企业信息安全整体解决方案

1、企业信息安全整体解决方案严峻的信息安全环境血淋淋的教训（资金审批篡改事件）河北某大型生产企业非常重视企业信息化建设，在原有财务核算与供应链系统的基础上增加了将OA系统、资金系统，实现了企业内部业务与审批的“无纸化”办公。其ERP系统管理员周某蓄意报复企业，利用对系统及数据库的了解，在后台数据库中将企业资金管理系统中的委托付款书中的收款人及收款金额恶意修改，由于银行网银适配器并不校验ERP系统提交的付款信息，给企业造成巨大的损失血淋淋的教训（财务信息泄漏）2013年山东某上市企业，在年报发布之前，年报数据被泄露，造成该企业股票产生剧烈波动，造成了很大的 经济损失和声誉影响，后经调查发现，该企业遭

2、受了为期一年之久的APT攻击，经济黑客通过给该公司内部员工发钓鱼邮件，逐层控制员工主机，监听内部信息，最终控制重要人员电脑获取到了财务信息的核心访问权限，最终造成财务报表泄漏。血淋淋的教训（客户信息泄露）2014年8月，浙江一家做网上书店的互联网公司，因为其网站存在SQL注入漏洞而被攻击，造成数据库信息泄漏，大量客户的信息被泄露，客户遭到很多的诈骗电话，有些客户遭受到了经济损失，这个事情使该互联网的声誉极大受损，同时也造成大量客户流失，影响甚大。互联网浪潮下的中国企业，其商业模式、运营模式、管理模式都在发生深刻变化。企业战略、企业组织、企业业务正从Offline向Online迁移！越来越多的企

3、业业务通过网络, 以 数字资产 的形式交换和转移。从 企业内部产业链社会化商业协同 传统的信息安全防御边界已经模糊甚至消失。企业业务不能龟缩在线下，那么：在线上的每一个业务行为、每一次数据交换都可能存在风险！案例：从Offline向Online企业对信息安全认识的误区近些年来，随着管理软件市场的蓬勃发展，企业对于信息化（ERP）的认识也在逐步加深，越来越多的企业开始将核心业务移植到信息化平台。在某些行业与领域，一些先进的公司（例如，电子商务）已经开始将企业的核心业务系统与互联网对接，借以提高业务处理效率、准确性，为客户提供更好的体验。只重视信息化，而忽略信息化之后的安全问题抱有侥幸思想，认为不

4、是行业知名企业就没有风险对于信息安全的认识比较浅薄，认为买了防火墙就是信息安全了只注重外部防御，而忽视内部监控部分有信息安全意识的企业有需求，也购买一些安全产品，但是不与核心业务进行结合，治标不治本误区企业业务管理中的信息安全困境内控缺乏专业的信息安全人才，信息安全意识淡薄。缺乏对信息系统的安全审计机制缺乏完善的业务安全准入认证机制信息安全仅注重边界安全的保护，忽略内部产生的信息安全风险。财务报表泄露，给企业带来经济损失。财务数据被篡改，给企业带来经营管理风险。薪资数据时常泄露，对企业内部经营造成影响。人员花名册泄露，造成不必要的人员流失的风险。设计图纸泄露、工艺路线被篡改产品BOM、原材料信

5、息泄露客户信息、经销商信息、价格信息泄露安 全供应链人力财务目前企业信息安全的现状：搞不懂、防不住、控不了、查不出！.企业IT系统面临的安全风险sosAPT渗透攻击风险数据远程传输过程中被监听和篡改风险重要信息资料泄密风险内部员工网络行为无法监管的风险IT运维过程缺乏监管的安全风险来自互联网黑客的恶意攻击企业业务信息管理系统（ERP）自身安全漏洞风险业务信息丢失无法恢复业务系统使用操作缺乏审计控制的风险信息安全行业在中国的发展历史很短，缺乏核心技术、缺乏高端产品。很多企业对信息安全的认识比较单一，认为信息安全主要就是：防火墙、防病毒；认为只要把企业的“边界”防住了，内部的数据（“信息资产”）也

6、就安全了防火墙是死的，企业是活的；企业的信息安全，就是关注企业业务的本身，围绕业务安全建立信息安全的综合防御体系，而不是单一的边界防御，要伴随企业业务的变化而不断的衍生、发展。我们认为：企业信息安全要建立以业务安全为核心的全方位立体化防御！、用友优普、启明星辰三方强强强联合针对企业市场推出适合于企业客户的信息安全解决方案重新定义企业信息安全我们的解决方案解决方案的业务流程企业业务安全风险评估安全运维与服务安全咨询与规划安全建设方案设计业务应用安全企业信息安全整体解决方案基础架构安全安全咨询业务数据安全运维安全企业信息安全风险评估的流程资产评估 识别（发现）业务信息资产 查找业务信息资产存在的安

7、全隐患 威胁源分析威胁路径分析 综合分析脆弱性被威胁利用的可能性以及给可能带来的影响 汇总安全问题 总结安全需求 提出风险处置建议脆弱性识别威胁分析风险分析安全需求针对企业用户的信息安全风险评估是参照国际风险评估标准和管理规范，对企业的业务信息系统的资产价值、潜在威胁、薄弱环节、已采取的防护措施等进行综合分析监测，判断信息安全事件发生的概率以及可能造成的损失，从而分析总结出企业在信息安全方面的薄弱点和信息安全需求。企业信息安全咨询规划根据NC企业用户的当前情况及未来业务发展方向，参考等级保护、ISO27001国际安全标准和相关安全方法论，以及企业信息安全体系建设最佳实践，充分分析企业用户信息安

8、全现状及需求，形成企业用户信息安全体系，体系包括信息安全管理体系和信息安全技术体系。企业信息安全现状与需求全球企业信息安全最佳实践行业信息安全水平评价要求 ISO27001 国家等级保护 ISO13335 ESA 信息安全管理体系信息安全技术体系解决方案的业务流程企业业务安全风险评估安全运维与服务安全咨询与规划安全建设方案设计企业用户的信息安全技术方案框架体系物理安全基础架构安全 机房环境安全办公环境安全 业务可用性保护 内网业务安全准入 业务安全域保护 外网业务安全准入 业务操作监测数字证书身份认证 业务应用性能管理 数字签名/完整性业务应用安全业务数据安全 敏感信息泄漏阻断 敏感信息泄漏监

9、测敏感信息加密 数据备份/异地灾备运维安全 运维安全审计日志统一管理漏洞扫描/基线核查 IT运行综合管理互联网边界安全边界访问控制入侵检测/防御WEB安全防护上网行为管理互联网流量管理主机安全恶意代码防范操作系统维护管理外设管理主机资产管理主机准入控制.网络优化/监测服务器负载均衡广域网加速网络流安全监测APT攻击监测链路负载均衡无线安全接入无线接入组网无线入侵防御钓鱼AP监测阻断流氓AP监测阻断.无线防火墙基础架构安全A系列基础架构安全产品基础架构安全A系列互联网边界安全主机安全网络优化/监测无线安全接入统一威胁管理（A-USM）网络行为管理（A-SAM）Web应用安全网关（A-WAG）入侵

10、防御系统（A-IPS）主机安全卫士（A-HSG）无线安全管理（A-WSM）安全虚拟专线系统（A-VPN）网络病毒防御系统（A-AVS）应用交付系统（A-ADC）A系列：互联网边界安全产品基础架构安全1、统一威胁管理（A-USM）先进的平台技术架构：所有功能均基于IAP平台开发，功能任意组合拆分，对系统性能影响很小。具有统一引擎、统一策略结合的融合设计思想强大的防病毒功能：自有防病毒引擎，内置600万病毒库，3000条入侵特征库，20万Web2.0特征库，1000种应用识别特征库，综合应用特征控制力业界第一。可集成第三方知名防病毒引擎，且和自有防病毒引擎可以共存可用性保障：业内独有的3套系统备份

11、功能，最大限度保障高可用性IPv6/IPv4双协议栈可视监控和智能应用控制全面高效的应用防护自带上网行为管控、VPN功能标准版高性能版统一威胁管理（A-USM）：应用范围适用于中型企业：企业互联网入口带宽100兆，总PC数低于1000台，标准版高性能版适用于大型企业或集团型企业：企业互联网入口带宽1000兆，总PC数低于5000台。2、Web应用安全网关Web应用安全网关是新一代Web 安全防护与应用交付类应用安全产品，主要针对Web 服务器进行HTTP/HTTPS 流量分析，防护以Web 应用程序漏洞为目标的攻击，并针对Web 应用访问各方面进行优化，以提高Web 或网络协议应用的可用性、性

12、能和安全性，确保Web 业务应用能够快速、安全、可靠地交付。 该产品主要面向：U9、NC、电商客户标准版高性能版Web应用安全网关：功能亮点（需要启明提供）标准版高性能版先进的平台技术架构：所有功能均基于IAP平台开发，功能任意组合拆分，对系统性能影响很小。具有统一引擎、统一策略结合的融合设计思想强大的防病毒功能：自有防病毒引擎，内置600万病毒库，3000条入侵特征库，20万Web2.0特征库，1000种应用识别特征库，综合应用特征控制力业界第一。可集成第三方知名防病毒引擎，且和自有防病毒引擎可以共存可用性保障：业内独有的3套系统备份功能，最大限度保障高可用性IPv6/IPv4双协议栈可视监

13、控和智能应用控制全面高效的应用防护自带上网行为管控、VPN功能Web应用安全网关：应用范围（需要启明提供）适用于中型企业：企业互联网入口带宽100兆，总PC数低于1000台，适用于大型企业或集团型企业：企业互联网入口带宽1000兆，总PC数低于5000台。标准版高性能版3、入侵防御系统（A-IPS）入侵防御系统，作为边界防御体系一个不可缺少的组成部分，其作用在于弥补防火墙系统对七层代码级攻击缺乏深度识别和防御能力的问题，通过内置的了大量入侵防御规则和自动学习能力，对越过了防火墙一级防线的攻击流进行二级抵御，使进入到企业内部网络的数据流尽可能的安全。标准版高性能版入侵防御系统（A-IPS）：功能

14、亮点深层防御精确阻断精细化的安全策略管理高性能及扩展规格8大亮点功能领先的威胁防御能力双核心网络防病毒完善的应用过滤强大成熟的集中管理高可用性保障精确的抗DoS能力入侵防御系统（A-IPS）：应用范围标准版高性能版适用于中型企业：企业互联网入口带宽100兆，总PC数低于1000台，适用于大型企业或集团型企业：企业互联网入口带宽1000兆，总PC数低于5000台。4、安全虚拟专线系统（VPN）多合一VPNIPSec VPN访问控制细粒度访问控制VPDNSSL VPNNAT攻击防护VPN功能防火墙功能相辅相成相互促进VPN（Virtual Private Network） 虚拟专用网在防火墙基础之

15、上的专有安全网络安全虚拟专线系统（VPN）：功能亮点标准版高性能版与用友软件深度适配，保证访问速度；客户端多合一，100%免配置，方便快捷；隧道热备技术，保障VPN网络永不中断；多种认证方式，U-Key、软证书、动态口令、静态口令、短信支持移动端快速接入，保障移动安全；加密机制支持国密算法；DMVPN技术：适合大规模VPN部署基础架构安全产品：安全虚拟专线系统（VPN）标准版高性能版适用于中型企业1000N/1001N/1010N/1011N，加密吞吐量：120160M，4GE-6GE适用于中型企业2010N/2011，加密吞吐量：400M6GE，6SFPA系列：主机安全产品基础架构安全1、主

16、机安全卫士桌面综合安全管理系统，集屏幕管理，外设管理，资产管理，软件/进程管理，主机准入，主机防火墙，非法外联多种功能于一身，从主机操作系统层面进行综合的安全管理，提升主机自身健康型。外设管理屏幕管理主机准入系统维护管理资产管理主机防火墙主机安全管理软件/进程管理2、网络病毒防御系统网络病毒防御系统以安全防护为基础，以运维管理为支撑、以提升用户使用体验为目标的全方位终端安全产品。通过产品的部署及应用，为企业用户构建抵御已知病毒、未知恶意威胁的安全防护体系，并同时提供了统一安全管理、使用体验优化在内的能力。网络防病毒系统采用了目前最先进的云模式部署，一方面通过检测特征云的方式，不断收集各类可疑文

17、件进行深入分析，并及时更新至病毒特征库中，为所有用户提供最新最全面的安全防护；另一方面，为企业级用户提供了云查杀的模式，对于客户端发现的可疑文件，其分析过程将可在内部搭建的私有云上进行，减少客户端PC的额外计算开销，提升用户的使用体验。A系列：网络优化/监测产品基础架构安全1、上网行为管理系统：功能亮点高速数据分析平台；先进的层进式管理理念；专家会诊系统（ECS）；零拷贝技术；高可靠性设计，高稳定性；精准的应用与协议分析；在线URL库、应用协议库升级；多角色管理分类；高性能版标准版1、上网行为管理系统：适用范围高性能版标准版适用于中型企业企业互联网出口带宽100兆以下，企业内部PC数小于500

18、台适用于中型企业企业互联网总出口带宽1000兆以下，企业内部PC数小于2000台要从非专业维度描述：企业带宽多大？PC台数有多扫？2、应用交付系统应用交付系统服务器负载均衡链路负载均衡全局负载均衡全局负载均衡通过在全球部署多个数据中心来保护业务站点不受访问中断的影响，并且提升整体业务系统响应能力的一种解决方案。通过部署天清ADC应用交付平台，可以在多个数据中心之间进行流量分担，并进行数据中心间的冗余和灾备。服务器负载均衡主要是对访问服务器和服务器返回的流量进行管理，天清ADC应用交付平台通过多种静态和动态负载分担算法，把访问服务器的流量智能的分发给最佳的服务器。当企业部署对外提供服务的应用服务

19、器时，ADC应用交付平台可以根据用户所处的运营商网络，或者地域的远近，或者当前链路的带宽质量进行智能DNS解析，帮助用户选择最优的链路进行访问，有效避免跨运营商访问时造成的带宽瓶颈和延迟增大等问题，提供最佳的用户体验。2、应用交付系统：功能亮点1.最高性能2.弹性扩展架构3.虚机/虚拟桌面负载4.智能终端识别和加速5.应用协议链路负载6.专业安全防护更适合在云数据中心部署最高盒式设备性能最高性能机架ADC更好的应用加速效果L4-L7层防火墙L4-L7层Anti-DDoS应用防火墙有效+人性化的解决出口链路拥塞问题应用交付系统：应用范围高性能版标准版适用于中型企业企业互联网出口带宽100兆以下，

20、企业内部PC数小于500台适用于中型企业企业互联网总出口带宽1000兆以下，企业内部PC数小于2000台要从非专业维度描述：企业带宽多大？PC台数有多扫？A系列：无线安全管理解决方案基础架构安全无线安全解决方案无线入侵防御检测移动终端准入上网行为管控日志&合规报表无线安全解决方案：功能亮点无线准入无线IPS无线VPN无线防火墙无线接入无线加密多样化的认证方式二维码认证微信认证短信认证Portal认证支持802.1x认证安全可靠的无线数据加密支持认证数据加密支持数据传输加密支持加密算法WEP64/128/152、TKIP、AES、WAPI智能化的无线接入AP零配置AP自劢升级智能优化的数据转发劢

21、态RF管理无线用户负载均衡支持快速漫游业内领先的无线防御体系支持无线扫描、欺骗、DoS、破解等8大类上百种无线安全事件的检测、告警与阻断功能。兼容现有网络、提供精确阻断支持多层次联劢机制：可与无线防火墙联劢，与有线IPS等有线网络设备联动。业务应用安全（BowlineBox）X系列业务应用安全产品业务应用安全X系列ERP安全准入系统（X-ESA）ERP安全管控系统（X-ESC）ERP安全终端管理系统（X-ESCC）ERP数字签名系统（X-ECA）Functionality / Industry SupportBusiness SizeC级市场小微企业、连锁门店、办事处B级市场中型、小型企业A级

22、市场上市公司、企业集团、TOP500X1X3PlusX5X7&9解决方案：按照应用规模划分产品ERP CRM OAProduct On Line（计算、存储、交互）： yeesec Cloud 信御安全云：云服务器、数据中心、管控&服务中心Product Off Line（功能硬件）： Bowline-Box 信御安全盒子：网络和安全系列设备Product Off Line（功能软件）： Bowline-Desktop 信御安全桌面：安全工作台解决方案：按照应用部署划分产品数据安全D系列业务数据安全产品业务数据安全D系列以太敏感信息防泄密系统（D-DLP）以太敏感信息防泄密系统：功能亮点对于企

23、业的管理者，可以设置其终端为老板客户端，此类终端打开加密文件后，自动解密。Boss端对于所有加密文件，系统提供了高效的定时备份策略。管理员可以设置保留几天的备份的加密文件信息，也可以设置只保留几个加密文件副本。文件备份对于一切的外发操作，系统都保留了完整的日志，供管理员查看。日志审计系统对于终端安全进程的剪切板进行加密，防止员工通过复制、粘贴的方法泄露数据。剪切板控制禁止终端使用者的截屏操作禁止截屏不装加密客户端的计算机，禁止访问核心服务器。核心服务器隔离以太敏感信息防泄密系统：功能亮点终端数据防护数据库终端终端从上图中，不难发现，对于终端数据的处理，我们可从两处着手： 数据上传到服务器前。

24、是从数据库将数据导出到本地终端用户。常规情况，客户少有考虑数据库防护这块，用到最多的是第二种方式，简单称之为“落地加密”。在虚拟个性化的环境中上传数据下载数据加密加密与用友ERP系统联动运维安全M系列运维安全产品运维安全M系列运维安全审计系统（M-OSM）日志审计系统（M-LSA）漏洞扫描系统（M-APS）业务支撑安全管理（M-BSM）安全配置核查系统（M-CVS）1、运维安全管控系统OSMOSM帐号管理单点登录访问控制行为审计运维安全管控系统OSM（Operations Security Management）账号管理实现对服务器、网络设备、数据库及其帐号的统一集中管理。单点登录实现密码代填

25、和统一单点登录。支持多种单点登录方式，最大程度适应不同人员使用习惯。访问控制基于最小权限原则，实现集中访问控制和细粒度命令级控制。行为审计审计实名制，对用户从登录到退出的全程操作行为的监控和事后审计。运维安全管控系统OSM：功能亮点运维协议支持广、易扩展，充分满足运维需要-OSM实现对多种运维协议或运维客户端的支持，充分满足运维需要，包括字符协议、图形协议、文件传输协议、HTTP（S）应用、数据库访问和Pcanywhere、Radmin等常用运维客户端。通过配置应用发布，还可以灵活扩展其他运维协议或工具。多种资源访问方式，适应不同人员使用习惯-OSM支持多种目标资源访问方式，包括页面WEB访问

26、、页面调用本地客户端访问、命令或图形菜单访问和客户端直连访问，系统使用界面友好，能够最大程度适应不同用户的使用习惯。细粒度访问授权，有效控制运维风险-OSM可根据用户、用户组、访问主机、系统账号、访问方式等内容设置细粒度访问策略，同时支持指令黑白名单、时间黑白名单、IP黑白名单。通过集中统一的访问控制和细粒度的命令级授权策略，确保“权限最小化原则”，有效规避运维操作风险。审计实名制，为事后取证提供证据以用户身份为依据，真实完整的记录每个用户的所有操作行为；支持实时监控和仿真回放；支持在监控过程中手工切断高危操作。运维安全管控系统OSM：应用范围高性能版标准版2、日志审计系统（LSA）领导安全主

27、管审计人员掌握整体安全态势审核等保与内控评估安全有效性建立全局安全策略出具日志审计报告分析安全问题制定审计规则采集和存储日志执行日志审计SyslogTrapOPSECFileWMIFTPODBCXML59异构海量日志采集日志范式化与分类日志过滤归并关联分析告警存储加密压缩备份恢复监视统计查询追溯报表Venustech Confidential日志审计系统（LSA）：功能亮点高性能的日志管理技术架构高适应性日志采集详尽的日志范式化与日志分类基于策略的安全事件分析集中化的日志综合审计可视化日志审计丰富灵活的报表报告用户网络和业务影响性最小化完善的系统自身安全性保证与启明星辰安全管理平台无缝融合日志

28、审计系统（LSA）：应用范围平台支持的操作系统系统需求WindowsWindows Server 2008 R2 Enterprise Windows Server 2003 Enterprise Edition SP2Windows 7 Enterprise64位操作系统最低Intel酷睿双核CPU，推荐使用Intel 至强4核以上CPU至少4GB内存，推荐16GB以上内存1TB以上磁盘空间LinuxRedhat Enterprise Linux6.3CentOS 6.364位操作系统最低Intel酷睿双核CPU，推荐使用Intel 至强4核以上CPU至少4GB内存，推荐16GB以上内存1T

29、B以上磁盘空间软件型所需运行环境如下：LSA软件型日志审计系统（LSA）：应用范围（需要启明提供）适用于大型企业：XXXXXXXXX适用于特大型企业：XXXXXXXXXXX标准版高性能版3、漏洞扫描系统漏洞扫描系统综合了多种国际最新的漏洞扫描与检测技术，能够快速发现网络资产，准确识别资产属性，全面扫描安全漏洞，清晰定性安全风险，给出修复建议和预防措施，并对风险控制策略进行有效审核，从而帮助企业客户在弱点全面评估的基础上实现安全自主掌控。自动化脆弱性扫描，多引擎统一管理，节约企业人力成本。全面评估网络弱点，为修复漏洞提供解决方案和行动指导，防患于未然。定期执行扫描，及时掌握系统脆弱性，为安全建设

30、提供决策依据。基于资产的主机、网络风险量化方案，使得网络安全状况及漏洞管理工作可衡量，可评价。扫描定性修复审核发现漏洞扫描系统：功能亮点用户需求精准识别和修补漏洞，提供技术支持性能高速且稳定，保障任务迅速执行系统人性化，易用性好，报表丰富详尽对各类资产进行全面的安全检查无需专业知识即可快速上手操作，用户界面人性化，操作简明流畅。可生成各种常见格式的针对不同阅读对象的报表。支持检查各类操作系统、应用系统（数据库系统、WEB应用系统等）、网络主机、网络设备、常用软件等存在的安全威胁。支持识别并修复缓冲区溢出、拒绝服务、弱/空口令、敏感信息泄露、远程权限提升、CGI漏洞、SQL注入、XSS攻击、CS

31、RF、木马后门，网站挂马等等漏洞。可以执行周期性、大批量的扫描任务，需要同时保证速度与稳定性，扫描过程不对扫描对象造成影响漏洞扫描系统：功能亮点全面 业界最全面的漏洞库 全面支持权威标准 （ CVE,CNCVE,CNNVD,CVSS 等） 支持最全面的扫描对象 （应用系统、操作系统、网络设备 等） B/S架构，中文界面 深入研究用户习惯，完美 的用户体验设计 报表格式丰富，维度多样， 满足各类用户需求极速易用准确 多线程渐进式预扫描技术 多任务多网卡并发模式 大规模扫描任务，单台主 机耗时20S 9300+条漏洞识别 12000+条漏洞知识条目库 10条+/周的扫描方法升级 重大、紧急漏洞扫描

32、及时升级漏洞扫描系统：应用范围高性能版标准版软件版4、安全配置核查系统安全漏洞通常是系统自身的问题引起的安全风险，反映了系统自身的安全脆弱性，安全配置通常都是由于人为的疏忽造成，主要包括了账号、口令、授权、日志、IP通信等方面内容，同样反映了系统自身的安全问题，配置核查系统内置了大量的各类信息系统的安全配置最佳实践和规范，企业用户可以在运维过程中定期对各IT系统进行配置弱点的核查，找出可能导致系统出现安全问题的不安全配置项，并给出报告和解决方案。5、安全配置核查系统：功能亮点系统简单实用、界面美观大方、内置丰富的仪表板，适用于各级管理人员支持超过1600+ 种检查项的内置知识库储备，不段丰富的CheckList具