IBM信息系統(tǒng)安全設(shè)計(jì)方案

1、中國移動(dòng)企業(yè)信息化系統(tǒng)安全加固方案設(shè)計(jì)軟課題報(bào)告2004/12IBM安全項(xiàng)目組日程安排課題背景介紹 企業(yè)信息化系統(tǒng)信息安全體系安全加固方案及實(shí)施計(jì)劃防病毒安全規(guī)范數(shù)據(jù)庫安全規(guī)范防火墻安全規(guī)范企業(yè)信息化系統(tǒng)安全域規(guī)范問答2Presentation Title | Confidential | Document ID 課題背景介紹研究內(nèi)容中國移動(dòng)集團(tuán)公司信息系統(tǒng)安全加固方案及實(shí)施計(jì)劃安全加固方案是整個(gè)軟課題的入口，是總部信息辦和各省公司信息辦對其所負(fù)責(zé)的平臺（統(tǒng)一信息平臺、OA等）的安全指南。安全規(guī)范與具體平臺無關(guān)的指導(dǎo)性的安全要求，作為各個(gè)平臺安全操作手冊制定時(shí)的安全依據(jù)。安全域劃分防病毒系統(tǒng)管

2、理與配置網(wǎng)絡(luò)設(shè)備安全數(shù)據(jù)庫安全規(guī)范防火墻安全規(guī)范中國移動(dòng)安全操作過程手冊（安全配置手冊）根據(jù)信息系統(tǒng)安全操作規(guī)范，結(jié)合中國移動(dòng)具體網(wǎng)絡(luò)及應(yīng)用環(huán)境和設(shè)備，在現(xiàn)有安全策略和規(guī)范中的相關(guān)部分上進(jìn)行深化和細(xì)化，詳細(xì)制定每個(gè)具體設(shè)備具體流程的操作規(guī)范，形成具有很強(qiáng)操作性的安全操作過程手冊。操作系統(tǒng)安全配置手冊(SUN SOLARIS/IBM AIX/HP UX /WIN 2000)數(shù)據(jù)庫安全配置手冊（Oracle/ DB2/ Sql Server / Domino/ Exchange）門戶系統(tǒng)安全配置手冊 (WebSphere Portal/ BEA WebLogic/ Sun One Portal/

3、Oracle AS Portal/ MS SharePoint)網(wǎng)絡(luò)安全配置手冊（DNS,FTP,防病毒，VPN，防火墻，交換機(jī)，路由器）4Presentation Title | Confidential | Document ID 研究成果（1）本軟課題，共有31個(gè)提交件中國移動(dòng)企業(yè)信息化系統(tǒng) 安全加固方案及實(shí)施計(jì)劃規(guī)范（與具體產(chǎn)品平臺無關(guān)）中國移動(dòng)企業(yè)信息化系統(tǒng) 安全域規(guī)范中國移動(dòng)防病毒安全規(guī)范中國移動(dòng)網(wǎng)絡(luò)設(shè)備安全規(guī)范中國移動(dòng)防火墻安全規(guī)范中國移動(dòng)數(shù)據(jù)庫安全規(guī)范產(chǎn)品操作手冊（見下頁）5Presentation Title | Confidential | Document ID 研究成果

4、（2）通用應(yīng)用系統(tǒng)中國移動(dòng)WEB服務(wù)器安全配置手冊（包括通用，IIS, Apache)中國移動(dòng)DNS服務(wù)器安全配置手冊（包括通用，windows DNS, Unix Bind)中國移動(dòng)FTP服務(wù)器安全配置手冊（包括通用，IIS, WU-ftp)中國移動(dòng)電子郵件安全配置手冊（包括通用，Domino, Exchange)操作系統(tǒng)中國移動(dòng)操作系統(tǒng)安全配置手冊 （包括通用，Solaris, win2000, HP UX, AIX)數(shù)據(jù)庫中國移動(dòng)Oracle安全配置手冊中國移動(dòng)DB2安全配置手冊中國移動(dòng)Domino安全配置手冊中國移動(dòng)SQL Server安全配置手冊門戶中國移動(dòng)Websphere Por

5、tal安全配置手冊中國移動(dòng)BEA Weblogic安全配置手冊中國移動(dòng)SUN One Portal安全配置手冊中國移動(dòng)Oracle AS Portal安全配置手冊中國移動(dòng)MS Sharepoint安全配置手冊VPN中國移動(dòng)CheckPoint VPN安全配置手冊中國移動(dòng)Nortel VPN安全配置手冊中國移動(dòng)IBM VPN安全配置手冊路由器，交換機(jī)中國移動(dòng)華為路由器交換機(jī)安全配置手冊中國移動(dòng)CISCO路由器交換機(jī)安全配置手冊防火墻中國移動(dòng)CISCO PIX防火墻安全配置手冊中國移動(dòng)Netscreen防火墻安全配置手冊中國移動(dòng)CheckPoint防火墻安全配置手冊防病毒中國移動(dòng)Symantec防

6、病毒安全配置手冊中國移動(dòng)趨勢防病毒安全配置手冊中國移動(dòng)瑞星防病毒安全配置手冊6Presentation Title | Confidential | Document ID 研究方式本課題的研究方式分為兩類安全加固方案和實(shí)施計(jì)劃以及與平臺無關(guān)的5個(gè)安全規(guī)范IBM負(fù)責(zé)編寫中國移動(dòng)提供相關(guān)信息，并負(fù)責(zé)審查和提供修改建議25個(gè)與平臺相關(guān)的安全操作手冊中國移動(dòng)負(fù)責(zé)編寫IBM提供模板，并負(fù)責(zé)審核和提供修改建議IBM負(fù)責(zé)手冊中通用部分的撰寫IBM負(fù)責(zé)文檔的整合感謝相關(guān)各省移動(dòng)對本課題的大力支持。7Presentation Title | Confidential | Document ID 企業(yè)信息化系統(tǒng)

7、信息安全體系中國移動(dòng)企業(yè)信息化系統(tǒng)安全體系 9Presentation Title | Confidential | Document ID 企業(yè)信息化系統(tǒng)安全體系的三層結(jié)構(gòu) 10Presentation Title | Confidential | Document ID 第一層：安全策略第二層：安全規(guī)范和標(biāo)準(zhǔn)安全策略安全規(guī)范和標(biāo)準(zhǔn)11Presentation Title | Confidential | Document ID 安全操作手冊、流程、細(xì)則第三層：安全操作手冊、流程、細(xì)則12Presentation Title | Confidential | Document ID 信息化系

8、統(tǒng)安全加固方案及實(shí)施計(jì)劃加固方案和實(shí)施計(jì)劃分為三個(gè)部分安全管理層面：第一部分 安全體系完善計(jì)劃針對信息化安全體系的整體架構(gòu)，分析目前在策略、規(guī)范、標(biāo)準(zhǔn)方面缺失的部分，制定標(biāo)準(zhǔn)體系規(guī)范完善計(jì)劃第二部分 安全體系部署/實(shí)施計(jì)劃給出各省市部署和實(shí)施該安全體系的建議，該部分是指導(dǎo)性的，概括性的，各省公司應(yīng)該根據(jù)此加固方案和實(shí)施計(jì)劃制定自己的詳細(xì)的、切實(shí)可行的實(shí)施計(jì)劃。安全技術(shù)層面：第三部分 總部安全技術(shù)體系加固方案和建設(shè)計(jì)劃根據(jù)集團(tuán)總部信息化系統(tǒng)目前所采用的安全技術(shù)現(xiàn)狀，結(jié)合安全體系的具體要求，制定安全技術(shù)體系建設(shè)計(jì)劃。14Presentation Title | Confidential | Doc

9、ument ID 安全體系完善計(jì)劃(1)通過分析中國移動(dòng)企業(yè)信息化系統(tǒng)安全體系結(jié)構(gòu)，發(fā)現(xiàn)目前在第二層規(guī)范/標(biāo)準(zhǔn)這一層的第二個(gè)子層具體規(guī)范這一層的建設(shè)還比較缺乏。下圖所列的規(guī)范，除了紅色部分外，其它規(guī)范還不存在。雖然在規(guī)范總則中對這些規(guī)范進(jìn)行了簡單的說明，但是還不夠全面和深入，對于實(shí)際操作還是缺乏明確的依據(jù)。針對以上分析，建議信息化辦公室在下一階段將體系建設(shè)的重點(diǎn)放在安全規(guī)范建設(shè)上，逐步完善體系中所提到的安全規(guī)范。15Presentation Title | Confidential | Document ID 安全體系完善計(jì)劃（2）在待建設(shè)規(guī)范中，有些規(guī)范之間是存在一定的關(guān)聯(lián)的，我們建議在建設(shè)

10、時(shí)能夠同時(shí)予以考慮和建設(shè)。風(fēng)險(xiǎn)管理規(guī)范 和 信息資產(chǎn)管理規(guī)范數(shù)據(jù)備份和恢復(fù) 和 介質(zhì)安全管理規(guī)范 和 業(yè)務(wù)連續(xù)性計(jì)劃規(guī)范系統(tǒng)安全自測規(guī)范 和 安全許可證制度 和 內(nèi)部安全審計(jì)規(guī)范人力資源安全管理 和 個(gè)人安全守則 和 用戶管理規(guī)范 和 遠(yuǎn)程訪問安全規(guī)范安全事件檢測和響應(yīng)規(guī)范 和 系統(tǒng)日志規(guī)范其它的規(guī)范可以酌情和以上規(guī)范整合在一起考慮。系統(tǒng)生命周期安全管理安全加密文檔管理規(guī)范補(bǔ)丁管理規(guī)范物理安全規(guī)范16Presentation Title | Confidential | Document ID 安全體系完善計(jì)劃（3）針對待建的19個(gè)安全規(guī)范，針對每個(gè)具體的規(guī)范定義了該規(guī)范建設(shè)的目標(biāo)以及該規(guī)范中

11、應(yīng)該包含的內(nèi)容概要例如：信息資產(chǎn)管理規(guī)范目標(biāo)對于企業(yè)信息化系統(tǒng)安全管理來說，如果沒有一份完整的能夠說明我們所擁有的信息資產(chǎn)情況的清單，就沒有辦法評估資產(chǎn)的價(jià)值、應(yīng)該采取的保護(hù)措施、應(yīng)該投入的資源情況等，也就無法開展有意義的企業(yè)信息化系統(tǒng)安全工作。所以，中國移動(dòng)要求所有部門/分公司必須維護(hù)一份完整、詳細(xì)的企業(yè)信息化系統(tǒng)資產(chǎn)清單，以便于跟蹤企業(yè)信息化系統(tǒng)安全狀態(tài)。內(nèi)容定義信息資產(chǎn)分類標(biāo)準(zhǔn)定義信息分級保護(hù)標(biāo)準(zhǔn)設(shè)計(jì)信息資產(chǎn)識別方法定義識別和登記信息資產(chǎn)的流程定義信息資產(chǎn)登記表模版定義信息資產(chǎn)清單維護(hù)方法17Presentation Title | Confidential | Document ID

12、安全體系部署/實(shí)施計(jì)劃（1）信息安全體系建設(shè)的生命周期18Presentation Title | Confidential | Document ID 安全體系部署/實(shí)施計(jì)劃（2）企業(yè)信息化系統(tǒng)安全建設(shè)步驟如下圖所示，建議企業(yè)信息化系統(tǒng)安全建設(shè)分為以下三個(gè)步驟，首先是在集團(tuán)公司一級進(jìn)行總體體系部署的規(guī)劃，然后進(jìn)行試點(diǎn)，試點(diǎn)成功后進(jìn)行推廣。而在每一個(gè)步驟中的建設(shè)都應(yīng)遵守安全體系建設(shè)的PDCA模型，確保中國移動(dòng)的安全體系能夠不斷地自我發(fā)展，循環(huán)上升。 總部信息化辦公室試點(diǎn)省公司 3省公司 4省公司 1其它省公司推廣省公司 2項(xiàng)目 2項(xiàng)目 1項(xiàng)目 3項(xiàng)目 319Presentation Title

13、 | Confidential | Document ID 總部安全技術(shù)體系加固方案和建設(shè)計(jì)劃主要安全產(chǎn)品和技術(shù)分類20Presentation Title | Confidential | Document ID 總部安全技術(shù)體系加固方案和建設(shè)計(jì)劃總部信息化系統(tǒng)安全體系改進(jìn)建議21Presentation Title | Confidential | Document ID 安全總控中心集中地檢測、分析、關(guān)連、報(bào)告、處理安全入侵和違規(guī)事件集中存儲安全事件數(shù)據(jù)和風(fēng)險(xiǎn)信息增加整個(gè)組織信息安全管理的效率及經(jīng)濟(jì)性支持企業(yè)信息安全決策機(jī)制及風(fēng)險(xiǎn)評估為企業(yè)信息安全管理量化提供必要基礎(chǔ)設(shè)施入侵檢測機(jī)制安全

14、事件管理安全指導(dǎo)中心安全風(fēng)險(xiǎn)評估安全弱點(diǎn)掃描病毒防護(hù)處理安全總控中心(SOC)病毒入侵防火墻防病毒網(wǎng)關(guān)管理拒絕服務(wù)攻擊入侵檢測非法系統(tǒng)訪問系統(tǒng)管理應(yīng)用安全弱點(diǎn)應(yīng)用管理風(fēng)險(xiǎn)管理平臺安全事件關(guān)聯(lián)機(jī)制安全事件響應(yīng)機(jī)制22Presentation Title | Confidential | Document ID 網(wǎng)絡(luò)安全審計(jì)系統(tǒng)網(wǎng)絡(luò)安全審計(jì)系統(tǒng)主要用于監(jiān)視并記錄網(wǎng)絡(luò)中的各類操作，實(shí)時(shí)地綜合分析網(wǎng)絡(luò)和系統(tǒng)中發(fā)生的安全事件，包括各種外部事件(如外部入侵行為)和內(nèi)部事件(如內(nèi)部人員的文件拷貝、信息獲取、信息發(fā)布、資源變遷等)，并根據(jù)設(shè)置的安全規(guī)則，智能地判斷出違規(guī)行為，并對違規(guī)行為進(jìn)行記錄、報(bào)警和阻斷。

15、主要功能對網(wǎng)絡(luò)中典型的應(yīng)用如TELNET、HTTP、FTP、SMTP、POP3等進(jìn)行全面審計(jì)，提供詳細(xì)信息。按照需要，跟蹤并記錄指定客戶的網(wǎng)絡(luò)操作，真實(shí)地再現(xiàn)用戶操作的過程，還原該操作。也可以還原電子郵件、網(wǎng)頁訪問操作等。網(wǎng)絡(luò)數(shù)據(jù)流量監(jiān)測功能，包括實(shí)時(shí)流量監(jiān)測和歷史流量記錄，用戶可以使用該功能發(fā)現(xiàn)一些網(wǎng)絡(luò)異常現(xiàn)象，尤其是當(dāng)網(wǎng)絡(luò)中有拒絕服務(wù)攻擊（DoS）行為時(shí)可以及時(shí)發(fā)現(xiàn)并采取措施。流量監(jiān)測功能可以自動(dòng)定時(shí)記錄用戶所指定的主機(jī)和端口的流量。通過查詢所記錄的主機(jī)和端口的歷史流量，系統(tǒng)可以繪制流量曲線圖，生成統(tǒng)計(jì)報(bào)表。23Presentation Title | Confidential | Doc

16、ument ID 主機(jī)入侵檢測系統(tǒng)在目前的中國移動(dòng)網(wǎng)絡(luò)結(jié)構(gòu)中使用了實(shí)時(shí)監(jiān)視系統(tǒng)，在Internal Zone, Admin Zone, 和Interconnection Zone部署了ISS入侵檢測軟件。由于內(nèi)部網(wǎng)采用的各種操作系統(tǒng)可能會(huì)帶來安全問題，如運(yùn)行各種UNIX的操作系統(tǒng)。包括操作系統(tǒng)本身的配置不安全和可能駐留在操作系統(tǒng)內(nèi)部的黑客程序等帶來的威脅。因此，可建立主機(jī)IDS以進(jìn)一步防止黑客的威脅。 24Presentation Title | Confidential | Document ID 安全掃描、安全政策檢查安全是需要隨時(shí)注意及改善的，故系統(tǒng)管理人員需隨時(shí)了解網(wǎng)絡(luò)和系統(tǒng)安全狀況，

17、因此中國移動(dòng)需要一套系統(tǒng)弱點(diǎn)掃描的工具，能夠協(xié)助系統(tǒng)管理人員找出重要服務(wù)器上可能具有的安全漏洞，以便及早修補(bǔ)。網(wǎng)絡(luò)漏洞掃描系統(tǒng) 數(shù)據(jù)庫風(fēng)險(xiǎn)評估和安全政策審計(jì)系統(tǒng)系統(tǒng)風(fēng)險(xiǎn)評估和安全政策審計(jì)系統(tǒng)25Presentation Title | Confidential | Document ID 業(yè)務(wù)連續(xù)性計(jì)劃/災(zāi)難恢復(fù)計(jì)劃現(xiàn)在社會(huì)中，業(yè)務(wù)的連續(xù)性對一個(gè)企業(yè)越來越重要，在企業(yè)中已不是IT一個(gè)部門的問題，而是整個(gè)企業(yè)生死相關(guān)的問題。通過對實(shí)際情況(包括核心業(yè)務(wù)，業(yè)務(wù)中斷的損失，可容忍任務(wù)中斷的時(shí)間)進(jìn)行分析，建設(shè)一套切合實(shí)際的，投資合理的，內(nèi)容可靠的業(yè)務(wù)連續(xù)性及容災(zāi)備份方案。如右圖所示，容災(zāi)備援方案包括

18、一個(gè)相互關(guān)連的流程，具體包括風(fēng)險(xiǎn)管理、業(yè)務(wù)沖擊分析、恢復(fù)能力分析、容災(zāi)策略制定、容災(zāi)技術(shù)方案的制定和實(shí)施、企業(yè)業(yè)務(wù)連續(xù)性計(jì)劃的制定和企業(yè)容災(zāi)方案的管理。26Presentation Title | Confidential | Document ID 網(wǎng)絡(luò)安全體系建設(shè)根據(jù)業(yè)務(wù)上或管理上以及企業(yè)信息化安全域規(guī)范的各種安全相關(guān)需求，對現(xiàn)有的網(wǎng)絡(luò)系統(tǒng)通過各種網(wǎng)絡(luò)安全防范的技術(shù)手段和管理規(guī)范進(jìn)行一系列的安全改造，從而將網(wǎng)絡(luò)上存在的安全風(fēng)險(xiǎn)和安全隱患降至最低。本項(xiàng)目的范圍包括了所有與網(wǎng)絡(luò)系統(tǒng)相關(guān)的運(yùn)作安全考慮。包括了內(nèi)部局域網(wǎng)安全建設(shè)和改造和第三方合作伙伴的網(wǎng)絡(luò)連接安全建設(shè)和改造Internet連接安全

19、規(guī)范用戶遠(yuǎn)程網(wǎng)絡(luò)接入連接相關(guān)的安全方面的考慮27Presentation Title | Confidential | Document ID 各信息系統(tǒng)的統(tǒng)一單點(diǎn)登錄統(tǒng)一認(rèn)證和授權(quán)系統(tǒng)由以下四個(gè)部分組成：目錄服務(wù)：存儲多種不同來源的用戶/資源信息。包括：存儲子模塊：即目錄服務(wù)模塊同步子模塊：即元目錄，或動(dòng)態(tài)用戶管理（User Provisioning）模塊身份管理：管理用戶身份信息，并提供自動(dòng)工作流程和自服務(wù)、分權(quán)管理功能。認(rèn)證管理：認(rèn)證方式可以分為以下四類：所知（Something you know）所持（Something you have）所具有（Something you are）和

20、所為（Something you do）訪問管理：進(jìn)行訪問規(guī)則定義，并進(jìn)行訪問規(guī)則的中心控制，實(shí)現(xiàn)SSO。28Presentation Title | Confidential | Document ID 個(gè)人及桌面安全管理通過對用戶桌面電腦使用的操作系統(tǒng)和其他相關(guān)安全系統(tǒng)平臺進(jìn)行安全定制，對員工使用的桌面系統(tǒng)進(jìn)行統(tǒng)一，并對用戶日常使用過程中應(yīng)當(dāng)注意的安全問題加以明確的規(guī)定，從而確保了對桌面系統(tǒng)的安全管理。 該項(xiàng)目的范圍包括統(tǒng)一主流的桌面操作系統(tǒng)平臺和其他相關(guān)安全系統(tǒng)平臺、定制其安全策略統(tǒng)一制定用戶桌面系統(tǒng)使用安全操作手冊建立桌面電腦補(bǔ)丁的自動(dòng)分發(fā)機(jī)制29Presentation Title

21、| Confidential | Document ID 員工安全意識普及教育安全意識培養(yǎng)機(jī)制目的Why? 確保所有員工都理解企業(yè)所面臨的風(fēng)險(xiǎn)，What? 確保所有員工都了解企業(yè)的安全要求How? 確保所有員工都具有相應(yīng)的技能遵守安全要求在通常情況下，絕大多數(shù)員工當(dāng)他們知道了什么是正確的，以及為什么是正確的之后，都會(huì)自覺地遵守。通過提升員工安全意識，可以及時(shí)發(fā)現(xiàn)，避免安全事件的發(fā)生，降低安全事件的影響，從而節(jié)約了信息安全成本。中國移動(dòng)需要一套系統(tǒng)的、有針對性的、層次分明的教育計(jì)劃來實(shí)現(xiàn)我們的目標(biāo)。通過教育，讓所有的人了解自己在企業(yè)信息化系統(tǒng)安全中的角色(role)、責(zé)任(responsibil

22、ity)和義務(wù)(liability)，以及如何正確、安全地使用企業(yè)信息化系統(tǒng)。30Presentation Title | Confidential | Document ID 信息安全風(fēng)險(xiǎn)評估信息安全風(fēng)險(xiǎn)評估項(xiàng)目的目標(biāo)了解支撐中國移動(dòng)關(guān)鍵業(yè)務(wù)運(yùn)作的信息系統(tǒng)的安全狀況評估核心信息資產(chǎn)所面臨的風(fēng)險(xiǎn)發(fā)現(xiàn)信息安全實(shí)踐中的薄弱環(huán)節(jié)和改進(jìn)機(jī)會(huì)明確信息系統(tǒng)的安全需求提出信息安全控制措施改進(jìn)方案。 信息安全風(fēng)險(xiǎn)評估項(xiàng)目的主要收益包括明確核心信息資產(chǎn)面臨的主要風(fēng)險(xiǎn)平衡信息安全風(fēng)險(xiǎn)和投入培養(yǎng)信息安全風(fēng)險(xiǎn)評估隊(duì)伍31Presentation Title | Confidential | Document ID 防

23、病毒安全規(guī)范病毒發(fā)展趨勢與企業(yè)的病毒威脅分析病毒發(fā)展趨勢病毒技術(shù)與系統(tǒng)攻擊技術(shù)的結(jié)合 （蠕蟲病毒、木馬/黑客病毒）混合型病毒傳播方式多變 （蠕蟲病毒）電子郵件病毒感染 （腳本病毒、蠕蟲病毒、木馬病毒）新病毒爆發(fā)時(shí)間短危害大 （蠕蟲病毒、木馬病毒、腳本病毒等）企業(yè)的病毒威脅分析惡意破壞桌面終端、服務(wù)器系統(tǒng)、網(wǎng)絡(luò)系統(tǒng)性能降低、功能失效；破壞系統(tǒng)和數(shù)據(jù)，造成系統(tǒng)崩潰，網(wǎng)絡(luò)阻塞盜竊桌面終端和服務(wù)器系統(tǒng)中的機(jī)密信息帳戶密碼、信用卡資料、機(jī)密文件文檔服務(wù)器、郵件服務(wù)器成為病毒跳板網(wǎng)絡(luò)接口成為重要的病毒入侵途徑Web, FTP, SMTP防病毒管理面臨壓力職責(zé)不明確、管理規(guī)范不完善、用戶防病毒意識不高33P

24、resentation Title | Confidential | Document ID 企業(yè)防病毒安全對策企業(yè)防病毒架構(gòu)體系建設(shè)覆蓋全面、多層次。涵蓋集團(tuán)公司、各省/直轄市、各地市覆蓋桌面終端、服務(wù)器、郵件系統(tǒng)、網(wǎng)關(guān)防毒及時(shí)及時(shí)更新病毒碼、病毒引擎統(tǒng)一管理以集團(tuán)公司、各省或直轄市為單位，由信息化責(zé)任部門設(shè)立集團(tuán)公司、省或直轄市內(nèi)統(tǒng)一的防病毒管理中心統(tǒng)一防病毒策略制定、統(tǒng)一防病毒工作監(jiān)控企業(yè)防病毒管理機(jī)制加強(qiáng)防病毒管理策略防病毒管理職責(zé)定義防病毒管理方法和機(jī)制34Presentation Title | Confidential | Document ID 集團(tuán)公司防病毒架構(gòu)第一層：集中管

25、理層。集團(tuán)總部的統(tǒng)一防病毒管理中心統(tǒng)一管理集團(tuán)總部的防病毒事務(wù)，負(fù)責(zé)集團(tuán)總部防病毒架構(gòu)的工作策略配置的制定和分發(fā)。部署防病毒服務(wù)器，負(fù)責(zé)對各個(gè)部門的桌面工作站或文檔服務(wù)器的防病毒控制。第二層：各部門的終端層。分布于集團(tuán)總部內(nèi)網(wǎng)的各個(gè)節(jié)點(diǎn)，數(shù)量眾多，通過防病毒軟件進(jìn)行病毒監(jiān)視和防護(hù)。邊界層：網(wǎng)關(guān)防病毒。這個(gè)層次分布于集團(tuán)網(wǎng)絡(luò)出入接口，在這些外部網(wǎng)絡(luò)接入點(diǎn)部署郵件防病毒過濾服務(wù)器、Web防病毒過濾服務(wù)器、FTP防病毒過濾服務(wù)器。這些邊界防病毒過濾服務(wù)器接受集團(tuán)總部防病毒管理中心的統(tǒng)一管理。35Presentation Title | Confidential | Document ID 省/直轄市

26、防病毒架構(gòu)第一層：集中管理層。成立統(tǒng)一防病毒管理中心。這個(gè)層次通過中央控制臺統(tǒng)一管理企業(yè)的防病毒事務(wù)，負(fù)責(zé)省防病毒架構(gòu)的工作策略配置的制定和分發(fā)。第二層：分布層。部署二層防病毒服務(wù)器。這個(gè)層次具有多個(gè)分布在不同地市部門的防病毒服務(wù)器，負(fù)責(zé)局域網(wǎng)內(nèi)桌面工作站或者文檔服務(wù)器的防病毒控制。防病毒服務(wù)器接受第一層的防病毒管理中心的統(tǒng)一管理控制。第三層：終端層。這個(gè)層次分布于網(wǎng)絡(luò)的各個(gè)節(jié)點(diǎn)，數(shù)量眾多，通過防病毒軟件進(jìn)行病毒監(jiān)視和防護(hù)。桌面工作站和文檔服務(wù)器接受二層防病毒服務(wù)器的直接管理。邊界層：網(wǎng)關(guān)防病毒。這個(gè)層次分布于網(wǎng)絡(luò)出入接口，在這些外部網(wǎng)絡(luò)接入點(diǎn)部署郵件防病毒過濾服務(wù)器、Web防病毒過濾服務(wù)器、

27、FTP防病毒過濾服務(wù)器。這些邊界防病毒過濾服務(wù)器接受省/直轄市中心的統(tǒng)一管理。36Presentation Title | Confidential | Document ID 防病毒工具功能要求中心防病毒控制臺與管理服務(wù)器實(shí)現(xiàn)統(tǒng)一集中的管理，如防病毒軟件的安裝、維護(hù)、病毒定義碼和掃描引擎的更新升級、網(wǎng)絡(luò)防病毒策略的配置、報(bào)警的集中管理、定時(shí)調(diào)度、隔離、實(shí)時(shí)掃描和監(jiān)控等。支持跨越廣域網(wǎng)管理、分級管理、和分組管理。防病毒客戶端防病毒客戶端提供集成化的安全功能，將客戶端病毒防護(hù)、防火墻、入侵檢測集成于一體。防病毒功能方面支持文件系統(tǒng)實(shí)時(shí)防護(hù)、病毒掃描、軟件更新、集中管理控制。郵件防病毒 （集成于郵

28、件服務(wù)器的防病毒工具，郵件防病毒網(wǎng)關(guān)）病毒掃描與過濾，對郵件中的病毒文件掃描和過濾，保持病毒碼和掃描引擎的更新，支持對多種壓縮格式的文件進(jìn)行解壓掃描。內(nèi)容過濾，采用預(yù)定義的字詞列表，檢查主題、內(nèi)容和附件等方法內(nèi)容過濾阻擋垃圾郵件；使用黑名單、白名單等工具管理郵件的收發(fā)。Web與FTP防病毒網(wǎng)關(guān)防病毒網(wǎng)關(guān)支持HTTP，HTTPS，F(xiàn)TP等協(xié)議，對所有通過防火墻的HTTP通信和FTP通信進(jìn)行病毒檢測掃描從而保護(hù)您的網(wǎng)絡(luò)免受病毒攻擊；也能夠使用內(nèi)容過濾方法（類別列表和數(shù)據(jù)字典）提供有效的Web內(nèi)容過濾。37Presentation Title | Confidential | Document ID

29、 防病毒運(yùn)維組織架構(gòu)省/直轄市公司建立防病毒管理中心主要負(fù)責(zé)防病毒系統(tǒng)的整體規(guī)劃、落實(shí)防病毒系統(tǒng)的具體制度、落實(shí)防病毒管理員的工作職責(zé)等工作。省/直轄市公司、各地市公司可以參照運(yùn)維組織架構(gòu)設(shè)立相應(yīng)的防病毒機(jī)構(gòu)。省/直轄市公司、各地市公司要設(shè)立防病毒日常維護(hù)小組負(fù)責(zé)防病毒系統(tǒng)的日常維護(hù)。省/直轄市公司日常維護(hù)小組的成員必須是專職的，地市公司原則上也要有專職的防病毒日常維護(hù)人員，也可以根據(jù)網(wǎng)絡(luò)及防病毒系統(tǒng)實(shí)際狀況由系統(tǒng)管理員兼職。系統(tǒng)管理員也作為網(wǎng)絡(luò)防病毒日常維護(hù)的一部分，與防病毒日常維護(hù)小組相互協(xié)調(diào)工作。防病毒應(yīng)急響應(yīng)小組由省/直轄市公司防病毒日常維護(hù)人員和安全服務(wù)提供商以及防病毒廠商技術(shù)人員組

30、成，組成人員可以兼職。省/直轄市公司應(yīng)急響應(yīng)系統(tǒng)主要負(fù)責(zé)解決由于病毒造成網(wǎng)絡(luò)阻塞等重大問題和事件。38Presentation Title | Confidential | Document ID 防病毒管理策略要點(diǎn)這些防病毒策略要求用于指導(dǎo)建立可靠有效的防病毒機(jī)制，指引安全管理組織和病毒處理小組才能夠有效地減輕病毒的對公司的潛在威脅。信息資產(chǎn)分類與控制信息資產(chǎn)負(fù)責(zé)人的防病毒責(zé)任信息資產(chǎn)分類防病毒控制人員安全防病毒安全培訓(xùn)安全時(shí)間和故障響應(yīng)系統(tǒng)維護(hù)管理落實(shí)防病毒管理流程：文檔維護(hù)、工具變更、緊急時(shí)間響應(yīng)等防止惡意軟件：病毒掃描和文件數(shù)據(jù)交換控制遠(yuǎn)程辦公移動(dòng)電腦遵守防病毒法律規(guī)定39Presen

31、tation Title | Confidential | Document ID 防病毒管理職責(zé)定義集團(tuán)公司防病毒管理職能集團(tuán)公司在防病毒架構(gòu)體系建設(shè)中起到規(guī)范標(biāo)準(zhǔn)化、建設(shè)指導(dǎo)和監(jiān)督者的作用。制定中移動(dòng)統(tǒng)一的防病毒架構(gòu)體系建設(shè)規(guī)范，為各省/直轄市的防病毒架構(gòu)建設(shè)和改進(jìn)提供了規(guī)范性的指導(dǎo)建議；制定中移動(dòng)防病毒的管理制度和管理機(jī)制規(guī)范，指導(dǎo)和規(guī)范各省/直轄市的防病毒管理工作；監(jiān)督各省/直轄市的防病毒工作，定期以安全審計(jì)檢查的方式監(jiān)督下屬公司工作是否到位。省/直轄市公司防病毒管理職能制定防病毒有關(guān)具體管理制度和操作規(guī)程細(xì)則；部署病毒防護(hù)策略和病毒解決方案；協(xié)調(diào)和分配各地分公司防病毒任務(wù)和職責(zé)權(quán)限；

32、發(fā)布計(jì)算機(jī)病毒疫情，以及突發(fā)病毒解決方案；根據(jù)計(jì)算機(jī)病毒疫情調(diào)整防病毒管理策略；貫徹落實(shí)省/直轄市公司病毒防護(hù)策略和病毒解決方案；定時(shí)統(tǒng)計(jì)、分析、匯總和上報(bào)本公司防病毒檢測情況報(bào)告。地市公司防病毒管理職能根據(jù)省/直轄市公司下發(fā)的最新病毒信息和解決辦法處理各種病毒問題；負(fù)責(zé)管理轄內(nèi)病毒防治的管理和日常維護(hù)；定時(shí)統(tǒng)計(jì)、分析、匯總和上報(bào)本公司防病毒檢測情況報(bào)告。日常運(yùn)維管理職能由集團(tuán)公司、省/直轄市公司和地方公司防病毒相關(guān)部門執(zhí)行和運(yùn)作。40Presentation Title | Confidential | Document ID 防病毒管理機(jī)制建設(shè)要點(diǎn)防病毒管理機(jī)制建設(shè)的主要目標(biāo)是：有效地管理

33、公司內(nèi)部病毒事件帶來的風(fēng)險(xiǎn)提高公司所有人員對在防病毒管理過程中相關(guān)法規(guī)制度的理解與遵守預(yù)防病毒潛在的危險(xiǎn)，并能夠處理突發(fā)病毒事件，保證業(yè)務(wù)運(yùn)營連續(xù)性防病毒文檔管理管理文檔運(yùn)行維護(hù)文檔防病毒軟件管理安裝軟件管理軟件升級更新管理41Presentation Title | Confidential | Document ID 防病毒管理機(jī)制建設(shè)要點(diǎn)終端計(jì)算機(jī)用戶防病毒條例建立全網(wǎng)用戶應(yīng)該遵循以下用戶使用條例：未經(jīng)許可不能卸載防病毒軟件，不能更改配置。如認(rèn)為防病毒軟件影響正常使用，應(yīng)及時(shí)聯(lián)系管理員進(jìn)行判斷處理。定時(shí)檢查更新狀態(tài)，定時(shí)執(zhí)行掃描。注意不要使用未經(jīng)掃描的軟盤啟動(dòng)。不允許訪問含有色情、暴力等

34、不健康內(nèi)容的網(wǎng)站不隨意從互聯(lián)網(wǎng)上下載軟件、游戲、電影等。不運(yùn)行任何可疑文件。對于主題名新奇的電子郵件不要隨便打開。病毒突發(fā)事件應(yīng)急響應(yīng)機(jī)制成員組成管理部門、技術(shù)部門的相關(guān)人員處理步驟和流程確認(rèn)方案隔離清楚恢復(fù)后續(xù)檢查42Presentation Title | Confidential | Document ID 防病毒管理機(jī)制建設(shè)要點(diǎn)防病毒預(yù)警機(jī)制新病毒訊息公告與處理疑似病毒信息發(fā)布防病毒意識培訓(xùn)防病毒知識普及防病毒知識全員普及內(nèi)容病毒疫情預(yù)警安全漏洞公告特定病毒處理通告病毒防治論壇用于計(jì)算機(jī)用戶在線防病毒技術(shù)交流、討論、求助和建議等提供相關(guān)預(yù)防病毒知識43Presentation Titl

35、e | Confidential | Document ID 數(shù)據(jù)庫安全規(guī)范數(shù)據(jù)庫安全威脅與對策數(shù)據(jù)庫主要安全威脅數(shù)據(jù)被篡改、竊取用戶身份被偽造、密碼被盜用未經(jīng)授權(quán)對表、列、行的存取缺乏有效的跟蹤、監(jiān)控機(jī)制數(shù)據(jù)庫安全管理關(guān)鍵要點(diǎn)管理細(xì)分和委派原則數(shù)據(jù)庫管理員與安全管理員最小權(quán)限原則本著最小權(quán)限原則，從需求和工作職能兩方面嚴(yán)格限制對數(shù)據(jù)庫的訪問權(quán)帳號安全原則密碼規(guī)則、用戶帳號管理有效的審計(jì)用戶行為和數(shù)據(jù)庫活動(dòng)加強(qiáng)關(guān)鍵數(shù)據(jù)庫安全保護(hù)數(shù)據(jù)庫備份恢復(fù)、數(shù)據(jù)加密45Presentation Title | Confidential | Document ID 數(shù)據(jù)庫基本安全技術(shù)安全風(fēng)險(xiǎn)解決方法安全技術(shù)未

36、驗(yàn)證用戶確認(rèn)用戶身份帳戶認(rèn)證未授權(quán)的數(shù)據(jù)存取限制數(shù)據(jù)存取訪問控制加密存儲數(shù)據(jù)存儲數(shù)據(jù)加密限制權(quán)限權(quán)限管理網(wǎng)絡(luò)數(shù)據(jù)偵聽、竊取保護(hù)網(wǎng)絡(luò)網(wǎng)絡(luò)加密數(shù)據(jù)破壞備份恢復(fù)數(shù)據(jù)庫備份賬號密碼脆弱強(qiáng)制密碼安全密碼規(guī)則缺乏跟蹤監(jiān)控用戶的行為安全審計(jì)系統(tǒng)入侵加密敏感數(shù)據(jù)存儲數(shù)據(jù)加密技術(shù)及時(shí)修補(bǔ)安全漏洞安全補(bǔ)丁46Presentation Title | Confidential | Document ID 數(shù)據(jù)庫系統(tǒng)的安全防護(hù)架構(gòu) 數(shù)據(jù)庫系統(tǒng)的安全除依賴自身內(nèi)部的安全機(jī)制外，還與外部網(wǎng)絡(luò)環(huán)境、運(yùn)行主機(jī)環(huán)境等因素息息相關(guān)。從廣義上講，數(shù)據(jù)庫系統(tǒng)的安全框架可以劃分為三個(gè)層次：1. 網(wǎng)絡(luò)系統(tǒng)層次；2. 操作系統(tǒng)層次；3.

37、數(shù)據(jù)庫管理系統(tǒng)層次。47Presentation Title | Confidential | Document ID 網(wǎng)絡(luò)系統(tǒng)層次安全防護(hù) 數(shù)據(jù)庫的安全首先倚賴于網(wǎng)絡(luò)系統(tǒng)網(wǎng)絡(luò)系統(tǒng)的安全是數(shù)據(jù)庫安全的第一道屏障，外部入侵首先就是從入侵網(wǎng)絡(luò)系統(tǒng)開始的針對數(shù)據(jù)庫系統(tǒng)的安全風(fēng)險(xiǎn)，可以采用以下的網(wǎng)絡(luò)系統(tǒng)層次安全加固方法：采用防火墻系統(tǒng)對數(shù)據(jù)庫服務(wù)器與外部不受信任網(wǎng)絡(luò)進(jìn)行隔離，屏蔽外界對數(shù)據(jù)庫系統(tǒng)的攻擊，如SQL注入、未授權(quán)訪問、密碼攻擊等；采用入侵檢測系統(tǒng)對數(shù)據(jù)庫系統(tǒng)的攻擊進(jìn)行監(jiān)測，發(fā)現(xiàn)并切斷外部點(diǎn)惡意攻擊，如SQL注入、未授權(quán)訪問、密碼攻擊等；采用VPN技術(shù)對網(wǎng)絡(luò)傳輸進(jìn)行安全加密，保護(hù)數(shù)據(jù)庫訪問的安

38、全，能夠有效抵御網(wǎng)絡(luò)竊聽的攻擊。48Presentation Title | Confidential | Document ID 操作系統(tǒng)層次安全加固數(shù)據(jù)庫系統(tǒng)安裝在主機(jī)系統(tǒng)之上，為了有效的保障數(shù)據(jù)庫系統(tǒng)安全，必須對主機(jī)系統(tǒng)平臺進(jìn)行規(guī)范的安全加固。 操作系統(tǒng)用戶安全設(shè)置用戶組權(quán)限設(shè)置數(shù)據(jù)庫使用程序的安全性操作系統(tǒng)安全日志設(shè)置記錄數(shù)據(jù)庫服務(wù)的啟動(dòng)、關(guān)閉等操作，以及主機(jī)管理員、數(shù)據(jù)庫服務(wù)管理員、和應(yīng)用開發(fā)人員的行為等 關(guān)閉非必要的服務(wù)和程序 禁止不使用的數(shù)據(jù)庫服務(wù)、應(yīng)用服務(wù)、協(xié)議修補(bǔ)操作系統(tǒng)和更新包 49Presentation Title | Confidential | Document I

39、D 數(shù)據(jù)庫管理系統(tǒng)層次安全加固（一）數(shù)據(jù)庫安全策略要點(diǎn)系統(tǒng)安全性策略要點(diǎn)用戶帳戶管理用戶身份確認(rèn)方式管理操作系統(tǒng)安全要求數(shù)據(jù)庫安全性策略要點(diǎn)根據(jù)具體的業(yè)務(wù)應(yīng)用要求設(shè)計(jì)數(shù)據(jù)對象訪問、數(shù)據(jù)加密用戶安全性策略要點(diǎn)密碼安全、用戶角色分組、權(quán)限管理數(shù)據(jù)庫管理者安全性策略要點(diǎn)特權(quán)用戶密碼保護(hù)特權(quán)用戶使用限制應(yīng)用程序開發(fā)者安全策略要點(diǎn)應(yīng)用程序開發(fā)者的權(quán)限限制應(yīng)用程序開發(fā)者角色的使用限制50Presentation Title | Confidential | Document ID 數(shù)據(jù)庫管理系統(tǒng)層次安全加固（二）數(shù)據(jù)庫帳戶安全設(shè)置要點(diǎn)定義數(shù)據(jù)庫系統(tǒng)訪問帳戶負(fù)責(zé)人員和業(yè)務(wù)用途，刪除無關(guān)的或者不再使用的數(shù)據(jù)庫

40、系統(tǒng)訪問人員帳戶；修改數(shù)據(jù)庫管理系統(tǒng)內(nèi)建帳戶的初始密碼；對數(shù)據(jù)庫帳戶所使用的資源（如CPU等）進(jìn)行限制。密碼安全設(shè)置要點(diǎn)多次注冊失敗帳戶鎖定過舊帳戶鎖定防止密碼重用密碼復(fù)雜性設(shè)置密碼的傳輸和存儲安全訪問權(quán)限安全設(shè)置要點(diǎn)檢查帳戶的權(quán)限是否與業(yè)務(wù)使用的要求相符，避免帳戶獲得超出其業(yè)務(wù)工作必須的權(quán)限；給予帳戶需要的最少權(quán)限，包括系統(tǒng)權(quán)限和對象權(quán)限；采用存儲過程、和數(shù)據(jù)表視圖的方式來限制用戶進(jìn)行數(shù)據(jù)存取操作。51Presentation Title | Confidential | Document ID 數(shù)據(jù)庫管理系統(tǒng)層次安全加固（三）數(shù)據(jù)庫加密對數(shù)據(jù)庫中存儲的重要數(shù)據(jù)進(jìn)行加密處理，以實(shí)現(xiàn)數(shù)據(jù)存儲的

41、安全保護(hù)數(shù)據(jù)庫系統(tǒng)的加密工具包數(shù)據(jù)庫加密系統(tǒng)數(shù)據(jù)庫備份與恢復(fù)備份方法導(dǎo)出、脫機(jī)備份和聯(lián)機(jī)備份備份策略建議恢復(fù)方法數(shù)據(jù)文件損壞、控制文件損壞、文件系統(tǒng)損壞、介質(zhì)恢復(fù)日志與審計(jì)日志記錄數(shù)據(jù)庫服務(wù)、數(shù)據(jù)庫管理員和用戶帳戶的訪問和操作行為審計(jì)跟蹤用戶的活動(dòng)，發(fā)現(xiàn)安全設(shè)置的漏洞，分析安全事件語句審計(jì)、特權(quán)審計(jì)、模式對象審計(jì)管理員客戶端安全 數(shù)據(jù)庫安全補(bǔ)丁52Presentation Title | Confidential | Document ID 進(jìn)一步數(shù)據(jù)庫安全考慮細(xì)粒度訪問控制應(yīng)用程序安全檢查數(shù)據(jù)庫系統(tǒng)與基于標(biāo)準(zhǔn)的公共密鑰體系PKI集成關(guān)鍵數(shù)據(jù)庫系統(tǒng)災(zāi)難備份53Presentation Titl

42、e | Confidential | Document ID 防火墻安全規(guī)范防火墻分類 包過濾（Packet Filter）應(yīng)用層代理（Proxy）電路層代理（Circuit Proxy）動(dòng)態(tài)包過濾（Dynamic Packet Filter）全狀態(tài)檢測（Stateful Inspection）自適應(yīng)代理（Adaptive Proxy）深度包檢測（Deep Packet Inspection）55Presentation Title | Confidential | Document ID 防火墻常用技術(shù) NAT雙機(jī)熱備橋接、路由內(nèi)容過濾帶寬管理附加功能：攻擊保護(hù)，聯(lián)動(dòng)功能，入侵檢測56Pre

43、sentation Title | Confidential | Document ID 防火墻體系結(jié)構(gòu) 屏蔽路由器（Screening Router）雙穴主機(jī)網(wǎng)關(guān)（Dual Homed Gateway）屏蔽主機(jī)網(wǎng)關(guān)（Screened Host Gateway）屏蔽子網(wǎng) （Screened Subnet）57Presentation Title | Confidential | Document ID 包過濾防火墻的基本功能安全要求 未鑒別的端到端策略：一個(gè)內(nèi)部或外部網(wǎng)絡(luò)上的主體通過防火墻發(fā)送數(shù)據(jù)流到一個(gè)外部或內(nèi)部網(wǎng)絡(luò)上的客體。 用戶數(shù)據(jù)保護(hù)功能識別與鑒別功能保密功能可信安全功能保護(hù)安全審計(jì)功

44、能58Presentation Title | Confidential | Document ID 應(yīng)用網(wǎng)關(guān)防火墻的基本功能安全要求 有鑒別的端到端策略：一個(gè)內(nèi)部或外部網(wǎng)絡(luò)上的主體在發(fā)送數(shù)據(jù)流前，必須通過防火墻的鑒別，才能將數(shù)據(jù)流傳送給一個(gè)外部或內(nèi)部網(wǎng)絡(luò)上的客體。 用戶數(shù)據(jù)保護(hù)功能識別與鑒別功能保密功能可信安全功能保護(hù)安全審計(jì)功能59Presentation Title | Confidential | Document ID 防火墻的特殊功能安全要求 模塊化多端口多級過濾內(nèi)容過濾多種形式審計(jì)告警VPN（IPsec 和 SSL）入侵檢測帶寬管理集中的安全網(wǎng)管支持802.1Q封裝60Prese

45、ntation Title | Confidential | Document ID 防火墻安全策略 防火墻安全策略配置:通信策略訪問策略應(yīng)用策略安全策略管理流程：增添安全策略更改安全策略刪除安全策略61Presentation Title | Confidential | Document ID 防火墻管理人員角色分類 超級管理員負(fù)責(zé)本公司IP網(wǎng)絡(luò)安全管理員和安全審計(jì)員的選用和監(jiān)督，負(fù)責(zé)生成安全管理員和安全審計(jì)員的賬號及相應(yīng)權(quán)限 安全管理員負(fù)責(zé)職權(quán)范圍內(nèi)IP網(wǎng)絡(luò)安全防范工作的具體實(shí)施、安全配置操作和維護(hù)工作、以及相關(guān)網(wǎng)絡(luò)安全問題的處理。 安全審計(jì)員負(fù)責(zé)所管理主機(jī)系統(tǒng)及網(wǎng)絡(luò)設(shè)備的安全定期審查和

46、維護(hù)工作。安全審計(jì)員僅可以對日志進(jìn)行審計(jì)分析。 62Presentation Title | Confidential | Document ID 防火墻用戶參數(shù)管理 認(rèn)證模式有效時(shí)間連續(xù)認(rèn)證失敗時(shí)間連續(xù)認(rèn)證失敗次數(shù)恢復(fù)時(shí)間口令管理閑置時(shí)間并發(fā)用戶管理63Presentation Title | Confidential | Document ID 防火墻日志審計(jì)與監(jiān)控 日志收集日志分析建立安全基線界定可疑活動(dòng)日志存儲安全審計(jì)建議建立安全審計(jì)報(bào)告安全問題應(yīng)對流程審計(jì)與整體監(jiān)控系統(tǒng)配合64Presentation Title | Confidential | Document ID 防火墻日常維

47、護(hù)管理 防火墻系統(tǒng)資源監(jiān)控系統(tǒng)日志監(jiān)控?cái)?shù)據(jù)包捕獲分析定期備份 同步備份、手動(dòng)備份、 自動(dòng)備份 遠(yuǎn)程異地方式、 本地存儲方式65Presentation Title | Confidential | Document ID 防火墻適用環(huán)境單級防火墻結(jié)構(gòu) 66Presentation Title | Confidential | Document ID 防火墻適用環(huán)境多級防火墻結(jié)構(gòu) 67Presentation Title | Confidential | Document ID 防火墻部署原則 骨干層匯聚層接入層68Presentation Title | Confidential | Docu

48、ment ID 企業(yè)信息化系統(tǒng)安全域規(guī)范安全域規(guī)范的主要內(nèi)容 企業(yè)信息化系統(tǒng)的現(xiàn)狀企業(yè)信息化系統(tǒng)的安全域劃分安全域的管理、技術(shù)、設(shè)備需求定義安全域的威脅等級和保護(hù)等級企業(yè)信息化系統(tǒng)安全域的網(wǎng)絡(luò)保護(hù)70Presentation Title | Confidential | Document ID 企業(yè)信息化系統(tǒng)的應(yīng)用系統(tǒng)現(xiàn)狀 統(tǒng)一信息平臺應(yīng)用：統(tǒng)一信息平臺包括了OA系統(tǒng)，主要提供企業(yè)各種公文處理、電子郵件和信息發(fā)布等功能；同時(shí)還包括統(tǒng)計(jì)查詢、電子報(bào)銷、資源預(yù)定、辦公用品申領(lǐng)、電子期刊、檔案管理、知識管理、考核管理、研發(fā)項(xiàng)目管理、搜索引擎、遠(yuǎn)程辦公應(yīng)用等。MIS應(yīng)用：MIS包括財(cái)務(wù)系統(tǒng)、人力資源系

49、統(tǒng)、綜合統(tǒng)計(jì)系統(tǒng)等應(yīng)用系統(tǒng)；還包括電子采購系統(tǒng)、全面預(yù)算管理系統(tǒng)等。對外通過合作伙伴門戶與外部的合作伙伴連接，對內(nèi)與BOSS系統(tǒng)和網(wǎng)管系統(tǒng)存在接口。 71Presentation Title | Confidential | Document ID 企業(yè)信息化系統(tǒng)的應(yīng)用系統(tǒng)現(xiàn)狀（圖）72Presentation Title | Confidential | Document ID 企業(yè)信息化系統(tǒng)的網(wǎng)絡(luò)架構(gòu)（圖）73Presentation Title | Confidential | Document ID 企業(yè)信息化系統(tǒng)的應(yīng)用架構(gòu) 緊密耦合結(jié)構(gòu)的應(yīng)用：例如終端標(biāo)準(zhǔn)化，有一個(gè)全集團(tuán)的終端標(biāo)準(zhǔn)化

50、系統(tǒng)，還有各個(gè)業(yè)務(wù)單位終端標(biāo)準(zhǔn)化子系統(tǒng)。 松散耦合結(jié)構(gòu)的應(yīng)用：例如OA系統(tǒng)，各個(gè)業(yè)務(wù)單位都有自身的OA系統(tǒng)，其服務(wù)器在各個(gè)業(yè)務(wù)單位的服務(wù)器區(qū)域，而OA互連主要通過公文網(wǎng)關(guān)。全部集中在集團(tuán)總部的應(yīng)用：例如電子采購系統(tǒng)，各個(gè)業(yè)務(wù)單位沒有單獨(dú)的電子采購系統(tǒng)，只有集中的系統(tǒng)。 74Presentation Title | Confidential | Document ID 企業(yè)信息化系統(tǒng)的應(yīng)用架構(gòu) （圖）集團(tuán)總部 信息化廣域?qū)＞W(wǎng)CMNET VPNPSTN省公司信息化 全集團(tuán)信息化系統(tǒng) 服務(wù)器集團(tuán)總部75Presentation Title | Confidential | Document ID 集

51、團(tuán)總部企業(yè)信息化的網(wǎng)絡(luò)拓?fù)洌▓D）76Presentation Title | Confidential | Document ID 省公司企業(yè)信息化的網(wǎng)絡(luò)拓?fù)洌▓D）集團(tuán)公司CMNet網(wǎng)管省計(jì)費(fèi)中心SOC外部接入OA辦公自動(dòng)化DCN省信息化集團(tuán)總部 信息化內(nèi)部辦公 局域網(wǎng)CMNet網(wǎng)管網(wǎng)管地市1銀證郵/ISP地市1 地市信息化銀證郵/ISP縣級信息化省網(wǎng)管中心SOCMIS服務(wù)器地市分公司MISOAOA服務(wù)器因特網(wǎng)網(wǎng)管網(wǎng)管BOSS統(tǒng)一信息平臺統(tǒng)一信息平臺服務(wù)器集團(tuán)公司全集團(tuán)公司 信息化CMNetCMNet專線集團(tuán)總部77Presentation Title | Confidential | Doc

52、ument ID 企業(yè)信息化的一級安全域劃分公共區(qū)不在中國移動(dòng)直接控制范圍內(nèi)的區(qū)域。包括外界的各種訪問設(shè)備和用戶資源，從外部對中國移動(dòng)信息化系統(tǒng)進(jìn)行訪問并要求服務(wù)。半安全區(qū)安全區(qū)核心安全區(qū)位于中國移動(dòng)信息化系統(tǒng)控制范圍內(nèi)，是公共區(qū)與安全區(qū)之間的“過渡”區(qū)域。包括所有能被非信任來源直接訪問并提供服務(wù)的系統(tǒng)和設(shè)備。位于中國移動(dòng)信息化系統(tǒng)控制范圍內(nèi)，是安全控制和保護(hù)級別較高的區(qū)域。包括中國移動(dòng)信息化系統(tǒng)內(nèi)部用戶終端和一些重要程度不高且經(jīng)常使用的服務(wù)器。位于中國移動(dòng)信息化系統(tǒng)控制范圍內(nèi)，是安全控制和保護(hù)級別最高的區(qū)域。包括中國移動(dòng)信息化系統(tǒng)重要的應(yīng)用服務(wù)器、數(shù)據(jù)庫服務(wù)器、管理控制臺和服務(wù)器。78Pre

53、sentation Title | Confidential | Document ID 企業(yè)信息化一級安全域的安全措施公共區(qū)半安全區(qū)安全區(qū)核心安全區(qū)外部防火墻防毒網(wǎng)關(guān)代理服務(wù)外部域名防毒服務(wù)器流量監(jiān)控文件服務(wù)加密服務(wù)訪問控制系統(tǒng)管理入侵檢測日志服務(wù)外界訪問互聯(lián)網(wǎng)撥號專線外邊界內(nèi)邊界核心邊界79Presentation Title | Confidential | Document ID 二級安全域的劃分應(yīng)用系統(tǒng)分類全國互訪應(yīng)用：如e-learning系統(tǒng)，從全集團(tuán)的角度向所有中國移動(dòng)員工提供服務(wù)。其用戶是集團(tuán)總部和各省公司信息化系統(tǒng)內(nèi)部員工，從內(nèi)部安全區(qū)或外部半安全區(qū)發(fā)起訪問。局部應(yīng)用：如OA系統(tǒng)，主要是集團(tuán)總部和各省公司信息化系統(tǒng)為各自的內(nèi)部員工提供服務(wù)，其用戶訪問來自各自安全區(qū)內(nèi)的日常辦公區(qū)，服務(wù)器放置在各自核心安全區(qū)內(nèi)的服務(wù)器區(qū)。如果有互訪要求，可以通過各自集團(tuán)省公司互聯(lián)區(qū)內(nèi)的公文網(wǎng)關(guān)進(jìn)行數(shù)據(jù)傳輸。對外應(yīng)用：如電子采購系統(tǒng)，用戶是中國移動(dòng)的供應(yīng)商，信息化系統(tǒng)內(nèi)部只有發(fā)布、更新和維護(hù)工