信息安全建设方案建议书(五)

信息平安解决方案设计在第2章里，我们分别从网络、应用、终端及管理四个方面对公司的信息系统平安建设进行了风险及需求的分析。同时依据第3章的平安方案设计原则，我们将公司网络平安建设分为以下几个方面进行了具体的方案设计：边界平安解决方案；内网平安解决方案；应用平安解决方案；平安管理解决方案；平安服务解决方案。下面我们分别针对这5个平安解决方案进行具体的描述。边界平安解决方案在第2章的网络平安风险及需求分析中，我们主要从外部网络连接及内部网络运行之间进行了风险的分析。边界平安解决方案就是针对与外部网络连接处的平安方面。网络是用户业务和数据通信的纽带、桥梁，网络的主要功能就是为用户业务和数据通信供应牢靠的、满意传输服务质量的传输通道。就公司网络系统来讲，网络边界平安负责爱护和检测进出网络流量；另一方面，对网络中一些重要的子系统，其边界平安考虑的是进出系统网络流量的爱护和限制。针对公司网络系统，来自外部互联网的非平安行为和因素包括：未经授权的网络访问身份（网络地址）欺瞒黑客攻击病毒感染针对以上的风险分析及需求的总结，我们建议在网络边界处设置防火墙系统、平安网关及远程访问系统等来完善公司的边界网络平安爱护。防火墙系统为在公司网络与外界网络连接处保障平安，我们建议配置防火墙系统。将防火墙放置在网络联结处，这样可以通过以下方式爱护网络：为防火墙配置适当的网络访问规则，可以防止来自外部网络对内网的未经授权访问；防止源地址欺瞒，使得外部黑客不行能将自身伪装成系统内部人员，而对网络发起攻击；通过对网络流量的流量模式进行整型和服务质量保证措施，保证网络应用的可用性和牢靠性；可以依据时间定义防火墙的平安规则，满意网络在不同时间有不同平安需求的现实须要；供应用户认证机制，使网络访问规则和用户干脆联系起来，平安更为有效和针对性；对网络攻击进行检测，与防火墙内置的IDS功能共同组建一个多级网络检测体系。目前新型状态检测的防火墙有效的解决并改善了传统防火墙产品在性能及功能上存在的缺陷，状态检测防火墙具有更高的平安性、系统稳定性、更加显著的功能特性和优异的网络性能，同时具有广泛的适应实力。在不损失网络性能的同时，能够实现网络平安策略的精确制定与执行，同时有效地抵挡来自非可信任网络的攻击，并具有对防火墙系统平安性能的诊断功能。其内置的入侵检测系统，可以自动识别黑客的入侵，并对其实行准确的响应措施，有效爱护网络的平安，同时使防火墙系统具备无可匹敌的平安稳定性。我们可以依据业务模式及具体网络结构方式，不仅仅在内部网络与外部网络之间，同时在内部网络与内部网络之间和各子业务系统之间，考虑采纳防火墙设备进行逻辑隔离，限制来自内外网络的用户对重要业务系统的访问。防火墙技术部署说明（依据具体的网络状况描述）产品选型及功能介绍（依据具体产品描述）平安网关由于考虑到公司与互联网（Internet）进行连接，所以我们建议在系统网络与Internet接入处配置“平安网关”，部署位置敏捷，可放置在接入路由器与防火墙之间，也可部署在防火墙与内部网络之间。随着互联网的飞速发展和应用，计算机病毒已将互联网作为其一种主要的传播途径。其中利用电子邮件传播病毒是最干脆的方式，统计显示邮件传播方式占全部病毒传播的90%以上。在过去一段时间内所发生的几起影响较大的计算机病毒事务中，以Internet为主要传播途径的病毒占大多数，如Nimda、CodeRed等，以及近几年爆发的Sobig.F、Swen、冲击波、振荡波等等。同时，由于病毒的泛滥，垃圾邮件也越来越成为大家头痛的问题。依据国际领导的市场调查机构RadicatiGroup统计，目前全部的邮件中，超过50％是垃圾邮件，也就是说每天在国际上有超过150亿封垃圾邮件被发送出去，使各类企业每年遭遇到200亿美元以上由于劳动生产率下降及技术支出带来的损失，到2007年垃圾邮件数量将上升到惊人的2万亿封一年。经过上述风险及需求的分析，在Internet接入处对病毒、垃圾邮件及恶意代码进行限制，是实现接入平安的最佳方案。通过配置“平安网关”，我们可以实现：保证全部主要的Internet协议的平安，包括HTTP、FTP、SMTP、POP3等信息在进入内部网络前由平安网关进行查杀毒；过滤全部来自互联网的垃圾邮件；通过SMTP认证保证邮件服务器不会被黑客当作攻击别人的跳板等。产品选型及功能描述平安网关的目标是在网络边界或Internet网关处供应全面的病毒防护，而该病毒防护设备是即插即用的，不须要变更任何Internet设置，并对全部应用及服务透亮。通过全面阻截已知及未知病毒和防垃圾邮件功能和内容过滤功能达到针对企业网络环境的全面防护。平安网关是一款高度可配置及供应负载均衡的产品，为从中型到大型企业供应全面解决方案，并对网络流量透亮。主要模块防病毒模块

能够扫描最常用的6种协议，阻挡未知病毒和计算机蠕虫进入公司网络防垃圾模块

平安网关通过其反垃圾邮件模块检查进入公司的全部邮件。信息被扫描并且被划分成垃圾或非垃圾，在未被恳求的邮件到达用户信箱之前进行阻断或修改这些信息的主题内容过滤模块

网页过滤模块允许管理员限制因特网访问。可以定义不受欢迎内容书目，授权和非授权网页。允许管理员限制公司网络资源，并且阻断非法，黄色或暴力网站内容，或只是不受欢迎内容进入公司。可以建立VIP用户列表，这些用户不需应用上述限制主要特点：易于运用：平安网关是目前世面上最易于安装及运用的硬件网关产品，作为网络信息传递的桥梁而非须要重新路由网络流量。平安：平安网关扫描6种网络协议，而其他硬件网关产品仅能够扫描2到4种网络协议。在平安网关安装在企业边界上时，它实时扫描全部收入及发出邮件及其他的网络传输信息，并且具有防垃圾邮件功能和内容过滤功能表现性能：平安网关的最大性能是可以取得完全扫描及病毒防护。平安网关的硬件及软件性能经过特殊优化处理，能够同时扫描6种网络协议，并且完全对企业网络透亮。扩展性：平安网关特地针对自动负载均衡设计，使增加扫描的速度及增加网络防护可以随时达到。并可支持到百兆。功能及优势：性能高度优化的病毒防护整合最新硬件及软件技术，供应超乎寻常的优异性能，能够在一个小时内扫描上万封邮件，完全对企业网络透亮。性能高度优化的垃圾邮件防护整合最新硬件及软件技术，供应超乎寻常的优异性能，能够在一个小时内扫描上万封邮件，完全对企业网络透亮。拓展性及负载均衡由于平安网关的高度可拓展性，平安网关适合中到大型企业，能够依据网络通讯流量调整扫描实力。负载均衡是完全自动的，允许工作负载量能够自动在不同工作单元间进行均衡，良好地保障了产品的可拓展性及对企业边界的全面防护。易于安装及配置依据即插即用的设计思路，能够特别简便地安装在企业网络中，不须要重新配置或重新路由Internet流量。一旦安装完成，就起先不知疲乏地扫描全部网络流量，保障网络的100％平安。爱护全部广泛运用的网络协议爱护全部可能的Internet相关威逼，完全扫描全部常用Internet协议，包括:HTTP,FTP,SMTP,POP3,IMAP,NNTP.内容过滤内容过滤防止未知病毒及蠕虫进入企业网络，大幅削减整体网络资源占用及带宽，防止可能的恶意代码进入到企业网络。远程管理可以通过一个简洁、启发式的WEB管理限制台远程管理，让企业网络管理员通过企业内部任何一台电脑管理该产品。每日自动病毒更新可以每日自动病毒更新，意味着平安网关始终可以防护全部最新病毒。具体报告及可客户化的报警平安网关供应完整的扫描报告，并可以客户化在企业内部网络的病毒报警机制。实时系统监控平安网关供应网络管理员对网络病毒行为及网络流量的实时监控。远程访问平安依据前面的风险及需求分析可知，公司在通过Internet互连及远程访问方面，主要存在着以下两种类型：公司总部与分支机构之间的远程访问及互连；公司与合作伙伴之间的远程访问及互连。在总部与分支之间的互连，一般要求将分支机构的网络接入到总部网络。而与合作伙伴的互连一般状况下合作伙伴访问企业固定的某些应用系统。同时，远程应用中还存在着一种状况，即用户出差或移动状态中须要在远程访问平安方面，我们分别针对这两类应用类型设计了相应的VPN远程访问系统。分支与总部的连接目前，由于VPN（虚拟专网）比租用专线更加便宜、敏捷，所以有越来越多的公司采纳VPN，连接在家工作和出差在外的员工，以及替代连接分公司和合作伙伴的标准广域网。VPN建在互联网的公共网络架构上，通过“隧道”协议，在发端加密数据、在收端解密数据，以保证数据的私密性。如在企业分部与企业总部之间，及企业员工与企业核心数据之间，都可建立起端到端的逻辑隧道(Tunnel)，所谓“隧道”是指其中所传递的数据都经过特殊包装和加密处理，从而能与同一物理链路中其它数据区分开来，避开被不法用户所窃取，只有在隧道的始末两端才可能添加和去除这些特殊包装以得到真实的数据。在通过公共网络(如Internet)传递业务数据时，这项技术尤为必要。现在大多数远程平安访问解决方案是采纳IPSecVPN方式，应用最广泛的组网结构是在站点到站点的VPN组网方式。IPSec是网络层的VPN技术，表示它独立于应用程序。IPSec以自己的封包封装原始IP信息，因此可隐藏全部应用协议的信息。一旦IPSec建立加密隧道后，就可以实现各种类型的一对多的连接，如Web、电子邮件、文件传输、VoIP等连接。并且，每个传输必定对应到VPN网关之后的相关服务器上。在设计上，IPSecVPN是一种基础设施性质的平安技术。这类VPN的真正价值在于，它们尽量提高IP环境的平安性。IPSecVPN的迷人之处包括，它采纳了集中式平安和策略管理部件，从而大大缓解了维护需求。应用系统的远程访问信息技术发展到现在，Web成为标准平台已势不行挡，越来越多的企业起先将ERP、CRM、SCM移植到Web上。SSLVPN将是Web应用热潮的干脆受益者，它被认为是实现远程平安访问Web应用的最佳手段。很多状况下，如采纳SSLVPN的能够就是降低成本。虽然购买软件或硬件的费用不肯定便宜，但部署SSLVPN很便宜。安装了这类软件或硬件，运用者基本上就不须要IT部门的支持了，只要从其PC机上的阅读器向公司网注册即可。SSL连接也更稳定，据Infonetics最近发表的报告表明，SSL将不断获得吸引力。到2006年，74%的移动员工将依靠VPN（比2004年增加15%），预料增长率主要来自SSL，这种IPSec以外的方案避开了部署及管理必要客户软件的困难性和人力需求。最终用户避开了携带电脑，通过与因特网连接的任何设备就能获得访问，SSL更简洁满意用户对移动连接的需求。用户通过与因特网连接的任何设备实现连接，并借助于SSL隧道获得平安访问。虽然这须要在企业防火墙后面增加硬件，但企业只要管理一种设备，不必维护、升级及配置客户软件。SSLVPN将远程平安接入延长到IPSecVPN扩展不到的地方，使更多的员工，在更多的地方，运用更多的设备，平安访问企业网络资源，同时降低了部署和支持费用。SSLVPN正在成为远程接入的事实标准。SSLVPN可以在任何地点，利用任何设备，连接到相应的网络资源上。SSLVPN通信运行在TCP/UDP协议上，具有穿越防火墙的实力。这种实力使SSLVPN能够从一家用户网络的代理防火墙背后平安访问另一家用户网络中的资源。IPSecVPN通常不能支持困难的网络，这是因为它们须要克服穿越防火墙、IP地址冲突等困难。鉴于IPSec客户机存在的问题，IPSecVPN事实上只适用于易于管理的或者位置固定的设备。SSLVPN是基于应用的VPN，基于应用层上的连接意味着（和IPSecVPN比较），SSLVPN更简洁供应细粒度远程访问（即可以对用户的权限和可以访问的资源、服务、文件进行更加细致的限制，这是IPSecVPN难以做到的）。IPSecVPN和SSLVPN将在网络组网中发挥各自的优势。在公司的远程访问平安中，由于分别存在着这两种状况，因此我们建议在方案中采纳IPSec和SSLVPN相结合的部署方式：总部与分支机构之间的须要通过现有的Internet进行互连，供应分支机构对总部网络的访问。因此，采纳基于IPSec的站点到站点的VPN接入是比较志向的接入方式。出差用户及远程移动用户访问公司内部应用、及合作伙伴访问某些特定的业务应用系统，采纳SSLVPN方式更能有效的满意应用的需求。产品选型及功能说明（依据具体的产品功能描述）入侵检测系统依据之前的平安风险与平安需求分析，在公司网络中，由于干脆接入Internet及内部网络用户众多，可能面临的风险及威逼有：拒绝服务攻击（DoS）：通过消耗网络带宽资源或网络设备处理实力资源，使正常的服务和数据通信对网络的传输质量要求得不到满意。尼姆达（Nimda）病毒冲击波（Blaster,Nachi）病毒就是特别典型例子。信息窃听资源滥用：内部人员访问不当站点、玩网络嬉戏，奢侈网络资源，使正常的服务和数据通信得不到保障。管理失控：通过窃取网络设备的管理权而使网络失去平安性因此，我们在方案中建议在网络中部署入侵检测系统来入侵及滥用行为进行检测及审计。通过在网络中部署入侵检测系统，可以在平安保障上做到：检测和发觉针对系统中的网络攻击行为，如DoS攻击。对这些攻击行为可以实行记录、报警、主动阻断等动作，以便事后分析和行为追踪。通过定义禁止访问网站，限制内部人员对不良站点的访问。对一些恶意网络访问行为可以先记录，后回放，通过这种真实地再现方式更精确的了解攻击意图和模式，为将来更有效地的防范类似攻击供应阅历“入侵检测系统”可以供应强大的网络行为审计实力，让网络平安管理员跟踪用户（包括黑客）、应用程序等对网络的运用状况，帮助他们改进网络规划。对“入侵检测系统”的运用和运用人员的管理肯定要有特地的制度。IDS最主要的功能是对网络入侵行为的检测，它包括一般入侵探测和服务拒绝型攻击探测引擎，可以自动识别各种入侵模式，在对网络数据进行分析时与这些模式进行匹配，一旦发觉某些入侵的企图，就会进行报警。IDS也支持基于网络异样状况的检测方式。IDS具有强大的碎片重组功能，能够抵挡各种高级的入侵方式。为了跟踪最新的入侵方式和网络漏洞，IDS供应大容量的入侵特征库以及便利的升级方式，每一个漏洞都供应了具体的说明和解决方法，并且给出了相关的Bugtraq、CVE以及CAI等国际标准的编号。IDS能够基于时间、地点、用户账户以及协议类型、攻击类型等等制定平安策略。通过对平安策略的调整，用户能够很便利地将IDS自定义成为符合自己组织须要的入侵检测系统。而且，通过IDS供应的正则表达式，用户能够便利地对入侵特征库进行扩充，添加须要的入侵特征，并且能够对入侵的响应过程进行自定义。比如用户须要在发觉某种特定类型的攻击方式的时候启动一段自己编写的程序以完成某项功能的时候，就可以利用IDS供应的接口敏捷而便利地进行配置完成。在抵挡拒绝服务攻击的功能上，IDS不仅仅能够进行攻击的报警，而且能够主动切断攻击。由此产生的大量日志能够通过IDS具备的强大的工作区切换功能进行存储和转发，大大提高了网络入侵检测系统本身的抗攻击实力。为了进一步提高IDS的抗攻击实力，IDS还支持Stealth模式的配置，就是无IP设置。这样攻击者就无法访问运行IDS平安工作站，也就无法对IDS进行干脆攻击。产品部署说明（依据具体的网络状况描述）产品选型及功能描述（依据具体的产品描述）内网平安解决方案面对网络信息平安的各种风险，我们在边界及网关处的平安解决方案解决了很多平安问题。例如：在网络边界，通过防火墙对网络连接和访问的合法性进行限制，通过网关过滤设备对数据流非法内容进行限制；在网络传输上，通过入侵检测监视黑客攻击和非法网络活动等。但针对于内部网络我们仍旧面临着诸多的平安问题。传统上，我们通过漏洞扫描发觉系统缺陷；在主机设备，通过主机加固加强主机防护实力，通过防病毒、反间谍软件预防恶意代码等。然而随着网络的发展，病毒及恶意代码本身的技术越来越先进，其防护也越来越困难。而且随着计算机技术及应用的普及，桌面用户的行为也越来越超出网管员的管理实力范畴。因此，在考虑内部网络平安时，假如有效的管理网络及终端将是我们考虑的主要问题。在此我们通过以下三种手段来完成基于终端的平安管理：通过部署网络防病毒系统来完善企业整体防病毒及恶意威逼的实力；通过漏洞扫描或风险评估工具来发展漏洞、脆弱性及威逼，并通过补丁分发系统对漏洞及脆弱性进行刚好的矫正及补充；通过终端平安管理系统对桌面设备及用户进行平安管理及规范，有效保证终端的平安。企业防病毒系统目前公司网络系统中并没有一套完整的防病毒策略和技术方案，工作站安装的防病毒软件各种各样，甚至有些服务器与工作站没有安装防病毒软件，部分工作上运用的防病毒软件病毒特征代码没有刚好更新，没有对防病毒软件进行统一的管理。鉴于防病毒的重要性和资源服务器系统网络的当前状况，须要建立一套完整的防病毒系统，把病毒对网络的威逼降到最低。目前企业整体防病毒解决方案均已比较成熟。在此我们针对传统企业防病毒系统部署强调以下几点：全面性：实施网络防毒系统时，应当对网络内全部可能作为病毒借居、传播及受感染的计算机进行有效防护。避开有“遗忘的角落”造成病毒传播的源泉；功能及易用性：一方面须要对各种病毒进行有效杀、防；另一方面，也要强调网络防毒在实施、操作，维护和管理中的简洁、便利和高效，最大限度地减轻运用人员和维护人员的工作量；资源占用：防毒系统和企业现行计算机系统的兼容性、防毒软件的运行效率及占用资源等是企业防病毒系统必需考虑的问题。部署时考虑到企业现有的计算环境及应用平台，是否与需求资源相匹配；管理体系：为了保证防病毒系统的一样性、完整性和自升级实力，还必须要有一个完善的病毒防护管理体系，负责病毒软件的自动分发、自动升级、集中配置和管理、统一事务和告警处理、保证整个企业范围内病毒防护体系的一样性和完整性。防病毒策略：这个是企业防病毒系统最简洁被忽视的地方。系统必需明确地规定爱护的级别和所需实行的对策，并制定系统的防病毒策略和部署多层防卫战略，服务器防病毒、个人桌面计算机防病毒以及全部防病毒产品的统一管理，不要让网络系统中存在“木桶效应”。一个良好的防病毒解决方案须要做到“层层防护，到处设防”，全方位多层次部署防病毒体系。我们为公司网络中供应一个稳定高效、技术一流、便利管理、服务周全的病毒防护解决方案，满意网络系统对病毒防护系统设计的业务需求，确保网络系统能有效抵挡各种病毒和恶意程序的攻击。在公司网络中建立病毒防护管理服务器，全部的防毒对象（工作站和服务器）均采纳安装代理的方式来实现集中控管。防毒服务器全面限制防毒代理的运行、升级和删除等权限。可以通过防毒服务器自动分发防毒策略和防病毒升级特征库，而整个防毒体系只须要网管与网络平安管理中心的防毒服务器去Internet自动获得病毒库升级就可以自动完成全网的升级工作。极大地提高了防毒工作的效率。并且这种二层架构的网络防毒体系具有很好的扩展性。产品选型及功能描述NOD32企业级防病毒平安套装是一个高性能和稳定的防病毒解决方案，它便利了对网络中全部计算机的爱护配置和更新，这些计算机包括：工作站，文件服务器，Exchange和Domino邮件服务器，SMTP网关和边界服务器。它不仅抵挡病毒，蠕虫和特洛依木马，还防护新的英特网攻击，如垃圾邮件，间谍程序，拨号器，黑客工具和恶作剧，以及针对系统漏洞，并供应爱护阻挡平安冒险。入侵防护采纳了新一代的防护技术，它比传统的检测系统更加智能化，能在第一时间发觉新的威逼，并阻断企图越过传统防病毒软件的未知病毒的攻击，不管该未知病毒是以下列何种方式传播：外围设备、局域网共享资源、电子邮件E-mail、互联网。入侵防护是市场上唯一一款集已知和未知威逼防护于一身的入侵防护软件，能最大程度地抵挡病毒、木马、蠕虫等网络威逼。入侵防护企业版主要特性包括：发觉并清除未知病毒：结合了多种恶意代码程序的检测及阻断技术，能有效发觉并清除未知病毒。缓冲区溢出防护：不仅能抵挡已知的平安漏洞攻击，而且能防护未知的攻击。能在第一时间爱护系统内的缓冲区溢出漏洞不会被恶意代码利用作为攻击的手段，即使还没有任何针对该漏洞的资料和补丁程序。防护性的阻断感染：可以在网络层防止病毒和蠕虫在企业网络中传播。平安政策定义：通过建立平安政策来限制计算机上运行的程序可执行的操作，使网管人员能对企业网络内全部的计算机进行整体限制管理、定义并干预正值的及被禁止的操作。新一代的防护技术，能抵挡全部类型的互联网威逼：包括病毒、木马、蠕虫等。无可比拟的集中式部署：能不受地域限制，对企业组织中全部的工作站进行客户端分发和集中管理。占用资源最小化：是在低带宽环境下爱护笔记本电脑的志向方案。基于通用标准的技术：优化网络内的防病毒更新速度。友好直观的用户界面：避开混淆和误操作。终端平安管理在第2章里我们针对终端的平安进行了具体风险及需求的分析。终端平安是我们整体解决方案里不行或缺的部分，因为终端平安是我们日常平安工作是最重要也是须要关注最多的部分。因此相应的终端平安的解决方案必需做到：统一、敏捷的平安策略全部的平安管理都是通过策略集的定制和分发来完成的，支持集中的平安管理，便于整个系统的统一管理。平安策略分为用户策略和全局策略两类。一般状况下，用户终端工作在网络环境下，接受在线环境下用户策略的限制；对于移动办公的笔记本电脑等移动终端，接受脱机状况下全局策略的爱护。管理员可依据组织机构划分管理权限，不同的管理者具有不同的权限和管辖范围，支持系统清晰的职权划分。平安策略可以分组分类，不同的策略组所起的限制作用和运用范围也不同。为了简化策略的管理，我们将用户依据角色来管理；对不同的角色实施不同的平安策略。策略涉及多个层次：物理和环境、链路和操作、网络、设备、系统、应用、数据、人员等各个层面的平安策略制定、部署和实施，帮助客户有效实现网络平安建设。策略层次如下图所示：多层面、全方位爱护系统的爱护覆盖了“系统内核-系统设备-应用程序”三个层面，供应了全方位的爱护。在系统内核层面，可自动、透亮地帮助用户加固操作系统、降低IT资源风险。终端用户勿需具备专业平安学问便可将自己的计算机终端加固到专家级程度，从而将精力关注于核心业务。在系统设备层面，严格限定用户对硬件设备（例如：磁盘驱动器、CD-ROM、USB设备、打印机、网卡等）的运用权限和网络传输限制，保证该主机遭遇攻击或发起对外攻击的可能性都极大降低，同时也防止数据信息泄露。在应用程序层面，严格限定用户在指定电脑上的合法行为和禁止行为，保证了用户只能在合法范围内正常运用电脑，避开了用户对资源的滥用，也避开了由此造成的维护成本上升。智能化分析和异样检测机制系统通过特有的环境因子和用户因子生成报警因子，并结合策略因子和历史数据，共同输入到决策引擎中；该引擎采纳专有的平安算法，综合分析推断得出对某个事务是否报警。这样就避开了大量误报给管理员带来的工作量。平安和管理相结合计算机终端的生命周期管理过程中，既涉及到平安爱护，也涵盖终端管理，这两项工作内容都服务于业务目标，目的是保证IT业务和办公的正常运行和健康发展。平安和管理的完善结合，正是终端管理系统设计的重要思想。产品选型与功能介绍IP-GUARD终端平安管理系统是为了应对目前终端面临的众多平安威逼而设计的一种平安管理产品，也是实现ELM策略的重要技术手段。供应了对终端生命周期管理（ELM）策略的全面技术支撑，涵盖了资产管理、终端爱护、应用监管、审计分析等功能模块。以计算机终端为核心，通过完整、敏捷、适应用户需求的措施，供应终端平安解决方案。KSMS面对企业级用户，它部署在网络中每一台计算机终端，实现对终端的全面爱护，并且强调对网络终端的统一限制管理。象一个时刻保卫在用户身边的平安管理员，供应有效的平安爱护，确保计算机平安运用和企业级的统一管理。系统体系和结构由三个部分组成：策略服务器（KPS）、管理限制台（KMC）、平安客户端（KSA）。分布式的体系结构系统采纳分布式体系结构，部署在网络内全部须要爱护的计算机终端，通过集中的管理中心进行限制管理。KSMS供应敏捷的部署实力，具有良好的扩展性。KSMS体系结构如下图所示：在上图中，平安管理中心包括策略服务器、管理限制台、日志和审计数据库。其中，日志和审计数据库可采纳独立服务器，也可安装部署在管理限制台。须要爱护管理的计算机终端包括企业网络环境中工作的各种PC、笔记本电脑、PC服务器等。接受爱护和管理的终端节点会产生各种平安审计信息，可集中传输并存放到日志审计数据库，管理限制台可以访问和管理审计信息并进行统计分析。系统组成策略服务器策略服务器保存并分发平安策略。KPS负责系统的认证授权、策略管理的后台支持，负责整个系统策略的发布和保存。支持分布式部署，能够适用于大规模网络环境的应用。管理限制台KSMS管理限制台实现系统的集中管理限制。负责用户终端管理、策略定义和应用、系统设置、日志查询和报表分析，为系统的管理供应统一的平台，并支持用户分权管理。平安客户端平安客户端接受限制台的管理，执行平安策略。KSA部署在须要爱护的用户PC和服务器上，爱护计算机终端平安运用、约束用户操作行为，系统将各种平安信息和日志传递到限制台供管理员统一分析处理。主要功能资产管理企业级的资产管理功能，帮助管理员和信息主管充分驾驭企业范围内IT信息资产状况，为加强IT管理供应依据。设备管理管理员可充分驾驭分散的计算机终端硬件配置及其变更状况（例如主板、CPU、内存、硬盘等），统筹管理，避开资产流失。软件管理管理员可刚好驾驭客户端安装软件及变更状况（例如操作系统、版本、补丁、所安装的应用软件等），便于监督管理。用户管理员工用户是企业资产的重要组成部分。供应基于按组织划分的用户角色的管理，管理员可在线查询用户终端操作系统、进程、设备状况、性能状态等多种信息。资产识别对非法终端、设备资产的真实性识别可通过绑定IP、MAC、用户的方式实现。终端爱护KSMS企业级的强制平安策略，供应基础架构爱护和资产爱护功能，通过多种手段全方位爱护计算机终端平安运用。基础架构爱护主要包括：终端网络访问限制、恶意程序综合防范；资产爱护主要包括：设备运用限制、数据文件爱护。终端网络访问限制通过IP地址、IP/TCP/UDP/ICMP/IGMP协议、服务端口等限制，防止遭遇外来黑客攻击，并且防止内部终端对外（或内部网络其它终端）发起攻击。恶意程序综合防范实行多种方式综合防范恶意程序破坏。通过端口限制，可阻挡特定蠕虫攻击；通过限制程序执行，限制未知病毒发作；通过注册表爱护，防止恶意代码篡改；通过补丁管理，可刚好通知补丁信息，弥补漏洞；通过与KILL及各种主流防病毒软件联动，集成实现防病毒管理。设备运用限制通过限制串口/并口、软驱/光驱、USB磁盘、各种形式打印机、PCMCIA卡、红外、1394接口、多网卡/无线网卡、Modem/ADSL等设备运用，有效防止设备滥用、一机多网运用、信息通过设备泄露现象的发生，同时为加强IT制度管理供应技术保障。数据文件爱护通过数据访问权限限制等方式，爱护数据、防止破坏和信息泄露。应用监管通过多种方式对计算机终端应用状况和用户行为进行监控管理。非法外联限制通过网络设备限制、网络程序/连接限制等手段，限制终端非法外联，对员工随意访问外部网络的行为进行管理，同时避开从担心全网络引入平安风险。此外，还可通过联动方式，限制终端必需经过统一认证才能经过滤网关连接到外部网络。网络准入限制可通过检测发觉并防止非法终端（非KSMS客户端）接入网络，以此爱护企业网络资源；此外，还可与交换机联动，通过802.1x协议方式将非法终端隔离在网络之外。程序限制可限制网络程序，对QQ、MSN、网络冲浪等行为进行管理；对嬉戏及业务无关行为进行技术限制；保证工作效率。网页过滤预置上百万条分类的URL网站（暴力、色情、赌博、邪教等）黑名单，可完全禁止访问；另外可通过自定义黑白名单、关键字方式过滤非法网站和网页，限制对禁止网页的访问。远程维护当终端计算机用户须要现场技术支持时，管理员可通过的远程帮助功能帮助用户解决技术问题，在特权许可状况下对客户端进行远程维护和屏幕监控，大幅提高工作效率。审计分析供应系统日志、认证日志、报警日志等等多种水晶报表格式的统计分析报告，为管理员供应平安分析依据。日志划分为7个级别（紧急、警报、严峻、错误、警告、通知、提示），可选择多种告警方式（声音、邮件、Windows消息等）。应用平安解决方案在第2章里，我们对应用平安的风险及需求进行了具体的分析与定义。在我们整体解决方案中从以下的两个方面来完善应用平安解决方案。身份认证平安管理解决方案在第2章的平安管理的风险及需求分析中，我们主要从技术层面和行政层面两个方面来进行了阐述。事实上，平安管理是一个困难而渐进的过程，因为作为管理实力，是须要通过不断的改进和提高。在公司的平安管理解决方案中，我们先从技术和行政这两个层面对的平安管理进行一个基本设计，先建立一个基础的平安管理平台，然而我们会进一步如何建立有效的平安管理体系（SOC），实现可管理的平安进行初步的论述。平安管理平台的建立技术层面作为信息平安管理平台所要求的高效和平安应用，是离不开尖端的计算机技术作为基础，当然也离不开企业的行政管理手段，因为没有系统的管理措施，那么再新的技术也无法在系统中得到更好的应用。在技术方面通过专业的网络综合管理系统来建立一个基本平安管理中心的技术平台。通过专业的网络综合管理系统来实现对网络设备、主机设备、平安设备和应用系统的平安管理。由于公司的信息系统建设是分步进行的，网络设备、应用系统以及平安设备、用户平台等具有多样性，因此对管理平台或系统的要求也比较高，必需采纳专业的网络综合管理系统，对网络中的全部设备以及系统平台都能够统一集中管理，获得全部设备的工作状态和网络负载状态，同时可以看到网络活动的日志信息，用它来对网络状态进行分析，供应更有效的平安策略，同时网管系统能够监测客户端系统状态，能够接管客户端系统，当网络中的么一用户系统出现问题而自己却无法诊断，这时可以通过网管系统进行远程接管，来帮助用户解决问题。行政层面在行政层面公司必需成立信息平安管理小组，通过小组会议确立信息平安政策总则、信息平安管理政策、信息平安审计考核及信息平安政策。信息平安政策总则主要是确定公司信息平安总体原则，明确今后的平安目标，有组织、有支配的为信息平安建设给出总体方向，是其它政策和标准的依据。信息平安管理政策主要是制定信息平安政策和标准流程、管理规范、推广实施、定期维护；设置平安组织管理体系的结构；规定领导层对信息平安的责任、考核。信息平安策略主要是明确公司内部全部用户、全部应用的明确的平安细则，它是作为公司领导对全部用户考核的依据。其具体信息平安政策应包括以下内容：平安事务监测和响应员工信息平安管理开发维护内部软件数据和文档管理商业软件的购买和维护网站、电子邮件硬件设备和物理平安信息系统的访问限制网络、系统操作和管理防卫病毒和防卫攻击信息平安审计指定审计和考核标准的目的是为了考察信息平安政策和标准的执行状况，刚好发觉问题，订正问题。这有助于信息平安政策的改进和完善。政策中应当包含审计考核的标准、审计考核时间、方法、结果的处理。在行政层面部分内容，如信息系统平安策略设计、具体的平安策略制订等可以通过外部专业的平安询问公司进行询问，然后结合企业的信息平安建设来制订。此部分内容我们将在下一部分平安服务解决方案里进行进一步的阐述。平安运营中心（SOC）信息平安管理的发展，随着平安需求的提升也不断的发展。近几年以来，平安运营中心（SOC）的概念及技术发展的也越来越成熟。部分涉足比较早的企业和服务商已经有了比较胜利的实施案例。在公司的平安管理解决方案中，我们在基础的平安管理平台之上，也提出关于建立有效的平安运营中心（SOC），实现可管理的平安服务。SOC基础传统的平安管理方式是将分散在各地、不同种类的平安防护系统分别管理，这样导致平安信息分散互不相通，平安策略难以保持一样，这种传统的管理运行方式因此成为许很多多平安隐患形成的根源。平安运营中心（SecurityOperationCenter）是针对传统管理方式的一种重大变革。它将不同位置、不同平安系统中分散且海量的单一平安事务进行汇总、过滤、收集和关联分析，得出全局角度的平安风险事务，并形成统一的平安决策对平安事务进行响应和处理。总体来说SOC的根本模型就是PDR模型，而SOC系统就是实现其中的D（Detection，检测）和R（Response，响应）。SOC的需求主要是从以下几个方面得到体现：大系统的管理通常平安系统是分别独立逐步的建立起来的，比如防病毒系统、防火墙系统、入侵检测系统等，各个系统都有单独的管理员或者管理限制台。这种相对独立的部署方式带来的问题是各个设备独立的配置、各个引擎独立的事务报警，这些分散独立的平安事务信息难以形成全局的风险观点，导致了平安策略和配置难于统一协调。这种对于大规模系统的平安管理也正是SOC的需求根源，就是说只有大系统、拥有困难应用的系统才有SOC的需求。海量信息数据随着平安系统建设越来越大，除了须要协调各个平安系统之间的问题之外，由于平安相关的数据量越来越大，有些关键的平安信息和告警事务经常被低价值或无价值的告警信息所沉没，一些全局性的、影响重大的问题很难被分析和提炼出来。为了从大量的、孤立的单条事务中精确的发觉全局性的、整体的平安威逼行为，须要SOC这样一个平台使得整个平安体系的检测实力更加精确，更加集中于影响重大的焦点问题。信息平安目标我们知道传统的信息平安有7个属性，即保密性（Confidentiality）、完整性（Integrity）、可用性（Availability）、真实性（Authenticity）、不行否认性（Nonreputiation）、可追究性（Accountability）和可控性/可治理性（Controllability/Governability）。信息平安的目标是要确保全局的掌控，确保整个体系的完整性，而不仅限于局部系统的完整性；对于平安问题、事务的检测要能够汇总和综合到中心监控体系，确保可追究性是整个体系的可追究性。SOC的出现就是为了确保对全局的掌控，实现全面支撑信息平安管理目标。全局可控性可控性是信息平安7个属性中最重要的一个，可控性最重要的体现是全局监控、预警实力和应急响应处理实力。全局预警就是要建立全局性的平安状况收集系统，对于新的平安漏洞和攻击方法的刚好了解，针对体系内局部发生的平安入侵等事务进行响应。我们通常用水桶效应来描述分布式系统的平安性问题，认为整个系统的平安性取决于水桶中最薄弱的一块木条。SOC就像是这个水桶的箍，有了这个箍，水桶就很难崩溃，即使出现个别的漏洞，也不至于对整个体系造成灾难性的破坏。SOC充分利用所驾驭的空间、时间、学问、实力等资源优势，形成全局性的资源协调体系，为系统的全局可控性供应有力的保障。SOC的基本实施有关SOC的基本实施，不同的供应商与实施方都有着不同的理解，其实施的具体方式与结果均不尽相同。在此我们结合启明星辰SOC理论来进行平安管理运营解决方案论述。SOC的体系结构这里的平安管理运营解决方案是由“四个中心、三个平台”组成的统一平安管理平台。“四个中心”是弱点评估中心、事务监控中心、风险管理中心和应急响应中心；“三个平台”是策略和配置平台、学问管理平台和资源管理平台。四个中心事务监控中心监控各个网络设备、操作系统等日志信息，以及平安产品的平安事务报警信息等，以便刚好发觉正在和已经发生的平安事务，例如网络蠕虫攻击事务、非授权漏洞扫描事务、远程口令暴力破解事务等，刚好协调和组织各级平安管理机构进行处理，刚好实行主动主动措施，保证网络和业务系统的平安、牢靠运行。弱点评估中心通过弱点评估中心可以驾驭全网各个系统中存在的平安漏洞状况，结合当前平安的平安动态和预警信息，有助于各级平安管理机构刚好调整平安策略，开展有针对性的平安工作，并且可以借助弱点评估中心的技术手段和平安考核机制可以有效督促各级平安管理机构将平安工作落实。风险管理中心整个风险管理中心的运作可以通过事务监控中心和弱点评估中心所驾驭的全网平安动态，有针对性指导各级平安管理机构做好平安防范工作，特殊是针对当前发生频率较高的攻击做好预警和防范工作。本中心是从检测到响应的中枢环节，汇总和分析也是在这里实现的。应急响应中心仅仅刚好检测到平安事务是不够的，必需做出即时的、正确的响应才能保证网络的平安。应急响应中心作为平安管理运营解决方案的重要组成部分之一为应急响应服务实现工具化、程序化、规范化供应了管理平台。应急响应中心主要是通过工单管理系统来实现的。应急响应中心接收由风险管理中心依据平安威逼事务生成的事务通知单，并对事务通知单的处理过程进行管理，将全部事务响应过程信息存入后台数据库，并可生成事务处理和分析报告。三个平台策略和配置管理平台网络平安的整体性要求须要有统一平安策略的管理。通过为全网平安管理人员供应统一的平安策略，指导各级平安管理机构因地制宜的做好平安策略的部署工作，有利于在全网形成平安防范的合力，提高全网的整体平安防卫实力，同时通过平安管理运营解决方案策略和配置管理平台的建设可以进一步完善整个IP网络的平安策略体系建设，为指导各项平安工作的开展供应行动指南，有效解决目前因缺乏口令、认证、访问限制等方面策略而带来到平安风险问题。学问管理平台统一的平安策略、平安学问库信息等信息的发布，不仅可以充分共享各种平安信息资源，而且也会成为各级平安管理机构之间进行平安阅历沟通的平台，有助于提高全网的平安技术水平和实力。足够的平安学问和信息是各个角色正确工作的基础。资源管理平台资源管理平台主要包括两个方面：人力资源管理和资产管理。人力资源管理保证在须要的时候，可以找到合适的人。资产管理主要是管理平安管理运营解决方案监控范围的各个系统和设备，是风险管理、事务监控协同工作和分析的基础。SOC的功能特点实时事务关联分析事务监控中心对来自不同平安系统的报警信息进行实时的关联分析，关联分析的整个过程都是在内存中进行的，并依据威逼程度的大小对平安事务进行排序，对不同威逼程度的平安事务通过不同颜色来着重显示。多样化显示方式事务监控中心供应了多种实时显示方式，如网络拓扑方式、雷达方式、柱形图等，直观的将平安威逼数据呈现给用户。丰富直观的报表SOC平安管理运营解决方案供应了丰富的报表模板供用户选择，除了文字总结还可以用清晰直观的图形化方式将报表呈现给用户。广泛的平台支持SOC平安管理运营解决方案支持从各种主流平安系统收集平安事务数据，并可以和网管系统实现结合管理。能够支持产品：防火墙系统：CheckpointNG/NGAIandProvider-1,CiscoPIX,Netscreen,SecureComputingSidewinderG2.入侵监测系统：启明星辰天阗IDSEnterasysDragon,ISSRealSecure,CiscoSecureIDS,Snort,SymantecManhunt,nCircleIP360.防病毒系统：SophosSymantecCorporate(Norton)McAfeeePOTrendMicro.漏洞扫描系统：启明星辰天镜ScannereEyeRetinanCircleIP360NessusISSScannerFoundstoneFoundscan.网管系统：HPOpenView,MicroMuseNetCool,CAUniCenter.其他：WindowsEventLogUNIXSyslogTripwireSNMPSNMPTraps.定制化：基于日志的数据源通常可以在一周左右定制化完成弱点评估管理SOC平安管理运营解决方案的弱点评估中心通过人工审计和漏洞扫描工具两种方式，收集整个网络的弱点状况并进行统一管理，使得管理人员可以清晰的驾驭全网的平安健康状况。弱点评估管理具有统一的可视界面，显示各个系统的平安漏洞分布状况，包括以下内容：该漏洞相关的链接信息，包括CVE编号、漏洞描述、受影响的系统类型以及漏洞的解决方案等信息；统计信息，即给出漏洞的分布、数量等统计信息。SOC全管理运营解决方案支持多种漏洞扫描工具，包括启明星辰的天镜漏洞扫描系统、ISSScanner、eEyeRetina、Nessus、FoundstoneFoundscan等。应急响应管理SOC平安管理运营解决方案的应急响应管理是通过工作流系统实现的。该系统是特地针对平安事务的处理过程，依据具体的平安响应流程进行定制的。事务监控中心监测到平安事务后有专人生成新的工单，一方面有专人会通过系统报警的方式收到通知并在规定的时间内对工单进行接收，并进入对平安事务的处理阶段，另一方面工单跟踪模块会对工单被派发后的整个过程进行跟踪，进行工单收回、重新派发等工作。工单处理结果可能有两种可能：一种是平安事务被解决，这个工单就被关闭，同时工单的内容被保存到学问库中，作为历史记录和以后参考用；另一种状况是平安事务因为某些缘由没有被彻底解决，这个工单所包含的问题会被重新处理考虑，生成新的工单，进入新的工单处理流程。应急响应管理完善了从防护到检测再到响应的一个平安事务处理过程的闭环。全面学问管理SOC平安管理运营解决方案的学问管理平台既供应一般学问管理功能，比如平安学问库、培训和人员考核等，也供应了强大的漏洞库、事务特征库、补丁库、平安配置学问库和应急响应学问库等。SOC的实现综合以上有关SOC的理论、体系及功能实现，可以了解到SOC是平安管理平台的更高级发展，建设SOC的目的是提升企业平安管理的实力，也是进一步提高企业信息化水平及实力。从整体上来讲是提升企业的管理实力。实现可管理的服务。目前市场上的SOC解决方案并不是很成熟，国际国内也没有成熟的SOC体系或标准。因此，企业是建设自身的SOC平台时，对市场解决方案及自身的管理水平要有充分的相识，选择合理合适的平安管理解决方案，这样才能进一步提高企业的信息化管理实力。平安服务解决方案在整体信息平安体系的建设中，除了针对具体的平安风险及问题进行基于产品和技术的解决方案后，须要对信息平安的管理平台进行建设，以期达到相应的平安目标。这一点我们在上节的平安管理解决方案里已经进行了描述。须要指出的是，整体信息平安体系的建设中，仅仅依靠自身的力气进行平安方案建设、平安管理建设等，均不能够充分的平安保障。所以在这里，我们引入了平安体系建设中的重要一环，即平安服务的建设。事实上平安服务可以简洁理解为，有效的引入外部的专业服务资源，为企业供应更高级别的平安服务实力。在完善自身平安建设的同时，帮助企业提高平安管理的实力。在此，我们依据公司的平安建设的整体状况，供应了如下6类最基本的平安服务内容：平安询问服务；平安评估服务；平安加固服务；日常维护服务；应急响应服务；平安培训服务。平安询问服务公司目前缺乏一个企业总体范围的、负责制定和实施的平安管理机制部门，难以保证平安制度建立和实施及决策层平安决策的有效性和一样性。信息平安管理职能分散在各个部门，缺少一个强有力的干脆向最高领导负责职能部门，协调整个企业内部的信息平安工作的，因此平安政策的执行可能会缺乏力度，平安事务处理依据和结果可能会不一样。由此可见，公司急需在专业平安服务厂商的帮助下，建立起适合自身企业特点和管理运作方式的网络平安管理职能部门，来负责协调、管理整个公司业务网络的平安问题。在此基础上，由平安服务厂商在对现有业务流程和管理制度做充分调研的基础上，帮助公司制定一套操作性强的平安策略体系，用以指导公司各个业务单位日常的网络平安工作。询问服务内容制定公司的网络平安管理组织架构，帮助公司建立企业内的网络平安管理小组，并制定小组成员职责文档；制定公司网络平安管理策略体系，供应一系列的主策略及子策略管理文档；依据公司相关部门人员的不同角色供应不同级别的平安培训，提高相关人员的整体平安意识和网络平安技术水平；设计组织架构及平安策略时的参考规范ISO/IEC17799-2000《信息平安管理好用规则》ISO/IEC13335《信息技术平安管理指南》ISO7498-2《信息处理系统开放系统互连基本参考模型-平安体系结构》SSE-CMM《系统平安工程实力成熟模型》GB/T18336-2001《信息技术平安技术信息技术平安性评估准则》GB/T17859-1999《计算机信息系统平安等级爱护划分准则》其他国家法律、法规等平安评估服务平安评估模型平安风险模型的建立来自于BS7799的思想，它是整个风险评估方案的主导。信息资产由于自身的脆弱性，使得威逼的发生成为可能，从而形成风险。一旦平安事务发生，就会造成各种不同的影响。换句话说，风险分析的过程事实上就是对影响、威逼和脆弱性分析的过程，但它们都紧紧围围着资产为中心。在风险评估阶段，资产的价值、资产破坏后造成的影响、威逼的严峻程度、威逼发生的可能性、资产的脆弱程度都成为风险评估的关键因素。在风险模型中，资产的评估主要是对资产进行相对估价，而其估价准则就是依靠于对其影响的分析，从资产的相对价值中体现了威逼的严峻程度。这样，威逼评估就仅仅成了对资产所受威逼发生可能性的评估。脆弱性的评估是对资产脆弱程度的评估。平安风险评估就是通过综合分析评估后的资产信息、威逼信息和脆弱性信息，最终生成风险信息。图1：平安风险模型平安评估流程平安风险评估流程是平安风险模型的体现，因此首次整个评估的过程可以分为以下几个阶段：第一阶段确定评估范围阶段，调查并了解公司网络系统业务的流程和运行环境，确定评估范围的边界以及范围内的全部网络系统应用；其次阶段是资产的识别和估价阶段，对评估范围内的全部资产进行识别，并调查资产破坏后可能造成的影响大小，依据影响的大小为资产进行相对赋值；第三阶段是平安威逼评估阶段，首先通过问卷调查和IDS取样等方式识别出资产所面临的每种威逼，并评估它们发生的可能性；第四阶段是脆弱性评估阶段，包括从技术和管理方面进行的脆弱度检查，特殊是技术方面，以平安扫描、手动检查、渗透测试等众多技术手段进行评估；第五阶段是风险的分析阶段，即通过分析上面所评估的数据，进行风险值计算、区分和确认高风险因素；第六阶段是风险的管理阶段，这一阶段主要是总结整个风险评估过程，制定相关风险限制策略，建立风险评估报告，实施某些紧急风险限制措施（如平安修补和加固）。风险评估的标准整个平安风险评估项目，将主要依据相关信息平安标准供应指导，并遵循了相关国家的法律法规政策。我们采纳国际信息平安管理标准BS7799的风险管理思想作为贯穿整个风险评估过程的主要指导规范，为最终建立完善、全面的公司网络系统平安管理体系供应依据。另外，在风险等关键因素的评估方面，我们还参考了SSE-CMM、ISO15408和ISO13335标准。同时，SSE-CMM指导了本次项目的工程实施，ISO15408、ISO13335在平安方案的制定等方面都供应了规范化的指导。其中在评估过程中涉及到的一些技术细微环节问题，我们将严格遵循和执行相关国家的法律法规政策。平安加固服务平安加固服务是指依据先期平安评估的结果，制定统一的平安策略，对网络及应用系统进行管理加强、环境优化增加及平安域规划和系统加固等工作，通过平安加固及增加服务后，使整个网络及应用系统的平安状况提升到一个较高的水平。平安加固原则我们依据平安评估结果，结合各种操作系统的平安特性，对加固对象进行修补加固。利用修补和加固解决在平安评估中发觉的各种技术性平安问题，基本保证在客观环境允许的状况下被加固对象应不再存在高风险漏洞和中风险漏洞(依据CVE标准定义)，对于由于业务环境缘由无法进行修补的漏洞，我们会分析漏洞的对系统平安性影响并提出相应的解决建议，同时记录在遗留问题记录中，以备后续参考。另外，在修补和加固完成后应不影响修补加固对象原有的功能和性能。其中，在加固方案设计和加固实施过程中将遵循以下原则：标准性原则：加固方案的设计与实施应依据国内或国际的相关标准进行；规范性原则：工作中的过程和文档，具有很好的规范性，可以便于项目的跟踪和限制；可控性原则：加固的方法和过程要在双方认可的范围之内，加固服务的进度要跟上进度表的支配，保证公司网络系统对于加固工作的可控性；整体性原则：加固的范围和内容应当整体全面，包括平安涉及的各个层面，避开由于遗漏造成将来的平安隐患；最小影响原则：加固工作应尽可能小的影响系统和网络的正常运行，不会对正在的运行和业务的正常供应产生显著影响；保密原则：对加固的过