某国有公司信息安全解决方案建议书

4.4.2安全运营中心(SOC) 36 案建议书 信息化浪潮席卷全球，一种全新的先进生产力的出现已经把人类带入了一个新的时代。网络技术的发展极大地改变了人们的生活，工作模式，网上新闻、网上购物、远程教育、电子商务等等各种应用层出不穷，世界各地的信息资源得到了高度的共享。显示出对生产力变革的巨大作用。但随着计算机以及互联网在全球的迅猛发展，在带来巨大的进步与利益的同时，随之而来的也是潜伏着的巨大的安全威胁，随着全球互联网的飞速发展，人们的日常生活、国家的领域在享受着互联网所带来的便利的同时，也必须面对着脆弱的网络所带来的巨大安全隐患。信息安全的发展，从早期的只关注信息保密的通信保密(COMSEC)内涵到关注信息及信息系统的保密性、完整性和可用性的信息安全(INFOSEC)时代，再到今天的信息保障 完整性、可用性、可控性和不可否认性，单纯的保密和静态的保护已经不能适应时代的需要，而针对信息及信息系统的保护、检测、反应、恢复(PDRR)四个动态反馈环节构成了信息保障模型概念的基础。如何在用户的现实网络环境中真正体现和贯彻信息保障的基础模型也是信息安全界的一个重要课题。美国国家安全局(NSA)编写的《信息保障技术框架(IATF)》提出：信息保障离保护主机计算环境以及它们所依赖的支撑性基础设施(KMI/PKI、检测和响应)几个用户网络安全层面。信息保障深层防御战略已经得到不断的发展，并且日益被广泛采纳，成为美国政府和工业界的信息与信息基础设施的安全技术指南。同样，随着业务的拓展，网络不断的扩展和日趋复杂，对内对外服务不断增多，保障网络号密码、更改或删除数据，后果相当严重，直接带来无法估量的经济损失。采用网络安全技术和产品，部署网络安全系统，可以极大地提高网络系统的安全性，减少安全隐患，防止恶意侵某信息安全技术公司致力于为广大用户提供信息网络安全服务和解决方案，在长期的信息安全实践中，对深层防御战略有着深刻的体会，并将它完全融合于我们的安全设计理念和设计体系之中。在某某公司网络安全设计过程中，我们在充分了解用户的网络结构和安全环境之上，对用户的安全需求进行了认真、细致的分析。在为用户进行安全设计过程中，坚持深层防御战略的 案建议书 设计思想和设计理念，力图实现对某某公司网络系统全方位、多层次的安全体系，从主机、网络和网络边界几个层面为某某公司建设一个安全的网络环境，保障系统的正常运作。本方案首先介绍我们的安全设计理念和设计原则，正确的安全技术理念是安全方案的灵魂和基础，更是方案中产品选择的根据。没有理念指导的方案本身就是不安全、不可靠的。在对用户的网络环境和安全需求进行全面分析后，本方案提出了我们针对某某公司的安全解决方案并对方案进行了详细描述和特点介绍。最后，用户还可以从本方案中得到上述建议方案的配置细节。我们在为用户提供本方案的同时，还在附件中对上述方案中相关配置所涉及到的产品进 案建议书 2章信息安全建设需求分析2.1某某公司的网络及应用系统现状(略)2.2信息安全的需求来源分析求的来源定义。信息安全需求有三个主要来源：第一个来源是法律的、规定的和合同约定的要求。这些要求是一个组织、它的贸易伙伴、立约人和服务提供商都要满足的；第二个来源是一个组织已经制订的特殊原则、目标和需要，它们是用来支持信息处理第三个来源是组织风险的评估。通过风险评估，辨别出对资产的威胁、评价了组织对这种威胁的易损性和威胁发生的可能性，并且对可能的冲击进行了估计。IT安全建设方面必须满足的内容。而第三个来源则是信息系统本身所面临的各种风险及其应当采用的安全防护、安全管理等。下面我们分别针对以上的三个需求来源对某某公司的信息安全需求进行定义。在我国信息安全保障体系的建设中，法律环境的建设是必不可少的一环，也可以说是至关重要的一环，信息安全的基本原则和基本制度、信息安全保障体系的建设、信息安全相关行为的规范、信息安全中各方权利义务的明确、违反信息安全行为的处罚，等等，都是通过相关法律法规予以明确的。有了一个完善的信息安全法律体系，有了相应的严格司法、执法的保障环境，有了广大机关、企事业单位及个人对法律规定的遵守及应尽义务的履行，才可能创造信息安全的环境，保障国家、经济建设和信息化事业的安全。统安全、信息内容安全、信息安全系统与产品、保密及密码管理、计算机病毒与危害性程序防治、金融等特定领域的信息安全、信息安全犯罪制裁等多个领域，在文件形式上，有法律、有 案建议书 关法律问题的决定、司法解释及相关文件、行政法规、法规性文件、部门规章及相关文件、地方性法规与地方政府规章及相关文件多个层次。这些信息安全法律法规体现了我国信息安全的基本原则，可以简单归纳为国家安全、单位安全和个人安全相结合的原则，等级保护的原则，保障信息权利的原则，救济原则，依法监管的原则，技术中立原则，权利与义务统一的原则；而基本制度可以简单归纳为统一领导与分工负责制度，等级保护制度，技术检测与风险评估制度，安全产品认证制度，生产销售许可制度，信息安全通报制度，备份制度等。国家在法律法规方面对信息安全的要求是企业信息安全建设的硬性要求。所以，企业进行信息安全建设的时候，应该首先满足这些。因此法律法规的重要性让其成为企业信息安全建设我国现有信息安全相关法律规定普遍存在的问题是篇幅较小，规定得比较笼统，主要内容集中在对物理环境的要求、行政管理的要求等方面，对于涉及信息安全的行为规范一般都规定的比较简单，在具体执行上指引性还不是很强；目前这些法律法规普遍在处罚措施方面规定得不够具体，导致在信息安全领域实施处罚时法律依据的不足；由于各个行业千差万别，在一些特定的信息化应用领域，相应的信息安全规范相对欠缺，有待于进一步发展。针对以上问题，就要求根据不同行业的不同应用环境，制定相关的规范和政策性文件，并以此作为国家信息安全法律法规的有益补充。企业生产层面信息系统和先进过程控制系统进一步扩大推广应用范围。标准化、网络等信息基础建设和信息服务水平得到进一步重视和加强。为适应工作需要，还建立了一支专门的信息化建设队伍(石化盈科)。在信息化建设过程中，中石化坚定不移地执行了“五统一”方针，就是统一规划、统一标准、统一投资、统一建设、统一管理。按照“五统一”原则，总部建立了统一的组织领导机构——ERP项目指导委员会，重大事项统一决策；制定了统一的建设规划和建设策略，统一安排和任务，这些规划、策略、办法保证了中国石化信息化建设以健康、有序的步伐迈入高速发展的新阶段，并不断取得新的突破和进展。 案建议书 2.2.3信息系统风险管理对信息安全的要求上面我们从法律法规和行业规范讨论了石化行业信息安全的需求，这是信息安全建设的宏观需求，具体到每一个企事业单位，还应改明确其信息安全建设的微观需求，因为信息安全是保障企事业单位业务的正常发展的，所以我们还需要从具体企事业单位的业务着手，分析其微下图是石化行业的整个业务流程，石化行业的业务网里跑着不同油品的数据，这些数据实际就是资金。所以，企业必须保障这些数据的传输不中断，以使企业业务运转不会因安全问题IC准化等信息基础建设，逐渐培养建立起了中国石化信息化管理、建设、运行维护和应用四支队等行业规范文件来指导工作，还要放开眼光，在不断完善现有成果ERP、供应链、电子商务、网络建设的基础上，建立起规范的信息安全制度、策略和方案，让互联网和信息技术真正为石化业务保驾护航。按照某某公司信息化建设总体规划指南，安全系统建设应该是一个系统的工程，应该建立应是在检测到安全漏洞和安全事件之后必须及时作出正确的响应，从而把系统调整到安全状态。信息安全的保护、检测和响应是一个相互紧密整合的整体。 案建议书 2.3具体的信息安全需求分析所谓网络安全风险通常是指网络结构、网络互联、边界访问、网络设备等所面临的安全风临如下的网络安全风险：络与外部网络互连的风险在某某公司，一共有两类内外网之间的连接：总公司与分支机构之间的专线互连；总公司与分支机构或合作伙伴通过Internet的连接。在此我们不在赘述。在网络互连上看，我们更关注通过Internet的连接的风险问题。因为我们Internet国际性与自由性，网络系统面临的安全威胁主要来自黑客的能被黑客利用成为跳板，进而攻击网络中的其他机器，例如假冒管理员给内网用户发邮件，诱使用户执行一些反弹型木马程序来控制内网机器。如果内网没有采取整体的安全防护措施，一旦内网机器中招后整个内网就完全暴露在攻击者面前，这时攻击者就可以利用网络设备、系统服务器的控制权，甚至控制整个网络。目前在某某公司的信息化项目中，公司总部同联网的分支及合作伙伴间的数据传输应采用特别的保护措施。物理隔离或专网方式是最直接的解决办法，但他们不符合信息数字化建设和资源共享的潮流，而且投入费用也较高，显然不是长远之计。而常规联网方式又必须面对机密安全隐患是肯定存在的。因此，公司总部同联网的分支及合作伙伴间的机密数据进行传输时必须加密，保证数据在安全风险 案建议书 自内部网络的侵犯。首先，各节点内部网中用户之间通过网络共享网络资源。对于常用的操作Windows网络共享的数据便是局域网所有用户都可读甚至可写，这样就可能因无意中把重要的涉密信息或个人隐私信息存放在共享目录下，因此造成信息泄漏。另外，内部管理人员有意或者无意泄漏系统管理员的用户名、口令等关键信息；泄漏内部网的网络结构以及重要信息的分布情况，甚至存在内部人员编写程序通过网络进行传播，或者故意把黑客程序放在共享资源目录做个陷阱，乘机控制并入侵他人主机。因此，网络安全不仅要防范外部网，同时更关于内部网运行的安全风险防护方面主要是保证网络结构的安全、在网络层加强访问控制能力、加强对攻击的实时检测能力和先于入侵者发现网络种存在漏洞的能力；加强全网的病毒在某某公司网络中，整个网络的安全首先要确保网络设备的安全，保证非授权用户不能访问任一台服务器、路由器、交换机或防火墙等网络设备。内部网络与内部网络之间和各子业务系统之间，考虑采用硬件防火墙设备进行逻辑隔离，控制来自内外网络的用户对重要业务系统的访问。加强对内部用户访问外部网络的控制。一般来说，只允许内部用户访问Internet上的HTTP、FTP、TELNET、邮件等服务，而不允许访问更多的服务；更进一步的是要能够控制内部用户访问外部的什么网站、网页。建立一个完善的网络防病毒系统，实现对网络病毒防护的集中控制管理。网络防病毒体系应包括：网关级的病毒防护、服务器级的病毒防护、群件级(主要指邮件系统)的病毒防护以及个人主机级别的病毒防护，所有的病毒防护组建均应能集中控制，并具备很强的扩展能力。应当建立实时入侵检测系统，以便及时发现各种可能的攻击企图，及时采取相应的应对措施，入侵检测的监测点部署在网络服务器VLAN和核心交换机与防火墙之间，监控局域网端口进出的数据包。作为动态防御体系的有机组成部分，建立网络安全评估措施也是必需的。只有先于入全，确保系统业务的正常稳步运营。实际上，关于内部网络的安全防护是一个整体而系统的工程，整个动态的防御体系缺一不可，任何一个环节的缺失都是造成完全风险的漏洞，从而造成不安全因素。 案建议书 信息系统平台以及信息系统安全建设的最终目标是保证最终的应用系统正常使用。比如网络基础设施的建设是保证信息系统应用的承载平台；而信息安全则是保证这个承载平台上是应用安全、保密、可用。因此，应用系统的安全风险分析是信息安全最重要的部分，因为应用系统的安全可靠是信息系统建设的终目标。在这里，我们分别从操作系统平台、应用平台及数据库平台三个方面分别来对应用系统的险进行分析及总结。系统安全通常是指网络操作系统、应用系统的安全。对一个网络系统而言操作系统或应用系统存在不安全因素，将是黑客攻击得手的关键因素，因黑客攻击某网络系统，一般都是通过攻击软件扫描该网络系统中主机是否存在安全漏洞，并通过可利用的安全漏洞进行攻击或控制这台主机，为以后进一步攻击打下基础。我们都知道就目前的操作系统或应用系统，无论是微各种各样的漏洞，而这些漏洞都将存在重大安全隐患。但是从实际应用上，系统的安全程度与对其进行安全配置及系统的应用面有很大关系。这些设备、软件系统都或多或少地存在着各种各样的“后门”和漏洞，这些都是重大的安全隐患。一旦被利用并攻击，将带来不可估量的损失。如前段时间网络上流传非常凶猛的网络蠕虫病毒，就是一个以微软公司Windows系列操作系统的一个漏洞为基础的破坏性、传染性都很强的蠕虫病毒。操作系统如果没有采用相应的安全配置，则其是漏洞百出，掌握一般攻击技术的人都可能入侵得手，如果进行安全配置，比如：给安全漏洞打上补丁、关闭一些不常用的服务、禁止开放一些不常用而又比较敏感的端口等，那么入侵者要成功进入内部网是不容易的，这需要相当高的技术水平及相当长时间，因此应正确估价自己的网络风险，并根据自己的网络风险大小做出相应的安全解决方案。对于某某公司的应用系统的安全涉及很多方面。应用系统是动态的、不断变化的。应用的 案建议书 资源共享某某公司网络系统内部有着核心的数据。而办公网络应用通常是共享网络资源，比如文件共、打印机共享等。由此就可能存在着：同事有意、无意把硬盘中重要信息目录共享，长期暴露在网络邻居上，可能被外部人员轻易偷取或被内部其他员工窃取并传播出去造成泄密，因为缺少必要的访问控制策略。邮件系统电子邮件为网系统用户提供电子邮件应用。内部网用户能够进行电子邮件发送和接收这就存在被黑客跟踪或收到一些特洛伊木马、病毒程序等，由于许多用户安全意识比较淡薄，对一些来历不明的邮件，没有警惕性，给入侵者提供机会，给系统带来不安全因素。应用系统据通讯的双方身份的正确性？在通讯完成后，如何保证通讯的任何一方无法否认已发送(防抵赖)过相应的数据，进行抵赖？所以，对这种基于网络的应用安全性要进行充分考虑。用户身份假冒：非法用户假冒合法用户的身份访问应用资源，如攻击者通过各种手段取得应用系统的一个合法用户的帐号访问应用资源，或是一个内部的合法用户盗用领导的用户帐号如把用户信息(用户名、口令)在网上明文传输，造成用户信息泄漏；二是用户自身安全意识不强，如使用简单的口令，或把口令记在计算机旁边。非授权访问：非法用户或者合法用户访问在其权限之外的系统资源。其风险来源于两点：一是应用系统没有正确设置访问权限，使合法用户通过正常手段就可以访问到不在权限范围之内的资源；二是应用系统中存在一些后门、隐通道、陷阱等，使非法用户(特别是系统开发人员)可以通过非法的途径进入应用系统。数据窃取、篡改、重放攻击、抵赖：攻击者通过侦听网络上传输的数据，窃取河北联通的重要数据，或以此为基础实现进一步的攻击。包括：①攻击者利用网络窃听工具窃取经由网络传输的数据包，通过分析获得重要的信息；②内部用户通过网络侦听获取在网络上传输的用户帐号，利用此帐号访问应用资源；③攻击者篡改网络上传输的数据包，使信息的接收方接收到不正确的信息，影响正常的④信息发送方或接收方抵赖曾经发送过或接收到了信息。 案建议书 数据库系统风险分析随着中石化信息化建设的迅猛发展，计算机网络系统中保存的关键数据的量愈来愈大，许多数据要保存应用数十年以上，甚至是永久性保存。数据安全性问题愈来愈突出。如何化解数据风险，避免人为的和不可抗拒的自然灾害和计算机软硬件故障造成的数据破坏，是企业应用的重要一环。在一个网络中，如果服务器失败了，可以由另外一个服务器接管，而数据丢失了，则会造成永远无法弥补的损失，因此，数据的可靠性尤为重要。而好的数据备份方案，使得系统无论在何种灾难性情况下，都可得到有效的恢复。因此，业务的持续性计划及灾难恢复计划，也是企业信息化建设的重要组成部分。合理的的备份与容灾计划也要包含在信息安全建设的总体规划之中。在开展电子化办公和业务处理的过程中，已经普遍使用了计算机系统。在这些计算机设备中，除了少量采用大/中/小型机、服务器之外，多数都采用桌面级的PC或作为企业级用户的信息主管或IT/网络管理员，在安全保障工作中可能面临各种问题：对内部桌面终端资产状况缺乏了解。有哪些设备、哪些软件、配置如何、都发生了哪些变化等情况，往往只能通过人工登记的办法进行管理。对资产的流失和随意安装软件的现象无能为力。虽然有内部IT管理制度，但随意使用磁盘拷贝来历不明的软件、使用Modem拨号上员工使用的PC往往是(外部或内部)黑客入侵的目标，也是蠕虫(例如冲击波)利用传播扩散的主要途径。桌面PC由于缺乏科学统一的管理控制，难以防范黑客和蠕虫攻击。员工在上班时间经常上网、网上聊天、玩游戏，很大程度上降低了劳动生产力水平，对此缺乏技术手段加以限制。虽然安装部署了防病毒软件，但仍然依赖病毒特征库。对于蠕虫攻击、木马、未知病毒的防范，往往力不从心。希望借助新的措施，实现对恶意代码的主动的综合防范。 案建议书 移动办公的笔记本电脑可能会从外部引入新的安全隐患，但缺乏保护手段。计算机终端不受控制地连接到外部网络，防不胜防地引入各种安全威胁，并且在内部外来人员未经同意就将笔记本电脑接入你单位的网络，可能会非法获取资料、偷偷地在某个存在漏洞的地方种植木马、或者进行其它你想不到的网络入侵破坏。希望在非法电脑接入网络的时候能够及时发现并阻止其活动。员工对安全技术了解有限，管理员也为此可能经常忙得不可开交。希望通过集中管理面对计算机终端的诸多安全问题，我们需要采取行之有效的措施加以解决。传统解决方案的局限性信息安全措施有很多，每一种措施都能起到它自身应有的作用。但当我们的视角必须关注防火墙的不足：防外不防内。它侧重于防止外部网络对内部网络攻击，但对于网络内部计算机终端发起的攻击难以防范。入侵检测、漏洞扫描的不足：针对网络入侵攻击行为和系统漏洞，重点在发现问题，防病毒软件、反间谍软件的不足：依赖已知特征库完成识别处理，所谓的“识别未知病毒”并不准确，对于新的安全问题难以做到提前主动预防，应对大规模恶意代码攻击事件的及时性也往往不能得到良好保证。主机保护系统的不足：目前主要针对关键服务器、多数针对Unix类的系统，成本很保障终端安全的思路为了有针对性地解决计算机终端安全问题，就必须因地制宜，围绕计算机终端本身采用相应的安全措施进行保护和管理。应用安全。具体可通过防止恶意代码传播、控制网络访问、限制资源滥用、用户行为控制等方式实现。管理的目标：就是要通过企业级的集中控制实现统一管理。一方面，集中收集终端信 案建议书 整个终端安全管理过程应围绕终端应用展开进行。此外，还应提供适合企业应用需要的应用监管和安全审计，保持安全管理的完整性。管理是网络安全得到保证的重要组成部分。责权不明，管理混乱、安全管理制度不健全及缺乏可操作性等都可能引起管理安全的风险。管理的安全风险主要可以分为两类：技术层面的管理风险和行政层面的管理风险。技术层的管理风险主要来自于相应的信息系统本身的可管理性风险。一个完善合理的信息安全解决方案首先要考虑的是企业网络资源(设备与应用)的可管理性。等多个分离的层次，使得业界纷纷发展分别针对各个层次的IT元素管理工具。长期以来用户只能按照这样的分类模式分散的选择管理工具软件，使得被管理的各个相关环节被人为的隔离，IT管理与业务管理脱节，无法更好地观察、管理、衡量和报告IT给业务带来的价值。更严重工具和维护人员都涉及巨大的再投入和再集成，以致无边。从安全技术而言，网络安全要靠一个包括防火墙、入侵检测、访问控制、防病毒、安全审计、身份认证、加密等多项技术的安全体系来实现。这样就需要用一个集中式的管理平台来总体配置、调控这个多层面、分布式的系统，实现对各种网络安全资源的集中监控、统一策略管理、智能审计及多种安全功能模块之间的互动，使得网络安全管理工作由繁变简，更为有效。安全管理平台：安全管理平台是多种安全技术、产品、工具得以充分发挥作用的基础为了使各种安全产品能够协调工作，需要统一、标准的安全管理平台对其进行综合控安全产品的风险管理：安全解决方案不可避免的要使用到各种各样的安全技术及安全产品来实现相应的安全目的。但当在信息及网络中部署了相应的安全产品和安全技术同时也包括相关的安全影响。因此安全产品的风险也需要在整体解决方案中体现； 案建议书 行政层面的管理风险信息安全建设是一个复杂而系统的过程，很多企业在采用了各种各样的安全产品及安全技术后，企业还是会面临各式各样的安全问题。比如投入大量的人力物力建设完整体防病毒方案现这样情况呢？在企业内部，诸如内部管理人员或职员把内部网络结构、管理员用户名及口令以及系统的存有恶意的入侵者便有机会得到入侵的条件。内部不满的职员有的可能熟悉服务器、小程序、脚本和系统的弱点。利用网络开些小玩笑，甚至破坏。如传出至关重要的信息、错误地进入数据库、删除数据等等。看起来是技术问题导致的结果，但往往深入的调查后会发现，这些问题均是一些由于安全制度或政策的缺失或不执行等原因导致的结果。在某某公司目前在安全管理方面可能会存在以下问题：缺乏一个企业总体范围的、负责制定和实施的安全管理机制部门，难以保证安全制度建立和实施及决策层安全决策的有效性和一致性信息安全管理职能分散在各个部门，缺少一个强有力的直接向最高领导负责职能部门，协调整个企业内部的信息安全工作的，因此安全政策的执行可能会缺乏力度，安全事件处理依据和结果可能会不一致。缺少确定的安全管理人员编制，没有建立完善的紧急响应支援体系等等。因此，如何建立起适合自身企业特点和管理运作方式的网络安全管理职能部门，来负责协调、管理整个公司业务网络的安全，也是此次安全建设的重要组成。在此基础上，由在对现有业务流程和管理制度做充分调研的基础上，制定一套操作性强的安全策略体系，用以指导黑各个业务单位日常的网络安全工作，也是充分必要的。 案建议书 第3章信息安全建设原则与依据信息安全建设除了要对风险及需求进行充分分析和定义外，还需要明确在信息安全整体建设时我们需要遵循的标准及原则。3.1信息安全建设原则我们在某某公司的信息安全整体方案设计时，主要遵循以下原则：风险(需求)、成本(投入)及效果(收益)相平衡的原则对任何一个网络来说，绝对安全难以达到，也不一定必要。信息安全建设的最高原则是风险、成本及效果三原则相结合的结果。风险：对一个网络要进行实际分析，对网络面临的威胁及可能承担的风险进行定性与成本：保护成本、被保护信息的价值必须平衡，价值仅1万元的信息如果用5万元的技术和设备去保护是一种不适当的保护；效果：实施安全方案后，如果实际投入的保护成本大于保护收益的话，那么安全方案因此，安全解决方案的选择，我们都应该根据企业自身的实际情况来进行。综合性、整体性、一致性原则对于企业信息的安全保护是一个系统的工程，必须建立信息安全的完整体系。设计要遵循企业有关信息化建设或信息安全建设总体规划的要求，运用系统工程的观点、方法，分析网络的安全问题，并制定具体措施。一个较好的安全措施往往是多种方法适当综合的应用结果。一综合的整体角度去看待和分析，才可能获得有效、可行的措施。同样，络安全问题应与整个网络的工作周期(或生命周期)同时存在，制定的安全体系结构必须与网络的安全需求相一致。实际上，在网络建设之初就考虑网络安全对策，比等网络建设好后再考虑，不但容易，而且花费也少得多。可扩展、可发展性原则信息安全的建设要立足于公司当前信息化建设的实际情况，满足当前正在建设的业务应用 案建议书 着眼未来，一是要考虑到将来人力资源，办公自动化，投资业务管理系统建设的需要，二要考同时，在方案设计时要充分继承企业现有的信息安全基础设施，为了避免浪费，要将目前公司网络系统中使用的防火墙，杀毒软件等安全产品纳入信息安全体系中充分使用。3.2信息安全建设的依据国家法律、法规及行业性规范文件等《中华人民共和国计算机信息系统安全保护条例》《2002-2005年中国石化信息化建设目标和任务》《2004-2006年中国石化信息化发展计划纲要》„„信息安全建设参考标准等CISO安全体系结构》T„„ 案建议书 章信息安全解决方案设计在第2章里，我们分别从网络、应用、终端及管理四个方面对公司的信息系统安全建设进行了风险及需求的分析。同时根据第3章的安全方案设计原则，我们将某某公司网络安全建设分为以下几个方面进行了详细的方案设计：边界安全解决方案；内网安全解决方案；应用安全解决方案；安全管理解决方案；安全服务解决方案。4.1边界安全解决方案在第2章的网络安全风险及需求分析中，我们主要从外部网络连接及内部网络运行之间进行了风险的分析。边界安全解决方案就是针对与外部网络连接处的安全方面。网络是用户业务和数据通信的纽带、桥梁，网络的主要功能就是为用户业务和数据通信提供可靠的、满足传输服务质量的传输通道。就某某公司网络系统来讲，网络边界安全负责保护和检测进出网络流量；另一方面，对网络中一些重要的子系统，其边界安全考虑的是进出系统网络流量的保护和控制。针对某某公司网络系统，来自外部互联网的非安全行为和因素包括：未经授权的网络访问身份(网络地址)欺骗黑客攻击病毒感染针对以上的风险分析及需求的总结，我们建议在网络边界处设置防火墙系统、安全网关及远程访问系统等来完善某某公司的边界网络安全保护。 案建议书 为在某某公司网络与外界网络连接处保障安全，我们建议配置防火墙系统。将防火墙放置在网络联结处，这样可以通过以下方式保护网络：为防火墙配置适当的网络访问规则，可以防止来自外部网络对内网的未经授权访问；防止源地址欺骗，使得外部黑客不可能将自身伪装成系统内部人员，而对网络发起攻通过对网络流量的流量模式进行整型和服务质量保证措施，保证网络应用的可用性和可以根据时间定义防火墙的安全规则，满足网络在不同时间有不同安全需求的现实需提供用户认证机制，使网络访问规则和用户直接联系起来，安全更为有效和针对性；对网络攻击进行检测，与防火墙内置的IDS功能共同组建一个多级网络检测体系。目前新型状态检测的防火墙有效的解决并改善了传统防火墙产品在性能及功能上存在的缺、更加显著的功能特性和优异的网络性能，同时具有广泛的适应能力。在不损失网络性能的同时，能够实现网络安全策略的准确制定与执内置的入侵检测系统，可以自动识别黑客的入侵，并对其采取确切的响应措施，有效保护网络的安全，同时使防火墙系统具备无可匹敌的安全稳定性。我们可以根据业务模式及具体网络结构方式，不仅仅在内部网络与外部网络之间，同时在内部网络与内部网络之间和各子业务系统之间，考虑采用防火墙设备进行逻辑隔离，控制来自内外网络的用户对重要业务系统的访问。明(根据具体的网络情况描述)产品选型及功能介绍(根据具体产品描述) 案建议书 随着互联网的飞速发展和应用，计算机病毒已将互联网作为其一种主要的传播途径。其中利用电子邮件传播病毒是最直接的方式，统计显示邮件传播方式占全部病毒传播的90%以上。在过去一段时间内所发生的几起影响较大的计算机病毒事件中，以Internet为主要传播途径的同时，由于病毒的泛滥，垃圾邮件也越来越成为大家头痛的问题。根据国际领导的市场调率下降及技术支出带来的损失，到2007年垃圾邮件数量将上升到惊人的2万亿封一年。经过上述风险及需求的分析，在Internet接入处对病毒、垃圾邮件及恶意代码进行控制，内部网络前由安全网关进行查杀毒；过滤所有来自互联网的垃圾邮件；通过SMTP认证保证邮件服务器不会被黑客当作攻击别人的跳板等。产品部署说明(根据具体的网络情况描述)产品选型及功能描述方正熊猫安全网关的目标是在网络边界或Internet网关处提供全面的病毒防护，而该病毒阻截已知及未知病毒和防垃圾邮件功能和内容过滤功能达到针对企业网络环境的全面防护。方正熊猫安全网关是一款高度可配置及提供负载均衡的产品，为从中型到大型企业提供全面解决主要模块防病毒模块 案建议书 防垃圾模块安全网关通过其反垃圾邮件模块检查进入公司的所有邮件。信息被扫描并且被划分成垃圾或非垃圾，在未被请求的邮件到达用户信箱之前进行阻断或修改这些信息的主题内容过滤模块网页过滤模块允许管理员限制因特网访问。可以定义不受欢迎内容目录，授权和非授权网页。允许管理员控制公司网络资源，并且阻断非法，黄色或暴力网站内容，或只是不受欢迎内容进入公司。可以建立VIP用户列表，这些用户不需应用上述限制主要特点：易于使用：方正熊猫安全网关是目前世面上最易于安装及使用的硬件网关产品，作为网络信息传递的桥梁而非需要重新路由网络流量。种网络协议。在方正熊猫安全网关安装在企业边界上时，它实时扫描所有收入及发出邮件及其他的网络传输信息，并且具有防垃圾邮件功能和内容过滤功能表现性能：方正熊猫安全网关的最大性能是可以取得完全扫描及病毒防护。方正熊猫且完全对企业网络透明。扩展性：方正熊猫安全网关专门针对自动负载均衡设计，使增加扫描的速度及增加网络防护可以随时达到。并可支持到百兆。功能及优势：性能高度优化的病毒防护整合最新硬件及软件技术，提供超乎寻常的优异性能，能性能高度优化的垃圾邮件防护整合最新硬件及软件技术，提供超乎寻常的优异性拓展性及负载均衡由于方正熊猫安全网关的高度可拓展性，方正熊猫安全网关适合中到大型企业，能够根据网络通讯流量调节扫描能力。负载均衡是完全自动的，允许工作负载量能够自动在不同工作单元间进行均衡，良好地保障了产品的可拓展性及对企业边界的全面防护。易于安装及配置按照即插即用的设计思路，能够非常简便地安装在企业网络中，不Internet地扫描所有保护所有广泛使用的网络协议保护所有可能的Internet相关威胁，完全扫描所有常 案建议书 内容过滤内容过滤防止未知病毒及蠕虫进入企业网络，大幅减少整体网络资源占用及带宽，防止可能的恶意代码进入到企业网络。员通过企业内部任何一台电脑管理该产品。每日自动病毒更新可以每日自动病毒更新，意味着方正熊猫安全网关始终可以防护详细报告及可客户化的报警方正熊猫安全网关提供完整的扫描报告，并可以客户化在企业内部网络的病毒报警机制。实时系统监控方正熊猫安全网关提供网络管理员对网络病毒行为及网络流量的实时4.1.3远程访问安全，某某公司在通过Internet互连及远程访问方面，主要存公司总部与分支机构之间的远程访问及互连；公司与合作伙伴之间的远程访问及互连。在总部与分支之间的互连，一般要求将分支机构的网络接入到总部网络。而与合作伙伴的即用户出差或移动状态中需要在远程访问安全方面，我们分别针对这两类应用类型设计了相应的VPN远程访问系统。目前，由于VPN(虚拟专网)比租用专线更加便宜、灵活，所以有越来越多的公司采用建在互联网的公共网络架构上，通过“隧道”协议，在发端加密数据、在收端解密数据，以保证数据的私密性。如在企业分部与企业总部之间，及企业员工与企业核心数据之间，都可建立起端到端的逻一物理链路中其它数据区别开来，避免被不法用户所窃取，只有在隧道的始末两端才可能添加 案建议书 处包括，它采用了集中式安全和策略管理部件，从而大大缓解了维护需求。及管理必要客户软件的复杂性和人力需求。最终用户避免了携带电脑，通过与因特网连接的任能获得访问，SSL更容易满足用户对移动连接的需求。用户通过与因特网连接的任何企业只要管理一种设备，不必维护、升级及配置客户软件。为远程接入的事实标准。NN理防火墙背后安全访问另一家用户网络中的资源。IPSecVPN通常不能支持复杂的网络，这是实际上只适用于易于管理的或者位置固定的设备。更容易提供细粒度远程访问(即可以对用户的权限和可以访问的资源、服务、文件进行更加细优势。在某某公司的远程访问安全中，由于分别存在着这两种情况，因此我们建议在方案中采用 案建议书 总部与分支机构之间的需要通过现有的Internet进行互连，提供分支机构对总部网络出差用户及远程移动用户访问公司内部应用、及合作伙伴访问某些特定的业务应用系产品选型及功能说明(根据具体的产品功能描述)根据之前的安全风险与安全需求分析，在某某公司网络中，由于直接接入Internet及内部有：拒绝服务攻击(DoS)：通过消耗网络带宽资源或网络设备处理能力资源，使正常的服Nachi)病毒就是非常典型例子。信息窃听资源滥用：内部人员访问不当站点、玩网络游戏，浪费网络资源，使正常的服务和数据通信得不到保障。管理失控：通过窃取网络设备的管理权而使网络失去安全性测及审计。通过在网络中部署入侵检测系统，可以在安全保障上做到：S通过定义禁止访问网站，限制内部人员对不良站点的访问。对一些恶意网络访问行为可以先记录，后回放，通过这种真实地再现方式更精确的了似攻击提供经验“入侵检测系统”可以提供强大的网络行为审计能力，让网络安全管理员跟踪用户(包括黑客)、应用程序等对网络的使用情况，帮助他们改进网络规划。对“入侵检测系统”的使用和使用人员的管理一定要有专门的制度。IDS最主要的功能是对网络入侵行为的检测，它包括普通入侵探测和服务拒绝型攻击探测 案建议书 引擎，可以自动识别各种入侵模式，在对网络数据进行分析时与这些模式进行匹配，一旦发现碎片重组功能，能够抵御各种高级的入侵方式。为了跟踪最新的入侵方式和网络漏洞，IDS提供大容量的入侵特征库以及方便的升级方式，每一个漏洞都提供了详细的说明和解决方法，并IDS能够基于时间、地点、用户账户以及协议类型、攻击类型等等制定安全策略。通过对征，并且能够对入侵的响应过程进行自定义。比如用户需要在发现某种特定类型的攻击方式的时候启动一段自己编写的程序以完成某项功能的时候，就可以利用IDS提供的接口灵活而方便地进行配置完成。由此产生的大量日志能够通过IDS具备的强大的工作区切换功能进行存储和转发，大大提高了模式的配置，就是无IP设置。这样攻击者就无法访问运行IDS安全工作站，也就无法对IDS进行直接攻击。产品部署说明(根据具体的网络情况描述)产品选型及功能描述(根据具体的产品描述)4.2内网安全解决方案全的各种风险，我们在边界及网关处的安全解决方案解决了许多安全问题。例如：在网络边界，通过防火墙对网络连接和访问的合法性进行控制，通过网关过滤设备对数对于内部网络我们仍然面临着诸多的安全问题。传统上，我们通过漏洞扫描发现系统缺陷；在主机设备，通过主机加固加强主机防护能力，通过防病毒、反间谍软件预防恶意代码等。然而随着网络的发展，病毒及恶意代码本身的技术越来越先进，其防护也越来越复杂。而行为也越来越超出网管员的管理能力范畴。因此，在考虑内部网络安全时，如果有效的管理网络及终端将是我们考虑的主要问题。在此我们通过以下三种手段来完成基于终端的安全管理： 案建议书 通过部署网络防病毒系统来完善企业整体防病毒及恶意威胁的能力；通过漏洞扫描或风险评估工具来发展漏洞、脆弱性及威胁，并通过补丁分发系统对漏脆弱性进行及时的矫正及补充；通过终端安全管理系统对桌面设备及用户进行安全管理及规范，有效保证终端的安全。目前某某公司网络系统中并没有一套完整的防病毒策略和技术方案，工作站安装的防病毒软件各种各样，甚至有些服务器与工作站没有安装防病毒软件，部分工作上使用的防病毒软件病毒特征代码没有及时更新，没有对防病毒软件进行统一的管理。鉴于防病毒的重要性和资源目前企业整体防病毒解决方案均已比较成熟。在此我们针对传统企业防病毒系统部署强调全面性：实施网络防毒系统时，应当对网络内所有可能作为病毒寄居、传播及受感染护人员的工作量；资源占用：防毒系统和企业现行计算机系统的兼容性、防毒软件的运行效率及占用资源等是企业防病毒系统必须考虑的问题。部署时考虑到企业现有的计算环境及应用平台，是否与需求资源相匹配；管理体系：为了保证防病毒系统的一致性、完整性和自升级能力，还必须要有一个完一事件和告警处理、保证整个企业范围内病毒防护体系的一致性和完整性。防病毒策略：这个是企业防病毒系统最容易被忽略的地方。系统必须明确地规定保护的级别和所需采取的对策，并制定系统的防病毒策略和部署多层防御战略，服务器防在“木桶效应”。系。我们为某某公司网络中提供一个稳定高效、技术一流、方便管理、服务周全的病毒防护解决方案，满足网络系统对病毒防护系统设计的业务需求，确保网络系统能有效抵御各种病毒和恶意程序的攻击。 案建议书 在某某公司网络中建立病毒防护管理服务器，所有的防毒对象(工作站和服务器)均采用安装代理的方式来实现集中控管。防毒服务器全面控制防毒代理的运行、升级和删除等权限。可以通过防毒服务器自动分发防毒策略和防病毒升级特征库，而整个防毒体系只需要网管与网极大地提高了防毒工作的效率。并且这种二层架构的网络防毒体系具有很好的扩展性。产品选型及功能描述方正熊猫企业级防病毒安全套装(PESAwithTruPrevent)是一个高性能和稳定的防病毒解服特洛依木马，还防护新的英特网攻击，如垃圾邮件，间谍程序，拨号器，黑客工具和恶作剧，以及针对系统漏洞，并提供保护阻止安全冒险。TruPrevent，能在第一时间发现新的威胁，并阻断企图越过传统防病毒软件的未知病毒的攻击，不管该未知病毒是以下列何种方式传播：外围设备、局域网共享资源、电子邮件E-mail、互联网。方正熊猫入侵TruPrevent于一身的入侵防护软件，能最大程度击，方正熊猫入侵防护TruPrevent抵御攻击率高发现并清除未知病毒：结合了多种恶意代码程序的检测及阻断技术，能有效发现并清缓冲区溢出防护：不仅能抵御已知的安全漏洞攻击，而且能防护未知的攻击。能在第一时间保护系统内的缓冲区溢出漏洞不会被恶意代码利用作为攻击的手段，即使还没有任何针对该漏洞的资料和补丁程序。防护性的阻断感染：可以在网络层防止病毒和蠕虫在企业网络中传播。人员能对企业网络内所有的计算机进行整体控制管理、定义并干预正当的及被禁止的新一代的防护技术，能抵御所有类型的互联网威胁：包括病毒、木马、蠕虫等。 案建议书 无可比拟的集中式部署：能不受地域限制，对企业组织中所有的工作站进行客户端分占用资源最小化：是在低带宽环境下保护笔记本电脑的理想方案。基于通用标准的技术：优化网络内的防病毒更新速度。友好直观的用户界面：避免混淆和误操作。在第2章里我们针对终端的安全进行了详细风险及需求的分析。终端安全是我们整体解决方案里不可或缺的部分，因为终端安全是我们日常安全工作是最重要也是需要关注最多的部分。因此相应的终端安全的解决方案必须做到：统一、灵活的安全策略整个系统的统一管理。安全策略分为用户策略和全局策略两类。一般情况下，用户终端工作在网络情况下全局策略的保护。管理员可根据组织机构划分管理权限，不同的管理者具有不同的权限和管辖范围，支持系统清晰的职权划分。安全策略可以分组分类，不同的策略组所起的控制作用和使用范围也不同。为了简化策略的管理，我们将用户按照角色来管理；对不同的角色实施不同的安全策略。策略涉及多个层次：物理和环境、链路和操作、网络、设备、系统、应用、数据、人员等各个层面的安全策略制定、部署和实施，帮助客户有效实现网络安全建设。策略层次如下图所多层面、全方位保护 案建议书 系统的保护覆盖了“系统内核-系统设备-应用程序”三个层面，提供了全方位的保护。助用户加固操作系统、降低IT资源风险。终端用户勿知识便可将自己的计算机终端加固到专家级程度，从而将精力关注于核心业务。在系统设备层面，严格限定用户对硬件设备(例如：磁盘驱动器、CD-ROM、USB设备、打印机、网卡等)的使用权限和网络传输控制，保证该主机遭受攻击或发起对外攻击的可能性在应用程序层面，严格限定用户在指定电脑上的合法行为和禁止行为，保证了用户只能在合法范围内正常使用电脑，避免了用户对资源的滥用，也避免了由此造成的维护成本升高。智能化分析和异常检测机制系统通过特有的环境因子和用户因子生成报警因子，并结合策略因子和历史数据，共同输入到决策引擎中；该引擎采用专有的安全算法，综合分析判断得出对某个事件是否报警。这样就避免了大量误报给管理员带来的工作量。安全和管理相结合计算机终端的生命周期管理过程中，既涉及到安全保护，也涵盖终端管理，这两项工作内是保证IT业务和办公的正常运行和健康发展。安全和管理的完善结合，正是终端管理系统设计的重要思想。产品选型与功能介绍(在此我们以冠群金辰的KILL终端安全管理系统为例进行说明。)KILL终端安全管理系统(KSMS)是为了应对目前终端面临的众多安全威胁而设计的一种M策略的全面技术支撑，涵盖了资产管理、终端保护、应用监管、审计分析等功能模块。并且强调对网络终端的统一控制管理。KSMS象一个时刻守卫在用户身边的安全管理员，提供KSMS由三个部分组成：策略服务器(KPS)、管理控制台(KMC)、安全客户端(KSA)。分布式的体系结构 案建议书 KSMS系统采用分布式体系结构，部署在网络内所有需要保护的计算机终端，通过集中的S图中，KSMS安全管理中心包括KSMS策略服务器(KPS)、管理控制台(KMC)、日志和审计数据库。其中，日志和审计数据库可采用独立服务器，也可安装部署在管理控制台。需要保护管理的计算机终端(KSA)包括企业网络环境中工作的各种PC、笔记本电脑、PC服接受保护和管理的终端节点会产生各种安全审计信息，可集中传输并存放到日志审计数据库，管理控制台可以访问和管理审计信息并进行统计分析。KSMS系统组成策略服务器(KPS)S系统策略的发布和保存。支持分布式部署，能够适用于大规模网络环境的应用。管理控制台(KMC)SKMC系统设置、日志查询和报表分析，为系统的管理提供统一的平台，并支持用户分权管理。安全客户端(KSA) 案建议书 KSMS安全客户端接受控制台的管理，执行安全策略。KSA部署在需要保护的用户PC和服务器上，保护计算机终端安全使用、约束用户操作行为，系统将各种安全信息和日志传递到控制台供管理员统一分析处理。资产管理设备管理管理员可充分掌握分散的计算机终端硬件配置及其变更情况(例如主板、CPU、内存、硬盘等)，统筹管理，避免资产流失。软件管理管理员可及时掌握客户端安装软件及变化情况(例如操作系统、版本、补丁、所安装的应用软件等)，便于监督管理。用户管理资产的重要组成部分。KSMS提供基于按组织划分的用户角色的管理，管资产识别非法终端、设备资产的真实性识别可通过绑定IP、MAC、用户的方式实现。终端保护KSMS企业级的强制安全策略，提供基础架构保护和资产保护功能，通过多种手段全方位终端网络访问控制并且防止内部终端对外(或内部网络其它终端)发起攻击。恶意程序综合防范 案建议书 采取多种方式综合防范恶意程序破坏。通过端口控制，可阻止特定蠕虫攻击；通过限制程序执行，控制未知病毒发作；通过注册表保护，防止恶意代码篡改；通过补丁管理，可及时通知补丁信息，弥补漏洞；通过与KILL及各种主流防病毒软件联动，集成实现防病毒管理。设备使用限制接口、多网卡/无线网卡、Modem/ADSL等设备使用，有效防止设备滥用、一机多网使用、信息通过设备泄露现象的发生，同时为加强IT制度管理提供技术保障。数据文件保护通过数据访问权限控制等方式，保护数据、防止破坏和信息泄露。应用监管KSMS通过多种方式对计算机终端应用状况和用户行为进行监控管理。非法外联控制S控制终端必须经过KSMS统一认证才能经冠群金辰KILL过滤网关连接到外部网络。网络准入控制现并防止非法终端(非KSMS客户端)接入网络，以此保护企业网络资源；程序限制N技术限制；保证工作效率。网页过滤预置上百万条分类的URL网站(暴力、色情、赌博、邪教等)黑名单，可完全禁止访问；另外可通过自定义黑白名单、关键字方式过滤非法网站和网页，限制对禁止网页的访问。远程维护决技术问题，在特权许可情况下对客户端进行远程维护和屏幕监控，大幅提高工作效率。 案建议书 审计分析KSMS提供系统日志、认证日志、报警日志等等多种水晶报表格式的统计分析报告，为管可选择多种告警方式(声音、邮件、Windows消息等)。4.3应用安全解决方案在第2章里，我们对应用安全的风险及需求进行了详细的分析与定义。在我们整体解决方案中从以下的两个方面来完善应用安全解决方案。(由于身份认证解决方案与信息系统的具体的应用紧密的结合在一起，我们需要针对应用(由于数据备份与存储方案与信息系统的具体的应用紧密的结合在一起，我们需要针对应4.4安全管理解决方案在第2章的安全管理的风险及需求分析中，我们主要从技术层面和行政层面两个方面来进行了阐述。实际上，安全管理是一个复杂而渐进的过程，因为作为管理能力，是需要通过不断的改进和提高。在某某公司的安全管理解决方案中，我们先从技术和行政这两个层面对的安全管理进行一个基本设计，先建立一个基础的安全管理平台，然而我们会进一步如何建立有效的安全管理体系(SOC)，实现可管理的安全进行初步的论述。技术层面作为信息安全管理平台所要求的高效和安全应用，是离不开尖端的计算机技术作为基础，当然也离不开企业的行政管理手段，因为没有系统的管理措施，那么再新的技术也无法在系统 案建议书 在技术方面通过专业的网络综合管理系统来建立一个基本安全管理中心的技术平台。通过专业的网络综合管理系统来实现对网络设备、主机设备、安全设备和应用系统的安全管理。由于某某公司的信息系统建设是分步进行的，网络设备、应用系统以及安全设备、用户平对网络中的所有设备以及系统平台都能够统一集中管理，获取所有设备的工作状态和网络负载状态，同时可以看到网络活动的日志信息，用它来对网络状态进行分析，提供更有效的安全策略，同时网管系统能够监测客户端系统状态，能够接管客户端系统，当网络中的么一用户系统出现问题而自己却无法诊断，这时可以通过网管系统进行远程接管，来协助用户解决问题。产品选型与功能说明(根据具体的产品进行说明)在行政层面某某公司必须成立信息安全管理小组，通过小组会议确立信息安全政策总则、信息安全管理政策、信息安全审计考核及信息安全政策。信息安全政策总则主要是确定公司信息安全总体原则，明确今后的安全目标，有组织、有计划的为信息安全建设给出总体方向，是其它政策和标准的依据。信息安全管理政策主要是制定信息安全政策和标准流程、管理规范、推广实施、定期维护；设置安全组织管理体系的结构；规定领导层对信息安全的责任、考核。信息安全策略主要是明确公司内部所有用户、所有应用的明确的安全细则，它是作为公司领导对所有用户考核的依据。其具体信息安全政策应包括以下内容：安全事件监测和响应员工信息安全管理开发维护内部软件数据和文档管理商业软件的购买和维护 案建议书 网站、电子邮件硬件设备和物理安全信息系统的访问控制网络、系统操作和管理防御病毒和防御攻击信息安全审计指定审计和考核标准的目的是为了考察信息安全政策和标准的执行情况，及时发现问题，纠正问题。这有助于信息安全政策的改进和完善。政策中应该包含审计考核的标准、审计考核方法、结果的处理。在行政层面部分内容，如信息系统安全策略设计、详细的安全策略制订等可以通过外部专业的安全咨询公司进行咨询，然后结合企业的信息安全建设来制订。此部分内容我们将在下一部分安全服务解决方案里进行进一步的阐述。4.4.2安全运营中心(SOC)信息安全管理的发展，随着安全需求的提升也不断的发展。近几年以来，安全运营中心 (SOC)的概念及技术发展的也越来越成熟。部分涉足比较早的企业和服务商已经有了比较成功的实施案例。在某某公司的安全管理解决方案中，我们在基础的安全管理平台之上，也提出关于建立有效的安全运营中心(SOC)，实现可管理的安全服务。SOC基础传统的安全管理方式是将分散在各地、不同种类的安全防护系统分别管理，这样导致安全信息分散互不相通，安全策略难以保持一致，这种传统的管理运行方式因此成为许许多多安全革。它将不同位置、不同安全系统中分散且海量的单一安全事件进行汇总、过滤、收集和关联大系统的管理 案建议书 通常安全系统是分别独立逐步的建立起来的，比如防病毒系统、防火墙系统、入侵检测系统等，各个系统都有单独的管理员或者管理控制台。这种相对独立的部署方式带来的问题是各个设备独立的配置、各个引擎独立的事件报警，这些分散独立的安全事件信息难以形成全局的安全策略和配置难于统一协调。这种对于大规模系统的安全管理也正是SOCSOC的需求。海量信息数据随着安全系统建设越来越大，除了需要协调各个安全系统之间的问题之外，由于安全相关告警事件常常被低价值或无价值的告警信息所淹没，力更加准确，更加集中于影响重大的焦点问题。信息安全目标我们知道传统的信息安全有7个属性，即保密性(Confidentiality)、完整性(Integrity)、可 y全局可控性和应急响应处理能力。全局预警就是要建立全局性的安全状况收集系统，对于新的安全漏洞和就像是这个水桶的箍，有了这个箍，水桶就很难崩溃，即使出现个别的漏洞，也不至于对整个SOC的基本实施果均不尽相同。在此我们结合启明星辰SOC理论来进行安全管理运营解决方案论述。这里的安全管理运营解决方案是由“四个中心、三个平台”组成的统一安全管理平台。 案建议书 是策略和配置平台、知识管理平台和资源管理平台。四个中心事件监控中心监控各个网络设备、操作系统等日志信息，以及安全产品的安全事件报警信息等，以便及时发现正在和已经发生的安全事件，例如网络蠕虫攻击事件、非授权漏洞扫描事件、远程口令暴力破解事件等，及时协调和组织各级安全管理机构进行处理，及时采取积极主动措施，保证网络和业务系统的安全、可靠运行。弱点评估中心通过弱点评估中心可以掌握全网各个系统中存在的安全漏洞情况，结合当安全工作，并且可以借助弱点评估中心的技术手段和安全考核机制可以有效督促各级安全管理机构将安全工作落实。风险管理中心整个风险管理中心的运作可以通过事件监控中心和弱点评估中心所掌握的全网安全动态，有针对性指导各级安全管理机构做好安全防范工作，特别是针对当前发生频率较高的攻击做好预警和防范工作。本中心是从检测到响应的中枢环节，汇总和分析也是在这里应急响应中心仅仅及时检测到安全事件是不够的，必须做出即时的、正确的响应才能保证网络的安全。应急响应中心作为安全管理运营解决方案的重要组成部分之一为应急响应服务实现工具化、程序化、规范化提供了管理平台。应急响应中心主要是通过工单管理系统来实现的。应急响应中心接收由风险管理中心根据安全威胁事件生成的事件通知单，并对事件通知单的处理过程进行管理，将所有事件响应过程信息存入后台数据库，并可生成事件处理和分析报三个平台策略和配置管理平台网络安全的整体性要求需要有统一安全策略的管理。通过为全网安全管理机构因地制宜的做好安全策略的部署工作，P来到安全风险问题。知识管理平台统一的安全策略、安全知识库信息等信息的发布，不仅可以充分共享各种网的安全技术水平和能力。足够的安全知识和信息是各个角色正确工作的基础。资源管理平台资源管理平台主要包括两个方面：人力资源管理和资产管理。人力资源管 案建议书 理保证在需要的时候，可以找到合适的人。资产管理主要是管理安全管理运营解决方案监控范围的各个系统和设备，是风险管理、事件监控协同工作和分析的基础。实时事件关联分析事件监控中心对来自不同安全系统的报警信息进行实时的关联分析，关联分析的整个过程都是在内存中进行的，并根据威胁程度的大小对安全事件进行排序，对不同威胁程度的安全事件通过不同颜色来着重显示。多样化显示方式事件监控中心提供了多种实时显示方式，如网络拓扑方式、雷达方式、柱形图等，直观的将安全威胁数据呈现给用户。丰富直观的报表SOC安全管理运营解决方案提供了丰富的报表模板供用户选择，除了文字总结还可以用清晰直观的图形化方式将报表呈现给用户。广泛的平台支持统实现结合管理。能够支持产品：e定制化：基于日志的数据源通常可以在一周左右定制化完成弱点评估管理 案建议书 整个网络的弱点情况并进行统一管理，使得管理人员可以清楚的掌握全网的安全健康状况。弱点评估管理具有统一的可视界面，显示各个系统的安全漏洞分布情况，包括以下内容：统计信息，即给出漏洞的分布、数量等统计信息。应急响应管理安全事件的处理过程，根据具体的安全响应流程进行定制的。事件监控中心监测到安全事件后有专人生成新的工单，一方面有专人会通过系统报警的方式收到通知并在规定的时间内对工单进行接收，并进入对安全事件的处理阶段，另一方面工单跟踪模块会对工单被派发后的整个过程进行跟踪，进行工单收回、重新派发等工作。工单处理结果可能有两种可能：一种是安全事件被解决，这个工单就被关闭，同时工单的内容被保存到；另一种情况是安全事件因为某些原因没有被彻底解决，这个工单所包含的问题会被重新处理考虑，生成新的工单，进入新的工单处理流程。应急响应管理完善了从防护到检测再到响应的一个安全事件处理过程的闭环。全面知识管理SOC安全管理运营解决方案的知识管理平台既提供一般知识管理功能，比如安全知识库、培训和人员考核等，也提供了强大的漏洞库、事件特征库、补丁库、安全配置知识库和应急响C建设SOC的目的是提升企业安全管理的能力，也是进一步提高企业信息化水平及能力。从整体上来讲是提升企业的管理能力。实现可管理的服务。合理合适的安全管理解决方案，这样才能进一步提高企业的信息化管理能力。 案建议书 4.5安全服务解决方案在整体信息安全体系的建设中，除了针对具体的安全风险及问题进行基于产品和技术的解决方案后，需要对信息安全的管理平台进行建设，以期达到相应的安全目标。这一点我们在上节的安全管理解决方案里已经进行了描述。需要指出的是，整体信息安全体系的建设中，仅仅我们引入了安全体系建设中的重要一环，即安全服务的建设。实际上安全服务可以简单理解为，有效的引入外部的专业服务资源，为企业提供更高级别的安全服务能力。在完善自身安全建设的同时，协助企业提高安全管理的能力。安全咨询服务；安全评估服务；安全加固服务；日常维护服务；应急响应服务；安全培训服务。某某公司目前缺乏一个企业总体范围的、负责制定和实施的安全管理机制部门，难以保证安全制度建立和实施及决策层安全决策的有效性和一致性。信息安全管理职能分散在各个部门，缺少一个强有力的直接向最高领导负责职能部门，协调整个企业内部的信息安全工作的，因此安全政策的执行可能会缺乏力度，安全事件处理依据和结果可能会不一致。由此可见，某某公司急需在专业安全服务厂商的帮助下，建立起适合自身企业特点和管理运作方式的网络安全管理职能部门，来负责协调、管理整个某某公司业务网络的安全问题。在此基础上，由安全服务厂商在对现有业务流程和管理制度做充分调研的基础上，协助某某公司制定一套操作性强的安全策略体系，用以指导某某公司各个业务单位日常的网络安全工作。咨询服务内容制定某某公司的网络安全管理组织架构，协助某某公司建立企业内的网络安全管理小 案建议书 制定某某公司网络安全管理策略体系，提供一系列的主策略及子策略管理文档；根据某某公司相关部门人员的不同角色提供不同级别的安全培训，提高相关人员的整术水平；设计组织架构及安全策略时的参考规范其他国家法律、法规等安全评估模型种不同的影响。换句话说，风险分析的过程实际上就是对影响、威胁和脆弱性分析的过程，但它们都紧紧围绕着资产为中心。在风险评估阶段，资产的价值、资产破坏后造成的影响、威胁都成为风险评估的关键因素。在风险模型中，资产的评估主要是对资产进行相对估价，而其估价准则就是依赖于对其影响的分析，从资产的相对价值中体现了威胁的严重程度。这样，威胁评估就仅仅成了对资产所受威胁发生可能性的评估。脆弱性的评估是对资产脆弱程度的评估。安全风险评估就是通过综 案建议书 (影响分析)估息弱性评估弱性信息安全风险评估流程是安全风险模型的体现，因此首次整个评估的过程可以分为以下几个阶第一阶段确定评估范围阶段，调查并了解某某公司网络系统业务的流程和运行环境，确定评估范围的边界以及范围内的所有网络系统应用；第二阶段是资产的识别和估价阶段，对评估范围内的所有资产进行识别，并调查资产破坏后可能造成的影响大