IT項(xiàng)目安全架構(gòu)設(shè)計(jì)

1、安全架構(gòu)設(shè)計(jì)安全架構(gòu)設(shè)計(jì)目標(biāo)整體平臺(tái)的信息安全體系，必須為金融業(yè)務(wù)工作的有效開(kāi)展提供 有力支撐，信息系統(tǒng)的安全可靠對(duì)于金融業(yè)務(wù)工作十分重要。建設(shè)終 端、應(yīng)用、系統(tǒng)、網(wǎng)絡(luò)、物理以及業(yè)務(wù)增強(qiáng)安全能力，圍繞身份鑒權(quán)、 訪(fǎng)問(wèn)控制、內(nèi)容審計(jì)、監(jiān)控審計(jì)、合規(guī)和業(yè)務(wù)連續(xù)性設(shè)計(jì)。整個(gè)平臺(tái) 安全體系建設(shè)滿(mǎn)足等級(jí)保護(hù)2.0 III級(jí)標(biāo)準(zhǔn)。安全作為金融平臺(tái)的重要組成部分，是銜接金融平臺(tái)應(yīng)用安全與 底層資源安全保障的紐帶，也是金融平臺(tái)各子系統(tǒng)之間實(shí)現(xiàn)軟硬件資 源的安全共享的保障。同時(shí)，為了落實(shí)和貫徹公安部、國(guó)家保密局、 國(guó)家密碼管理局、全市高法系統(tǒng)等國(guó)家有關(guān)部門(mén)信息安全等級(jí)保護(hù)工 作要求，全面完善金融平臺(tái)信息安全防護(hù)

2、體系，落實(shí)“雙網(wǎng)雙機(jī)、分 區(qū)分域、等級(jí)防護(hù)、多層防御”的安全防護(hù)策略，確保等級(jí)保護(hù)工作 在各相關(guān)環(huán)節(jié)的順利實(shí)施，提高整體信息安全防護(hù)水平。本次規(guī)劃初步設(shè)計(jì)與金融業(yè)務(wù)相適應(yīng)的、可靠的安全防護(hù)體系， 實(shí)現(xiàn)金融平臺(tái)硬件及網(wǎng)絡(luò)環(huán)境、金融平臺(tái)應(yīng)用、金融平臺(tái)數(shù)據(jù)等安全 防護(hù)與管理，實(shí)現(xiàn)應(yīng)用服務(wù)及數(shù)據(jù)調(diào)用的安全認(rèn)證和安全審計(jì)，主動(dòng) 的異常數(shù)據(jù)操作行為的監(jiān)控分析、預(yù)警機(jī)制，并提供異常問(wèn)題的倒查 追溯能力；訪(fǎng)問(wèn)軌跡記錄跟蹤與查詢(xún)；金融平臺(tái)及系統(tǒng)安全審計(jì)；安 全日志記錄存儲(chǔ)及查詢(xún)；金融平臺(tái)安全預(yù)警機(jī)制；數(shù)據(jù)級(jí)、應(yīng)用級(jí)容 災(zāi)備份及恢復(fù)機(jī)制，建立金融平臺(tái)的異地容災(zāi)備份能力，以確保金融 平臺(tái)的高可用性和數(shù)據(jù)安全性。安全

3、架構(gòu)設(shè)計(jì)原則 金融平臺(tái)安全設(shè)計(jì)一般考慮以下幾個(gè)方面： 合理規(guī)劃網(wǎng)絡(luò)的安全區(qū)域以及不同區(qū)域之間的訪(fǎng)問(wèn)權(quán)限，保證接 入用戶(hù)和終端的合法授權(quán)許可，防止非法的訪(fǎng)問(wèn)以及惡性的攻擊入侵 和破壞；建立高可靠的網(wǎng)絡(luò)平臺(tái)，為數(shù)據(jù)在網(wǎng)絡(luò)中傳輸提供高可用的 傳輸通道，避免數(shù)據(jù)的丟失，并且提供相關(guān)的安全技術(shù)防止數(shù)據(jù)在傳 輸過(guò)程中被篡改和竊??；提供對(duì)網(wǎng)絡(luò)平臺(tái)自身的安全保護(hù)支撐，保證 網(wǎng)絡(luò)平臺(tái)能持續(xù)穩(wěn)定運(yùn)行。需求、風(fēng)險(xiǎn)、代價(jià)平衡分析的原則：對(duì)任一網(wǎng)絡(luò)，絕對(duì)安全難以 達(dá)到，也不一定是必要的。對(duì)一個(gè)網(wǎng)絡(luò)要進(jìn)行實(shí)際的研究（包括任務(wù)、 性能、結(jié)構(gòu)、可靠性、可維護(hù)性等），并對(duì)網(wǎng)絡(luò)面臨的威脅及可能承 擔(dān)的風(fēng)險(xiǎn)進(jìn)行定性與定量相結(jié)合的分

4、析，然后制定規(guī)范和措施，確定 系統(tǒng)的安全策略。綜合性、整體性原則：應(yīng)運(yùn)用系統(tǒng)工程的觀點(diǎn)、方法，分析網(wǎng)絡(luò) 的安全及具體措施。安全措施主要包括：行政法律手段、各種管理制 度（人員審查、工作流程、維護(hù)保障制度等）以及專(zhuān)業(yè)技術(shù)措施（訪(fǎng) 問(wèn)控制、加密技術(shù)、認(rèn)證技術(shù)、攻出檢測(cè)技術(shù)、容錯(cuò)、防病毒等）。一 個(gè)較好的安全措施往往是多種方法適當(dāng)綜合的應(yīng)用結(jié)果。一致性原則：一致性原則主要是指網(wǎng)絡(luò)安全問(wèn)題應(yīng)與整個(gè)網(wǎng)絡(luò)的 工作周期（或生命周期）同時(shí)存在，制定的安全體系結(jié)構(gòu)必須與網(wǎng)絡(luò) 的安全需求相一致。安全的網(wǎng)絡(luò)系統(tǒng)設(shè)計(jì)（包括初步或詳細(xì)設(shè)計(jì)）及 實(shí)施計(jì)劃、網(wǎng)絡(luò)驗(yàn)證、驗(yàn)收、運(yùn)行等，都要有安全的內(nèi)容及措施。實(shí) 際上，在網(wǎng)絡(luò)建

5、設(shè)的開(kāi)始就考慮網(wǎng)絡(luò)安全對(duì)策，比在網(wǎng)絡(luò)建設(shè)好后再 考慮安全措施，不但容易，且花費(fèi)也少得多。易操作性原則：安全措施需要人去完成，如果措施過(guò)于復(fù)雜，對(duì) 人的要求過(guò)高，本身就降低了安全性；其次，措施的采用不能影響系 統(tǒng)的正常運(yùn)行。適應(yīng)性及靈活性原則：安全措施必須能隨著網(wǎng)絡(luò)性能及安全需求 的變化而變化，要容易適應(yīng)、容易修改和升級(jí)。多重保護(hù)原則：任何安全措施都不是絕對(duì)安全的，都可能被攻破。 但是建立一個(gè)多重保護(hù)系統(tǒng)，各層保護(hù)相互補(bǔ)充，當(dāng)一層保護(hù)被攻破 時(shí)，其它層保護(hù)仍可保護(hù)信息的安全?？稍u(píng)價(jià)性原則：如何預(yù)先評(píng)價(jià)一個(gè)安全設(shè)計(jì)并驗(yàn)證其網(wǎng)絡(luò)的安全 性，這需要通過(guò)國(guó)家有關(guān)網(wǎng)絡(luò)信息安全測(cè)評(píng)認(rèn)證機(jī)構(gòu)的評(píng)估來(lái)實(shí)現(xiàn)。技術(shù)

6、與管理并重原則：“三分技術(shù)，七分管理”，從技術(shù)角度出發(fā) 的安全方案設(shè)計(jì)必須有與之相適應(yīng)的管理制度同步制定，并管理的角 度評(píng)估安全設(shè)計(jì)方案的可操作性。對(duì)于金融行業(yè)網(wǎng)絡(luò)安全體系的建立，我們建議采取以上的原則， 先對(duì)整個(gè)網(wǎng)絡(luò)進(jìn)行整體的安全規(guī)劃，然后，根據(jù)實(shí)際狀況建立一個(gè)從 防護(hù)檢測(cè)響應(yīng)的基礎(chǔ)的安全防護(hù)體系，提高整個(gè)網(wǎng)絡(luò)基礎(chǔ)的 安全性，保證應(yīng)用系統(tǒng)的安全性。按照以上原則，分別做好物理層安全、網(wǎng)絡(luò)層安全、操作系統(tǒng)安 全、內(nèi)容安全、應(yīng)用層安全、PKI體系、安全審計(jì)、安全集中管理的 建設(shè)，并此基礎(chǔ)上，做好信息安全管理、技術(shù)、運(yùn)維、知識(shí)體系的建 設(shè)。網(wǎng)絡(luò)安全總體設(shè)計(jì)安全域劃分 根據(jù)安全域劃分方法，可以劃分為核

7、心計(jì)算域、內(nèi)部接入域、外 聯(lián)域以及管理支撐域等安全區(qū)域。有了安全區(qū)域的劃分，網(wǎng)絡(luò)就有了 明確的邊界，可以進(jìn)行有效防護(hù)和縱深防御。（1）核心計(jì)算域 核心計(jì)算域主要承載金融平臺(tái)局的所有應(yīng)用，是金融平臺(tái)網(wǎng)絡(luò)的 核心。該區(qū)域防護(hù)重點(diǎn)為邊界防護(hù)、入侵檢測(cè)、安全審計(jì)、鑒別認(rèn)證。（2）內(nèi)部接入域 內(nèi)部接入域主要是分中心和各外部系統(tǒng)與總部的接入?yún)^(qū)域。該區(qū) 域主要防護(hù)重點(diǎn)為終端保護(hù)、邊界防護(hù)、數(shù)據(jù)防護(hù)等。（3）外聯(lián)接入域 外聯(lián)區(qū)域?yàn)榻鹑谄脚_(tái)與非本平臺(tái)機(jī)構(gòu)相連的接口，包括第三方機(jī) 構(gòu)等。該區(qū)域主要防護(hù)重點(diǎn)為邊界隔離和入侵檢測(cè)，通過(guò)這兩種手段 便于隔離外部威脅，同時(shí)也便于區(qū)分不同區(qū)域的安全責(zé)任。（4）運(yùn)維管理域 管

8、理支撐域部署的管理整個(gè)金融平臺(tái)的網(wǎng)絡(luò)管理、安全管理、內(nèi) 部辦公的核心區(qū)域，該區(qū)域防護(hù)采用邊界隔離、安全審計(jì)、入侵檢測(cè)、 行為控制等手段。以上為金融平臺(tái)的主要安全區(qū)域劃分，各個(gè)安全域內(nèi)部還可以進(jìn) 一步根據(jù)業(yè)務(wù)系統(tǒng)重要性等級(jí)進(jìn)一步細(xì)化分成不同安全子域。這些域和其中的子域劃分，都需要通過(guò)網(wǎng)絡(luò)層實(shí)現(xiàn)，并通過(guò)網(wǎng)絡(luò) 層進(jìn)行邊界防護(hù)和權(quán)限控制。結(jié)構(gòu)安全（1）安全要求要求域（邊界）間通過(guò)核心交換機(jī)進(jìn)行子網(wǎng)、網(wǎng)段劃分和IP地址規(guī)劃；要求子域間通過(guò)3層交換機(jī)進(jìn)行子網(wǎng)、網(wǎng)段劃分和IP地址規(guī)劃；域間和重要子域間配置防火墻進(jìn)行邊界劃分，普通子域間可以通 過(guò)虛擬方式進(jìn)行劃分和防護(hù)；對(duì)重要業(yè)務(wù)的網(wǎng)絡(luò)質(zhì)量和帶寬采用QoS方式

9、進(jìn)行保證。（2）建設(shè)要點(diǎn)和內(nèi)容結(jié)構(gòu)安全將通過(guò)增加網(wǎng)絡(luò)交換機(jī)、防火墻，以及對(duì)網(wǎng)絡(luò)環(huán)境的規(guī) 劃和設(shè)計(jì)來(lái)實(shí)現(xiàn)。在計(jì)算核心域邊界部署防火墻、管理支撐域邊界部 署防火墻、外聯(lián)接入域邊界部署防火墻。各個(gè)域內(nèi)部可以采用 VLAN 劃分及三層交換設(shè)備的 ACL 控制來(lái)實(shí)現(xiàn)子域的劃分。11321 邊界抗DDoS設(shè)備在主用金融平臺(tái)互聯(lián)網(wǎng)出口部署抗拒絕服務(wù)攻擊系統(tǒng)，針對(duì)分布 式拒絕服務(wù)攻擊（DDoS）、P2P下載、蠕蟲(chóng)等異常流量進(jìn)行探針式檢 測(cè)和異常流量清洗。11322 邊界防火墻防火墻技術(shù)是目前網(wǎng)絡(luò)邊界保護(hù)最有效也是最常見(jiàn)的技術(shù)。采用 防火墻技術(shù)，對(duì)重要節(jié)點(diǎn)和網(wǎng)段進(jìn)行邊界保護(hù)，可以對(duì)所有流經(jīng)防火 墻的數(shù)據(jù)包按照嚴(yán)

10、格的安全規(guī)則進(jìn)行過(guò)濾，將所有不安全的或不符合 安全規(guī)則的數(shù)據(jù)包屏蔽，杜絕越權(quán)訪(fǎng)問(wèn)，防止各類(lèi)非法攻擊行為。由于互聯(lián)網(wǎng)服務(wù)器區(qū)安全邊界面臨的安全風(fēng)險(xiǎn)較多，需要通過(guò)嚴(yán) 格執(zhí)行安全策略發(fā)揮防火墻最佳功效：集中放置面向Internet服務(wù)的主機(jī)，在一個(gè)集中、受控的 環(huán)境下監(jiān)控網(wǎng)絡(luò)流量；關(guān)閉不必要的服務(wù)；嚴(yán)格限制進(jìn)、出網(wǎng)絡(luò)的 ICMP 流量和 UDP 流量；允許網(wǎng)絡(luò)管理流量進(jìn)局域網(wǎng)系統(tǒng)；嚴(yán)格制定防火墻策略，限制所有無(wú)關(guān)訪(fǎng)問(wèn)。由于面對(duì)的是外部復(fù)雜的網(wǎng)絡(luò)環(huán)境，因此這些邊界防火墻需要具 備更多的深度過(guò)濾功能：能夠阻止常見(jiàn)的蠕蟲(chóng)擴(kuò)散，能夠?qū)2P帶寬 進(jìn)行流量管理等。同時(shí)能夠精細(xì)的進(jìn)行設(shè)備管理，減輕管理員管理負(fù)

11、擔(dān)。邊界防病毒一體化網(wǎng)關(guān)遠(yuǎn)程專(zhuān)線(xiàn)各接入單位的外部邊界上部署UTM統(tǒng)一威脅管理設(shè)備，可以通過(guò)制定嚴(yán)格的訪(fǎng)問(wèn)策略、保證接入單位訪(fǎng)問(wèn)行為的合法性以及 金融平臺(tái)與接入單位進(jìn)行數(shù)據(jù)交互行為的合法性。同時(shí)對(duì)個(gè)單位進(jìn)行 全方位的安全防護(hù)。采用 UTM 設(shè)備來(lái)構(gòu)成本方案的核心產(chǎn)品既有效節(jié)約了建設(shè)資金， 又達(dá)到了更好的防護(hù)效果。可根據(jù)實(shí)際需要開(kāi)啟相應(yīng)的功能模塊，采 用UTM部署在互聯(lián)網(wǎng)邊界是一個(gè)一舉兩得的解決方案。各功能模塊配置說(shuō)明：（1）防火墻首先需要配置防火墻功能。對(duì)重要節(jié)點(diǎn)和網(wǎng)段進(jìn)行邊界保護(hù)，可 以對(duì)所有流經(jīng)防火墻的數(shù)據(jù)包按照嚴(yán)格的安全規(guī)則進(jìn)行過(guò)濾，將所有 不安全的或不符合安全規(guī)則的數(shù)據(jù)包屏蔽，杜絕越權(quán)訪(fǎng)

12、問(wèn)，防止非法 攻擊；可以對(duì)網(wǎng)絡(luò)流量進(jìn)行精確的控制，可以對(duì)用戶(hù)進(jìn)行多種認(rèn)證等。（2）防病毒據(jù)ICSA（國(guó)際計(jì)算機(jī)安全協(xié)會(huì)）的統(tǒng)計(jì)表明，超過(guò)90%的病毒是 通過(guò)Internet傳播的。而利用ASIC硬件技術(shù)進(jìn)行數(shù)據(jù)包內(nèi)容病毒掃 描，在性能上有了質(zhì)的飛躍，可以提供近乎實(shí)時(shí)的病毒過(guò)濾性能。網(wǎng) 關(guān)病毒過(guò)濾特性還可以有效地防止病毒進(jìn)入內(nèi)網(wǎng)之后利用計(jì)算機(jī)系 統(tǒng)漏洞肆意傳播，大量消耗系統(tǒng)資源和網(wǎng)絡(luò)帶寬所造成的DoS/ DDoS （拒絕服務(wù)/分布式拒絕服務(wù)）攻擊。（3）入侵檢測(cè)/防護(hù)網(wǎng)絡(luò)入侵檢測(cè)/防護(hù)系統(tǒng)（IDS/IPS）是一種實(shí)時(shí)網(wǎng)絡(luò)入侵檢測(cè)傳 感器，它能對(duì)外界各種可疑的網(wǎng)絡(luò)活動(dòng)進(jìn)行識(shí)別及采取行動(dòng)。為通知 系

13、統(tǒng)管理員有攻擊行為發(fā)生，IDS將此攻擊及一切可疑流量記錄到攻 擊日志中，并根據(jù)設(shè)置發(fā)送報(bào)警郵件UTM可以檢測(cè)并阻斷多種類(lèi)型 攻擊，例如DoS/DDoS （拒絕服務(wù)/分布式拒絕服務(wù)）攻擊（包括TCP SYN flood, UDP flood 和 ICMP flood， Ping of Dea th. Tear drop 等）。通過(guò)配置網(wǎng)絡(luò)中UTM的IDS/IPS模塊，可以防止各類(lèi)網(wǎng)絡(luò)攻擊 和入侵行為的發(fā)生。直接對(duì)網(wǎng)絡(luò)入侵行為進(jìn)行阻斷，不給黑客以任何 可乘之機(jī)UTM可以進(jìn)行手動(dòng)、自動(dòng)的更新攻擊特征庫(kù)，擴(kuò)充攻擊特 征數(shù)量，防范最新攻擊。入侵防范（1）安全要求 要求在網(wǎng)絡(luò)中部署入侵防范檢測(cè)設(shè)備。（2）

14、建設(shè)要點(diǎn)和內(nèi)容通過(guò)在核心計(jì)算域、管理支撐域、外聯(lián)接入域邊界部署入侵檢測(cè) 系統(tǒng)解決。其中在核心計(jì)算域部署高端入侵檢測(cè)系統(tǒng)、管理支撐域部 署普通入侵檢測(cè)系統(tǒng)、外聯(lián)接入域邊界部署普通入侵防御系統(tǒng)。 11331 入侵檢測(cè)系統(tǒng)（IPS）入侵防護(hù)系統(tǒng)（IPS）就是安全防護(hù)體系中重要的一環(huán)，它能夠 及時(shí)識(shí)別網(wǎng)絡(luò)中發(fā)生的入侵行為并實(shí)時(shí)報(bào)警并且進(jìn)行有效攔截防護(hù)。IPS 是繼“防火墻”、“信息加密”等傳統(tǒng)安全保護(hù)方法之后的新 一代安全保障技術(shù)。它監(jiān)視計(jì)算機(jī)系統(tǒng)或網(wǎng)絡(luò)中發(fā)生的事件，并對(duì)它 們進(jìn)行分析，以尋找危及信息的機(jī)密性、完整性、可用性或試圖繞過(guò) 安全機(jī)制的入侵行為并進(jìn)行有效攔截。IPS就是自動(dòng)執(zhí)行這種監(jiān)視和 分

15、析過(guò)程，并且執(zhí)行阻斷的硬件產(chǎn)品。將 IPS 串接在防火墻后面，在防火墻進(jìn)行訪(fǎng)問(wèn)控制，保證了訪(fǎng)問(wèn) 的合法性之后，IPS動(dòng)態(tài)的進(jìn)行入侵行為的保護(hù)，對(duì)訪(fǎng)問(wèn)狀態(tài)進(jìn)行檢 測(cè)、對(duì)通信協(xié)議和應(yīng)用協(xié)議進(jìn)行檢測(cè)、對(duì)內(nèi)容進(jìn)行深度的檢測(cè)。阻斷 來(lái)自?xún)?nèi)部的數(shù)據(jù)攻擊以及垃圾數(shù)據(jù)流的泛濫。由于 IPS 對(duì)訪(fǎng)問(wèn)進(jìn)行深 度的檢測(cè)，因此，IPS產(chǎn)品需要通過(guò)先進(jìn)的硬件架構(gòu)、軟件架構(gòu)和處 理引擎對(duì)處理能力進(jìn)行充分保證。11332 入侵防御系統(tǒng)（IDS）IDS 作為旁路的檢測(cè)設(shè)備，可以在旁路檢測(cè)網(wǎng)絡(luò)中的威脅行為， 用以滿(mǎn)足在網(wǎng)絡(luò)在面臨海量攻擊事件情況下的威脅檢測(cè)與呈現(xiàn)需求。 通過(guò)對(duì)事件的智能分析，幫助管理員找到真正具有威脅能力的事件

16、， 這大大降低了運(yùn)維工作量，使威脅處理成為可能。11333 訪(fǎng)問(wèn)控制（1）安全要求域和子域間通過(guò)路由策略、訪(fǎng)問(wèn)控制、安全訪(fǎng)問(wèn)路徑設(shè)計(jì)等進(jìn)行訪(fǎng)問(wèn)防護(hù)進(jìn)行端口級(jí)別的協(xié)議種類(lèi)和端口控制和過(guò)濾核心區(qū)域必須部署內(nèi)容過(guò)濾產(chǎn)品建立用戶(hù)級(jí)的帳戶(hù)控制（2）建設(shè)要點(diǎn)和內(nèi)容結(jié)構(gòu)安全將主要通過(guò)對(duì)現(xiàn)有網(wǎng)絡(luò)環(huán)境的規(guī)劃和設(shè)計(jì)來(lái)實(shí)現(xiàn)，通過(guò) 在邊界控制設(shè)備的訪(fǎng)問(wèn)控制策略進(jìn)行網(wǎng)絡(luò)訪(fǎng)問(wèn)控制。用戶(hù)級(jí)的帳戶(hù)控 制通過(guò)集中身份認(rèn)證系統(tǒng)及CA數(shù)字證書(shū)實(shí)現(xiàn)，確保各類(lèi)網(wǎng)絡(luò)設(shè)備管 理帳戶(hù)的安全。11334 集中身份認(rèn)證系統(tǒng)通過(guò)內(nèi)部的 AD 或者 Radius 認(rèn)證服務(wù)器來(lái)完成集中身份認(rèn)證。CA數(shù)字證書(shū)通過(guò)部署CA數(shù)字認(rèn)證證書(shū)來(lái)完實(shí)現(xiàn)網(wǎng)絡(luò)訪(fǎng)問(wèn)控制

17、安全審計(jì)（1）安全要求要求網(wǎng)絡(luò)要有審計(jì)；要求能夠進(jìn)行網(wǎng)絡(luò)分析和故障底層定位、排錯(cuò)。（2）建設(shè)要點(diǎn)和內(nèi)容網(wǎng)絡(luò)審計(jì)由信息安全審計(jì)解決方案統(tǒng)一解決；對(duì)網(wǎng)絡(luò)進(jìn)行底層的 協(xié)議分析，對(duì)網(wǎng)絡(luò)協(xié)議和通訊內(nèi)容進(jìn)行直接監(jiān)控，這部分主要由部署 在管理支撐域的安全審計(jì)設(shè)備及安全管理平臺(tái)實(shí)現(xiàn)，其中管理支撐域 的安全審計(jì)設(shè)備起到網(wǎng)絡(luò)設(shè)備操作行為審計(jì)，安全管理平臺(tái)實(shí)現(xiàn)各類(lèi) 設(shè)備的操作日志審計(jì)。網(wǎng)絡(luò)綜合審計(jì)系統(tǒng)網(wǎng)絡(luò)安全審計(jì)系統(tǒng)是針對(duì)業(yè)務(wù)網(wǎng)絡(luò)資源進(jìn)行策略化審計(jì)與管理 的新一代安全系統(tǒng)，它集內(nèi)容審計(jì)、訪(fǎng)問(wèn)控制及身份認(rèn)證于一體，通 過(guò)對(duì)具體業(yè)務(wù)的命令級(jí)審計(jì)與認(rèn)證、對(duì)越權(quán)用戶(hù)與非法操作的告警與 阻斷，實(shí)現(xiàn)對(duì)主機(jī)、服務(wù)器、數(shù)據(jù)庫(kù)等資源

18、的重點(diǎn)保護(hù)，從而為客戶(hù) 業(yè)務(wù)網(wǎng)絡(luò)系統(tǒng)提供強(qiáng)大的集中審計(jì)管理平臺(tái)。功能如下：（1）對(duì)網(wǎng)絡(luò)操作進(jìn)行實(shí)時(shí)監(jiān)控、過(guò)程回放網(wǎng)絡(luò)審計(jì)系統(tǒng)對(duì)數(shù)據(jù)庫(kù)、FTP、Telnet、應(yīng)用（業(yè)務(wù)）系統(tǒng)等登錄的操作進(jìn)行詳細(xì)的審計(jì)，包括登錄者輸入的各種命令、操作結(jié)果等。 實(shí)時(shí)監(jiān)控、過(guò)程回放，就像網(wǎng)絡(luò)世界的攝像機(jī)，真實(shí)地展現(xiàn)用戶(hù)的操 作，系統(tǒng)管理員通過(guò)本系統(tǒng)看到的就是當(dāng)時(shí)的實(shí)際操作界面和過(guò)程。 利用這項(xiàng)功能，系統(tǒng)管理員可以直觀、方便地了解系統(tǒng)被使用的情況， 尤其是在出現(xiàn)安全問(wèn)題后，可以迅速地查找出責(zé)任人。（2）進(jìn)行命令級(jí)的審計(jì)和訪(fǎng)問(wèn)控制網(wǎng)絡(luò)審計(jì)系統(tǒng)可以對(duì)數(shù)據(jù)庫(kù)操作、FTP、Telnet、應(yīng)用（業(yè)務(wù)）系 統(tǒng)等進(jìn)行命令級(jí)的審計(jì)和訪(fǎng)

19、問(wèn)控制。審計(jì)系統(tǒng)在各主機(jī)系統(tǒng)原有的用 戶(hù)權(quán)限基礎(chǔ)上，進(jìn)一步細(xì)分了主機(jī)、服務(wù)器、數(shù)據(jù)庫(kù)系統(tǒng)的權(quán)限設(shè)置， 使得每個(gè)用戶(hù)僅能夠從事與自己身份相符合的操作。即使是多個(gè)人使 用同一個(gè)賬號(hào)進(jìn)行登錄，審計(jì)系統(tǒng)也能區(qū)分出不同的用戶(hù)，并且根據(jù) 不同的身份采取不同的審計(jì)和訪(fǎng)問(wèn)控制措施。（3）強(qiáng)大的審計(jì)報(bào)表網(wǎng)絡(luò)審計(jì)系統(tǒng)提供了強(qiáng)大的審計(jì)報(bào)表功能，系統(tǒng)管理員可以根據(jù) 自己關(guān)心的內(nèi)容設(shè)置審計(jì)報(bào)表的輸出。通過(guò)設(shè)置合理的審計(jì)報(bào)表，管 理員可以迅速、直觀地了解到系統(tǒng)的運(yùn)行情況、使用情況；如果發(fā)現(xiàn) 異常，可以利用審計(jì)系統(tǒng)的查詢(xún)、分析、跟蹤功能，定位出現(xiàn)問(wèn)題的 人員、時(shí)間、操作內(nèi)容等。日志審計(jì)系統(tǒng)日志審計(jì)系統(tǒng)能通過(guò)主被動(dòng)結(jié)合的手段

20、，實(shí)時(shí)不間斷地采集用戶(hù) 網(wǎng)絡(luò)中各種不同廠(chǎng)商的安全設(shè)備、網(wǎng)絡(luò)設(shè)備、主機(jī)、操作系統(tǒng)、以及 各種應(yīng)用系統(tǒng)產(chǎn)生的海量日志信息，并將這些信息匯集到審計(jì)中心， 進(jìn)行集中化存儲(chǔ)、備份、查詢(xún)、審計(jì)、告警、響應(yīng)，并出具豐富的報(bào) 表報(bào)告，獲悉全網(wǎng)的整體安全運(yùn)行態(tài)勢(shì)，實(shí)現(xiàn)全生命周期的日志管理。面向系統(tǒng)的使用者，提供一個(gè)圖形化的顯示界面，展現(xiàn)安全審計(jì) 系統(tǒng)的各功能模塊，提供綜合展示、資產(chǎn)管理、日志審計(jì)、規(guī)則管理、告警管理、報(bào)表管理、權(quán)限管理、系統(tǒng)管理、知識(shí)維護(hù)等功能。邊界完整性（1）安全要求邊界完整性強(qiáng)調(diào)內(nèi)部用戶(hù)不能私自通過(guò)撥號(hào)、無(wú)線(xiàn)網(wǎng)絡(luò)等連接公 司外部的網(wǎng)絡(luò)，外部用戶(hù)不能私自接入到公司內(nèi)網(wǎng)。（2）建設(shè)要點(diǎn)和內(nèi)容這部

21、分功能通可過(guò)部署準(zhǔn)入控制及終端管理控制解決方案解決?？刂萍敖K端管理產(chǎn)品需要緊密?chē)@“合規(guī)”，以?xún)?nèi)網(wǎng)終端計(jì)算機(jī) 為管理對(duì)象，通過(guò)“終端準(zhǔn)入控制、終端安全控制、桌面合規(guī)管理、 終端泄密控制和終端審計(jì)”五維化管理，全面提升內(nèi)網(wǎng)安全防護(hù)能力 和合規(guī)管理水平，幫助用戶(hù)構(gòu)建起安全可信的合規(guī)內(nèi)網(wǎng)。應(yīng)該包括：終端準(zhǔn)入控制終端安全控制 桌面合規(guī)管理終端泄密控制終端審計(jì)惡意代碼防范（1）安全要求要求部署網(wǎng)絡(luò)殺毒網(wǎng)關(guān)等。（2）建設(shè)要點(diǎn)和內(nèi)容在外聯(lián)接入?yún)^(qū)域、管理區(qū)域部署網(wǎng)絡(luò)防毒墻實(shí)現(xiàn)。通過(guò)對(duì)網(wǎng)絡(luò)流量的還原，分析，分析網(wǎng)絡(luò)中的數(shù)據(jù)流的行為，檢 測(cè)出隱藏的威脅。網(wǎng)絡(luò)設(shè)備防護(hù)（1）安全要求主要指網(wǎng)絡(luò)設(shè)備的口令強(qiáng)度、登陸權(quán)限

22、配置等。（2）建設(shè)要點(diǎn)和內(nèi)容該部分的建設(shè)包含在“權(quán)限控制”章節(jié)中。權(quán)限控制安全要求安全標(biāo)準(zhǔn)對(duì)訪(fǎng)問(wèn)權(quán)限的控制提出了很高的要求，尤其是核心計(jì)算 域內(nèi)。等保及 PCI-DSS 在權(quán)限控制方面主要提出了以下要求：（1）管理上要求制定詳細(xì)的權(quán)限控制文檔，規(guī)范權(quán)限配置；（2）管理上要求制定明確的授權(quán)體系和授權(quán)方法；（3）技術(shù)上要求細(xì)致到帳戶(hù)、用戶(hù)級(jí)別的權(quán)限分配、控制和檢 查；（4）技術(shù)和管理上同時(shí)要求權(quán)限使用行為可以追溯、審計(jì)?？梢钥闯觯瑱?quán)限控制需要一個(gè)管理和技術(shù)相結(jié)合的解決方案。根 據(jù)安全建設(shè)實(shí)踐的經(jīng)驗(yàn)，權(quán)限控制是一個(gè)長(zhǎng)期動(dòng)態(tài)的過(guò)程性任務(wù)，一 般通過(guò)自身管理制度整改 +專(zhuān)家咨詢(xún)服務(wù)+成品解決方案的聯(lián)合部

23、署 才能完成。建設(shè)要點(diǎn)及內(nèi)容（1）采用特權(quán)帳號(hào)管理系統(tǒng)著重解決登錄密碼的管理問(wèn)題。實(shí)現(xiàn):主機(jī)、網(wǎng)絡(luò)設(shè)備的系統(tǒng)權(quán)限帳號(hào)集中管理，對(duì)密碼的復(fù)雜度進(jìn)行設(shè)定，確保密碼強(qiáng)度；定期自動(dòng)修改系統(tǒng)權(quán)限帳號(hào)的密碼。（2）采用堡壘機(jī)解決方案著重解決登錄的行為控制、審計(jì)問(wèn)題。實(shí)現(xiàn)：集中管理（堡壘機(jī)模式）：解決操作分散，無(wú)序的問(wèn)題身份管理：解決操作者身份唯一的問(wèn)題訪(fǎng)問(wèn)控制：解決操作者合法訪(fǎng)問(wèn)操作資源的問(wèn)題權(quán)限控制：解決操作者操作權(quán)限的問(wèn)題操作審計(jì)：解決操作事故責(zé)任認(rèn)定的問(wèn)題業(yè)務(wù)堡壘機(jī)系統(tǒng)業(yè)務(wù)堡壘機(jī)是針對(duì)企業(yè)內(nèi)網(wǎng)的運(yùn)維操作和業(yè)務(wù)訪(fǎng)問(wèn)行為進(jìn)行細(xì) 粒度控制和審計(jì)的合規(guī)性管理系統(tǒng)。它通過(guò)對(duì)運(yùn)維人員和業(yè)務(wù)用戶(hù)的 身份進(jìn)行認(rèn)證，

24、對(duì)各類(lèi)運(yùn)維操作和業(yè)務(wù)訪(fǎng)問(wèn)行為進(jìn)行分析、記錄、匯 報(bào)，以幫助用戶(hù)事前認(rèn)證授權(quán)、事中實(shí)時(shí)監(jiān)控、事后精確溯源，加強(qiáng) 內(nèi)外部網(wǎng)絡(luò)行為監(jiān)管、促進(jìn)核心資產(chǎn)（數(shù)據(jù)庫(kù)、服務(wù)器、網(wǎng)絡(luò)設(shè)備等） 的正常運(yùn)行。數(shù)據(jù)安全總體設(shè)計(jì)需求分析數(shù)據(jù)安全是降低敏感數(shù)據(jù)向內(nèi)、外部泄露風(fēng)險(xiǎn)的最有效層面之一 在該層面，防護(hù)的焦點(diǎn)在于數(shù)據(jù)本身，不論其傳播途徑如何，其目的 在于確保數(shù)據(jù)安然無(wú)恙。數(shù)據(jù)的移動(dòng)性正日益加強(qiáng)，因此數(shù)據(jù)安全防 護(hù)至關(guān)重要。在市金融平臺(tái)總體規(guī)劃設(shè)計(jì)中，對(duì)于數(shù)據(jù)安全方面我們提出以下 要求或原則，以保證數(shù)據(jù)的安全、可靠：（1）根據(jù)數(shù)據(jù)安全程度要求不同，數(shù)據(jù)不同程度的加密原則 數(shù)據(jù)加密特性為數(shù)據(jù)提供了一個(gè)額外的保護(hù)層。可以

25、保護(hù)至關(guān)重 要的數(shù)據(jù)，甚至是介質(zhì)被盜了，數(shù)據(jù)仍然是安全的。（2）為了實(shí)現(xiàn)數(shù)據(jù)安全、可靠的目的，數(shù)據(jù)需要細(xì)分或者分類(lèi) 市金融平臺(tái)總體設(shè)計(jì)和規(guī)劃中，對(duì)數(shù)據(jù)要提供最細(xì)的數(shù)據(jù)分類(lèi)支 持。數(shù)據(jù)分類(lèi)利用多級(jí)安全性概念解決了市金融平臺(tái)在實(shí)際中遇到的 數(shù)據(jù)安全和隱私問(wèn)題。利用數(shù)據(jù)敏感度標(biāo)簽（例如“敏感”和“機(jī)密”）與用戶(hù)標(biāo)簽授 權(quán)，提供完善的行級(jí)安全性控制。使用政策概念來(lái)存儲(chǔ)標(biāo)簽定義和授權(quán)。該政策可直接在數(shù)據(jù)庫(kù)中 進(jìn)行管理，或在身份管理中進(jìn)行集中管理。提供完善的API，可用于在數(shù)據(jù)庫(kù)或身份管理中管理政策。（3）對(duì)數(shù)據(jù)限制性訪(fǎng)問(wèn)的要求在不影響應(yīng)用程序功能的前提下快速而高效地保護(hù)現(xiàn)有程序：限制DBA和其他授權(quán)用戶(hù)

26、訪(fǎng)問(wèn)應(yīng)用程序數(shù)據(jù)；防止應(yīng)用程序DBA操縱數(shù)據(jù)庫(kù)和訪(fǎng)問(wèn)其他應(yīng)用程； 更好的控制何人、何時(shí)、何地可以訪(fǎng)問(wèn)應(yīng)用程序?？捎糜趪?yán)格地控制應(yīng)用程序的安全性，限制何人、何時(shí)、何地、 如何訪(fǎng)問(wèn)應(yīng)用程序?？梢栽诓桓默F(xiàn)有應(yīng)用程序下靈活機(jī)變地使用這 些特性來(lái)實(shí)施授權(quán)。如日期時(shí)間、數(shù)據(jù)庫(kù)客戶(hù)端在網(wǎng)絡(luò)上的位置之類(lèi) 的因素，或特定于企業(yè)的客戶(hù)因素可用于控制訪(fǎng)問(wèn)應(yīng)用程序的能力。（4）數(shù)據(jù)審計(jì)要求 數(shù)據(jù)庫(kù)針對(duì)數(shù)據(jù)的各種操作提供標(biāo)準(zhǔn)的審計(jì)功能。既可以對(duì)用戶(hù) 進(jìn)行的數(shù)據(jù)庫(kù)管理操作（登錄、管理等）進(jìn)行審計(jì)，也可以對(duì)用戶(hù)的 各種 DDL 操作 DML 操作進(jìn)行完整的審計(jì)。同時(shí)，如果某些敏感數(shù)據(jù)需要進(jìn)行更細(xì)粒度的審計(jì)工作，數(shù)據(jù)庫(kù) 提

27、供了細(xì)粒度審計(jì)細(xì)粒度審計(jì)（FGA）,可以理解為“基于政策的審 計(jì)”與標(biāo)準(zhǔn)的審計(jì)功能相反，F(xiàn)GA可用于指定生成審計(jì)記錄必需的 條件：收集并整合審計(jì)數(shù)據(jù)。審計(jì)數(shù)據(jù)可以來(lái)自一個(gè)或多個(gè)數(shù)據(jù)庫(kù)， 可集中各個(gè)設(shè)計(jì)數(shù)據(jù)。簡(jiǎn)化合規(guī)性報(bào)告。內(nèi)建的報(bào)告；定制的報(bào)告。檢測(cè)及預(yù)防內(nèi)部威脅。提早檢測(cè)及警報(bào)嫌疑活動(dòng)；監(jiān)控及檢測(cè) 數(shù)據(jù)變化?？缮炜s性和安全性。采用審計(jì)策略導(dǎo)致更低的 IT 成本。集中管 理和供應(yīng)使審計(jì)過(guò)程中操作和執(zhí)行的復(fù)雜度降低，并減少整個(gè)系統(tǒng)中 軟硬件的投入。集中的審計(jì)使各個(gè)數(shù)據(jù)源頭的操作有了一個(gè)方便的對(duì) 比審查的功能，最終消除了審計(jì)孤島現(xiàn)象。數(shù)據(jù)庫(kù)審計(jì)可用來(lái)進(jìn)行早期的檢測(cè)和報(bào)警功能，可以定義警報(bào)來(lái) 檢測(cè)以

28、下情形：非應(yīng)用程序用戶(hù)嘗試查看敏感列敏感系統(tǒng)中的新用戶(hù)敏感系統(tǒng)中的角色授權(quán)所有系統(tǒng)中的DBA授權(quán)應(yīng)用程序用戶(hù)登錄失敗通過(guò)審計(jì)設(shè)置，數(shù)據(jù)庫(kù)審計(jì)評(píng)估接受到的審計(jì)數(shù)據(jù)后發(fā)出警報(bào)。并且能夠向電子郵件或PDA發(fā)送警報(bào)。最后，針對(duì)可疑操作生成警告 報(bào)表。針對(duì)以上數(shù)據(jù)安全要求，市金融平臺(tái)總體規(guī)劃設(shè)計(jì)中，對(duì)于數(shù)據(jù)安全框架設(shè)計(jì)如下：用戶(hù)背理/遶擇娶全口專(zhuān)iV5弦證安全框架設(shè)計(jì)如下：用戶(hù)背理/遶擇娶全口專(zhuān)iV5弦證F5常也茁 竅覇蘇圖 1 數(shù)據(jù)安全框架圖技術(shù)方案?jìng)鬏斝畔⒓用軅鬏斝畔⒓用軐鬏數(shù)臄?shù)據(jù)變?yōu)榭瓷先o(wú)用的亂碼，數(shù)據(jù)到達(dá)傳輸?shù)哪康牡卦龠M(jìn)行解密。在此期間攻擊者無(wú)法讀懂信息的內(nèi)容從而保 護(hù)數(shù)據(jù)信息。傳輸數(shù)據(jù)信息

29、加密是保障信息安全的最基本、最核心的 技術(shù)措施和理論基礎(chǔ)，也是現(xiàn)代密碼學(xué)的主要組成部分。數(shù)據(jù)完整性 數(shù)據(jù)完整性保護(hù)用于防止非法篡改，利用密碼理論的完整性保護(hù) 能夠很好地對(duì)付非法篡改。完整性的另一用途是提供不可抵賴(lài)服務(wù)， 當(dāng)信息源的完整性可以被驗(yàn)證卻無(wú)法模仿時(shí)，收到信息的一方可以認(rèn) 定信息的發(fā)送者。數(shù)據(jù)分類(lèi) 市金融平臺(tái)總體設(shè)計(jì)和規(guī)劃中，對(duì)數(shù)據(jù)要提供最細(xì)的數(shù)據(jù)分類(lèi)支 持。數(shù)據(jù)分類(lèi)利用多級(jí)安全性概念解決了市金融平臺(tái)在實(shí)際中遇到的 數(shù)據(jù)安全和隱私問(wèn)題。利用數(shù)據(jù)敏感度標(biāo)簽(例如“敏感”和“機(jī)密”)與用戶(hù)標(biāo)簽授 權(quán)，提供完善的行級(jí)安全性控制。使用政策概念來(lái)存儲(chǔ)標(biāo)簽定義和授權(quán)。該政策可直接在數(shù)據(jù)庫(kù)中 進(jìn)行管

30、理，或在身份管理中進(jìn)行集中管理。提供完善的API，可用于在數(shù)據(jù)庫(kù)或身份管理中管理政策。數(shù)據(jù)權(quán)限 在不影響應(yīng)用程序功能的前提下快速而高效地保護(hù)現(xiàn)有程序：限制DBA和其他授權(quán)用戶(hù)訪(fǎng)問(wèn)應(yīng)用程序數(shù)據(jù)；防止應(yīng)用程序DBA操縱數(shù)據(jù)庫(kù)和訪(fǎng)問(wèn)其他應(yīng)用程；更好的控制何人、何時(shí)、何地可以訪(fǎng)問(wèn)應(yīng)用程序。 可用于嚴(yán)格地控制應(yīng)用程序的安全性，限制何人、何時(shí)、何地、 如何訪(fǎng)問(wèn)應(yīng)用程序?？梢栽诓桓默F(xiàn)有應(yīng)用程序下靈活機(jī)變地使用這些特性來(lái)實(shí)施授權(quán)。如日期時(shí)間、數(shù)據(jù)庫(kù)客戶(hù)端在網(wǎng)絡(luò)上的位置之類(lèi) 的因素，或特定于企業(yè)的客戶(hù)因素可用于控制訪(fǎng)問(wèn)應(yīng)用程序的能力。 . 核心域數(shù)據(jù)安全安全要求在安全規(guī)范中，對(duì)不同級(jí)別的域有不同的數(shù)據(jù)安全要求

31、。而在實(shí) 際實(shí)施中，同樣為了簡(jiǎn)化設(shè)計(jì)和降低運(yùn)維難度，將采取就高原則，對(duì) 不同的域部署相同的數(shù)據(jù)安全策略，再對(duì)一些重點(diǎn)子域進(jìn)行加強(qiáng)處理 數(shù)據(jù)安全在類(lèi)別上必須包括數(shù)據(jù)庫(kù)、文件等數(shù)據(jù)類(lèi)別，而在技術(shù) 實(shí)現(xiàn)上將涉及到 5 個(gè)方面：（1）數(shù)據(jù)載體比如數(shù)據(jù)庫(kù)、文件共享目錄、主機(jī)、終端等沒(méi)有安 全漏洞，具有有效的安全訪(fǎng)問(wèn)權(quán)限控制，沒(méi)有偷竊數(shù)據(jù)的惡意代碼等； 這方面已經(jīng)在安全域劃分、安全漏洞和權(quán)限控制等其他章節(jié)進(jìn)行表達(dá)（2）數(shù)據(jù)完整性保障和恢復(fù)，和存儲(chǔ)方式、數(shù)據(jù)校驗(yàn)和數(shù)據(jù)備份有關(guān)，其中要求對(duì)備份下來(lái)的數(shù)據(jù)進(jìn)行加密處理；（3）數(shù)據(jù)傳輸安全，要求在數(shù)據(jù)傳輸過(guò)程中對(duì)敏感數(shù)據(jù)加密，實(shí) 踐中可通過(guò)現(xiàn)有網(wǎng)絡(luò)進(jìn)行 VLAN，

32、VPN 配置以及使用協(xié)議加密方式來(lái)實(shí) 現(xiàn)；（4）防止數(shù)據(jù)泄露，需要對(duì)機(jī)密數(shù)據(jù)進(jìn)行標(biāo)識(shí)，即對(duì)數(shù)據(jù)進(jìn)行分 類(lèi)，可在使用過(guò)程中進(jìn)行機(jī)密數(shù)據(jù)的鑒別，根據(jù)企業(yè)的安全策略針對(duì) 數(shù)據(jù)泄露情況進(jìn)行審計(jì)和報(bào)警；（5）為保證數(shù)據(jù)安全需要牽涉很多解決方案，大部分會(huì)在其他的 安全領(lǐng)域解決方案中被覆蓋，比如網(wǎng)絡(luò)層安全覆蓋傳輸加密、備份系 統(tǒng)覆蓋數(shù)據(jù)恢復(fù)，郵件審計(jì)覆蓋郵件安全等。數(shù)據(jù)防止泄露是專(zhuān)門(mén)針 對(duì)數(shù)據(jù)安全領(lǐng)域的解決方案，該領(lǐng)域的解決方案有多種實(shí)現(xiàn)方法，其 中以數(shù)據(jù)內(nèi)容檢查為引擎的防泄露解決方案同時(shí)覆蓋機(jī)密數(shù)據(jù)標(biāo)識(shí) 和數(shù)據(jù)防泄露功能。建設(shè)要點(diǎn)及內(nèi)容針對(duì)以上的幾點(diǎn)安全要求，需要不同的解決方案聯(lián)合解決。其中 第一條和第三

33、條在網(wǎng)絡(luò)安全域劃分、權(quán)限控制、安全漏洞等領(lǐng)域已經(jīng) 得到解決。第二條數(shù)據(jù)的完整性和恢復(fù)。而針對(duì)剩余二點(diǎn)針對(duì)機(jī)密數(shù) 據(jù)的標(biāo)識(shí)和監(jiān)控需求，可以選擇防數(shù)據(jù)泄露解決方案解決。11433 數(shù)據(jù)防泄漏DLP系統(tǒng)需要部署數(shù)據(jù)防泄漏系統(tǒng)，通過(guò)網(wǎng)關(guān)及服務(wù)器的防護(hù)來(lái)保護(hù)核心 數(shù)據(jù)的安全。1144 核心域應(yīng)用安全11441 安全要求對(duì)核心域有明確的應(yīng)用級(jí)安全要求，主要領(lǐng)域?yàn)椋?（1）使用者身份鑒別和訪(fǎng)問(wèn)控制，權(quán)限控制章節(jié)已經(jīng)覆蓋這個(gè)領(lǐng) 域；（2）應(yīng)用級(jí)別的安全審計(jì)，由信息安全審計(jì)章節(jié)進(jìn)行覆蓋；（3）通信完整性和通信加密，由網(wǎng)絡(luò)安全建設(shè)進(jìn)行覆蓋；（4）軟件容錯(cuò)，由主機(jī)集群軟件進(jìn)行覆蓋；（5）重要應(yīng)用的應(yīng)用級(jí)防護(hù)，比如針

34、對(duì)網(wǎng)站通過(guò)web協(xié)議漏洞進(jìn) 行攻擊，普通防火墻無(wú)法防護(hù)。應(yīng)用安全領(lǐng)域第一到第四條基本上都有其他領(lǐng)域的安全建設(shè)進(jìn) 行覆蓋，而第五條必須獨(dú)立建設(shè)。由于應(yīng)用的復(fù)雜性，應(yīng)用安全在實(shí) 踐過(guò)程中非常難以實(shí)現(xiàn)，所以通常選擇最可能受到應(yīng)用級(jí)攻擊的應(yīng)用 進(jìn)行防護(hù)，即對(duì)外提供服務(wù)的網(wǎng)站應(yīng)用。建設(shè)要點(diǎn)及內(nèi)容在應(yīng)用級(jí)安全上，主要依賴(lài)應(yīng)用軟件安全架構(gòu)設(shè)計(jì)及開(kāi)發(fā)過(guò)程控 制來(lái)實(shí)現(xiàn)。因此，應(yīng)用軟件開(kāi)發(fā)立項(xiàng)需要有安全評(píng)審，軟件開(kāi)發(fā)過(guò)程 需要有較好的過(guò)程控制手段，并在上線(xiàn)前進(jìn)行安全測(cè)評(píng)工作。Web 應(yīng)用防護(hù)系統(tǒng)針對(duì)不斷進(jìn)化的 7層應(yīng)用層攻擊，需要部署 Web 應(yīng)用防護(hù)系統(tǒng)來(lái) 解決XSS, SQL注入，中間人偽造等攻擊。主要通過(guò)W

35、eb應(yīng)用安全網(wǎng) 關(guān)完成。安全漏洞安全要求安全漏洞是一個(gè)傳統(tǒng)的企業(yè)安全防護(hù)領(lǐng)域，根據(jù)安全規(guī)范的要求 以及業(yè)務(wù)的需求，安全漏洞主要關(guān)注的領(lǐng)域：（1）能夠根據(jù)金融平臺(tái)的安全策略進(jìn)行漏洞掃描和檢查；（2）為不同的安全域、應(yīng)用或模塊設(shè)置單獨(dú)的漏洞掃描策略；（3）掃描出漏洞后要給出對(duì)應(yīng)的解決方案，比如漏洞修補(bǔ)、訪(fǎng)問(wèn) 權(quán)限修正；（4）有定期的安全漏洞掃描報(bào)告進(jìn)行企業(yè)安全漏洞狀況解釋?zhuān)唬?）全面覆蓋數(shù)據(jù)庫(kù)、主機(jī)、網(wǎng)絡(luò)應(yīng)用和防火墻等，除了傳統(tǒng)的 網(wǎng)絡(luò)漏洞掃描，還需要具體細(xì)致到詳細(xì)配置、授權(quán)帳戶(hù)安全、目錄文 件系統(tǒng)、網(wǎng)絡(luò)訪(fǎng)問(wèn)安全等。建設(shè)要點(diǎn)及內(nèi)容安全漏洞防護(hù)主要依賴(lài)于策略性的掃描，以及根據(jù)掃描結(jié)果給出 的整改方案

36、。由于漏洞檢查的全面性，以及需要依據(jù)不用的安全級(jí)別、 設(shè)備類(lèi)型和應(yīng)用制定不同的掃描策略，所以安全漏洞掃描方案必須要 有一個(gè)后臺(tái)知識(shí)庫(kù)支撐，該后臺(tái)知識(shí)庫(kù)必須是全球視野、及時(shí)更新、 覆蓋全面。安全漏洞的檢查和修補(bǔ)往往涉及到一大片主機(jī)和終端桌面，所以 在考慮安全漏洞防護(hù)的解決方案時(shí)，必須考慮通過(guò)服務(wù)器和終端標(biāo)準(zhǔn) 化管理解決方案進(jìn)行配合，比如統(tǒng)一分發(fā)補(bǔ)丁、統(tǒng)一部署安全軟件等。具體實(shí)現(xiàn)通過(guò)在管理支撐域部署漏洞掃描、補(bǔ)丁管理系統(tǒng)、終端 管理控制系統(tǒng)綜合解決。漏洞掃描系統(tǒng)漏洞掃描系統(tǒng)也稱(chēng)脆弱性?huà)呙枧c管理系統(tǒng)，是基于網(wǎng)絡(luò)的安全性 能評(píng)估與分析系統(tǒng),它采用實(shí)踐性的方法掃描分析網(wǎng)絡(luò)系統(tǒng)，綜合檢 測(cè)網(wǎng)絡(luò)系統(tǒng)中存在的

37、弱點(diǎn)和漏洞，并以報(bào)表的方式提供給用戶(hù)，實(shí)時(shí) 提出修補(bǔ)方法和安全實(shí)施策略。采用國(guó)際最新的漏洞掃描與檢測(cè)技術(shù) 包括快速主機(jī)存活掃描技術(shù)、操作系統(tǒng)識(shí)別技術(shù)、智能化端口服務(wù)識(shí) 別技術(shù)、黑客模擬攻擊技術(shù)、入侵風(fēng)險(xiǎn)評(píng)估技術(shù)等多種掃描技術(shù)的綜 合應(yīng)用，幫助用戶(hù)快速、高效、準(zhǔn)確地發(fā)現(xiàn)系統(tǒng)安全隱患并在短時(shí)間 內(nèi)修復(fù)漏洞，最大限度地降低系統(tǒng)安全風(fēng)險(xiǎn)，消除安全隱患。行為防抵賴(lài)安全要求 達(dá)到核心域安全要求的所有領(lǐng)域，除了必須進(jìn)行安全行為審計(jì)， 還需要有技術(shù)手段防止違規(guī)者進(jìn)行抵賴(lài)。防止抵賴(lài)從 2 個(gè)方面進(jìn)行： （1）管理制度上要有防抵賴(lài)措施，比如角色和權(quán)限分離，關(guān)鍵行 為的簽字備案等；（2）技術(shù)上的防抵賴(lài)措施，包括：在

38、重要系統(tǒng)前部署堡壘機(jī)，所有管理行為必須先登陸堡壘機(jī)再實(shí)施，在堡壘機(jī)上進(jìn)行錄像、日志記錄等信息。對(duì)重要管理員的登陸行為、重要應(yīng)用的訪(fǎng)問(wèn)通過(guò)CA證書(shū)進(jìn) 行電子簽名。 在網(wǎng)絡(luò)層部署安全審記系統(tǒng)、入侵檢測(cè)系統(tǒng)進(jìn)行協(xié)議實(shí)時(shí)分析，掌握網(wǎng)絡(luò)實(shí)際運(yùn)行狀況，配合進(jìn)行防抵賴(lài)和安全審計(jì)。主機(jī)安全總體設(shè)計(jì)終端安全管理安全要求 終端是安全規(guī)范實(shí)踐中總結(jié)出來(lái)的重要領(lǐng)域，牽涉到安全域、邊界安全、數(shù)據(jù)安全、資產(chǎn)管理、安全審計(jì)、安全漏洞等幾乎所有的等 保范圍。終端安全控制在理論和實(shí)踐上都遠(yuǎn)比主機(jī)安全更加復(fù)雜。必 須遵循以下 4點(diǎn)的原則進(jìn)行終端域的劃分：（1）所有的終端都采用一個(gè)統(tǒng)一終端管理平臺(tái)進(jìn)行管理；（2）有明顯的相同安全需

39、求特征的計(jì)算機(jī)劃入一個(gè)子域處理，進(jìn) 行加強(qiáng)的安全防護(hù)；（3）大部分的終端作為一個(gè)單獨(dú)子域處理，按照子域內(nèi)最高的安 全需求進(jìn)行防護(hù)；（4）對(duì)特殊的用戶(hù)進(jìn)行例外處理，所有的安全防護(hù)以不影響業(yè)務(wù) 為準(zhǔn)。建設(shè)要點(diǎn)及內(nèi)容 依據(jù)等保等安全規(guī)范的具體細(xì)則，我們對(duì)終端域的安全防護(hù)主要 涉及建設(shè)的要點(diǎn)闡述如下：（1）身份鑒別 要求：身份鑒別要求用戶(hù)和帳戶(hù)一一匹配，對(duì)密碼強(qiáng)度、登陸行 為等有明確的規(guī)范。建設(shè)要點(diǎn)及內(nèi)容：通過(guò)集中用戶(hù)管理、CA數(shù)字證書(shū)系統(tǒng)確保終端 用戶(hù)接入的實(shí)現(xiàn)。每個(gè)終端登錄應(yīng)用可以采用USB Key數(shù)字證書(shū)實(shí)現(xiàn) 身份鑒別。（2）邊界完整性 要求：安全域內(nèi)的網(wǎng)絡(luò)邊界完整性必須在終端域內(nèi)進(jìn)行防護(hù)，要

40、防止私自通過(guò)撥號(hào)、無(wú)線(xiàn)等方式進(jìn)行接入和外聯(lián)等活動(dòng)。建設(shè)要點(diǎn)及內(nèi)容：這部分通過(guò)終端管理控制系統(tǒng)解決，終端管理 控制系統(tǒng)可以控制各個(gè)終端軟件安裝、系統(tǒng)進(jìn)程、硬件設(shè)備等。（3）安全審計(jì)要求：和主機(jī)安全的安全審計(jì)一樣，對(duì)終端域內(nèi)的安全狀況進(jìn)行 審計(jì)，并對(duì)重要的管理員和用戶(hù)行為進(jìn)行審計(jì)。建設(shè)要點(diǎn)及內(nèi)容：這部分由信息安全審計(jì)章節(jié)覆蓋。（4）剩余信息保護(hù) 要求：終端的剩余信息主要指重要角色的個(gè)人計(jì)算機(jī)硬盤(pán)、優(yōu)盤(pán) 等，比如重要領(lǐng)導(dǎo)計(jì)算機(jī)的硬盤(pán)如果需要更換或者廢棄不用必須進(jìn)行 數(shù)據(jù)銷(xiāo)毀處理。建設(shè)要點(diǎn)及內(nèi)容：報(bào)廢是通過(guò)專(zhuān)門(mén)部門(mén)實(shí)施銷(xiāo)毀的，嚴(yán)格遵循管 理規(guī)范執(zhí)行。（5）數(shù)據(jù)安全 要求：要求對(duì)個(gè)人計(jì)算機(jī)上的數(shù)據(jù)進(jìn)行保

41、護(hù)，這種保護(hù)體現(xiàn)在2 個(gè)方面，一個(gè)是防止數(shù)據(jù)丟失，要求對(duì)重要數(shù)據(jù)進(jìn)行備份；另外是數(shù) 據(jù)防泄露，防止數(shù)據(jù)通過(guò)終端的行為而丟失。建設(shè)要點(diǎn)及內(nèi)容：這部分內(nèi)容由數(shù)據(jù)安全章節(jié)覆蓋。（6）惡意代碼防范 要求：要求在終端上安裝網(wǎng)絡(luò)版的防惡意代碼軟件，比如殺毒軟 件等。建設(shè)要點(diǎn)及內(nèi)容：建設(shè)網(wǎng)絡(luò)防病毒系統(tǒng)。（7）安全漏洞防護(hù) 要求：要求對(duì)終端操作系統(tǒng)的補(bǔ)丁、服務(wù)和權(quán)限配置、軟件安裝 等有統(tǒng)一的標(biāo)準(zhǔn)和強(qiáng)制規(guī)范措施。建設(shè)要點(diǎn)及內(nèi)容：通過(guò)部署漏洞掃描系統(tǒng)，定期檢測(cè)終端安全狀況。身份鑒別（1）安全要求身份鑒別要求用戶(hù)和賬戶(hù)一一匹配，對(duì)密碼強(qiáng)度、登陸行為等有 明確的規(guī)范。對(duì)于核心域，要求采用兩種或兩種以上組合的鑒別技術(shù)

42、對(duì)管理用戶(hù)進(jìn)行身份鑒別，即我們通常說(shuō)的雙因子認(rèn)證。通常有令牌 方案、證書(shū)方案等。（2）建設(shè)要點(diǎn)和內(nèi)容可以通過(guò)部署集中身份認(rèn)證系統(tǒng)和數(shù)字證書(shū)系統(tǒng)，對(duì)管理員登陸 主機(jī)的行為進(jìn)行強(qiáng)認(rèn)證。訪(fǎng)問(wèn)控制訪(fǎng)問(wèn)控制在安全規(guī)范中是指不同管理員角色的權(quán)限分離，比如數(shù) 據(jù)庫(kù)管理員和操作系統(tǒng)管理員權(quán)限分開(kāi)。這部分內(nèi)容已經(jīng)在權(quán)限訪(fǎng)問(wèn) 章節(jié)中覆蓋。安全審計(jì)安全要求主機(jī)安全的安全審計(jì)采用“大平臺(tái)”集中管理方式，并 對(duì)重要的管理員和用戶(hù)行為進(jìn)行審計(jì)。這部分由信息安全審計(jì)章節(jié)覆 蓋。剩余信息保護(hù)剩余信息保護(hù)是指，主機(jī)內(nèi)存或者硬盤(pán)上的數(shù)據(jù)，必須在分配給 另外一個(gè)應(yīng)用之前進(jìn)行清除。如果硬盤(pán)損壞需要進(jìn)行更換，硬盤(pán)離開(kāi) 場(chǎng)地之前必須把數(shù)

43、據(jù)進(jìn)行清楚。這部分內(nèi)容由應(yīng)用軟件本身的內(nèi)存使 用機(jī)制進(jìn)行保證，并建立主機(jī)維修制度保證在硬盤(pán)維修之前清除數(shù)據(jù)。入侵防范主機(jī)的入侵防范可以由主機(jī)IDS或者網(wǎng)絡(luò)IDS來(lái)實(shí)現(xiàn)，主機(jī)IDS 可能造成主機(jī)運(yùn)行不穩(wěn)定，因此實(shí)踐中一般選用網(wǎng)絡(luò)IDS。網(wǎng)絡(luò)IDS 已經(jīng)在網(wǎng)絡(luò)安全中進(jìn)行了部署和配置。惡意代碼防范要求在主機(jī)上安裝網(wǎng)絡(luò)版的防惡意代碼軟件，比如殺毒軟件等。 建議通過(guò)部署網(wǎng)絡(luò)防毒系統(tǒng)進(jìn)行解決。資源控制要求對(duì)單個(gè)用戶(hù)可使用的系統(tǒng)資源進(jìn)行限制，可以通過(guò)OS配置 用戶(hù)資源配額實(shí)現(xiàn)。要求對(duì)主機(jī)CPU、內(nèi)存、硬盤(pán)等資源進(jìn)行監(jiān)控，根據(jù)預(yù)設(shè)閥值進(jìn) 行報(bào)警?？梢酝ㄟ^(guò)部署網(wǎng)絡(luò)管理系統(tǒng)進(jìn)行管理，對(duì)核心服務(wù)器、網(wǎng)絡(luò) 設(shè)備的資源

44、狀況進(jìn)行監(jiān)控。統(tǒng)一安全運(yùn)維管理平臺(tái)需求分析在安全運(yùn)維上實(shí)現(xiàn)平臺(tái)化，即統(tǒng)一安全運(yùn)維管理平臺(tái)。統(tǒng)一安全 運(yùn)維管理平臺(tái)的核心是對(duì)企業(yè)范圍內(nèi)的安全日志進(jìn)行全面收集，然后 對(duì)日志進(jìn)行分析，根據(jù)等保所要求的安全策略進(jìn)行安全審計(jì)；在此基 礎(chǔ)上，可以進(jìn)一步挑選安全運(yùn)維所關(guān)心的標(biāo)志性事件，達(dá)到安全事件 管理的目的；再進(jìn)一步，可以在這個(gè)運(yùn)維平臺(tái)上進(jìn)行各種安全法則和 各類(lèi)安全策略輸入，實(shí)現(xiàn)統(tǒng)一的安全運(yùn)維管理平臺(tái)（框架見(jiàn)下圖）。實(shí)時(shí)分析分橋 弱性購(gòu)D 沁現(xiàn) 瓷爾卜析赳據(jù)合井?dāng)?shù)據(jù)過(guò)池匸則化/標(biāo)準(zhǔn)化.處班協(xié)調(diào)分析HI識(shí)庫(kù)f實(shí)時(shí)分析分橋 弱性購(gòu)D 沁現(xiàn) 瓷爾卜析赳據(jù)合井?dāng)?shù)據(jù)過(guò)池匸則化/標(biāo)準(zhǔn)化.處班協(xié)調(diào)分析HI識(shí)庫(kù)fK?webfr.-也呈現(xiàn)實(shí)全里件鳳P盒那澗 評(píng)侑系統(tǒng)脅監(jiān)揑捷幀 腎系統(tǒng)圖 2 安全運(yùn)維管理平臺(tái)框架圖建設(shè)要點(diǎn)及內(nèi)容采用安全管理平臺(tái)（SOC）解決方案進(jìn)行統(tǒng)一安全運(yùn)維管理平臺(tái) 的建設(shè)，實(shí)現(xiàn)安全審計(jì)、安全事件管理，兩者融合，成為最終的統(tǒng)一 的安全運(yùn)維管理平臺(tái)。安全事件管理安全事件管理通過(guò)建立金融平臺(tái)信息安全事件應(yīng)急預(yù)案，建設(shè)應(yīng) 急響應(yīng)保障體系，通過(guò)采購(gòu)應(yīng)急響應(yīng)安全服務(wù)實(shí)現(xiàn)全面、快速的安全 事件響應(yīng)能力。安全審計(jì)安全要求安全審計(jì)是