关键部件，如DNS/Mail服务器、防火墙系统、负载平衡服务器、WEB服务器、数据库服务器、应用服务器等都采用双机热备份构成高可用性系统，最大限度地避免了单点故障对系统造成的影响。在系统中多处使用了负载均衡系统，保障用户对WEB等应用访问的高性能。同时，设计的电子商务系统也与XX现有的TMIS、客票等业务系统通过防火墙连接，可以按照业务要求从这些业务系统中取得有关业务数据，以完成电子商务的要求。系统的设计也对系统的安全性做了一定考虑。电子商务系统与Internet、内部业务系统之间都设置了防火墙，可以起到一定的安全防护作用。但是，电子商务系统是连接业务系统和公众的纽带，是众多黑客攻击的

2、首选目标，因此，只靠防火墙实现的简单的防护是远远不够的，我们必须对该电子商务系统进行全方位、立体的安全保护，构建一套真正安全的系统。1.2 冠群金辰公司与CA公司北京冠群金辰软件有限公司是中国领先的网络安全解决方案提供商，她成立于1998年7月15日，是由CA（冠群电脑）有限公司与公安部中国金辰公司共同出资成立的中外合资企业，这是国内软件业的第一次合资，也是国外先进计算机网络安全技术与国内先进的反病毒技术的首次融合.冠群金辰公司提供KILL系列反病毒软件，包括KILL单机系列；KILL for NT/2000、KILL for Netware、KILL for Exchange/Notes、K

3、ILL客户端、KILL for Unix/Linux；GUARD系列安全软件，包括企业级防火墙（eTrust Firewall）、入侵检测（eTrust Intrusion Detection）、虚拟专用网（eTrust VPN）、网关级因特网内容检测与病毒防护（Internet Protector ）等一整套企业级网络安全解决方案及个人PC安全软件PC-GUARD智能版、发烧版。由于采用了CA公司Unicenter TNG的无缝连接技术,冠群金辰的产品做到了与操作平台的连接性,加之其强大的网络管理功能、强大的本地化服务体系及良好的声誉，很快成功实施于政府、银行、税务、军队、医院、航空、冶金、

4、油田、证券、保险、公安、钢铁、电力、电信、教育等行业部门。作为本地化的公司，冠群金辰公司将服务看作公司发展的原动力，在全国建立有50家授权服务中心并在上海、北京建有自己的技术中心，随时解答用户问题，做到快速反应。冠群金辰公司虽然成立仅有短短的两年，年营业额已超过3000万元，在北京、上海、广州建有分支机构，并拥有一个年轻富有朝气的团队，员工具有高学历，年轻化的特点，技术人员均具有多年业界经验，平均年龄不到30岁。针对国内网络安全的现状，冠群金辰公司的目标就是：利用世界领先的计算机、网络安全技术，为中国的个人计算机、企业网络、政府机关提供全方位的计算机、网络安全防护产品，为中国计算机安全事业作出

5、自己的贡献。CA国际有限公司（简称CA公司），是美籍华人王嘉廉先生于1976年创建的，总部位于美国纽约市长岛，是世界领先的独立软件供应商。CA公司开发并支持500多种软件产品，包括系统、网络和数据库安全管理软件、应用软件开发工具、生产管理（MRPII、ERP）和财务管理软件等等。目前，CA公司已在40个国家开设了170个办事处或子公司，2000财政年度全球营业额超过70亿美元。CA公司非常重视中国市场的拓展，已先后成立了独资公司冠群电脑中国有限公司及数个合资公司。冠群电脑中国有限公司成立以来，以推动中国各行各业的计算机应用发展为己任，致力于将最先进最实用的系统管理技术引入用户的应用系统中。CA

6、公司凭借先进的技术与产品，积极与用户合作，努力为用户提供高效、可靠的服务。共同的利益使CA公司和用户更加紧密地联系在一起。在短短几年的时间里，CA公司在国内许多大型信息系统的建设中得到了用户的信任和肯定。CA公司是计算机安全管理领域最大的产品和服务供应商之一，在安全控管方面采用的是开放式安全保障技术，对系统安全对象有着完整的鉴别、访问控制、审计的功能，并支持数据加密。CA公司在计算机系统管理方面积累了十多年的经验，拥有成熟的技术，其安全控管方面的软件产品在美国大主机安全管理产品中拥有60%的市场占有率。CA公司的eTrust是全方位的企业级系统安全解决方案。1.3 内容简介本网络安全解决方案建

7、议书中，我们首先分析通用的IT系统中的安全问题、XXXX系统应该在安全方面加强的部分，然后阐述冠群金辰公司的安全管理思路、建议的安全管理模式、管理人员角色划分以及安全规则建设，再次给出使用冠群金辰的安全管理产品实现这些管理模块的配置，最后介绍建议产品的功能。2 计算机系统安全问题目前，计算机系统和信息安全问题是IT业最为关心和关注的焦点之一。据ICSA统计，有11的安全问题导致网络数据被破坏，14导致数据失密，15的攻击来自系统外部，来自系统内部的安全威胁高达60。由于受到内部心怀不满的职工安放的程序炸弹侵害，Omega Engineering公司蒙受了价值900万美元的销售收入和合同损失，由

8、于受到来自网络的侵袭，Citibank银行被窃了1000万美元，后来他们虽然追回了750万美元损失，但却因此失去了7的重要客户，其声誉受到了沉重打击。这只是人们知道的两个因安全问题造成巨大损失的例子，实际上，更多的安全入侵事件没有报告。据美国联邦调查局估计，仅有7的入侵事件被报告了，而澳大利亚联邦警察局则认为这个数字只有5。因为许多入侵根本没有被检测到，还有一些受到侵袭的企业由于害怕失去客户的信任而没有报告。那么，为什么当今信息系统中存在如此之多的安全隐患，安全问题如此突出呢？这是与计算机系统的发展、当今流行系统的设计思路、当前IT系统的使用状况紧密相关的。下面，我们从以下几个方面简要论述。2

9、.1 从计算机系统的发展看安全问题安全问题如此突出和严重是与IT技术和环境的发展分不开的。早期的业务系统是局限于大型主机上的集中式应用，与外界联系较少，能够接触和使用系统的人员也很少，系统安全隐患尚不明显。现在业务系统大多是基于客户/服务器模式和Internet/Intranet网络计算模式的分布式应用，用户、程序和数据可能分布在世界的各个角落，给系统的安全管理造成了很大困难。早期的网络大多限于企业内部，与外界的物理连接很少，对于外部入侵的防范较为容易，现在，网络已发展到全球一体化的Internet，每个企业的Intranet都会有许多与外部连接的链路，如通过专线连入Internet，提供远程

10、接入服务供业务伙伴和出差员工访问等等。在这样一个分布式应用的环境中，企业的数据库服务器、电子邮件服务器、WWW服务器、文件服务器、应用服务器等等每一个都是一个供人出入的“门户”，只要有一个“门户”没有完全保护好忘了上锁或不很牢固，“黑客”就会通过这道门进入系统，窃取或破坏所有系统资源。随着系统和网络的不断开放，供黑客攻击系统的简单易用的“黑客工具”和“黑客程序（BO程序）”不断出现，一个人不必掌握很高深的计算机技术就可以成为黑客，黑客的平均年龄越来越小，现在是1416岁。2.2 从计算机系统的特点看安全问题在现代典型的计算机系统中，大都采用TCP/IP作为主要的网络通讯协议，主要服务器为UNI

11、X或Windows NT操作系统。众所周知，TCP/IP和UNIX都是以开放性著称的。系统之间易于互联和共享信息的设计思路贯穿与系统的方方面面，对访问控制、用户验证授权、实时和事后审计等安全内容考虑较少，只实现了基本安全控制功能，实现时还存在一些这样那样的漏洞。TCP/IP的结构与基于专用主机（如IBM ES/9000、AS/400）和网络（如SNA网络）的体系结构相比，灵活性、易用性、开发性都很好，但是，在安全性方面却存在很多隐患。TCP/IP的网络结构没有集中的控制，每个节点的地址由自己配置，节点之间的路由可任意改变。服务器很难验证某客户机的真实性。IP协议是一种无连接的通讯协议，无安全控

12、制机制，存在IP Spoofing、TCP sequence number prediction attacks、Source outing attacks 、RIP attacks、ICMP attacks、Data-driven attacks （SMTP and MIME） 、Domain Name Service attacks、Fragment attacks、Tiny fragment attacks、 Hijacking attacks、Data integrity attacks、 En冠群金辰psulated IP attacks等各种各样的攻击手段。实际上，从TCP/IP的

13、网络层，人们很难区分合法信息流和入侵数据，DoS（Denial of Services，拒绝服务）就是其中明显的例子。UNIX操作系统更是以开放性著称的，在安全性方面存在许多缺限。我们知道，在用户认证和授权管理方面，UNIX操作系统对用户登录的管理是靠用户名和口令实现的，一个用户可以没有口令（使用空的口令），也可以使用非常简单易猜的词如用户名、用户姓名、生日、单位名称等作为口令（实际上，大多数人都是这么用的）；一个人只要拥有了合法的用户名和口令，就可以在任意时间、从任意地点进入系统，同时登录的进程数也没有限制，这些都是安全上的隐患。虽然有的系统对上述内容有一定程度的限制措施，但也需要复杂的配置

14、过程，不同系统上配置方法也很不一致，实际上无法全面有效地实施。在对资源的访问控制管理方面，UNIX只有读、写和执行三种权限，无法对文件进行更为细致的控制。用户可以写某个文件，就能删除它。而在许多应用的环境下，我们是希望某些用户只能Update文件，不能删除它的。如果对文件的控制权限扩展到读、写、增加、删除、创建、执行等多种，就可以防止恶意或无意的破坏发生。UNIX还缺乏完善有效的跟踪审计能力。如一个用户企图多次访问某敏感资源时，系统无法采取强有力的措施处置，管理员也很难发现。这种情况下，如果能及时迅速地通知安全管理员，能把该用户赶出（logout）操作系统，甚至封死该帐户，使其无法继续登录，无

15、疑会大大加强系统的安全性。UNIX中的root用户为特权用户。一旦拥有了root的权限，就可以为所欲为，查看任何文件，进行任何操作。实际上，root只应该具有系统管理员的权限，维护系统的正常、高效运行，不应该有权窥视、篡改敏感应用（如财务报表）的数据。正是由于UNIX操作系统赋予了root至高无上的特权，它采成为黑客窥视的主要目标，给系统安全造成了极大危害。另外，不同的UNIX及UNIX的不同版本在实现的过程中都会有这样那样的BUG，其中许多BUG是与安全有关的。80年代中期，Internet上流行的著名“蠕虫”病毒事件就是由UNIX系统的安全BUG造成的。厂商在发现并修正BUG后会把PATC

16、H放在其公司站点上供用户下载和安装，但许多用户没有技术能力和精力理解、跟踪这些PATCH并及时安装。有的UNIX操作系统虽然能够达到较高的安全级别，但在缺省安装和配置中一般采用较低的安全控制，需要进行许多配置过程才能达到较高的安全级别。由于水平和精力所限，一般用户环境中很难完成这样精确的安全配置，经常存在错误的配置，导致安全问题。更为严重的是，一台UNIX服务器上经常要安装很多商业应用软件，这些软件大多以root用户运行。而这些软件往往存在一些安全漏洞或错误的安全配置，从而导致root权限被人窃取。所以，我们需要一种系统扫描工具，定期检查系统中与安全有关的软件、资源、PATCH的情况，发现问题

17、及时报告并给出解决建议。才能使系统经常处于安全的状态。2.3 XXXX系统安全问题如前言中所述，XXXX系统建设中虽然对安全问题也做了一定的考虑，设计了两层防火墙系统。但是鉴于当前IT系统安全性的严重状况，这些考虑还是比较朴素和初步的，并没有形成一套完整的防护体系。防火墙只是保护XXXX系统的第一道防线，他主要侧重在对通讯的源、目的地址和端口进行限制。在实际应用中，该系统业务要求所有地址都可以访问WEB服务器上的WEB应用，所以即使有了防火墙，黑客还是可以从任何地方访问WEB服务器，数据包要通过DMZ区域网络传输，这些数据包中很可能包含入侵攻击代码。从技术理论上分，防火墙属于最底层的网络层安全

18、技术，经过仔细的配置，通常能够在内外网之间提供安全的网络保护，降低网络安全的风险。但事情并不像看起来那么简单，仅仅使用防火墙保障网络安全是远远不够的，就像深宅大院虽有高大的院墙，却不能挡住小老鼠甚至是家贼的偷袭。因为首先入侵者可以寻找防火墙背后可能敞开的后门；其次防火墙完全不能阻止内部袭击，对于企业内部心怀不满的员工来说防火墙形同虚设；第三，由于性能的限制，防火墙通常不能提供实时的入侵检测能力。另外，防火墙对于病毒也是束手无策的。因此，以为在Internet入口处部署防火墙系统就足够安全的想法是不切实际的。另外，XXXX系统的防火墙部署也有一点小小的问题。该系统把电子商务系统分成了防火墙内部和

19、外部的两部分，外部的负载平衡服务器、WEB服务器、DNS/Mail服务器、应用服务器、数据库服务器等完全暴露在Internet的黑客面前，没有任何安全防护。据我们理解，这种设计的初衷可能是在这些服务器上部署不需要保密的电子商务应用，如XX静态主WEB服务器等，由于数据都是公开地，因此不需要防火墙的保护。其实这种想法是错误的。首先，虽然这些系统中数据是公开的，但是如果被客户袭击，造成系统瘫痪，就会严重影响XXXX系统的可用性和可靠性，使系统无法正常为客户服务；更有甚者，如果XXXX主页被涂改、写入反对、淫秽的内容，就会造成更为严重的后果。其次，这些被攻陷的服务器会被作为进一步进攻的跳板，从而对系

20、统的其他部分进行攻击。在下面章节中，我们会给出改善这种情况的方案建议。用户不必额外花费大量财力物力，就可以完成对这些系统的保护。3 XXXX系统网络安全解决方案冠群金辰公司认为，绝对安全与可靠的信息系统并不存在。一个所谓的安全系统实际上应该是“使入侵者花费不可接受的时间与金钱，并且承受很高的风险才能闯入”系统。安全性的增加通常导致企业费用的增长，这些费用包括系统性能下降、系统复杂性增加、系统可用性降低和操作与维护成本增加等等。安全是一个过程而不是目的。弱点与威胁随时间变化。安全的努力依赖于许多因素，例如职员的调整、新业务应用的实施、新攻击技术与工具的导入和安全漏洞。安全管理哲学3.1.1 全面

21、安全保护冠群金辰公司认为，防火墙系统是保障系统安全的基本而又重要的一部分，但是还需要与企业系统风险评估、安全策略制定、安全架构制定、安全策略架构的实施、雇员的培训、事后的安全审计等结合起来统筹规划。防火墙是整个安全管理体系的有机组成部分，除此之外，我们还应该在系统的其他方面和层次上部署相应安全产品的工具。冠群金辰公司把IT系统的安全分为网络安全、服务器安全、用户安全、应用程序和服务安全、数据安全几个部分，在每个部分都有领先的产品和服务以确保系统的整体安全。网络安全包括什么人对什么内容具有访问权，查明任何非法访问或偶然访问的入侵者，保证只有授权许可的通信才可以在客户机和服务器之间建立连接，而且正

22、在传输当中的数据不能被读取和改变。服务器安全包括需要控制谁能访问服务器或访问者可以干些什么; 防止病毒和特洛伊木马的侵入; 检测有意或偶然闯入系统的不速之客; 风险评估被用来检查系统安全配置的缺陷，发现安全漏洞; 政策审查则用来监视系统是否严格执行了规定的安全政策。用户安全是管理用户账户，在用户获得访问特权时设置用户功能，或在他们的访问特权不再有效时限制用户帐户是安全的关键。身份验证用来确保用户的登录身份与其真实身份相符，并对其提供单点注册，以解决多个口令的问题。应用程序和服务安全是指对应用程序和服务的口令和授权的管理，大多数应用程序和服务都是靠口令保护的，加强口令变化是安全方案中必不可少的手

23、段， 而授权则是用来规定用户或资源对系统的访问权限。数据安全是保持数据的保密性和完整性，保证非法或好奇者无法阅读它，不论是在储存状态还是在传递当中。数据完整性是指防止非法或偶然的数据改动。现代计算机网络系统的安全隐患隐藏在系统的各个角落，要加强系统的总体安全级别，必须从网络、计算机操作系统、应用业务系统甚至系统安全管理规范，使用人员安全意识等各个层面统筹考虑。系统的总体安全级别就象装在木筒中的水，木筒装水的多少决定于最矮的木板，系统安全级别的高低取决于系统安全管理最薄弱的环节。所以，我们对系统安全管理应该是多层次、多方面的，要从网络、操作系统、应用系统各个方面提高系统的安全级别，还要把原来通过

24、管理规定由使用人员自觉维护的安全规则用系统自动实现，以加强系统的总体安全性。3.1.2 工具和服务相结合对系统安全的管理和维护需要各种层次的系统和安全专家才能完成。如果没有专业人员的介入，没有根据实际情况对安全管理产品进行仔细地配置，对企业的安全管理规范和策略进行设计，功能再强大的安全产品也达不到很好的安全防护作用。据统计，在英国50%的用户口令都是宠物名称，而在全世界销售的150,000套防火墙中有60%的防火墙按缺省设置安装，85%的防火墙没有正确的配置。因此，对系统安全的管理应该由70的规则和方法加30的产品和技术组成。这些规则和方法包括风险评估、安全策略、强的的审计手段等构成。冠群金辰

25、公司不仅提供从各个方面和层次保护系统安全的软件产品，还提供专业的系统安全服务。通过这些产品和服务，我们可以对用户IT系统进行风险评估，帮助企业在增加信息系统安全的代价（价值建议）与侵害安全所需付出的潜在代价（威胁）之间作出平衡，为企业提供一个风险评估报告，指出企业每个主要信息资产的弱点与威胁， 也指出企业现有的安全策略对于确保信息安全是否足够；冠群金辰公司在安全策略、规程和方法上具有丰富的经验，可以帮助企业在信息保密性、完整性和可用性方面制定完善的安全策略；我们还可以帮助企业设计安全架构，设计这些安全机制如何相互作用、需要操作这些机制人员的资格和实现计划等等；然后，冠群金辰公司可以帮助用户在合

26、理的安全架构下实施和实现安全策略，培训用户各个层次的雇员，使之理解他们处理的信息的价值和敏感性，自觉地维护企业安全策略；在企业总统安全策略实施之后，冠群金辰公司还通过独立的安全审计服务，帮助企业随时评估它们的安全状态。这些独立的审计与复杂软件工具的使用结合起来，帮助确定由程序过失和系统失败引起的安全弱点。冠群金辰公司的专业服务按照如下图所示的工作流程工作，可以帮助客户建立、健全一套完全的安全体系。3.1.3 安全管理过程冠群金辰公司认为，对系统安全的管理不仅仅是购买、部署各种安全产品，而是一个周而复始、螺旋上升的过程。首先，我们需要利用一些安全工具对具体的系统进行评估，系统中每个主要信息资产的

27、弱点与威胁， 也指出企业现有的安全策略对于确保信息安全是否足够。通过评估，我们对系统的安全状态和级别有了明确的了解，对系统中哪些部分需要做怎样的增强也做到心中有数。然后，就要通过部署新产品、修改现有系统和产品配置等手段对系统进行检测，监视和寻找系统中的可疑活动和入侵企图，同时，我们会修正企业安全策略、修改安全产品的安全规则，对各种已知的威胁进行预防，禁止各种已知的入侵行为。最后，我们要对系统的安全状况进行管理，安装设定的策略管理用户和资产的权限，审计系统的活动，发现新的安全问题。如下图所示。通过审计和管理，可能会发现新的问题。另外，IT系统的结构变化、应用系统的变化都会导致安全策略的变化。因此

28、，上述过程不是静态的，而是周而复始的过程，该过程在维护系统安全的活动中一直存在。如上图所示。3.2 人员角色划分要对XXXX系统进行有效的安全管理，必须对系统的使用人员和管理人员的不同角色进行清晰的划分，不同的角色拥有不同的权限和职责，互相制约，共同保障整个系统的安全性。对于XXXX系统涉及的各类人员，我们建议划分如下角色：1） 决策专家 负责分析XXXX系统安全状况，对购买和使用的产品和工具进行评估和决策，制定和修正系统总体安全框架，制定确保系统安全的策略和其他人员遵守的安全管理规章制度等等。这些高层次的专家只是确定安全的策略，可能在真正的IT系统中根本没有帐户，因此他们不会构成对安全的威胁

29、。2） 安全管理员 负责把决策专家制定的策略和制定在IT系统中实现。如配置各网络设备、计算机的安全属性，甚至防火墙、访问控制等安全产品的安全规则，进行日常的用户增加、修改管理，维护资产的访问权限等。3） 审计员 负责对用户违反安全策略的情况、安全管理员、口令管理员操作和设置的工作进行审计，以发现用户或者其他管理人员的违规操作，形成安全状况报告。4） 口令管理员 负责维护口令的质量，保证用户按照决策专家制定的口令规则使用。同时帮助新用户设置口令或者复位用户丢失、忘记的口令。5） 安全值班员 负责日常的安全监视，一旦系统报告严重的安全问题，立即报告或执行安全管理员预先制定的应对措施。6） 系统管理

30、员 负责对网络设备、计算机、操作系统、数据库等系统进行管理。但不涉及安全方面的管理。7） 用户 系统的使用者，是被管理的对象之一。安全管理员、审计员、口令管理员、系统管理员等角色会相互制约，避免出现单一的“超级”用户。 在安全建设的初期，冠群金辰提供的产品实施和专业服务人员可以与客户高级安全技术人员共同完成对系统的规划、安全规则制定、安全策略实施等工作。同时把工作的方法和经验传递给客户的技术人员。在日后系统变化、策略改变时客户就可以自己规划、实施了。3.3 安全管理策略冠群金辰认为，XXXX系统中需要制定的统一的安全策略包括：1） 用户口令规则 如： 口令的最大长度和最小长度 禁止使用用户名、某些特定词做口令 规定口令的组成，如至少几个字母、几个数字、几个特殊字符等 口令的使用周