冠群金辰安全解决方案模板0517

1、XXXX系统网络安全解决方案建议书冠群金辰（冠群金辰-Jinchen）软件有限公司2001/5/151 前言1.1背景目录1.2冠群金辰公司与CA公司1.3 内容简介2计算机系统安全问题92.1 从计算机系统的发展看安全问题92.2 从计算机系统的特点看安全问题 102.3 XXXX系统安全问题133 XXXX系统网络安全解决方案15安全管理哲学153.1.1 全面安全保护153.1.2 工具和服务相结合 173.1.3 安全管理过程183.2 人员角色划分203.3 安全管理策略213.4 XXXX系统安全防护的主要考虑 223.5 冠群金辰的方案建议 233.5.1 网络级安全防护233.

2、5.2 系统级安全防护263.5.3 应用级安全保护 283.6 首期部署产品314相关产品介绍334.1 防病毒334.1.1 KILL的技术优势3全球领先的反病毒技术 3VXD 机希9 3实时防治病毒 3病毒检测技术 364.1.2 KILL的性能特点374.121全方位病毒防护 3压缩文件的病毒查杀 3定时扫描系统3病毒源跟踪与隔离3远程自动安装 3集中的网络管理系统 3灵活而强大的网络报警系统 3网络自动更新、软

3、件分发 3实时防护邮件系统 30 对 In ternet 网关的防护404.1.3 KILL与其它同类产品比较的相对优势 40卓越的病毒防治技术 40研发本地化，程序内核安全可靠 4中外强强结合，对付国产和国外病毒能力超群 4全中文产品，系统资源占用低，性能优越 4可管理性高，易于使用 4产品集成度高4高可靠性 4全面自动化 4可调配系统资源占用率 40良好的售后服务 454.2 防火墙464.2.1冠群金辰

4、eTrust Firewall功能概述 464.2.2冠群金辰eTrust Firewall的技术特点 49423冠群金辰eTrust Firewall的产品特性 50424冠群金辰eTrust Firewall的优势5 eTrust Firewall是构筑企业级防火墙群的最佳选择 524.242无需防火墙专家即可轻松作出专家级配置 544.243安全可以看的见的防火墙564.3 入侵检测574.3.1概念和原理574.3.2入侵检测功能594.3.3 会话记录、拦截功能 594.3.4防止网络滥用604.3.5活动代码和病毒防护 624.3.6与防火墙配合624.3.7 特性

5、634.3.8集中管理66、八 、,刖言1.1背景在现代的信息社会中，电子商务的发展如火如荼。各种网络应用从非商业、自 娱性迅速向以电子商务为代表的商业应用转变，网上书店、门户站点、网络营销等 正在成为现实，利用网络提供增值服务已经成为许多企业的共识。国家的各级机关 包括公安、税务、交通等都提供了网络服务，可以预计一个网络化的政府已不再是 梦想。政府上网工程的实施已经取得了显著的成效，它所带来的巨大的社会效益和经 济效益正逐步释放出来，简单地说可以用“ 增加透明、提高效率、增进沟通、服务 经济”四句话来概括。首先，对社会公众而言，人们可以更直接、更准确、更迅速 地通过因特网了解到政务信息，包括

6、政府的法律规范，从而提高了舆论监督和政府 办公的透明度；其次，“政府上网”活动在促使政府部门在因特网上建立网站的同 时，也促进了部门内部Intranet的建设，从而在客观上提高了政府办公环节的自动 化应用程度，提高了政府的办事效率；第三，越来越多的部门通过网络公开施政，通过因特网拓宽了政府与企业、与百姓交流的渠道，开辟了便捷的网络服务 窗口；第四，有效地为经济发展服务，在政府上网的带动下，各行各业的信息源纷 纷上网，有利于各种招商引资活动的展开，促使企业供给等信息以最快捷的方式发 布到网络媒体上，有助于在网上建立一个又一个永不落幕的展览会、交易会，为国 内企业参与国际化的市场竞争提供了先进的技

7、术手段。可以想像，通过发展网络， 建设信息化工程，将进一步成为各级政府部门促进其发展经济的重要策略。在这种电子商务迅速发展的形势下，XX也积极进行电子商务系统的建设。在 XXXX系统的设计中，对系统的高可靠性、可用性、性能和与XX现有业务系统的互联都做了充分的考虑。系统中的关键部件，如DNS/Mail服务器、防火墙系统、负载平衡服务器、WEB服务器、数据库服务器、应用服务器等都采用双机热备份构成高可用性系 统，最大限度地避免了单点故障对系统造成的影响。在系统中多处使用了负载均衡 系统，保障用户对 WEB等应用访问的高性能。同时，设计的电子商务系统也与 XX现有的TMIS、客票等业务系统通过防火

8、墙连接，可以按照业务要求从这些业 务系统中取得有关业务数据，以完成电子商务的要求。系统的设计也对系统的安全性做了一定考虑。电子商务系统与In ternet、内部业务系统之间都设置了防火墙，可以起到一定的安全防护作用。但是，电子商务系 统是连接业务系统和公众的纽带，是众多黑客攻击的首选目标，因此，只靠防火墙 实现的简单的防护是远远不够的，我们必须对该电子商务系统进行全方位、立体的 安全保护，构建一套真正安全的系统。1.2冠群金辰公司与CA公司北京冠群金辰软件有限公司是中国领先的网络安全解决方案提供商，她成立于 1998年7月15日，是由CA(冠群电脑)有限公司与公安部中国金辰公司共同出资成立 的

9、中外合资企业，这是国内软件业的第一次合资，也是国外先进计算机网络安全技 术与国内先进的反病毒技术的首次融合冠群金辰公司提供KILL系列反病毒软件，包括KILL单机系列；KILL forNT/2000、KILL for Netware、KILL for Exchange/Notes、KILL 客户端、KILL for Unix/Linux ； GUARD系列安全软件，包括企业级防火墙(eTrust Firewall)、入侵 检测(eTrust In trusion Detection)、虚拟专用网(eTrust VPN)、网关级因特网内 容检测与病毒防护(In ternet Protector)

10、等一整套企业级网络安全解决方案及个人 PC安全软件PC-GUARD智能版、发烧版。由于采用了 CA公司Un ice nter TNG的无缝 连接技术,冠群金辰的产品做到了与操作平台的连接性，加之其强大的网络管理功 能、强大的本地化服务体系及良好的声誉，很快成功实施于政府、银行、税务、军 队、医院、航空、冶金、油田、证券、保险、公安、钢铁、电力、电信、教育等行 业部门。作为本地化的公司，冠群金辰公司将服务看作公司发展的原动力，在全国建立 有50家授权服务中心并在上海、北京建有自己的技术中心，随时解答用户问题，做 到快速反应。冠群金辰公司虽然成立仅有短短的两年，年营业额已超过3000万元，在北京、

11、上海、广州建有分支机构，并拥有一个年轻富有朝气的团队，员工具有高学历，年轻化的特点，技术人员均具有多年业界经验，平均年龄不到30岁。针对国内网络安全的现状，冠群金辰公司的目标就是：利用世界领先的计算机、网络安全 技术，为中国的个人计算机、企业网络、政府机关提供全方位的计算机、网络安全 防护产品，为中国计算机安全事业作出自己的贡献。CA国际有限公司（简称CA公司），是美籍华人王嘉廉先生于1976年创建的， 总部位于美国纽约市长岛，是世界领先的独立软件供应商。CA公司开发并支持500多种软件产品，包括系统、网络和数据库安全管理软件、应用软件开发工具、 生产管理（MRPII、ERP）和财务管理软件等

12、等。目前，CA公司已在40个国家开设 了 170个办事处或子公司，2000财政年度全球营业额超过 70亿美元。CA公司非 常重视中国市场的拓展，已先后成立了独资公司一冠群电脑中国有限公司及数个合 资公司。冠群电脑中国有限公司成立以来，以推动中国各行各业的计算机应用发展 为己任，致力于将最先进最实用的系统管理技术引入用户的应用系统中。CA公司凭借先进的技术与产品，积极与用户合作，努力为用户提供高效、可靠的服务。共 同的利益使CA公司和用户更加紧密地联系在一起。在短短几年的时间里，CA公司在国内许多大型信息系统的建设中得到了用户的信任和肯定。CA公司是计算机安全管理领域最大的产品和服务供应商之一，

13、在安全控管方 面采用的是开放式安全保障技术，对系统安全对象有着完整的鉴别、访问控制、审 计的功能，并支持数据加密。CA公司在计算机系统管理方面积累了十多年的经 验，拥有成熟的技术，其安全控管方面的软件产品在美国大主机安全管理产品中拥 有60%的市场占有率。CA公司的eTrust是全方位的企业级系统安全解决方案。1.3内容简介本网络安全解决方案建议书中，我们首先分析通用的IT系统中的安全问题、XXXX系统应该在安全方面加强的部分，然后阐述冠群金辰公司的安全管理 思路、建议的安全管理模式、管理人员角色划分以及安全规则建设，再次给出使用 冠群金辰的安全管理产品实现这些管理模块的配置，最后介绍建议产品

14、的功能。2计算机系统安全问题目前，计算机系统和信息安全问题是IT业最为关心和关注的焦点之一。据ICSA统计，有11%的安全问题导致网络数据被破坏，14%导致数据失密，15%的 攻击来自系统外部，来自系统内部的安全威胁高达60%。由于受到内部心怀不满的职工安放的程序炸弹侵害，Omega Engineering公司蒙受了价值900万美元的销 售收入和合同损失，由于受到来自网络的侵袭，Citibank银行被窃了 1000万美元，后来他们虽然追回了 750万美元损失，但却因此失去了 7%的重要客户，其声 誉受到了沉重打击。这只是人们知道的两个因安全问题造成巨大损失的例子，实际 上，更多的安全入侵事件没

15、有报告。据美国联邦调查局估计，仅有7%的入侵事件被报告了，而澳大利亚联邦警察局则认为这个数字只有5%。因为许多入侵根本没有被检测到，还有一些受到侵袭的企业由于害怕失去客户的信任而没有报告。那么，为什么当今信息系统中存在如此之多的安全隐患，安全问题如此突出 呢？这是与计算机系统的发展、当今流行系统的设计思路、当前IT系统的使用状况紧密相关的。下面，我们从以下几个方面简要论述。2.1从计算机系统的发展看安全问题安全问题如此突出和严重是与IT技术和环境的发展分不开的。早期的业务系 统是局限于大型主机上的集中式应用，与外界联系较少，能够接触和使用系统的人 员也很少，系统安全隐患尚不明显。现在业务系统大

16、多是基于客户/服务器模式和In ternet/I ntranet网络计算模式的分布式应用，用户、程序和数据可能分布在世界的 各个角落，给系统的安全管理造成了很大困难。早期的网络大多限于企业内部，与 外界的物理连接很少，对于外部入侵的防范较为容易，现在，网络已发展到全球一 体化的In ternet，每个企业的Intran et都会有许多与外部连接的链路，如通过专线连 入In ternet，提供远程接入服务供业务伙伴和出差员工访问等等。在这样一个分布 式应用的环境中，企业的数据库服务器、电子邮件服务器、WWW服务器、文件服务器、应用服务器等等每一个都是一个供人出入的“门户”，只要有一个“门户”没有

17、完全保护好-忘了上锁或不很牢固，“ 黑客”就会通过这道门进入系统， 窃取或破坏所有系统资源。随着系统和网络的不断开放，供黑客攻击系统的简单易 用的“黑客工具”和“黑客程序（BO程序）”不断出现，一个人不必掌握很高深 的计算机技术就可以成为黑客，黑客的平均年龄越来越小，现在是14-16岁。2.2从计算机系统的特点看安全问题在现代典型的计算机系统中，大都采用TCP/IP作为主要的网络通讯协议，主要服务器为UNIX或Windows NT操作系统。众所周知，TCP/IP和UNIX都是以开 放性著称的。系统之间易于互联和共享信息的设计思路贯穿与系统的方方面面，对 访问控制、用户验证授权、实时和事后审计等

18、安全内容考虑较少，只实现了基本安 全控制功能，实现时还存在一些这样那样的漏洞。TCP/IP的结构与基于专用主机（如IBM ES/9000、AS/400）和网络（如SNA网络） 的体系结构相比，灵活性、易用性、开发性都很好，但是，在安全性方面却存在很 多隐患。TCP/IP的网络结构没有集中的控制，每个节点的地址由自己配置，节点之间的路由可任意改变。服务器很难验证某客户机的真实性。IP协议是一种无连接的通讯协议，无安全控制机制，存在IP Spoofing、TCP sequenee numberprediction attacks、Source outing attacks、 RIP attacks

19、、 ICMP attacks、 Data-driven attacks （SMTP and MIME）、Domain Name Service attacks Fragment attacks Tiny fragment attacks Hijacking attacks Data integrity attacks、 En 冠群金辰 psulated IP attacks等各种各样的攻击手段。实际上，从 TCP/IP的网络层，人们很难区分合法 信息流和入侵数据，DoS（Denial of Services,拒绝服务）就是其中明显的例子。UNIX操作系统更是以开放性著称的，在安全性方面存在许多

20、缺限。我们知道，在用户认证和授权管理方面，UNIX操作系统对用户登录的管理是靠用户名和 口令实现的，一个用户可以没有口令（使用空的口令），也可以使用非常简单易猜的 词如用户名、用户姓名、生日、单位名称等作为口令（实际上，大多数人都是这么用的）；一个人只要拥有了合法的用户名和口令，就可以在任意时间、从任意地点 进入系统，同时登录的进程数也没有限制，这些都是安全上的隐患。虽然有的系统 对上述内容有一定程度的限制措施，但也需要复杂的配置过程，不同系统上配置方 法也很不一致，实际上无法全面有效地实施。在对资源的访问控制管理方面，UNIX只有读、写和执行三种权限，无法对文 件进行更为细致的控制。用户可以

21、写某个文件，就能删除它。而在许多应用的环境 下，我们是希望某些用户只能Update文件，不能删除它的。如果对文件的控制权限扩展到读、写、增加、删除、创建、执行等多种，就可以防止恶意或无意的破坏 发生。UNIX还缺乏完善有效的跟踪审计能力。如一个用户企图多次访问某敏感资源 时，系统无法采取强有力的措施处置，管理员也很难发现。这种情况下，如果能及 时迅速地通知安全管理员，能把该用户赶出(logout)操作系统，甚至封死该帐户，使其无法继续登录，无疑会大大加强系统的安全性。UNIX中的root用户为特权用户。一旦拥有了 root的权限，就可以为所欲为， 查看任何文件，进行任何操作。实际上，root只

22、应该具有系统管理员的权限，维护 系统的正常、高效运行，不应该有权窥视、篡改敏感应用(如财务报表)的数据。正是由于UNIX操作系统赋予了 root至高无上的特权，它采成为黑客窥视的主要目 标，给系统安全造成了极大危害。另外，不同的UNIX及UNIX的不同版本在实现的过程中都会有这样那样的BUG，其中许多BUG是与安全有关的。80年代中期，In ternet上流行的著名“蠕 虫”病毒事件就是由UNIX系统的安全BUG造成的。厂商在发现并修正 BUG后 会把PATCH放在其公司站点上供用户下载和安装，但许多用户没有技术能力和精 力理解、跟踪这些PATCH并及时安装。有的UNIX操作系统虽然能够达到较

23、高的 安全级别，但在缺省安装和配置中一般采用较低的安全控制，需要进行许多配置过 程才能达到较高的安全级别。由于水平和精力所限，一般用户环境中很难完成这样 精确的安全配置，经常存在错误的配置，导致安全问题。更为严重的是，一台 UNIX服务器上经常要安装很多商业应用软件，这些软件大多以root用户运行。而这些软件往往存在一些安全漏洞或错误的安全配置，从而导致root权限被人窃取。所以，我们需要一种系统扫描工具，定期检查系统中与安全有关的软件、资源、PATCH的情况，发现问题及时报告并给出解决建议。才能使系统经常处于安 全的状态。2.3 XXXX系统安全问题如前言中所述，XXXX系统建设中虽然对安全

24、问题也做了一定的考虑，设计 了两层防火墙系统。但是鉴于当前IT系统安全性的严重状况，这些考虑还是比较 朴素和初步的，并没有形成一套完整的防护体系。防火墙只是保护XXXX系统的第一道防线，他主要侧重在对通讯的源、目的 地址和端口进行限制。在实际应用中，该系统业务要求所有地址都可以访问WEB服务器上的WEB应用，所以即使有了防火墙，黑客还是可以从任何地方访问 WEB服务器，数据包要通过 DMZ区域网络传输，这些数据包中很可能包含入侵 攻击代码。从技术理论上分，防火墙属于最底层的网络层安全技术，经过仔细的配置，通 常能够在内外网之间提供安全的网络保护，降低网络安全的风险。但事情并不像看 起来那么简单

25、，仅仅使用防火墙保障网络安全是远远不够的，就像深宅大院虽有高 大的院墙，却不能挡住小老鼠甚至是家贼的偷袭。因为首先入侵者可以寻找防火墙 背后可能敞开的后门；其次防火墙完全不能阻止内部袭击，对于企业内部心怀不满 的员工来说防火墙形同虚设；第三，由于性能的限制，防火墙通常不能提供实时的 入侵检测能力。另外，防火墙对于病毒也是束手无策的。因此，以为在In ternet入口处部署防火墙系统就足够安全的想法是不切实际的。另外，XXXX系统的防火墙部署也有一点小小的问题。该系统把电子商务系统 分成了防火墙内部和外部的两部分，外部的负载平衡服务器、WEB服务器、DNS/Mail服务器、应用服务器、数据库服务

26、器等完全暴露在In ternet的黑客面前,没有任何安全防护。据我们理解，这种设计的初衷可能是在这些服务器上部署不需 要保密的电子商务应用，如 XX静态主WEB服务器等，由于数据都是公开地，因 此不需要防火墙的保护。其实这种想法是错误的。首先，虽然这些系统中数据是公 开的，但是如果被客户袭击，造成系统瘫痪，就会严重影响XXXX系统的可用性和可靠性，使系统无法正常为客户服务；更有甚者，如果XXXX主页被涂改、写入反对、淫秽的内容，就会造成更为严重的后果。其次，这些被攻陷的服务器会被 作为进一步进攻的跳板，从而对系统的其他部分进行攻击。在下面章节中，我们会 给出改善这种情况的方案建议。用户不必额外

27、花费大量财力物力，就可以完成对这 些系统的保护。3 XXXX系统网络安全解决方案冠群金辰公司认为，绝对安全与可靠的信息系统并不存在。一个所谓的安全系 统实际上应该是“使入侵者花费不可接受的时间与金钱，并且承受很高的风险才能 闯入”系统。安全性的增加通常导致企业费用的增长，这些费用包括系统性能下 降、系统复杂性增加、系统可用性降低和操作与维护成本增加等等。安全是一个过 程而不是目的。弱点与威胁随时间变化。安全的努力依赖于许多因素，例如职员的 调整、新业务应用的实施、新攻击技术与工具的导入和安全漏洞。安全管理哲学3.1.1全面安全保护冠群金辰公司认为，防火墙系统是保障系统安全的基本而又重要的一部分

28、，但 是还需要与企业系统风险评估、安全策略制定、安全架构制定、安全策略架构的实 施、雇员的培训、事后的安全审计等结合起来统筹规划。防火墙是整个安全管理体 系的有机组成部分，除此之外，我们还应该在系统的其他方面和层次上部署相应安 全产品的工具。冠群金辰公司把IT系统的安全分为网络安全、服务器安全、用户 安全、应用程序和服务安全、数据安全几个部分，在每个部分都有领先的产品和服 务以确保系统的整体安全。网络安全包括什么人对什么内容具有访问权，查明任何非法访问或偶然访问的入侵者，保证只有授权许可的通信才可以在客户机和服务器 之间建立连接，而且正在传输当中的数据不能被读取和改变。服务器安全包括需要控制谁

29、能访问服务器或访问者可以干些什么；防止病毒和特洛伊木马的侵入；检测 有意或偶然闯入系统的不速之客；风险评估被用来检查系统安全配置的缺陷，发现 安全漏洞；政策审查则用来监视系统是否严格执行了规定的安全政策。用户安全是管理用户账户，在用户获得访问特权时设置用户功能，或在他们的访问特权不再有 效时限制用户帐户是安全的关键。身份验证用来确保用户的登录身份与其真实身份 相符，并对其提供单点注册，以解决多个口令的问题。应用程序和服务安全 是指对应用程序和服务的口令和授权的管理，大多数应用程序和服务都是靠口令保护的， 加强口令变化是安全方案中必不可少的手段，而授权则是用来规定用户或资源对系统的访问权限。数据

30、安全是保持数据的保密性和完整性，保证非法或好奇者无法 阅读它，不论是在储存状态还是在传递当中。数据完整性是指防止非法或偶然的数 据改动。现代计算机网络系统的安全隐患隐藏在系统的各个角落，要加强系统的总体安 全级别，必须从网络、计算机操作系统、应用业务系统甚至系统安全管理规范，使 用人员安全意识等各个层面统筹考虑。系统的总体安全级别就象装在木筒中的水， 木筒装水的多少决定于最矮的木板，系统安全级别的高低取决于系统安全管理最薄 弱的环节。所以，我们对系统安全管理应该是多层次、多方面的，要从网络、操作 系统、应用系统各个方面提高系统的安全级别，还要把原来通过管理规定由使用人 员自觉维护的安全规则用系

31、统自动实现，以加强系统的总体安全性。3.1.2工具和服务相结合对系统安全的管理和维护需要各种层次的系统和安全专家才能完成。如果没有 专业人员的介入，没有根据实际情况对安全管理产品进行仔细地配置，对企业的安 全管理规范和策略进行设计，功能再强大的安全产品也达不到很好的安全防护作 用。据统计，在英国50%的用户口令都是宠物名称，而在全世界销售的150,000套防火墙中有60%的防火墙按缺省设置安装，85%的防火墙没有正确的配置。因此，对系统安全的管理应该由70%的规则和方法加 30 %的产品和技术组成。这些规则和方法包括风险评估、安全策略、强的的审计手段等构成。冠群金辰公司不仅提供从各个方面和层次

32、保护系统安全的软件产品，还提供专 业的系统安全服务。通过这些产品和服务，我们可以对用户IT系统进行风险评估，帮助企业在增加信息系统安全的代价（价值建议）与侵害安全所需付出的潜在 代价（威胁）之间作出平衡，为企业提供一个风险评估报告，指出企业每个主要信 息资产的弱点与威胁，也指出企业现有的安全策略对于确保信息安全是否足够；冠群金辰公司在安全策略、规程和方法上具有丰富的经验，可以帮助企业在信息保 密性、完整性和可用性方面制定完善的 安全策略；我们还可以帮助企业设计安全架 构，设计这些安全机制如何相互作用、需要操作这些机制人员的资格和实现计划等 等；然后，冠群金辰公司可以帮助用户在合理的安全架构下实

33、施和实现安全策略，培训用户各个层次的雇员，使之理解他们处理的信息的价值和敏感性，自觉地维护企业安全策略；在企业总统安全策略实施之后，冠群金辰公司还通过独立的安全审计服务，帮助企业随时评估它们的安全状态。这些独立的审计与复杂软件工具的使用结合起来，帮助确定由程序过失和系统失败引起的安全弱点。冠群金辰公司的专业服务按照如下图所示的工作流程工作，可以帮助客户建立、健全一套完全的安全体系策略层设计层实施层A需求分析层连续的调整与改进f3.1.3安全管理过程冠群金辰公司认为，对系统安全的管理不仅仅是购买、部署各种安全产品，而是一个周而复始、螺旋上升的过程。首先，我们需要利用一些安全工具对具体的系统进行

34、评估，系统中每个主要信 息资产的弱点与威胁， 也指出企业现有的安全策略对于确保信息安全是否足够。 通过评估，我们对系统的安全状态和级别有了明确的了解，对系统中哪些部分需要 做怎样的增强也做到心中有数。然后，就要通过部署新产品、修改现有系统和产品 配置等手段对系统进行 检测，监视和寻找系统中的可疑活动和入侵企图，同时，我 们会修正企业安全策略、修改安全产品的安全规则，对各种已知的威胁进行预防，禁止各种已知的入侵行为。最后，我们要对系统的安全状况进行管理，安装设定的策略管理用户和资产的权限，审计系统的活动，发现新的安全问题。如下图所示。通用的政策规驰报晝报表，日志，蛊控安全技术和第三方产品的集威通

35、过审计和管理，可能会发现新的问题。另外，IT系统的结构变化、应用系 统的变化都会导致安全策略的变化。因此，上述过程不是静态的，而是周而复始的 过程，该过程在维护系统安全的活动中一直存在。如上图所示。3.2人员角色划分要对XXXX系统进行有效的安全管理，必须对系统的使用人员和管理人员的 不同角色进行清晰的划分，不同的角色拥有不同的权限和职责，互相制约，共同保 障整个系统的安全性。对于XXXX系统涉及的各类人员，我们建议划分如下角色：1) 决策专家 负责分析XXXX系统安全状况，对购买和使用的产品和工具进 行评估和决策，制定和修正系统总体安全框架，制定确保系统安全的策略 和其他人员遵守的安全管理规

36、章制度等等。这些高层次的专家只是确定安 全的策略，可能在真正的IT系统中根本没有帐户，因此他们不会构成对安 全的威胁。2) 安全管理员 负责把决策专家制定的策略和制定在IT系统中实现。如配置 各网络设备、计算机的安全属性，甚至防火墙、访问控制等安全产品的安 全规则，进行日常的用户增加、修改管理，维护资产的访问权限等。3) 审计员负责对用户违反安全策略的情况、安全管理员、口令管理员操作和 设置的工作进行审计，以发现用户或者其他管理人员的违规操作，形成安 全状况报告。4) 口令管理员 负责维护口令的质量，保证用户按照决策专家制定的口令规则 使用。同时帮助新用户设置口令或者复位用户丢失、忘记的口令。

37、5）安全值班员负责日常的安全监视，一旦系统报告严重的安全问题，立即报 告或执行安全管理员预先制定的应对措施。6）系统管理员 负责对网络设备、计算机、操作系统、数据库等系统进行管 理。但不涉及安全方面的管理。7）用户 系统的使用者，是被管理的对象之一。安全管理员、审计员、口令管理员、系统管理员等角色会相互制约，避免出现 单一的“超级”用户。在安全建设的初期，冠群金辰提供的产品实施和专业服务人员可以与客户高 级安全技术人员共同完成对系统的规划、安全规则制定、安全策略实施等工作。同 时把工作的方法和经验传递给客户的技术人员。在日后系统变化、策略改变时客户 就可以自己规划、实施了。3.3安全管理策略冠

38、群金辰认为，XXXX系统中需要制定的统一的安全策略包括：1）用户口令规则女口：口令的最大长度和最小长度禁止使用用户名、某些特定词做口令规定口令的组成，如至少几个字母、几个数字、几个特殊字符等口令的使用周期，多长时间用户必须改变口令口令的历史，在多长时间内口令不能重复，新旧口令之间必须有多 大差别等2）用户级别划分 对最终用户进行分类，确定那类用户可以访问哪些系统，可 以有和种权限。3）资产级别划分 确定被保护的资产安全级别，每中级别的资源可以由哪一级 别的用户或计算机访问等等。3.4 XXXX系统安全防护的主要考虑1）整体和各级网络结构的正确规划，网络中设备的正确配置；2）整体安全规范制度的确

39、立，各级系统进行信息进行时需要正确依照安全通讯 规则；3）数据传输的一致性、完整性以及保密性，确保数据在各级网络中传输的安 全，以及明确各级信息的重要程度与不可否认性；4）网络安全防护，即数据出入各级网络的安全检查以及网络内部数据传输的安 全审计与管理如，安全网关，代理服务器，防火墙，网络审计等技术的实 施。5）关键设备的重点保护，即对于承担系统中重要工作如，数据计算，数据存 储，信息传输等服务器进行有针对性的系统安全操作规则的制定；6）人员管理，对于使用系统的所有人员进行统一管理，明确划分其在不同网络中的职责权力；7）通用安全防护，如对个人PC机的病毒检测，移动代码过滤等。3.5冠群金辰的方

40、案建议作为一个整体的安全防护体系，冠群金辰建议在XXXX系统中从如下方面加强安全保护：3.5.1网络级安全防护从网络层进行安全防护主要应针对如下几个方面：1）网络访问控制在XXXX系统网络与外界连接处进行网络访问控制，正确区分外部网络用户的身份，区分其是进行查询，修改还是管理维护，提供基于用户的访问规贝针对不同的用户和用户的不同存取要求授予其不同权限，禁止非法用户进入XXXX系统。网络访问控制系统应该具有如下要求：-不仅能够按照来访者的IP地址区分用户，还应该对来访者的身份进行验证- 不仅支持面向连接的通讯，还要支持 UDP等非连接的通讯- 不仅可以控制用户可访问哪些网络资源，还应该能控制允许

41、访问的日期和时间- 对一些复杂的应用协议，如 FTP、UDP、TFTP、RealAudio、RPC和 port map per、En冠群金辰psulated TCP/IP等，采用特定的逻辑来监视 和过滤数据包。- 对于现有的各种网络进攻手段，如IP Spoofing、TCP sequenee numberprediction attacks、Source outing attacks RIP attacks ICMP attacks、 Data-driven attacks(SMTP and MIME)、Domain Name Service attacks Fragment attacks

42、Tiny fragment attacks、Hijacking attacks、Dataintegrity attacks En 冠群金辰 psulated IP attacks等提供有效的安全保 障。2) 网络地址翻译使用网络地址翻译技术，可以让IP数据包的源地址和目的地址以及 TCP 或UDP的端口号在进出内部网时发生改变，这样可以屏蔽网络内部细节，防 止外部黑客利用IP探测技术发现内部网络结构和服务器真实地址，进行攻 击。系统安全管理应该在 XXXX系统网络与外界接口处实现数据包的网络地 址翻译。3) 可疑网络活动的检测我们知道，带有 ActiveX、Java JavaScript、VB

43、Script 的 WEB 页面、电 子邮件的附件、带宏的Office文档等经常带有一些可以执行的程序，这些程序 中很可能带有计算机病毒以及特络伊木马、BO等黑客工具，具有潜在的危险 性。网络安全管理应该能够对这些可疑目标（包括通过SSL协议或者加密传输 的可疑目标）进行检测，隔离未知应用，建立安全资源区域。4）网络入侵防御在XXXX系统内部的网络上，也可能存在来自内部的一些恶意攻击和网 络误用情况，甚至可能存在来自外部的恶意入侵。安全防护体系应该能够监视 内部关键的网段，扫描网络上的所有数据，检测服务拒绝型袭击、可疑活动、 怀恶意的applets、病毒等各种网络进攻手段，及时报告管理人员并防止

44、这些 攻击手段到达目标主机。安全管理应该能够防御如下入侵手段：- 碎片处理（包重组）-探测与不同数据的交叉-接受SYN包中的数据-ID测试支持-Sweep attack-TCP包重叠-确定入侵的新模型- 缓冲区溢出-匹配应用冲突反馈3.5.2系统级安全防护1) 使用系统弱点扫描能够定期扫描操作系统以及数据库系统的安全漏洞以及错误配置。提示管 理员进行正确配置。2) 加强操作系统用户认证授权管理-限制用户口令规则和长度，禁止用户使用简单口令；强制用户定期修改 口令。- 按照登录时间、地点和登录方式限制用户的登录请求3) 增强访问控制管理安全管理应该从如下方面加强UNIX的访问控制机制：- 对文件

45、的访问控制除提供读(Read),写(Write)，执行(Execute)权限外， 还应该有建立(Create)，搜索(Search),删除(Delete)，更改(Update)，控 制(Co ntrol)等权限以满足复杂安全环境的需求- 应该能够限制资产被访问的时间和日期。(例如：某些文件只能在上班 时间被改写，而下班时间不能)- 即使超级用户也不应透过安全屏障去访问未经授权的文件- 对计算机进程提供安全保护，防止非法用户启动或停止关键进程- 控制对网络访问和端口的访问控制4) 计算机病毒防护随着企业IT系统和网络规模的扩展，信息技术在企业网络中的运用越来越广泛深入，信息安全问题也显得越来越紧

46、迫。自从80年代计算机病毒出现以来，已经有数万种病毒及其变种出现，给计算机安全和数据安全造成了极大 的破坏。近期出现的恶性病毒如 CIH等甚至能够破坏计算机硬件，使整个计 算机瘫痪。据NCSA统计，1995年到1996年，计算机病毒的数量增加了 10 倍，其传播途径也从主要靠软盘拷贝变为通过光盘、网络、电子邮件、文件下 载等多种方式，传播速度越来越快。据统计，99.3%的美国公司都受到过病毒的侵袭，修复每次事故要平均花费 8300美元。如何保证企业内部网络抵御网 络外部的病毒入侵，从而保障系统的安全运行是目前企业系统管理员最为关心的问题。所以，系统安全管理应该包括强大的计算机病毒防护功能。5)

47、 WEB服务器的专门保护我们应该针对重要的、最常受到攻击的应用系统实施特别的保护。Web服务器是一个单位直接面对外界的大门，通常也是最先在网络伤害行 为中受到威胁的环节，同时主页是一个单位的形象，特别是公安系统；由于它的社 会、政治地位与影响，对于系统的 WEB保护十分重要。对于 WEB的安全维 护管理，特别是主页的维护，修改主页是一种典型的网络伤害行为，所以主页 的保护，及时恢复是对此行为的有效打击。同时，需要对于Web访问、监控/阻塞/报警、入侵探测、攻击探测、恶意 applets、恶意Email等在内的安全政 策进行明确规划。这些政策包括了解其网络利用情况、检测入侵和可疑网络活 动时需要

48、的规则。这些规则可以非常方便地加以激活、关闭或加以剪裁以满足 系统在一般需要之外的其它具体要求。这些规则包括了监控 /阻塞具体用户 组、地址、域访问特定的 Web站点、URL或内部服务器的功能。3.5.3应用级安全保护安全管理是个广泛的理念，IT环境中出现的不安全问题并不是全部由于单 纯的IT设备本身造成的，相反更多的问题是由于其它非IT技术因素引起的，只是最终通过计算机的载体实现而已。因此对于IT系统的安全管理，不应该仅仅是对于IT设备的安全保护，还要对人员进行安全规范化管理。这是弥补安全漏洞的一 个重要途径。其中的一个关键环节是对于行政机制中人员的级别与权限，如何能够 有效、准确、及时的体

49、现在其日常所接触到的IT系统中。由于公安系统本身具有十分充分的安全理念和制度，所以实现其于电子化之中的过程非常关键，同时能够 跟随业务机构调整而进行相关变化的及时响应是确保整体信息系统规范化要素。而且集中的，一致的管理，可以使目前公安系统一些部门人力资源有限的实际 问题得到一定程度的缓解。企业级的用户管理，用于构筑集中化的网络用户登录管 理、集中化的安全策略管理的解决方案。通过该方案，可以实现“一人一个帐号、一个口令”登录管理模式。用户只需一次登录即可访问网络中各种资源(如操作系 统、电子邮件，数据库系统，应用等)，而不用分别手工登录这些资源。结合指纹 识别器、智能卡、令牌卡等物理设备，构成网

50、络安全通讯、鉴定、审计、集中化的 安全策略。1)实施单一登录机制在一个现实的大型计算机系统的运作过程中，一个IT管理人员需要管理多个系统、维护多套用户名和口令。例如，一个系统管理员可能要管理5台UNIX主机、20台Windows NT服务器、维护上面的多个数据库、维护电子邮件系统、还 要管理多台网络设备等，他需要记忆各个操作系统、数据库系统、应用系统、网络 设备的用户名和口令。其它的管理人员和工作人员也是如此。各种系统用户的口令 应该互不相关，口令比较长而且没有规律，在使用一段时间后要改变为新的值，这 样才能保证统的安全。但是，要让一个人记忆许多长而难记又经常变化的口令是很 困难的。人们往往对

51、他所维护的所有系统都使用相同或相似的口令，口令常常使用 自己或亲朋好友的姓名、生日、纪念日等。“ 黑客”会比较容易地猜出其口令，猜 出一个口令，就能更加容易地猜到其它口令。当系统要求用户改变口令时，人们往 往按照一定规律改变，如数字加一、字母后移一个等，这样“黑客”很容易根据老口令猜到新口令。还有用户喜欢把口令记在笔记本上，这就更容易失密了。以上这 些都对系统安全性带来了极大的威胁。从规章制度上限制用户上述行为是不现实 的，只有从技术上采取一定措施，帮助用户解决记忆长而无规律、易变口令的问 题，才能真正保证系统的安全。因此，好的系统安全管理架构不但应该针对网络、计算机、应用等 IT环境加 强安

52、全管理，而且应该能够尽量减少这种人为因素造成的安全损失。应该实现“-人一个帐号、一个口令”登录管理模式，用户只需一次登录即可访问网络中操作系 统、电子邮件，数据库系统，应用系统等各种资源。用户应该可以通过用户名/口令、指纹识别器、智能卡、令牌卡等多种方式获得安全管理服务器的系统认证，然 后只需在计算机的图形用户界面上双击代表某一应用的图标，就可以直接访问该应 用。在此过程中所涉及的安全机制应该包括口令PIN密钥管理、数据加密和数字签名等技术，以最大限度的保证用户、口令等信息的安全。2)实施统一的用户和目录管理机制随着企业分布式计算环境的发展，需要管理的资源越来越多，如用户、用户 组、计算机之间

53、的信任关系、不同操作系统、不同通讯协议、不同的数据库系统、 不同的服务器和桌面机等等。随着这些资源的增加，要想安全有效地管理他们就越 来越困难了。单独地维护多种目录体系既费时费力，又容易出错，还难以保证系统 的总体安全性和一致性。管理企业内部的用户资源也变得越来越重要和困难。在通 常的管理模式中，每种系统都有自己的系统管理员，女口UNIX的超级用户为root、Windows NT 的管理员为 administrator、Sybase和 MS SQL Server 的系统管理员为 sa等等。IT管理人员每天都要和这些繁杂的系统打交道，不同的系统管理员在管 理这些用户时，就有可能采用不同的用户名，

54、不同的管理策略，以适应各类系统的 需要。好的安全管理模式应该帮助用户解决上述问题，允许用户在单一的界面中管理 不同系统的用户和目录结构，可以同时在多个不同的操作系统平台上创建、修改和 删除用户，提供跨平台的用户策略一致性管理。可以实施基于策略的管理以确保系 统安全，可以减少IT管理人员管理目录和用户的时间和精力，可以隐藏不同操作 系统的差异。做类似工作的所有用户可能需要类似的安全权限，安全管理应该提供角色的概 念，可以将不同平台上有类似安全权限需求的用户规划成组，将用户帐号归为角色 的概念之下，用户可以对同一角色的用户进行相同的管理，不管这些用户是属于那 个平台、从事何种功能，使得管理员可迅速

55、地在企业内不同操作系统下迅速地创建 所需的用户帐号。3.6首期部署产品通过部署有关安全管理产品、制定相关管理管理规范，可以实现全方位的安全 防护。但是，完整安全体系中的许多部分都是与系统的总体设计策略和业务联系在 一起的。如单一登录的部署需要改变所有最终用户原来对系统的操作模式。而且， 整个系统安全的建设是复杂而漫长的过程。因此，在系统建设的初期，我们不可能 一步到位的实现所有的安全管理功能。在XXXX系统中，根据系统的具体情况，我们建议首先部署防病毒、防火 墙、黑客入侵检测和虚拟专用网等系统，在最关键的部位保护最关键的资源。产品 配置如下图所示：使用冠群金辰的eTrust Firwall，构

56、成网络防护的第一道屏障。与系统原来设计 不同的是政府网站部分也纳入了防火墙保护的范围。由于该部分与电子商务系统其 他备份有不同程度的安全防护要求，因此防火墙上安装3块网卡，为政府网站部分单独设置DMZ区，实现与其他电子商务服务器的隔离。这样，就可以分别针对政 府网站和其他电子商务系统设置不同的安全策略，实现不同的安全防护级别。同时 有不会增加很多投入（与原设计相比，只需多加两块网卡）。1）在各个关键网段，部署冠群金辰的eTrust Intrusion Detection,进行黑客入侵的检测。2）在XXXX系统中安装和部署客户端、服务器、由M牛系统的防毒产品KILL，从而构筑起病毒防御体系，有效

57、的抵御和防范病毒的侵袭。4相关产品介绍4.1防病毒KILL是北京冠群金辰软件有限公司开发研制的全中文网络防病毒产品。KILL是真正满足国内用户需求的、具有 CA世界领先技术的网络防病毒产品，它具有世 界领先的反病毒技术：主动内核技术（ActiveK ）。KILL通过全方位的网络管理、 多种报警机制、完整的病毒报告、支持远程服务器、软件自动分发，帮助管理员更 好的实施网络防病毒工作。同时，北京冠群金辰软件有限公司在北京、上海和广州 的技术研发支持中心，可以独立针对中国流行的病毒进行及时的更新与服务。KILL是适用于企业级用户，功能强大的新一代网络防病毒产品。KILL系列产品采用的是服务器/客户端构架，能够实时保护您的 Windows NT/Windows 2000、Unix、Linux、NetWare、Windows95/98、Windows3.X、DOS 工作站、Lotus Notes 和Microsoft