網(wǎng)絡(luò)與信息安全培訓(xùn)材料

網(wǎng)絡(luò)與信息安全一、企業(yè)信息平安的重要性和意義隨著這幾年來病毒的流行、黑客的猖狂，信息平安風(fēng)險(xiǎn)已被越來越多的企業(yè)認(rèn)識(shí)與重視，信息平安的重要性已得到普遍認(rèn)識(shí)與重視。信息網(wǎng)絡(luò)平安成為全球化問題2000年2月Yahoo！等被攻擊案件2001年8月紅色代碼事件2001年9月尼姆達(dá)事件2003年1月SQLSLAMMER事件2003年3月紅色代碼F變種事件2003年7月沖擊波事件2004年5月震蕩波事件重要性和意義當(dāng)今社會(huì)，信息己成為企業(yè)的一種重要的資產(chǎn)，必須加以妥善的保護(hù)。信息平安管理使企業(yè)信息防止一系列威脅，保障了企業(yè)商務(wù)活動(dòng)的連續(xù)性，最大限度地減小企業(yè)的商務(wù)損失，順利獲取投資和商務(wù)回報(bào)。重要性和意義信息及其支持過程的系統(tǒng)和網(wǎng)絡(luò)都是企業(yè)的重要資產(chǎn)。信息的機(jī)密性、完整性和可用性對(duì)保持一個(gè)企業(yè)的競爭優(yōu)勢、資金流動(dòng)、效益、法律符合性和商務(wù)形象都是至關(guān)重要的。任何企業(yè)及其信息系統(tǒng)〔如一個(gè)企業(yè)的ERP系統(tǒng)〕和網(wǎng)絡(luò)都可能面臨著包括計(jì)算機(jī)輔助欺詐、刺探、陰謀破壞、火災(zāi)、水災(zāi)等大范圍的平安威脅。隨著計(jì)算機(jī)的日益開展和普及，計(jì)算機(jī)病毒、計(jì)算機(jī)盜竊、效勞器的非法入侵破壞已變得日益普遍和錯(cuò)綜復(fù)雜。

信息系統(tǒng)的平安目標(biāo)信息保護(hù)機(jī)密性、完整性、可用性系統(tǒng)保護(hù)可靠性、可用性、可控性信息系統(tǒng)平安的構(gòu)成要素物理環(huán)境及保障硬件設(shè)施軟件設(shè)施管理制度及管理者蛋關(guān)于系統(tǒng)平安蒼蠅不叮無縫的研究攻防技術(shù)以阻之因特網(wǎng)播送控制通訊交通醫(yī)療金融平安漏洞危害在增大網(wǎng)絡(luò)對(duì)國民經(jīng)濟(jì)的影響在加強(qiáng)研究平安漏洞以防之工業(yè)網(wǎng)絡(luò)的平安管理平安管理主要是為了降低企業(yè)的財(cái)政風(fēng)險(xiǎn)和由各種情況帶來的損失，如入侵、系統(tǒng)誤操作、特權(quán)濫用、數(shù)據(jù)篡改、欺騙以及效勞中斷等。平安管理體系結(jié)構(gòu)可以提供對(duì)所需的平安組件的管理，同其它平安元素協(xié)同工作以保護(hù)信息的機(jī)密性，并保證所有對(duì)計(jì)算機(jī)資源的訪問都是授權(quán)和認(rèn)證。平安管理體系結(jié)構(gòu)的具體目標(biāo)是提高分布式應(yīng)用和信息的完整性、一致性以及機(jī)密性。平安管理體系結(jié)構(gòu)能幫助指導(dǎo)系統(tǒng)和平臺(tái)的選擇，并保證所有系統(tǒng)都符合一個(gè)標(biāo)準(zhǔn)的最低平安級(jí)別。平安管理的目的進(jìn)不來：使用訪問控制機(jī)制拿不走：使用授權(quán)機(jī)制、認(rèn)證交換機(jī)制看不懂；使用加密機(jī)制改不了：使用數(shù)據(jù)完整性鑒別機(jī)制〔數(shù)字簽名〕走不脫：使用審計(jì)、監(jiān)控、防抵賴等平安機(jī)制二、黑客入侵的常見手段木馬病毒后門密碼破解我國網(wǎng)絡(luò)信息平安形勢非常嚴(yán)峻99’本溪銀行資金騙取案2000’新浪網(wǎng)電子郵件被阻塞案2000’北京醫(yī)科大學(xué)網(wǎng)站被黑案98’上海熱線效勞器被攻案2002’全國40余家網(wǎng)站被黑癱瘓2002’上海某網(wǎng)站百萬用戶資料被盜99’鄭州保險(xiǎn)公司數(shù)據(jù)庫被篡改案黑客攻擊頻繁2002年全球網(wǎng)站被黑多達(dá)55000次。

從國內(nèi)情況來看，目前我國95%的與互聯(lián)網(wǎng)相聯(lián)的網(wǎng)絡(luò)管理中心都遭到過境內(nèi)外黑客的攻擊或侵入，其中銀行、金融和證券機(jī)構(gòu)是黑客攻擊的重點(diǎn)。

據(jù)估計(jì)，每公開報(bào)道一次黑客攻擊，就有近500例是不被公眾所知曉的。

黑客行徑分析〔1〕攻擊事件的目的〔2〕實(shí)施攻擊的人員〔3〕攻擊的主要流程過去五種影響最大的攻擊紅色代碼尼姆達(dá)〔Nimda〕Melissa(1999)和LoveLetter(2000)分布式拒絕效勞〔DDOS〕攻擊遠(yuǎn)程控制特洛伊木馬后門(1998-2000)同步風(fēng)暴攻擊合理的訪問請(qǐng)求得不到響應(yīng)pong,synk4大量的鏈接請(qǐng)求阻礙信道.大量的鏈接請(qǐng)求阻礙信道阻塞這類攻擊通常都設(shè)置假IP地址在TCP包中通過將同步位設(shè)為1的方式來請(qǐng)求連接，如果得到連接確認(rèn)后不予理會(huì)，而是繼續(xù)發(fā)出申請(qǐng)，將有可能耗盡效勞器端的有限的響應(yīng)連接的資源特洛伊木馬后門1998年7月，黑客組織CultoftheDeadCow推出后門制造工具BackOrifice〔BO〕使龐大的網(wǎng)絡(luò)系統(tǒng)輕而易舉地陷入了癱瘓之中。安裝BO主要目的是：黑客通過網(wǎng)絡(luò)遠(yuǎn)程入侵并控制受攻擊的Win95系統(tǒng)，從而使受侵機(jī)器“言聽計(jì)從〞。BO以多功能、代碼簡潔而著稱，并且由于BO操作簡單，只要簡單地點(diǎn)擊鼠標(biāo)即可，即使最不熟練的黑客也可以成功地引誘用戶安裝BackOrifice。只要用戶一安裝了BO，黑客幾乎就可以為所欲為了，像非法訪問敏感信息，修改和刪除數(shù)據(jù)，甚至改變系統(tǒng)配置。如果僅僅從功能上講，BackOrifice完全可以和市場上最流行的商業(yè)遠(yuǎn)程控制軟件，像賽門鐵克的pcanywhere、CA的ControlIT等相媲美。因此，許多人干脆拿它來當(dāng)作遠(yuǎn)程控制軟件來進(jìn)行合法的網(wǎng)絡(luò)管理。由于其簡單易用和大肆地宣傳，BO迅速被眾多的初級(jí)黑客用來攻擊系統(tǒng)。BO和其它木馬后門工具使人們從根本上認(rèn)識(shí)到了對(duì)用戶進(jìn)行一定的平安方面的培訓(xùn)，使他們不要隨意運(yùn)行不信任軟件和廣泛地配置防病毒軟件的重要性。典型攻擊案例臺(tái)灣黑客對(duì)某政府網(wǎng)站的攻擊時(shí)間：1999年8月大陸黑客出于對(duì)李登輝“兩國論〞謬論的憤慨，于8月份某日，一夜之間入侵了數(shù)十個(gè)臺(tái)灣政府站點(diǎn)。臺(tái)灣黑客采取報(bào)復(fù)行動(dòng)，替換了這個(gè)網(wǎng)站的首頁。在該系統(tǒng)上存在至少4個(gè)致命的弱點(diǎn)可以被黑客利用。其中有兩個(gè)緩沖區(qū)溢出漏洞，一個(gè)CGI程序有溢出錯(cuò)誤。對(duì)這些漏洞要采用比較特殊的攻擊程序。但臺(tái)灣黑客并沒有利用這些比較高級(jí)的攻擊技巧，而是從一個(gè)最簡單的錯(cuò)誤配置進(jìn)入了系統(tǒng)。原來，其缺省帳號(hào)infomix的密碼與用戶名相同!這個(gè)用戶的權(quán)限足以讓臺(tái)灣黑客對(duì)web網(wǎng)站為所欲為。從這件事情可以看出，有局部系統(tǒng)管理員不具備最起碼的平安素質(zhì)。03年伊拉克戰(zhàn)爭全球反戰(zhàn)黑客行動(dòng)3月，一個(gè)號(hào)稱“Freeworld〞的黑客組織聲稱成功地入侵了白宮網(wǎng)站病毒破壞嚴(yán)重2002年我國計(jì)算機(jī)病毒感染統(tǒng)計(jì)表感染過病毒感染三次部分?jǐn)?shù)據(jù)被破壞數(shù)據(jù)完全被破壞83.98%59%64.5%14%病毒分類按攻擊對(duì)象分Win32、win9x、winNT/2000/XP、宏病毒、Linux、、webscript、Mac等等按連接方式分類源碼型、目標(biāo)程序型、操作系統(tǒng)型、外殼型按破壞力分類良性、惡性按傳染方式分類引導(dǎo)型、系統(tǒng)程序型、一般程序型按病毒宿主分類引導(dǎo)型、文件型、混合型病毒防范根本思想病毒預(yù)防管理措施技術(shù)措施病毒檢查病毒消除當(dāng)前網(wǎng)絡(luò)平安事件的特點(diǎn)攻擊者可以輕易通過多個(gè)不同的網(wǎng)絡(luò)、地區(qū)或國家發(fā)起攻擊，使得追查需要大范圍的協(xié)調(diào)攻擊定位十分困難：無論是虛擬還是現(xiàn)實(shí)世界的定位。使得防范和追查都十分困難攻擊者需要的技術(shù)水平逐漸降低，造成的危害卻逐漸增大有些問題的解決需要行業(yè)標(biāo)準(zhǔn)或者政策標(biāo)準(zhǔn)的方式來解決，例如垃圾郵件和分布式拒絕效勞攻擊當(dāng)前網(wǎng)絡(luò)平安事件的特點(diǎn)病毒、蠕蟲和其他攻擊行為互相融合-傳統(tǒng)病毒的特點(diǎn)：隱蔽性、傳染性、破壞性-病毒的本質(zhì)特點(diǎn)：“寄生〞，而不是獨(dú)立的程序-蠕蟲的特點(diǎn)：獨(dú)立存在，自主蔓延-更廣泛的名稱：惡意代碼〔還包括木馬程序等〕-互聯(lián)網(wǎng)的開展為各種惡意代碼提供了更多的時(shí)機(jī)，傳統(tǒng)的分類界限日趨模糊網(wǎng)絡(luò)蠕蟲的特點(diǎn)和危害性傳統(tǒng)的網(wǎng)絡(luò)蠕蟲，其危害主要表現(xiàn)在對(duì)網(wǎng)絡(luò)資源的消耗，導(dǎo)致網(wǎng)絡(luò)阻塞新一代網(wǎng)絡(luò)蠕蟲的攻擊能力更強(qiáng)，并且和黑客攻擊、計(jì)算機(jī)病毒之間界限越來越模糊，帶來更為嚴(yán)重的多方面危害，能夠?qū)ヂ?lián)網(wǎng)造成致命沖擊：-網(wǎng)絡(luò)阻塞，效勞中斷〔信息化的開展使得這種危害帶來的損失越來越大〕-開放主機(jī)，失密威脅嚴(yán)重-設(shè)置后門，成為下一輪攻擊的根底-回收機(jī)制，便以攻擊者集中掌握〔突破了傳統(tǒng)蠕蟲和病毒中，攻擊者不能掌握受害對(duì)象信息的情況〕今年的情況變種的舊病毒卷土重來郵件病毒蔓延仍呈上升趨勢MSN病毒影響廣泛網(wǎng)頁欺詐事件層出不窮特點(diǎn)：針對(duì)個(gè)人用戶PC的攻擊比率越來越高原因：用戶缺乏平安意識(shí)；補(bǔ)丁升級(jí)不及時(shí)三、入侵防范與平安保密策略物理隔離策略傳輸/存儲(chǔ)加密策略物理平安策略網(wǎng)絡(luò)分段策略身份鑒別策略監(jiān)測與審計(jì)策略病毒防御策略備份與恢復(fù)策略運(yùn)行平安策略平安管理策略〔一〕防火墻最大限度地限制來自外界的非法訪問，對(duì)用戶內(nèi)網(wǎng)進(jìn)行平安保護(hù)是實(shí)現(xiàn)網(wǎng)絡(luò)和網(wǎng)絡(luò)之間既隔斷又連通的網(wǎng)絡(luò)平安設(shè)施網(wǎng)絡(luò)A網(wǎng)絡(luò)B防火墻防火墻的優(yōu)越性能控制不平安的效勞，只有授權(quán)的協(xié)議和效勞能通過能對(duì)站點(diǎn)進(jìn)行訪問控制，防止非法訪問能對(duì)各種訪問記錄日志還能對(duì)正常訪問進(jìn)行統(tǒng)計(jì)分析防火墻的根本功能過濾進(jìn)出防火墻的數(shù)據(jù)管理進(jìn)出防火墻的訪問行為封堵某些被禁止的業(yè)務(wù)記錄通過防火墻的信息內(nèi)容和活動(dòng)對(duì)網(wǎng)絡(luò)攻擊進(jìn)行檢測和告警1、基于路由器的防火墻特點(diǎn)：利用路由器本身對(duì)分組的分析，以訪問控制表方式，實(shí)現(xiàn)對(duì)分組的過濾策略依據(jù)是：地址、端口、協(xié)議標(biāo)志等網(wǎng)絡(luò)特性只有分組過濾功能，一般與路由器合二為一缺點(diǎn)路由協(xié)議靈活復(fù)雜，本身有平安隱患過濾規(guī)那么十分原始，所以，很復(fù)雜，存在平安隱患一般，網(wǎng)絡(luò)上路由器內(nèi)的路由市動(dòng)態(tài)的，而急于路由器的防火墻規(guī)那么往往是靜態(tài)的，不太容易處理防火墻規(guī)那么會(huì)降低路由器性能2、用戶化防火墻工具特點(diǎn)把過濾功能從路由器中獨(dú)立出來形成專用的防火墻軟件可以增加審計(jì)和告警功能缺點(diǎn)軟件復(fù)雜、使用和管理復(fù)雜對(duì)用戶技術(shù)要求高由于是軟件，平安性和處理速度有限3、基于通用操作系統(tǒng)的防火墻特點(diǎn)是商用防火墻，專用的防火墻軟硬件產(chǎn)品使用通用操作系統(tǒng)：Linux、Windows等等平安性和性能有提高缺點(diǎn)操作系統(tǒng)不為防火墻所管理，其平安性無法保證4、基于平安操作系統(tǒng)的防火墻特點(diǎn)專用的軟硬件產(chǎn)品使用平安操作系統(tǒng)，平安性得到極大提高往往具有加密和鑒別功能線速防火墻〔進(jìn)出根本無延時(shí)〕100M/1000M防火墻平安策略網(wǎng)絡(luò)效勞訪問權(quán)限策略保護(hù)網(wǎng)絡(luò)免受的風(fēng)險(xiǎn)攻擊提供用戶對(duì)網(wǎng)絡(luò)資源的合理使用例：不允許從Internet到內(nèi)網(wǎng)〔或站點(diǎn)〕的訪問，但允許內(nèi)網(wǎng)〔或站點(diǎn)〕到Internet的訪問允許從Internet到內(nèi)網(wǎng)的某些訪問兩個(gè)根本策略允許所有效勞除非她被特別的拒絕拒絕所有效勞除非她被特別的允許某些不平安的網(wǎng)絡(luò)效勞不平安的效勞Tftp：端口69XWindows/OpenWindows，端口2000，6000Rpc，端口111Rlogin、rsh、rexec等，端口513、514、512不太平安的效勞telnet:23ftp:20/21Smtp:25Rip:520Dns:53防火墻平安策略(續(xù))防火墻設(shè)計(jì)策略本機(jī)構(gòu)將使用那些網(wǎng)絡(luò)效勞？在何處使用這些效勞？是否有加密需求？是否有撥號(hào)接入需求？代價(jià)？防火墻的一般要求支持“拒絕所有效勞除非她別特別的允許〞策略支持自己定義平安策略平安策略靈活，以適應(yīng)新的效勞和需求提供或者掛接認(rèn)證手段平安策略能實(shí)現(xiàn)針對(duì)某個(gè)制定的站點(diǎn)〔IP地址或域名〕平安策略的定義要直觀針對(duì)常用的效勞〔telnet、ftp等〕提供代理手段和身份鑒別手段對(duì)smtp能提供中心化訪問的能力，提高email系統(tǒng)的平安性日志功能等防火墻最大限度地限制來自外界的非法訪問，對(duì)用戶內(nèi)網(wǎng)進(jìn)行平安保護(hù)基于鏈路級(jí)地址映射和有狀態(tài)跟蹤具備反攻擊和設(shè)置陷阱等主動(dòng)防衛(wèi)手段采用基于主機(jī)的保護(hù)策略基于模式匹配的智能的入侵檢測提供對(duì)內(nèi)部泄密問題的解決方案自行升級(jí)根據(jù)平安策略自動(dòng)生成配置文件采用數(shù)據(jù)加密的方法主動(dòng)防止對(duì)信息完整性的破壞防火墻〔1〕黑洞式防御授權(quán)用戶非授權(quán)用戶防火墻〔2〕平安保護(hù)與信息檢查Intranet2HostWebServer5473AdminHost21ServerInternetHost12InternetServer0包含非法信息的服務(wù)器不可信網(wǎng)絡(luò)的主機(jī)〔二〕身份認(rèn)證——鑒別、授權(quán)和管理(AAA)系統(tǒng)80%的攻擊發(fā)生在內(nèi)部，而不是外部。內(nèi)部網(wǎng)的管理和訪問控制，相對(duì)外部的隔離來講要復(fù)雜得多。外部網(wǎng)的隔離，根本上是禁止和放行，是一種粗顆粒的訪問控制。內(nèi)部的網(wǎng)絡(luò)管理，要針對(duì)用戶來設(shè)置，你是誰？怎么確認(rèn)你是誰？你屬于什么組？該組的訪問權(quán)限是什么？這是一種細(xì)顆粒的訪問控制。根據(jù)IDC的報(bào)告，單位內(nèi)部的AAA系統(tǒng)是目前平安市場增長最快的局部?！踩橙肭直O(jiān)測及預(yù)警技術(shù)入侵檢測系統(tǒng)〔IDS：IntrusionDetectionSystem〕從網(wǎng)絡(luò)中假設(shè)干個(gè)關(guān)鍵點(diǎn)收集有關(guān)信息，并且加以分析，檢測網(wǎng)絡(luò)中是否有違反平安策略的行為和遭到襲擊的跡象IDS分類模式匹配入侵檢測系統(tǒng)通過比較的入侵行為模式，從而發(fā)現(xiàn)入侵事件統(tǒng)計(jì)異常入侵檢測系統(tǒng)通過檢查有關(guān)統(tǒng)計(jì)數(shù)據(jù)，從而發(fā)現(xiàn)異常情況，實(shí)現(xiàn)入侵檢測目標(biāo)入侵檢測系統(tǒng)根本模型收集信息探針檢測引擎事件數(shù)據(jù)庫統(tǒng)計(jì)模型入侵模型告警和報(bào)告分布式入侵檢測系統(tǒng)網(wǎng)絡(luò)IDSIDSIDSIDS入侵檢測中心Internet防火墻聯(lián)動(dòng)局部入侵檢測工具SwatchTcpwrapperWatcher等〔四〕漏洞檢測技術(shù)對(duì)系統(tǒng)的平安性進(jìn)行檢查，發(fā)現(xiàn)存在的平安漏洞或者可能的平安漏洞目標(biāo)網(wǎng)絡(luò)或主機(jī)漏洞檢測系統(tǒng)漏洞檢測的根本原理系統(tǒng)掃描網(wǎng)絡(luò)掃描數(shù)據(jù)庫掃描應(yīng)用掃描……漏洞數(shù)據(jù)庫反響信息庫漏洞分析及報(bào)告系統(tǒng)漏洞的類型網(wǎng)絡(luò)傳輸和協(xié)議的漏洞系統(tǒng)的漏洞管理的漏洞漏洞檢測技術(shù)分類基于應(yīng)用的檢測技術(shù)對(duì)應(yīng)用軟件檢查其設(shè)置等，發(fā)現(xiàn)平安漏洞基于主機(jī)的檢測技術(shù)通過對(duì)系統(tǒng)的內(nèi)核、文件的屬性、系統(tǒng)的補(bǔ)丁、口令的解密等進(jìn)行檢查，發(fā)現(xiàn)平安漏洞基于網(wǎng)絡(luò)的檢測技術(shù)〔五〕網(wǎng)絡(luò)隔離技術(shù)實(shí)現(xiàn)網(wǎng)絡(luò)和網(wǎng)絡(luò)之間的隔離外部網(wǎng)絡(luò)內(nèi)部網(wǎng)絡(luò)客戶端的物理隔離技術(shù)第一代一個(gè)機(jī)箱內(nèi)，安裝兩套計(jì)算機(jī)的主要設(shè)備，包括主板、內(nèi)存、硬盤、CPU、網(wǎng)卡等第二代單主板、雙網(wǎng)卡、雙硬盤方式第三代單主板、單硬盤、雙網(wǎng)卡平安網(wǎng)絡(luò)隔離器內(nèi)部網(wǎng)絡(luò)外部網(wǎng)絡(luò)平安網(wǎng)絡(luò)隔離器數(shù)據(jù)交換器四、加強(qiáng)網(wǎng)絡(luò)與信息平安管理組織管理人員管理技術(shù)平安管理軟件、設(shè)備、介質(zhì)、涉密信息、技術(shù)文檔、線路、互連、緊急事件、審計(jì)與跟蹤涉密便攜機(jī)管理場地設(shè)施平安管理建立信息平安管理體系〔ISMS〕的重要意義

任何企業(yè)，不管它在信息技術(shù)方面如何努力以及采納如何新的信息平安技術(shù)，實(shí)際上在信息平安管理方面都還存在漏洞，例如：

1.缺少信息平安管理論證，平安導(dǎo)向不明確，管理支持不明顯；

2.缺少跨部門的信息平安協(xié)調(diào)機(jī)制；

3.保護(hù)特定資產(chǎn)以及完成特定平安過程的職責(zé)還不明確；

4.雇員信息平安意識(shí)薄弱，缺少防范意識(shí)，外來人員很容易直接進(jìn)入生產(chǎn)和工作場所；

5.企業(yè)信息系統(tǒng)管理制度不夠健全；

6.企業(yè)信息系統(tǒng)主機(jī)房平安存在隱患，如防火設(shè)施存在問題，與危險(xiǎn)品倉庫同處一幢辦公樓等；7.企業(yè)信息系統(tǒng)備份設(shè)備仍有欠缺；

8.企業(yè)信息系統(tǒng)平安防范技術(shù)投入欠缺；

9.軟件知識(shí)產(chǎn)權(quán)保護(hù)欠缺；

10.計(jì)算機(jī)房、辦公場所等物理防范措施欠缺；

11.檔案、記錄等缺少可靠貯存場所；

12.缺少一旦發(fā)生意外時(shí)的保證生產(chǎn)經(jīng)營連續(xù)性的措施和方案；…….等等

通過以上信息管理方面的漏洞，以及經(jīng)常見諸報(bào)端的種種信息平安事件說明，任何企業(yè)都急需建立信息平安管理體系，以保障其技術(shù)和商業(yè)機(jī)密，保障信息的完整性和可用性，最終保持其生產(chǎn)、經(jīng)營活動(dòng)的連續(xù)性。平安管理與設(shè)計(jì)平安管理不緊緊是指規(guī)章制度等管理措施，更多的是指一種技術(shù)的應(yīng)用，它從技術(shù)實(shí)現(xiàn)中抽象出來，但依靠技術(shù)實(shí)現(xiàn)。分級(jí)平安管理策略：網(wǎng)絡(luò)級(jí)平安：指對(duì)網(wǎng)絡(luò)系統(tǒng)的實(shí)體平安性的管理。系統(tǒng)級(jí)平安：從操作系統(tǒng)和數(shù)據(jù)庫保護(hù)的角度考慮系統(tǒng)平安措施。企業(yè)級(jí)平安：指對(duì)企業(yè)員工的管理和企業(yè)內(nèi)部網(wǎng)的日常維護(hù)。應(yīng)用級(jí)平安：保證各種應(yīng)用系統(tǒng)(OA系統(tǒng)及其他業(yè)務(wù)系統(tǒng))的信息訪問合法性。針對(duì)內(nèi)部業(yè)務(wù)網(wǎng)用戶的平安能力提升物理平安能力提升自身防護(hù)能力提升平安響應(yīng)能力提升個(gè)人操作能力提升策略實(shí)施能力提升系統(tǒng)升級(jí)能力提升系統(tǒng)通信能力提升病毒防御能力提升數(shù)據(jù)備份能力提升在保證業(yè)務(wù)正常、平安高效運(yùn)作的情況下，做到“不該看到的不能看，不能擴(kuò)散的嚴(yán)格限制〞信息平安實(shí)施結(jié)構(gòu)示意網(wǎng)絡(luò)平安管理方法建立一套完整可行的網(wǎng)絡(luò)平安與網(wǎng)絡(luò)管理策略將內(nèi)部網(wǎng)絡(luò)、公開效勞器網(wǎng)絡(luò)和外網(wǎng)進(jìn)行有效隔離，防止與外部網(wǎng)絡(luò)的直接通信建立網(wǎng)站各主機(jī)和效勞器的平安保護(hù)措施，保證他們的系統(tǒng)平安對(duì)網(wǎng)上效勞請(qǐng)求內(nèi)容進(jìn)行控制，使非法訪問在到達(dá)主機(jī)前被拒絕加強(qiáng)合法用戶的訪問認(rèn)證，將用戶的訪問權(quán)限控制在最低限度全面監(jiān)視對(duì)公開效勞器的訪問，及時(shí)發(fā)現(xiàn)和拒絕不平安的操作和黑客攻擊行為加強(qiáng)對(duì)各種訪問的審計(jì)工作，詳細(xì)記錄對(duì)網(wǎng)絡(luò)、公開效勞器的訪問行為，形成完整的系統(tǒng)日志備份與災(zāi)難恢復(fù)——強(qiáng)化系統(tǒng)備份，實(shí)現(xiàn)系統(tǒng)快速恢復(fù)加強(qiáng)網(wǎng)絡(luò)平安管理，提高全體人員的網(wǎng)絡(luò)平安意識(shí)和防范技術(shù)保護(hù)檢測響應(yīng)恢復(fù)網(wǎng)絡(luò)平安管理體系結(jié)構(gòu)網(wǎng)絡(luò)管理策略的應(yīng)用確定系統(tǒng)的安全類型實(shí)施方案（措施）測評(píng)方案評(píng)審方案規(guī)定系統(tǒng)的安全類型設(shè)計(jì)方案（要求）測評(píng)驗(yàn)收已建成系統(tǒng)改進(jìn)完善平安體系結(jié)構(gòu)：被動(dòng)與主動(dòng)相結(jié)合物理平安——對(duì)主機(jī)房及重要信息存儲(chǔ)、收發(fā)部門進(jìn)行屏蔽處理；本地網(wǎng)、局域網(wǎng)傳輸線路傳導(dǎo)輻射的抑制；對(duì)終端設(shè)備輻射的防范。網(wǎng)絡(luò)平安——系統(tǒng)〔主機(jī)、效勞器〕平安、系統(tǒng)結(jié)構(gòu)的平安、反病毒、系統(tǒng)平安檢測、入侵檢測〔監(jiān)控〕、審計(jì)分析平安體系結(jié)構(gòu)：被動(dòng)與主動(dòng)相結(jié)合(二)網(wǎng)絡(luò)運(yùn)行平安——備份與恢復(fù)、應(yīng)急、局域網(wǎng)、子網(wǎng)平安、訪問控制〔防火墻〕、網(wǎng)絡(luò)平安檢測信息平安——信息傳輸平安〔動(dòng)態(tài)平安〕、數(shù)據(jù)加密、數(shù)據(jù)完整性鑒別、防抵賴、信息存儲(chǔ)平安〔靜態(tài)平安〕、數(shù)據(jù)庫平安、終端平安、信息的防泄密、信息內(nèi)容審計(jì)、用戶鑒別、用戶授權(quán)操作系統(tǒng)應(yīng)根據(jù)系統(tǒng)平安策略修改默認(rèn)設(shè)置〔如用戶帳號(hào)、口令、效勞端口、審計(jì)參數(shù)等〕權(quán)限分配必須嚴(yán)格管理，用戶權(quán)限分配應(yīng)滿足最小權(quán)限原那么?？诹顟?yīng)滿足一定質(zhì)量，并對(duì)登錄操作系統(tǒng)失敗次數(shù)作一定的限制。經(jīng)常檢查系統(tǒng)用戶、用戶組和組策略以及一些重要文件和目錄的權(quán)限設(shè)置、性能指標(biāo)。關(guān)閉默認(rèn)網(wǎng)絡(luò)共享資源，限制效勞端口，禁止匿名帳戶訪問。嚴(yán)格限制網(wǎng)絡(luò)效勞遠(yuǎn)程用戶的讀、寫、可執(zhí)行權(quán)限。根據(jù)系統(tǒng)實(shí)際應(yīng)用對(duì)一些風(fēng)險(xiǎn)較高、較為流行的平安漏洞采用打補(bǔ)丁、系統(tǒng)升級(jí)、關(guān)閉不必要的效勞等方式修補(bǔ)。標(biāo)識(shí)與鑒別(一)系統(tǒng)各類用戶在執(zhí)行各項(xiàng)操作前，應(yīng)標(biāo)識(shí)身份并通過系統(tǒng)鑒別。鑒別機(jī)制不被旁路。如采用口令鑒別機(jī)制，應(yīng)保證口令質(zhì)量選擇及口令使用制度。用戶身份鑒別數(shù)據(jù)應(yīng)根據(jù)系統(tǒng)平安需求采用加密傳輸、加密存儲(chǔ)等方式予以保護(hù)并阻止非授權(quán)用戶的訪問。應(yīng)及時(shí)對(duì)鑒別失敗作出處理。應(yīng)將身份標(biāo)識(shí)與該用戶所有可審計(jì)行為關(guān)聯(lián)的能力。標(biāo)識(shí)與鑒別〔二〕常用的鑒別技術(shù)口令證書IC卡指紋動(dòng)態(tài)雙因素認(rèn)證系統(tǒng)Kerberos訪問控制按照系統(tǒng)資源及系統(tǒng)信息流實(shí)施訪問控制管理，并滿足最小權(quán)限原那么。劃分平安子網(wǎng)，并在各網(wǎng)絡(luò)連接處使用平安設(shè)備進(jìn)行邏輯隔離和訪問控制。訪問控制規(guī)那么只能由系統(tǒng)授權(quán)人員設(shè)置。系統(tǒng)應(yīng)根據(jù)實(shí)際應(yīng)用設(shè)定訪問控制的粒度。密碼技術(shù)系統(tǒng)應(yīng)根據(jù)平安需求在傳輸與存儲(chǔ)重要信息時(shí)采用適宜的加密方式。系統(tǒng)需要保證傳輸和存儲(chǔ)信息的完整性時(shí)，應(yīng)采用密碼完整性校驗(yàn)機(jī)制。系統(tǒng)需要保證信息發(fā)送方與信息接收方對(duì)曾經(jīng)發(fā)送或接收的信息不能抵賴時(shí)，應(yīng)采用基于密碼算法的數(shù)字簽名技術(shù)。保證密鑰在生成、分配、訪問、存儲(chǔ)、銷毀等過程中的平安。通過公網(wǎng)的信息交互而采用的VPN產(chǎn)品；SSL通道、SSH通道等。平安審計(jì)采用集中式或分布式的審計(jì)系統(tǒng)。審計(jì)規(guī)那么由系統(tǒng)授權(quán)人員設(shè)定。審計(jì)日志只能允許授權(quán)人員查閱。審計(jì)系統(tǒng)應(yīng)提供將審計(jì)日志記錄導(dǎo)入導(dǎo)出的能力。病毒防范應(yīng)對(duì)病毒可能侵入系統(tǒng)的途徑〔如軟盤、光盤、可移動(dòng)磁盤、網(wǎng)絡(luò)接口等〕進(jìn)行控制。安裝國家認(rèn)可的病毒防治產(chǎn)品，定期組織查殺系統(tǒng)的病毒。系統(tǒng)應(yīng)在病毒侵入時(shí)及時(shí)報(bào)警并予以隔離、去除或采用既定病毒防范策略中規(guī)定的處理方式，并有詳細(xì)的日志記錄。定期更新病毒特征庫，及時(shí)對(duì)病毒防治產(chǎn)品進(jìn)行版本升級(jí)。網(wǎng)絡(luò)化病毒防范技術(shù)病毒防范中心分中心分中心單機(jī)單機(jī)單機(jī)單機(jī)單機(jī)單機(jī)單機(jī)入侵監(jiān)控應(yīng)實(shí)時(shí)監(jiān)視當(dāng)前網(wǎng)絡(luò)信息流或主機(jī)中特定的活動(dòng)并采取相應(yīng)的措施。入侵監(jiān)控系統(tǒng)只能允許授權(quán)人員設(shè)置入侵管理規(guī)那么。入侵監(jiān)控系統(tǒng)有完備的日志記錄。入侵監(jiān)控系統(tǒng)只能允許授權(quán)人員查閱、統(tǒng)計(jì)、管理、維護(hù)日志記錄。應(yīng)定期更新攻擊特征數(shù)據(jù)庫，定期分析入侵監(jiān)控記錄。應(yīng)建立完整的平安備份制度，并實(shí)現(xiàn)既定的平安備份功能。對(duì)以加密方式保存數(shù)據(jù)備份的，應(yīng)同時(shí)保存數(shù)據(jù)恢復(fù)所需密鑰。實(shí)時(shí)性要求較高的系統(tǒng)，應(yīng)對(duì)關(guān)鍵設(shè)備、通訊