【G金融企業(yè)網(wǎng)絡(luò)安全管理問題及系統(tǒng)設(shè)計(jì)11000字（論文）】

參考文獻(xiàn)PAGE5G金融企業(yè)網(wǎng)絡(luò)安全管理問題及系統(tǒng)設(shè)計(jì)目錄TOC\o"1-3"\u第1章G金融企業(yè)網(wǎng)絡(luò)安全管理現(xiàn)狀及存在問題分析 51.1金融企業(yè)網(wǎng)絡(luò)安全管理現(xiàn)狀 51.2G金融企業(yè)網(wǎng)絡(luò)安全管理存在問題 51.2.1安全部門及崗位設(shè)置問題 51.2.2帳號(hào)生命周期管理問題 51.2.3訪問操作控制問題 61.2.4操作行為審計(jì)問題 61.2.5網(wǎng)銀系統(tǒng)防護(hù)及防欺詐問題 61.2.6數(shù)據(jù)庫安全問題 61.2.7監(jiān)控中心及平臺(tái)化問題 71.2.8合規(guī)性管理方面問題 7第2章G金融企業(yè)網(wǎng)絡(luò)安全管理系統(tǒng)設(shè)計(jì) 82.1安全合規(guī)管理中心平臺(tái) 82.1.1設(shè)計(jì)框架 82.1.32功能要求 82.2安全運(yùn)維管理 92.2.1設(shè)計(jì)目的 92.2.2設(shè)計(jì)框架 92.2.3功能要求 102.2.4建立集中監(jiān)控體系 132.2.5安全管理中心 142.2.6應(yīng)急響應(yīng)體系 152.3基礎(chǔ)安全服務(wù)和架構(gòu) 172.3.1用戶安全 172.3.2物理環(huán)境安全 172.3.3應(yīng)用安全 172.3.4數(shù)據(jù)安全 172.4營業(yè)部安全管理. 192.4.1網(wǎng)絡(luò)安全 192.4.2應(yīng)用安全 192.4.3審計(jì)管理 19第3章G金融企業(yè)網(wǎng)絡(luò)安全管理系統(tǒng)實(shí)現(xiàn)與測(cè)試 213.1系統(tǒng)拓?fù)?213.2系統(tǒng)實(shí)現(xiàn). 233.3系統(tǒng)測(cè)試 25第4章結(jié)論 27參考文獻(xiàn) 30第1章G金融企業(yè)網(wǎng)絡(luò)安全管理現(xiàn)狀及存在問題分析1.1金融企業(yè)網(wǎng)絡(luò)安全管理現(xiàn)狀近年來，不止個(gè)人用戶在逐漸關(guān)注和重視網(wǎng)絡(luò)安全，各個(gè)企業(yè)也把目光轉(zhuǎn)向了安全問題。而G金融企業(yè)，作為與貨幣打交道的企業(yè)，更是需要維護(hù)好網(wǎng)絡(luò)安全。目前，G金融企業(yè)的信息系統(tǒng)功能越來越復(fù)雜，系統(tǒng)越來越龐大，簡單傳統(tǒng)的網(wǎng)絡(luò)安全維護(hù)已經(jīng)不能滿足現(xiàn)代的網(wǎng)絡(luò)安全形勢(shì)。第二章中介紹的相關(guān)內(nèi)容都是傳統(tǒng)方法?，F(xiàn)代的網(wǎng)絡(luò)安全需要一種動(dòng)態(tài)的、主動(dòng)的、準(zhǔn)確的網(wǎng)絡(luò)安全管理系統(tǒng)。該系統(tǒng)可以監(jiān)察整個(gè)G金融企業(yè)的龐大的復(fù)雜的信息系統(tǒng)。不再需要人員被動(dòng)式的進(jìn)行網(wǎng)絡(luò)安全的監(jiān)察、排除、報(bào)警，而是由人工智能、Muti-Agent等技術(shù)來實(shí)現(xiàn)系統(tǒng)主動(dòng)追蹤安全隱患、自動(dòng)排除錯(cuò)誤，主動(dòng)報(bào)警的功能。G金融企業(yè)的網(wǎng)絡(luò)安全管理伴隨著計(jì)算機(jī)技術(shù)、互聯(lián)網(wǎng)技術(shù)、人工智能技術(shù)等的發(fā)展，已經(jīng)呈現(xiàn)智能化、多樣化、便捷化的發(fā)展趨勢(shì)。1.2G金融企業(yè)網(wǎng)絡(luò)安全管理存在問題1.2.1安全部門及崗位設(shè)置問題在企業(yè)的網(wǎng)絡(luò)安全管理中需要各種不同的角色，如流程(需求)發(fā)起人、變更人員、審核人員、復(fù)合人員、流程(需求)關(guān)閉人員等均需預(yù)定義角色并應(yīng)由實(shí)際不同人員承擔(dān)，目前多數(shù)企業(yè)存在角色復(fù)用及角色缺失情況。這就會(huì)造成網(wǎng)絡(luò)安全存在人員崗位方面的隱患。例如，某企業(yè)在網(wǎng)絡(luò)安全中，只設(shè)置了安全崗位，并沒有安全部門，安全崗位設(shè)置在IT中心下的運(yùn)行中心部門下的基礎(chǔ)架構(gòu)組的安全崗位，在實(shí)際工作中負(fù)責(zé)安全管理只有2人，而其中1人還承擔(dān)其他組的工作，實(shí)際承擔(dān)安全管理職責(zé)的應(yīng)為1.5人，而依據(jù)常規(guī)的安全管理要求，安全部門專職負(fù)責(zé)信息安全管理的人員應(yīng)超過了信息技術(shù)人員的2%或達(dá)到至少2人的要求，按照現(xiàn)有IT中心規(guī)模沒有達(dá)到人員編制要求，由此帶來的在實(shí)際安全管理過程中與流程角色相關(guān)的職責(zé)及合規(guī)部門、審計(jì)人員的工作配合均很難配合、很難專人專職。網(wǎng)絡(luò)安全都是防患于未然，當(dāng)安全沒有發(fā)生威脅時(shí)，人員的設(shè)置問題可能不會(huì)出現(xiàn)，但是一旦發(fā)生網(wǎng)絡(luò)安全，安全部門人員及崗位的設(shè)置問題便會(huì)是隱患。1.2.2帳號(hào)生命周期管理問題帳號(hào)的生命周期管理作為數(shù)據(jù)中心在安全管理方面是必不可少的，特別是需要建立一套自動(dòng)化、平臺(tái)化的帳號(hào)生命周期管理系統(tǒng)，借助流程化平臺(tái)完成整個(gè)數(shù)據(jù)中心的主機(jī)、服務(wù)器、網(wǎng)絡(luò)設(shè)備、應(yīng)用平臺(tái)及其他專業(yè)系統(tǒng)的帳號(hào)生命周期管理。目前很多金融企業(yè)都缺乏賬號(hào)的生命周期管理。原有的賬戶安全通過相關(guān)制度、安全策略及技術(shù)手段來實(shí)現(xiàn)針對(duì)相關(guān)資產(chǎn)的帳號(hào)和口令的復(fù)雜性設(shè)置，口令基本選擇系統(tǒng)本身靜態(tài)認(rèn)證方式，帳號(hào)口令相關(guān)安全策略基本符合等級(jí)保護(hù)中針對(duì)客體資源安全帳號(hào)的相關(guān)要求。但是還缺少帳號(hào)的生命周期管理機(jī)制，它會(huì)導(dǎo)致:(1)實(shí)際運(yùn)維人員及目標(biāo)資產(chǎn)帳號(hào)無法一一對(duì)應(yīng)。(2)訪問目標(biāo)資產(chǎn)的帳號(hào)在申請(qǐng)、變更、托管、注銷等方面，主體資源無法正常發(fā)起流程，無法自動(dòng)化完成相關(guān)流程。(3)帳號(hào)口令的生命周期無法自動(dòng)完成，特別是帳號(hào)的時(shí)效性、口令的時(shí)效性、自動(dòng)按照既定的安全策略重置口令等功能。(4)缺乏有效的平臺(tái)化支撐流程體系，與所有人員身份庫的同步，主體帳號(hào)、客體資產(chǎn)帳號(hào)的申請(qǐng)、變更、維護(hù)、注銷等各流程有效結(jié)合缺乏。(5)缺乏針對(duì)第三方人員身份管理及訪問資產(chǎn)帳號(hào)控制體系。1.2.3訪問操作控制問題網(wǎng)絡(luò)安全通過運(yùn)維人員擁有的目標(biāo)資產(chǎn)的帳號(hào)進(jìn)行日常相關(guān)作業(yè)維護(hù)，雖然具備相關(guān)授權(quán)管理制度及變更、運(yùn)維管理流程來制約相關(guān)訪問控制，但是還是缺乏平臺(tái)化、系統(tǒng)化的訪問控制授權(quán)體系。為了安全的提升，權(quán)限的控制，G金融企業(yè)必須建立系統(tǒng)化、平臺(tái)化的訪問控制體系，能夠有效的解決運(yùn)維人員越權(quán)操作、人員資源授權(quán)混亂的局面。1.2.4操作行為審計(jì)問題運(yùn)維人員實(shí)際運(yùn)維過程中針對(duì)目標(biāo)資產(chǎn)所做的相關(guān)配置變更、查看數(shù)據(jù)及相關(guān)敏感操作均為個(gè)人行為，沒有相關(guān)系統(tǒng)化、平臺(tái)化的機(jī)制進(jìn)行規(guī)范、約束、警示作用，很難做到實(shí)際運(yùn)維過程違規(guī)操作的監(jiān)控及事后審計(jì)效果。為了審計(jì)操作行為，G金融企業(yè)網(wǎng)絡(luò)安全管理必須應(yīng)用系統(tǒng)操作管理記錄，包括操作時(shí)間、操作人員及操作類型、操作內(nèi)容等記錄。1.2.5網(wǎng)銀系統(tǒng)防護(hù)及防欺詐問題隨著電子商務(wù)的發(fā)展，網(wǎng)絡(luò)銀行的用戶已經(jīng)越來越多。而網(wǎng)銀系統(tǒng)的安全問題一直是用戶擔(dān)心的問題。同時(shí)也是G金融企業(yè)擔(dān)心的問題。針對(duì)WEB站點(diǎn)本身所存在的安全漏洞、威脅、代碼安全無法正確預(yù)知，同時(shí)針對(duì)典型的WEB攻擊行為，如:SQL注入、跨站腳本等惡意攻擊行為無法實(shí)時(shí)阻斷，很難形成針對(duì)WEB站點(diǎn)自身的安全保護(hù)，所以WEB自身安全性存在很大安全隱患。同時(shí)，網(wǎng)銀業(yè)務(wù)及系統(tǒng)平臺(tái)面臨著交易欺詐行為，如釣魚網(wǎng)站的行為。通過建立網(wǎng)銀交易防欺詐平臺(tái)可以有效對(duì)網(wǎng)銀交易進(jìn)行保護(hù)。1.2.6數(shù)據(jù)庫安全問題信息就是生產(chǎn)力的時(shí)代已經(jīng)到來。G金融企業(yè)的信息更是企業(yè)的生命。企業(yè)所有的數(shù)據(jù)都存儲(chǔ)在分布式的數(shù)據(jù)庫中，這些數(shù)據(jù)包含著用戶賬戶、用戶隱私，銀行內(nèi)部財(cái)務(wù)等，都是不能被他人竊取的信息。用戶的訪問、黑客的入侵、數(shù)據(jù)的存儲(chǔ)過程，都存在著安全隱患，目前數(shù)據(jù)庫安全隱患集中在:(1)越權(quán)濫用(2)敏感數(shù)據(jù)被修改或者盜用(3)權(quán)限盜用(4)數(shù)據(jù)庫平臺(tái)漏洞(5)SQL注入(6)缺乏詳盡審計(jì)(7)拒絕攻擊(8)數(shù)據(jù)庫通信協(xié)議漏洞(9)弱鑒權(quán)機(jī)制1.2.7監(jiān)控中心及平臺(tái)化問題較大的數(shù)據(jù)中心一定需要建立集中的監(jiān)控平臺(tái)來完成對(duì)所有目標(biāo)對(duì)象的監(jiān)控，并通過統(tǒng)一監(jiān)控中心平臺(tái)來完成對(duì)安全事件、性能、業(yè)務(wù)等方面監(jiān)控流程執(zhí)行，包括變更流程、運(yùn)維流程及響應(yīng)流程等。同時(shí)通過建立統(tǒng)一監(jiān)控平臺(tái)可以完成運(yùn)維機(jī)制的知識(shí)庫的建立，配套完成在執(zhí)行流程過程維護(hù)所需的知識(shí)體系、預(yù)警體系、工單的預(yù)處理手冊(cè)等。.通過集中監(jiān)控平臺(tái)來完善針對(duì)流程、完善人員崗位角色的完善，真正形成基礎(chǔ)架構(gòu)監(jiān)控、網(wǎng)絡(luò)監(jiān)控、業(yè)務(wù)監(jiān)控、安全事件監(jiān)控為體的統(tǒng)一監(jiān)控中心。1.2.8合規(guī)性管理方面問題合規(guī)部門及相關(guān)崗位，目前涉及內(nèi)部業(yè)務(wù)交易及合同管理，沒有涉及It及安全。合規(guī)部門及相關(guān)崗位要經(jīng)常性的開展信息安全自查及配合檢查等任務(wù)。從安全管理流程來看，在完成相關(guān)配置變更或相關(guān)流程執(zhí)行均需要安全管理人員、系統(tǒng)管理人員、部門管理經(jīng)理、審計(jì)人員、審核人員、復(fù)核人員等角色或部分角色參與其中，具體流程是否執(zhí)行、執(zhí)行過程是否合規(guī)等問題均無法通過系統(tǒng)化、平臺(tái)化的方式實(shí)現(xiàn)自動(dòng)合規(guī)評(píng)估。

第2章G金融企業(yè)網(wǎng)絡(luò)安全管理系統(tǒng)設(shè)計(jì)2.1安全合規(guī)管理中心平臺(tái)2.1.1設(shè)計(jì)框架圖2.1安全合規(guī)管理平臺(tái)的設(shè)計(jì)框架框架中含四層架構(gòu):資產(chǎn)及專業(yè)系統(tǒng)層:主要資產(chǎn)管理、專業(yè)系統(tǒng)及專業(yè)安全子系統(tǒng)的數(shù)據(jù)采集分析，該層工作主要由資產(chǎn)管理模塊及專業(yè)子系統(tǒng)本身完成，因?yàn)樽鳛楹弦?guī)數(shù)據(jù)的數(shù)據(jù)源，該層所審計(jì)和提交的數(shù)據(jù)最準(zhǔn)確;數(shù)據(jù)采集層:數(shù)據(jù)采集層負(fù)責(zé)從資產(chǎn)、專業(yè)系統(tǒng)和專業(yè)安全系統(tǒng)采集數(shù)據(jù)，可以直接采集資產(chǎn)數(shù)據(jù)、也可以采集專業(yè)系統(tǒng)數(shù)據(jù)，形成數(shù)據(jù)倉庫;采集接口應(yīng)支持各種標(biāo)準(zhǔn)采集接口:合規(guī)分析層:合規(guī)分析層主要包括合規(guī)策略引擎和合規(guī)分析引擎，負(fù)責(zé)對(duì)采集層所采集到的數(shù)據(jù)的合規(guī)策略的集中學(xué)習(xí)、制定、計(jì)算以及合規(guī)性分析:合規(guī)呈現(xiàn)層:合規(guī)呈現(xiàn)層主要為平臺(tái)的整體Portal.通過該P(yáng)ortal可以整體呈現(xiàn)合規(guī)的各種標(biāo)準(zhǔn)報(bào)表、定制報(bào)表、以及統(tǒng)一合規(guī)搜索引擎。2.1.32功能要求安全合規(guī)管理的建設(shè)主要融合了安全管理、技術(shù)防護(hù)體系、系統(tǒng)運(yùn)維體系、流程服務(wù)體系等內(nèi)容。合規(guī)管理平臺(tái)應(yīng)提供對(duì)管理體系、各專業(yè)安全防護(hù)系統(tǒng)、各專業(yè)子系統(tǒng)、流程服務(wù)平臺(tái)等標(biāo)準(zhǔn)事件采集接口提供合規(guī)策略制定中心，形成各種標(biāo)準(zhǔn)的合規(guī)檢查KPI;提供統(tǒng)一合規(guī)檢查搜索引擎，提供用戶自查、上級(jí)檢查通道;提供金融行業(yè)、證券行業(yè)特有的合規(guī)檢查報(bào)表模版，如等級(jí)保護(hù)檢查等。2.2安全運(yùn)維管理2.2.1設(shè)計(jì)目的本文的安全運(yùn)維管理平臺(tái)采用4A運(yùn)維體系平臺(tái)。通過建立帳號(hào)口令的集中管理系.統(tǒng)來完成對(duì)IT中心所有人員的身份鑒別，實(shí)現(xiàn)統(tǒng)一人員身份庫，如LDAP庫的建立。形成數(shù)據(jù)中心整體身份庫:通過統(tǒng)一接入維護(hù)平臺(tái)的建立解決It人員資產(chǎn)授權(quán)的問題，同時(shí)將IT中心統(tǒng)--身份庫與平臺(tái)建立接口，形成自然人身份與實(shí)際資產(chǎn)中系統(tǒng)帳號(hào)相互匹配，有效解決運(yùn)維實(shí)名制問題。通過授權(quán)體系有效分配資產(chǎn)，并通過審計(jì)管理中心完成對(duì)所有人員操作行為的安全策略控制及事后審計(jì)工作。通過建立4A體系形成以帳號(hào)生命周期管理、人員身份鑒別、操作高可靠、運(yùn)維過程審計(jì)等功能為一體的安全管理平臺(tái)。2.2.2設(shè)計(jì)框架下圖2.2是設(shè)計(jì)框架。圖5.24A運(yùn)維體系平臺(tái)的設(shè)計(jì)框架2.2.3功能要求身份和訪問安全通常定義為身份驗(yàn)證、訪問管理和身份生命周期管理三部分。(1)賬號(hào)管理賬號(hào)管理模塊是4A管理平臺(tái)的核心，認(rèn)證、授權(quán)模塊需要的很多重要數(shù)據(jù)都是有賬號(hào)管理模塊負(fù)責(zé)管理的，如用戶(主賬號(hào))、從賬號(hào)(系統(tǒng)賬號(hào))、資源、應(yīng)用等數(shù)據(jù)，它們一起構(gòu)成了4A管理平臺(tái)的身份數(shù)據(jù)庫。賬號(hào)管理應(yīng)處理以下幾件事情:(a)梳理主從賬號(hào)對(duì)應(yīng)關(guān)系:可以提供梳理模板。(b)考慮賬號(hào)的生命周期管理。(c)考慮和現(xiàn)有OA、LDAP等做接口同步數(shù)據(jù)。(d)建立賬號(hào)審批流程。(c)健全人員角色。(2)認(rèn)證和授權(quán)體系.4A認(rèn)證方式包括:(a)本地靜態(tài)認(rèn)證接口(b)動(dòng)態(tài)短信接口(c)工單方式接口(d)動(dòng)態(tài)令牌方式(c)LDAP方式接口(f)動(dòng)態(tài)接口從內(nèi)部角色的角度而言，用戶在系統(tǒng)中都具有一個(gè)相應(yīng)的主賬號(hào)，該主賬號(hào)可以對(duì)應(yīng)系統(tǒng)中的一種或多種角色類型，不同的角色，對(duì)系統(tǒng)中的各種被管對(duì)象賬號(hào)等具有不同的訪問及管理權(quán)限。如下圖2.3所示:圖2.34A管理平臺(tái)的設(shè)計(jì)的角色授權(quán)模型從外部角色的角度而言，一個(gè)用戶可能具有多個(gè)從賬號(hào)，這些從賬號(hào)分屬于不同的系統(tǒng)或應(yīng)用。對(duì)這些從屬于各個(gè)不同資源對(duì)象的從賬號(hào)來說，其權(quán)限的控制更多的基于其所屬對(duì)象的本身的賬號(hào)權(quán)限管理機(jī)制。授權(quán)體系一.般在4A平臺(tái)中采用堡壘機(jī)技術(shù)實(shí)現(xiàn)比較多，針對(duì)某某公司的現(xiàn)狀，目前可以采用堡壘主機(jī)技術(shù)來實(shí)現(xiàn)，基于原有的KVM的維護(hù)方式，也可以和堡壘主機(jī)技術(shù)進(jìn)行集成，從而實(shí)現(xiàn)命令行及圖形方式的運(yùn)維授權(quán)及管控。(3)日志審計(jì)日志審計(jì)功能包括對(duì)如下內(nèi)容的審計(jì)。操作日志包括用戶下達(dá)的指令及返回的結(jié)果，如用戶通過SSH、Telnet、Ftp等所做的所有操作日志，這些日志信息由堡壘主機(jī)(若使用堡壘主機(jī)技術(shù))獲取，并通過堡壘主機(jī)送往審計(jì)模塊進(jìn)行審計(jì)。數(shù)據(jù)庫日志包括用戶對(duì)數(shù)據(jù)庫的訪問，如登入、登出、SQL、存儲(chǔ)過程等。4A管理系統(tǒng)全面支持對(duì)數(shù)據(jù)庫操作的審計(jì)，無論字符工具還是圖形工具都能夠獲取具體的字符操作記錄，例如具體的sql語句。字符工具通過堡壘主機(jī)字符方式獲取具體的操作記錄，圖形界面工具可以通過兩種手段同時(shí)進(jìn)行審計(jì)，-種是通過圖形堡壘主機(jī)獲得用戶身份信息和具體的操作時(shí)間，并要的時(shí)候可以記錄用戶的屏幕操作，同時(shí)使用部署在安全堡壘主機(jī)同個(gè)網(wǎng)段的的數(shù)據(jù)庫審計(jì)設(shè)備，對(duì)該網(wǎng)段的數(shù)據(jù)庫操作的進(jìn)行實(shí)時(shí)的監(jiān)聽，并進(jìn)行解包，獲得具體的數(shù)據(jù)庫字符操作信息，并把這些信息發(fā)送到4A管理平臺(tái)的審計(jì)系統(tǒng)進(jìn)行綜合統(tǒng)一分析。4A管理平臺(tái)收集到這些信息后與圖形堡壘主機(jī)獲取的信息進(jìn)行關(guān)聯(lián)，使具體的數(shù)據(jù)庫操作能夠關(guān)聯(lián)到用戶(自然人)，實(shí)現(xiàn)人和操作的一一對(duì)應(yīng)。系統(tǒng)日志主要指用戶對(duì)主機(jī)、網(wǎng)絡(luò)設(shè)備的登入日志，如LoginScessful、LoginFailed等，這種日志大部分可以通過Syslog發(fā)送到審計(jì)模塊進(jìn)行審計(jì)。應(yīng)用日志是指應(yīng)用程序的日志，如Wcb的日志，通過對(duì)這種日志的分析可以發(fā)現(xiàn)哪個(gè)人在什么時(shí)候訪問了哪些頁面，做了什么操作，成功與否等。4A自身日志可以細(xì)分為用戶操作日志和系統(tǒng)日志，用戶操作日志是指哪個(gè)人在什么時(shí)候做了哪些操作，操作的結(jié)果怎么樣:系統(tǒng)日志主要指系統(tǒng)各組件運(yùn)行過程中記錄的一些日志，如錯(cuò)誤日志、發(fā)短信、郵件產(chǎn)生的日志等。(4)審批流程管理審批流程如下圖2.4所示。圖2.4審批流程涉及人員:從賬號(hào)申請(qǐng)人、部門安全管理員、部門經(jīng)理、中心安全管理員、中心經(jīng)理、執(zhí)行部門經(jīng)理、執(zhí)行部門安全管理員、執(zhí)行人。其中:(1)申請(qǐng)時(shí)說明賬號(hào)名稱、權(quán)限、有效期:(2)請(qǐng)求到達(dá)中心安全管理員時(shí)，其判斷是否需要給中心經(jīng)理審批，若需要，中心經(jīng)理審批完再回到中心安全管理員，再繼續(xù)下面的流程:若不需要，直接發(fā)給執(zhí)行部門經(jīng)理:(3)支持駁回。實(shí)際流程落地及運(yùn)維體系應(yīng)參照已經(jīng)實(shí)現(xiàn)的ISO20000中各種變更流程的角色設(shè)置，以此來修正4A中各種角色。2.2.4建立集中監(jiān)控體系建立安全管理中心、形成監(jiān)控機(jī)制、審計(jì)機(jī)制。對(duì)于G金融企業(yè)網(wǎng)絡(luò)安全，無論是在安全運(yùn)維管理模式還是人員組織架構(gòu)方面，不應(yīng)還采用多套系統(tǒng)共同完成某-特定防護(hù)的體系平臺(tái)，應(yīng)建立統(tǒng)一集中監(jiān)控平臺(tái)，來實(shí)現(xiàn)針對(duì)基礎(chǔ)架構(gòu)整體監(jiān)控、應(yīng)用平臺(tái)運(yùn)維性能監(jiān)控、業(yè)務(wù)風(fēng)險(xiǎn)監(jiān)控、安全事件監(jiān)控等體系。集中監(jiān)控平臺(tái)應(yīng)為統(tǒng)--安全監(jiān)控管理平臺(tái)，該平臺(tái)承載著所有監(jiān)控?cái)?shù)據(jù)的匯總、各類監(jiān)控動(dòng)態(tài)呈現(xiàn)、分類呈現(xiàn)報(bào)表信息、各類監(jiān)控?cái)?shù)據(jù)運(yùn)維工單接口、變更行為發(fā)起接口、運(yùn)維反饋接口等統(tǒng)一監(jiān)控門戶。應(yīng)設(shè)立專門的監(jiān)控崗位，負(fù)責(zé)對(duì)統(tǒng)一監(jiān)控平臺(tái)的維護(hù)及監(jiān)控?cái)?shù)據(jù)查看，所有監(jiān)控行為均由監(jiān)控崗位匯總，所有運(yùn)維流程起源均應(yīng)由監(jiān)控平臺(tái)提供憑證，然后再進(jìn)行派發(fā)工單形成變更流程。同時(shí)建立集中化監(jiān)控體系，便于進(jìn)行審計(jì)信息的關(guān)聯(lián)分析機(jī)制。設(shè)計(jì)框架如下圖5.5所示。圖2.5集中監(jiān)控體系框架通過三層架構(gòu)來完成，形成最終最業(yè)務(wù)的影響分析模型以及合規(guī)性報(bào)表。其功能包括:事件源采集要求、關(guān)聯(lián)分析要求、告警要求、知識(shí)庫要求、報(bào)表要求。2.2.5安全管理中心G金融企業(yè)需要借助安全運(yùn)行管理系統(tǒng)把分散的安全信息進(jìn)行集中管理，為企業(yè)的通信網(wǎng)絡(luò)和業(yè)務(wù)支撐系統(tǒng)提供安全保障。安全運(yùn)行管理系統(tǒng)是對(duì)安全信息的集中管理，需要與其他業(yè)務(wù)系統(tǒng)之間完成交互，首先ISMP系統(tǒng)接收來自第三方的安全預(yù)警和安全投訴，然后通過電子工單提交給監(jiān)控管理人員對(duì)外圍安全防護(hù)設(shè)備及安全對(duì)象下達(dá)執(zhí)行安全策略，同時(shí)，ISMP系統(tǒng)采集安全防護(hù)設(shè)備和安全對(duì)象的安全信息，并且對(duì)其進(jìn)行關(guān)聯(lián)分析，計(jì)算安全風(fēng)險(xiǎn)，呈現(xiàn)給安全管理員。安全管理人員對(duì)相關(guān)安全信息進(jìn)行統(tǒng)計(jì)匯總后形成報(bào)表，將報(bào)表通過辦公信息系統(tǒng)提交領(lǐng)導(dǎo)進(jìn)行分析決策。安全運(yùn)行管理的平臺(tái)架構(gòu)如下圖2.6所示。:。ISMP安全運(yùn)行管理系統(tǒng)總體結(jié)構(gòu)可以分為以下幾個(gè)部分:PORTAL管理、ISMP主體功能模塊、安全信息收集平臺(tái)、應(yīng)用接口層。PORTAL管理:對(duì)于企業(yè)中支持B/S方式進(jìn)行管理的安全管理系統(tǒng)，但是他們屬于安全管理系統(tǒng)的一部分，例如垃圾郵件投訴處理系統(tǒng)，審計(jì)系統(tǒng)等，對(duì)于這樣的系統(tǒng)，采用PORTAL方式進(jìn)行集成，統(tǒng)一納入信息安全管理系統(tǒng)進(jìn)行管理。通過PORTAL功能的集成可以實(shí)現(xiàn)多個(gè)安全管理子系統(tǒng)的單點(diǎn)登錄和安全系統(tǒng)的集中授權(quán)管理。ISMP主體功能模塊:對(duì)安全事件進(jìn)行統(tǒng)計(jì)、追蹤和監(jiān)控。安全信息收集平臺(tái):主要負(fù)責(zé)對(duì)安全事件、安全脆弱性等安全信息的收集，由各種數(shù)據(jù)采集組件組成。應(yīng)用接口層:通過接口實(shí)現(xiàn)系統(tǒng)之間的連接以及系統(tǒng)的可擴(kuò)展性。公司安全運(yùn)行管理系統(tǒng)以安全對(duì)象的屬性信息及相關(guān)安全事件輸入為基礎(chǔ)，通過各個(gè)功能模塊的處理，最終將系統(tǒng)處理結(jié)果與安全對(duì)象的屬性信息進(jìn)行關(guān)聯(lián)，完成安全信息數(shù)據(jù)在系統(tǒng)中的閉環(huán)流轉(zhuǎn)。2.2.6應(yīng)急響應(yīng)體系在應(yīng)急響應(yīng)體系中，事件的級(jí)別劃分如下表5.1所示。表2.1應(yīng)急響應(yīng)體系事件級(jí)別總體的應(yīng)急預(yù)案的基本流程主要由:準(zhǔn)備階段、監(jiān)測(cè)及事件分析階段、事件處理階段、結(jié)束響應(yīng)階段、總結(jié)及預(yù)警階段。準(zhǔn)備階段包括了人員、組織的準(zhǔn)備以及技術(shù)的準(zhǔn)備，技術(shù)準(zhǔn)備主要是要建立監(jiān)控管理的技術(shù)體系和平臺(tái)，為事件發(fā)生后的技術(shù)分析，及時(shí)的通告和響應(yīng)等提供條件和保障。同時(shí)，盡可能地在事前做好相應(yīng)的安全防范工作，準(zhǔn)備好進(jìn)行應(yīng)急處理的技術(shù)工具等內(nèi)容。監(jiān)測(cè)及事件分析階段。監(jiān)測(cè)人員通過手動(dòng)監(jiān)測(cè)方式以及在準(zhǔn)備階段建設(shè)好的安全運(yùn)行管理中心的監(jiān)測(cè)方式，監(jiān)測(cè)是否有異?，F(xiàn)象的發(fā)生:當(dāng)發(fā)生異常情況時(shí)，并根據(jù)異常的性質(zhì)與影響，決定是否向相關(guān)人員進(jìn)行報(bào)告。上報(bào)方式除了通常的電話外，還可以利用安全運(yùn)行管理中心平臺(tái)中的告警機(jī)制，根據(jù)告警級(jí)別的不同，通過工單、郵件、短信的方式上報(bào)和通知到相關(guān)人員。上報(bào)后，相關(guān)人員應(yīng)該對(duì)異常情況進(jìn)行分析，判斷是否事件類型，識(shí)別攻擊的性質(zhì)系，獲得必要的幫助:在必要的時(shí)候，向公安機(jī)關(guān)報(bào)案以獲得幫助;事件處理階段。根據(jù)事件的不同，采取不同的處理方案，啟用相應(yīng)的專題應(yīng)急預(yù)案;根據(jù)事件級(jí)別的不同，按照相應(yīng)級(jí)別的處理要求對(duì)事件進(jìn)行處理、上報(bào)。對(duì)于常見的、主要的事件類型，要建立專題應(yīng)急處理預(yù)案，主要有:《病毒蟎蟲應(yīng)急處理流程》《拒絕服務(wù)攻擊應(yīng)急處理流程》《信息篡改事件處理流程》《Arp攻擊應(yīng)急流程》《僵尸網(wǎng)絡(luò)”事件應(yīng)急處理流程》結(jié)束響應(yīng)階段。應(yīng)急處理人員根據(jù)之前判斷的攻擊信息，采取必要的技術(shù)手段控制攻擊行為、恢復(fù)系統(tǒng)服務(wù)并對(duì)攻擊的來源進(jìn)行追蹤:如果攻擊源不在平臺(tái)內(nèi)部，需通過相關(guān)單位進(jìn)行協(xié)調(diào)，以協(xié)助進(jìn)行追蹤、取證，必要時(shí)向公安機(jī)關(guān)通報(bào)相關(guān)信息，對(duì)攻擊者進(jìn)行抓捕?？偨Y(jié)匯報(bào)階段。在應(yīng)急響應(yīng)的整個(gè)流程中，總結(jié)經(jīng)驗(yàn)是非常重要的環(huán)節(jié)，在應(yīng)急完成后，應(yīng)當(dāng)首先安全事件應(yīng)急處理結(jié)束后，由應(yīng)急處理參與各維護(hù)單位分別提交應(yīng)急故障處理報(bào)告。2.3基礎(chǔ)安全服務(wù)和架構(gòu)2.3.1用戶安全用戶安全分為身份管理、認(rèn)證管理和權(quán)限管理。身份管理主要為解決用戶身份鑒別的問題，應(yīng)滿足等級(jí)保護(hù)三級(jí)的要求，企業(yè)應(yīng)建立統(tǒng)一身份庫，明確與It安全有關(guān)的人員身份，系統(tǒng)及應(yīng)用的用戶可以和身份管理系統(tǒng)建立對(duì)應(yīng)關(guān)系，使得主體和客體之間的關(guān)系明確。認(rèn)證應(yīng)采用多種認(rèn)證方式實(shí)現(xiàn)，就金融行業(yè)的系統(tǒng)特點(diǎn)來看，可以選擇動(dòng)態(tài)短信、雙因素認(rèn)證令牌等。權(quán)限管理是針對(duì)用戶身份所賦予的行為職責(zé)，通過身份的建立將用戶能夠使用的資源范圍進(jìn)行框定。2.3.2物理環(huán)境安全物理環(huán)境主要是指設(shè)施方面。確保信息系統(tǒng)在對(duì)信息進(jìn)行采集、加工、上傳、存儲(chǔ)的安全。物理環(huán)境針對(duì)It安全來看主要為解決機(jī)房的整體安全，其中應(yīng)滿足以上要求并能夠滿足等級(jí)保護(hù)三級(jí)要求。2.3.3應(yīng)用安全應(yīng)用系統(tǒng)位于信息系統(tǒng)最上層，與用戶直接打交道。應(yīng)用安全應(yīng)針對(duì)應(yīng)用的身份鑒別、訪問控制、安全審計(jì)機(jī)制，此三種要求納入整體4A體系考慮。達(dá)到以上要求后應(yīng)能滿足等級(jí)保護(hù)三級(jí)的要求。對(duì)郵件系統(tǒng)應(yīng)部署郵件安全網(wǎng)關(guān)，防范郵件病毒、有害代碼和垃圾郵件的危害。2.3.4數(shù)據(jù)安全數(shù)據(jù)是指企業(yè)所積累和掌握的客戶信息、生產(chǎn)信息、運(yùn)營信息，準(zhǔn)確地提供給公司領(lǐng)導(dǎo)、相關(guān)部門的數(shù)據(jù)以及容災(zāi)系統(tǒng)、測(cè)試系統(tǒng)、已備份的數(shù)據(jù)等。不論數(shù)據(jù)以何種形式存在，也不論以何種方式被共享或存儲(chǔ)，數(shù)據(jù)始終應(yīng)當(dāng)?shù)玫酵咨票Ｗo(hù)。其中身份鑒別、安全審計(jì)和訪問控制等方面主要還是針對(duì)應(yīng)用系統(tǒng)用戶級(jí)的安全防護(hù)，并未提及針對(duì)客戶本身接口的安全防護(hù)，特別是針對(duì)網(wǎng)銀系統(tǒng)所存在的應(yīng)用級(jí)的安全風(fēng)險(xiǎn)和防護(hù)沒有進(jìn)行細(xì)致要求。作為證券行業(yè)，IT數(shù)據(jù)中心面臨著大量的在線交易業(yè)務(wù)。越來越多的欺詐交易行為也給企業(yè)及客戶均帶來了相當(dāng)多的安全隱患。所以某某公司新的數(shù)據(jù)中心針對(duì)交易欺詐風(fēng)險(xiǎn)應(yīng)提供及時(shí)的防欺詐系統(tǒng)平臺(tái)來降低交易的安全風(fēng)險(xiǎn)，主要采用相關(guān)技術(shù)手段如在用戶登錄交易界面的Portal提供個(gè)性化的圖像識(shí)別，來提示用戶登錄的是否為合法的交易站點(diǎn)，提供Portal認(rèn)證的強(qiáng)認(rèn)證及高可靠安全的帳號(hào)和密碼、針對(duì)交易行為提供用戶私密問題來驗(yàn)證、請(qǐng)求安全檔案機(jī)制，針對(duì)網(wǎng)銀站點(diǎn)交易的應(yīng)用安全防護(hù)等行為。圖2.7數(shù)據(jù)安全設(shè)計(jì)框架網(wǎng)銀交易防欺詐行為主要表現(xiàn)在跨站腳本、SQL注入等典型應(yīng)用型攻擊。通過部署Web應(yīng)用防護(hù)及預(yù)警體系可以有效預(yù)防和阻止針對(duì)網(wǎng)銀交易的攻擊和欺詐行為。功能要求包括:Web應(yīng)用保護(hù)要求Web、HTTP和XML應(yīng)用攻擊SQL注入會(huì)話劫持跨站腳本(XSS)篡改表格字段已知BUG.“第零日病毒”緩沖器溢出cookic布毒DOS&DDOS攻擊CC類攻擊惡意機(jī)器人參數(shù)篡改強(qiáng)制登陸惡意編碼目錄游走系統(tǒng)攻擊漏洞掃描命令注入非法編碼非法竊取數(shù)據(jù)盜竊數(shù)據(jù)泄漏間諜軟件網(wǎng)絡(luò)釣魚網(wǎng)頁篡改等。對(duì)特別關(guān)鍵、敏感程度極高的終端或控制臺(tái)PC，也應(yīng)考慮部署7x24小時(shí)的用戶操作審計(jì)系統(tǒng)，保證操作行為的可控和可審計(jì)。數(shù)據(jù)庫行為審計(jì)針對(duì)數(shù)據(jù)中心大量的數(shù)據(jù)庫系統(tǒng)，除了在4A體系中采用運(yùn)維操作行為審計(jì)及管控之外，還應(yīng)提供專業(yè)的數(shù)據(jù)庫保護(hù)機(jī)制，實(shí)現(xiàn)對(duì)數(shù)據(jù)庫整體的安全威脅掃描、數(shù)據(jù)庫整體安全審計(jì)、數(shù)據(jù)庫運(yùn)維安全策略的事中監(jiān)控等行為。針對(duì)數(shù)據(jù)庫安全保護(hù)方面通過主要采用流量鏡像的方式實(shí)現(xiàn)對(duì)數(shù)據(jù)庫的安全審計(jì)，也可采用數(shù)據(jù)庫session劫持的方式實(shí)現(xiàn)對(duì)數(shù)據(jù)庫所有行為的安全阻斷等操作。2.4營業(yè)部安全管理.2.4.1網(wǎng)絡(luò)安全(1)互聯(lián)網(wǎng)邊界防護(hù)應(yīng)在營業(yè)部的互聯(lián)網(wǎng)出口再部署一套防火墻，形成異構(gòu)模式，同時(shí)可以部署成雙機(jī)冗余的模式，構(gòu)造更加合理的DMZ，實(shí)現(xiàn)內(nèi)部網(wǎng)絡(luò)和外部網(wǎng)絡(luò)的隔離。(2)安全域隔離主要針對(duì)營業(yè)部公共區(qū)域、辦公區(qū)域、交易區(qū)域等進(jìn)行網(wǎng)絡(luò)VLAN劃分，同時(shí)進(jìn)行邊界訪問控制，有需要的話可以部署防火墻進(jìn)行訪問控制和隔離措施，保證營業(yè)部各安全域之間不會(huì)造成相互威脅，同時(shí)對(duì)核心交易系統(tǒng)不會(huì)造成影響。2.4.2應(yīng)用安全根據(jù)等保的惡意代碼防范要求，在集中交易和網(wǎng)上交易的邊界，部署惡意代碼檢測(cè)系統(tǒng)，提供核心業(yè)務(wù)系統(tǒng)的內(nèi)容安全。2.4.3審計(jì)管理(1)入侵防護(hù)管理營業(yè)部作為業(yè)務(wù)交易區(qū)域，很容易造成入侵行為，所以為了滿足等級(jí)保護(hù)3級(jí)的要求，應(yīng)在營業(yè)部流量出口處部署入侵防護(hù)系統(tǒng)，保障業(yè)務(wù)交流的流量安全。(2).上網(wǎng)行為管理在滿足網(wǎng)監(jiān)檢查要求的基礎(chǔ)之上應(yīng)增加實(shí)際的安全管理策略要求。增加網(wǎng)絡(luò)應(yīng)用控制:FTP、HTTP、下載軟件、網(wǎng)絡(luò)游戲等控制:網(wǎng)頁內(nèi)容過濾:URL過濾、關(guān)鍵字過濾:外發(fā)信息控制:E-mail、論壇等;上網(wǎng)行為控制:.上外時(shí)間周期、設(shè)置黑名單等;頁面提醒告警:告警提示、阻斷提示等。下載SQLSERVER2012的安裝包，成功安裝數(shù)據(jù)庫后，與本文基于物聯(lián)網(wǎng)的物流信息系統(tǒng)的程序進(jìn)行連接。成功連接后，可以直接通過程序?qū)?shù)據(jù)庫進(jìn)行自動(dòng)操控。在VisioStutio2012開發(fā)環(huán)境下建立的C#語言的基于物聯(lián)網(wǎng)的物流信息系統(tǒng)的配置文件中，在原有代碼的基礎(chǔ).上進(jìn)行數(shù)據(jù)庫連接的修改。再配置好數(shù)據(jù)庫的連接后，可以直接在程序代碼中連接數(shù)據(jù)庫。

第3章G金融企業(yè)網(wǎng)絡(luò)安全管理系統(tǒng)實(shí)現(xiàn)與測(cè)試3.1系統(tǒng)拓?fù)鋱D3.1系統(tǒng)總體運(yùn)行拓?fù)鋸膱D3.1可以看出，本文的系統(tǒng)是由多種入口、多種地址分類、多個(gè)服務(wù)器共同形成的一個(gè)分布式的網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)。根據(jù)本文的系統(tǒng)設(shè)計(jì)，本文的網(wǎng)絡(luò)安全系統(tǒng)是一個(gè)多層次、復(fù)雜、安全的系統(tǒng)，根據(jù)在G金融企業(yè)網(wǎng)絡(luò)系統(tǒng)的各個(gè)模塊區(qū)域中，采用本文的G金融網(wǎng)絡(luò)安全管理系統(tǒng)，形成了-套安全的防護(hù)和保障系統(tǒng)。下面通過G金融企業(yè)系統(tǒng)的三個(gè)核心區(qū)域模塊的運(yùn)行拓?fù)鋪斫榻B本文網(wǎng)絡(luò)安全系統(tǒng)的實(shí)現(xiàn)。圖3.2業(yè)務(wù)支撐區(qū)域模塊運(yùn)行拓?fù)鋱D3.2是G金融企業(yè)系統(tǒng)的業(yè)務(wù)支撐區(qū)域模塊的運(yùn)行拓?fù)?，從圖中可以看出，用戶需要通過多層網(wǎng)絡(luò)安全過濾，才能與核心服務(wù)器進(jìn)行通訊。圖3.3呼叫中心區(qū)域模塊運(yùn)行拓?fù)鋱D3.3是G金融企業(yè)系統(tǒng)呼叫中心區(qū)域模塊的運(yùn)行拓?fù)洹D3.4網(wǎng)上交易區(qū)域模塊運(yùn)行拓?fù)鋱D3.4是G金融企業(yè)系統(tǒng)網(wǎng)上交易區(qū)域模塊的運(yùn)行拓?fù)洹?.2系統(tǒng)實(shí)現(xiàn).本文的系統(tǒng)是安全管理系統(tǒng)，它是保障其他系統(tǒng)運(yùn)行安全的元套機(jī)制。它與其他系統(tǒng)之間的關(guān)系如下圖3.5所示:圖3.5安全運(yùn)行管理系統(tǒng)與其他系統(tǒng)關(guān)系在3.1的系統(tǒng)拓?fù)湎?，本文?duì)G金融企業(yè)網(wǎng)絡(luò)安全管理系統(tǒng)進(jìn)行實(shí)現(xiàn)，通過以下內(nèi)容展示系統(tǒng)的實(shí)現(xiàn)部分。對(duì)于本文的G金融企業(yè)網(wǎng)絡(luò)安全管理系統(tǒng)，因?yàn)槠浔旧砭褪且惶装踩芾硐到y(tǒng)，所以本文系統(tǒng)對(duì)于用戶的身份識(shí)別，安全認(rèn)證具有很高的要求。系統(tǒng)組織結(jié)構(gòu)中包含很多用戶，用戶負(fù)責(zé)管理維護(hù)系統(tǒng)的資源，資源上運(yùn)行著的都是重要應(yīng)用，每個(gè)應(yīng)用上存在許多賬號(hào)，用戶通過這些賬號(hào)對(duì)應(yīng)用進(jìn)行維護(hù)和管理。通過樹圖形象地展現(xiàn)身份數(shù)據(jù)庫中這些元素之間的關(guān)系，如圖3.6所示。圖3.6身份數(shù)據(jù)庫中主要信息的關(guān)系的樹圖本文的安全運(yùn)維管理平臺(tái)采用4A運(yùn)維體系平臺(tái)。通過建立帳號(hào)口令的集中管理系統(tǒng)來完成對(duì)It中心所有人員的身份鑒別，實(shí)現(xiàn)統(tǒng)一人員身份庫，如LDAP庫的建立。形成數(shù)據(jù)中心整體身份庫:通過統(tǒng)一接入維護(hù)平臺(tái)的建立解決IT人員資產(chǎn)授權(quán)的問題，同時(shí)將It中心統(tǒng)一身份庫與平臺(tái)建立接口，形成自然人身份與實(shí)際資產(chǎn)中系統(tǒng)帳號(hào)相互匹配，有效解決運(yùn)維實(shí)名制問題。通過授權(quán)體系有效分配資產(chǎn)，并通過審計(jì)管理中心完成對(duì)所有人員操作行為的安全策略控制及事后審計(jì)工作。身份數(shù)據(jù)庫中主要信息的關(guān)系如下圖3.7所示:本文系統(tǒng)的審計(jì)功能可以實(shí)現(xiàn):(1)入侵檢測(cè)及防護(hù)。為了