IBM信息系統(tǒng)安全設(shè)計(jì)方案

中國移動企業(yè)信息化系統(tǒng)

安全加固方案設(shè)計(jì)軟課題報(bào)告2004/12IBM安全項(xiàng)目組日程安排課題背景介紹企業(yè)信息化系統(tǒng)信息安全體系安全加固方案及實(shí)施計(jì)劃防病毒安全規(guī)范數(shù)據(jù)庫安全規(guī)范防火墻安全規(guī)范企業(yè)信息化系統(tǒng)安全域規(guī)范問答2PresentationTitle|Confidential|DocumentID課題背景介紹研究內(nèi)容中國移動集團(tuán)公司信息系統(tǒng)安全加固方案及實(shí)施計(jì)劃

安全加固方案是整個(gè)軟課題的入口，是總部信息辦和各省公司信息辦對其所負(fù)責(zé)的平臺（統(tǒng)一信息平臺、OA等）的安全指南。安全規(guī)范

與具體平臺無關(guān)的指導(dǎo)性的安全要求，作為各個(gè)平臺安全操作手冊制定時(shí)的安全依據(jù)。安全域劃分防病毒系統(tǒng)管理與配置網(wǎng)絡(luò)設(shè)備安全數(shù)據(jù)庫安全規(guī)范防火墻安全規(guī)范中國移動安全操作過程手冊（安全配置手冊）

根據(jù)信息系統(tǒng)安全操作規(guī)范，結(jié)合中國移動具體網(wǎng)絡(luò)及應(yīng)用環(huán)境和設(shè)備，在現(xiàn)有安全策略和規(guī)范中的相關(guān)部分上進(jìn)行深化和細(xì)化，詳細(xì)制定每個(gè)具體設(shè)備具體流程的操作規(guī)范，形成具有很強(qiáng)操作性的安全操作過程手冊。操作系統(tǒng)安全配置手冊(SUNSOLARIS/IBMAIX/HPUX/WIN2000)數(shù)據(jù)庫安全配置手冊（Oracle/DB2/SqlServer/Domino/Exchange）門戶系統(tǒng)安全配置手冊(WebSpherePortal/BEAWebLogic/SunOnePortal/OracleASPortal/MSSharePoint)網(wǎng)絡(luò)安全配置手冊（DNS,FTP,防病毒，VPN，防火墻，交換機(jī)，路由器）4PresentationTitle|Confidential|DocumentID研究成果（1）本軟課題，共有31個(gè)提交件《中國移動企業(yè)信息化系統(tǒng)安全加固方案及實(shí)施計(jì)劃》規(guī)范（與具體產(chǎn)品平臺無關(guān)）《中國移動企業(yè)信息化系統(tǒng)安全域規(guī)范》《中國移動防病毒安全規(guī)范》《中國移動網(wǎng)絡(luò)設(shè)備安全規(guī)范》《中國移動防火墻安全規(guī)范》《中國移動數(shù)據(jù)庫安全規(guī)范》產(chǎn)品操作手冊（見下頁）5PresentationTitle|Confidential|DocumentID研究成果（2）通用應(yīng)用系統(tǒng)《中國移動WEB服務(wù)器安全配置手冊》

（包括通用，IIS,Apache)《中國移動DNS服務(wù)器安全配置手冊》

（包括通用，windowsDNS,UnixBind)《中國移動FTP服務(wù)器安全配置手冊》

（包括通用，IIS,WU-ftp)《中國移動電子郵件安全配置手冊》

（包括通用，Domino,Exchange)操作系統(tǒng)《中國移動操作系統(tǒng)安全配置手冊》

（包括通用，Solaris,win2000,HPUX,AIX)數(shù)據(jù)庫《中國移動Oracle安全配置手冊》《中國移動DB2安全配置手冊》《中國移動Domino安全配置手冊》《中國移動SQLServer安全配置手冊》門戶《中國移動WebspherePortal安全配置手冊》《中國移動BEAWeblogic安全配置手冊》《中國移動SUNOnePortal安全配置手冊》《中國移動OracleASPortal安全配置手冊》《中國移動MSSharepoint安全配置手冊》VPN《中國移動CheckPointVPN安全配置手冊》《中國移動NortelVPN安全配置手冊》《中國移動IBMVPN安全配置手冊》路由器，交換機(jī)《中國移動華為路由器交換機(jī)安全配置手冊》《中國移動CISCO路由器交換機(jī)安全配置手冊》防火墻《中國移動CISCOPIX防火墻安全配置手冊》《中國移動Netscreen防火墻安全配置手冊》《中國移動CheckPoint防火墻安全配置手冊》防病毒《中國移動Symantec防病毒安全配置手冊》《中國移動趨勢防病毒安全配置手冊》《中國移動瑞星防病毒安全配置手冊》6PresentationTitle|Confidential|DocumentID研究方式本課題的研究方式分為兩類《安全加固方案和實(shí)施計(jì)劃》以及與平臺無關(guān)的5個(gè)安全規(guī)范IBM負(fù)責(zé)編寫中國移動提供相關(guān)信息，并負(fù)責(zé)審查和提供修改建議25個(gè)與平臺相關(guān)的安全操作手冊中國移動負(fù)責(zé)編寫IBM提供模板，并負(fù)責(zé)審核和提供修改建議IBM負(fù)責(zé)手冊中通用部分的撰寫IBM負(fù)責(zé)文檔的整合感謝相關(guān)各省移動對本課題的大力支持。7PresentationTitle|Confidential|DocumentID企業(yè)信息化系統(tǒng)信息安全體系中國移動企業(yè)信息化系統(tǒng)安全體系9PresentationTitle|Confidential|DocumentID企業(yè)信息化系統(tǒng)安全體系的三層結(jié)構(gòu)10PresentationTitle|Confidential|DocumentID第一層層：安安全策策略第第二二層：：安全全規(guī)范范和標(biāo)標(biāo)準(zhǔn)安全策策略安全規(guī)規(guī)范和和標(biāo)準(zhǔn)準(zhǔn)11PresentationTitle|Confidential|DocumentID安全操操作手手冊、、流程程、細(xì)細(xì)則第三層層：安安全操操作手手冊、、流程程、細(xì)細(xì)則12PresentationTitle|Confidential|DocumentID信息化化系統(tǒng)統(tǒng)安安全加加固方方案及及實(shí)施施計(jì)劃劃加固方方案和和實(shí)施施計(jì)劃劃分為為三個(gè)個(gè)部分分安全管管理層層面：：第一部部分安安全全體系系完善善計(jì)劃劃針針對信信息化化安全全體系系的整整體架架構(gòu)，，分析析目前前在策策略、、規(guī)范范、標(biāo)標(biāo)準(zhǔn)方方面缺缺失的的部分分，制制定標(biāo)標(biāo)準(zhǔn)體體系規(guī)規(guī)范完完善計(jì)計(jì)劃第二部部分安安全全體系系部署署/實(shí)施計(jì)計(jì)劃給給出出各省省市部部署和和實(shí)施施該安安全體體系的的建議議，該該部分分是指指導(dǎo)性性的，，概括括性的的，各各省公公司應(yīng)應(yīng)該根根據(jù)此此加固固方案案和實(shí)實(shí)施計(jì)計(jì)劃制制定自自己的的詳細(xì)細(xì)的、、切實(shí)實(shí)可行行的實(shí)實(shí)施計(jì)計(jì)劃。。安全技技術(shù)層層面：：第三部部分總總部部安全全技術(shù)術(shù)體系系加固固方案案和建建設(shè)計(jì)計(jì)劃根根據(jù)據(jù)集團(tuán)團(tuán)總部部信息息化系系統(tǒng)目目前所所采用用的安安全技技術(shù)現(xiàn)現(xiàn)狀，，結(jié)合合安全全體系系的具具體要要求，，制定定安全全技術(shù)術(shù)體系系建設(shè)設(shè)計(jì)劃劃。14PresentationTitle|Confidential|DocumentID安全體體系完完善計(jì)計(jì)劃(1)通過分分析中中國移移動企企業(yè)信信息化化系統(tǒng)統(tǒng)安全全體系系結(jié)構(gòu)構(gòu)，發(fā)發(fā)現(xiàn)目目前在在第二二層規(guī)規(guī)范/標(biāo)準(zhǔn)準(zhǔn)這一一層的的第二二個(gè)子子層具具體規(guī)規(guī)范這這一層層的建建設(shè)還還比較較缺乏乏。下下圖所所列的的規(guī)范范，除除了紅紅色部部分外外，其其它規(guī)規(guī)范還還不存存在。。雖然然在規(guī)規(guī)范總總則中中對這這些規(guī)規(guī)范進(jìn)進(jìn)行了了簡單單的說說明，，但是是還不不夠全全面和和深入入，對對于實(shí)實(shí)際操操作還還是缺缺乏明明確的的依據(jù)據(jù)。針對對以以上上分分析析，，建建議議信信息息化化辦辦公公室室在在下下一一階階段段將將體體系系建建設(shè)設(shè)的的重重點(diǎn)點(diǎn)放放在在安安全全規(guī)規(guī)范范建建設(shè)設(shè)上上，，逐逐步步完完善善體體系系中中所所提提到到的的安安全全規(guī)規(guī)范范。。15PresentationTitle|Confidential|DocumentID安全全體體系系完完善善計(jì)計(jì)劃劃（（2））在待待建建設(shè)設(shè)規(guī)規(guī)范范中中，，有有些些規(guī)規(guī)范范之之間間是是存存在在一一定定的的關(guān)關(guān)聯(lián)聯(lián)的的，，我我們們建建議議在在建建設(shè)設(shè)時(shí)時(shí)能能夠夠同同時(shí)時(shí)予予以以考考慮慮和和建建設(shè)設(shè)。。風(fēng)險(xiǎn)險(xiǎn)管管理理規(guī)規(guī)范范和和信信息息資資產(chǎn)產(chǎn)管管理理規(guī)規(guī)范范數(shù)據(jù)據(jù)備備份份和和恢恢復(fù)復(fù)和和介介質(zhì)質(zhì)安安全全管管理理規(guī)規(guī)范范和和業(yè)業(yè)務(wù)務(wù)連連續(xù)續(xù)性性計(jì)計(jì)劃劃規(guī)規(guī)范范系統(tǒng)統(tǒng)安安全全自自測測規(guī)規(guī)范范和和安安全全許許可可證證制制度度和和內(nèi)內(nèi)部部安安全全審審計(jì)計(jì)規(guī)規(guī)范范人力力資資源源安安全全管管理理和和個(gè)個(gè)人人安安全全守守則則和和用用戶戶管管理理規(guī)規(guī)范范和和遠(yuǎn)遠(yuǎn)程程訪訪問問安安全全規(guī)規(guī)范范安全全事事件件檢檢測測和和響響應(yīng)應(yīng)規(guī)規(guī)范范和和系系統(tǒng)統(tǒng)日日志志規(guī)規(guī)范范其它它的的規(guī)規(guī)范范可可以以酌酌情情和和以以上上規(guī)規(guī)范范整整合合在在一一起起考考慮慮。。系統(tǒng)統(tǒng)生生命命周周期期安安全全管管理理安全全加加密密文檔檔管管理理規(guī)規(guī)范范補(bǔ)丁丁管管理理規(guī)規(guī)范范物理理安安全全規(guī)規(guī)范范16PresentationTitle|Confidential|DocumentID安全全體體系系完完善善計(jì)計(jì)劃劃（（3））針對對待待建建的的19個(gè)安安全全規(guī)規(guī)范范，，針針對對每每個(gè)個(gè)具具體體的的規(guī)規(guī)范范定定義義了了該該規(guī)規(guī)范范建建設(shè)設(shè)的的目目標(biāo)標(biāo)以以及及該該規(guī)規(guī)范范中中應(yīng)應(yīng)該該包包含含的的內(nèi)內(nèi)容容概概要要例如如：：信信息息資資產(chǎn)產(chǎn)管管理理規(guī)規(guī)范范目標(biāo)標(biāo)對于于企企業(yè)業(yè)信信息息化化系系統(tǒng)統(tǒng)安安全全管管理理來來說說，，如如果果沒沒有有一一份份完完整整的的能能夠夠說說明明我我們們所所擁擁有有的的信信息息資資產(chǎn)產(chǎn)情情況況的的清清單單，，就就沒沒有有辦辦法法評評估估資資產(chǎn)產(chǎn)的的價(jià)價(jià)值值、、應(yīng)應(yīng)該該采采取取的的保保護(hù)護(hù)措措施施、、應(yīng)應(yīng)該該投投入入的的資資源源情情況況等等，，也也就就無無法法開開展展有有意意義義的的企企業(yè)業(yè)信信息息化化系系統(tǒng)統(tǒng)安安全全工工作作。。所所以以，，中中國國移移動動要要求求所所有有部部門門/分公公司司必必須須維維護(hù)護(hù)一一份份完完整整、、詳詳細(xì)細(xì)的的企企業(yè)業(yè)信信息息化化系系統(tǒng)統(tǒng)資資產(chǎn)產(chǎn)清清單單，，以以便便于于跟跟蹤蹤企企業(yè)業(yè)信信息息化化系系統(tǒng)統(tǒng)安安全全狀狀態(tài)態(tài)。。內(nèi)容容定義義信信息息資資產(chǎn)產(chǎn)分分類類標(biāo)標(biāo)準(zhǔn)準(zhǔn)定義義信信息息分分級級保保護(hù)護(hù)標(biāo)標(biāo)準(zhǔn)準(zhǔn)設(shè)計(jì)計(jì)信信息息資資產(chǎn)產(chǎn)識識別別方方法法定義義識識別別和和登登記記信信息息資資產(chǎn)產(chǎn)的的流流程程定義義信信息息資資產(chǎn)產(chǎn)登登記記表表模模版版定義義信信息息資資產(chǎn)產(chǎn)清清單單維維護(hù)護(hù)方方法法17PresentationTitle|Confidential|DocumentID安全全體體系系部部署署/實(shí)施施計(jì)計(jì)劃劃（（1）信信息息安安全全體體系系建建設(shè)設(shè)的的生生命命周周期期18PresentationTitle|Confidential|DocumentID安全全體體系系部部署署/實(shí)施施計(jì)計(jì)劃劃（（2）企企業(yè)業(yè)信信息息化化系系統(tǒng)統(tǒng)安安全全建建設(shè)設(shè)步步驟驟如下下圖圖所所示示，，建建議議企企業(yè)業(yè)信信息息化化系系統(tǒng)統(tǒng)安安全全建建設(shè)設(shè)分分為為以以下下三三個(gè)個(gè)步步驟驟，，首首先先是是在在集集團(tuán)團(tuán)公公司司一一級級進(jìn)進(jìn)行行總總體體體體系系部部署署的的規(guī)規(guī)劃劃，，然然后后進(jìn)進(jìn)行行試試點(diǎn)點(diǎn)，，試試點(diǎn)點(diǎn)成成功功后后進(jìn)進(jìn)行行推推廣廣。。而而在在每每一一個(gè)個(gè)步步驟驟中中的的建建設(shè)設(shè)都都應(yīng)應(yīng)遵遵守守安安全全體體系系建建設(shè)設(shè)的的PDCA模模型型，，確確保保中中國國移移動動的的安安全全體體系系能能夠夠不不斷斷地地自自我我發(fā)發(fā)展展，，循循環(huán)環(huán)上上升升。。總部信息化辦公室試點(diǎn)省公司3省公司4省公司1其它省公司推廣省公司2項(xiàng)目2項(xiàng)目1項(xiàng)目3項(xiàng)目319PresentationTitle|Confidential|DocumentID總部安全全技術(shù)體體系加固固方案和和建設(shè)計(jì)計(jì)劃主主要安全全產(chǎn)品和和技術(shù)分分類20PresentationTitle|Confidential|DocumentID總部安全全技術(shù)體體系加固固方案和和建設(shè)計(jì)計(jì)劃總總部信息息化系統(tǒng)統(tǒng)安全體體系改進(jìn)進(jìn)建議21PresentationTitle|Confidential|DocumentID安全總控控中心集中地檢檢測、分分析、關(guān)關(guān)連、報(bào)報(bào)告、處處理安全全入侵和和違規(guī)事事件集中存儲儲安全事事件數(shù)據(jù)據(jù)和風(fēng)險(xiǎn)險(xiǎn)信息增加整個(gè)個(gè)組織信信息安全全管理的的效率及及經(jīng)濟(jì)性性支持企業(yè)信息息安全決決策機(jī)制制及風(fēng)險(xiǎn)險(xiǎn)評估為企業(yè)信信息安全全管理量量化提供供必要基基礎(chǔ)設(shè)施施入侵檢測機(jī)制安全事件管理安全指導(dǎo)中心安全風(fēng)險(xiǎn)評估安全弱點(diǎn)掃描病毒防護(hù)處理安全總控中心(SOC)病毒入侵防火墻／防病毒網(wǎng)關(guān)管理拒絕服務(wù)攻擊入侵檢測非法系統(tǒng)訪問系統(tǒng)管理應(yīng)用安全弱點(diǎn)應(yīng)用管理風(fēng)險(xiǎn)管理平臺安全事件關(guān)聯(lián)機(jī)制安全事件響應(yīng)機(jī)制22PresentationTitle|Confidential|DocumentID網(wǎng)絡(luò)安全全審計(jì)系系統(tǒng)網(wǎng)絡(luò)安全全審計(jì)系系統(tǒng)主要要用于監(jiān)監(jiān)視并記記錄網(wǎng)絡(luò)絡(luò)中的各各類操作作，實(shí)時(shí)時(shí)地綜合合分析網(wǎng)網(wǎng)絡(luò)和系系統(tǒng)中發(fā)發(fā)生的安安全事件件，包括括各種外外部事件件(如外部入入侵行為為)和內(nèi)部事事件(如內(nèi)部人人員的文文件拷貝貝、信息息獲取、、信息發(fā)發(fā)布、資資源變遷遷等)，并根據(jù)據(jù)設(shè)置的的安全規(guī)規(guī)則，智智能地判判斷出違違規(guī)行為為，并對對違規(guī)行行為進(jìn)行行記錄、、報(bào)警和和阻斷。。主要功能能對網(wǎng)絡(luò)中中典型的的應(yīng)用如如TELNET、HTTP、FTP、SMTP、POP3等進(jìn)行全全面審計(jì)計(jì)，提供供詳細(xì)信信息。按按照需要要，跟蹤蹤并記錄錄指定客客戶的網(wǎng)網(wǎng)絡(luò)操作作，真實(shí)實(shí)地再現(xiàn)現(xiàn)用戶操操作的過過程，還還原該操操作。也也可以還還原電子子郵件、、網(wǎng)頁訪訪問操作作等。網(wǎng)絡(luò)數(shù)據(jù)據(jù)流量監(jiān)監(jiān)測功能能，包括括實(shí)時(shí)流流量監(jiān)測測和歷史史流量記記錄，用用戶可以以使用該該功能發(fā)發(fā)現(xiàn)一些些網(wǎng)絡(luò)異異?，F(xiàn)象象，尤其其是當(dāng)網(wǎng)網(wǎng)絡(luò)中有有拒絕服服務(wù)攻擊擊（DoS）行為時(shí)時(shí)可以及及時(shí)發(fā)現(xiàn)現(xiàn)并采取取措施。。流量監(jiān)監(jiān)測功能能可以自自動定時(shí)時(shí)記錄用用戶所指指定的主主機(jī)和端端口的流流量。通通過查詢詢所記錄錄的主機(jī)機(jī)和端口口的歷史史流量，，系統(tǒng)可可以繪制制流量曲曲線圖，，生成統(tǒng)統(tǒng)計(jì)報(bào)表表?！?3PresentationTitle|Confidential|DocumentID主機(jī)入侵侵檢測系系統(tǒng)在目前的的中國移移動網(wǎng)絡(luò)絡(luò)結(jié)構(gòu)中中使用了了實(shí)時(shí)監(jiān)監(jiān)視系統(tǒng)統(tǒng)，在InternalZone,AdminZone,和和InterconnectionZone部部署了ISS入入侵檢測測軟件。。由于內(nèi)部部網(wǎng)采用用的各種種操作系系統(tǒng)可能能會帶來來安全問問題，如如運(yùn)行各各種UNIX的的操作系系統(tǒng)。包包括操作作系統(tǒng)本本身的配配置不安安全和可可能駐留留在操作作系統(tǒng)內(nèi)內(nèi)部的黑黑客程序序等帶來來的威脅脅。因此此，可建建立主機(jī)機(jī)IDS以進(jìn)一一步防止止黑客的的威脅。。24PresentationTitle|Confidential|DocumentID安全掃描描、安全全政策檢檢查安全是需需要隨時(shí)時(shí)注意及及改善的的，故系系統(tǒng)管理理人員需需隨時(shí)了了解網(wǎng)絡(luò)絡(luò)和系統(tǒng)統(tǒng)安全狀狀況，因因此中國國移動需需要一套套系統(tǒng)弱弱點(diǎn)掃描描的工具具，能夠夠協(xié)助系系統(tǒng)管理理人員找找出重要要服務(wù)器器上可能能具有的的安全漏漏洞，以以便及早早修補(bǔ)。。網(wǎng)絡(luò)漏洞洞掃描系系統(tǒng)數(shù)據(jù)庫風(fēng)風(fēng)險(xiǎn)評估估和安全全政策審審計(jì)系統(tǒng)統(tǒng)系統(tǒng)風(fēng)險(xiǎn)險(xiǎn)評估和和安全政政策審計(jì)計(jì)系統(tǒng)25PresentationTitle|Confidential|DocumentID業(yè)務(wù)連續(xù)性性計(jì)劃/災(zāi)災(zāi)難恢復(fù)計(jì)計(jì)劃現(xiàn)在社會中中，業(yè)務(wù)的的連續(xù)性對對一個(gè)企業(yè)業(yè)越來越重重要，在企企業(yè)中已不不是IT一個(gè)部門的的問題，而而是整個(gè)企企業(yè)生死相相關(guān)的問題題。通過對對實(shí)際情況況(包括核心業(yè)業(yè)務(wù)，業(yè)務(wù)務(wù)中斷的損損失，可容容忍任務(wù)中中斷的時(shí)間間)進(jìn)行分析，，建設(shè)一套套切合實(shí)際際的，投資資合理的，，內(nèi)容可靠靠的業(yè)務(wù)連連續(xù)性及容容災(zāi)備份方方案。如右圖所示示，容災(zāi)備備援方案包包括一個(gè)相相互關(guān)連的的流程，具具體包括風(fēng)風(fēng)險(xiǎn)管理、、業(yè)務(wù)沖擊擊分析、恢恢復(fù)能力分分析、容災(zāi)災(zāi)策略制定定、容災(zāi)技技術(shù)方案的的制定和實(shí)實(shí)施、企業(yè)業(yè)業(yè)務(wù)連續(xù)續(xù)性計(jì)劃的的制定和企企業(yè)容災(zāi)方方案的管理理。26PresentationTitle|Confidential|DocumentID網(wǎng)絡(luò)安全體體系建設(shè)根據(jù)業(yè)務(wù)上上或管理上上以及《企業(yè)信息化化安全域規(guī)規(guī)范》的各種安全全相關(guān)需求求，對現(xiàn)有有的網(wǎng)絡(luò)系系統(tǒng)通過各各種網(wǎng)絡(luò)安安全防范的的技術(shù)手段段和管理規(guī)規(guī)范進(jìn)行一一系列的安安全改造，，從而將網(wǎng)網(wǎng)絡(luò)上存在在的安全風(fēng)風(fēng)險(xiǎn)和安全全隱患降至至最低。本項(xiàng)目的范范圍包括了了所有與網(wǎng)網(wǎng)絡(luò)系統(tǒng)相相關(guān)的運(yùn)作作安全考慮慮。包括了了內(nèi)部局域網(wǎng)網(wǎng)安全建設(shè)設(shè)和改造和第三方合合作伙伴的的網(wǎng)絡(luò)連接接安全建設(shè)設(shè)和改造Internet連接安全規(guī)規(guī)范用戶遠(yuǎn)程網(wǎng)網(wǎng)絡(luò)接入連連接相關(guān)的的安全方面面的考慮27PresentationTitle|Confidential|DocumentID各信息系統(tǒng)統(tǒng)的統(tǒng)一單單點(diǎn)登錄統(tǒng)一認(rèn)證和和授權(quán)系統(tǒng)統(tǒng)由以下四四個(gè)部分組組成：目錄服務(wù)：：存儲多種種不同來源源的用戶/資源信息。。包括：存儲子模塊塊：即目錄錄服務(wù)模塊塊同步子模塊塊：即元目目錄，或動動態(tài)用戶管管理（UserProvisioning）模塊身份管理：：管理用戶戶身份信息息，并提供供自動工作作流程和自自服務(wù)、分分權(quán)管理功功能。認(rèn)證管理：：認(rèn)證方式式可以分為為以下四類類：所知（Somethingyouknow）所持（Somethingyouhave）所具有（Somethingyouare）和所為（（Somethingyoudo）訪問管理：：進(jìn)行訪問問規(guī)則定義義，并進(jìn)行行訪問規(guī)則則的中心控控制，實(shí)現(xiàn)現(xiàn)SSO。28PresentationTitle|Confidential|DocumentID個(gè)人及桌面面安全管理理通過對用戶戶桌面電腦腦使用的操操作系統(tǒng)和和其他相關(guān)關(guān)安全系統(tǒng)統(tǒng)平臺進(jìn)行行安全定制制，對員工工使用的桌桌面系統(tǒng)進(jìn)進(jìn)行統(tǒng)一，，并對用戶戶日常使用用過程中應(yīng)應(yīng)當(dāng)注意的的安全問題題加以明確確的規(guī)定，，從而確保保了對桌面面系統(tǒng)的安安全管理。。該項(xiàng)目的范范圍包括統(tǒng)一主流的的桌面操作作系統(tǒng)平臺臺和其他相相關(guān)安全系系統(tǒng)平臺、、定制其安安全策略統(tǒng)一制定用用戶桌面系系統(tǒng)使用安安全操作手手冊建立桌面電電腦補(bǔ)丁的的自動分發(fā)發(fā)機(jī)制29PresentationTitle|Confidential|DocumentID員工安全意意識普及教教育安全意識培培養(yǎng)機(jī)制目目的Why?確保所有員員工都理解解企業(yè)所面面臨的風(fēng)險(xiǎn)險(xiǎn)，What?確保所有員員工都了解解企業(yè)的安安全要求How?確保所有員員工都具有有相應(yīng)的技技能遵守安安全要求在通常情況況下，絕大大多數(shù)員工工當(dāng)他們知知道了什么么是正確的的，以及為為什么是正正確的之后后，都會自自覺地遵守守。通過提升員員工安全意意識，可以以及時(shí)發(fā)現(xiàn)現(xiàn)，避免安安全事件的的發(fā)生，降降低安全事事件的影響響，從而節(jié)節(jié)約了信息息安全成本本。中國移動需需要一套系系統(tǒng)的、有有針對性的的、層次分分明的教育育計(jì)劃來實(shí)實(shí)現(xiàn)我們的的目標(biāo)。通通過教育，，讓所有的的人了解自自己在企業(yè)業(yè)信息化系系統(tǒng)安全中中的角色(role)、責(zé)任(responsibility)和義務(wù)(liability)，以及如何何正確、安安全地使用用企業(yè)信息息化系統(tǒng)。。30PresentationTitle|Confidential|DocumentID信息安全風(fēng)風(fēng)險(xiǎn)評估信息安全風(fēng)風(fēng)險(xiǎn)評估項(xiàng)項(xiàng)目的目標(biāo)標(biāo)了解支撐中中國移動關(guān)關(guān)鍵業(yè)務(wù)運(yùn)運(yùn)作的信息息系統(tǒng)的安安全狀況評估核心信信息資產(chǎn)所所面臨的風(fēng)風(fēng)險(xiǎn)發(fā)現(xiàn)信息安安全實(shí)踐中中的薄弱環(huán)環(huán)節(jié)和改進(jìn)進(jìn)機(jī)會明確信息系系統(tǒng)的安全全需求提出信息安安全控制措措施改進(jìn)方方案。信息安全風(fēng)風(fēng)險(xiǎn)評估項(xiàng)項(xiàng)目的主要要收益包括括明確核心信信息資產(chǎn)面面臨的主要要風(fēng)險(xiǎn)平衡信息安安全風(fēng)險(xiǎn)和和投入培養(yǎng)信息安安全風(fēng)險(xiǎn)評評估隊(duì)伍31PresentationTitle|Confidential|DocumentID防病毒安全全規(guī)范病毒發(fā)展趨趨勢與企業(yè)業(yè)的病毒威威脅分析病毒發(fā)展趨趨勢病毒技術(shù)與與系統(tǒng)攻擊擊技術(shù)的結(jié)結(jié)合（蠕蠕蟲病毒、、木馬/黑客病毒））混合型病毒毒傳播方式式多變（（蠕蟲病毒毒）電子郵件病病毒感染（（腳本病病毒、蠕蟲蟲病毒、木木馬病毒））新病毒爆發(fā)發(fā)時(shí)間短危危害大（蠕蟲病毒毒、木馬病病毒、腳本本病毒等））企業(yè)的病毒毒威脅分析析惡意破壞桌桌面終端、、服務(wù)器系系統(tǒng)、網(wǎng)絡(luò)絡(luò)系統(tǒng)性能降低、、功能失效效；破壞系系統(tǒng)和數(shù)據(jù)據(jù)，造成系系統(tǒng)崩潰，，網(wǎng)絡(luò)阻塞塞盜竊桌面終終端和服務(wù)務(wù)器系統(tǒng)中中的機(jī)密信信息帳戶密碼、、信用卡資資料、機(jī)密密文件文檔服務(wù)器器、郵件服服務(wù)器成為為病毒跳板板網(wǎng)絡(luò)接口成成為重要的的病毒入侵侵途徑Web,FTP,SMTP防病毒管理理面臨壓力力職責(zé)不明確確、管理規(guī)規(guī)范不完善善、用戶防防病毒意識識不高33PresentationTitle|Confidential|DocumentID企業(yè)防病毒毒安全對策策企業(yè)防病毒毒架構(gòu)體系系建設(shè)覆蓋全面、、多層次。。涵蓋集團(tuán)公公司、各省省/直轄市、各各地市覆蓋桌面終終端、服務(wù)務(wù)器、郵件件系統(tǒng)、網(wǎng)網(wǎng)關(guān)防毒及時(shí)及時(shí)更新病病毒碼、病病毒引擎統(tǒng)一管理以集團(tuán)公司司、各省或或直轄市為為單位，由由信息化責(zé)責(zé)任部門設(shè)設(shè)立集團(tuán)公公司、省或或直轄市內(nèi)內(nèi)統(tǒng)一的防防病毒管理理中心統(tǒng)一防病毒毒策略制定定、統(tǒng)一防防病毒工作作監(jiān)控企業(yè)防病毒毒管理機(jī)制制加強(qiáng)防病毒管理理策略防病毒管理理職責(zé)定義義防病毒管理理方法和機(jī)機(jī)制34PresentationTitle|Confidential|DocumentID集團(tuán)公司防防病毒架構(gòu)構(gòu)第一層：集集中管理層層。集團(tuán)總部的的統(tǒng)一防病病毒管理中中心統(tǒng)一管管理集團(tuán)總總部的防病病毒事務(wù)，，負(fù)責(zé)集團(tuán)團(tuán)總部防病病毒架構(gòu)的的工作策略略配置的制制定和分發(fā)發(fā)。部署防防病毒服務(wù)務(wù)器，負(fù)責(zé)責(zé)對各個(gè)部部門的桌面面工作站或或文檔服務(wù)務(wù)器的防病病毒控制。。第二層：各各部門的終終端層。分布于集團(tuán)團(tuán)總部內(nèi)網(wǎng)網(wǎng)的各個(gè)節(jié)節(jié)點(diǎn)，數(shù)量量眾多，通通過防病毒毒軟件進(jìn)行行病毒監(jiān)視視和防護(hù)。。邊界層：網(wǎng)網(wǎng)關(guān)防病毒毒。這個(gè)層次分分布于集團(tuán)團(tuán)網(wǎng)絡(luò)出入入接口，在在這些外部部網(wǎng)絡(luò)接入入點(diǎn)部署郵郵件防病毒毒過濾服務(wù)務(wù)器、Web防病毒過濾濾服務(wù)器、、FTP防病毒過濾濾服務(wù)器。。這些邊界界防病毒過過濾服務(wù)器器接受集團(tuán)團(tuán)總部防病病毒管理中中心的統(tǒng)一一管理。35PresentationTitle|Confidential|DocumentID省/直轄市市防病毒架架構(gòu)第一層：集集中管理層層。成立統(tǒng)一防防病毒管理理中心。這這個(gè)層次通通過中央控控制臺統(tǒng)一一管理企業(yè)業(yè)的防病毒毒事務(wù)，負(fù)負(fù)責(zé)省防病病毒架構(gòu)的的工作策略略配置的制制定和分發(fā)發(fā)。第二層：分分布層。部署二層防防病毒服務(wù)務(wù)器。這個(gè)個(gè)層次具有有多個(gè)分布布在不同地地市部門的的防病毒服服務(wù)器，負(fù)負(fù)責(zé)局域網(wǎng)網(wǎng)內(nèi)桌面工工作站或者者文檔服務(wù)務(wù)器的防病病毒控制。。防病毒服服務(wù)器接受受第一層的的防病毒管管理中心的的統(tǒng)一管理理控制。第三層：終終端層。這個(gè)層次分分布于網(wǎng)絡(luò)絡(luò)的各個(gè)節(jié)節(jié)點(diǎn)，數(shù)量量眾多，通通過防病毒毒軟件進(jìn)行行病毒監(jiān)視視和防護(hù)。。桌面工作作站和文檔檔服務(wù)器接接受二層防防病毒服務(wù)務(wù)器的直接接管理。邊界層：網(wǎng)關(guān)防病毒毒。這個(gè)層層次分布于于網(wǎng)絡(luò)出入入接口，在在這些外部部網(wǎng)絡(luò)接入入點(diǎn)部署郵郵件防病毒毒過濾服務(wù)務(wù)器、Web防病毒過濾濾服務(wù)器、、FTP防病毒過濾濾服務(wù)器。。這些邊界界防病毒過過濾服務(wù)器器接受省/直轄市中心心的統(tǒng)一管管理。36PresentationTitle|Confidential|DocumentID防病毒工具具功能要求求中心防病毒控制臺與管理服務(wù)器實(shí)現(xiàn)統(tǒng)一集中的管理，如防病毒軟件的安裝、維護(hù)、病毒定義碼和掃描引擎的更新升級、網(wǎng)絡(luò)防病毒策略的配置、報(bào)警的集中管理、定時(shí)調(diào)度、隔離、實(shí)時(shí)掃描和監(jiān)控等。支持跨越廣域網(wǎng)管理、分級管理、和分組管理。防病毒客戶端防病毒客戶端提供集成化的安全功能，將客戶端病毒防護(hù)、防火墻、入侵檢測集成于一體。防病毒功能方面支持文件系統(tǒng)實(shí)時(shí)防護(hù)、病毒掃描、軟件更新、集中管理控制。郵件防病毒（集成于郵件服務(wù)器的防病毒工具，郵件防病毒網(wǎng)關(guān)）病毒掃描與過濾，對郵件中的病毒文件掃描和過濾，保持病毒碼和掃描引擎的更新，支持對多種壓縮格式的文件進(jìn)行解壓掃描。內(nèi)容過濾，采用預(yù)定義的字詞列表，檢查主題、內(nèi)容和附件等方法內(nèi)容過濾阻擋垃圾郵件；使用黑名單、白名單等工具管理郵件的收發(fā)。Web與FTP防病毒網(wǎng)關(guān)防病毒網(wǎng)關(guān)支持HTTP，HTTPS，F(xiàn)TP等協(xié)議，對所有通過防火墻的HTTP通信和FTP通信進(jìn)行病毒檢測掃描從而保護(hù)您的網(wǎng)絡(luò)免受病毒攻擊；也能夠使用內(nèi)容過濾方法（類別列表和數(shù)據(jù)字典）提供有效的Web內(nèi)容過濾。37PresentationTitle|Confidential|DocumentID防病毒運(yùn)維維組織架構(gòu)構(gòu)省/直轄市公司司建立防病病毒管理中中心主要負(fù)責(zé)防防病毒系統(tǒng)統(tǒng)的整體規(guī)規(guī)劃、落實(shí)實(shí)防病毒系系統(tǒng)的具體體制度、落落實(shí)防病毒毒管理員的的工作職責(zé)責(zé)等工作。。省/直轄市公司司、各地市市公司可以以參照運(yùn)維維組織架構(gòu)構(gòu)設(shè)立相應(yīng)應(yīng)的防病毒毒機(jī)構(gòu)。省/直轄市公司司、各地市市公司要設(shè)設(shè)立防病毒毒日常維護(hù)護(hù)小組負(fù)責(zé)防病毒毒系統(tǒng)的日日常維護(hù)。。省/直轄市公司司日常維護(hù)護(hù)小組的成成員必須是是專職的，，地市公司司原則上也也要有專職職的防病毒毒日常維護(hù)護(hù)人員，也也可以根據(jù)據(jù)網(wǎng)絡(luò)及防防病毒系統(tǒng)統(tǒng)實(shí)際狀況況由系統(tǒng)管管理員兼職職。系統(tǒng)管管理員也作作為網(wǎng)絡(luò)防防病毒日常常維護(hù)的一一部分，與與防病毒日日常維護(hù)小小組相互協(xié)協(xié)調(diào)工作。。防病毒應(yīng)急急響應(yīng)小組組由省/直轄市公司司防病毒日日常維護(hù)人人員和安全全服務(wù)提供供商以及防防病毒廠商商技術(shù)人員員組成，組組成人員可可以兼職。。省/直轄市公司司應(yīng)急響應(yīng)應(yīng)系統(tǒng)主要要負(fù)責(zé)解決決由于病毒毒造成網(wǎng)絡(luò)絡(luò)阻塞等重重大問題和和事件。38PresentationTitle|Confidential|DocumentID防病毒管理理策略要點(diǎn)點(diǎn)這些防病毒毒策略要求求用于指導(dǎo)導(dǎo)建立可靠靠有效的防防病毒機(jī)制制，指引安安全管理組組織和病毒毒處理小組組才能夠有有效地減輕輕病毒的對對公司的潛潛在威脅。。信息資產(chǎn)分分類與控制制信息資產(chǎn)負(fù)負(fù)責(zé)人的防防病毒責(zé)任任信息資產(chǎn)分分類防病毒毒控制人員安全防病毒安全全培訓(xùn)安全時(shí)間和和故障響應(yīng)應(yīng)系統(tǒng)維護(hù)管管理落實(shí)防病毒毒管理流程程：文檔維維護(hù)、工具具變更、緊緊急時(shí)間響響應(yīng)等防止惡意軟軟件：病毒毒掃描和文文件數(shù)據(jù)交交換控制遠(yuǎn)程辦公移動電腦遵守防病毒毒法律規(guī)定定39PresentationTitle|Confidential|DocumentID防病毒管理理職責(zé)定義義集團(tuán)公司防防病毒管理理職能集團(tuán)公司在在防病毒架架構(gòu)體系建建設(shè)中起到到規(guī)范標(biāo)準(zhǔn)準(zhǔn)化、建設(shè)設(shè)指導(dǎo)和監(jiān)監(jiān)督者的作作用。制定中移動動統(tǒng)一的防防病毒架構(gòu)構(gòu)體系建設(shè)設(shè)規(guī)范，為為各省/直轄市的防防病毒架構(gòu)構(gòu)建設(shè)和改改進(jìn)提供了了規(guī)范性的的指導(dǎo)建議議；制定中移動動防病毒的的管理制度度和管理機(jī)機(jī)制規(guī)范，，指導(dǎo)和規(guī)規(guī)范各省/直轄市的防防病毒管理理工作；監(jiān)督各省/直轄市的防病病毒工作，定定期以安全審審計(jì)檢查的方方式監(jiān)督下屬屬公司工作是是否到位。省/直轄市公司防防病毒管理職職能制定防病毒有有關(guān)具體管理理制度和操作作規(guī)程細(xì)則；；部署病毒防護(hù)護(hù)策略和病毒毒解決方案；；協(xié)調(diào)和分配各各地分公司防防病毒任務(wù)和和職責(zé)權(quán)限；；發(fā)布計(jì)算機(jī)病病毒疫情，以以及突發(fā)病毒毒解決方案；；根據(jù)計(jì)算機(jī)病病毒疫情調(diào)整整防病毒管理理策略；貫徹落實(shí)省/直轄市公司病病毒防護(hù)策略略和病毒解決決方案；定時(shí)統(tǒng)計(jì)、分分析、匯總和和上報(bào)本公司司防病毒檢測測情況報(bào)告。。地市公司防病病毒管理職能能根據(jù)省/直轄市公司下下發(fā)的最新病病毒信息和解解決辦法處理理各種病毒問問題；負(fù)責(zé)管理轄內(nèi)內(nèi)病毒防治的的管理和日常常維護(hù)；定時(shí)統(tǒng)計(jì)、分分析、匯總和和上報(bào)本公司司防病毒檢測測情況報(bào)告。。日常運(yùn)維管理理職能由集團(tuán)團(tuán)公司、省/直轄市公司和和地方公司防防病毒相關(guān)部部門執(zhí)行和運(yùn)運(yùn)作。40PresentationTitle|Confidential|DocumentID防病毒管理機(jī)機(jī)制建設(shè)要點(diǎn)點(diǎn)防病毒管理機(jī)機(jī)制建設(shè)的主主要目標(biāo)是：：有效地管理公公司內(nèi)部病毒毒事件帶來的的風(fēng)險(xiǎn)提高公司所有有人員對在防防病毒管理過過程中相關(guān)法法規(guī)制度的理理解與遵守預(yù)防病毒潛在在的危險(xiǎn)，并并能夠處理突突發(fā)病毒事件件，保證業(yè)務(wù)務(wù)運(yùn)營連續(xù)性性防病毒文檔管管理管理文檔運(yùn)行維護(hù)文檔檔防病毒軟件管管理安裝軟件管理理軟件升級更新新管理41PresentationTitle|Confidential|DocumentID防病毒管理機(jī)機(jī)制建設(shè)要點(diǎn)點(diǎn)終端計(jì)算機(jī)用用戶防病毒條條例建立全網(wǎng)用戶戶應(yīng)該遵循以以下用戶使用用條例：未經(jīng)許可不能能卸載防病毒毒軟件，不能能更改配置。。如認(rèn)為防病毒毒軟件影響正正常使用，應(yīng)應(yīng)及時(shí)聯(lián)系管管理員進(jìn)行判判斷處理。定時(shí)檢查更新新狀態(tài)，定時(shí)時(shí)執(zhí)行掃描。。注意不要使用用未經(jīng)掃描的的軟盤啟動。。不允許訪問含含有色情、暴暴力等不健康康內(nèi)容的網(wǎng)站站不隨意從互聯(lián)聯(lián)網(wǎng)上下載軟軟件、游戲、、電影等。不運(yùn)行任何可可疑文件。對于主題名新新奇的電子郵郵件不要隨便便打開。病毒突發(fā)事件件應(yīng)急響應(yīng)機(jī)機(jī)制成員組成管理部門、技技術(shù)部門的相相關(guān)人員處理步驟和流流程確認(rèn)方案隔離清楚恢復(fù)后續(xù)檢查42PresentationTitle|Confidential|DocumentID防病毒管理機(jī)機(jī)制建設(shè)要點(diǎn)點(diǎn)防病毒預(yù)警機(jī)機(jī)制新病毒訊息公公告與處理疑似病毒信息息發(fā)布防病毒意識培培訓(xùn)防病毒知識普普及防病毒知識全全員普及內(nèi)容容病毒疫情預(yù)警警安全漏洞公告告特定病毒處理理通告病毒防治論壇壇用于計(jì)算機(jī)用用戶在線防病病毒技術(shù)交流流、討論、求求助和建議等等提供相關(guān)預(yù)防防病毒知識43PresentationTitle|Confidential|DocumentID數(shù)據(jù)庫安全規(guī)規(guī)范數(shù)據(jù)庫安全威威脅與對策數(shù)據(jù)庫主要安安全威脅數(shù)據(jù)被篡改、、竊取用戶身份被偽偽造、密碼被被盜用未經(jīng)授權(quán)對表表、列、行的的存取缺乏有效的跟跟蹤、監(jiān)控機(jī)機(jī)制數(shù)據(jù)庫安全管管理關(guān)鍵要點(diǎn)點(diǎn)管理細(xì)分和委委派原則數(shù)據(jù)庫管理員員與安全管理理員最小權(quán)限原則則本著"最小權(quán)限"原則，從需求求和工作職能能兩方面嚴(yán)格格限制對數(shù)據(jù)據(jù)庫的訪問權(quán)權(quán)帳號安全原則則密碼規(guī)則、用用戶帳號管理理有效的審計(jì)用戶行為和數(shù)數(shù)據(jù)庫活動加強(qiáng)關(guān)鍵數(shù)據(jù)據(jù)庫安全保護(hù)護(hù)數(shù)據(jù)庫備份恢恢復(fù)、數(shù)據(jù)加加密45PresentationTitle|Confidential|DocumentID數(shù)據(jù)庫基本安安全技術(shù)安全風(fēng)險(xiǎn)解決方法安全技術(shù)未驗(yàn)證用戶確認(rèn)用戶身份帳戶認(rèn)證未授權(quán)的數(shù)據(jù)存取限制數(shù)據(jù)存取訪問控制加密存儲數(shù)據(jù)存儲數(shù)據(jù)加密限制權(quán)限權(quán)限管理網(wǎng)絡(luò)數(shù)據(jù)偵聽、竊取保護(hù)網(wǎng)絡(luò)網(wǎng)絡(luò)加密數(shù)據(jù)破壞備份恢復(fù)數(shù)據(jù)庫備份賬號密碼脆弱強(qiáng)制密碼安全密碼規(guī)則缺乏跟蹤監(jiān)控用戶的行為安全審計(jì)系統(tǒng)入侵加密敏感數(shù)據(jù)存儲數(shù)據(jù)加密技術(shù)及時(shí)修補(bǔ)安全漏洞安全補(bǔ)丁46PresentationTitle|Confidential|DocumentID數(shù)據(jù)庫系統(tǒng)的的安全防護(hù)架架構(gòu)數(shù)據(jù)庫系統(tǒng)的的安全除依賴賴自身內(nèi)部的的安全機(jī)制外外，還與外部部網(wǎng)絡(luò)環(huán)境、、運(yùn)行主機(jī)環(huán)環(huán)境等因素息息息相關(guān)。從從廣義上講，，數(shù)據(jù)庫系統(tǒng)統(tǒng)的安全框架架可以劃分為為三個(gè)層次：：1.網(wǎng)絡(luò)系系統(tǒng)層次；2.操作系系統(tǒng)層次；3.數(shù)據(jù)庫庫管理系統(tǒng)層層次。47PresentationTitle|Confidential|DocumentID網(wǎng)絡(luò)系系統(tǒng)層層次安安全防防護(hù)數(shù)據(jù)庫庫的安安全首首先倚倚賴于于網(wǎng)絡(luò)絡(luò)系統(tǒng)統(tǒng)網(wǎng)絡(luò)系系統(tǒng)的的安全全是數(shù)數(shù)據(jù)庫庫安全全的第第一道道屏障障，外外部入入侵首首先就就是從從入侵侵網(wǎng)絡(luò)絡(luò)系統(tǒng)統(tǒng)開始始的針對數(shù)數(shù)據(jù)庫庫系統(tǒng)統(tǒng)的安安全風(fēng)風(fēng)險(xiǎn)，，可以以采用用以下下的網(wǎng)網(wǎng)絡(luò)系系統(tǒng)層層次安安全加加固方方法：：采用防防火墻墻系統(tǒng)統(tǒng)對數(shù)據(jù)據(jù)庫服服務(wù)器器與外外部不不受信信任網(wǎng)網(wǎng)絡(luò)進(jìn)進(jìn)行隔隔離，，屏蔽蔽外界界對數(shù)數(shù)據(jù)庫庫系統(tǒng)統(tǒng)的攻攻擊，，如SQL注入、未未授權(quán)訪訪問、密密碼攻擊擊等；采用入侵侵檢測系系統(tǒng)對數(shù)據(jù)庫庫系統(tǒng)的的攻擊進(jìn)進(jìn)行監(jiān)測測，發(fā)現(xiàn)現(xiàn)并切斷斷外部點(diǎn)點(diǎn)惡意攻攻擊，如如SQL注入、未未授權(quán)訪訪問、密密碼攻擊擊等；采用VPN技術(shù)對網(wǎng)絡(luò)傳傳輸進(jìn)行行安全加加密，保保護(hù)數(shù)據(jù)據(jù)庫訪問問的安全全，能夠夠有效抵抵御網(wǎng)絡(luò)絡(luò)竊聽的的攻擊。。48PresentationTitle|Confidential|DocumentID操作系統(tǒng)統(tǒng)層次安安全加固固數(shù)據(jù)庫系系統(tǒng)安裝裝在主機(jī)機(jī)系統(tǒng)之之上，為為了有效效的保障障數(shù)據(jù)庫庫系統(tǒng)安安全，必必須對主主機(jī)系統(tǒng)統(tǒng)平臺進(jìn)進(jìn)行規(guī)范范的安全全加固。。操作系統(tǒng)統(tǒng)用戶安安全設(shè)置置用戶組權(quán)權(quán)限設(shè)置置數(shù)據(jù)庫使使用程序序的安全全性操作系統(tǒng)統(tǒng)安全日日志設(shè)置置記錄數(shù)據(jù)據(jù)庫服務(wù)務(wù)的啟動動、關(guān)閉閉等操作作，以及及主機(jī)管管理員、、數(shù)據(jù)庫庫服務(wù)管管理員、、和應(yīng)用用開發(fā)人人員的行行為等關(guān)閉非必必要的服服務(wù)和程程序禁止止不不使使用用的的數(shù)數(shù)據(jù)據(jù)庫庫服服務(wù)務(wù)、、應(yīng)應(yīng)用用服服務(wù)務(wù)、、協(xié)協(xié)議議修補(bǔ)補(bǔ)操操作作系系統(tǒng)統(tǒng)和和更更新新包包49PresentationTitle|Confidential|DocumentID數(shù)據(jù)據(jù)庫庫管管理理系系統(tǒng)統(tǒng)層層次次安安全全加加固固（（一一））數(shù)據(jù)據(jù)庫庫安安全全策策略略要要點(diǎn)點(diǎn)系統(tǒng)統(tǒng)安安全全性性策策略略要要點(diǎn)點(diǎn)用戶戶帳帳戶戶管管理理用戶戶身身份份確確認(rèn)認(rèn)方方式式管管理理操作作系系統(tǒng)統(tǒng)安安全全要要求求數(shù)據(jù)據(jù)庫庫安安全全性性策策略略要要點(diǎn)點(diǎn)根據(jù)據(jù)具具體體的的業(yè)業(yè)務(wù)務(wù)應(yīng)應(yīng)用用要要求求設(shè)設(shè)計(jì)計(jì)數(shù)數(shù)據(jù)據(jù)對對象象訪訪問問、、數(shù)數(shù)據(jù)據(jù)加加密密用戶戶安安全全性性策策略略要要點(diǎn)點(diǎn)密碼碼安安全全、、用用戶戶角角色色分分組組、、權(quán)權(quán)限限管管理理數(shù)據(jù)據(jù)庫庫管管理理者者安安全全性性策策略略要要點(diǎn)點(diǎn)特權(quán)權(quán)用用戶戶密密碼碼保保護(hù)護(hù)特權(quán)用戶戶使用限限制應(yīng)用程序序開發(fā)者者安全策策略要點(diǎn)應(yīng)用程序序開發(fā)者者的權(quán)限限限制應(yīng)用程序序開發(fā)者者角色的的使用限限制50PresentationTitle|Confidential|DocumentID數(shù)據(jù)庫管管理系統(tǒng)統(tǒng)層次安安全加固固（二））數(shù)據(jù)庫帳帳戶安全全設(shè)置要要點(diǎn)定義數(shù)據(jù)庫系系統(tǒng)訪問帳戶戶負(fù)責(zé)人員和和業(yè)務(wù)用途，，刪除無關(guān)的的或者不再使使用的數(shù)據(jù)庫庫系統(tǒng)訪問人人員帳戶；修改數(shù)據(jù)庫管管理系統(tǒng)內(nèi)建建帳戶的初始始密碼；對數(shù)據(jù)庫帳戶戶所使用的資資源（如CPU等）進(jìn)行限制。密碼安全設(shè)置置要點(diǎn)多次注冊失敗敗帳戶鎖定過舊帳戶鎖定定防止密碼重用用密碼復(fù)雜性設(shè)設(shè)置密碼的傳輸和和存儲安全訪問權(quán)限安全全設(shè)置要點(diǎn)檢查帳戶的權(quán)權(quán)限是否與業(yè)業(yè)務(wù)使用的要要求相符，避避免帳戶獲得得超出其業(yè)務(wù)務(wù)工作必須的的權(quán)限；給予帳戶需要要的最少權(quán)限限，包括系統(tǒng)統(tǒng)權(quán)限和對象象權(quán)限；采用存儲過程程、和數(shù)據(jù)表表視圖的方式式來限制用戶戶進(jìn)行數(shù)據(jù)存存取操作。51PresentationTitle|Confidential|DocumentID數(shù)據(jù)庫管理系系統(tǒng)層次安全全加固（三））數(shù)據(jù)庫加密對數(shù)據(jù)庫中存存儲的重要數(shù)數(shù)據(jù)進(jìn)行加密密處理，以實(shí)實(shí)現(xiàn)數(shù)據(jù)存儲儲的安全保護(hù)護(hù)數(shù)據(jù)庫系統(tǒng)的的加密工具包包數(shù)據(jù)庫加密系系統(tǒng)數(shù)據(jù)庫備份與與恢復(fù)備份方法導(dǎo)出、脫機(jī)備備份和聯(lián)機(jī)備備份備份策略建議議恢復(fù)方法數(shù)據(jù)文件損壞壞、控制文件件損壞、文件件系統(tǒng)損壞、、介質(zhì)恢復(fù)日志與審計(jì)日志記錄數(shù)據(jù)據(jù)庫服務(wù)、數(shù)數(shù)據(jù)庫管理員員和用戶帳戶戶的訪問和操操作行為審計(jì)跟蹤用戶戶的活動，發(fā)發(fā)現(xiàn)安全設(shè)置置的漏洞，分分析安全事件件語句審計(jì)、特特權(quán)審計(jì)、模模式對象審計(jì)計(jì)管理員客戶端端安全數(shù)據(jù)庫安全補(bǔ)補(bǔ)丁52PresentationTitle|Confidential|DocumentID進(jìn)一步數(shù)據(jù)庫庫安全考慮細(xì)粒度訪問控控制應(yīng)用程序安全全檢查數(shù)據(jù)庫系統(tǒng)與與基于標(biāo)準(zhǔn)的的公共密鑰體體系PKI集集成關(guān)鍵數(shù)據(jù)庫系系統(tǒng)災(zāi)難備份份53PresentationTitle|Confidential|DocumentID防火墻安全規(guī)規(guī)范防火墻分類包過濾（PacketFilter）應(yīng)用層代理（（Proxy）電路層代理理（CircuitProxy）動態(tài)包過濾濾（DynamicPacketFilter）全狀態(tài)檢測測（StatefulInspection）自適應(yīng)代理理（AdaptiveProxy）深度包檢測測（DeepPacketInspection）55PresentationTitle|Confidential|DocumentID防火墻常用用技術(shù)NAT雙機(jī)熱備橋接、路由由內(nèi)容過濾帶寬管理附加功能：：攻擊保護(hù)，，聯(lián)動功能能，入侵檢檢測56PresentationTitle|Confidential|DocumentID防火墻體系系結(jié)構(gòu)屏蔽路由器器（ScreeningRouter）雙穴主機(jī)網(wǎng)網(wǎng)關(guān)（DualHomedGateway）屏蔽主機(jī)網(wǎng)網(wǎng)關(guān)（ScreenedHostGateway）屏蔽子網(wǎng)（（ScreenedSubnet）57PresentationTitle|Confidential|DocumentID包過濾防火火墻的基本本功能安全全要求未鑒別的端端到端策略略：一個(gè)內(nèi)內(nèi)部或外部部網(wǎng)絡(luò)上的的主體通過過防火墻發(fā)發(fā)送數(shù)據(jù)流流到一個(gè)外外部或內(nèi)部部網(wǎng)絡(luò)上的的客體。用戶數(shù)據(jù)保保護(hù)功能識別與鑒別別功能保密功能可信安全功功能保護(hù)安全審計(jì)功功能58PresentationTitle|Confidential|DocumentID應(yīng)用網(wǎng)關(guān)防防火墻的基基本功能安安全要求有鑒別的端端到端策略略：一個(gè)內(nèi)內(nèi)部或外部部網(wǎng)絡(luò)上的的主體在發(fā)發(fā)送數(shù)據(jù)流流前，必須須通過防火火墻的鑒別別，才能將將數(shù)據(jù)流傳傳送給一個(gè)個(gè)外部或內(nèi)內(nèi)部網(wǎng)絡(luò)上上的客體。。用戶數(shù)據(jù)保保護(hù)功能識別與鑒別別功能保密功能可信安全功功能保護(hù)安全審計(jì)功功能59PresentationTitle|Confidential|DocumentID防火墻的特特殊功能安安全要求模塊化多端端口多級過濾內(nèi)容過濾多種形式審審計(jì)告警VPN（IPsec和SSL）入侵檢測帶寬管理集中的安全全網(wǎng)管支持802.1Q封裝60PresentationTitle|Confidential|DocumentID防火墻安全全策略防火墻安全全策略配置置:通信策略訪問策略應(yīng)用策略安全策略管管理流程：：增添安全策策略更改安全策策略刪除安全策策略61PresentationTitle|Confidential|DocumentID防火墻管理理人員角色色分類超級管理員員負(fù)責(zé)本公司司IP網(wǎng)絡(luò)安全管管理員和安安全審計(jì)員員的選用和和監(jiān)督，負(fù)負(fù)責(zé)生成安安全管理員員和安全審審計(jì)員的賬賬號及相應(yīng)應(yīng)權(quán)限安全管理員員負(fù)責(zé)職權(quán)范范圍內(nèi)IP網(wǎng)絡(luò)安全防防范工作的的具體實(shí)施施、安全配配置操作和和維護(hù)工作作、以及相相關(guān)網(wǎng)絡(luò)安安全問題的的處理。安全審計(jì)員員負(fù)責(zé)所管理理主機(jī)系統(tǒng)統(tǒng)及網(wǎng)絡(luò)設(shè)設(shè)備的安全全定期審查查和維護(hù)工工作。安全全審計(jì)員僅僅可以對日日志進(jìn)行審審計(jì)分析。。62PresentationTitle|Confidential|DocumentID防火墻用戶戶參數(shù)管理理認(rèn)證模式有效時(shí)間連續(xù)認(rèn)證失失敗時(shí)間連續(xù)認(rèn)證失失敗次數(shù)恢復(fù)時(shí)間口令管理閑置時(shí)間并發(fā)用戶管管理63PresentationTitle|Confidential|DocumentID防火墻日志志審計(jì)與監(jiān)監(jiān)控日志收集日志分析建立安全基基線界定可疑活活動日志存儲安全審計(jì)建建議建立安全審審計(jì)報(bào)告安全問題應(yīng)應(yīng)對流程審計(jì)與整體體監(jiān)控系統(tǒng)統(tǒng)配合64PresentationTitle|Confidential|DocumentID防火墻日常常維護(hù)管理理防火墻系統(tǒng)統(tǒng)資源監(jiān)控控系統(tǒng)日志監(jiān)監(jiān)控?cái)?shù)據(jù)包捕獲獲分析定期備份同步備份、、手動備份份、自動動備份遠(yuǎn)程異地方方式、本本地存儲方方式65PresentationTitle|Confidential|DocumentID防火墻適用用環(huán)境－單單級防火墻墻結(jié)構(gòu)66PresentationTitle|Confidential|DocumentID防火墻適用用環(huán)境－多多級防火墻墻結(jié)構(gòu)67PresentationTitle|Confidential|DocumentID防火墻部署署原則骨干層匯聚層接入層68PresentationTitle|Confidential|DocumentID企業(yè)信息化化系統(tǒng)安全全域規(guī)范安全域規(guī)范范的主要內(nèi)內(nèi)容企業(yè)信息化化系統(tǒng)的現(xiàn)現(xiàn)狀企業(yè)信息化化系統(tǒng)的安安全域劃分分安全域的管管理、技術(shù)術(shù)、設(shè)備需需求定義安全域的威威脅等級和和保護(hù)等級級企業(yè)信息化化系統(tǒng)安全全域的網(wǎng)絡(luò)絡(luò)保護(hù)70PresentationTitle|Confidential|DocumentID企業(yè)業(yè)信信息息化化系系統(tǒng)統(tǒng)的的應(yīng)應(yīng)用用系系統(tǒng)統(tǒng)現(xiàn)現(xiàn)狀狀統(tǒng)一一信信息息平臺臺應(yīng)應(yīng)用用：：統(tǒng)一一信信息息平平臺臺包包括括了了OA系統(tǒng)統(tǒng)，，主主要要提提供供企企業(yè)業(yè)各各種種公公文文處處理理、、電電子子郵郵件件和和信信息息發(fā)發(fā)布布等等功功能能；；同同時(shí)時(shí)還還包包括括統(tǒng)統(tǒng)計(jì)計(jì)查查詢詢、、電電子子報(bào)報(bào)銷銷、、資資源源預(yù)預(yù)定定、、辦辦公公用用品品申申領(lǐng)領(lǐng)、、電電子子期期刊刊、、檔檔案案管管理理、、知知識識管管理理、、考考核核管管理理、、研研發(fā)發(fā)項(xiàng)項(xiàng)目目管管理理、、搜搜索索引引擎擎、、遠(yuǎn)遠(yuǎn)程程辦辦公公應(yīng)應(yīng)用用等等。。MIS應(yīng)用：：MIS包括財(cái)財(cái)務(wù)系系統(tǒng)、、人力力資源源系統(tǒng)統(tǒng)、綜綜合統(tǒng)統(tǒng)計(jì)系系統(tǒng)等等應(yīng)用用系統(tǒng)統(tǒng)；還還包括括電子子采購購系統(tǒng)統(tǒng)、全全面預(yù)預(yù)算管管理系系統(tǒng)等等。對外通通過合合作伙伙伴門門戶與與外部部的合合作伙伙伴連連接，，對內(nèi)內(nèi)與BOSS系統(tǒng)和和網(wǎng)管管系統(tǒng)統(tǒng)存在在接口口。71PresentationTitle|Confidential|DocumentID企業(yè)信信息化化系統(tǒng)統(tǒng)的應(yīng)應(yīng)用系系統(tǒng)現(xiàn)現(xiàn)狀（（圖））72PresentationTitle|Confidential|DocumentID企業(yè)信信息化化系統(tǒng)統(tǒng)的網(wǎng)網(wǎng)絡(luò)架架構(gòu)（（圖））73PresentationTitle|Confidential|DocumentID企業(yè)信信息化化系統(tǒng)統(tǒng)的應(yīng)應(yīng)用架架構(gòu)緊密耦耦合結(jié)結(jié)構(gòu)的的應(yīng)用用：例如終終端標(biāo)標(biāo)準(zhǔn)化化，有有一個(gè)個(gè)全集集團(tuán)的的終端端標(biāo)準(zhǔn)準(zhǔn)化系系統(tǒng)，，還有有各個(gè)個(gè)業(yè)務(wù)務(wù)單位位終端端標(biāo)準(zhǔn)準(zhǔn)化子子系統(tǒng)統(tǒng)。松散耦耦合結(jié)結(jié)構(gòu)的的應(yīng)用用：例如OA系統(tǒng)，，各個(gè)個(gè)業(yè)務(wù)務(wù)單位位都有有自身身的OA系統(tǒng)，，其服服務(wù)器器在各各個(gè)業(yè)業(yè)務(wù)單單位的的服務(wù)務(wù)器區(qū)區(qū)域，，而OA互連主主要通通過公公文網(wǎng)網(wǎng)關(guān)。。全部集集中在在集團(tuán)團(tuán)總部部的應(yīng)應(yīng)用：：例如電電子采采購系系統(tǒng)，，各個(gè)個(gè)業(yè)務(wù)務(wù)單位位沒有有單獨(dú)獨(dú)的電電子采采購系系統(tǒng)，，只有有集中中的系系統(tǒng)。。74PresentationTitle|Confidential|DocumentID企業(yè)信信息化化系統(tǒng)統(tǒng)的應(yīng)應(yīng)用架架構(gòu)（（圖圖）集團(tuán)總總部信息化化廣域?qū)＞W(wǎng)CMNETVPNPSTN省公司司信息化化全集團(tuán)團(tuán)信息化化系統(tǒng)統(tǒng)服務(wù)器器集團(tuán)總總部75PresentationTitle|Confidential|DocumentID集團(tuán)總總部企企業(yè)信信息化化的網(wǎng)網(wǎng)絡(luò)拓拓?fù)洌ǎ▓D））76PresentationTitle|Confidential|DocumentID省公司企企業(yè)信息息化的網(wǎng)網(wǎng)絡(luò)拓?fù)鋼洌▓D））集團(tuán)公司司CMNet網(wǎng)管省計(jì)費(fèi)中中心SOC外部接入入OA辦公自動動化DCN省信息化化集團(tuán)總部部信息化……內(nèi)部辦公局域網(wǎng)CMNet網(wǎng)管網(wǎng)管地市1銀證郵/ISP地市1地市信息化銀證郵/ISP縣級信息息化省網(wǎng)管中中心SOCMIS服務(wù)器地市分公司MISOAOA服務(wù)器因特網(wǎng)網(wǎng)管網(wǎng)管BOSS統(tǒng)一信息息平臺統(tǒng)一信息息平臺服務(wù)務(wù)器集團(tuán)公司司全集團(tuán)公公司信息化CMNetCMNet專線集團(tuán)總部部77PresentationTitle|Confidential|DocumentID企業(yè)信息息化的一一級安全全域劃分分公共區(qū)不在中國國移動直直接控制制范圍內(nèi)內(nèi)的區(qū)域域。包括外界界的各種種訪問設(shè)設(shè)備和用用戶資源源，從外外部對中中國移動動信息化化系統(tǒng)進(jìn)進(jìn)行訪問問并要求求服務(wù)。。半安全區(qū)區(qū)安全區(qū)核心安全全區(qū)位于中國國移動信信息化系系統(tǒng)控制制范圍內(nèi)內(nèi)，是公公共區(qū)與與安全區(qū)區(qū)之間的的“過渡渡”區(qū)域域。包括所有有能被非非信任來來源直接接訪問并并提供服服務(wù)的系系統(tǒng)和設(shè)設(shè)備。位于中國國移動信信息化系系統(tǒng)控制制范圍內(nèi)內(nèi)，是安安全控制制和保護(hù)護(hù)級別較較高的區(qū)區(qū)域。包括中國國移動信信息化系系統(tǒng)內(nèi)部部用戶終終端和一一些重要要程度不不高且經(jīng)經(jīng)常使用用的服務(wù)務(wù)器。位于中國國移動信信息化系系統(tǒng)控制制范圍內(nèi)內(nèi)，是安安全控制制和保護(hù)護(hù)級別最最高的區(qū)區(qū)域。包括中國國移動信信息化系系統(tǒng)重要要的應(yīng)用用服務(wù)器器、數(shù)據(jù)據(jù)庫服務(wù)務(wù)器、管管理控制制臺和服服務(wù)器。。78PresentationTitle|Confidential|DocumentID企業(yè)信息息化一級級安全域域的安全全措施公共區(qū)半安全區(qū)區(qū)安全區(qū)核心安全全區(qū)外部防火火墻防毒網(wǎng)關(guān)關(guān)代理服務(wù)務(wù)外部域名名…防毒服務(wù)務(wù)器流量監(jiān)控控文件服務(wù)務(wù)加密服務(wù)務(wù)…訪問控制制系統(tǒng)管理理入侵檢測測日志服務(wù)務(wù)…外界訪問問互聯(lián)網(wǎng)撥號專線外邊界內(nèi)邊界核心邊界79PresentationTitle|Confidential|DocumentID二級安全域的的劃分－應(yīng)用用系統(tǒng)分類全國互訪應(yīng)用用：如e-learning系統(tǒng)，從全集集團(tuán)的角度向向所有中國移移動員工提供供服務(wù)。其用用戶是集團(tuán)總總部和各省公公司信息化系系統(tǒng)內(nèi)部員工工，從內(nèi)部安安全區(qū)或外部部半安全區(qū)發(fā)發(fā)起訪問。局部應(yīng)用：如OA系統(tǒng)，主要是是集團(tuán)總部和和各省公司信信息化系統(tǒng)為為各自的內(nèi)部部員工提供服服務(wù)，其用戶戶訪問來自各各自安全區(qū)內(nèi)內(nèi)的日常辦公公區(qū)，服務(wù)器器放置在各自自核心安全區(qū)區(qū)內(nèi)的服務(wù)器器區(qū)。如果有有互訪要求，，可以通過各各自集團(tuán)－省省公司互聯(lián)區(qū)區(qū)內(nèi)的公文網(wǎng)網(wǎng)關(guān)進(jìn)行數(shù)據(jù)據(jù)傳輸。對外應(yīng)用：如電子采購系系統(tǒng)，用戶是是中國移動的的供應(yīng)商，信信息化系統(tǒng)內(nèi)內(nèi)部只有發(fā)布布、更新和維維護(hù)工作。這這類應(yīng)用的用用戶終端位于于公共區(qū)，因因此其服務(wù)器器只能放置在在半安全區(qū)的的DMZ區(qū)。如果該服服務(wù)器的保護(hù)護(hù)級別要求很很高，也可以以放置在核心心安全區(qū)，通通過DMZ區(qū)的應(yīng)用代理理服務(wù)器作應(yīng)應(yīng)用數(shù)據(jù)轉(zhuǎn)發(fā)發(fā)。80PresentationTitle|Confidential|DocumentID二級安全域的的劃分－集團(tuán)團(tuán)總部（一））81PresentationTitle|Confidential|DocumentID二級安全域的的劃分－集團(tuán)團(tuán)總部（二））82PresentationTitle|Confidential|DocumentID二級安全域的的劃分－省公公司（一）83PresentationTitle|Confidential|DocumentID二級安全域的的劃分－省公公司（二）84PresentationTitle|Confidential|DocumentID公共區(qū)兩個(gè)子區(qū)域：：非移動用戶接接入?yún)^(qū)移動用戶接入入?yún)^(qū)公共區(qū)的業(yè)務(wù)務(wù)數(shù)據(jù)流公共區(qū)的安全全策略公共區(qū)的安全全設(shè)備需求85PresentationTitle|Confidential|DocumentID半安全區(qū)兩個(gè)子區(qū)域：：DMZ區(qū)集團(tuán)－省公司司互聯(lián)區(qū)DMZ區(qū)的業(yè)務(wù)數(shù)據(jù)據(jù)流DMZ區(qū)的安全策略略DMZ區(qū)的安全設(shè)備備需求集團(tuán)－省公司司互聯(lián)區(qū)的業(yè)業(yè)務(wù)數(shù)據(jù)流集團(tuán)－省公司司互聯(lián)區(qū)的安安全策略集團(tuán)－省公司司互聯(lián)區(qū)的安安全設(shè)備需求求86PresentationTitle|Confidential|DocumentID安全區(qū)三個(gè)子區(qū)域：：日常辦公區(qū)內(nèi)部系統(tǒng)互聯(lián)聯(lián)區(qū)省－地市公司司互聯(lián)區(qū)日常辦公區(qū)的的業(yè)務(wù)數(shù)據(jù)流流內(nèi)部系統(tǒng)互聯(lián)聯(lián)區(qū)的業(yè)務(wù)數(shù)數(shù)據(jù)流?。厥泄舅净ヂ?lián)區(qū)的業(yè)業(yè)務(wù)數(shù)據(jù)流安全區(qū)的安全全策略安全的安全設(shè)設(shè)備需求87PresentationTitle|Confidential|DocumentID核心安全區(qū)兩個(gè)子區(qū)域：：服務(wù)器區(qū)管理區(qū)服務(wù)器區(qū)的業(yè)業(yè)務(wù)數(shù)據(jù)流服務(wù)器區(qū)的安安全策略服務(wù)器區(qū)的安安全設(shè)備需求求管理區(qū)的業(yè)務(wù)務(wù)數(shù)據(jù)流