信息系统安全设计方案.ppt

1、2023年8月22日星期二信息系统安全设计方案信息系统安全设计方案日程安排日程安排 课题背景介绍 企业信息化系统信息安全体系 安全加固方案及实施计划 防病毒安全规范 数据库安全规范 防火墙安全规范 企业信息化系统安全域规范 问答2课题背景介绍课题背景介绍研究内容研究内容 中国移动集团公司信息系统安全加固方案及实施计划安全加固方案是整个软课题的入口，是总部信息办和各省公司信息办对其所负责的平台（统一信息平台、OA等）的安全指南。安全规范与具体平台无关的指导性的安全要求，作为各个平台安全操作手册制定时的安全依据。-安全域划分-防病毒系统管理与配置-网络设备安全-数据库安全规范-防火墙安全规范 中国

2、移动安全操作过程手册（安全配置手册）根据信息系统安全操作规范，结合中国移动具体网络及应用环境和设备，在现有安全策略和规范中的相关部分上进行深化和细化，详细制定每个具体设备具体流程的操作规范，形成具有很强操作性的安全操作过程手册。-操作系统安全配置手册(SUN SOLARIS/IBM AIX/HP UX/WIN 2000)-数据库安全配置手册（Oracle/DB2/Sql Server/Domino/Exchange）-门户系统安全配置手册(WebSphere Portal/BEA WebLogic/Sun One Portal/Oracle AS Portal/MS SharePoint)-网

3、络安全配置手册（DNS,FTP,防病毒，VPN，防火墙，交换机，路由器）4研究成果（研究成果（1 1）本软课题，共有31个提交件 中国移动企业信息化系统 安全加固方案及实施计划规范（与具体产品平台无关）中国移动企业信息化系统 安全域规范 中国移动防病毒安全规范 中国移动网络设备安全规范 中国移动防火墙安全规范 中国移动数据库安全规范产品操作手册（见下页）5研究成果（研究成果（2 2）通用应用系统-中国移动WEB服务器安全配置手册（包括通用，IIS,Apache)-中国移动DNS服务器安全配置手册（包括通用，windows DNS,Unix Bind)-中国移动FTP服务器安全配置手册（包括通用

4、，IIS,WU-ftp)-中国移动电子邮件安全配置手册（包括通用，Domino,Exchange)操作系统-中国移动操作系统安全配置手册（包括通用，Solaris,win2000,HP UX,AIX)数据库-中国移动Oracle安全配置手册-中国移动DB2安全配置手册-中国移动Domino安全配置手册-中国移动SQL Server安全配置手册 门户-中国移动Websphere Portal安全配置手册-中国移动BEA Weblogic安全配置手册-中国移动SUN One Portal安全配置手册-中国移动Oracle AS Portal安全配置手册-中国移动MS Sharepoint安全配置手

5、册 VPN-中国移动CheckPoint VPN安全配置手册-中国移动Nortel VPN安全配置手册-中国移动IBM VPN安全配置手册 路由器，交换机-中国移动华为路由器交换机安全配置手册-中国移动CISCO路由器交换机安全配置手册 防火墙-中国移动CISCO PIX防火墙安全配置手册-中国移动Netscreen防火墙安全配置手册-中国移动CheckPoint防火墙安全配置手册 防病毒-中国移动Symantec防病毒安全配置手册-中国移动趋势防病毒安全配置手册-中国移动瑞星防病毒安全配置手册6研究方式研究方式 本课题的研究方式分为两类-安全加固方案和实施计划以及与平台无关的5个安全规范 I

6、BM负责编写 中国移动提供相关信息，并负责审查和提供修改建议-25个与平台相关的安全操作手册 中国移动负责编写 IBM提供模板，并负责审核和提供修改建议 IBM负责手册中通用部分的撰写 IBM负责文档的整合感谢相关各省移动对本课题的大力支持。7企业信息化系统信息安全体系企业信息化系统信息安全体系中国移动企业信息化系统安全体系中国移动企业信息化系统安全体系 9企业信息化系统安全体系的三层结构企业信息化系统安全体系的三层结构 10第一层：安全策略第一层：安全策略第二层：安全规范和标准第二层：安全规范和标准安全策略安全策略安全规范和标准安全规范和标准11安全操作手册、安全操作手册、流程、细则流程、细

7、则第三层：安全操作手册、流程、细则第三层：安全操作手册、流程、细则12信息化系统信息化系统安全加固方案及实施计划安全加固方案及实施计划加固方案和实施计划分为三个部分加固方案和实施计划分为三个部分安全管理层面：第一部分 安全体系完善计划针对信息化安全体系的整体架构，分析目前在策略、规范、标准方面缺失的部分，制定标准体系规范完善计划 第二部分 安全体系部署/实施计划给出各省市部署和实施该安全体系的建议，该部分是指导性的，概括性的，各省公司应该根据此加固方案和实施计划制定自己的详细的、切实可行的实施计划。安全技术层面：第三部分 总部安全技术体系加固方案和建设计划根据集团总部信息化系统目前所采用的安全

8、技术现状，结合安全体系的具体要求，制定安全技术体系建设计划。14安全体系完善计划安全体系完善计划(1)(1)通过分析中国移动企业信息化系统安全体系结构，发现目前在第二层规范/标准这一层的第二个子层具体规范这一层的建设还比较缺乏。下图所列的规范，除了红色部分外，其它规范还不存在。虽然在规范总则中对这些规范进行了简单的说明，但是还不够全面和深入，对于实际操作还是缺乏明确的依据。针对以上分析，建议信息化办公室在下一阶段将体系建设的重点放在安全规范建设上，逐步完善体系中所提到的安全规范。15安全体系完善计划（安全体系完善计划（2 2）在待建设规范中，有些规范之间是存在一定的关联的，我们建议在建设时能够

9、同时予以考虑和建设。-风险管理规范 和 信息资产管理规范-数据备份和恢复 和 介质安全管理规范 和 业务连续性计划规范-系统安全自测规范 和 安全许可证制度 和 内部安全审计规范-人力资源安全管理 和 个人安全守则 和 用户管理规范 和 远程访问安全规范-安全事件检测和响应规范 和 系统日志规范 其它的规范可以酌情和以上规范整合在一起考虑。-系统生命周期安全管理-安全加密-文档管理规范-补丁管理规范-物理安全规范16安全体系完善计划（安全体系完善计划（3 3）针对待建的19个安全规范，针对每个具体的规范定义了该规范建设的目标以及该规范中应该包含的内容概要 例如：信息资产管理规范-目标目标 对于

10、企业信息化系统安全管理来说，如果没有一份完整的能够说明我们所拥有的信息资产情况的清单，就没有办法评估资产的价值、应该采取的保护措施、应该投入的资源情况等，也就无法开展有意义的企业信息化系统安全工作。所以，中国移动要求所有部门/分公司必须维护一份完整、详细的企业信息化系统资产清单，以便于跟踪企业信息化系统安全状态。-内容内容 定义信息资产分类标准 定义信息分级保护标准 设计信息资产识别方法 定义识别和登记信息资产的流程 定义信息资产登记表模版 定义信息资产清单维护方法17安全体系部署安全体系部署/实施计划（实施计划（1 1）信息安全体系建设的生命周期信息安全体系建设的生命周期18安全体系部署安全

11、体系部署/实施计划（实施计划（2 2）企业信息化系统安全建设步骤企业信息化系统安全建设步骤 如下图所示，建议企业信息化系统安全建设分为以下三个步骤，首先是在集团公司一级进行总体体系部署的规划，然后进行试点，试点成功后进行推广。而在每一个步骤中的建设都应遵守安全体系建设的PDCA模型，确保中国移动的安全体系能够不断地自我发展，循环上升。总部信息化办公室总部信息化办公室试点试点省公司 3省公司 4省公司 1其它省公司推广推广省公司 2项目 2项目 1项目 3项目 319总部安全技术体系加固方案和建设计划总部安全技术体系加固方案和建设计划主要安全产品和技术分类主要安全产品和技术分类20总部安全技术体

12、系加固方案和建设计划总部安全技术体系加固方案和建设计划总部信息化系统安全体系改进建议总部信息化系统安全体系改进建议21安全总控中心安全总控中心 集中地检测、分析、关连、报告、处理安全入侵和违规事件 集中存储安全事件数据和风险信息 增加整个组织信息安全管理的效率及经济性 支持企业信息安全决策机制及风险评估 为企业信息安全管理量化提供必要基础设施入侵检测机制安全事件管理安全指导中心安全风险评估安全弱点扫描病毒防护处理安全总控安全总控中心中心(SOC)(SOC)病毒入侵病毒入侵防火墙防病毒防火墙防病毒网关管理网关管理拒绝服务攻击拒绝服务攻击入侵检测入侵检测系统管理系统管理应用安全弱点应用安全弱点应用

13、管理应用管理风险管理平台风险管理平台安全事件关联机制安全事件关联机制安全事件响应机制安全事件响应机制22网络安全审计系统网络安全审计系统 网络安全审计系统主要用于监视并记录网络中的各类操作，实时地综合分析网络和系统中发生的安全事件，包括各种外部事件(如外部入侵行为)和内部事件(如内部人员的文件拷贝、信息获取、信息发布、资源变迁等)，并根据设置的安全规则，智能地判断出违规行为，并对违规行为进行记录、报警和阻断。主要功能-对网络中典型的应用如TELNET、HTTP、FTP、SMTP、POP3等进行全面审计，提供详细信息。按照需要，跟踪并记录指定客户的网络操作，真实地再现用户操作的过程，还原该操作。

14、也可以还原电子邮件、网页访问操作等。-网络数据流量监测功能，包括实时流量监测和历史流量记录，用户可以使用该功能发现一些网络异常现象，尤其是当网络中有拒绝服务攻击（DoS）行为时可以及时发现并采取措施。流量监测功能可以自动定时记录用户所指定的主机和端口的流量。通过查询所记录的主机和端口的历史流量，系统可以绘制流量曲线图，生成统计报表。-23主机入侵检测系统主机入侵检测系统 在目前的中国移动网络结构中使用了实时监视系统，在Internal Zone,Admin Zone,和Interconnection Zone部署了ISS入侵检测软件。由于内部网采用的各种操作系统可能会带来安全问题，如运行各种U

15、NIX的操作系统。包括操作系统本身的配置不安全和可能驻留在操作系统内部的黑客程序等带来的威胁。因此，可建立主机IDS以进一步防止黑客的威胁。24安全扫描、安全政策检查安全扫描、安全政策检查 安全是需要随时注意及改善的，故系统管理人员需随时了解网络和系统安全状况，因此中国移动需要一套系统弱点扫描的工具，能够协助系统管理人员找出重要服务器上可能具有的安全漏洞，以便及早修补。-网络漏洞扫描系统-数据库风险评估和安全政策审计系统-系统风险评估和安全政策审计系统25业务连续性计划业务连续性计划/灾难恢复计划灾难恢复计划 现在社会中，业务的连续性对一个企业越来越重要，在企业中已不是IT一个部门的问题，而是

16、整个企业生死相关的问题。通过对实际情况(包括核心业务，业务中断的损失，可容忍任务中断的时间)进行分析，建设一套切合实际的，投资合理的，内容可靠的业务连续性及容灾备份方案。如右图所示，容灾备援方案包括一个相互关连的流程，具体包括风险管理、业务冲击分析、恢复能力分析、容灾策略制定、容灾技术方案的制定和实施、企业业务连续性计划的制定和企业容灾方案的管理。26网络安全体系建设网络安全体系建设 根据业务上或管理上以及企业信息化安全域规范的各种安全相关需求，对现有的网络系统通过各种网络安全防范的技术手段和管理规范进行一系列的安全改造，从而将网络上存在的安全风险和安全隐患降至最低。本项目的范围包括了所有与网

17、络系统相关的运作安全考虑。包括了-内部局域网安全建设和改造-和第三方合作伙伴的网络连接安全建设和改造-Internet连接安全规范-用户远程网络接入连接相关的安全方面的考虑27各信息系统的统一单点登录各信息系统的统一单点登录 统一认证和授权系统由以下四个部分组成：-目录服务：存储多种不同来源的用户/资源信息。包括：存储子模块：即目录服务模块同步子模块：即元目录，或动态用户管理（User Provisioning）模块-身份管理：管理用户身份信息，并提供自动工作流程和自服务、分权管理功能。-认证管理：认证方式可以分为以下四类：所知（Something you know）所持（Something

18、you have）所具有（Something you are）和所为（Something you do）-访问管理：进行访问规则定义，并进行访问规则的中心控制，实现SSO。28个人及桌面安全管理个人及桌面安全管理通过对用户桌面电脑使用的操作系统和其他相关安全系统平台进行安全定制，对员工使用的桌面系统进行统一，并对用户日常使用过程中应当注意的安全问题加以明确的规定，从而确保了对桌面系统的安全管理。该项目的范围包括-统一主流的桌面操作系统平台和其他相关安全系统平台、定制其安全策略-统一制定用户桌面系统使用安全操作手册-建立桌面电脑补丁的自动分发机制29员工安全意识普及教育员工安全意识普及教育 安全

19、意识培养机制目的-Why?确保所有员工都理解企业所面临的风险，-What?确保所有员工都了解企业的安全要求-How?确保所有员工都具有相应的技能遵守安全要求 在通常情况下，绝大多数员工当他们知道了什么是正确的，以及为什么是正确的之后，都会自觉地遵守。通过提升员工安全意识，可以及时发现，避免安全事件的发生，降低安全事件的影响，从而节约了信息安全成本。中国移动需要一套系统的、有针对性的、层次分明的教育计划来实现我们的目标。通过教育，让所有的人了解自己在企业信息化系统安全中的角色(role)、责任(responsibility)和义务(liability)，以及如何正确、安全地使用企业信息化系统。3

20、0信息安全风险评估信息安全风险评估 信息安全风险评估项目的目标-了解支撑中国移动关键业务运作的信息系统的安全状况-评估核心信息资产所面临的风险-发现信息安全实践中的薄弱环节和改进机会-明确信息系统的安全需求-提出信息安全控制措施改进方案。信息安全风险评估项目的主要收益包括-明确核心信息资产面临的主要风险-平衡信息安全风险和投入-培养信息安全风险评估队伍31防病毒安全规范防病毒安全规范病毒发展趋势与企业的病毒威胁分析病毒发展趋势与企业的病毒威胁分析 病毒发展趋势-病毒技术与系统攻击技术的结合（蠕虫病毒、木马/黑客病毒）-混合型病毒传播方式多变（蠕虫病毒）-电子邮件病毒感染（脚本病毒、蠕虫病毒、木

21、马病毒）-新病毒爆发时间短危害大（蠕虫病毒、木马病毒、脚本病毒等）企业的病毒威胁分析-恶意破坏桌面终端、服务器系统、网络系统 性能降低、功能失效；破坏系统和数据，造成系统崩溃，网络阻塞-盗窃桌面终端和服务器系统中的机密信息 帐户密码、信用卡资料、机密文件-文档服务器、邮件服务器成为病毒跳板-网络接口成为重要的病毒入侵途径 Web,FTP,SMTP-防病毒管理面临压力 职责不明确、管理规范不完善、用户防病毒意识不高33企业防病毒安全对策企业防病毒安全对策 企业防病毒架构体系建设-覆盖全面、多层次。涵盖集团公司、各省/直辖市、各地市 覆盖桌面终端、服务器、邮件系统、网关-防毒及时 及时更新病毒码、

22、病毒引擎-统一管理 以集团公司、各省或直辖市为单位，由信息化责任部门设立集团公司、省或直辖市内统一的防病毒管理中心 统一防病毒策略制定、统一防病毒工作监控 企业防病毒管理机制加强-防病毒管理策略-防病毒管理职责定义-防病毒管理方法和机制34集团公司防病毒架构集团公司防病毒架构 第一层：集中管理层。-集团总部的统一防病毒管理中心统一管理集团总部的防病毒事务，负责集团总部防病毒架构的工作策略配置的制定和分发。部署防病毒服务器，负责对各个部门的桌面工作站或文档服务器的防病毒控制。第二层：各部门的终端层。-分布于集团总部内网的各个节点，数量众多，通过防病毒软件进行病毒监视和防护。边界层：网关防病毒。-

23、这个层次分布于集团网络出入接口，在这些外部网络接入点部署邮件防病毒过滤服务器、Web防病毒过滤服务器、FTP防病毒过滤服务器。这些边界防病毒过滤服务器接受集团总部防病毒管理中心的统一管理。35省省/直辖市防病毒架构直辖市防病毒架构 第一层：集中管理层。-成立统一防病毒管理中心。这个层次通过中央控制台统一管理企业的防病毒事务，负责省防病毒架构的工作策略配置的制定和分发。第二层：分布层。-部署二层防病毒服务器。这个层次具有多个分布在不同地市部门的防病毒服务器，负责局域网内桌面工作站或者文档服务器的防病毒控制。防病毒服务器接受第一层的防病毒管理中心的统一管理控制。第三层：终端层。-这个层次分布于网络

24、的各个节点，数量众多，通过防病毒软件进行病毒监视和防护。桌面工作站和文档服务器接受二层防病毒服务器的直接管理。边界层：-网关防病毒。这个层次分布于网络出入接口，在这些外部网络接入点部署邮件防病毒过滤服务器、Web防病毒过滤服务器、FTP防病毒过滤服务器。这些边界防病毒过滤服务器接受省/直辖市中心的统一管理。36防病毒工具功能要求防病毒工具功能要求中心防病毒控制台与管理服务器实现统一集中的管理，如防病毒软件的安装、维护、病毒定义码和扫描引擎的更新升级、网络防病毒策略的配置、报警的集中管理、定时调度、隔离、实时扫描和监控等。支持跨越广域网管理、分级管理、和分组管理。防病毒客户端防病毒客户端提供集成

25、化的安全功能，将客户端病毒防护、防火墙、入侵检测集成于一体。防病毒功能方面支持文件系统实时防护、病毒扫描、软件更新、集中管理控制。邮件防病毒（集成于邮件服务器的防病毒工具，邮件防病毒网关）病毒扫描与过滤，对邮件中的病毒文件扫描和过滤，保持病毒码和扫描引擎的更新，支持对多种压缩格式的文件进行解压扫描。内容过滤，采用预定义的字词列表，检查主题、内容和附件等方法内容过滤阻挡垃圾邮件；使用黑名单、白名单等工具管理邮件的收发。Web与FTP防病毒网关防病毒网关支持HTTP，HTTPS，FTP等协议，对所有通过防火墙的HTTP通信和FTP通信进行病毒检测扫描从而保护您的网络免受病毒攻击；也能够使用内容过滤

26、方法（类别列表和数据字典）提供有效的Web内容过滤。37防病毒运维组织架构防病毒运维组织架构 省/直辖市公司建立防病毒管理中心-主要负责防病毒系统的整体规划、落实防病毒系统的具体制度、落实防病毒管理员的工作职责等工作。省/直辖市公司、各地市公司可以参照运维组织架构设立相应的防病毒机构。省/直辖市公司、各地市公司要设立防病毒日常维护小组-负责防病毒系统的日常维护。省/直辖市公司日常维护小组的成员必须是专职的，地市公司原则上也要有专职的防病毒日常维护人员，也可以根据网络及防病毒系统实际状况由系统管理员兼职。系统管理员也作为网络防病毒日常维护的一部分，与防病毒日常维护小组相互协调工作。防病毒应急响应

27、小组-由省/直辖市公司防病毒日常维护人员和安全服务提供商以及防病毒厂商技术人员组成，组成人员可以兼职。省/直辖市公司应急响应系统主要负责解决由于病毒造成网络阻塞等重大问题和事件。38防病毒管理策略要点防病毒管理策略要点 这些防病毒策略要求用于指导建立可靠有效的防病毒机制，指引安全管理组织和病毒处理小组才能够有效地减轻病毒的对公司的潜在威胁。信息资产分类与控制-信息资产负责人的防病毒责任-信息资产分类防病毒控制 人员安全-防病毒安全培训-安全时间和故障响应 系统维护管理-落实防病毒管理流程：文档维护、工具变更、紧急时间响应等-防止恶意软件：病毒扫描和文件数据交换控制 远程办公-移动电脑 遵守防病

28、毒法律规定39防病毒管理职责定义防病毒管理职责定义 集团公司防病毒管理职能-集团公司在防病毒架构体系建设中起到规范标准化、建设指导和监督者的作用。-制定中移动统一的防病毒架构体系建设规范，为各省/直辖市的防病毒架构建设和改进提供了规范性的指导建议；-制定中移动防病毒的管理制度和管理机制规范，指导和规范各省/直辖市的防病毒管理工作；-监督各省/直辖市的防病毒工作，定期以安全审计检查的方式监督下属公司工作是否到位。省/直辖市公司防病毒管理职能-制定防病毒有关具体管理制度和操作规程细则；-部署病毒防护策略和病毒解决方案；-协调和分配各地分公司防病毒任务和职责权限；-发布计算机病毒疫情，以及突发病毒解

29、决方案；-根据计算机病毒疫情调整防病毒管理策略；-贯彻落实省/直辖市公司病毒防护策略和病毒解决方案；-定时统计、分析、汇总和上报本公司防病毒检测情况报告。地市公司防病毒管理职能-根据省/直辖市公司下发的最新病毒信息和解决办法处理各种病毒问题；-负责管理辖内病毒防治的管理和日常维护；-定时统计、分析、汇总和上报本公司防病毒检测情况报告。日常运维管理职能由集团公司、省/直辖市公司和地方公司防病毒相关部门执行和运作。40防病毒管理机制建设要点防病毒管理机制建设要点 防病毒管理机制建设的主要目标是：-有效地管理公司内部病毒事件带来的风险-提高公司所有人员对在防病毒管理过程中相关法规制度的理解与遵守-预

30、防病毒潜在的危险，并能够处理突发病毒事件，保证业务运营连续性 防病毒文档管理-管理文档-运行维护文档 防病毒软件管理-安装软件管理-软件升级更新管理41防病毒管理机制建设要点防病毒管理机制建设要点 终端计算机用户防病毒条例-建立全网用户应该遵循以下用户使用条例：未经许可不能卸载防病毒软件，不能更改配置。如认为防病毒软件影响正常使用，应及时联系管理员进行判断处理。定时检查更新状态，定时执行扫描。注意不要使用未经扫描的软盘启动。不允许访问含有色情、暴力等不健康内容的网站不随意从互联网上下载软件、游戏、电影等。不运行任何可疑文件。对于主题名新奇的电子邮件不要随便打开。病毒突发事件应急响应机制-成员组

31、成管理部门、技术部门的相关人员-处理步骤和流程确认方案隔离清楚恢复后续检查42防病毒管理机制建设要点防病毒管理机制建设要点 防病毒预警机制-新病毒讯息公告与处理-疑似病毒信息发布 防病毒意识培训-防病毒知识普及 防病毒知识全员普及内容 病毒疫情预警 安全漏洞公告 特定病毒处理通告-病毒防治论坛 用于计算机用户在线防病毒技术交流、讨论、求助和建议等 提供相关预防病毒知识43数据库安全规范数据库安全规范数据库安全威胁与对策数据库安全威胁与对策 数据库主要安全威胁-数据被篡改、窃取-用户身份被伪造、密码被盗用-未经授权对表、列、行的存取-缺乏有效的跟踪、监控机制 数据库安全管理关键要点-管理细分和委

32、派原则 数据库管理员与安全管理员-最小权限原则 本着最小权限原则，从需求和工作职能两方面严格限制对数据库的访问权-帐号安全原则 密码规则、用户帐号管理-有效的审计 用户行为和数据库活动-加强关键数据库安全保护 数据库备份恢复、数据加密45数据库基本安全技术数据库基本安全技术安全风险安全风险解决方法解决方法安全技术安全技术未验证用户确认用户身份帐户认证未授权的数据存取限制数据存取访问控制加密存储数据存储数据加密限制权限权限管理网络数据侦听、窃取保护网络网络加密数据破坏备份恢复数据库备份账号密码脆弱强制密码安全密码规则缺乏跟踪监控用户的行为安全审计系统入侵加密敏感数据存储数据加密技术及时修补安全漏

33、洞安全补丁46数据库系统的安全防护架构数据库系统的安全防护架构 数据库系统的安全除依赖自身内部的安全机制外，还与外部网络环境、运行主机环境等因素息息相关。从广义上讲，数据库系统的安全框架可以划分为三个层次：1.网络系统层次；2.操作系统层次；3.数据库管理系统层次。47网络系统层次安全防护网络系统层次安全防护 数据库的安全首先倚赖于网络系统 网络系统的安全是数据库安全的第一道屏障，外部入侵首先就是从入侵网络系统开始的 针对数据库系统的安全风险，可以采用以下的网络系统层次安全加固方法：-采用防火墙系统 对数据库服务器与外部不受信任网络进行隔离，屏蔽外界对数据库系统的攻击，如SQL注入、未授权访问

34、、密码攻击等；-采用入侵检测系统 对数据库系统的攻击进行监测，发现并切断外部点恶意攻击，如SQL注入、未授权访问、密码攻击等；-采用VPN技术 对网络传输进行安全加密，保护数据库访问的安全，能够有效抵御网络窃听的攻击。48操作系统层次安全加固操作系统层次安全加固 数据库系统安装在主机系统之上，为了有效的保障数据库系统安全，必须对主机系统平台进行规范的安全加固。操作系统用户安全设置-用户组权限设置-数据库使用程序的安全性 操作系统安全日志设置-记录数据库服务的启动、关闭等操作，以及主机管理员、数据库服务管理员、和应用开发人员的行为等 关闭非必要的服务和程序-禁止不使用的数据库服务、应用服务、协议

35、 修补操作系统和更新包 49数据库管理系统层次安全加固（一）数据库管理系统层次安全加固（一）数据库安全策略要点-系统安全性策略要点 用户帐户管理 用户身份确认方式管理 操作系统安全要求-数据库安全性策略要点 根据具体的业务应用要求设计数据对象访问、数据加密-用户安全性策略要点 密码安全、用户角色分组、权限管理-数据库管理者安全性策略要点 特权用户密码保护 特权用户使用限制-应用程序开发者安全策略要点 应用程序开发者的权限限制 应用程序开发者角色的使用限制50数据库管理系统层次安全加固（二）数据库管理系统层次安全加固（二）数据库帐户安全设置要点-定义数据库系统访问帐户负责人员和业务用途，删除无关

36、的或者不再使用的数据库系统访问人员帐户；-修改数据库管理系统内建帐户的初始密码；-对数据库帐户所使用的资源（如CPU等）进行限制。密码安全设置要点-多次注册失败帐户锁定-过旧帐户锁定-防止密码重用-密码复杂性设置-密码的传输和存储安全 访问权限安全设置要点-检查帐户的权限是否与业务使用的要求相符，避免帐户获得超出其业务工作必须的权限；-给予帐户需要的最少权限，包括系统权限和对象权限；-采用存储过程、和数据表视图的方式来限制用户进行数据存取操作。51数据库管理系统层次安全加固（三）数据库管理系统层次安全加固（三）数据库加密-对数据库中存储的重要数据进行加密处理，以实现数据存储的安全保护数据库系统

37、的加密工具包数据库加密系统 数据库备份与恢复-备份方法导出、脱机备份和联机备份备份策略建议-恢复方法数据文件损坏、控制文件损坏、文件系统损坏、介质恢复 日志与审计-日志记录数据库服务、数据库管理员和用户帐户的访问和操作行为-审计跟踪用户的活动，发现安全设置的漏洞，分析安全事件语句审计、特权审计、模式对象审计 管理员客户端安全 数据库安全补丁52进一步数据库安全考虑进一步数据库安全考虑 细粒度访问控制 应用程序安全检查 数据库系统与基于标准的公共密钥体系PKI集成 关键数据库系统灾难备份53防火墙安全规范防火墙安全规范防火墙分类防火墙分类 包过滤（Packet Filter）应用层代理（Prox

38、y）电路层代理（Circuit Proxy）动态包过滤（Dynamic Packet Filter）全状态检测（Stateful Inspection）自适应代理（Adaptive Proxy）深度包检测（Deep Packet Inspection）55防火墙常用技术防火墙常用技术 NAT 双机热备 桥接、路由 内容过滤 带宽管理 附加功能：攻击保护，联动功能，入侵检测56防火墙体系结构防火墙体系结构 屏蔽路由器（Screening Router）双穴主机网关（Dual Homed Gateway）屏蔽主机网关（Screened Host Gateway）屏蔽子网（Screened Subn

39、et）57包过滤防火墙的基本功能安全要求包过滤防火墙的基本功能安全要求 未鉴别的端到端策略：一个内部或外部网络上的主体通过防火墙发送数据流到一个外部或内部网络上的客体。用户数据保护功能 识别与鉴别功能 保密功能 可信安全功能保护 安全审计功能58应用网关防火墙的基本功能安全要求应用网关防火墙的基本功能安全要求 有鉴别的端到端策略：一个内部或外部网络上的主体在发送数据流前，必须通过防火墙的鉴别，才能将数据流传送给一个外部或内部网络上的客体。用户数据保护功能 识别与鉴别功能 保密功能 可信安全功能保护 安全审计功能59防火墙的特殊功能安全要求防火墙的特殊功能安全要求 模块化多端口 多级过滤 内容过

40、滤 多种形式审计告警 VPN（IPsec 和 SSL）入侵检测 带宽管理 集中的安全网管 支持802.1Q封装60防火墙安全策略防火墙安全策略 防火墙安全策略配置:通信策略访问策略应用策略安全策略管理流程：增添安全策略更改安全策略删除安全策略61防火墙管理人员角色分类防火墙管理人员角色分类 超级管理员负责本公司IP网络安全管理员和安全审计员的选用和监督，负责生成安全管理员和安全审计员的账号及相应权限 安全管理员负责职权范围内IP网络安全防范工作的具体实施、安全配置操作和维护工作、以及相关网络安全问题的处理。安全审计员负责所管理主机系统及网络设备的安全定期审查和维护工作。安全审计员仅可以对日志进

41、行审计分析。62防火墙用户参数管理防火墙用户参数管理 认证模式 有效时间 连续认证失败时间 连续认证失败次数 恢复时间 口令管理 闲置时间 并发用户管理63防火墙日志审计与监控防火墙日志审计与监控 日志收集 日志分析 建立安全基线 界定可疑活动 日志存储 安全审计建议 建立安全审计报告 安全问题应对流程 审计与整体监控系统配合64防火墙日常维护管理防火墙日常维护管理 防火墙系统资源监控系统日志监控数据包捕获分析定期备份 同步备份、手动备份、自动备份 远程异地方式、本地存储方式65防火墙适用环境单级防火墙结构防火墙适用环境单级防火墙结构 66防火墙适用环境多级防火墙结构防火墙适用环境多级防火墙结

42、构 67防火墙部署原则防火墙部署原则 骨干层汇聚层接入层68企业信息化系统安全域规范企业信息化系统安全域规范安全域规范的主要内容安全域规范的主要内容 企业信息化系统的现状企业信息化系统的安全域划分安全域的管理、技术、设备需求定义安全域的威胁等级和保护等级企业信息化系统安全域的网络保护70企业信息化系统的应用系统现状企业信息化系统的应用系统现状 统一信息统一信息平台应用：平台应用：统一信息平台包括了OA系统，主要提供企业各种公文处理、电子邮件和信息发布等功能；同时还包括统计查询、电子报销、资源预定、办公用品申领、电子期刊、档案管理、知识管理、考核管理、研发项目管理、搜索引擎、远程办公应用等。MI

43、SMIS应用：应用：MIS包括财务系统、人力资源系统、综合统计系统等应用系统；还包括电子采购系统、全面预算管理系统等。对外通过合作伙伴门户与外部的合作伙伴连接，对内与BOSS系统和网管系统存在接口。71企业信息化系统的应用系统现状（图）企业信息化系统的应用系统现状（图）72企业信息化系统的网络架构（图）企业信息化系统的网络架构（图）73企业信息化系统的应用架构企业信息化系统的应用架构 紧密耦合结构的应用：紧密耦合结构的应用：例如终端标准化，有一个全集团的终端标准化系统，还有各个业务单位终端标准化子系统。松散耦合结构的应用：松散耦合结构的应用：例如OA系统，各个业务单位都有自身的OA系统，其服务

44、器在各个业务单位的服务器区域，而OA互连主要通过公文网关。全部集中在集团总部的应用：全部集中在集团总部的应用：例如电子采购系统，各个业务单位没有单独的电子采购系统，只有集中的系统。74企业信息化系统的应用架构企业信息化系统的应用架构 （图）（图）集团总部 信息化广域专网CMNET VPNPSTN省公司信息化 全集团信息化系统 服务器集团总部75集团总部企业信息化的网络拓扑（图）集团总部企业信息化的网络拓扑（图）76省公司企业信息化的网络拓扑（图）省公司企业信息化的网络拓扑（图）集团公司CMNet网管省计费中心SOC外部接入OA办公自动化DCN省信息化集团总部 信息化内部办公 局域网CMNet网

45、管网管地市1银证邮/ISP地市1 地市信息化银证邮/ISP县级信息化省网管中心SOCMIS服务器地市分公司MISOAOA服务器因特网网管网管BOSS统一信息平台统一信息平台服务器集团公司全集团公司 信息化CMNetCMNet专线集团总部77企业信息化的一级安全域划分企业信息化的一级安全域划分公共区公共区不在中国移动直接控制范围内的区域。包括外界的各种访问设备和用户资源，从外部对中国移动信息化系统进行访问并要求服务。半安全区半安全区安全区安全区核心安全区核心安全区位于中国移动信息化系统控制范围内，是公共区与安全区之间的“过渡”区域。包括所有能被非信任来源直接访问并提供服务的系统和设备。位于中国移

46、动信息化系统控制范围内，是安全控制和保护级别较高的区域。包括中国移动信息化系统内部用户终端和一些重要程度不高且经常使用的服务器。位于中国移动信息化系统控制范围内，是安全控制和保护级别最高的区域。包括中国移动信息化系统重要的应用服务器、数据库服务器、管理控制台和服务器。78企业信息化一级安全域的安全措施企业信息化一级安全域的安全措施公共区公共区半安全区半安全区安全区安全区核心安全区核心安全区外部防火墙防毒网关代理服务外部域名防毒服务器流量监控文件服务加密服务访问控制系统管理入侵检测日志服务外界访问互联网拨号专线外边界内边界核心边界79二级安全域的划分应用系统分类二级安全域的划分应用系统分类全国互

47、访应用：全国互访应用：如e-learning系统，从全集团的角度向所有中国移动员工提供服务。其用户是集团总部和各省公司信息化系统内部员工，从内部安全区或外部半安全区发起访问。局部应用：局部应用：如OA系统，主要是集团总部和各省公司信息化系统为各自的内部员工提供服务，其用户访问来自各自安全区内的日常办公区，服务器放置在各自核心安全区内的服务器区。如果有互访要求，可以通过各自集团省公司互联区内的公文网关进行数据传输。对外应用：对外应用：如电子采购系统，用户是中国移动的供应商，信息化系统内部只有发布、更新和维护工作。这类应用的用户终端位于公共区，因此其服务器只能放置在半安全区的DMZ区。如果该服务器

48、的保护级别要求很高，也可以放置在核心安全区，通过DMZ区的应用代理服务器作应用数据转发。80二级安全域的划分集团总部（一）二级安全域的划分集团总部（一）81二级安全域的划分集团总部（二）二级安全域的划分集团总部（二）82二级安全域的划分省公司（一）二级安全域的划分省公司（一）83二级安全域的划分省公司（二）二级安全域的划分省公司（二）84公共区公共区 两个子区域：两个子区域：非移动用户接入区移动用户接入区 公共区的业务数据流公共区的业务数据流 公共区的安全策略公共区的安全策略 公共区的安全设备需求公共区的安全设备需求 85半安全区半安全区 两个子区域：两个子区域：DMZ区集团省公司互联区 DM

49、ZDMZ区的业务数据流区的业务数据流 DMZDMZ区的安全策略区的安全策略 DMZDMZ区的安全设备需求区的安全设备需求 集团省公司互联区的业务数据流集团省公司互联区的业务数据流 集团省公司互联区的安全策略集团省公司互联区的安全策略 集团省公司互联区的安全设备需求集团省公司互联区的安全设备需求 86安全区安全区 三个子区域：三个子区域：日常办公区内部系统互联区省地市公司互联区 日常办公区的业务数据流日常办公区的业务数据流 内部系统互联区的业务数据流内部系统互联区的业务数据流 省地市公司互联区的业务数据流省地市公司互联区的业务数据流 安全区的安全策略安全区的安全策略 安全的安全设备需求安全的安全

50、设备需求 87核心安全区核心安全区 两个子区域：两个子区域：服务器区管理区 服务器区的业务数据流服务器区的业务数据流 服务器区的安全策略服务器区的安全策略 服务器区的安全设备需求服务器区的安全设备需求 管理区的业务数据流管理区的业务数据流 管理区的安全策略管理区的安全策略 管理区的安全设备需求管理区的安全设备需求 88企业信息化系统的威胁等级威胁分析企业信息化系统的威胁等级威胁分析 公共区：公共区：与互联网直接相联，威胁主要是来自外部威胁，包括黑客攻击、病毒扩散等，因此属于非信任区，其受到的威胁等级最高。半安全区：半安全区：与非信任区直接相联并接受其访问，也会受到一定的外部威胁和内部威胁，因此