证券公司网络安全解决专项方案

证券公司网络安全处理方案序言Internet发展给政府机构、企机关、电信系统、金融系统、银行系统等带来了革命性改革和改变。互联网技术迅猛发展使各行业经过利用Internet来提升办事效率、市场反应速度，改变经营模式等，方便在市场经济大潮中更具竞争力。经过使用Internet技术，任何一个单位或部门数据资料传输和存取全部变得方便、快捷，也使金融、贸易往来更方便、愈加快捷、更频繁。但同时也面对Internet开放带来数据安全新挑战和新危险：用户、销售商、移动用户、异地职员和内部人员安全访问；保护国家机关、企事业机密信息不受黑客和商业间谍入侵；预防单位内部人员有意或无意使机密外泄。众所周知，作为全球适用范围最大信息网，Internet本身协议开放性极大方便了多种计算机入网、拓宽了共享资源。然而，因为在早期网络协议设计上对安全问题忽略，和在使用和管理无政府状态，逐步使Internet本身安全受到严重威胁，和她相关安全事故屡有发生。这就要求我们对于Internet互连所带来安全性问题给予足够重视。伴随网络普及，安全日益成为影响网络效能瓶颈，而证券行业网络安全存在漏洞情况也是众所周知，多位信息安全领域教授也对证券行业网络安全问题提出了尖锐批评，证券行业网络安全现实状况已不能适应证券业快速发展情况。近几年,不停有证券行业网络被"黑客"入侵,造成重大经济损失和恶劣影响消息见诸报段，证券行业网络安全已经成为摆在全部证券机构和人员所要考虑事情之一。然而，事物发展总是利弊共生。当计算机网络技术日益普及和提升，为社会生活各方面带来极大便利时，不可避免地也带来了部分负面影响，较为突出是计算机信息网络安全保密问题，假如处理不好，国家安全和利益将受到损害，也势必危及信息化事业健康，因为部分居心叵测使用者受到部分不可告人利益驱动，这部分人不可避免地带来了包含网络安全应用和服务种种安全问题。发生影响尤其突出、为广大互联网使用者所了解安全纰漏问题中，在国外、有美国雅虎()、亚马逊在线（）等八家国际著名网站受到了黑客攻击，在中国包含大名鼎鼎新浪网在内多家网站也被黑客攻击，就拿这次五一“中美黑客”大战来说吧，中国有1200多家网如石家庄市人民政府新闻网、四川旅游信息网、北京证券、中国科学院理化技术研究所、中国科学院心理研究所等部分网站，这证实中国现在网络安全防范越来越严峻。网络安全有两方面含义，一是指安全性，即网络针对攻击对象而有意设置安全系统，如防火墙等。其次，是指网络因为本身缺点出现漏洞所产生安全问题，后者威胁其实更大，这种隐患通常存在于软件操作系统和应用系统“BUG”(造成计算机犯错“臭虫”)中随机产生。部分事实证实，其危害远比黑客攻击来得大，比如因为软件故障产生停电、坠机等事件发生等。而最好预防机制就是立即修补漏洞，提升管理水平。这么攻击事件使得被攻击目标不得不停止了它们长久向国际用户提供服务，给对应网站造成了极不好影响。受到这么互联网上出现风浪影响，业界普遍认为每个企业在考虑内部共享资源和向公众提供服务时，应该依据本身业务特点和需求，本着切合实际、保护资源和着眼未来标准，建立一套满足需求而且安全网络结构体系。1、网络安全风险分析1.1、风险分析概述通常讲计算机网络系统所面临威胁大致可分为两种：一是对网络中信息威胁；二是对网络中设备威胁。人为恶意攻击网络系统资源，这是该系统所面临最大威胁，非法用户攻击和计算机犯罪就属于这一类。这类攻击又能够分为以下两种：一个是被动攻击，它是在不影响网络正常工作情况下，进行截获、窃取、破译以取得关键机密信息、网络拓扑结构信息等；另一个是主动攻击，它以多种方法有选择地破坏信息有效性和完整性，和非法访问网络设备和主机系统甚至深入控制网络和主机。这两种攻击均可对证券企业网络系统造成极大危害，危害网络正常运行，并造成敏感数据泄漏。被动攻击通常在信息系统外部进行，即来自从公共网或搭线提议攻击，它们对信息网络本身通常不造成损坏，系统仍可正常运行，但有用信息可能被偷窃并被用于非法目标。被动攻击关键包含信息窃取、密码分析和信息流量和流向分析：信息窃取：内外攻击者从传输信道、存放介质等处窃取信息。如无线传输信号侦收、搭线窃听、窃收数据文件等。密码分析：对截获已加密信息进行密码破译，从中获取有价值信息。信息流量和流向分析：对网络中信息流量和信息流向进行分析，然后得出有价值情报。主动攻击直接进入信息系统内部，对证券企业网络系统来说，安全系统最大隐患来自中国外机构组织、人员，和其它不法份子攻击，这些攻击可能造成无法预料损失。同时，来自内部人员有意或无意攻击，也是必需考虑和预防原因。可能主动攻击手段关键包含：入侵：经过系统或网络漏洞、搭线、远程访问、盗取口令、借系统管理之便等方法进入系统，非法查阅文件资料、更改数据、拷贝数据、甚至破坏系统、使系统瘫痪等。如系统管理员、内部操作员全部较轻易进入系统进行攻击，熟悉计算机系统“黑客”也能轻易进入网络提议攻击。假冒：假冒正当用户身份、实施和正当用户一样操作。篡改：篡改机要数据、文件、资料（增加、删除、修改）。插入：在正常数据流中插入伪造信息或数据。重放：录制正当、正常交互信息，然后在合适时机重放。阻塞：使用投放巨量垃圾电子邮件、无休止访问资源或数据库等手段造成网络阻塞，影响正常运行。抵赖：实施某种行为后进行抵赖,如否认发送过或接收过文件。病毒：向系统注入病毒（能够进行自我复制程序），运行后可能损坏文件、使系统瘫痪，造成多种难以预料后果。2、证券企业网络风险分析2.1、安全风险证券网络系统安全风险关键来自网络设施物理特征安全、网络系统平台安全、网上交易安全、数据存放安全。2.1.1物理安全风险因为水灾、火灾、雷击、粉尘、静电等突发性事故和环境污染造成网络设施工作停滞人为引发设备被盗、被毁或外界电磁干扰使通信线路中止电子、电力设备本身固有缺点和弱点及所处环境轻易在人员误操作或外界诱发下发生故障2.1.2、系统安全风险系统风险在三个方面：网络系统、操作系统和应用系统。网络系统在设计实施不够完善，比如缺乏正确路由、网络容量、带宽估量不足、对证券系统局域网没做划分隔离和关键网络设备没有冗余设计，一旦发生故障，将直接影响网络系统安全。网络系统缺乏安全可靠网络通信协议和网络安全设备，使网络黑客轻易利用网络设计和协议漏洞进行网络攻击和信息窃取，比如未经授权非法访问证券系统内部网络、对电话网进行监听、对系统安全漏洞进行探测扫描、远程登陆交易、行情服务器并对数据进行篡改、对通信线路、服务器实施洪流攻击造成线路涌塞和系统瘫痪等。网络操作系统，不管是windows\unix\netware多种商用操作系统，其国外开发商全部留有后门（backdoor），现在每种操作系统全部发觉有安全漏洞，一旦被人发觉利用将对整个证券网络系统造成不可估量损失。OA应用系统风险关键是包含不一样地域、不一样部门资源有限共享时被内部人员不安全使用造成口令失窃、文电丢失泄密，和在和外界进行邮件往来时带来病毒和黑客进入隐患。针对业务系统（包含业务管理系统、业务服务系统）威胁关键来自于内、外界对业务系统非授权访问、系统管理权限丧失（因为用户名、口令、IC卡等身份标志泄漏）、使用不妥或外界攻击引发系统瓦解、网络病毒传输或其它原因造成系统损坏、系统开发遗留安全漏洞等。2.1.3、网上交易安全风险因特网是全球性公共网络，并不由任何一个机构所控制。数据在因特网上传输路径是不完全确定。因特网本身并不是一个完全安全可靠网络环境。在因特网上可能有些人采取相同名称和外观仿冒证券网站和服务器，用于骗取投资者数据资料。假如用于证实投资者身份数字证书和口令被窃取，她人有可能仿冒投资者身份进行交易委托和查询。在网上传输指令、数据有可能被一些个人、团体或机构经过某种渠道截取、篡改、重发。但她们并不一定能够了解该数据真实内容。因为网络交易非接触性，交易双方可能对交易结果进行抵赖。在网上数据传输可能因通信繁忙出现延迟，或因其它原因出现中止、停顿或数据错误，从而使得网上交易出现延迟、停顿或中止。网上公布证券交易行情信息可能滞后，和真实情况不完全一致。2.1.4、数据安全风险因内、外原因造成数据库系统管理失控或破坏使用户个人资料和业务数据遭到偷窃、复制、泄密、丢失，而且无法得到恢复网络病毒传输或其它原因造成存放数据丢失和损坏网站公布信息数据（包含分析、估计性资料）有可能被更改、删除，给证券企业带来损失。2.1.5、局域网上安全风险在局域网中，因为管理不妥，能够造成物理性网络安全问题。另外，假如不采取合理管理方法，经过局域网和Internet连接后，会给不合乎国家法规网络行为留下空当，也是网络不安全首先。因为局域网中采取广播方法,所以,在某个广播域中若采取“嗅探”技术就能够侦听到全部传输信息包,攻击者对信息包进行分析,那么本广播域全部信息传输全部会暴露在攻击者面前，也会对网络造成安全问题。2.1.6、广域网上安全风险因为广域网通常采取公网传输数据,所以在广域网上进行传输时信息就可能受到多种多样攻击,包含侦听窃密、非法修改、冒名顶替、恶意破坏等。任何一个有条件对通信进行监测人全部能够进行上述攻击,这种形式攻击相对比较轻易成功,且事后极难进行追查。2.1.7、系统平台内在安全风险因为网络系统中大量采取不是专门为安全系统设计基础软件,这些软件在开发、安装时缺省配置往往更多照料方便性而忽略了安全性,如考虑不周很轻易留下安全漏洞,比如无意中将关键信息暴露在非授权用户面前。需要强调指出是,管理方面问题，能够经过加强管理、提升认识来增加网络安全意识，而其它方面安全威胁可实施性正伴随网络技术和侦听工具隐蔽化和智能化而变得越来越轻易实现。如经过互联网能够获取大量相关系统内在缺点最新资料;黑客组织变得越来越庞大而严密;协议分析工具随地可见,以前购置一套功效强大协议分析设备需花费十几万乃至几十万,能掌握这些设备人员极为稀少,而现在实现这项功效越来越轻易，使用人员十分庞大,一旦得到适宜机会,后果不堪设想。2.1.8、来自病毒安全风险每一千台联网电脑中感染病毒电脑数量每一千台联网电脑中感染病毒电脑数量（Source:ICSA）6005004003002001000600500400300200100019961997199819991996199719981999网络发展，促进信息大量进行交流，计算机病毒也伴随信息交流广泛，危害越来越严重,由单机逐步扩展到网络，成为了威胁网络安全关键一部分。网络中任何一台电脑受到了病毒感染，就有可能感染网络中全部计算机。因为病毒造成数据丢失或损坏，系统瘫痪，一样和黑客入侵造成损失一样严重.3、提升网络安全性技术手段处理网络安全问题是一个系统、多层次问题,任何一个安全技术全部无法处理全部安全问题,只有综合多个安全技术,才有可能全方面提升整个系统安全性及安全等级。所以针对网络安全隐患我们应该采取对应方法，提升网络系统安全性。从网络安全技术方面大致能够分为四个层次:应用层、socket层(ssl)、IP层、链路层。每种技术全部有其独到之处。现在多种网络安全产品大多是基于这四个方面开发研制。不一样产品从不一样角度轻关键加以防护，我们能够依据具体要求选择对应产品。4、安全策略传统安全策略停留在局部、静态层面上，仅仅依靠几项安全技术和手段达成整个系统安全目标，现代安全策略应该紧跟安全行业发展趋势，在进行安全方案设计、计划时，遵照以下标准：

（1）体系性：制订完整安全体系，应包含安全管理体系、安全技术体系和安全保障体系。

（2）系统性：安全模块和设引入应该表现其系统统一到运行和管理特征，以确保安全策略配置、实施正确性和一致性。应该避免安全设备各自独立配置和管理工作方法。

（3）层次性安全设计应该按摄影关应用安全需求，在各个层次上采取安全机制来实现所需安全服务，从而达成网络信息安全目标。

（4）综合性：网络信息安全设计包含从完备性（并有一定冗余）、优异性和可扩展性方面技术方案，和依据技术管理、业务管理和行政管理要求对应安全管理方案，形成网络安全工程设计整体方案，供工程分阶段实施和安全系统运行作为指导。

（5）动态性：因为网络信息系统建设和发展是逐步进行，而安全技术和产品也不停更新和完善，所以，安全设计应该在保护现有资源基础上，表现最新、最成熟安全技术和产品，以满足网络安全系统安全目标。4.1、安全体系结构依据上述安全策略，整体安全体系中网络安全工程必需实施：安全防护、检测、响应系统，安全体系结构以下表。另外，依据实际安全需求，提议有选择实施安全恢复系统。此次处理方案安全体系结构参考中国证券机构营业部信息系统技术管理规范来制订，见下表：对象层次安全方法分类安全方法和技术操作管理安全安全防护安全操作规范安全操作控制系统安全检测操作安全检测操作安全审计安全响应操作安全预警操作安全监控应用系统安全安全防护业务应用安全等级划分和访问控制业务系统授权和访问权限控制业务系统用户身份认证密钥和证书管理技术资料管理数据真实性、完整性数字署名病毒防杀安全检测应用系统安全检测业务应用安全审计病毒检验安全响应安全预警安全监控权限变更密钥更新证书发放和撤消系统平台安全防护病毒防杀安全检测系统安全扫描和检测安全审计病毒检验安全响应安全预警安全监控操作系统补丁网络平台安全防护网络级身份认证和访问控制（加密和防火墙）安全网络结构安全网络管理和配置信息传输加密和网络安全隔离虚网划分安全检测网络安全扫描网络入侵检测安全审计安全响应网络安全监控网络安全预警物理安全防护防电磁辐射泄漏防雷防火主机硬件保安电源设备管理安全检测电磁辐射检测机房保安检测系统环境建设检验管理检验安全响应电磁干扰消防报警5、安全防范技术网络隔离技术访问控制技术加密技术判别技术数字署名技术入侵监测技术信息审计技术安全评定技术病毒防治技术备份和恢复技术6、网络整体处理方案6.1、安全体系根据安全策略要求及风险分析结果，证券网络企业网络安全方法应依据证券网络行业特点和符合证监会证券经营机构信息系统安全指标体系，根据网络安全整体构想来建立，具体安全控制系统由以下几方面组成：6.2、物理安全确保计算机信息系统多种设备物理安全是整个计算机信息系统安全前提。

物理安全是保护计算机网络设备、设施和其它媒体免遭地震、水灾、火灾等环境事故和人为操作失误或错误及多种计算机犯罪行为造成破坏过程。它关键包含三个方面：

环境安全：对系统所在环境安全保护，如区域保护和灾难保护；（参见国家标准GB50173－93《电子计算机机房设计规范》、国家标准GB2887－89《计算站场地技术条件》、GB9361－88《计算站场地安全要求》）。

设备安全：关键包含设备防盗、防毁、防电磁信息辐射泄漏、预防线路截获、抗电磁干扰及电源保护等；

媒体安全：包含媒体数据安全及媒体本身安全。6.3、系统安全系统安全关键关注网络系统、操作系统和应用系统三个层次。

系统安全采取技术和手段有冗余技术、网络隔离技术、访问控制技术、身份判别技术、加密技术、监控审计技术、安全评定技术等。6.3.1、网络系统网络系统安全是网络开放性、无边界性、自由性造成，安全处理关键是把被保护网络从开放、无边界、自由环境中独立出来，使网络成为可控制、管理内部系统，因为网络系统是应用系统基础，网络安全成为首要问题，处理网络安全关键方法有：网络冗余处理网络系统单点故障关键方法，对关键性网络线路、设备我们通常采取双备或多备份方法，网络运行时双方对运行状态相互实时监控并自动调整，当网络一段或一点发生故障或网络信息流量突变时能在有效时间内进行切换分配，确保网络正常运行。

系统隔离分为物理隔离和逻辑隔离，关键从网络安全等级考虑划分合理网络安全边界，使不一样安全等级网络或信息媒介不能相互访问，从而达成安全目标。针对证券网络系统特点通常把证券交易业务系统网络和内部办公网络进行严格物理隔离，存放媒介则依据关键程度严格区分并只能经过第三方进行交换；对业务网络或办公网络采取VLAN技术和通信协议实施逻辑隔离划分不一样应用子网。

访问控制对于网络不一样信任域实现双向控制或有限访问标准，使受控子网或主机访问权限和信息流向能得到有效控制。具体相对网络对象而言需要处理网络边界控制和网络内部控制，对于网络资源来说保持有限访问标准，信息流向则可依据安全需求实现单向或双向控制。访问控制最关键设备就是防火墙，它通常安置在不一样安全域出入口处，对进出网络IP信息包进行过滤并按企业安全政策进行信息流控制，同时实现网络地址转换、实时信息审计告警等功效，高级防火墙还可实现基于用户细粒度访问控制。证券系统防火墙配置在证券企业交易系统和公网交界处（包含INTERNET、系统内部广域网、相关业务网络）和企业关键子网出口。

身份判别是对网络访问者权限识别，通常经过三种方法验证主体身份，一是主体了解秘密，如用户名、口令、密钥；二是主体携带物品，如磁卡、IC卡、动态口令卡和令牌卡等；三是主体特征或能力，如指纹、声音、视网膜、署名等，在证券网络系统中，前两种方法利用较多。加密为了预防网络上窃听、泄漏、篡改和破坏，确保信息传输安全，对网上数据使用加密手段是最为有效方法。现在加密能够在三个层次来实现，即链路层加密、网络层加密和应用层加密。链路加密侧重通信链路而不考虑信源和信宿，她对网络高层主体是透明。网络层加密采取IPSEC关键协议，含有加密、认证双重功效，是在IP层实现安全标准。经过网络加密能够结构企业内部虚拟专网（VPN），使企业在较少投资下得到安全较大回报。

安全监测采取信息侦听方法寻求未授权网络访问尝试和违规行为，包含网络系统扫描、预警、阻断、统计、跟踪等，从而发觉系统遭受攻击伤害。网络扫描监测系统作为对付电脑黑客最有效技术手段，含有实时、自适应、主动识别和响应等特征，广泛用于各行各业。

网络扫描针对网络设备安全漏洞进行检测和分析，包含网络通信服务、路由器、防火墙、邮件、WEB服务器等，从而识别能被入侵者利用非法进入网络漏洞。网络扫描系统对检测到漏洞信息形成具体汇报，包含位置、具体描述和提议改善方案，使网管能检测和管理安全风险信息。6.3.2、操作系统操作系统是管理计算机资源关键系统负责信息发送、管理设备存放空间和多种系统资源调度，它作为应用系统软件平台含有通用性和易用性，操作系统安全性直接关系到应用系统安全，操作系统安全分为应用安全和安全漏洞扫描。

应用安全面向应用选择可靠操作系统并按正确操作步骤使用计算机系统，杜绝使用来历不明软件，安装操作系统保护和恢复软件并作对应备份。

系统扫描基于主机安全评定系统是在严格基础上对系统安全风险等级进行划分，并提供完整安全漏洞检验列表，经过不一样版本操作系统进行扫描分析，对扫描漏洞自动修补形成汇报，保护应用程序、数据免受盗用、破坏。6.3.3、应用系统证券行业应用系统大致分为办公系统、业务管理系统、业务服务系统，证券应用系统安全除采取通用安全手段外关键依据企业本身经营及管理需求来开发。

办公系统文件(邮件)安全存放：利用加密手段，配合对应身份判别和密钥保护机制（IC卡、PCMCIA安全PC卡等），使得存放于本机和网络服务器上个人和单位关键文件处于安全存放状态，使得她人即使经过多种手段非法获取相关文件或存放介质（硬盘等），也无法取得相关文件内容。

文件（邮件）安全传送：对经过网络（远程或近程）传送给她人文件进行安全处理（加密、署名、完整性判别等），使得被传送文件只有指定收件者经过对应安全判别机制（IC卡、PCMCIAPC卡）才能解密并阅读，杜绝了文件在传送或抵达对方存放过程中被截获、篡改等，关键用于信息网中报表传送、公文下发等。

业务系统关键面向业务管理和信息服务安全需求，比如在证券交易管理中采取集中统一监管系统，对业务流实时进行监控、统计、分析、查询，预防违规操作，化解安全风险；对通用信息服务系统（电子邮件系统、WEB信息服务系统、FTP服务系统等）采取基于应用开发安全软件，如安全邮件系统、WEB页面保护；对业务信息能够配合管理系统采取对信息内容审计稽查，预防外部非法信息侵入和内部敏感信息泄漏。6.4、交易安全现在证券交易方法关键分为营业部柜台交易、电话交易、网上交易，前两种交易方法安全系数较高，而网上交易关键经过公网完成交易全过程，因为公网开放性和复杂性，使网上交易风险大大高于前者。几乎全部参与网上证券交易证券企业采取是TCP/IP标准协议，应用系统全部是基于C/S或B/S（浏览器/服务器）结构，因为交易发生在两地，双方缺乏可靠安全机制确保各自利益，针对网上证券交易风险和特点，保障交易安全通常采取授权、身份判别、信息加密、完整性校验、信息审计、防重发、防抵赖等安全机制，具体实现关键依靠基于PKI（公开密钥密码设施）体系现代密码技术及在此基础上开发应用电子商务认证加密系统（CA）。

交易安全标准现在在电子商务中关键安全标准有两种：应用层SET（安全电子交易）和会话层SSL（安全套层）协议。前者由信用卡机构VISA及MasterCard提出针对电子钱包/商场/认证中心安全标准，关键用于银行等金融机构；后者由NETSCAPE企业提出针对数据机密性/完整性/身份确定/开放性安全协议，实际上已成为WWW应用安全标准，也是证券网上交易标准安全协议。

交易安全基础体系交易安全基础在于现代密码技术，依靠于加密方法和强度。加密分为单密钥对称加密体系和双密钥非对称加密体系。二者各有所长，对称密钥含有加密效率高，但存在密钥分发困难、管理不便弱点；非对称密钥加密速度慢，但便于密钥分发管理。在证券交易中通常把二者结合使用，达成高效安全目标。；

交易安全实现完成证券交易需处理安全问题关键有交易双方身份确定、交易指令及数据加密传输、数据完整性、预防双方对交易结果抵赖。具体路径为建立自己CA认证中心或采取权威CA中心，经过颁发对应数字证书给和交易各方相关身份证实，同时在SSL协议体系下完成交易过程中电子证书验证、数字署名、指令数据加密传输、交易结果确定审计等。6.5、CA认证在电子商务系统，全部参与活动实体全部必需用证书来表明自己身份，数字证书就是网络通讯中标志通讯各方身份信息一系列数据，它提供了一个在Internet上验证您身份方法，其作用类似于司机驾驶执照或日常生活中身份证.它是由一个由权威机构-----CA机构，又称为证书授权(CertificateAuthority)中心发行，大家能够在交往中用它来识别对方身份,首先能够用来向系统中其它实体证实自己身份，其次每份证书全部携带着证书持有者公钥，证书也能够向接收者证实某人或某个机构对公开密钥拥有，同时也起着公钥分发作用。数字证书是一个经证书授权中心数字署名包含公开密钥拥有者信息和公开密钥文件。最简单证书包含一个公开密钥、名称和证书授权中心数字署名。通常情况下证书中还包括密钥有效时间，发证机关(证书授权中心)名称，该证书序列号等信息，证书格式遵循ITUTX.509国际标准CA机构数字署名使得攻击者不能伪造和篡改证书。证书格式遵照X.509标准证书申请者进行资格审查，并决定是否同意给该申请者发放证书，并负担因审核错误引发、为不满足资格证书申请者发放证书所引发一切后果，所以它应由能够负担这些责任机构担任；另一个是证书操作部门（简称CP，CertificateProcessor），负责为已授权申请者制作、发放和管理证书，并负担因操作运行错误所产生一切后果，包含失密和为没有取得授权者发放证书等，它能够由审核授权部门自己担任，也可委托给第三方担任。6.5.1、CA认证机构面临威胁CA所提供服务是经过Internet实施，面临来自Internet攻击威胁。同时，因为其业务特殊性和关键性，还面临来自内部攻击威胁。攻击者目标是多方面，其中以窃取CA关键机密（如密钥对）是最严重威胁。1>系统穿透系统穿透系指攻击者经过一定手段对认证性（真实性Authenticity）进行攻击，假冒正当用户接入系统，从而达成篡改系统文件、窃取系统机密信息、非法使用系统资源等目标。攻击者通常采取伪装或利用系统微弱步骤（如绕过检测控制）、搜集情报（如口令）等方法实现。在CA系统中，口令登录大全部被电子令牌或数字证书登录替换，所以系统穿透风险较小。2>违反授权规则违反授权标准系指攻击者盗用一个正当用户账号，经授权进入系统后，在系统中进行未经授权操作。一个攻击者能够经过猜测口令等手段取得一个一般用户账号，以正当身份接入系统，进而可查找系统微弱步骤，最终取得系统最高控制权，从而严重危及系统安全。这种攻击关键发生在CA管理人员内部，需要关键防范，严格控制不一样管理员权限。3>植入病毒在系统穿透或违反授权攻击成功后，攻击者通常要在系统中植入一个能力，为以后攻击提供方便条件。如向系统中注入病毒、蛀虫、特洛伊木马、限门、逻辑炸弹等来破坏系统正常工作。从Internet下载软件和使用盗版软件是病毒关键起源，所以应预防管理员使用CA系统中工作站下载软件和使用来历不明软件。4〉通信监视通信监视是一个在通信过程中从信道进行搭线窃听攻击方法。攻击者经过搭线和电磁泄漏等手段截取通信信息，对信息、业务流量等数据进行分析，获取有用情报，取得机密信息。CA认证中心敏感信息在传输中，全部是经过加密处理，但在机房数据处理中，数据会以明文形式出现，所以CA机房是反通信监视关键部位。5〉中止中止系指对可用性进行攻击，破坏系统中硬件、硬盘、线路、文件系统等，使系统瘫痪，不能正常工作，破坏信息和网络资源。这类攻击通常采取暴力手段，破坏通信设施，甚至使用高能量电磁脉冲发射设备摧毁系统电子元器件。6〉拒绝服务拒绝服务攻击手段能够阻塞被攻击目标正当接入信息、业务或其它资源，致使其正常服务中止。比如，一个业务出口被精心地策划进行滥用而使其它用户不能正常接入，又如Internet一个地址被大量垃圾信息阻塞等。7>窃取或破解密钥一个攻击者假如窃取或破解了认证中心私人密钥，就能够伪造数字证书，进行诈骗活动。8>管理漏洞CA系统安全性除了技术方面原因外，管理也是一个很关键原因。管理方面存在漏洞往往蕴藏着极大风险和隐患。比如，CA署名私钥只由一个工作人员管理和控制，当这名工作人员受到贿赂以后，就极有可能签发内容不实数字证书。假如机密数据仅由一个工作人员管理和控制，那么这个人就有可能窃取和出卖这些资料，牟取非法利益，或有意损毁。所以，CA认证中心在管理上必需制订严密策略。9>数据损坏CA认证中心数据库存放了大量数字证书、用户注册资料等数据，当发生电子商务方面纠纷时，这些数据将作为关键举证依据。假如这些数据损坏，其后果相当严重。6.5.2、CA认证安全防范机制1、机房安全CA机房是整个认证系统系统控制关键，必需设置独立专用机房。CA中心机房，应配置优异门禁管理系统，预防非授权人员无意或有意进入。对于敏感岗位操作，必需进行身份识别和采取多人控制方法。2、访问控制CA机房必需受到严格、高等级安全保护，最少应该设置3层安全控制保护层，将机房分为不一样安全区域。进入数据中心和管理控制台任何人员必需经过3层安全控制保护层核准。3、实时监控为预防非法入侵和暴力破坏，CA机房应设置智能化门禁系统，配置实时监控系统和安全时钟，统计开/关门、每次授权进出活动。4、全方面设防CA机房必需能够屏蔽电磁波，预防信息经由电磁辐射而引发秘密泄露。机房电力和空调系统应采取主、备两个系统，当主系统发生故障时，能够自动开启备用系统。机房应该配置自动气体消防系统，能够在火灾发生之初进行预警检测和自动灭火。5、CA中心密钥安全数字证书安全性和可靠性关键依靠CA认证中心数字署名来确保，而CA数字署名是使用本身私有密钥运算产生。所以，CA中心密钥安全很关键，一旦密钥泄露，将引发整个信任体制瓦解。为此，对于CA中心密钥安全方法，通常需要注意以下多个方面标准：☆选择模长较长密钥认证中心公共密钥会受到多个攻击，基于Internet“联机运算”就是一个。这种攻击利用上千台计算机，采取“穷举”方法进行计算。密钥长度越长，密码空间就越大（对于模长为n位密码，其有效密码空间为2n），采取“穷举”方法攻击代价就越大。所以，CA中心必需使用很长密钥。从现在计算机运算速度来看，采取1024位密钥是安全。CA根节点密钥长度最少应该达成1024位，最好能做到2048位，但现在很多应用软件还不支持2048位加解密运算。6.6、数据安全数据安全牵涉到数据库安全和数据本身安全，针对二者应有对应安全方法。

数据库安全证券企业数据库通常采取含有一定安全等级SYBASE或ORACLE大型分布式数据库，鉴于数据库关键性，还应在此基础上开发部分安全方法，增加对应控件，对数据库分级管理并提供可靠故障恢复机制，实现数据库访问、存取、加密控制。具体实现方法有安全数据库系统、数据库保密系统、数据库扫描系统等。

数据安全指存放在数据库数据本身安全，对应保护方法有安装反病毒软件，建立可靠数据备份和恢复系统如行情备份系统，对股民个人资料和交易数据按安全等级划分存放，一些关键数据甚至能够采取加密保护。6.7、安全管理面对网络安全脆弱性，除了利用优异网络安全技术和安全系统外，完善网络安全管理将是信息系统建设关键组成部分，很多不安全原因恰恰反应在组织资源管理上，安全管理应该贯穿在安全各个层次上。安全管理三标准：

·多人负责标准

每一项和安全相关活动，全部必需有两人或多人在场。这些人应是系统主管领导指派，她们忠诚可靠，能胜任此项工作；她们应该签署工作情况统计以证实安全工作已得到保障。

·任期有限标准

通常地讲，任何人最好不要长久担任和安全相关职务，以免使她认为这个职务是专有或永久性。为遵照任期有限标准，工作人员应不定时地循环任职，强制实施休假制度，并要求对工作人员进行轮番培训，以使任期有限制度切实可行。

·职责分离标准

在信息处理系统工作人员不要探询、了解或参与职责以外任何和安全相关事情，除非系统主管领导同意。信息系统安全管理实现

·安全制度管理依据证监会《证券经营机构营业部信息系统管理规范》、《网上证券委托暂行管理措施》等相关法规要求，建立本行业管理制度，包含机房管理、网络管理、数据管理、设备管理、应急处理、人员管理、技术资料管理等相关信息系统建设规范。

·安全目标管理

1.根据技术管理目标，展开对最新网络安全技术跟踪研究，并就证券行业信息系统安全技术进行交流、探讨，从而提出本企业网络安全技术和管理策略。

2.根据资源管理目标，对证券行业网络系统物理资源、网络资源、信息资源实现统一资源分配设置，依据资源关键程度确定安全等级，从而确立安全管理范围。

3.根据用户管理目标，依据统一标准划分用户角色，对不一样用户在交易中风险高低及可能带来损失采取安全防范方法，比如对常常进行网上交易关键用户或大用户设置虚拟大用户室，由证券企业给和必需技术支援和培训。6.8、安全服务建立网络安全保障体系不能仅仅依靠现有安全机制和设备，更关键是提供全方位安全服务。网络安全不是多个安全产品集合，它作为一项系统工程已经形成了自己专业体系，没有优异科学知识结构极难对此进行全方面细致把握；网络安全系统存在固有弱点，即使最微小安全漏洞全部可能引发整个网络系统瓦解；同时网络安全处于信息产业飞速发展大环境下，现有系统安全只是临时、静态，全部这些问题全部必需经过连续全方面安全服务来处理。完善安全服务应包含全方位安全咨询，整体系统安全策划、设计，优质工程实施、细致立即售后服务和技术培训。除此之外，定时网络安全风险评定，帮助用户制订尤其事件应急响应方案扩充了安全服务内涵。6.9、安全目标经过计划建立证券系统安全体系，综合利用多种安全技术和手段，我们要达成安全目标为：

静态安全目标包含整个证券信息系统物理环境、系统硬、软件结构和可用信息资源，确保证券交易系统实体平台安全。

动态安全目标提升证券信息系统安全软环境，包含安全管理、安全服务、安全思想意识和人员安全专业素质。7、网络系统安全总体方案设计7.1、网络安全步骤设计网络安全步骤图事故结束事故发生网络安全步骤图事故结束事故发生事后阶段事故阶段预防阶段文件恢复文件备份 事后阶段事故阶段预防阶段文件恢复文件备份日志审计、追查责任自动恢复立即发觉及报警定时对网络检验日志审计、追查责任自动恢复立即发觉及报警定时对网络检验 监测监控系统&恢复系统备份系统防火墙安全检验监测监控系统&恢复系统备份系统防火墙安全检验系统备份系统病毒防护系统病毒防护系统构件一个网络安全方案必需依据网络综合性、均衡性、折衷性、动态性认真考虑。依据证券企业网络具体情况和要求，我们提议从以下几点考虑。预防方法防护方法补救方法7.1.1、预防方法一个安全网络首先做好预防方法，做好预防工作是提升网络安全，降低网络事故，确保网络通畅，降低数据丢失前提。预防方面我们提议采取多个方法：采取网络安全检验系统采取备份系统网络安全检验原理模拟用户输入检验目标用户输入检验目标目标搜索引擎目标搜索引擎关键检验模块库安全漏洞检验引擎关键检验模块库安全漏洞检验引擎浏览器报表生成模块浏览器报表生成模块采取扫描系统，我们能够对我们网络安全性能有个了解。为了预防黑客攻击，我们能够事先采取黑客攻击手段，对网络进行预防性攻击，以不破坏系统为目标，预先发觉漏洞，进行防范、更正，以提升网络安全性。文件备份数据库保护正以迅猛速度发展成为当今企业最关键组成原因之一，对于诸如MicrosoftExchangeServer和MicrosoftSQLServer之类关键数据库来说更是如此。数据(下至个人邮箱及表格中数据)必需保持高可用性，且不应对整个企业造成影响。7.1.2、防护方法路由器防火墙用户用户路由器防火墙用户用户主机传感器用户内部网公网主机传感器用户内部网公网网络传感器网络传感器安全监控中心网络传感器安全监控中心网络传感器在防护方法中，我们采取了防火墙+监测监控来实现我们目标。因为我们已经进行过扫描，降低了防火墙漏洞，当网络遭到攻击时，已经有防火墙对网络防护，将攻击抵挡在外面，确保了网络安全。同时我们还能够经过对网络监测监控来实现对网络安全补充。监测监控系统能够达成两个方面作用，首先监测监控系统能够在指定时间内统计全部连接信息，任何非法连接信息全部将留下证据，而且出现指定非法网络连接时，系统将进行报警或挂断连接操作，为管理网络安全，确保网络上信息符合国家法规提供了保障，这一点是防火墙无法实现，也是政府网络所必需要求，从内网方面补充了网络安全另一面。其次，监测监控系统也是对防火墙补充，我们能够依据具体情况定义有入侵特征数据包，当检测到有入侵行为可能时进行报警，是我们依据具体情况，采取对应方法，提升了网络抗攻击性。7.1.3、补救方法网络安全是相正确，不是绝正确。在我们安全防范方法无法保护我们网络时，我们能做就是快速恢复网页，恢复数据，降低损失。在这里我们能够使用恢复系统，对被破坏网络部分进行恢复，而且经过预防方法中数据备份作用，我们能够有效确保数据恢复可能性和快速性。在这里,我们还要尤其指出贯穿于整个安全实施过程关键步骤—防病毒体系做好网络防病毒工作是提升系统安全性一个关键方面，但完美系统是不存在．多数时间用于系统病毒检验以提升一定系统安全性，将使系统失去了可用性和实用性；其次，信息保密要求让人在泄密和抓住病毒之间无法选择。这么，病毒和反病毒将成为一个长久技术对抗．病毒关键由反病毒软件来对付，而且反病毒技术将成为一个长久科研做下去．现在，假如需要对整个网络进行规范化网络病毒防范，我们就必需了解最新技术，结合网络病毒入口点分析，很好地将这些技术应用到自己网络中去，形成一个协同作战、统一管理局面，实现巩固网络安全。7.2、网络安全总体拓扑结构示意图7.3、网络安全处理方案证券企业网络安全设备采取以下产品安全检验系统监测监控系统备份系统防病毒系统防火墙系统VPN系统7.3.1、安全检验系统（漏洞扫描系统）依据需求分析结果，提议选择扫描系统应综合基于主机和基于网络安全检测技术：能寻求网络安全漏洞、评定并提出修改提议，模拟黑客攻击方法，检测网络协议、网络服务、网络设备等方面漏洞；能够检验操作系统本身固有安全漏洞和系统文件不安全配置，并指示用户怎样修补漏洞以使操作系统安全风险降到最小；经过上述两种扫描工具综合利用，能够检验包含WEB、FTP、邮件系统、DNS等网络基础服务和业务系统、办公自动化系统、电子商务系统等应用程序本身安全漏洞和因为配置不妥造成安全漏洞，确保用户在网络上应用系统安全。本方案所选择扫描系统含有以下技术特点：◆含有强大扫描分析能力。网络安全扫描系统针对网络系统中存在主要弱点和漏洞，能全方位，多侧面地对网络安全隐患进行扫描分析，基础上覆盖了现在网络系统存在关键弱点和漏洞，含有强大扫描分析能力。◆含有安全策略自定义能力。网络安全扫描系统提供安全策略配置功效，用户可依据不一样安全需求，选择或自定义不一样扫描策略，对对应网络设施进行扫描分析。◆面向多操作系统，多个网络设备，含有较强适用性◆网络安全扫描系统检测对象覆盖在用主流操作系统：SunSolaris，IBMAix，DigitalUNIX，SGIIRIX，Linux，WindowsNT等系统。它适适用于TCP/IP网络和Internet/Intranet环境；适适用于WWW服务器、防火墙、网络主机和其它TCP/IP相关设备。◆含有远程和当地两种工作模式◆网络安全扫描系统能够对基于TCP/IP网络主机实施扫描分析，含有跨网关操作能力，可经过专线或拨号方法接入任何基于TCP/IP网络系统，支持当地或远程两种工作模式。◆正确全方面汇报网络存在弱点和漏洞。网络安全性分析系统能够正确具体地汇报网络系统目前存在弱点和漏洞。弱点和漏洞可能是系统不完善或BUG，也可能是因为系统配置不妥而带来。◆汇报扫描对象相关信息和对外提供服务◆网络安全扫描系统能具体汇报扫描对象系统信息，如操作系统版本信息等。网络安全性分析系统还能汇报目前扫描对象对外提供服务信息，这有利于管理人员立即正确地了解自己系统对外提供端口服务，并立即关闭对外提供无须要端口服务。◆能够提议补救方法和安全策略◆网络安全扫描系统不仅能发觉系统中存在弱点和漏洞，而且能向用户提供修补这些弱点和漏洞提议和可选择方法、能就用户系统安全策略制订提供提议，最大程度地帮助用户实现信息系统安全。◆含有生成份析汇报能力◆网络安全扫描系统在扫描分析目标网络后，能够给用户提供一份完整安全性分析汇报。汇报将系统地对目标网络系统安全性进行具体描述，为用户确保网络安全提供依据。◆含有较强自我防护能力推荐配置方案生产厂家：XX软科集团产品名称：网络安全检验系统HBNSSXX软科网络安全检验系统ZYNSS作为一个全自动安全风险评定工具，侧重于“事前阶段”。它模拟黑客进攻手段和技术，对被检系统进行黑客攻击式安全漏洞和安全隐患扫描，并提交风险评定汇报，其中提供了对应整改方法。预防性安全检验最大程度地暴露了现存网络系统中存在安全隐患，配合行之有效整改方法，能够将网络系统运行风险降至最低。NSS关键特点：综合了中国外同类安全产品尤其是国外著名安全产品思绪和优点，并考虑了中国网络系统国情和现实状况，技术起点高，实用性强。在系统中尤其集成了完整漏洞修补提议和网络安全实用手册。

检测范围广。系统基于TCP/IP协议，尤其针对WINNT系统中存在安全问题进行了深入研究。系统能够检测基于TCP/IP网络软硬件产品，并能深入检测WINDOWS系列操作系统尤其是应用越来越广泛WINNT系统和Windows系统，和运行在她们之上多个BackOffice服务器。

运行在WINNT平台，全汉字界面，在进行检测前扫描策略配置简单明了。对每一项可检测漏洞全部有详尽说明。

针对国家信息保密特殊要求，增加了物理安全隔离检验、局域网涉密信息检验和局域网用户信息检验等多个特色功效。

强大漏洞扫描能力，可对受检系统进行多视角、多层面黑客攻击式扫描。7月，国家公安部安全产品评测中心测评认为该产品可对包含当初最新黑客攻击技术在内500余种攻击手段进行模拟攻击。在3月升级版中，模拟攻击手段已达成900余种。

用户能够按计划中系统安全目标，自定义每次安全扫描策略以对系统和网络进行安全扫描。具体扫描策略设定细化到用户能够选择是否扫描每一个漏洞。系统对漏洞进行了详尽风险等级管理，漏洞风险一目了然。

细致入微地汇报系统中存在弱点漏洞。列出了从目标操作系统类型、漏洞列表、开放端口号和服务，直到系统中存在用户等受检对象相关信息。

完善扫描汇报生成能力。扫描结束后能够由系统自动生成份析汇报，其中包含了详尽漏洞说明，风险等级，补救方法，教授提议和相关资源连接。

工作方法和检验方法灵活。能够检验当地局域网，也能够经过拨号接入或以跨网关方法检验目标系统。能够单独检验一台主机，也能够检验整个网段。

系统采取了开放式体系结构和模块化思想，而且企业有专业小组跟踪黑客攻击手段和系统漏洞，从而做到动态更新检验模板库，保护用户免受最新攻击手段攻击。

企业有着强大开发和优异管理模式，和灵活运作方法。技术和研究力量雄厚，并能够根据用户具体要求增删对应功效模块，以满足用户要求，确保系统最好性价比。

NSS技术特点综合了国外著名安全产品优点和思绪，起点高技术优异，检测范围广，可覆盖INTERNET/INTRANET全部主流部件采取开放式体系结构，可动态更新关键检验模板库，易于升级运行在WINDOWSNT平台，汉字界面，配置简练操作方便针对保密系统领域特殊要求，增加了安全隔离检验，涉密信息检验等特定功效模块7.3.2、监控监测（含入侵检测）技术概述入侵检测技术就是一个主动保护自己免受黑客攻击一个网络安全技术。入侵检测技术能够帮助系统对付网络攻击，扩展系统管理员安全管理能力(包含安全审计、监视、进攻识别和响应)，提升信息安全基础结构完整性。它从计算机网络系统中关键点搜集信息，并分析这些信息，看看网络中是否有违反安全策略行为和遭到攻击迹象。入侵检测被认为是防火墙以后第二道安全闸门，它在不影响网络性能情况下能对网络进行监测，从而提供对内部攻击、外部攻击和误操作实时保护。大多数传统入侵检测系统（IDS）采取基于网络或基于主机措施来识别并躲避攻击。在任何一个情况下，该产品全部要寻求“攻击标志”，即一个代表恶意或可疑意图攻击模式。当IDS在网络中寻求这些模式时，它是基于网络。而当IDS在统计文件中寻求攻击标志时，它是基于主机。每种方法全部有其优势和劣势，两种方法互为补充。一个真正有效入侵检测系统应将二者结合。本节讨论了基于主机和基于网络入侵检测技术不一样之处，以说明怎样将这二种方法融合在一起，以提供愈加有效入侵检测和保护方法。◆基于网络入侵检测基于网络入侵检测系统使用原始网络包作为数据源。基于网络IDS通常利用一个运行在随机模式下网络适配器来实时监视并分析经过网络全部通信业务。它攻击辩识模块通常使用四种常见技术来识别攻击标志：模式、表示式或字节匹配频率或穿越阀值低级事件相关性规统学意义上很规现象检测一旦检测到了攻击行为，IDS响应模块就提供多个选项以通知、报警并对攻击采取对应反应。反应因产品而异，但通常全部包含通知管理员、中止连接而且/或为法庭分析和证据搜集而做会话统计。◆基于主机入侵检测基于主机入侵检测出现在80年代早期，那时网络还没有今天这么普遍、复杂，且网络之间也没有完全连通。在这一较为简单环境里，检验可疑行为检验统计是很常见操作。因为入侵在当初是相当少见，在对攻击事后分析就能够预防以后攻击。现在基于主机入侵检测系统保留了一个有力工具，以了解以前攻击形式，并选择适宜方法去抵御未来攻击。基于主机IDS仍使用验证统计，但自动化程度大大提升，并发展了精密可快速做出响应检测技术。通常，基于主机IDS可监探系统、事件和WindowNT下安全统计和UNIX环境下系统统计。当有文件发生改变时，IDS将新统计条目和攻击标识相比较，看它们是否匹配。假如匹配，系统就会向管理员报警并向别目标汇报，以采取方法。基于主机IDS在发展过程中融入了其它技术。对关键系统文件和可实施文件入侵检测一个常见方法，是经过定时检验校验和来进行，方便发觉意外改变。反应快慢和轮询间隔频率有直接关系。最终，很多产品全部是监听端口活动，并在特定端口被访问时向管理员报警。这类检测方法将基于网络入侵检测基础方法融入到基于主机检测环境中。◆将基于网络和基于主机入侵检测结合起来基于网络和基于主机IDS方案全部有各自特有优点，而且互为补充。所以，下一代IDS必需包含集成主机和网络组件。将这两项技术结合，必将大幅度提升网络对攻击和错误使用抵御力，使安全策略实施愈加有效，并使设置选项愈加灵活。设计标准假如要使网络得到高水平安全保护，就应该选择愈加主动和智能网络安全技术。完备网络安全系统应该能够监视网络和识别攻击信号，能够做到立即反应和保护，能够在受到攻击任何阶段帮助网络管理人员从容应付。怎样选择入侵检测系统呢？选择入侵检测系统需要考虑多方面原因。但关键应考虑以下两点：首先，考察系统协议分析及检测能力，和解码速率；推荐配置方案生产厂家：XX软科集团产品名称：网络监测监控系统ZYNetEyeZYNetEye网络安全监测监控系统是一个基于信息流数据采集、分析、识别和资源监督封锁软件。经过实时监测网络数据流，依据用户设定安全控制策略，对受控对象活动进行监视。它侧重于“事中”阶段。该系统综合了基于主机、基于网络两种技术手段，能够多层次、多手段实现对网络控制管理。经过多级、分布式网络监督、管理、控制机制，全方面表现了管理层对内部网关键资源全局控制、把握和调度能力。为全方面管理人员提供了一个监督、检验目前系统运行状态有效手段。系统组成ZYNetEye系统关键组成部分是：主机传感器HSP（软件HostSensorProgram）、网络传感器NSP（硬件NetworkSensorProgram）、监控中心/二级监控中心MCP（软件MonitorCenterProgram）。ZYNeteye关键功效ZYNetEye关键有六类功效：监视屏幕、监视键盘、监测监控RAS连接、监测监控网络连接、入侵检测、网络信息还原。具体功效分类说明以下：监视屏幕在用户指定时间段内，系统自动每隔X秒或X分截获一次屏幕。用户实时控制屏幕截获开始和结束（在不影响被监控主机正常工作前提下，以最快频率截屏）。监视键盘在用户指定时间段内，截获HostSensorProgram用户全部键盘输入。用户实时控制键盘截获开始和结束。监测监控RAS连接在用户指定时间段内，统计全部RAS连接信息。用户实时控制RAS连接信息截获开始和结束。由用户指定正当RAS连接条件（如：拨号上网电话号码或拨号时间），当RAS连接非法时，系统将自动进行报警或挂断连接操作。监测监控网络连接在用户指定时间段内，统计全部网络连接信息（包含：TCP、UDP、NetBios）。用户实时控制网络连接信息截获开始和结束。由用户指定非法网络连接列表，当出现非法连接时，系统将自动进行报警或挂断连接操作。入侵检测对可能入侵行为进行报警（检测到有入侵特征数据包）。用户可自定义有入侵特征数据包。现在可检测18类入侵企图：ZYNeteye技术特点多极控制机制能够设置多个层次安全控制中心、传感器，控制能力强。分部控制机制监控网络拓扑结构能够是多样化，覆盖计算机局域网络、远程网络，控制范围大。基于主机、基于网络相结合控制机制控制对象即能够是单台主机，也能够是一个网段，控制力度细。ZYNeteye技术特色系统即可防外也可防内，更彻重于防内。由软件和硬件相结合、克服单一软件或硬件弊端，以达成卓跃性能系统设计思想优异。主机传感器、网络传感器和监控中心独立运行，一旦系统安全管理员制订好安全策略并公布成功，各模块之间独立运行工作，相关性几乎没有，整个系统运行效很高，对用户网络正常通信影响微小。系统透明工作，各模块间通信方法设计很优异。混合了TCP和UDP通讯方法，充足考到了用户可能网络配置，在提供跨路由器、跨网关能力适应复杂网络基础上，兼顾了系统效率和操作、配置灵活性。监控中心开启后，智能判定并加入能够监测工作站或网络传感器，并提供了手动加入可监测计算机功，方便高级用户使用。融合了中国外同类产品大多数优异思想，并参考了常见同类黑客软件功效，项目设计思想和优异开发工具，完全含有知识产权。企业研发实力雄厚，多项产品设计思想和成品受到技术判定会上著名教授好评“达成了同期中国甚至国外优异水平”。项现在期仔细设计计划，中期精细编码和严格测试，后期详尽系统测试。系统无缝集成了网络入侵检测功效，还开发了独立模块以提供对目标计算机/网络多层次多角度监视控制，并提供了人性化安全监控中心图形界面，操简单直接，大大降低了用户后期投入和网络系统/安全管理员工作难度、工作量。7.3.3、防火墙防火墙是指设置在不一样网络（如可信任内部网和不可信任外部网）或网络安全域之间一系列部件组合。它是不一样网络或网络安全域之间信息唯一出口，能依据企业安全政策，经过对IP地址、TCP/UDP端口、ICMP类型域等各个等级具体配置控制（许可、拒绝、监测）出入网络信息流，且本身含有较强抗攻击能力。它是提供信息安全服务，实现网络和信息安全基础设施。防火墙是在内部网和外部网之间实施安全防范系统，可被认为是一个访问控制机制，用于确定哪些内部服务许可外部访问。它由网络管理人员为保护自己网络免遭外界非授权访问但又许可和Internet连接而发展起来。从网际角度讲，防火墙是在两个网络之间实施控制策略系统，目标是保护网络不被可疑人侵扰。本质上，它遵从是一个许可或阻止业务往来网络通信安全机制，提供可控过滤网络通信。防火墙作为局域网络安全屏障，其关键目标是保护局域网络资源，强化网络安全策略；预防内部信息泄露和外部入侵；提供对网络资源访问控制；提供对网络活动审计、监督等功效。推荐配置方案生产厂家：XX软科集团产品名称：防火墙HBRKFW/IIIXX网络防火墙ZYSuperWall是由北京XX软科数码技术自主研制开发网络安全产品。ZYSuperWall防火墙融合了现在关键防火墙技术，包含包过滤、透明代理、应用代理，对关键网络服务提供基于应用代理细粒度控制；对常见网络服务提供透明代理和快速包过滤机制。XX软科网络防火墙在有效地实现内部网络和公共网络隔离同时，管理员可依据具体安全需求选择灵活多变安全控制策略进行控制。结合访问控制、身份认证、边界入侵检测、反IP地址欺骗等一整套安全防护技术，可为企业内部网提供强大安全防护手段，在抵御来自外部网络攻击、预防不法分子入侵同时，又能确保安全高速地访问互联网。关键功效：网络地址转换功效利用地址转换功效，能够节省InternetIP资源。内部对外使用统一IP，使外部无法知道内部网络情况，提升网络安全。内部能够透明使用内部IP基于网络IP和MAC地址绑定经过网卡MAC地址和网络IP地址绑定，能够预防内部IP盗用，保障网络稳定。●灵活访问控制功效自主过滤机制能够依据本身网络要求合理配置网络，提升网络性能。应用代理能够对应用服务（如：HTTP、FTP、SMTP等）提供细粒度访问机制。透明代理能够对能够满足对网络高速、通用访问要求入侵检测对可能入侵行为进行报警（检测到有入侵特征数据包）。封锁入侵IP地址对入侵设置陷阱用户身份判别功效：为了降低防火墙再Telnet,FTP等服务和远程管理上安全风险，HBRKFW/III型防火墙采取了一次性口令认证系统来作为用户判别手段。防火墙日志、审计功效能够对系统管理体系分类日志（管理日志、通信事件日志），也能够按日期对应运行日志。清楚统计了事件时间及事件摘要等。为管理网络，进行审计提供可靠依据。支持双机热备份功效HBRKFW/III型防火墙系统结构了双机热备份结构功效，从而提升系统稳定性，容错性。虚拟主机功效虚拟主机技术很好处理了信息共享性和资源可控性之间矛盾。也就是说，只有防火墙管理员许可访问内部资源，外部用户才能够访问，表现了管理中心对整体内部资源控制能力。具体操作时，可依据管理者管理意图制订对应安全策略，从而限定对外开放内容。7.3.4、防病毒系统目标对邮件服务器进行检验，防范病毒。能够做到既可自动更新，也可手动更新；备份系统便于管理，有友好界面如GUI。使用产品趋势企业InterScanVirusWall防病毒软件。（XX软科集团代理产品之一）为何选择InterScanVirusWall软件经过对中国防病毒企业了解，现在没有想应得软件系统。经过对国外防病毒企业考查，我们提议用户使用趋势企业InterScanVirusWall防病毒软件。趋势企业是一家专业防范计算机病毒、保障监控计算机及信息系统安全著名软件企业,是和美国趋势科技合作中国企业。趋势防病毒关键技术均经过国家检测中心监测，是第一家取得中国公安部计算机安全产品销售许可证软件企业。产品关键功效：实时扫描进出SMTP服务器邮件及其附加档案实时扫描FTP传输渠道自动清除染毒文件实时扫描HTTP传输渠道锁定恶性Javaapplets和ActiveX物件，和未经认证(unsigned)或非商业性(noncommercial)判定安全判定软件侦测及清除已知和未知宏病毒将警告信息寄给寄件人、收件人和系统管理者可预约设定从Web自动下载最新病毒码文件含有完整实时性能监视功效经过详尽病毒活动统计追踪病毒起源支持Windows界面和ISAPI/CGIweb浏览器设置界面产品关键特点：符合网络病毒发展特点出色病毒扫描能够依据本身情况更新病毒码快捷救援支持完整事件统计弹性设定及管理系统组成：InterScanVirusWall是一套完整Internet病毒处理系统，包含三个模块，能够分别或统一安装及管理。我们依据具体情况，提议使用整套系统中E-mailVirusWall，InterScanVirusWall共包含：E-mailVirusWall：侦测及清除Internet网络SMTP电子邮件附件中病毒.---WebVirusWal：侦测及清除病毒，并可锁定HTTP传输中恶性Javaapplets和ActiveX物件，和未经认证(unsigned)或非商业性(noncommercial)判定安全判定软件（限NT版本）。---FTPVirusWall侦测及清除隐藏在Internet文件传输中病毒系统要求：Nt版本：WindowsNT4.0或以上版本，Pentium或DECAlpha处理器PC机，32MB内存，12MB磁盘空间。Solaris版本：Solaris2.5或以上版本，32MB内存，150MB数据交换空间，15MB磁盘安装空间HP-UX版本：HP-UX10.0或以上版本，64MB内存，100MB数据交换空间，100MB磁盘安装空间。7.3.5、VPN系统伴随企业网应用不停发展，企业网范围也不停扩大，从一个当地网络发展到跨地域跨城市甚至是跨国家网络。和此同时伴随互联网络迅猛发展，Internet已经遍布世界各地，从物理上讲Internet把世界各地资源相互连通。正因为Internet是对全世界开放，假如企业信息要经过Internet进行传输，在安全性上可能存在着很多问题。但假如采取专用线路构建企业专网，往往需要租用昂贵跨地域数据专线。怎样能够利用现有Internet来建立企业安全专有网络呢？虚拟专用网（VPN）技术就成为一个很好处理方案。虚拟专用网（VPN）是指在公共网络中建立专用网络，数据经过安全“加密通道”在公共网络中传输。企业只需要租用当地数据专线，连接受骗地Internet，各地机构就能够相互传输信息；同时，企业还能够利用Internet拨号接入设备，让自己用户拨号到Internet上，就能够连接进入企业网中。使用VPN有节省成本、提供远程访问、扩展性强、便于管理和实现全方面控制等优点，将会成为以后企业网络发展趋势。虚拟专用网本质实际上包含到密码问题。在无法确保电路安全、信道安全、网络安全、应用安全情况下，或也不相信其它安全方法情况下，一个行之有效措施就是加密，而加密就是必需考虑加密算法和密码问题。考虑到中国对密码管理体制情况，密码是一个单独领域。对防火墙而言，是否防火墙支持对其它密码体制支持，支持提供API来调用第三方加密算法和密码，很关键。使用产品东方龙马VPN系统（XX软科集团代理产品之二）系统组成东方龙马VPN系统关键包含以下几部分：加密卡、