信息安全解决方案

信息安全解决方案在华丽网络应用信息系统的网络层，采用了防火墙技术。考虑到企业对数据实时性和传输量的高要求，网络性能必须达到较高水平。此外，企业安全性必须得到切实保障。目前，大多数企业已经采用了各种网络安全技术和产品来保护其系统。华丽网络应用信息系统提供的网络安全层解决方案具备易用性、易管理性和良好的扩展性等特点，不仅满足当前网络层安全技术的需求，还能有效保护企业现有的投资。应用层安全方案在网络的应用层，华丽网络应用信息系统采用了严格的身份认证、不同粒度的访问控制、数据完整性、保密性和非否认性检测以及安全审计记录等技术来保障系统安全。身份认证支持基于对称密钥的KerberosV5和基于公钥的X.509证书等多种身份认证技术。不同粒度的访问控制可根据不同的网络应用提供文件、页面或端口级的访问控制。在数据完整性、保密性和非否认性检测方面，采用了高强度加密算法、数字签名、时间戳和会话密钥等技术。该网络安全解决方案还可以无缝集成到第三方应用系统的安全机制中，实现统一管理，不仅能进行入侵检测和漏洞扫描，而且能够与其他系统无缝协作。数据安全及容错方案对企业而言，最宝贵的是存储在存储介质中的数据信息，因此数据备份和容错方案至关重要。华丽网络应用信息系统采用了软硬结合的全面解决方案，包括磁带机、备份管理软件和存储区域网络等技术，确保备份的可靠性、速度和性能价格比都达到较高水平。该系统支持包括SAN在内的各种网络备份技术，各种主流计算机操作系统、各种操作系统文件以及各种主流数据库系统。此外，它还支持非结构化数据（如LotusNotes）的备份，以及各种备份策略，如完全备份、增量备份和差分备份。备份过程中，支持各种数据校验技术，并提供了先进的备份管理功能，实现备份和恢复的智能化，以及操作故障的自动提示。该解决方案具有可扩展性，能够根据企业业务的发展进行平滑扩展，保护已有的投资。在容错方面，该解决方案具有实时监控、自动备份切换、双机热备份和双机互备援等特点，具有强大的伸缩能力、对现有系统影响小以及管理简便等优势。病毒防范方案针对在internet上,病毒肆虐,企业信息系统每天都有面临预测的可能,华丽网络应用信息系统本部对行业系统安全解决方案提供了病毒防范方案,其技术特点是:企业级网络防毒;病毒库网络自动更新;管理简单有效.第一部分基本解决方案第一道安全屏障网络防火墙系统防火墙通过网络地址转换(nat)功能来隐藏内部网络的ip地址;通过其动态访问过滤功能动态检查流经的ip数据包,根据设定的规则决定数据包是否可以通过,并将不合法的数据包过滤掉;通过其url地址限定功能限制对某些站点的访问,防止内部网络对外部网络进行不安全的访问.第二道安全屏障网络防毒系统网络防毒系统可以采用c/s模式,在网络防毒服务器中安装杀毒软件服务器端程序,并通过internet利用liveupdate功能,从免疫中心实时获取最新的病毒码信息.服务器和网络工作站都安装客户端软件,利用从服务器端获取的病毒码信息对本地工作站进行病毒扫描,并对发现的病毒采取相应措施进行清除.客户端根据需要可用三种方式进行病毒扫描:实时扫描、预置扫描和人工扫描.由于病毒扫描可能带来服务器性能上的降低,因此可采用预置扫描方式,将扫描时间设定在服务器访问率最低的夜间.网络工作站可根据各自需要,选择合适的方式进行病毒扫描.第三道安全屏障入侵检测系统安全漏洞扫描入侵检测系统是专门针对黑客攻击行为而研制的网络安全产品.国际上先进的分布式入侵检测构架,可最大限度地、全天候地实施监控,提供企业级的安全检测手段.在事后分析的时候,可以清楚地界定责任人和责任事件,为网络管理人员提供强有力的保障.入侵检测系统采用攻击防卫技术,具有高可靠性、高识别率、规则更新迅速等特点.系统具有强大的功能、方便友好的管理机制,可广泛应用于行业各单位.漏洞检测和安全风险评估技术,因其可预知主体受攻击的可能性和具体的指证将要发生的行为和产生的后果,而受到网络安全业界的重视.这一技术的应用可帮助识别检测对象的系统资源,分析这一资源被攻击的可能指数,了解支撑系统本身的脆弱性,评估所有存在的安全风险.漏洞扫描系统就是这一技术的实现,她包括了网络模拟攻击,漏洞检测,报告服务进程,提取对象信息,以及评测风险,提供安全建议和改进措施等功能,帮助用户控制可能发生的安全事件,最大可能的消除安全隐患.第二部分增强解决方案以上看到,该网络综合采用了各种网络安全技术,包括防火墙、入侵检测、安全漏洞扫描、网络防病毒等.在系统的一些网络中还采用vpn等技术.这些安全技术在一定程度上保护了网络、主机和系统服务免受来自外部的攻击和破坏,对病毒的危害也能够起到一定的防范效果.但是,这些安全措施在防范来自内部的攻击,保护应用系统和信息安全方面却无能为力.“后续的工作将是在逐步完善安全体系的基础上,把建设重点由以网络安全为主应用安全为辅转入以应用安全为主网络安全为辅的阶段.”一、信息安全隐患分析我们可以从信息在网络系统中的存储、处理、传输和用户对这些信息的访问活动等方面来分析这些信息潜在的安全威胁.数据库数据和文件的明文存储:系统计算机网络中的信息一般存储在由数据库管理系统维护的数据库中或操作系统文件中.这些以明文形式存储的信息存在泄漏的可能,因为拿到存储介质的人可以读出这些信息;黑客可以绕过操作系统、数据库管理系统的控制获取这些信息;系统后门使软硬件系统制造商很容易得到这些信息…信息的明文传输:现代应用系统一般采用c/s(客户/服务器)或b/s(浏览器/服务器)结构,都在网络上运行,所处理的信息也必须在网络主机间频繁传输.在行业的计算机网络系统中,信息传输基本上是明文方式.偶有采用ssl(安全套接字层)等加密传输的,但由于外国安全系统出口的限制,所能够用到的ssl是低安全级别的.这些明文或只受到低安全保护的信息在网络上传输,不具有信息安全所要求的保密、完整和发送方的不可抵赖性要求.弱身份认证:行业应用系统基本上基于商用软硬件系统设计和开发,用户身份认证基本上采用基于口令的鉴别模式,而这种模式很容易被攻破.有的应用系统还使用自己的用户鉴别方法,将用户名、口令以及一些安全控制信息以明文的形式记录在数据库或文件中,这种脆弱的安全控制措施在操作人员计算机应用水平不断提高,信息敏感性不断增强的今天不能再用了.二、信息安全增强解决方案信息安全解决方案应该全面考虑信息存储、传输、处理和访问等各环节的安全要求,使信息安全方案没有攻击者可以利用的安全薄弱环节.按照信息安全全面性要求原则,信息安全方案必须包括如下组成部分:安全的身份认证:安全的身份认证是安全的第一步,不安全的身份认证可能造成用户假冒,使其它安全措施失去作用.通信安全:采用数据加密、信息摘要和数字签名等安全措施对通信过程中的信息进行保护,实现数据在通信中的保密、完整和不可抵赖性安全要求.文件安全:通过文件加密、信息摘要和访问控制等安全措施,来实现文件存储和传输的保密和完整性要求,并实现对文件访问的控制.数据库安全:通过数据存储加密、完整性检验和访问控制来保证数据库数据的机密和完整性,并实现数据库数据的访问安全.安全审计:通过记录审计信息来为信息安全问题的分析和处理提供线索.公司针对信息安全的要求,结合自身技术特点开发出了有关身份认证、通信安全、文件安全、数据库安全等的信息安全产品,并在这些产品中集成了审计功能.1、kdckdc(keydistributioncenter)是kerberos第5版的实现和增强,可以为企业提供集中的用户管理、服务管理和通信安全服务.其功能包括:用户管理票据授权服务应用服务管理服务器票据管理用户鉴别安全审计kdc不但可以和其他安全产品集成使用,也可以和支持kerberos的其他产品集成,如oracle8i等.kdc提供了调用接口(api),用户可以在应用中调用kdc的安全功能.kdc使“一次登录”成为可能,即用户在使用所有可以访问的数据和系统时只需要登录一次.2、安全通信代理除在自己的信息安全产品中包含了通信安全功能外,还为不具备通信安全的系统提供了一个可配置的通信安全解决方案,即安全通信代理.安全通信代理包括客户端和服务器两部分.安全代理结构通信安全代理客户端运行在应用系统客户机上.当客户机要向服务器发送信息时,信息不直接发送到服务器,而是发送到通信安全代理客户端.客户端将信息加密后发送到通信安全代理服务器.通信安全代理服务器将请求脱密后发给真正的服务器并获取返回的内容,将返回内容加密并返回给通信安全代理客户机.通信安全代理客户机将通信安全代理服务器返回的内容脱密并返回给请求者.通信安全代理客户端与服务端之间的通信过程采用一次会话一个密钥的动态密钥加密方式,并通过会话标识、请求序号、完整性校验码等来实现防重放、防篡改.3、文件保密柜文件保密柜可分为企业文件保密柜和个人文件保密柜两种.企业文件保密柜企业文件保密柜包括文件柜服务器和文件柜客户机,功能包括:文件加密存储:文件以加密的形式存储在文件柜中,防止文件内容的泄漏.文件传输加密:文件从服务器传输到客户机过程中采用加密保护措施.访问控制:企业文件柜允许多用户共享文件,企业文件柜提供访问控制功能,防止文件的非授权访问.安全审计:记录用户对文件的访问,提供安全审计记录查询功能.文件查询:可以根据查询条件来查找相关的文件,包括全文查找.文件组织与管理:以层次形式显示和组织文件,支持文件在层次结构中的拖动.个人文件保密柜个人文件保密柜功能包括:加密存储:文件以加密的形式存储在文件柜中,防止文件内容的泄漏.文件查询:可以根据查询条件来查找相关的文件,包括全文查找.文件组织与管理:以层次形式显示和组织文件,支持文件在层次结构中的拖动.作为企业文件保密柜客户机使用.文件保密柜的特点安全:采用182位密钥长度加密,且不同文件采用不同密钥.全文查找:自主研制的加密算法支持快速全文查找功能.多平台支持:支持unix/linux/microsoftos.操作方便:支持右键和拖放操作.支持二次开发:通过编程接口支持二次开发.4、数据库加密系统数据库加密系统包括数据库加密服务器、odbc驱动器、jdbc驱动器和一个工具集.数据库安全体系结构数据库加密系统能够适应c/s和b/s两种应用形式.数据库安全c/s模式系统结构在c/s模式应用系统中,客户端应用(包括开发工具)与odbc驱动器交互来访问数据库加密系统服务器.数据库安全b/s模式系统结构数据库加密服务器数据库加密服务器主要由服务管理、sql执行引擎、数据字典管理、dbms访问接口、数据备份与恢复、其他系统服务等模块组成.从客户端来的请求首先交给服务管理模块,服务管理模块将请求分派到实际的服务模块执行.有关密文数据访问的请求交给sql执行引擎.sql执行引擎对到来的sql进行词法和语法分析.通过了词法、语法检查sql请求在sql执行引擎中形成执行计划并被执行.在sql执行过程中会调用数据加密功能对写入数据库的数据进行加密,对从数据中取出的数据进行脱密.odbc驱动器odbc驱动器符合microsoftodbc标准,并在内部实现了与服务器间的安全通信.因此,任何可以通过odbc工作的应用系统和开发工具都可以通过这个驱动器访问数据库加密系统,即数据库数据的通信和存储安全对应用系统是透明的.jdbc驱动器jdbc驱动器符合jdbc标准,并在内部实现了与服务器间的安全通信.因此,任何可以通过jdbc工作的应用系统和开发工具都可以通过这个驱动器访问数据库加密系统,即数据库数据的通信和存储安全对应用系统是透明的.工具集企业管理器:以一种集成的方式实现系统的所有管理工作.管理器功能包括节点管理、服务器配置、停止服务器、活动用户管理、数据库中对象及其加密属性管理、密文数据的明文备份与恢复.交互命令处理器:执行命令来完成系统管理和数据操纵功能.这些命令包括连接命令、服务器配置与管理命令、表的安全属性管理命令、备份与恢复命令、sql等.命令处理器可以直接执行命令脚本文件,以批量化和自动化一些管理工作和数据操纵工作.数据库加密系统的特点高安全性:128位密钥长度,数据项级数据加密,即不同数据项采用不同密钥加密.用户还可选择硬件加密卡来执行加/脱密等安全操作,保证密钥不出现在硬件加密卡以外的任何地方,使系统更加安全.高效率:自主研制的密文查询算法保证密文访问的效率.安全功能透明性:系统