USDP产品安全解决方案.doc

USDP 产品安全解决方案 广州市星系数据资讯有限公司 第 1 页 共 15 页 USDPUSDP 产品安全解决方案产品安全解决方案 广州市星系数据资讯有限公司 2002 年 6 月 USDP 产品安全解决方案 广州市星系数据资讯有限公司 第 2 页 共 15 页 目目 录录 1引言引言 3 2网络安全网络安全 3 2 1网络规划 3 2 2防火墙 3 2 3VPN 4 3系统安全系统安全 6 3 1核心策略分层安全防护 6 3 2操作系统的安全配置 7 3 3数据库系统的安全配置 7 3 4应用服务器的安全配置 7 3 5实时入侵检测 8 3 6安全漏洞评估系统 8 3 7病毒防护 8 4数据安全数据安全 9 4 1存储安全 9 4 2传输安全 9 4 3容灾系统 10 5应用安全应用安全 13 5 1用户安全 14 5 2数据安全 14 5 3功能安全 14 6管理安全管理安全 14 6 1内部管理安全 15 6 2外部管理安全 15 7结论结论 15 USDP 产品安全解决方案 广州市星系数据资讯有限公司 第 3 页 共 15 页 1 引言引言 对于一个企业来说 安全在信息化管理系统的实施中是至关重要的 有时 一个关键 数据的丢失 可能会造成企业很多业务的中止 或给其生产带来一系列的麻烦 所以 企 业信息系统的安全性成为企业实施信息化管理系统的首要考虑因素 一般来说 安全主要 包括以下两个方面 第一是本身非人为的安全性 这主要包括雷电 地震或服务器本身摔 坏或其它因素使某些硬件和软件造成不可修复性损坏 这部分的安全措施主要是对数据进 行及时备份 第二个安全方面是企业本身的信息系统要做到防病毒 防黑客或非合法用户 的访问 通常来讲 第二个环节是重中之重 因为黑客 病毒攻击的可能性随时会存在 广州星系的 USDP 产品在设计之初 就以安全 适用 灵活为设计原则 在安全方面 USDP 采取了多层安全结构体系 分为网络安全 系统安全 数据安全 应用安全 管理 安全 从根本上解决了企业信息化的安全隐患 使信息系统可以 24 7 的安全稳定地运行 多层安全结构体系是紧密联系的 从技术和业务两个方面上来保证系统的安全 2 网络安全网络安全 USDP 产品采用 B S 体系结构 所以在保证产品安全时 首先要保证网络系统的安全 在网络安全方面 我们采用了如下解决方案 网络规划 VPN 防火墙等 2 1 网络规划网络规划 一个成功的安全的网络系统设计 要先从网络规划开始 因为网络的拓扑结构是和安 全性息息相关的 如果网络的设计有问题 那么对整个系统构成不仅仅是性能上的问题 更有可能在安全上引起隐患 广州星系可以根据客户的实际情况 为客户设计出合理 经 济的安全网络方案 2 2 防火墙防火墙 所谓 防火墙 就是一种将内网和外网分开的方法 实际上是一种隔离技术 防火墙 是在两个网络通讯时执行的一种访问控制尺度 它能允许你 同意 的人和数据进入你的网 络 同时将你 不同意 的人和数据拒之门外 最大限度地阻止网络中的黑客来访问你的网 络 防止他们更改 拷贝 毁坏你的重要信息 它相当于一个阀门 一个过滤器或者说国 家的海关 边防检查站 负责审查经过的数据和信息 根据设定的规则处理不同的情况 由此可见 建立一个安全的防火墙系统并不仅仅取决于购买了什么牌子的设备 更重要的 是在于使用者是否了解本企业网络的情况 掌握用户的实际需求并正确地付诸实施 一般的安全来说 防火墙是必不可少的 因为内部服务主机不能完全暴露在外网上 USDP 产品安全解决方案 广州市星系数据资讯有限公司 第 4 页 共 15 页 因为再主流的操作系统和应用软件 其中安全问题也屡见不鲜 例如最常见的缓冲区溢出 漏洞存在于各种 Unix Linux 和 Window 系统操作系统中 还有一些常用软件的漏洞 如 IIS 的安全漏洞 wu ftp 的漏洞 所以说防火墙是保证系统安全的首要考虑因素 目前防火墙主要有三类 建立在通用操作系统上的软件防火墙 具有安全操作系统的 软硬件结合的防火墙和基于专用安全操作系统的硬件防火墙 代表产品有 Check Point 东 大阿派 Neteye Linux 下的 IPChains Cisco 的 PIX 等等 目前的防火墙从结构上讲 可分为两种 1 用网关结构 内部网络代理网关 Proxy Gateway Internet 2 路由器加过滤器结构 内部网络过滤器 Filter 路由器 Router Internet 总的来讲 应用网关结构的防火墙系统在安全控制的粒度上更加细致 多数基于软 件系统 用户界面更加友好 管理控制较为方便 路由器加过滤器结构的防火墙系 统多数基于硬件或软硬件结合 速度比较快 但是一般仅控制到第三层和第四层协 议 不能细致区分各种不同业务 有一部分防火墙结合了包过滤和应用网关两种功 能 形成复合型防火墙 具体使用防火墙则应该根据本企业实际情况加以选择 下面我就用一个实际例子讲解建立安全防火墙系统的过程 网络结构拓扑图 所有的内部网络用户通过两个路由器连接防火墙 防火墙作为本网络的唯一出口连接 到 Internet 内部网络有两个网段 192 168 1 0 255 255 255 0 和 192 168 2 0 255 255 255 0 一般来说 防火墙起以下几个作用 1 障内部网络安全 禁止外部用户连接到内部网络 2 要求具备防 IP 地址欺骗能力 3 要求具备防止 IP 地址盗用功能 保证特权用户的 IP 不受侵害 4 要求对可以访问 Internet 的用户进行限制 仅允许特定用户的 IP 地址可以访问外部 网络 5 隐蔽内部网络结构 6 过滤掉一些不允许出入的包 一般来说 只允许对业务有关的数据在端口上出入 并且能阻止某些病毒的特征串出入组建防火墙的关键在于对用户需求的掌握和对工 具的熟练的运用和实施上面 因为防火墙把内外网隔离起来后 当我们要维护或远 程备份等工作时 我们就面要使用下面的 VPN 技术来把公司或各分公司的内网和 服务主机安全地联系在一起 2 3 VPN VPN 技术是指在公共的网络平台上传输用户私有的数据 实现方式是在公网如 Internet 上搭建隧道 从而使在互联网上传输私有数据得到保证 这种技术的效果类似于传 USDP 产品安全解决方案 广州市星系数据资讯有限公司 第 5 页 共 15 页 统的租用专线联网方式 但其费用远比采用专线方式联网便宜 目前与企业相关的 VPN 隧道协议分三种 点到点隧道协议 PPTP 第二层隧道协议 L2TP 网络层隧道协议 IPSec 1 点到点隧道协议 PPTP PPTP 协议在一个已存在的 IP 连接上封装 PPP 会话 只要 网络层是连通的 就可以运行 PPTP 协议 PPTP 协议将控制包与数据包分开 控制包采用 TCP 控制 用于严格的状态查询以及信令信息 数据包部分先封装在 PPP 协议中 然后封 装到 GRE V2 协议中 GRE 是通用路由封装协议 用于在标准 IP 包中封装任何形式的数 据包 因此 PPTP 可以支持所有的协议 包括 IP IPX NetBEUI 等等 除了搭建隧道 PPTP 本身没有定义加密机制 但它继承了 PPP 的认证和加密机制 包括认证机制 PAP CHAP MS CHAP 以及加密机制 MPPE 2 第二层隧道协议 L2TP L2TP 是一个国际标准隧道协议 它结合了 PPTP 协议以及 第二层转发 L2F 协议的优点 L2TP 与 PPTP 的最大不同在于 L2TP 将控制包和数据包合二 为一 并运行在 UDP 上 而不是 TCP 上 UDP 省去了 TCP 中同步 检错 重传等机制 因此 L2TP 速度很快 与 PPTP 类似 L2TP 也可支持多种协议 L2TP 协议本身并没有提 供任何加密功能 3 IPsec 协议 IPsec 是标准的第三层安全协议 用于保护 IP 数据包或上层数据 它 可以定义哪些数据流需要保护 怎样保护以及应该将这些受保护的数据流转发给谁 由于 它工作在网络层 因此可以用于两台主机之间 网络安全网关之间 如防火墙 路由器 或主机与网关之间 IPsec 协议分两种 ESP 和 AH 这两种协议都可以提供网络安全 如数据源认证 确 保接收到的数据是来自发送方 数据完整性 确保数据没有被更改 以及防中继保护 确 保数据到达次序的完整性 除此之外 ESP 协议还支持数据的保密性 能够确保其它人无 法读取传送的数据 这实际上是采用加密算法来实现的 IPsec 的安全服务要求支持共享钥匙完成认证和 或保密 在 IPsec 协议中引入了一个钥 匙管理协议 称 Internet 钥匙交换协议 IKE 该协议可以动态认证 IPsec 对等体 协商安全 服务 并自动生成共享钥匙 IPsec 协议 AH 或 ESP 保护整个 IP 包或 IP 包中的上层协议 IPsec 有两种工作方式 传输方式保护上层协议如 TCP 隧道方式保护整个 IP 包 在传输方式下 IPsec 包头加在 IP 包头和上层协议包头之间 而在隧道方式下 整个 IP 包都封装在一个新的 IP 包中 并 在新的 IP 包头和原来的 IP 包头之间插入 IPsec 头 两种 IPsec 协议 AH 和 ESP 都可以工作 在传输方式下或隧道方式下 4 L2TP 与 IPsec 传输方式的集成 鉴于 IPsec 缺少用户认证 只支持 IP 协议 目前 有一种趋势将 L2TP 和 IPsec 结合起来使用 采用 L2TP 作为隧道协议 而用 IPsec 协议保 护数据 PPTP 和 L2TP 都支持多协议 但要记住 L2TP 协议缺少数据保密性的保护 PPTP 和 L2TP 都不具有机器认证的能力 而必须依赖于用户认证 在所有的 VPN 协议中 IPsec 提供最好的安全性 但 IPsec 无法提供用户认证 也不 支持多协议 许多厂家都采用的附加的特性来支持用户认证 比如支持 Radius 协议 IPsec 协议十分灵活 可以满足所有网关到网关的 VPN 连接 如下图 USDP 产品安全解决方案 广州市星系数据资讯有限公司 第 6 页 共 15 页 上图的解决方案是把带有 VPN 功能的 3Com 公司的防火墙 采用硬件加速引擎的硬件 防火墙 网络安全产品推荐厂商 NetScreen Cisco 安氏 3Com Lucent Technologies 推荐产品 东大阿尔派 NetEye Cisco PIX 防火墙 3Com SuperStack 防火墙 Check Point FireWall 朗新科技 NetShine 适合 Linux 平台 中科院安全中心的 ERCIST 安胜 防火墙 3 系统安全系统安全 系统安全至关重要 因为系统一旦被入侵 那么应用系统的数据就可能会被泄露出去 虽然在数据存储上有加密措施 但整个系统被控制 将对数据的安全性造成重大的安全隐 患 因为系统有被入侵者全部偷走 毁掉 解密的可能 还有 如果被移植木马系统 将 对整个公司的信息网造成重大的损失 这一个步骤 我们主要措施如下 3 1 核心策略分层安全防护核心策略分层安全防护 在网络和系统的安全领域 往往其进步是同一些具有标志性概念的提出联系在一起的 分层安全防护 就是这样一个概念 它提出了这样一种思路 结合不同的安全保护因素 例如防病毒软件 防火墙和安全漏洞检测工具 来创建一个比单一防护有效得多的综合保 USDP 产品安全解决方案 广州市星系数据资讯有限公司 第 7 页 共 15 页 护屏障 分层的安全防护成倍地增加了黑客攻击的成本和难度 从而大大减少了他们的攻 击频度 分层的安全防护技术具体来说包括攻击检测 攻击防范 攻击后的恢复三个大方 向 其中每一个方向有一个代表性的产品 入侵检测系统负责进行攻击检测 防火墙和强 制访问控制系统负责攻击防范 攻击后的恢复则由自动恢复系统来解决 这三大方向体现 了在网络安全防护上的多层安全防护的思想 下面我们就多层次保护中的主要环节做具体 说明 防火墙我们在网络安全上已经讲过 不过 由于病毒防范和实时检测系统方面的技 术因素比较多 所以归并到系统安全上来 3 2 操作系统的安全配置操作系统的安全配置 操作系统的安全配置的涉及面很广 第一要去掉一些操作系统本身安装时自带的不安 全的东西 例如 UNIX 安装后有一些不安全的服务如 Rlogin 还有一些无用的用户名等 这些都需要重新清理 第二 消除一些应用软件的漏洞 这部分工作可以配合安全评估软 件来找出漏洞 还有密切关注安全公司和软件提供商的安全公告 及时安装安全补丁 3 3 数据库系统的安全配置数据库系统的安全配置 数据库的安全首先要对口令进行严格的控制 因为口令的管理的不妥 可能会造成攻 击都很大的机会 还有 在数据库访问时 口令不能是文安放 在 USDP 产品中 在系统 初始化后 数据库的口令不会明文放在配置文件中 而是以动态加密的方法保存着 数据库的安全配置还包括数据库的权限的分配问题 应该删掉一些不必要的用户 数 据库维护人员和应用人员的权限严格分开 一般的数据库本身有一些安全机制可选取 例 如只允许某几台或某网段的机器可访问本数据库等 这时我们可以用这个规则来制订安全 只允许维护人员和应用服务器等的 IP 可以访问数据库服务 另外 有一些数据库本身因为技术的复杂性 其产品其身设计有漏洞 这时就应该及 时地打好补丁 来防范数据库的入侵 3 4 应用服务器的安全配置应用服务器的安全配置 应用服务器的安全性也必须考虑在系统安全中 一个很明显的例子就是有些应用服务 器本身有源码泄露的漏洞 这样 入侵者可透过防火墙直接从 WEB 方式得到源码 给系 统造成很大的威胁 应用服务器配置在安装后 一般有一些管理程序或范例在系统里面 这里我们必须要 删掉或移走这些程序 因为这些程序也能给系统造成安全隐患 透过这些程序 有些不良 用户可以看到系统的基本信息 如程序的存储路径等 这部分主要解决方案是系统实施时作一次比较彻底的配置 打上最新的补丁来配合应 服服务器的顺利运行 广州星系在这方面有着比较独到的研究 对各种产品有着比较透彻 实时的的了解 在各种应用服务器的安装实施方面 我们可以解决这方面的隐患 USDP 产品安全解决方案 广州市星系数据资讯有限公司 第 8 页 共 15 页 3 5 实时入侵检测实时入侵检测 入侵检测系统是指监视 或者在可能的情况下阻止 入侵或者试图控制你的系统或者 网络资源等不良行为的系统 入侵检测系统是近年出现的新型网络安全技术 其目的是提 供实时的入侵检测及采取相应的防护手段 选择入侵检测系统 应特别注意其主要性能的 情况 包括 协议分析及检测能力 解码效率 速度 自身安全的完备性 精确度及完整 度 防欺骗能力 模式更新速度 等等 入侵检测系统是分层安全中日益被普遍采用的成分 它将有效地提升黑客进入网络系 统的门槛 入侵监测系统能够通过向管理员发出入侵或者入侵企图来加强当前的存取控制 系统 例如防火墙 识别防火墙通常不能识别的攻击 如来自企业内部的攻击 在发现入 侵企图之后提供必要的信息 帮助系统移植 3 6 安全漏洞评估系统安全漏洞评估系统 安全漏洞评估系统是一个漏洞和风险评估工具 用于发现 发掘和报告网络安全漏洞 一个出色的安全评估系统不仅能够检测和报告漏洞 而且还可以发现漏洞发生在什么地方 以及发生的原因 它在系统间分享信息并继续探测各种漏洞直到发现所有的安全漏洞 还 可以通过发掘漏洞以提供更高的可信度以确保被检测出的漏洞是真正的漏洞 这就使得风 险分析更加精确 并确保管理员可以把风险程度最高的漏洞放在优先考虑的位置 最新的 漏洞评估系统还采用了独特的 路径分析技术 用以发现漏洞的根本原因 通过分析漏洞 的根本原因 任何重复的漏洞 模式或异常的现象很容易被确定到是否是重要问题 或被 确定到网络中的系统并且迅速被排除 3 7 病毒防护病毒防护 防病毒软件的应用也是多层安全防护的一项必要措施 它是专门为防止已知和未知的 病毒感染你的信息系统而设计的 它的针对性很强 但是需要不断更新 而且存在一定的 片面性 让我们看看多层防护策略是如何发挥作用的 即使网络中的入侵检测系统失效 防火 墙 安全漏洞评估和防病毒软件还会起作用 配置合理的防火墙能够在入侵检测系统发现 之前阻止最普通的攻击 安全漏洞评估能够发现漏洞并帮助清除这些漏洞 如果一个系统 没有安全漏洞 即使一个攻击没有被发现 那么这样的攻击也不会成功 即使入侵检测系 统没有发现已知病毒 防火墙没能够阻止病毒 安全漏洞检测没有清除病毒传播途径 防 病毒软件同样能够侦测这些病毒 所以 在使用了多层安全防护措施以后 企图入侵你的 公司的信息系统的黑客要付出成数倍的代价才有可能达到入侵目的 这时 你的信息系统 的安全系数得到了大大的提升 如果你拥有多层安全防护系统 那么 黑客渗透进来的成本就更高 他们就需要更多 的资源 而这些都是大多数潜在的黑客做不到的 多层安全防护系统使得入侵者更可能放 弃对你系统的攻击 如下图 就是冠群金辰的一个解决方案图 USDP 产品安全解决方案 广州市星系数据资讯有限公司 第 9 页 共 15 页 推荐厂商 Symantec Corp NAI 冠群金辰 安氏 CheckPoint Network Associates Inc 的 Internet Security Suite ISS Real Secure Cisco 的 Cisco NetRanger 中科网威的天眼网络侦测系统 4 数据安全数据安全 4 1 存储存储安全安全 存储加密被广泛地用到了 USDP 的整个系统中 某些关键信息例如密码关键以及相关 重要业务数据被加密保存在数据库或文本中或其它逻辑存储设备中 这样一来 连系统管 理员也无法得到真实的数据 在系统中 只有在经过我们的初始化的系统后 再添加一个 管理员 只有这个管理员才能看到真正准确的信息 4 2 传输传输安全安全 数据在传输中 如果涉及到企业重要的信息 不能以明文方式出去 以免遭到不良动 机的人窃下数据包 再加以组合从而看到企业的信息 为了不致使数据被窃 其中数据传 USDP 产品安全解决方案 广州市星系数据资讯有限公司 第 10 页 共 15 页 输中 我们可以采用 SSL 加密来保证传输的安全性 1 SSL Secure Socket Layer 协议是由 Netscape 首先发表的网络资料安全传输协定 其首要目的是在两个通信间提供秘密而可靠的连接 该协议由两层组成 底层是建立在可 靠的传输协议 例如 TCP 上的是 SSL 的记录层 用来封装高层的协议 SSL 握手协议 准许服务器端与客户端在开始传输数据前 能够通过特定的加密算法相互鉴别 SSL 的先 进之处在于它是一个独立的应用协议 其它更高层协议能够建立在 SSL 协议上 目前大部分的 Web Server 及 Browser 大多支持 SSL 的资料加密传输协定 因此 可以 利用这个功能 将部分具有机密性质的网页设定在加密的传输模式 如此即可避免资料在 网络上传送时被其他人窃听 SSL 是利用公开密钥的加密技术 RSA 来作为用户端与主机端在传送机密资料时的 加密通讯协定 目前 大部分的 Web Server 及 Browser 都广泛使用 SSL 技术 对消费者而言 SSL 已经解决了大部分的问题 但是 对电子商务而言问题并没有完 全解决 因为 SSL 只做能到资料保密 厂商无法确定是谁填下了这份资料 即使这一点做 到了 还有和银行清算的问题 还有一个文件存储的安全性 这部分我们可以推荐用户使用 PGP 对安全性要求高的文 档来加密 2 PGP Pretty Good Privacy 目前 还有一种非常好的连接网络与桌面的安全方法 PGP Pretty Good Privacy PGP 是一个公钥加密程序 与以前的加密方法不同的是 PGP 公钥加密的信息只能用私 钥解密 在传统的加密方法中 通常一个密钥既能加密也能解密 那么在开始传输数据前 如何通过一个不安全的信道传输密钥呢 使用 PGP 公钥加密法 你可以广泛传播公钥 同 时安全地保存好私钥 由于只有你可拥有私钥 所以 任何人都可以用你的公钥加密写给 你的信息 而不用担心信息被窃听 使用 PGP 的另一个好处是可以在文档中使用数字签名 一个使用私钥加密的密钥只能 用公钥解密 这样 如果人们阅读用你的公钥解密后的文件 他们就会确定只有你才能写 出这个文件 目前最新版本的 PGP 2 6 3 是美国和加拿大使用的版本 PGP 2 6 3i 是一般 Internet 上使用的 它可以从 www Pgpi org 下载 PGP 是一个软件加密程序 用户可以使用它在不安全的通信链路上创建安全的消息和 通信 PGP 协议已经成为公钥加密技术和全球范围消息安全性的事实标准 因为所有人都 能看到它的源代码 从而查找出故障和安全性漏洞 所有的故障和漏洞都在发现后被改正 了 此外 我们在维护或后台采编信息到服务器上时 我们用 VPN 来使内外网联合在一起 其中 VPN 的出入数据也严格经过了加密 例如有些 VPN 厂商采用 DES 3DES RC4 或 RSA 等强加密算法来加密 还有 我们在维护机器时 采用的软件也最好使用有加密性安 全性高的软件 例如 telnet 本身是几乎以明文传输的控制程序 这时 我们最发采用 SSH 来代替 这时 我们在内部工作时 采用双种加密 使数据无论是在内网还是在外网 都消除数据被窃听的可能性 4 3 容灾系统容灾系统 容灾系统的结构比较复杂 一般来说 它首要的功能的数据备份功能 以防止硬碟在 运行时出现损坏时 这些自动地数据实时地备份到备份设备如磁带 磁碟等存贮介质中 第二个容灾功能要求是当系统出现不可测问题的 容灾系统的备份机会自动启动工作 来 USDP 产品安全解决方案 广州市星系数据资讯有限公司 第 11 页 共 15 页 接替主机的工作 使之系统能在 24 7 正常地工作 一般地 容灾系统的工程比较大 耗费也比较大 比较对信息的实时性或安全性特别 重要的情况下 一般要有一个容灾小组来规划整个系统的灾难可能发生的情况及整个系统 的运行环境 以便于内部实施或请专门的技术公司实施容灾系统 在备份方面 比较成熟的技术有 DAS Direct Attached Storage SAN Storage Area Network 和 NAS Network Attach Stroage NAS 与 SAN 都是在 DAS 的基础上发展起来的 是新型数据存储模式中的两个主要发 展方向 而 RAID 只是三种存储的一个常用基础存储方式 1 DAS Typical LAN using DAS DAS 系统软件安装较为烦琐 初始化 RAID 及调试第三方软件一般需要两天时间 无 独立的存储操作系统 需相应服务器或客户端支持 容易造成网络瘫痪 管理较复杂 需 要第三方软件支持 由于各系统平台文件系统不同 增容时需对各自系统分别增加数据存 储设备及管理软件 异地备份 备份过程麻烦 依靠双服务器和相关软件实现双机容错功 能 但两服务器同时发生故障 用户就不能进行数据存储 而 SAN 和 NAS 在存贮上可以 克服上述一些缺点 2 SAN SAN 可以定义为是以数据存储为中心 采用可伸缩的网络拓扑结构 通过具有高传输 速率的光通道的直接连接方式 提供 SAN 内部任意节点之间的多路可选择的数据交换 并 且将数据存储管理集中在相对独立的存储区域网内 在多种光通道传输协议逐渐走向标准 化并且跨平台群集文件系统投入使用后 SAN 最终将实现在多种操作系统下 最大限度的 数据共享和数据优化管理 以及系统的无缝扩充 USDP 产品安全解决方案 广州市星系数据资讯有限公司 第 12 页 共 15 页 Typical LAN using SAN 3 NAS 网络附加存储设备 NAS 是一种专业的网络文件存储及文件备份设备 或称为网络 直联存储设备 网络磁盘阵列 一个 NAS 里面包括核心处理器 文件服务管理工具 一个 或者多个的硬盘驱动器用于数据的存储 NAS 可以应用在任何的网络环境当中 主服务器 和客户端可以非常方便地在 NAS 上存取任意格式的文件 包括 SMB 格式 Windows NFS 格式 Unix Linux 和 CIFS 格式等等 NAS 系统可以根据服务器或者客户端计算机发 出的指令完成对内在文件的管理 另外的特性包括 独立于操作平台 不同类的文件共享 交叉协议用户安全性 许可性 浏览器界面的操作 管理 和不会中断网络的增加和移除服 务器 NAS 是在 RAID 的基础上增加了存储操作系统 而 SAN 是独立出一个数据存储网络 网络内部的数据传输率很快 但操作系统仍停留在服务器端 用户不是在直接访问 SAN 的 网络 因此这就造成 SAN 在异构环境下不能实现文件共享 NAS 与 SAN 的数据存储可通 过下面的图来表示 SAN 存储 USDP 产品安全解决方案 广州市星系数据资讯有限公司 第 13 页 共 15 页 NAS 存储 以上两图说明 SAN 是只能独享的数据存储池 NAS 是共享与独享兼顾的数据存储池 因此 NAS 与 SAN 的关系也可以表述为 NAS 是 Network attached 而 SAN 是 Channel attached 其中 SAN 实施费用比较高 但速度上很快 并且有一部分厂商实现在异种文件系统的 共享 但一般来说 技术上有一定的故障 同 SAN 相比 NAS 技术是相对成熟的 尽管 有一些 SAN 文件共享解决方案存在 它们一般是针对特定的要求 多个服务器要求高速的 的接入通过私有的轻量级的协议来实现共享数据 NAS 是网络技术在存储领域的延伸和发 展 数据以文件的形式按照网络协议在客户机与存储设备之间流动 它可以利用 NFS 实现 异构平台的客户机对数据的共享 集成在存储设备内的专用文件服务器提高了文件传输的 I O 速度 一旦用户把互连性和多平台性放在首位的时候 对 NAS 的考虑会多一些 但是 当数据存储发展到一定规模 NAS 的缺陷就显现出来 如数据服务和数据管理形成了网络 的双重负担 磁盘阵列必须配置专用文件服务器 后期扩容成本高 一般文件服务器没有 高可用配置 有单点故障 通过网络协议的访问方式 对存储系统的数据安全构成威胁等 显然 NAS 技术不能满足可靠度为 99 999 的数据存储系统的要求 SAN 主要针对海量 面向数据块的数据传输 NAS 提供文件访问级数据访问功能 另 外 在一个系统中 SAN 和 NAS 可以并存 推荐厂商 EMC Veritas IBM HP Procom 神州数码 5 应用安全应用安全 安全的实施 一半在于基础的安全 另一半在于应用和管理的安全 其中 应用安全 在整个 USDP 的产品中都考虑到比较周全 使产品无论从逻辑上还是从功能上都能达到一 个很安全的层次 首先 在功能上 我们采用了完全跨平台的 XML 来作为底层编层语言 用多层结构来保证其可用性 可扩展性和高度的可集成性 从而从容不迫 24 7 提供很高的 保证 USDP 产品安全解决方案 广州市星系数据资讯有限公司 第 14 页 共 15 页 在管理上 日志管理是一个很方便的监督作用 他能动态地监视用户的每一个动作 从而可以从根本上指导用户的操作 例如在培训方面 通过对日志的分析 可以看到一个 用户对系统应用的掌握程度 如果在某一个环节出错 培训管理员或系统管理员可以通知 是怎么出错 还有 日志还有动态归档功能 当一个环节是由于操作不当或其它原因 归 档后用户可以 EMAIL 到我们的技术支持来查看日志来得出原因 USDP 产品可以从根本上 看到用户在系统中的每一个操作 并且只能管理员才能看到这些操作记录 通过配置这些 操作可以动态地以 EMAIL FAX 或短消息发给特定的人 在逻辑上我以主要以下三个管理机制 5 1 用户用户安全安全 所用用户登录必须通过一个入口登录到系统 没有验证的用户是看不到系统的任何数 据 因为 我们的每一个页面都有身份验证 并且 用户登录时 会动态地记下其登录时 间 用户名以及 IP 等 另外 用户管理是和权限控制联系在一起的 在系统初始化后 有一个超级用户 这 个用户可以添加其它用户 例如仓管员 对于他的功能就只能调拔该仓的产品 可对其它 财务数据来说 他是看不到的 这样可以达到业务的一个比较好的保密性 在多用户下 可以用角色来分配权限给用户 这样更加方便了系统的可操作性 5 2 数据安全数据安全 在权限管理中 产品的管理上采用了地域的划分法 仓库和部门划分等方法 力求把 权限细分到最小化 而在操作上达到简单化 在权限管理中 对权限的赋予和收回都采用 了严格的措施 使用户看处到他应该得到到的数据 而其它数据的存在根本不知道 这在 菜单上表现来说 如果用户没一个一级权限 那么这个主菜单就不存在 该用户也无法点 击 如果有些不良用户看到其 URL 敲入 这时用户也只