1、2.1 业务缺乏安全保障 62.2 业务缺乏状态可视 72.3 业务缺乏流程控制 83 概要设计 103.1 业务威胁防御系统 103.2 业务健康管理系统 113.3 业务访问管理系统 124 详细设计 134.1 业务威胁防御系统 134.1.1 防火墙子系统 134.1.2 UTM子系统 134.1.3 网关防病毒子系统 144.1.4 反垃圾邮件子系统 154.1.5 桌面防病毒子系统 154.1.6 主机加固 164.2 业务健康管理系统 164.2.1 网络入侵检测子系统 164.2.2 漏洞扫描子系统 174.2.3 应用安全管理子系统 184.2.4 安全管理平台 184.3
2、业务访问管理系统 194.3.1 SSL vpn子系统 194.3.2 终端安全防护子系统 204.3.3 补丁管理子系统 204.3.4 安全审计子系统 204.4 产品部署示意图（请根据实际情况修改！） 221 项目背景根据用户实际情况编写。信息化的深入，使安全问题就更加严峻，特别是某些安全问题如病毒、攻击和入侵等已经引起了人们的高度重视。信息化安全是一个普遍问题，但是，不同行业信息化有自己的特点，信息化安全的重点和所采取的对策也不尽相同，因此，针对xxx信息化的特点，系统地分析安全问题并提出适合行业特点的安全对策是有必要的。本方案主要针对根据用户实际情况编写。2 安全需求分析请根据用户实
3、际情况作修改！xxx信息化当前主要有四个突出特点：信息化重点是管控一体化、追求高性能和高可靠性、统一信息化平台基本建成、网络应用日益加强。这四个特点是由xxx行业自身的特点决定的，并具有一定的时代特点。结合xxx企业信息化的特点，我们以业务需求为中心，将信息安全建设的需求总结为业务安全保障、业务状态可视、业务流程可控三个方面。2.1 业务缺乏安全保障越来越多的黑客、病毒、不法机构和人员都有可能对xxx企业业务系统的正常运行产生威胁。因此，企业业务系统实际上随时都可能遭受恶意攻击，必须在安全防护上全面考虑。 xxx企业的业务系统是整个业务的支撑，应对业务系统进行重点防护，如果不对业务系统的访问行
4、为进行控制，非授权用户可能窃取机密数据、删除和修改业务数据、甚至植入病毒，引起系统中断服务或瘫痪。同时，如果不对日益猖獗的病毒问题进行防御，有可能从外部或内部其他区域引入病毒，影响业务系统的正常运行。同时，垃圾邮件的泛滥将阻碍业务的正常开展，同时可能引入注入病毒、木马、钓鱼攻击等众多的安全风险。最后，操作系统漏洞、业务系统漏洞、应用软件漏洞不断被发现，如果不重视业务系统日常的安全运维，业务系统将可能由于安全漏洞的发现、由于缺乏及时的响应，而引入风险、造成破坏。如何经济、高效地构建一个全面安全保障体系，已经成为信息系统建设中不可回避的问题。为了对业务系统的安全进行保障，信息安全系统的建设重在“防
5、范”和“管理”，需要通过部署各种安全设备来完成对业务系统、核心数据的安全保障工作。用安全技术来辅助安全管理。应该通过部署多种安全设备，例如：防火墙、防垃圾邮件、桌面防病毒、网关防病毒、服务器加固等，组成深度防御的信息安全保障体系，以保障业务系统的正常运行。在业务安全保障方面，主要需求如下： 应在业务终端与业务服务器之间进行路由控制建立安全的访问路径； 应避免将重要网段部署在网络边界处且直接连接外部信息系统，重要网段与其他网段之间采取可靠的技术隔离手段； 应在网络边界处与终端主机上对恶意代码进行检测和清除；组成纵深防御的安全建设体系； 建立能对边界和内部进行有效控制、能抵御病毒、恶意代码及各种攻
6、击的安全防护体系； 应在网络边界处对垃圾邮件进行检测和清除； 对业务服务器脆弱的服务进行加固，全力打造安全主机； 安全事件发生时，将威胁隔离在各个区域，防止威胁在区域间扩散；2.2 业务缺乏状态可视大型企业已经对安全产品的应用形成了一定规模。而由于大型企业的信息系统复杂性，安全产品的部署也相当复杂。如采用不同厂家、不同型号的安全产品共同构建安全体系，已经成为各个企业普遍的做法。由此带来的问题是，众多安全产品的使用方式、管理界面、报警方式等各不相同。管理员往往被淹没在各种真真假假的海量信息中。既难以发现真正有用的信息，更难以从中发现重要安全事件而迅速采取应对措施。当出现如：用户无法访问业务系统的
7、情况时，到底是网络设备出现了故障，还是安全策略发生改变，甚至是服务器宕机或应用系统出错等等问题，管理员根本无法迅速判断。归根结底，都是由于业务的安全相关属性没有形成简洁高效的可视化界面。对于xxx业务系统的信息安全建设，应该包含监控、管理、响应、防范等几个方面的功能。信息安全应该是一个多层次、多因素、综合的动态过程，要求对信息系统和组织体系进行综合思考和统一规划，需要一种新的运行方式，能将终端设备统一的管理；将不同位置、不同安全系统中分散且海量的单一安全时间进行汇总，统一规范和分析处理；实时监控业务系统的健康状态和设备是使用情况从全局的角度分析安全问题，并形成有效的安全事件处理决策，制订统一的
8、处理流程规范，对安全事件进行统一响应和处理，保障业务状态的可视化。在业务状态可视方面，主要需求可以总结为以下几点： 应能够检测到对重要服务器进行入侵的行为，能够记录入侵的源IP、攻击的类型、攻击的目的、攻击的时间，并在发生严重入侵事件时提供报警； 应定期对网络系统进行漏洞扫描，对发现的网络系统安全漏洞进行及时的修补； 应对重要服务器进行监视，包括监视服务器的CPU、硬盘、内存、网络等资源的使用情况； 应能够对系统的服务水平降低到预先规定的最小值进行检测和报警； 能够实现网络行为管理，规范业务操作流程，防止偶然或意外的事件导致对业务的影响。 提供系统漏洞分析、补丁自动分发、分发策略管理和分发流量
9、控制功能 建立预防业务中断和保障业务健康持续运行的业务保障体系； 建立高效、统一的管理视图，方便和全面监控的安全管理体系；2.3 业务缺乏流程控制当业务系统建成后，什么人，在何时何地访问了什么内容。都是管理员所必须严格控制的关键。而多种业务系统同时运行，通过应用系统本身的认证机制很难保证安全策略的一致和高效。非法用户访问或合法用户的越权访问等安全事件屡见不鲜。信息安全建设要实现自主可控，所谓可控，就是要对业务数据的整个处理流程进行监视与控制，保障业务系统正常运行，对于业务及数据的访问进行严格的用户身份识别、认证、授权、审计，保障只有合法的用户可以接入到网络中来，访问所需资源，保证用户有对资源的
10、响应访问权限。对于用户访问情况、资源使用情况进行严格的审计，当有安全事件发生时，可以通过日志和审计，重现安全事件发生的时间、方式、以及网络环境，为管理员回溯事件，恢复系统、更正漏洞、认定责任、修复缺陷等提供依据，保障整个业务流程的可控。 可以提供基于应用层的访问控制，提供移动性和分散性的远程安全访问，用加密手段传输数据； 在用户接入网络前，能够对用户终端进行安全检查，对不符合安全标准的用户进行“隔离” 合理控制用户的网络行为，提升安全防御能力。 对于设备访问限制，根据需要为用户配置访问权限限制。 应对网络系统中的网络设备运行状况、网络流量、用户行为等进行日志记录；应能够根据记录数据进行分析，并
11、生成审计报表；3 概要设计理念： 对于xxx企业这样以数据处理和业务推进为核心的网络来说，安全系统的建设不应成为应用和业务的限制和枷锁，而应该是促进业务更好、更快发展的助推剂和坚实基础。角度： 为实现这一安全理念，应该从保障数据中心的核心价值，也就是保障整合后的数据和业务持续、健康、高效的运行这个角度来考虑信息安全的规划和建设。因此应该有一个紧密联系业务运行各方面安全需求的安全体系。方法：应该从以下三个方面为xxx企业信息安全系统建设保驾护航。 业务威胁防御系统 业务健康管理系统 业务访问管理系统3.1 业务威胁防御系统面临问题：针对xxx分公司网络，我们看到，其主要的信息资产包括网络中的应用
12、系统；承载应用系统的重要服务器（数据库和应用服务器）；承载访问和数据交换的网络设备和物理线路等等。由于操作系统和应用软件的安全漏洞被发现的越来越快，覆盖面越来越广,补丁开发速度远滞后于漏洞被利用的速度，同时攻击的手段的综合化,而且攻击自动化程度和攻击速度的提高，xxx业务系统的重要业务服务器面临着非授权访问、病毒传播、Dos/DDoS攻击、垃圾邮件传播等威胁。解决方案：针对保障业务安全方面的问题，在进行信息安全系统建设的过程中，针对业务系统面临的威胁和可能的风险，应采用多种安全技术和产品以及服务进行防御，保障业务系统的正常运行。在网络出口处以及重要服务器前，应部署防火墙，进行访问控制和攻击防御
13、。同时，应该在网络出口处部署网关防病毒产品，在终端主机上部署网络版防病毒软件，组成纵深防御的防病毒体系。在联合办公楼与其他厂区之间，通过部署UTM设备，可以对流量进行检测和控制。也可以通过UTM进行集中的访问控制。同时，对承载业务系统的服务器进行主机加固。为了防止垃圾邮件对正常业务造成影响，防止安全威胁由通过垃圾邮件引入，应在网络出口处部署防垃圾邮件系统。3.2 业务健康管理系统对业务系统状态的监控，可以使管理员充分了解主机、服务器运行情况、业务系统工作情况。可以使管理员合理利用产品、配置和使用资源提供依据。但是，传统的信息建设，在业务健康管理方面，可能会存在以下问题：管理员无法随时掌握网络的
14、实际安全状况。无论是安全设备或服务器所发生的安全事件报警，或是已经出现的系统宕机等问题，都无法及时发现并进行正确处置。对入侵、攻击的行为无法及时发现；对业务系统的运行状态无法实时监控，不能最合理的进行资源配置；对于用户终端，无法集中管理和监控，对终端难以进行统一策略的安全防护。针对业务健康管理方面的问题，应该从预防、监控、防御、管理等几个步骤来进行。首先，应该利用漏洞扫描系统，对业务系统中存在的漏洞进行检测，提前发现并修复漏洞，做到对安全威胁的预防。其次，应该在网络中部署网络入侵检测系统，及时发现网络中的攻击和入侵行为，及时向管理员报警；对于承载业务系统的重要业务服务器，应该通过部署应用安全管
15、理系统，进行统一的监控；对业务服务器、数据库服务器，进行实时的监控，保证对业务访问和处理的可靠性。最后，应部署安全管理平台，对设备状态进行统一的监控管理。3.3 业务访问管理系统由于业务系统的复杂性，对用户的访问控制和行为审计来说，通过人为管理面临多种问题：难以对庞大的用户群体定义最适合的访问权限、难以有效的防止非法终端接入到网络当中、难以对用户身份进行有效识别和授权、难以对用户的行为进行可靠审计；遭受来自外联单位以及内部的针对网络基础设施、主机系统和应用服务的各种攻击，会造成网络和系统服务不可用、信息泄密、数据被篡改等。针对上述可能存在的问题，应该通过安全设备的部署，使用户的访问更简便，更安
16、全，更可靠。通过部署SSL VPN，可以提供便利的远程用户接入，同时，由于信息流经过加密，接入的安全得到保障；为了便于统一的补丁管理、分发，应该部署补丁管理系统；通过部署终端安全防护产品，控制用户的访问行为，使合法的用户，通过安全的方式来访问网络中的资源，做到统一的资产管理、终端保护、应用监控。最后，对于用户的访问请求，资源访问情况，应该通过部署安全审计系统来进行审计。为故障恢复、责任认定、业务完善提供依据。4 详细设计在概要设计的基础上，我们对业务威胁防御系统、业务健康管理系统、业务员访问管理系统进行详细的分析，对设计到的产品和技术，进行详细的阐述及介绍。4.1 业务威胁防御系统4.1.1
17、防火墙子系统配置防火墙是保证网络系统安全的第一步，也是系统建设时首要考虑的问题。防火墙通过监测、限制、更改通过“防火墙”的数据流，可以保护网络系统不受来自外部的攻击。防火墙处于网络安全体系中的底层，属于网络层安全技术范畴。作为内部网络与外部公共网络之间的第一道屏障，防火墙是最先受到人们重视的网络安全产品之一。虽然从理论上看，防火墙处于网络安全的底层，负责网络间的安全访问控制、认证与传输，但随着网络安全技术的整体发展和网络应用的不断变化，现代防火墙技术已经逐步走向网络层之外的其他安全层次，不仅要完成传统防火墙的过滤任务，同时还能为各种网络应用提供相应的安全服务。防火墙是一个或一组用于过滤进、出网
18、络的数据包的系统。它基于多种标准对数据包进行过滤，包括特定的应用、网络服务、源/目的地址等，同时使用单一的规则为整体网络提供一致的安全策略。在xxx分公司网络中，主要在网络出口以及服务器区前部署防火墙，网络出口分为广域网出口和互联网出口，在网络出口处，主要抵御来自外部网络的风险，对来自外部的访问，进行访问控制和攻击抵抗。在服务器前部署防火墙，重点保护重要的业务服务器，对来自内部和外部的针对服务器的访问请求进行严格的访问控制，同时，可以避免网络蠕虫或入侵攻击行为渗透到服务器区。4.1.2 UTM子系统统一威胁管理（Unified Threat Management）， 2004年9月，IDC首度
19、提出“统一威胁管理”的概念，即将防病毒、入侵检测和防火墙安全设备划归统一威胁管理（Unified Threat Management，简称UTM）新类别。目前，UTM常定义为由硬件、软件和网络技术组成的具有专门用途的设备，它主要提供一项或多项安全功能，同时将多种安全特性集成于一个硬件设备里，形成标准的统一威胁管理平台。UTM设备应该具备的基本功能包括网络防火墙、网络入侵检测/防御和网关防病毒功能。在一些下级或小型的分支机构，数据流量比较小，主要是访问上级的资源，对设备的性能要求不高，因此没必要部署多层防护设备。而小型分支机构成为病毒的源头的可能性最大，因此防病毒是小型分支机构边界的重点任务。从
20、功能需求和控制总体投资的考虑，采用统一威胁管理（UTM）设备进行防护，一台设备即可实现防火墙、VPN、防病毒、入侵防御、防垃圾邮件、网页过滤六种设备的功能，不仅降低了设备成本还降低了管理成本，兼顾了投资和整体安全的平衡。在xxx分公司联合办公楼与其他厂区之间，通过部署UTM设备，可以集中的对流量进行检测和监控，阻断异常的流量，同时，可以检测病毒流量，防止病毒在厂区和联合办公楼之间传播，将蠕虫和病毒控制在一个小的区域。厂区用户对业务服务器的访问，可以在UTM设备上进行访问控制，防止越权访问。4.1.3 网关防病毒子系统传染病防治工作中经常提到斩断传播途径是防止传染病爆发最为有效的手段之一，而这种
21、防治手段不仅在传染病防治方面十分有效，在防止计算机病毒扩散方面起到了同样的效果。由于目前计算机病毒的传播途径与过去相比已经发生了本质的变化，因此为了安全的防护手段也需以变应变。蠕虫病毒产生以前，计算机病毒主要是以软盘这样的移动存储介质传播的；自蠕虫病毒出现之后，网络（包括Internet、广域网、局域网）则取代了移动存储介质的位置。在网络传播途径中，又以邮件自动转发的传播形式所占比重最大。以蠕虫病毒为代表的新一代计算机病毒多是利用用户的邮件服务器以达到迅速扩散的目的，这类病毒往往成为用户网络瘫痪的直接原因。给用户造成重大损失。 防病毒网关通过对病毒检测、防火墙的整合和改良，使防病毒网关产品可以
22、很好地防御目前流行的混合型数据攻击的威胁。这些特性和技术使得IT管理人员可以很容易地控制各个网络中各个方向的病毒数据流的泛滥。同时，设备可以支持动态的行为特征库更新，更具备7层的数据包检测能力。蠕虫病毒是对xxx分公司网络的重大危害，蠕虫病毒在爆发时将使路由器、3层交换机、防火墙等网关设备性能急速下降，并且占用整个网络带宽。针对病毒的风险，应通过终端与网关相结合的方式，以用户终端控制加网络防病毒网关进行综合控制。重点是将病毒消灭或封堵在终端这个源头上。在广域网出口及互联网出口上部署网关防病毒系统，在网络边界对数据流进行集中监测和过滤控制，可以在一定程度上避免蠕虫病毒爆发时的大流量冲击。4.1.
23、4 反垃圾邮件子系统 电子邮件过滤能够确保一个单位生产效率，降低网络、邮件服务器和存储环境被垃圾、恶意邮件充斥的可能性，防止以财务获取等为目的的病毒攻击。此外，电子邮件使用者不仅能向IT系统传播病毒、散布垃圾邮件，还能将一个单位的知识产权内容和单位的内部信息内容通过电子邮件的形式发送给外界或无意接收这些信息的人，电子邮件过滤能够使一个单位规避这种风险。未来电子邮件过滤技术将会融入更多综合信息安全内容。反垃圾邮件将是网络安全解决方案中的重要组成部分。在xxx分公司网络中，通过部署反垃圾邮件系统，集中的对邮件进行检测过滤，可以对邮件的主题、收发邮件人、内容关键字、附件等进行检查，自动将垃圾邮件拦截
24、，防止垃圾邮件进入到公司网络中，保证业务不受影响、防止病毒、不良信息等通过垃圾邮件传播。4.1.5 桌面防病毒子系统桌面防病毒软件作为防病毒体系中重要的一环，可以对终端进行防护，防止终端收到病毒的影响。桌面防病毒可以配合网关防病毒、服务器防病毒等技术和产品，组成纵深防御的病毒防御体系。通过集中的对病毒防御策略进行设置，统一下发到用户终端，实现统一的病毒防护、特征代码的统一升级、终端状态的统一监控。xxx分公司业务系统网络具有用户数量众多、用户环境复杂、安全级别要求高等特点。因此，部署xxx分公司的防病毒系统需要进行认真规划，重在提供强大的病毒查杀能力、多种病毒查杀方式、多种病毒特征代码升级方式
25、和灵活适当的管理模式。考虑到xxx分公司业务系统对安全防病毒的重视程度以及目前的实际情况， xxx分公司防病毒系统的管理应该采取严格的管理策略，即针对计算机终端建立集中控管的防病毒系统，提供web安装、FTP等升级方式，方便防病毒系统的安装和升级。提供全网范围内的在线杀毒，以供特殊情况下的病毒查杀。4.1.6 主机加固主机加固，是安全运维服务体系中重要的组成部分，安全运维服务以风险管理为核心，从安全事件管理着手，注重事前、事中、事后的各个安全运维环节的细微处理，全方位地帮助客户降低安全运维负担，控制安全风险，为保障用户业务目标的实现提供贴心的呵护。主机加固根据客户主机系统应用的具体情况，制定相
26、应系统的测试方案、加固方案与回退方案，针对不同类型的目标系统，通过打补丁、修改安全配置、增加安全机制等方法，合理加强设备与应用的安全性4.2 业务健康管理系统4.2.1 网络入侵检测子系统网络入侵检测系统位于有敏感数据需要保护的网络上，通过实时侦听网络数据流，寻找网络违规模式和未授权的网络访问尝试。当发现网络违规行为和未授权的网络访问时，网络监控系统能够根据系统安全策略做出反应，包括实时报警、事件登录，或执行用户自定义的安全策略等。入侵检测系统可以部署在网络中的核心， xxx分公司网络中采用入侵检测系统，监视并记录网络中的所有访问行为和操作，有效防止非法操作和恶意攻击。同时，入侵检测系统还可以
27、形象地重现操作的过程，可帮助安全管理员发现网络安全的隐患需要说明的是，IDS是对防火墙的非常有必要的附加而不仅仅是简单的补充。入侵检测系统作为网络安全体系的第二道防线，对在防火墙系统阻断攻击失败时，可以最大限度地减少相应的损失。IDS也可以与防火墙等安全产品进行联动，实现动态的安全维护。入侵检测系统是防火墙技术的补充，利用防火墙技术，经过仔细的配置，通常能够在内外网之间提供安全的网络保护，降低了网络安全风险，但是入侵者可寻找防火墙背后可能敞开的后门，或者入侵者也可能就在防火墙内，或者利用防火墙开放的端口进行伪装攻击，从而绕过防火墙。4.2.2 漏洞扫描子系统目前的操作系统或应用系统无论是Win
28、dows还是其它任何商用UNIX操作系统以及其它厂商开发的应用系统，由于其开发厂商的各种原因（软件开发者设计不完善、编码错误等）存在安全漏洞，这些安全漏洞有可能存在重大安全隐患（例如在极端测试下造成程序溢出，进而让攻击者取得权限）。因此，建立一个完全安全的没有漏洞的系统是不可能的，一个最佳方法是，建立比较容易实现的安全系统，同时按照一定的安全策略建立相应的安全辅助系统，漏洞扫描器就是这样一类系统。漏洞扫描系统是一种主动检测本地或远程主机系统安全性弱点的程序，采用模仿黑客入侵的手法对目标网络中的工作站、服务器、数据库等各种系统以及路由器、交换机、防火墙等网络设备可能存在的安全漏洞进行逐项检查，测
29、试该系统上有没有安全漏洞存在，然后将扫描结果向系统管理员提供周密可靠的安全性分析报告，从而让管理人员从扫描出来的安全漏洞报告中了解网络中服务器提供的各种服务及这些服务呈现在网络上的安全漏洞，在系统安全防护中做到有的放矢，及时修补漏洞，从根本上解决网络安全问题，有效地阻止入侵事件的发生。漏洞扫描技术是网络安全防御中的一项重要技术，它的成功应用，在网络安全体系的建设中可以大规模减少安全管理员的负担，有利于保持整个网络安全政策的统一和稳定。虽然亡羊补牢可贵，未雨绸缪才是理想境界。在xxx分公司网络中部署漏洞扫描产品，及时发现和修补漏洞，从根本上解决网络安全问题。4.2.3 应用安全管理子系统在系统监
30、控管理方面，用户最关心的是业务系统的监控管理，目前通用的系统管理软件无法对用户多样的关键业务系统进行有效监控、管理和展现。应用安全管理系统是一个全面的关键业务应用系统管理工具，该产品能够在一个平台上实现对多个关键业务系统全面、高效、统一管理。应用安全管理系统主要有如下功能：统一管理：它提供了一个通用的图形界面和网络管理基础架构，用于跨设备执行管理功能、集成应用，并实现网元管理统一化。全网络可视性：借助发现、物理和逻辑拓扑图、集中事件管理、图表和统计消息等功能，能够全面显示和深入报告网络的行为。在分布式网络中也同样支持此能力。网元管理：它通过本地网元管理器对每个设备提供直接的访问，并允许从某个中央位置配置所有的网络设备。另外，还支持跨多种设备类型进行基于策略的管理。远程管理：能够管理大型的、分布式的网络。可分布式部署应用安全管理系统从本地捕捉网络统计数据，并将相关的信息传送到中央集中管理控制器。可伸缩的体
