方案模板-XX建设方案(业务安全)

1、方案说明方案说明 方案类型：方案类型： 整体解决方案 目标分析：目标分析： 该方案所针对的目标可包括政府业务部门（如税务、财政、工商）等，以 及银行、电子商务网站等行业。目标的共同特性是对业务健康运行非常关注， 希望能保证系统持续有效运行。适用对象： 省市级税务、财政、工商、海关等业务部门； 银行、电子商务、门户网站等对外有重要业务的行业。 其他对自身业务连续性要求较高的客户。 方案特点：方案特点： 该方案围绕业务设计安全架构，通过对业务的威胁防御、健康管理和访问 管理，形成一整套安全解决方案。 方案分析从客户可能遇到的与业务紧密联系的安全隐患说起，突出对业务 的持续性保障、可视化监控和流程控

2、制需求； 设计方面结合全线产品，特别是突出设计方面结合全线产品，特别是突出 UTM 类网关以及类网关以及 APM 和终端安全和终端安全 管理产品的优势组合。管理产品的优势组合。 建议在推广该类型方案时，也要突出我方这几个产品的特点。通过优势产建议在推广该类型方案时，也要突出我方这几个产品的特点。通过优势产 品与传统产品的绑定销售，实现全面的产品推广。品与传统产品的绑定销售，实现全面的产品推广。 包含产品：包含产品： 防火墙、UTM、网关 AV、防垃圾邮件、网络 AV、主机加固、IPS、漏洞 扫描、APM、Leadsec Manager、SSL VPN、内网安全管理、安全审计 xxx 信息系统信

3、息系统 信息安全设备采购建议方案信息安全设备采购建议方案 2009-2 目目 录录 1项目背景.5 2安全需求分析.6 2.1业务缺乏安全保障.6 2.2业务缺乏状态可视.7 2.3业务缺乏流程控制.8 3概要设计.10 3.1业务威胁防御系统.10 3.2业务健康管理系统.11 3.3业务访问管理系统.12 4详细设计.13 4.1业务威胁防御系统.13 4.1.1 防火墙子系统 .13 4.1.2 UTM 子系统 .13 4.1.3 网关防病毒子系统 .14 4.1.4 反垃圾邮件子系统 .15 4.1.5 桌面防病毒子系统 .15 4.1.6 主机加固 .16 4.2业务健康管理系统.1

4、6 4.2.1 网络入侵检测子系统 .16 4.2.2 漏洞扫描子系统 .17 4.2.3 应用安全管理子系统 .18 4.2.4 安全管理平台 .18 4.3业务访问管理系统.19 4.3.1 SSL vpn 子系统 .19 4.3.2 终端安全防护子系统 .20 4.3.3 补丁管理子系统 .20 4.3.4 安全审计子系统 .20 4.4产品部署示意图（请根据实际情况修改！）.22 1项目背景 根据用户实际情况编写。 信息化的深入，使安全问题就更加严峻，特别是某些安全问题如病毒、攻 击和入侵等已经引起了人们的高度重视。信息化安全是一个普遍问题，但是， 不同行业信息化有自己的特点，信息化安

5、全的重点和所采取的对策也不尽相同， 因此，针对 xxx 信息化的特点，系统地分析安全问题并提出适合行业特点的安 全对策是有必要的。 本方案主要针对根据用户实际情况编写。 2安全需求分析 请根据用户实际情况作修改！ xxx 信息化当前主要有四个突出特点：信息化重点是管控一体化、追求高 性能和高可靠性、统一信息化平台基本建成、网络应用日益加强。这四个特点 是由 xxx 行业自身的特点决定的，并具有一定的时代特点。结合 xxx 企业信息 化的特点，我们以业务需求为中心，将信息安全建设的需求总结为业务安全保 障、业务状态可视、业务流程可控三个方面。 2.1 业务缺乏安全保障业务缺乏安全保障 越来越多的

6、黑客、病毒、不法机构和人员都有可能对 xxx 企业业务系统的 正常运行产生威胁。因此，企业业务系统实际上随时都可能遭受恶意攻击，必 须在安全防护上全面考虑。 xxx 企业的业务系统是整个业务的支撑，应对业务 系统进行重点防护，如果不对业务系统的访问行为进行控制，非授权用户可能 窃取机密数据、删除和修改业务数据、甚至植入病毒，引起系统中断服务或瘫 痪。同时，如果不对日益猖獗的病毒问题进行防御，有可能从外部或内部其他 区域引入病毒，影响业务系统的正常运行。同时，垃圾邮件的泛滥将阻碍业务 的正常开展，同时可能引入注入病毒、木马、钓鱼攻击等众多的安全风险。最 后，操作系统漏洞、业务系统漏洞、应用软件漏

7、洞不断被发现，如果不重视业 务系统日常的安全运维，业务系统将可能由于安全漏洞的发现、由于缺乏及时 的响应，而引入风险、造成破坏。 如何经济、高效地构建一个全面安全保障体系，已经成为信息系统建设中 不可回避的问题。为了对业务系统的安全进行保障，信息安全系统的建设重在 “防范”和“管理”，需要通过部署各种安全设备来完成对业务系统、核心数据的 安全保障工作。用安全技术来辅助安全管理。应该通过部署多种安全设备，例 如：防火墙、防垃圾邮件、桌面防病毒、网关防病毒、服务器加固等，组成深 度防御的信息安全保障体系，以保障业务系统的正常运行。 在业务安全保障方面，主要需求如下： 应在业务终端与业务服务器之间进

8、行路由控制建立安全的访问路径； 应避免将重要网段部署在网络边界处且直接连接外部信息系统，重要网 段与其他网段之间采取可靠的技术隔离手段； 应在网络边界处与终端主机上对恶意代码进行检测和清除；组成纵深防 御的安全建设体系； 建立能对边界和内部进行有效控制、能抵御病毒、恶意代码及各种攻击 的安全防护体系； 应在网络边界处对垃圾邮件进行检测和清除； 对业务服务器脆弱的服务进行加固，全力打造安全主机； 安全事件发生时，将威胁隔离在各个区域，防止威胁在区域间扩散； 2.2 业务缺乏状态可视业务缺乏状态可视 大型企业已经对安全产品的应用形成了一定规模。而由于大型企业的信息 系统复杂性，安全产品的部署也相当

9、复杂。如采用不同厂家、不同型号的安全 产品共同构建安全体系，已经成为各个企业普遍的做法。由此带来的问题是， 众多安全产品的使用方式、管理界面、报警方式等各不相同。管理员往往被淹 没在各种真真假假的海量信息中。既难以发现真正有用的信息，更难以从中发 现重要安全事件而迅速采取应对措施。当出现如：用户无法访问业务系统的情 况时，到底是网络设备出现了故障，还是安全策略发生改变，甚至是服务器宕 机或应用系统出错等等问题，管理员根本无法迅速判断。归根结底，都是 由于业务的安全相关属性没有形成简洁高效的可视化界面。 对于 xxx 业务系统的信息安全建设，应该包含监控、管理、响应、防范等 几个方面的功能。信息

10、安全应该是一个多层次、多因素、综合的动态过程，要 求对信息系统和组织体系进行综合思考和统一规划，需要一种新的运行方式， 能将终端设备统一的管理；将不同位置、不同安全系统中分散且海量的单一安 全时间进行汇总，统一规范和分析处理；实时监控业务系统的健康状态和设备 是使用情况从全局的角度分析安全问题，并形成有效的安全事件处理决策，制 订统一的处理流程规范，对安全事件进行统一响应和处理，保障业务状态的可 视化。 在业务状态可视方面，主要需求可以总结为以下几点： 应能够检测到对重要服务器进行入侵的行为，能够记录入侵的源 IP、攻 击的类型、攻击的目的、攻击的时间，并在发生严重入侵事件时提供报 警； 应定

11、期对网络系统进行漏洞扫描，对发现的网络系统安全漏洞进行及时 的修补； 应对重要服务器进行监视，包括监视服务器的 CPU、硬盘、内存、网络 等资源的使用情况； 应能够对系统的服务水平降低到预先规定的最小值进行检测和报警； 能够实现网络行为管理，规范业务操作流程，防止偶然或意外的事件导 致对业务的影响。 提供系统漏洞分析、补丁自动分发、分发策略管理和分发流量控制功能 建立预防业务中断和保障业务健康持续运行的业务保障体系； 建立高效、统一的管理视图，方便和全面监控的安全管理体系； 2.3 业务缺乏流程控制业务缺乏流程控制 当业务系统建成后，什么人，在何时何地访问了什么内容。都是管理员所 必须严格控制

12、的关键。而多种业务系统同时运行，通过应用系统本身的认证机 制很难保证安全策略的一致和高效。非法用户访问或合法用户的越权访问等安 全事件屡见不鲜。 信息安全建设要实现自主可控，所谓可控，就是要对业务数据的整个处理 流程进行监视与控制，保障业务系统正常运行，对于业务及数据的访问进行严 格的用户身份识别、认证、授权、审计，保障只有合法的用户可以接入到网络 中来，访问所需资源，保证用户有对资源的响应访问权限。对于用户访问情况、 资源使用情况进行严格的审计，当有安全事件发生时，可以通过日志和审计， 重现安全事件发生的时间、方式、以及网络环境，为管理员回溯事件，恢复系 统、更正漏洞、认定责任、修复缺陷等提

13、供依据，保障整个业务流程的可控。 在业务状态可视方面，主要需求可以总结为以下几点： 可以提供基于应用层的访问控制，提供移动性和分散性的远程安全访问， 用加密手段传输数据； 在用户接入网络前，能够对用户终端进行安全检查，对不符合安全标准 的用户进行“隔离” 合理控制用户的网络行为，提升安全防御能力。 对于设备访问限制，根据需要为用户配置访问权限限制。 应对网络系统中的网络设备运行状况、网络流量、用户行为等进行日志 记录；应能够根据记录数据进行分析，并生成审计报表； 3概要设计 理念理念： 对于 xxx 企业这样以数据处理和业务推进为核心的网络来说，安全安全 系统的建设不应成为应用和业务的限制和枷

14、锁，而应该是促进业务更好、更快系统的建设不应成为应用和业务的限制和枷锁，而应该是促进业务更好、更快 发展的助推剂和坚实基础。发展的助推剂和坚实基础。 角度：角度： 为实现这一安全理念，应该从保障数据中心的核心价值，也就是保保 障整合后的数据和业务持续、健康、高效的运行这个角度障整合后的数据和业务持续、健康、高效的运行这个角度来考虑信息安全的规 划和建设。因此应该有一个紧密联系业务运行各方面安全需求的安全体系。 方法：方法：应该从以下三个方面为 xxx 企业信息安全系统建设保驾护航。 业务威胁防御系统业务威胁防御系统 业务健康管理系统业务健康管理系统 业务访问管理系统业务访问管理系统 业业务务

15、系系统统 业业务务威威 胁胁防防御御 业业务务访访 问问管管理理 业业务务健健 康康管管理理 3.1 业务威胁防御系统业务威胁防御系统 面临问题：面临问题：针对 xxx 分公司网络，我们看到，其主要的信息资产包括网络 中的应用系统；承载应用系统的重要服务器（数据库和应用服务器）；承载访 问和数据交换的网络设备和物理线路等等。由于操作系统和应用软件的安全漏 洞被发现的越来越快，覆盖面越来越广,补丁开发速度远滞后于漏洞被利用的速 度，同时攻击的手段的综合化,而且攻击自动化程度和攻击速度的提高，xxx 业 务系统的重要业务服务器面临着非授权访问、病毒传播、Dos/DDoS 攻击、垃圾 邮件传播等威胁

16、。 解决方案：解决方案：针对保障业务安全方面的问题，在进行信息安全系统建设的过 程中，针对业务系统面临的威胁和可能的风险，应采用多种安全技术和产品以 及服务进行防御，保障业务系统的正常运行。 在网络出口处以及重要服务器前，应部署防火墙，进行访问控制和攻击防 御。同时，应该在网络出口处部署网关防病毒产品，在终端主机上部署网络版 防病毒软件，组成纵深防御的防病毒体系。在联合办公楼与其他厂区之间，通 过部署 UTM 设备，可以对流量进行检测和控制。也可以通过 UTM 进行集中的访 问控制。同时，对承载业务系统的服务器进行主机加固。为了防止垃圾邮件对 正常业务造成影响，防止安全威胁由通过垃圾邮件引入，

17、应在网络出口处部署 防垃圾邮件系统。 3.2 业务健康管理系统业务健康管理系统 面临问题：面临问题：对业务系统状态的监控，可以使管理员充分了解主机、服务器 运行情况、业务系统工作情况。可以使管理员合理利用产品、配置和使用资源 提供依据。但是，传统的信息建设，在业务健康管理方面，可能会存在以下问 题： 管理员无法随时掌握网络的实际安全状况。无论是安全设备或服务器所发 生的安全事件报警，或是已经出现的系统宕机等问题，都无法及时发现并进行 正确处置。对入侵、攻击的行为无法及时发现；对业务系统的运行状态无法实 时监控，不能最合理的进行资源配置；对于用户终端，无法集中管理和监控， 对终端难以进行统一策略

18、的安全防护。 解决方案：解决方案：针对业务健康管理方面的问题，应该从预防、监控、防御、管 理等几个步骤来进行。 首先，应该利用漏洞扫描系统，对业务系统中存在的漏洞进行检测，提前 发现并修复漏洞，做到对安全威胁的预防。其次，应该在网络中部署网络入侵 检测系统，及时发现网络中的攻击和入侵行为，及时向管理员报警；对于承载 业务系统的重要业务服务器，应该通过部署应用安全管理系统，进行统一的监 控；对业务服务器、数据库服务器，进行实时的监控，保证对业务访问和处理 的可靠性。最后，应部署安全管理平台，对设备状态进行统一的监控管理。 3.3 业务访问管理系统业务访问管理系统 面临问题：面临问题：由于业务系统

19、的复杂性，对用户的访问控制和行为审计来说， 通过人为管理面临多种问题：难以对庞大的用户群体定义最适合的访问权限、 难以有效的防止非法终端接入到网络当中、难以对用户身份进行有效识别和授 权、难以对用户的行为进行可靠审计；遭受来自外联单位以及内部的针对网络 基础设施、主机系统和应用服务的各种攻击，会造成网络和系统服务不可用、 信息泄密、数据被篡改等。 解决方案：解决方案：针对上述可能存在的问题，应该通过安全设备的部署，使用户 的访问更简便，更安全，更可靠。通过部署 SSL VPN，可以提供便利的远程用 户接入，同时，由于信息流经过加密，接入的安全得到保障；为了便于统一的 补丁管理、分发，应该部署补

20、丁管理系统；通过部署终端安全防护产品，控制 用户的访问行为，使合法的用户，通过安全的方式来访问网络中的资源，做到 统一的资产管理、终端保护、应用监控。最后，对于用户的访问请求，资源访 问情况，应该通过部署安全审计系统来进行审计。为故障恢复、责任认定、业 务完善提供依据。 4详细设计 在概要设计的基础上，我们对业务威胁防御系统、业务健康管理系统、业 务员访问管理系统进行详细的分析，对设计到的产品和技术，进行详细的阐述 及介绍。 4.1 业务威胁防御系统业务威胁防御系统 4.1.1 防火墙子系统防火墙子系统 配置防火墙是保证网络系统安全的第一步，也是系统建设时首要考虑的问 题。防火墙通过监测、限制

21、、更改通过“防火墙”的数据流，可以保护网络系 统不受来自外部的攻击。 防火墙处于网络安全体系中的底层，属于网络层安全技术范畴。作为内部 网络与外部公共网络之间的第一道屏障，防火墙是最先受到人们重视的网络安 全产品之一。虽然从理论上看，防火墙处于网络安全的底层，负责网络间的安 全访问控制、认证与传输，但随着网络安全技术的整体发展和网络应用的不断 变化，现代防火墙技术已经逐步走向网络层之外的其他安全层次，不仅要完成 传统防火墙的过滤任务，同时还能为各种网络应用提供相应的安全服务。 防火墙是一个或一组用于过滤进、出网络的数据包的系统。它基于多 种标准对数据包进行过滤，包括特定的应用、网络服务、源/目

22、的地址等，同时 使用单一的规则为整体网络提供一致的安全策略。 在 xxx 分公司网络中，主要在网络出口以及服务器区前部署防火墙，网络 出口分为广域网出口和互联网出口，在网络出口处，主要抵御来自外部网络的 风险，对来自外部的访问，进行访问控制和攻击抵抗。在服务器前部署防火墙， 重点保护重要的业务服务器，对来自内部和外部的针对服务器的访问请求进行 严格的访问控制，同时，可以避免网络蠕虫或入侵攻击行为渗透到服务器区。 4.1.2 UTM 子系统子系统 统一威胁管理(Unified Threat Management)， 2004 年 9 月，IDC 首度提 出“统一威胁管理”的概念，即将防病毒、入侵

23、检测和防火墙安全设备划归统一 威胁管理(Unified Threat Management，简称 UTM)新类别。目前，UTM 常定 义为由硬件、软件和网络技术组成的具有专门用途的设备，它主要提供一项或 多项安全功能，同时将多种安全特性集成于一个硬件设备里，形成标准的统一 威胁管理平台。UTM 设备应该具备的基本功能包括网络防火墙、网络入侵检测 /防御和网关防病毒功能。 在一些下级或小型的分支机构，数据流量比较小，主要是访问上级的资源， 对设备的性能要求不高，因此没必要部署多层防护设备。而小型分支机构成为 病毒的源头的可能性最大，因此防病毒是小型分支机构边界的重点任务。从功 能需求和控制总体投

24、资的考虑，采用统一威胁管理（UTM）设备进行防护，一 台设备即可实现防火墙、VPN、防病毒、入侵防御、防垃圾邮件、网页过滤六 种设备的功能，不仅降低了设备成本还降低了管理成本，兼顾了投资和整体安 全的平衡。 在 xxx 分公司联合办公楼与其他厂区之间，通过部署 UTM 设备，可以集中 的对流量进行检测和监控，阻断异常的流量，同时，可以检测病毒流量，防止 病毒在厂区和联合办公楼之间传播，将蠕虫和病毒控制在一个小的区域。厂区 用户对业务服务器的访问，可以在 UTM 设备上进行访问控制，防止越权访问。 4.1.3 网关防病毒子系统网关防病毒子系统 传染病防治工作中经常提到斩断传播途径是防止传染病爆发

25、最为有效的手 段之一，而这种防治手段不仅在传染病防治方面十分有效，在防止计算机病毒 扩散方面起到了同样的效果。由于目前计算机病毒的传播途径与过去相比已经 发生了本质的变化，因此为了安全的防护手段也需以变应变。蠕虫病毒产生以 前，计算机病毒主要是以软盘这样的移动存储介质传播的；自蠕虫病毒出现之 后，网络（包括 Internet、广域网、局域网）则取代了移动存储介质的位置。在 网络传播途径中，又以邮件自动转发的传播形式所占比重最大。以蠕虫病毒为 代表的新一代计算机病毒多是利用用户的邮件服务器以达到迅速扩散的目的， 这类病毒往往成为用户网络瘫痪的直接原因。给用户造成重大损失。 防病毒网关通过对病毒检

26、测、防火墙的整合和改良，使防病毒网关产品可 以很好地防御目前流行的混合型数据攻击的威胁。这些特性和技术使得 IT 管理 人员可以很容易地控制各个网络中各个方向的病毒数据流的泛滥。同时，设备 可以支持动态的行为特征库更新，更具备 7 层的数据包检测能力。 蠕虫病毒是对 xxx 分公司网络的重大危害，蠕虫病毒在爆发时将使路由器、 3 层交换机、防火墙等网关设备性能急速下降，并且占用整个网络带宽。针对 病毒的风险，应通过终端与网关相结合的方式，以用户终端控制加网络防病毒 网关进行综合控制。重点是将病毒消灭或封堵在终端这个源头上。在广域网出 口及互联网出口上部署网关防病毒系统，在网络边界对数据流进行集

27、中监测和 过滤控制，可以在一定程度上避免蠕虫病毒爆发时的大流量冲击。 4.1.4 反垃圾邮件子系统反垃圾邮件子系统 电子邮件过滤能够确保一个单位生产效率，降低网络、邮件服务器和存 储环境被垃圾、恶意邮件充斥的可能性，防止以财务获取等为目的的病毒攻击。 此外，电子邮件使用者不仅能向 IT 系统传播病毒、散布垃圾邮件，还能将一个 单位的知识产权内容和单位的内部信息内容通过电子邮件的形式发送给外界或 无意接收这些信息的人，电子邮件过滤能够使一个单位规避这种风险。未来电 子邮件过滤技术将会融入更多综合信息安全内容。反垃圾邮件将是网络安全解 决方案中的重要组成部分。 在 xxx 分公司网络中，通过部署反

28、垃圾邮件系统，集中的对邮件进行检测 过滤，可以对邮件的主题、收发邮件人、内容关键字、附件等进行检查，自动 将垃圾邮件拦截，防止垃圾邮件进入到公司网络中，保证业务不受影响、防止 病毒、不良信息等通过垃圾邮件传播。 4.1.5 桌面防病毒子系统桌面防病毒子系统 桌面防病毒软件作为防病毒体系中重要的一环，可以对终端进行防护，防 止终端收到病毒的影响。桌面防病毒可以配合网关防病毒、服务器防病毒等技 术和产品，组成纵深防御的病毒防御体系。通过集中的对病毒防御策略进行设 置，统一下发到用户终端，实现统一的病毒防护、特征代码的统一升级、终端 状态的统一监控。 xxx 分公司业务系统网络具有用户数量众多、用户

29、环境复杂、安全级别要 求高等特点。因此，部署 xxx 分公司的防病毒系统需要进行认真规划，重在提 供强大的病毒查杀能力、多种病毒查杀方式、多种病毒特征代码升级方式和灵 活适当的管理模式。 考虑到 xxx 分公司业务系统对安全防病毒的重视程度以及目前的实际情况， xxx 分公司防病毒系统的管理应该采取严格的管理策略，即针对计算机终端建 立集中控管的防病毒系统，提供 web 安装、FTP 等升级方式，方便防病毒系统 的安装和升级。提供全网范围内的在线杀毒，以供特殊情况下的病毒查杀。 4.1.6 主机加固主机加固 主机加固，是安全运维服务体系中重要的组成部分，安全运维服务以风险 管理为核心，从安全事

30、件管理着手，注重事前、事中、事后的各个安全运维环 节的细微处理，全方位地帮助客户降低安全运维负担，控制安全风险，为保障 用户业务目标的实现提供贴心的呵护。 主机加固根据客户主机系统应用的具体情况，制定相应系统的测试方案、 加固方案与回退方案，针对不同类型的目标系统，通过打补丁、修改安全配置、 增加安全机制等方法，合理加强设备与应用的安全性 4.2 业务健康管理系统业务健康管理系统 4.2.1 网络入侵检测子系统网络入侵检测子系统 网络入侵检测系统位于有敏感数据需要保护的网络上，通过实时侦听网络 数据流，寻找网络违规模式和未授权的网络访问尝试。当发现网络违规行为和 未授权的网络访问时，网络监控系

31、统能够根据系统安全策略做出反应，包括实 时报警、事件登录，或执行用户自定义的安全策略等。 入侵检测系统可以部署在网络中的核心， xxx 分公司网络中采用入侵检测 系统，监视并记录网络中的所有访问行为和操作，有效防止非法操作和恶意攻 击。同时，入侵检测系统还可以形象地重现操作的过程，可帮助安全管理员发 现网络安全的隐患 需要说明的是，IDS 是对防火墙的非常有必要的附加而不仅仅是简单的补 充。入侵检测系统作为网络安全体系的第二道防线，对在防火墙系统阻断攻击 失败时，可以最大限度地减少相应的损失。IDS 也可以与防火墙等安全产品进 行联动，实现动态的安全维护。 入侵检测系统是防火墙技术的补充，利用

32、防火墙技术，经过仔细的配置， 通常能够在内外网之间提供安全的网络保护，降低了网络安全风险，但是入侵 者可寻找防火墙背后可能敞开的后门，或者入侵者也可能就在防火墙内，或者 利用防火墙开放的端口进行伪装攻击，从而绕过防火墙。 4.2.2 漏洞扫描子系统漏洞扫描子系统 目前的操作系统或应用系统无论是 Windows 还是其它任何商用 UNIX 操作系 统以及其它厂商开发的应用系统，由于其开发厂商的各种原因（软件开发者设 计不完善、编码错误等）存在安全漏洞，这些安全漏洞有可能存在重大安全隐 患(例如在极端测试下造成程序溢出，进而让攻击者取得权限)。因此，建立一 个完全安全的没有漏洞的系统是不可能的，一

33、个最佳方法是，建立比较容易实 现的安全系统，同时按照一定的安全策略建立相应的安全辅助系统，漏洞扫描 器就是这样一类系统。 漏洞扫描系统是一种主动检测本地或远程主机系统安全性弱点的程序，采 用模仿黑客入侵的手法对目标网络中的工作站、服务器、数据库等各种系统以 及路由器、交换机、防火墙等网络设备可能存在的安全漏洞进行逐项检查，测 试该系统上有没有安全漏洞存在，然后将扫描结果向系统管理员提供周密可靠 的安全性分析报告，从而让管理人员从扫描出来的安全漏洞报告中了解网络中 服务器提供的各种服务及这些服务呈现在网络上的安全漏洞，在系统安全防护 中做到有的放矢，及时修补漏洞，从根本上解决网络安全问题，有效地

34、阻止 入侵事件的发生。 漏洞扫描技术是网络安全防御中的一项重要技术，它的成功应用，在网络 安全体系的建设中可以大规模减少安全管理员的负担，有利于保持整个网络安 全政策的统一和稳定。虽然亡羊补牢可贵，未雨绸缪才是理想境界。 在 xxx 分公司网络中部署漏洞扫描产品，及时发现和修补漏洞，从根本上 解决网络安全问题。 4.2.3 应用安全管理子系统应用安全管理子系统 在系统监控管理方面，用户最关心的是业务系统的监控管理，目前通用的 系统管理软件无法对用户多样的关键业务系统进行有效监控、管理和展现。应 用安全管理系统是一个全面的关键业务应用系统管理工具，该产品能够在一个 平台上实现对多个关键业务系统全

35、面、高效、统一管理。 应用安全管理系统主要有如下功能： 统一管理：统一管理：它提供了一个通用的图形界面和网络管理基础架构，用于跨设 备执行管理功能、集成应用，并实现网元管理统一化。 全网络可视性：全网络可视性：借助发现、物理和逻辑拓扑图、集中事件管理、图表和统 计消息等功能，能够全面显示和深入报告网络的行为。在分布式网络中也同样 支持此能力。 网元管理：网元管理：它通过本地网元管理器对每个设备提供直接的访问，并允许从 某个中央位置配置所有的网络设备。另外，还支持跨多种设备类型进行基于策 略的管理。 远程管理：远程管理：能够管理大型的、分布式的网络。可分布式部署应用安全管理 系统从本地捕捉网络统

36、计数据，并将相关的信息传送到中央集中管理控制器。 可伸缩的体系结构：可伸缩的体系结构：其可扩展的体系结构能够定制出适合用户网络和预算 要求的网络管理环境。借助其跨服务器分布面向网络的功能，它能够管理规模 很大的网络。 基于应用安全管理系统的上述特点，在 xxx 分公司网络中部署应用安全管 理系统，对核心的业务服务器进行监控，实现对多个关键业务系统全面、高效、 统一管理。 4.2.4 安全管理平台安全管理平台 目前，信息安全市场上存在着数百家厂商，推出了上万种不同类型的安全 产品，包括防火墙、VPN、IDS、防病毒、漏洞扫描、UTM、身份认证系统等 等。一个大型的组织结构复杂的用户，总部以及各个

37、分支机构在不同的建设阶 段会部署不同厂家的各类安全设备。每种安全设备都有用来监控和管理的控制 台，从各自角度提供局部的安全信息，每个安全设备间是孤立的、分散的。管 理员需要学习每种安全设备的使用方式，并时时巡视每台设备的运行情况和报 警情况。管理员管理负担越来越重，无从掌控全局的安全状况，很难保证整个 网络环境的安全性。 防火墙、VPN、IDS、防病毒、漏洞扫描、Utm 等安全设备每天都会产生 数以亿万计的安全日志和攻击事件，重要的攻击信息淹没在大量的干扰信息内， 管理员需要及时、准确的发现这些应该关注的信息。同时，企业的领导者需要 了解整个网络环境的总体安全状况，以便采取相应措施，保证业务的

38、正常运转。 企业级安全管理提供统一的设备监控功能，允许用户单点登录，在统一管 理界面内，即可以监控和管理分散网络环境各处的异构设备节点，实时掌握各 设备的部署情况、运行状况、设备的接入断出变动，简单有效的保证安全投资 的最大收益。 安全管理平台应可支持开放标准接口的主流网络设备、安全设备并提供标 准化接口，可定制支持第三方设备。 4.3 业务访问管理系统业务访问管理系统 4.3.1 SSL vpn 子系统子系统 随着信息化的不断完善，越来越多的组织都有了支持自身业务发展的应用 系统：OA、ERP、协同办公软件、设计系统软件、邮件系统等，处于自身安全 性以及权限的考虑，大多这些应用系统都是局限在本身的组织内部来使用。随 着业务的不断扩大，出差人士越来越多，如何让出差在外的人员随时随地安全、 快速、方便的接入到内部应用系统中就成了众多组织信息化建设考虑的重点。 SSL VPN 是解决远程用户访问敏感公司数据最简单最安全的解决技术。与 复杂的 IPSec VPN 相比，SSL 通过简单易用的方法实现信息远程连通。任何安