數(shù)字能源、數(shù)字環(huán)保信息安全整體解決方案

數(shù)字能源、數(shù)字環(huán)保信息安全整體解決方案（初稿）目錄TOC\o"1-4"\h\z\u一、背景與目標(biāo) 41.1、建設(shè)背景 41.2、需求與問題 51.2.1、資產(chǎn)分析賦值 51.2.2、應(yīng)用層面安全 6、等級保護建設(shè)規(guī)范 6、應(yīng)用層面臨安全風(fēng)險 61.2.3、網(wǎng)絡(luò)層面安全 8、等級保護建設(shè)規(guī)范 8、網(wǎng)絡(luò)層面臨安全風(fēng)險 91.2.4、主機層面安全 10、等級保護建設(shè)規(guī)范 10、主機層面臨安全風(fēng)險 111.2.5、物理層面安全 11、等級保護建設(shè)規(guī)范 11、物理層面臨安全風(fēng)險 121.2.6、安全管理層面 12、等級保護建設(shè)規(guī)范 12、管理過程存在的問題 141.3、建設(shè)目標(biāo)與意義 14二、系統(tǒng)設(shè)計思路與原則 142.1、建設(shè)思路 142.2、建設(shè)原則 15三、系統(tǒng)建設(shè)內(nèi)容 163.1、資產(chǎn)風(fēng)險評估 163.2、風(fēng)險處置加固 173.2.1、威脅性處置加固 17、惡意網(wǎng)址過濾 17、病毒檢測防范 18、僵尸網(wǎng)絡(luò)隔離 18、DLP數(shù)據(jù)防泄漏 19、防止非授權(quán)訪問 19、無線熱點發(fā)現(xiàn) 20、細(xì)粒度網(wǎng)絡(luò)審計 20、遠(yuǎn)程訪問傳輸加密 213.2.2、脆弱性處置加固 21、網(wǎng)絡(luò)設(shè)備安全配置基線 21、操作系統(tǒng)安全配置基線 22、數(shù)據(jù)庫系統(tǒng)安全配置基線 243.3、安全管理 363.3.1、安全集成參考 363.3.2、安全制度參考 363.3.3、安全運維參考 37四、實施策略與關(guān)鍵技術(shù) 404.1、深度內(nèi)容解析 404.2、雙向內(nèi)容檢測技術(shù) 404.3、分離平面設(shè)計 414.4、單次解析架構(gòu) 424.5、多核并行處理 42五、實施步驟與進度安排 435.1、環(huán)境調(diào)研階段 435.2、信息資產(chǎn)確認(rèn)階段 435.3、實施方案編寫與確認(rèn)階段 435.4、安全評估與安全防護施行階段 435.5、項目運維知識培訓(xùn)階段 445.6、驗收報告編寫與項目驗收總結(jié)階段 44六、方案優(yōu)勢 446.1、專業(yè)的CTI中心、完善的用戶檔案系統(tǒng) 446.2、ISO9001售后質(zhì)量管理體系 446.3、十年值得品牌信賴 456.4、專業(yè)功防團隊 45一、背景與目標(biāo)1.1、建設(shè)背景xx市是一座新興工業(yè)城市，形成了以鋼鐵、新能源和新材料三大產(chǎn)業(yè)為支柱的多元化發(fā)展格局，并呈現(xiàn)集約化發(fā)展的良好態(tài)勢。2012年xx市全年生產(chǎn)總值(GDP)830.32億元，比上年增長10.3%，其中，工業(yè)增加值467.46億元，占生產(chǎn)總值的56.3%，新能源、鋼鐵、新材料三大支柱產(chǎn)業(yè)實現(xiàn)增加值212.35億元，占規(guī)模以上工業(yè)的72.88%。隨著經(jīng)濟的增長，帶來能源消耗持續(xù)增加，2010年xx市全社會共計消耗能源980.17萬噸標(biāo)煤（其中電力消費97.6億度），“十一五”期間年均增長10.67%。xx市規(guī)模以上工業(yè)企業(yè)近280戶，年耗能5000噸以上重點用能單位數(shù)量為20戶，工業(yè)能耗904.44萬噸標(biāo)煤，占全社會能耗的92.27%。萬元GDP能耗2.66噸標(biāo)煤，是全國平均水平的3.5倍?；茉慈紵欧诺亩趸紴?597.5萬噸，人均碳排放量22.7噸，分別是全國和全省的3.70、5.84倍，化學(xué)需氧量排放量24570.1噸，二氧化硫排放量為62667.85噸，氨氮排放量為2738.27噸，氮氧化物排放量34016.3噸，二氧化硫、煙（粉）塵等污染物90%來自工業(yè)。2010年工業(yè)增加值360.11億元，新能源、鋼鐵、新材料三大支柱產(chǎn)業(yè)實現(xiàn)增加值280.95億元，占規(guī)模以上工業(yè)的77.3%。xx市作為國家第三批資源枯竭城市，節(jié)能減排任務(wù)十分艱巨，xx市政府采取了一系列舉措，2011年xx市被列為全國節(jié)能減排財政政策綜合示范城市之一，2012年，xx市發(fā)布《關(guān)于加快推進智慧xx建設(shè)的意見》，主要目標(biāo)是充分整合信息化資源，推進跨部門的信息化共享和協(xié)同。文件中提出根據(jù)城市發(fā)展和社會民生需求，有計劃、分步驟的組織實施智慧xx建設(shè)12項重點工程，其中數(shù)字環(huán)保和數(shù)字能源兩個重點工程指出建設(shè)環(huán)境保護、排放管理等一體化的城市智能環(huán)保管理平臺和市能源監(jiān)測管理中心。通過對全市重點企業(yè)的能耗和污染物排放、城市照明能耗、公共建筑的能耗、新能源和可再生能源項目、城市環(huán)境數(shù)據(jù)、交通能耗進行實時監(jiān)測，xx市能源監(jiān)測管理中心建設(shè)方案使市委、市政府領(lǐng)導(dǎo)能總覽全市能源環(huán)境概況，掌握全市節(jié)能改造、環(huán)境治理、新能源與可再生等項目動態(tài)、成果，科學(xué)提高政府節(jié)能減排管理水平，為實現(xiàn)管理節(jié)能和技術(shù)節(jié)能提供數(shù)據(jù)支撐。隨著數(shù)字環(huán)保和數(shù)字能源平臺項目建設(shè)提速，“安全”越來越成為一塊迫切需要鞏固和加強的內(nèi)容。信息安全不僅關(guān)系到數(shù)字環(huán)保和數(shù)字能源平臺的穩(wěn)健運行，更關(guān)乎到整體平臺的行的安全可靠?；谶@樣的背景，本項目將于2013年開始啟動。1.2、需求與問題1.2.1、資產(chǎn)分析賦值信息：信息是一種資產(chǎn)，像其他重要的業(yè)務(wù)資產(chǎn)一樣，對組織具有價值，因此需要妥善保護。信息安全：信息安全主要指信息的保密性、完整性和可用性的保持；即指通過采用計算機軟硬件技術(shù)、網(wǎng)絡(luò)技術(shù)、密鑰技術(shù)等安全技術(shù)和各種組織管理措施，來保護信息在其生命周期內(nèi)的產(chǎn)生、傳輸、交換、處理和存儲的各個環(huán)節(jié)中，信息的保密性、完整性和可用性不被破壞。通過信息資產(chǎn)匯總分析與并給與資產(chǎn)安全等級賦值，有助于xx數(shù)字能源、數(shù)字環(huán)保整體平臺信息安全體系規(guī)劃、周期性風(fēng)險評估工作展開。1.2.2、應(yīng)用層面安全、等級保護建設(shè)規(guī)范參照GB/T22239-2008標(biāo)準(zhǔn)明確要求，應(yīng)用安全主要從身份鑒別、訪問控制、安全審計、剩余信息保護、通信完整性、通信保密性、抗抵賴、軟件容錯、資源控制等9個方面進行技術(shù)要求，以下為應(yīng)用安全的要求部分截取摘要。（1）、身份鑒別本項要求包括：a)應(yīng)提供專用的登錄控制模塊對登錄用戶進行身份標(biāo)識和鑒別；b)應(yīng)對同一用戶采用兩種或兩種以上組合的鑒別技術(shù)實現(xiàn)用戶身份鑒別；GB/T22239—200821c)應(yīng)提供用戶身份標(biāo)識唯一和鑒別信息復(fù)雜度檢查功能，保證應(yīng)用系統(tǒng)中不存在重復(fù)用戶身份標(biāo)識，身份鑒別信息不易被冒用；d)應(yīng)提供登錄失敗處理功能，可采取結(jié)束會話、限制非法登錄次數(shù)和自動退出等措施；e)應(yīng)啟用身份鑒別、用戶身份標(biāo)識唯一性檢查、用戶身份鑒別信息復(fù)雜度檢查以及登錄失敗處理功能，并根據(jù)安全策略配置相關(guān)參數(shù)。（2）、訪問控制本項要求包括：a)應(yīng)提供訪問控制功能，依據(jù)安全策略控制用戶對文件、數(shù)據(jù)庫表等客體的訪問；b)訪問控制的覆蓋范圍應(yīng)包括與資源訪問相關(guān)的主體、客體及它們之間的操作；c)應(yīng)由授權(quán)主體配置訪問控制策略，并嚴(yán)格限制默認(rèn)帳戶的訪問權(quán)限；d)應(yīng)授予不同帳戶為完成各自承擔(dān)任務(wù)所需的最小權(quán)限，并在它們之間形成相互制約的關(guān)系。e)應(yīng)具有對重要信息資源設(shè)置敏感標(biāo)記的功能；f)應(yīng)依據(jù)安全策略嚴(yán)格控制用戶對有敏感標(biāo)記重要信息資源的操作；、應(yīng)用層面臨安全風(fēng)險隨著基于B/S架構(gòu)業(yè)務(wù)（電子商務(wù)、電子政務(wù)等）系統(tǒng)越來越被普及使用，給廣大的普通老百姓用戶帶來極大的便利，不出門即可買到心意的商品，輕松點擊便可了解天下傳聞；由于電子交易過程龐大的金錢利益誘惑，基于B/S的應(yīng)用系統(tǒng)也越來越遭受黑客的惡意攻擊，根據(jù)OWASP研究報告分析，應(yīng)用層面臨安全風(fēng)險如下：1.2.3、網(wǎng)絡(luò)層面安全、等級保護建設(shè)規(guī)范參照GB/T22239-2008明確要求，網(wǎng)絡(luò)安全主要從結(jié)構(gòu)安全、訪問控制、安全審計、邊界完整性檢查、入侵防范、惡意代碼防范、網(wǎng)絡(luò)設(shè)備防護等7個方面進行技術(shù)要求，以下為網(wǎng)絡(luò)安全的要求部分截取摘要。（1）、結(jié)構(gòu)安全本項要求包括：a)應(yīng)保證主要網(wǎng)絡(luò)設(shè)備的業(yè)務(wù)處理能力具備冗余空間，滿足業(yè)務(wù)高峰期需要；b)應(yīng)保證網(wǎng)絡(luò)各個部分的帶寬滿足業(yè)務(wù)高峰期需要；c)應(yīng)在業(yè)務(wù)終端與業(yè)務(wù)服務(wù)器之間進行路由控制建立安全的訪問路徑；d)應(yīng)繪制與當(dāng)前運行情況相符的網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)圖；e)應(yīng)根據(jù)各部門的工作職能、重要性和所涉及信息的重要程度等因素，劃分不同的子網(wǎng)或網(wǎng)段，并按照方便管理和控制的原則為各子網(wǎng)、網(wǎng)段分配地址段；f)應(yīng)避免將重要網(wǎng)段部署在網(wǎng)絡(luò)邊界處且直接連接外部信息系統(tǒng)，重要網(wǎng)段與其他網(wǎng)段之間采取可靠的技術(shù)隔離手段；g)應(yīng)按照對業(yè)務(wù)服務(wù)的重要次序來指定帶寬分配優(yōu)先級別，保證在網(wǎng)絡(luò)發(fā)生擁堵的時候優(yōu)先保護重要主機。（2）、訪問控制本項要求包括：a)應(yīng)在網(wǎng)絡(luò)邊界部署訪問控制設(shè)備，啟用訪問控制功能；b)應(yīng)能根據(jù)會話狀態(tài)信息為數(shù)據(jù)流提供明確的允許/拒絕訪問的能力，控制粒度為端口級；c)應(yīng)對進出網(wǎng)絡(luò)的信息內(nèi)容進行過濾，實現(xiàn)對應(yīng)用層HTTP、FTP、TELNET、SMTP、POP3等協(xié)議命令級的控制；d)應(yīng)在會話處于非活躍一定時間或會話結(jié)束后終止網(wǎng)絡(luò)連接；e)應(yīng)限制網(wǎng)絡(luò)最大流量數(shù)及網(wǎng)絡(luò)連接數(shù)；f)重要網(wǎng)段應(yīng)采取技術(shù)手段防止地址欺騙；g)應(yīng)按用戶和系統(tǒng)之間的允許訪問規(guī)則，決定允許或拒絕用戶對受控系統(tǒng)進行資源訪問，控制粒度為單個用戶；應(yīng)限制具有撥號訪問權(quán)限的用戶數(shù)量。(3)、安全審計本項要求包括：a)應(yīng)對網(wǎng)絡(luò)系統(tǒng)中的網(wǎng)絡(luò)設(shè)備運行狀況、網(wǎng)絡(luò)流量、用戶行為等進行日志記錄；b)審計記錄應(yīng)包括：事件的日期和時間、用戶、事件類型、事件是否成功及其他與審計相關(guān)的信息；c)應(yīng)能夠根據(jù)記錄數(shù)據(jù)進行分析，并生成審計報表；d)應(yīng)對審計記錄進行保護，避免受到未預(yù)期的刪除、修改或覆蓋等。、網(wǎng)絡(luò)層面臨安全風(fēng)險網(wǎng)絡(luò)病毒泛濫問題隨著互聯(lián)網(wǎng)在人類社會活動中的全面普及，人們越來越頻繁的通過網(wǎng)絡(luò)傳遞和存儲重要信息和資料。據(jù)來自權(quán)威安全研究機構(gòu)的調(diào)查統(tǒng)計，互聯(lián)網(wǎng)中的網(wǎng)頁瀏覽和文件下載已經(jīng)成為各種計算機病毒和木馬傳播的主要途徑，但傳統(tǒng)的網(wǎng)關(guān)產(chǎn)品卻無法提供病毒過濾和防護能力。因此，人們需要一種能主動防護病毒的設(shè)備，從而為網(wǎng)絡(luò)使用者營造安全的上網(wǎng)環(huán)境。機密信息泄露問題隨著網(wǎng)絡(luò)技術(shù)的發(fā)展，人們可以隨意在網(wǎng)絡(luò)中利用文件(FTP、Email、TFTP等)、文字(BBS、QQ、MSN、UC聊天等)、語音(QQ、UC、MSN語聊等)、視頻(QQ、UC、MSN視頻等)等多種方式進行溝通。這些通訊手段方便了人們的交流與協(xié)作，但如果不加以管理，它們也將成為信息泄密的工具和途徑。傳統(tǒng)網(wǎng)關(guān)設(shè)備（如路由器、防火墻、UTM等）無法對網(wǎng)絡(luò)中傳輸?shù)臄?shù)據(jù)內(nèi)容進行深度分析，更無法對這些內(nèi)容進行記錄和過濾。這導(dǎo)致用戶無法有效阻止機密信息和資料通過網(wǎng)絡(luò)外泄，且一旦出現(xiàn)信息泄密事件，用戶也無法獲得維護自身權(quán)益所必須的有效證據(jù)。網(wǎng)絡(luò)釣魚攻擊問題“網(wǎng)絡(luò)釣魚”攻擊利用欺騙性的電子郵件和偽造的Web站點來進行詐騙活動，受騙者往往會泄露自己的財務(wù)數(shù)據(jù)，如信用卡號、賬戶用戶名、口令和社保編號等內(nèi)容。詐騙者通常會將自己偽裝成知名銀行、在線零售商和信用卡公司等可信的品牌，在所有接觸詐騙信息的用戶中，有高達(dá)5%的人都會對這些騙局做出響應(yīng)。非授權(quán)訪問問題沒有預(yù)先經(jīng)過同意，就使用網(wǎng)絡(luò)或計算機資源被看作非授權(quán)訪問，如有意避開系統(tǒng)訪問控制機制，對網(wǎng)絡(luò)設(shè)備及資源進行非正常使用，或擅自擴大權(quán)限，越權(quán)訪問信息。它主要有以下幾種形式：假冒、身份攻擊、非法用戶進入網(wǎng)絡(luò)系統(tǒng)進行違法操作、合法用戶以未授權(quán)方式進行操作等。僵尸網(wǎng)絡(luò)問題僵尸網(wǎng)絡(luò)Botnet是指采用一種或多種傳播手段，將大量主機感染bot程序（僵尸程序）病毒，從而在控制者和被感染主機之間所形成的一個可一對多控制的網(wǎng)絡(luò)。攻擊者通過各種途徑傳播僵尸程序感染互聯(lián)網(wǎng)上的大量主機，而被感染的主機將通過一個控制信道接收攻擊者的指令，組成一個僵尸網(wǎng)絡(luò)。之所以用僵尸網(wǎng)絡(luò)這個名字，是為了更形象的讓人們認(rèn)識到這類危害的特點：眾多的計算機在不知不覺中如同中國古老傳說中的僵尸群一樣被人驅(qū)趕和指揮著，成為被人利用的一種工具。1.2.4、主機層面安全、等級保護建設(shè)規(guī)范參照GB/T22239-2008標(biāo)準(zhǔn)明確要求，網(wǎng)絡(luò)安全主要從結(jié)構(gòu)安全、訪問控制、安全審計、邊界完整性檢查、入侵防范、惡意代碼防范、網(wǎng)絡(luò)設(shè)備防護等7個方面進行技術(shù)要求，以下為網(wǎng)絡(luò)安全的要求部分截取摘要。（1）、結(jié)構(gòu)安全本項要求包括：a)應(yīng)保證主要網(wǎng)絡(luò)設(shè)備的業(yè)務(wù)處理能力具備冗余空間，滿足業(yè)務(wù)高峰期需要；b)應(yīng)保證網(wǎng)絡(luò)各個部分的帶寬滿足業(yè)務(wù)高峰期需要；c)應(yīng)在業(yè)務(wù)終端與業(yè)務(wù)服務(wù)器之間進行路由控制建立安全的訪問路徑；d)應(yīng)繪制與當(dāng)前運行情況相符的網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)圖；e)應(yīng)根據(jù)各部門的工作職能、重要性和所涉及信息的重要程度等因素，劃分不同的子網(wǎng)或網(wǎng)段，并按照方便管理和控制的原則為各子網(wǎng)、網(wǎng)段分配地址段；f)應(yīng)避免將重要網(wǎng)段部署在網(wǎng)絡(luò)邊界處且直接連接外部信息系統(tǒng)，重要網(wǎng)段與其他網(wǎng)段之間采取可靠的技術(shù)隔離手段；g)應(yīng)按照對業(yè)務(wù)服務(wù)的重要次序來指定帶寬分配優(yōu)先級別，保證在網(wǎng)絡(luò)發(fā)生擁堵的時候優(yōu)先保護重要主機。（2）、訪問控制本項要求包括：a)應(yīng)在網(wǎng)絡(luò)邊界部署訪問控制設(shè)備，啟用訪問控制功能；b)應(yīng)能根據(jù)會話狀態(tài)信息為數(shù)據(jù)流提供明確的允許/拒絕訪問的能力，控制粒度為端口級；c)應(yīng)對進出網(wǎng)絡(luò)的信息內(nèi)容進行過濾，實現(xiàn)對應(yīng)用層HTTP、FTP、TELNET、SMTP、POP3等協(xié)議命令級的控制；d)應(yīng)在會話處于非活躍一定時間或會話結(jié)束后終止網(wǎng)絡(luò)連接；e)應(yīng)限制網(wǎng)絡(luò)最大流量數(shù)及網(wǎng)絡(luò)連接數(shù)；f)重要網(wǎng)段應(yīng)采取技術(shù)手段防止地址欺騙；g)應(yīng)按用戶和系統(tǒng)之間的允許訪問規(guī)則，決定允許或拒絕用戶對受控系統(tǒng)進行資源訪問，控制粒度為單個用戶；應(yīng)限制具有撥號訪問權(quán)限的用戶數(shù)量。(3)、安全審計本項要求包括：a)應(yīng)對網(wǎng)絡(luò)系統(tǒng)中的網(wǎng)絡(luò)設(shè)備運行狀況、網(wǎng)絡(luò)流量、用戶行為等進行日志記錄；b)審計記錄應(yīng)包括：事件的日期和時間、用戶、事件類型、事件是否成功及其他與審計相關(guān)的信息；c)應(yīng)能夠根據(jù)記錄數(shù)據(jù)進行分析，并生成審計報表；d)應(yīng)對審計記錄進行保護，避免受到未預(yù)期的刪除、修改或覆蓋等。、主機層面臨安全風(fēng)險系統(tǒng)弱口令弱口令安全是完全可以防止的，系統(tǒng)管理員為了方便記憶，設(shè)置一些簡單的口令，如域名，名字，QQ等，這些信息又是可以從whois中又可以獲取的，被黑的記錄基本上是99%。用戶賬戶的安全性規(guī)則Solaris和Irix等Unix系統(tǒng)中，除去超級用戶外，還存在如lp、sys、adm、nobody等管理帳戶。雖然它們沒有超級用戶的特權(quán)，但同樣應(yīng)受到保護，因為這些帳戶的系統(tǒng)進程可以控制基本的系統(tǒng)功能，如電子郵件、關(guān)系數(shù)據(jù)庫訪問、打印等。這些管理帳戶內(nèi)的任何一個遭到攻擊，都可能導(dǎo)致相應(yīng)子系統(tǒng)中的文件被大規(guī)模地暴露和損壞。例如，lp帳戶所受的破壞可能會造成攻擊者對打印子系統(tǒng)獲得完全控制，從而使黑客能夠任意地修改打印輸出的內(nèi)容。不必要的網(wǎng)絡(luò)服務(wù)所謂不必要的網(wǎng)絡(luò)訪問服務(wù)是指實現(xiàn)主機系統(tǒng)網(wǎng)絡(luò)服務(wù)功能所不需要運行的服務(wù)。對于Web主機而言，很多網(wǎng)絡(luò)訪問服務(wù)在操作系統(tǒng)安裝時就被缺省配置，其所對應(yīng)的TCP/UDP端口也對外打開，如非常危險的finger服務(wù)和它對應(yīng)的79號TCP端口。通過對網(wǎng)站的端口掃描，可以發(fā)現(xiàn)很多系統(tǒng)管理員對外提供了或多或少的不必要的網(wǎng)絡(luò)訪問服務(wù)。而從系統(tǒng)內(nèi)部審核不必要網(wǎng)絡(luò)訪問服務(wù)的方法是禁止不必要的網(wǎng)絡(luò)訪問服務(wù)的最有效手段之一。1.2.5、物理層面安全、等級保護建設(shè)規(guī)范參照GB/T22239-2008標(biāo)準(zhǔn)要求，物理安全主要從物理位置的選擇、物理訪問控制、防盜竊防破壞、防雷擊、防火、防水和防潮、防靜電、溫濕度控制、電力供應(yīng)、電磁防護等十個方面進行評測，以下為物理安全的要求部分截取摘要。（1）、物理位置的選擇本項要求包括：a)機房和辦公場地應(yīng)選擇在具有防震、防風(fēng)和防雨等能力的建筑內(nèi)；b)機房場地應(yīng)避免設(shè)在建筑物的高層或地下室，以及用水設(shè)備的下層或隔壁。（2）、物理訪問控制本項要求包括：a)機房出入口應(yīng)安排專人值守，控制、鑒別和記錄進入的人員；b)需進入機房的來訪人員應(yīng)經(jīng)過申請和審批流程，并限制和監(jiān)控其活動范圍；c)應(yīng)對機房劃分區(qū)域進行管理，區(qū)域和區(qū)域之間設(shè)置物理隔離裝置，在重要區(qū)域前設(shè)置交付或安裝等過渡區(qū)域；d)重要區(qū)域應(yīng)配置電子門禁系統(tǒng)，控制、鑒別和記錄進入的人員。（3）、防盜竊防破壞本項要求包括：a)應(yīng)將主要設(shè)備放置在機房內(nèi)；b)應(yīng)將設(shè)備或主要部件進行固定，并設(shè)置明顯的不易除去的標(biāo)記；c)應(yīng)將通信線纜鋪設(shè)在隱蔽處，可鋪設(shè)在地下或管道中；d)應(yīng)對介質(zhì)分類標(biāo)識，存儲在介質(zhì)庫或檔案室中；e)應(yīng)利用光、電等技術(shù)設(shè)置機房防盜報警系統(tǒng)；f)應(yīng)對機房設(shè)置監(jiān)控報警系統(tǒng)。、物理層面臨安全風(fēng)險1.2.6、安全管理層面、等級保護建設(shè)規(guī)范安全管理制度按照國內(nèi)等級保護條例，目前等級保護一共分為5個等級，每個等級參照GB/T22239-2008標(biāo)準(zhǔn)都有明確的要求，等級保護基本要求分為技術(shù)與管理兩大塊，管理部分分為安全管理制度、安全管理機構(gòu)、人員安全管理、系統(tǒng)建設(shè)與管理及系統(tǒng)運維管理，以下為安全管理制度要求部分截取摘要。（1）、管理制度本項要求包括：a)應(yīng)制定信息安全工作的總體方針和安全策略，說明機構(gòu)安全工作的總體目標(biāo)、范圍、原則和安全框架等；b)應(yīng)對安全管理活動中的各類管理內(nèi)容建立安全管理制度；c)應(yīng)對要求管理人員或操作人員執(zhí)行的日常管理操作建立操作規(guī)程；d)應(yīng)形成由安全策略、管理制度、操作規(guī)程等構(gòu)成的全面的信息安全管理制度體系。（2）、制定與發(fā)布本項要求包括：a)應(yīng)指定或授權(quán)專門的部門或人員負(fù)責(zé)安全管理制度的制定；b)安全管理制度應(yīng)具有統(tǒng)一的格式，并進行版本控制；c)應(yīng)組織相關(guān)人員對制定的安全管理制度進行論證和審定；d)安全管理制度應(yīng)通過正式、有效的方式發(fā)布；e)安全管理制度應(yīng)注明發(fā)布范圍，并對收發(fā)文進行登記。（3）、評審與修訂本項要求包括：a)信息安全領(lǐng)導(dǎo)小組應(yīng)負(fù)責(zé)定期組織相關(guān)部門和相關(guān)人員對安全管理制度體系的合理性和適用性進行審定；b)應(yīng)定期或不定期對安全管理制度進行檢查和審定，對存在不足或需要改進的安全管理制度進行修訂。安全管理機構(gòu)按照國內(nèi)等級保護條例，目前等級保護一共分為5個等級，每個等級參照GB/T22239-2008標(biāo)準(zhǔn)都有明確的要求，等級保護基本要求分為技術(shù)與管理兩大塊，管理部分分為安全管理制度、安全管理機構(gòu)、人員安全管理、系統(tǒng)建設(shè)與管理及系統(tǒng)運維管理，以下為安全管理機構(gòu)要求部分截取摘要。（1）、崗位設(shè)置本項要求包括：a)應(yīng)設(shè)立信息安全管理工作的職能部門，設(shè)立安全主管、安全管理各個方面的負(fù)責(zé)人崗位，并定義各負(fù)責(zé)人的職責(zé)；b)應(yīng)設(shè)立系統(tǒng)管理員、網(wǎng)絡(luò)管理員、安全管理員等崗位，并定義各個工作崗位的職責(zé)；c)應(yīng)成立指導(dǎo)和管理信息安全工作的委員會或領(lǐng)導(dǎo)小組，其最高領(lǐng)導(dǎo)由單位主管領(lǐng)導(dǎo)委任或授權(quán)；d)應(yīng)制定文件明確安全管理機構(gòu)各個部門和崗位的職責(zé)、分工和技能要求。（2）、人員配備本項要求包括：a)應(yīng)配備一定數(shù)量的系統(tǒng)管理員、網(wǎng)絡(luò)管理員、安全管理員等；b)應(yīng)配備專職安全管理員，不可兼任；c)關(guān)鍵事務(wù)崗位應(yīng)配備多人共同管理。、管理過程存在的問題1．制度建設(shè)方面對介質(zhì)管理、日常檢查管理規(guī)范還存在不足，需要進一步完善。直屬單位對應(yīng)急預(yù)案演練管理不到位。2．運維安全。一是賬號及密碼管理策略落實不到位，服務(wù)器、數(shù)據(jù)庫、網(wǎng)絡(luò)設(shè)備和安全設(shè)備等均不同程度存在賬號訪問控制不嚴(yán)、未實現(xiàn)權(quán)限分離、使用默認(rèn)賬號、口令簡單和未定期更換等現(xiàn)象。二是對外包運維廠商的監(jiān)管力度和手段不足，外包運維廠商在對系統(tǒng)進行操作時存在未嚴(yán)格遵守相關(guān)規(guī)章制度情況。三是CA數(shù)字證書應(yīng)用不廣，對登錄用戶身份鑒別措施簡單無法保證信息傳輸保密性。四是流程建設(shè)滯后、痕跡化要求不到位，機房出入記錄不完整，存在記錄缺失情況。五是部分主機未做好運行狀態(tài)監(jiān)控。3．系統(tǒng)建設(shè)。軟件開發(fā)項目建設(shè)過程控制不足，應(yīng)用系統(tǒng)上線前未進行第三方安全測試，無法降低系統(tǒng)因設(shè)計缺陷導(dǎo)致的安全風(fēng)險。1.3、建設(shè)目標(biāo)與意義本項目首先通過對信息資產(chǎn)并進行全面風(fēng)險評估，了解xx數(shù)字環(huán)保與數(shù)字能源平臺信息系統(tǒng)的基本安全現(xiàn)狀，發(fā)現(xiàn)系統(tǒng)的安全問題及其可能的危害，為做好業(yè)務(wù)系統(tǒng)的安全加固和維護工作做好基礎(chǔ)準(zhǔn)備；分析網(wǎng)絡(luò)信息系統(tǒng)的安全需求，找出目前的安全策略和實際需求的差距，為xx數(shù)字環(huán)保與數(shù)字能源平臺選擇正確的安全解決方案、確定有效的安全措施、選擇可靠的安全產(chǎn)品提供充分的依據(jù)；構(gòu)建全面的信息安全管理體系（ISMS），制定嚴(yán)謹(jǐn)?shù)木W(wǎng)絡(luò)安全策略和安全基線，為建立全面的安全防護層次提供一套完整、規(guī)范的指導(dǎo)模型。同時，對安全運維和日常安全事件的管理起到協(xié)助和指導(dǎo)的作用。二、系統(tǒng)設(shè)計思路與原則2.1、建設(shè)思路PDCA循環(huán)是信息安全工作中的一個重要模型，它是全面信息安全管理所應(yīng)遵循的科學(xué)程序。全面信息安全管理活動的全部過程，就是信息安全計劃的制訂和組織實現(xiàn)的過程，這個過程就是按照PDCA循環(huán)，不停頓地周而復(fù)始地運轉(zhuǎn)。PDCA循環(huán)是能使任何一項活動有效進行的一種合乎邏輯的工作程序，特別是在信息安全管理中得到了廣泛的應(yīng)用。P、D、C、A四個英文字母所代表的意義如下：1、P（Plan）——計劃。包括方針和目標(biāo)的確定以及活動計劃的制定；2、D（DO）——執(zhí)行。執(zhí)行就是具體運作，實現(xiàn)計劃中的內(nèi)容；3、C（Check）——檢查。就是要總結(jié)執(zhí)行計劃的結(jié)果，分清哪些對了，哪些錯了，明確效果，找出問題；4、A（Action）——行動（或處理）。對總結(jié)檢查的結(jié)果進行處理，成功的經(jīng)驗加以肯定，并予以制定固定方法，便于以后工作時遵循；對于失敗的教訓(xùn)也要總結(jié)，以免重現(xiàn)。對于沒有解決的問題，應(yīng)提給下一個PDCA循環(huán)中去解決。PDCA循環(huán)就是按照這樣的順序進行信息安全管理，并且循環(huán)不止地進行下去的科學(xué)程序。全面信息安全管理活動的運轉(zhuǎn)，離不開管理循環(huán)的轉(zhuǎn)動，這就是說，改進與解決信息安全問題，趕超先進水平的各項工作，都要運用PDCA循環(huán)的科學(xué)程序。提高信息安全管理水平，需要先提出目標(biāo)，即信息安全提高到什么程度，要有個計劃；這個計劃不僅包括目標(biāo)，而且也包括實現(xiàn)這個目標(biāo)需要采取的措施；計劃制定之后，就要按照計劃進行檢查，看是否達(dá)實現(xiàn)了預(yù)期效果，有沒有達(dá)到預(yù)期的目標(biāo)；通過檢查找出問題和原因；最后就要進行處理，將經(jīng)驗和教訓(xùn)制訂成標(biāo)準(zhǔn)、形成制度。2.2、建設(shè)原則標(biāo)準(zhǔn)性原則整個信息安全項目建設(shè)過程遵循國際和國內(nèi)的多項標(biāo)準(zhǔn)，包括ISO27001，ISO13335，ISO15408/GB18336，SSE-CMM，SP800-30，CVE，PMI項目管理規(guī)范，《信息安全等級保護管理辦法》等；行業(yè)性原則財政部、國家發(fā)改委《關(guān)于xx市節(jié)能減排財政政策綜合示范實施方案的批復(fù)》（財建〔2012〕32號）《關(guān)于開展節(jié)能減排財政政策綜合示范工作的通知》（財建〔2011〕383號）《xx市國民經(jīng)濟和社會發(fā)展第十二個五年規(guī)劃綱要》（2011年1月26日，xx市第七屆人民代表大會第八次會議通過）《關(guān)于加快推進智慧xx建設(shè)的意見》（余發(fā)〔2012〕31號）《xx市“十二五”節(jié)能減排綜合性工作方案》（余府發(fā)〔2012〕6號）規(guī)范性原則在服務(wù)工作中的過程和文檔，嚴(yán)格遵循深信服的內(nèi)部規(guī)范：《深信服安全服務(wù)項目管理規(guī)范》、《深信服信息安全服務(wù)規(guī)范》；可控性原則進行項目實施時，深信服公司將從用戶信譽、成功經(jīng)驗、人員水平、工具可控性、項目過程可控性多個角度保證整個項目過程和結(jié)果的可控性；整體性原則項目實施中，深信服公司將從國際標(biāo)準(zhǔn)、深信服規(guī)范、BDH需求分析和深信服長期的實施經(jīng)驗等多個角度保證整體全面，包括安全涉及的各個層面，避免遺漏；最小影響原則深信服會從項目管理層面和工具技術(shù)層面，將可能影響降低到最低限度，包括安全服務(wù)設(shè)計藍(lán)圖、資產(chǎn)單元風(fēng)險規(guī)避的個性化、工具最小影響措施，以及和客戶充分的溝通機制；三、系統(tǒng)建設(shè)內(nèi)容3.1、資產(chǎn)風(fēng)險評估風(fēng)險評估模塊策略智能聯(lián)動深信服NGAF支持風(fēng)險評估模塊，可以主動探測目標(biāo)IP，進行端口、服務(wù)掃描，及時發(fā)現(xiàn)業(yè)務(wù)風(fēng)險；例如，ftp、mysql、oracle、mssql、ssh、RDP、網(wǎng)上鄰居NetBIOS、VNC等多種應(yīng)用的弱口令及溢出漏洞；sql注入、XSS跨站腳本、目錄遍歷、敏感信息泄露、命令執(zhí)行等應(yīng)用層安全漏洞。風(fēng)險評估結(jié)果可實現(xiàn)與IPS、服務(wù)器防護模塊的智能聯(lián)動，自動生成策略，讓APT防護更加高效全面。3.2、風(fēng)險處置加固3.2.1、威脅性處置加固、惡意網(wǎng)址過濾NGAF同步Google每日可發(fā)現(xiàn)9500個新的惡意網(wǎng)址深信服NGAF內(nèi)置了龐大的惡意網(wǎng)址庫，并且實時更新，當(dāng)內(nèi)網(wǎng)用戶訪問惡意網(wǎng)站，將被提前告知，并實時預(yù)警攔截，讓“好奇害死貓”流血信息安全事件不再重演。、病毒檢測防范深信服NGAF防病毒采用先進流引擎查毒技術(shù)，針對HTTP、FTP、SMTP、POP3等協(xié)議進行查殺；能實時查殺大量文件型、網(wǎng)絡(luò)型和混合型等各類病毒；并采用新一代虛擬脫殼和行為判斷技術(shù)，準(zhǔn)確查殺各種變種病毒、未知病毒；內(nèi)置10萬條以上的病毒庫，并且可以自動或者手動升級。、僵尸網(wǎng)絡(luò)隔離深信服NGAF融合了僵尸網(wǎng)絡(luò)識別庫，利用業(yè)界領(lǐng)先的僵尸網(wǎng)絡(luò)識別檢測技術(shù)對黑客的攻擊行為進行有效識別，針對以反彈式木馬為代表的惡意軟件進行深度防護，目前有15萬條規(guī)則，并實時予以更新。同時，深信服NGAF正在完善安全云平臺，部署在全球各地的深信服下一代防火墻設(shè)備可以自動或手動上傳可疑的應(yīng)用流量到安全云平臺，平臺會自動分析，形成新的惡意軟件識別策略下發(fā)到全球所有設(shè)備的規(guī)則庫上。、DLP數(shù)據(jù)防泄漏深信服NGAF內(nèi)置常見敏感信息的特征庫，如身份證、MD5、手機號碼、銀行卡號、郵箱等，且可以靈活根據(jù)敏感信息特征自定義策略規(guī)則；支持http響應(yīng)報文中非法敏感信息的外泄檢測；支持?jǐn)?shù)據(jù)庫文件敏感信息檢測，防止數(shù)據(jù)庫文件被“拖庫”、“暴庫”。、防止非授權(quán)訪問在黑客攻擊滲透過程中，利用肉雞對攻擊目標(biāo)進行賬戶/口令暴力猜解或者數(shù)據(jù)監(jiān)聽，獲取合法賬戶/口令后可以繞過一切安全防護設(shè)備進行合法登陸，這些都是黑客攻擊過程中的慣用思路，深信服NGAF提供用戶登錄防護功能，對WEB登陸方式、非WEB登陸方式(telnet、irc、ldap、mysql、pop3、RDP等)進行強化保護，提供登陸前短信動態(tài)口令認(rèn)證功能，黑客即使成功獲取管理員賬戶口令，因無法獲取動態(tài)驗證口令，也無法完成對目標(biāo)系統(tǒng)的訪問，從而杜絕賬戶盜用、非授權(quán)訪問等風(fēng)險。、無線熱點發(fā)現(xiàn)發(fā)現(xiàn)并過濾內(nèi)網(wǎng)中的非法無線熱點和非法移動終端，禁止無線熱點共享上網(wǎng)，造成管理漏洞。、細(xì)粒度網(wǎng)絡(luò)審計用戶、IP地址、鏈接、網(wǎng)站類別、時間、網(wǎng)頁標(biāo)題，并支持網(wǎng)頁快照，網(wǎng)頁內(nèi)容直觀顯示、遠(yuǎn)程訪問傳輸加密3.2.2、脆弱性處置加固、網(wǎng)絡(luò)設(shè)備安全配置基線編號：安全要求-設(shè)備-通用-配置-可選要求內(nèi)容限制具備管理員權(quán)限的用戶遠(yuǎn)程登錄。遠(yuǎn)程執(zhí)行管理員權(quán)限操作，應(yīng)先以普通權(quán)限用戶遠(yuǎn)程登錄后，再切換到管理員權(quán)限賬號后執(zhí)行相應(yīng)操作。操作指南1．參考配置操作Router#configtEnterconfigurationcommands,oneperline.EndwithCNTL/Z.Router(config)#servicepassword-encryptionRouter(config)#usernamenormaluserpassword3d-zirc0niaRouter(config)#usernamenormaluserprivilege1Router(config)#linevty04Router(config-line)#loginlocalRouter(config-line)#exec-timeout50Router(config-line)#end2．補充操作說明設(shè)定賬號密碼加密保存創(chuàng)建normaluser賬號并指定權(quán)限級別為1；設(shè)定遠(yuǎn)程登錄啟用路由器賬號驗證；設(shè)定超時時間為5分鐘；、操作系統(tǒng)安全配置基線操作系統(tǒng)安全配置基線以windows2003做示例（1）、補丁安裝（2）、賬戶、口令策略修改（3）、網(wǎng)絡(luò)與服務(wù)加固（5）、文件系統(tǒng)加固、數(shù)據(jù)庫系統(tǒng)安全配置基線賬號ORACLE應(yīng)提供賬號管理及認(rèn)證授權(quán)功能，并應(yīng)滿足以下各項要求。編號：安全要求-設(shè)備-ORACLE-配置-1-可選要求內(nèi)容應(yīng)按照用戶分配賬號，避免不同用戶間共享賬號。操作指南參考配置操作createuserabc1identifiedbypassword1;createuserabc2identifiedbypassword2;建立role，并給role授權(quán)，把role賦給不同的用戶補充操作說明1、abc1和abc2是兩個不同的賬號名稱，可根據(jù)不同用戶，取不同的名稱；檢測方法判定條件不同名稱的用戶可以連接數(shù)據(jù)庫檢測操作connectabc1/password1連接數(shù)據(jù)庫成功5、補充說明編號：安全要求-設(shè)備-ORACLE-配置-2-可選要求內(nèi)容應(yīng)刪除或鎖定與數(shù)據(jù)庫運行、維護等工作無關(guān)的賬號。操作指南參考配置操作alteruserusernamelock;dropuserusernamecascade;補充操作說明檢測方法判定條件首先鎖定不需要的用戶在經(jīng)過一段時間后，確認(rèn)該用戶對業(yè)務(wù)確無影響的情況下，可以刪除4、檢測操作5、補充說明編號：安全要求-設(shè)備-ORACLE-配置-3要求內(nèi)容限制具備數(shù)據(jù)庫超級管理員（SYSDBA）權(quán)限的用戶遠(yuǎn)程登錄。（導(dǎo)致數(shù)據(jù)庫重起后，無法打開數(shù)據(jù)庫）操作指南1、參考配置操作1.在spfile中設(shè)置REMOTE_LOGIN_PASSWORDFILE=NONE來禁止SYSDBA用戶從遠(yuǎn)程登陸。2.在sqlnet.ora中設(shè)置SQLNET.AUTHENTICATION_SERVICES=NONE來禁用SYSDBA角色的自動登錄。2、補充操作說明檢測方法3、判定條件1.不能通過Sql*Net遠(yuǎn)程以SYSDBA用戶連接到數(shù)據(jù)庫。2.在數(shù)據(jù)庫主機上以sqlplus‘/assysdba’連接到數(shù)據(jù)庫需要輸入口令。4、檢測操作1.以O(shè)racle用戶登陸到系統(tǒng)中。2.以sqlplus‘/assysdba’登陸到sqlplus環(huán)境中。3.使用showparameter命令來檢查參數(shù)REMOTE_LOGIN_PASSWORDFILE是否設(shè)置為NONE。ShowparameterREMOTE_LOGIN_PASSWORDFILE4.檢查在$ORACLE_HOME/network/admin/sqlnet.ora文件中參數(shù)SQLNET.AUTHENTICATION_SERVICES是否被設(shè)置成NONE。5、補充說明編號：安全要求-設(shè)備-ORACLE-配置-8要求內(nèi)容在數(shù)據(jù)庫權(quán)限配置能力內(nèi)，根據(jù)用戶的業(yè)務(wù)需要，配置其所需的最小權(quán)限。操作指南參考配置操作grant權(quán)限tousername;revoke權(quán)限fromusername;補充操作說明用第一條命令給用戶賦相應(yīng)的最小權(quán)限用第二條命令收回用戶多余的權(quán)限檢測方法判定條件業(yè)務(wù)測試正常檢測操作業(yè)務(wù)測試正常5、補充說明編號：安全要求-設(shè)備-ORACLE-配置-9要求內(nèi)容使用數(shù)據(jù)庫角色（ROLE）來管理對象的權(quán)限。操作指南1、參考配置操作1.使用CreateRole命令創(chuàng)建角色。2.使用用Grant命令將相應(yīng)的系統(tǒng)、對象或Role的權(quán)限賦予應(yīng)用用戶。2、補充操作說明檢測方法3、判定條件對應(yīng)用用戶不要賦予DBARole或不必要的權(quán)限。4、檢測操作1.以DBA用戶登陸到sqlplus中。2.通過查詢dba_role_privs、dba_sys_privs和dba_tab_privs等視圖來檢查是否使用ROLE來管理對象權(quán)限。5、補充說明編號：安全要求-設(shè)備-ORACLE-配置-10-可選要求內(nèi)容對用戶的屬性進行控制，包括密碼策略、資源限制等。操作指南1、參考配置操作可通過下面類似命令來創(chuàng)建profile，并把它賦予一個用戶CREATEPROFILEapp_user2LIMITFAILED_LOGIN_ATTEMPTS6PASSWORD_LIFE_TIME60PASSWORD_REUSE_TIME60PASSWORD_REUSE_MAX5PASSWORD_VERIFY_FUNCTIONverify_functionPASSWORD_LOCK_TIME1/24PASSWORD_GRACE_TIME90;ALTERUSERjdPROFILEapp_user2;2、補充操作說明檢測方法3、判定條件1.可通過設(shè)置profile來限制數(shù)據(jù)庫賬戶口令的復(fù)雜程度，口令生存周期和賬戶的鎖定方式等。2.可通過設(shè)置profile來限制數(shù)據(jù)庫賬戶的CPU資源占用。4、檢測操作1.以DBA用戶登陸到sqlplus中。2.查詢視圖dba_profiles和dba_usres來檢查profile是否創(chuàng)建。5、補充說明編號：安全要求-設(shè)備-ORACLE-配置-13要求內(nèi)容啟用數(shù)據(jù)字典保護，只有SYSDBA用戶才能訪問數(shù)據(jù)字典基礎(chǔ)表。操作指南1、參考配置操作通過設(shè)置下面初始化參數(shù)來限制只有SYSDBA權(quán)限的用戶才能訪問數(shù)據(jù)字典。O7_DICTIONARY_ACCESSIBILITY=FALSE2、補充操作說明檢測方法3、判定條件以普通dba用戶登陸到數(shù)據(jù)庫，不能查看X$開頭的表，比如：select*fromsys.x$ksppi;4、檢測操作1.以O(shè)racle用戶登陸到系統(tǒng)中。2.以sqlplus‘/assysdba’登陸到sqlplus環(huán)境中。3.使用showparameter命令來檢查參數(shù)O7_DICTIONARY_ACCESSIBILITY是否設(shè)置為FALSE。ShowparameterO7_DICTIONARY_ACCESSIBILITY5、補充說明口令編號：安全要求-設(shè)備-ORACLE-配置-4要求內(nèi)容對于采用靜態(tài)口令進行認(rèn)證的數(shù)據(jù)庫，口令長度至少6位，并包括數(shù)字、小寫字母、大寫字母和特殊符號4類中至少2類。操作指南參考配置操作為用戶建profile，調(diào)整PASSWORD_VERIFY_FUNCTION，指定密碼復(fù)雜度補充操作說明檢測方法判定條件修改密碼為不符合要求的密碼，將失敗檢測操作alteruserabcd1identifiedbyabcd1;將失敗5、補充說明編號：安全要求-設(shè)備-ORACLE-配置-5要求內(nèi)容對于采用靜態(tài)口令認(rèn)證技術(shù)的數(shù)據(jù)庫，賬戶口令的生存期不長于90天。操作指南參考配置操作為用戶建相關(guān)profile，指定PASSWORD_GRACE_TIME為90天補充操作說明在90天內(nèi)，需要修改密碼檢測方法判定條件到期不修改密碼，密碼將會失效。連接數(shù)據(jù)庫將不會成功檢測操作connectusername/password報錯5、補充說明編號：安全要求-設(shè)備-ORACLE-配置-6-可選要求內(nèi)容對于采用靜態(tài)口令認(rèn)證技術(shù)的數(shù)據(jù)庫，應(yīng)配置數(shù)據(jù)庫，使用戶不能重復(fù)使用最近5次（含5次）內(nèi)已使用的口令。操作指南參考配置操作為用戶建profile,指定PASSWORD_REUSE_MAX為５補充操作說明當(dāng)前使用的密碼，必需在密碼修改５次后才能再次被使用檢測方法判定條件重用修改５次內(nèi)的密碼，將不能成功檢測操作alteruserusernameidentifiedbypassword1;如果password1在５次修改密碼內(nèi)被使用，該操作將不能成功5、補充說明編號：安全要求-設(shè)備-ORACLE-配置-7-可選要求內(nèi)容對于采用靜態(tài)口令認(rèn)證技術(shù)的數(shù)據(jù)庫，應(yīng)配置當(dāng)用戶連續(xù)認(rèn)證失敗次數(shù)超過6次（不含6次），鎖定該用戶使用的賬號。操作指南參考配置操作為用戶建profile，指定FAILED_LOGIN_ATTEMPTS為６補充操作說明如果連續(xù)６次連接該用戶不成功，用戶將被鎖定檢測方法判定條件連續(xù)６次用錯誤的密碼連接用戶，第７次時用戶將被鎖定檢測操作connectusername/password，連續(xù)６次失敗，用戶被鎖定5、補充說明編號：安全要求-設(shè)備-ORACLE-配置-11要求內(nèi)容更改數(shù)據(jù)庫默認(rèn)帳號的密碼。操作指南1、參考配置操作1.可通過下面命令來更改默認(rèn)用戶的密碼：ALTERUSERXXXIDENTIFIEDBYXXX;2.下面是默認(rèn)用戶列表：ANONYMOUSCTXSYSDBSNMPDIPDMSYSEXFSYSHRLBACSYSMDDATAMDSYSMGMT_VIEWODMODM_MTROEOLAPSYSORDPLUGINSORDSYSOUTLNPMQSQS_ADMQS_CBQS_CBADMQS_CSQS_ESQS_OSQS_WSRMANSCOTTSHSI_INFORMTN_SCHEMASYSSYSMANSYSTEMTSMSYSWK_TESTWKPROXYWKSYSWMSYSXDB2、補充操作說明檢測方法3、判定條件不能以用戶名作為密碼或使用默認(rèn)密碼的賬戶登陸到數(shù)據(jù)庫。4、檢測操作1.以DBA用戶登陸到sqlplus中。2.檢查數(shù)據(jù)庫默認(rèn)賬戶是否使用了用戶名作為密碼或默認(rèn)密碼。5、補充說明編號：安全要求-設(shè)備-ORACLE-配置-12要求內(nèi)容Oracle軟件賬戶的訪問控制可遵循操作系統(tǒng)賬戶的安全策略，比如不要共享賬戶、強制定期修改密碼、密碼需要有一定的復(fù)雜度等。操作指南1、參考配置操作使用操作系統(tǒng)一級的賬戶安全管理來保護Oracle軟件賬戶。2、補充操作說明檢測方法3、判定條件每3個月自動提示更改密碼，過期后不能登陸。4、檢測操作每3個月強制修改Oracle軟件賬戶密碼，并且密碼需要滿足一定的復(fù)雜程度，符合操作系統(tǒng)的密碼要求。5、補充說明日志編號：安全要求-設(shè)備-ORACLE-配置-16要求內(nèi)容數(shù)據(jù)庫應(yīng)配置日志功能，對用戶登錄進行記錄，記錄內(nèi)容包括用戶登錄使用的賬號、登錄是否成功、登錄時間以及遠(yuǎn)程登錄時用戶使用的IP地址。操作指南參考配置操作創(chuàng)建ORACLE登錄觸發(fā)器，記錄相關(guān)信息，但對IP地址的記錄會有困難1.建表LOGON_TABLE2.建觸發(fā)器CREATETRIGGERTRI_LOGONAFTERLOGONONDATABASEBEGININSERTINTOLOGON_TABLEVALUES(SYS_CONTEXT('USERENV','SESSION_USER'),SYSDATE);END;2、補充操作說明檢測方法判定條件登錄測試，檢查相關(guān)信息是否被記錄4、檢測操作補充說明觸發(fā)器與AUDIT會有相應(yīng)資源開消，請檢查系統(tǒng)資源是否充足。特別是RAC環(huán)境，資源消耗較大。編號：安全要求-設(shè)備-ORACLE-配置-17-可選要求內(nèi)容數(shù)據(jù)庫應(yīng)配置日志功能，記錄用戶對數(shù)據(jù)庫的操作，包括但不限于以下內(nèi)容：賬號創(chuàng)建、刪除和權(quán)限修改、口令修改、讀取和修改數(shù)據(jù)庫配置、讀取和修改業(yè)務(wù)用戶的話費數(shù)據(jù)、身份數(shù)據(jù)、涉及通信隱私數(shù)據(jù)。記錄需要包含用戶賬號，操作時間，操作內(nèi)容以及操作結(jié)果。操作指南參考配置操作創(chuàng)建ORACLE登錄觸發(fā)器，記錄相關(guān)信息，但對IP地址的記錄會有困難1.建表LOGON_TABLE2.建觸發(fā)器CREATETRIGGERTRI_LOGONAFTERLOGONONDATABASEBEGININSERTINTOLOGON_TABLEVALUES(SYS_CONTEXT('USERENV','SESSION_USER'),SYSDATE);END;2、補充操作說明檢測方法判定條件做相關(guān)操作，檢查是否記錄成功4、檢測操作補充說明觸發(fā)器與AUDIT會有相應(yīng)資源開消，請檢查系統(tǒng)資源是否充足。特別是RAC環(huán)境，資源消耗較大。編號：安全要求-設(shè)備-ORACLE-配置-18-可選要求內(nèi)容數(shù)據(jù)庫應(yīng)配置日志功能，記錄對與數(shù)據(jù)庫相關(guān)的安全事件。操作指南參考配置操作創(chuàng)建ORACLE登錄觸發(fā)器，記錄相關(guān)信息，但對IP地址的記錄會有困難1.建表LOGON_TABLE2.建觸發(fā)器CREATETRIGGERTRI_LOGONAFTERLOGONONDATABASEBEGININSERTINTOLOGON_TABLEVALUES(SYS_CONTEXT('USERENV','SESSION_USER'),SYSDATE);END;2、補充操作說明檢測方法判定條件做相關(guān)測試，檢查是否記錄成功4、檢測操作補充說明觸發(fā)器與AUDIT會有相應(yīng)資源開消，請檢查系統(tǒng)資源是否充足。特別是RAC環(huán)境，資源消耗較大。編號：安全要求-設(shè)備-ORACLE-配置-19-可選要求內(nèi)容根據(jù)業(yè)務(wù)要求制定數(shù)據(jù)庫審計策略。操作指南1、參考配置操作1.通過設(shè)置參數(shù)audit_trail=db或os來打開數(shù)據(jù)庫審計。2.然后可使用Audit命令對相應(yīng)的對象進行審計設(shè)置。2、補充操作說明檢測方法3、判定條件對審計的對象進行一次數(shù)據(jù)庫操作，檢查操作是否被記錄。4、檢測操作1.檢查初始化參數(shù)audit_trail是否設(shè)置。2.檢查dba_audit_trail視圖中或$ORACLE_BASE/admin/adump目錄下是否有數(shù)據(jù)。補充說明AUDIT會有相應(yīng)資源開消，請檢查系統(tǒng)資源是否充足。特別是RAC環(huán)境，資源消耗較大。3.3、安全管理3.3.1、安全集成參考3.3.2、安全制度參考安全制度包括各類安全制度，管理辦法，技術(shù)標(biāo)準(zhǔn)，配置標(biāo)準(zhǔn)，流程，記錄表單，技術(shù)手冊，操作指南等等。包括公司級別的，系統(tǒng)級別的，和資產(chǎn)級別的。安全制度設(shè)計項目流程圖3.3.3、安全運維參考安全運維主要包括：運維體系的建立和運行，各類運維管理記錄的產(chǎn)生和維護，以及信息安全管理制度的執(zhí)行記錄等。運維的總體流程如下圖：安全運維流程圖運維的主要內(nèi)容如下：安全運維內(nèi)容圖四、實施策略與關(guān)鍵技術(shù)4.1、深度內(nèi)容解析深信服NGAF的灰度威脅識別技術(shù)不但可以將數(shù)據(jù)包還原的內(nèi)容級別進行全面的威脅檢測，而且還可以針對黑客入侵過程中使用的不同攻擊方法進行關(guān)聯(lián)分析，從而精確定位出一個黑客的攻擊行為，有效阻斷威脅風(fēng)險的發(fā)生?；叶韧{識別技術(shù)改變了傳統(tǒng)IPS等設(shè)備防御威脅種類單一，威脅檢測經(jīng)常出現(xiàn)漏報、誤報的問題，可以