數(shù)據中心安全建設方案

數(shù)據中心安全解決方案目錄第一章解決方案 21.1建設需求 21.2建設思緒 21.3總體方案 31.3.1IP準入控制系統(tǒng) 41.3.2防泄密技術的選擇 61.3.3主機賬號生命周期管理系統(tǒng) 61.3.4數(shù)據庫賬號生命周期管理系統(tǒng) 71.3.5令牌認證系統(tǒng) 71.3.6數(shù)據庫審計系統(tǒng) 81.3.7數(shù)據脫敏系統(tǒng) 81.3.8應用內嵌賬號管理系統(tǒng) 91.3.9云計算平臺 121.3.10防火墻 131.3.11統(tǒng)一安全運營平臺 131.3.12安全運維服務 151.4實行效果 151.4.1針對終端接入的管理 151.4.2針對敏感數(shù)據的使用管理 161.4.3針對敏感數(shù)據的訪問管理 171.4.4針對主機設備訪問的管理 171.4.5針對數(shù)據庫訪問的管理 181.4.6針對數(shù)據庫的審計 191.4.7針相應用內嵌賬號的管理 211.4.8安全運營的規(guī)范 211.4.9針對管理的優(yōu)化 22第二章項目預算及項目規(guī)定 232.1項目預算 232.1.1項目一期預算 232.1.2一期實現(xiàn)目的 242.2項目規(guī)定 252.2.1用戶環(huán)境配合條件 25解決方案建設需求XXX用戶通過數(shù)年的信息化建設，各項業(yè)務都順利的開展起來了，數(shù)據中心已經積累了很多寶貴的數(shù)據，這些無形的資產比硬件資產還重要，但它們卻面臨著非常大的安全挑戰(zhàn)。在初期的系統(tǒng)建設過程中，大多用戶不會考慮數(shù)據安全、應用安全層面的問題，通過數(shù)年的發(fā)展，數(shù)據中心越來越龐大，業(yè)務越來越復雜，但信息安全完全沒有配套建設，經常會發(fā)生一些安全事件，如：數(shù)據庫的表被人刪除了、主機密碼被人修改了、敏感數(shù)據泄露了、特權賬號被第三方人員使用等等情況，而這些安全事件往往都是特權用戶從后臺直接操作的，非常隱蔽，這時候往往無從查起。其實，信息安全建設在系統(tǒng)的設計初期開始，就應當要介入，始終貫穿其中，這樣花費的人力物力才是最小。當一個系統(tǒng)建成后，發(fā)現(xiàn)問題了，回頭再來考慮安全建設，這樣投入的成本將會變得最大。建設思緒數(shù)據中心的安全體系建設并非安全產品的堆砌，它是一個根據用戶具體業(yè)務環(huán)境、使用習慣、安全策略規(guī)定等多個方面構建的一套生態(tài)體系，涉及眾多的安全技術，實行過程需要涉及大量的調研、征詢等工作，還會涉及到眾多的安全廠家之間的協(xié)調、產品的選型，安全系統(tǒng)建成后怎么維持這個生態(tài)體系的平衡，是一個復雜的系統(tǒng)工程，一般建議分期投資建設，從技術到管理，逐步實現(xiàn)組織的戰(zhàn)略目的。整體設計思緒是將需要保護的核心業(yè)務主機包及數(shù)據庫圍起來，與其他網絡區(qū)域進行邏輯隔離，封閉一切不應當暴漏的端口、IP，在不影響現(xiàn)有業(yè)務的情況下形成數(shù)據孤島，設立固定的數(shù)據訪問入口，對入口進行嚴格的訪問控制及審計。由之前的被動安全變?yōu)榉e極防御，控制安全事故的發(fā)生，對接入系統(tǒng)的人員進行有效的認證、授權、審計，讓敏感操作變得更加透明，有效防止安全事件的發(fā)生。在訪問入口部署防火墻、賬號生命周期管理系統(tǒng)、數(shù)據加密系統(tǒng)、令牌認證系統(tǒng)、審計系統(tǒng)等安全設施，對所有外界向核心區(qū)域主機發(fā)起的訪問進行控制、授權、審計，對流出核心區(qū)域的批量敏感數(shù)據進行加密解決，所有加密的數(shù)據將被有效的包圍在安全域之內，并跟蹤數(shù)據產生、扭轉、銷毀的整個生命周期，杜絕敏感數(shù)據外泄及濫用行為。為了保證XXX用戶的業(yè)務連續(xù)性，各安全子系統(tǒng)都采用旁路的方式部署到網絡當中，其中賬號生命周期管理系統(tǒng)、審計系統(tǒng)、數(shù)據庫都采用雙機的模式，以提供自身的高可靠性；加密系統(tǒng)、特權賬號生命周期管理系統(tǒng)、令牌認證系統(tǒng)都建議部署在VMware云計算平臺上，運用VMware強大的服務器虛擬化能力為防泄密系統(tǒng)提供良好的可靠性與可擴展性保證?？傮w方案信息安全系統(tǒng)整體部署架構圖1、在核心互換機上部署防護墻模塊或獨立防火墻，把重要的主機、數(shù)據庫與其他子網進行邏輯隔離，劃分安全區(qū)域，對不必要的端口進行封閉，隔離終端IP對數(shù)據中心可達。2、在終端匯聚的互換機上旁路部署IP準入控制系統(tǒng)，實現(xiàn)非法外聯(lián)、IP實名制，對接入內網的終端進行有效的控制。3、部署主機賬號管理系統(tǒng)，限制所有終端對主機的訪問只能通過管理系統(tǒng)發(fā)起，并對Telnet、SSH、RDP等訪問過程進行控制、審計，防止終端將數(shù)據從主機上私自復制到本地硬盤，防止誤操作。4、部署數(shù)據賬號管理系統(tǒng)，對數(shù)據庫訪問工具（PL-SQL）、FTP工具等常用維護工具進行統(tǒng)一的發(fā)布，對前臺數(shù)據庫訪問操作進行審計記錄，把數(shù)據包圍在服務器端。對下載數(shù)據行為進行嚴格控制，并對提取的數(shù)據進行加密解決。5、部署加密系統(tǒng)（DLP），對所有流出數(shù)據中心的數(shù)據進行自動加密解決，并對數(shù)據的產生、扭轉、編輯、銷毀進行生命周期管理。6、部署數(shù)據庫審計系統(tǒng)，對數(shù)據庫訪問行為進行審計，監(jiān)控敏感數(shù)據訪問情況，監(jiān)控數(shù)據庫操作行為，記錄數(shù)據庫后臺變化情況，事后回查。7、在生產庫與測試庫之間部署數(shù)據脫敏系統(tǒng)，對從在線庫抽取的數(shù)據進行自動脫敏，再導入測試庫，避免數(shù)據泄露。對后臺訪問在線庫的人群進行權限管理，對訪問的敏感字段進行自動遮罩。8、部署應用內嵌賬號管理系統(tǒng)，相應用系統(tǒng)內嵌的特權賬號進行有效的托管，實現(xiàn)賬號的定期修改、密碼強度、密碼加密等安全策略。9、部署令牌認證系統(tǒng)，對登入數(shù)據中心區(qū)的用戶使用雙因素認證，確認訪問數(shù)據中心者的身份，杜絕賬號共用現(xiàn)象。10、部署云計算平臺，為防泄密系統(tǒng)提供良好的運營環(huán)境。云計算平臺提高了系統(tǒng)的可靠性、可擴展性，減少宕機時間，減少維護成本。11、所有系統(tǒng)都采用活動目錄認證，并加以動態(tài)令牌做為雙因素認證，實現(xiàn)對用戶身份的準確鑒別。IP準入控制系統(tǒng)現(xiàn)在國內外，有很多廠商推出自己的準入控制系統(tǒng)解決方案，目的就是為了在終端接入網絡前對其進行安全檢查，只允許合法的用戶接入到網絡當中，避免隨意接入網絡給系統(tǒng)帶來風險。主流的解決方案有兩種方式，旁路部署方式都是基于802.1X的，需要跟互換機做聯(lián)動；串接的部署方式不需要與互換機聯(lián)動，但會給網絡的通過性與性能帶來挑戰(zhàn)，采用的用戶不多。這些解決方案，在復雜的中國環(huán)境部署成功的并不多，要么網絡條件非常好，互換機都支持802.1X，要么網絡非常扁平化，終端都可以收斂到同一個出口。IP地址管理困難：接入Intranet的計算機設備都需要一個合法的IP地址，IP地址的分派和管理是一件令網絡管理人員頭疼的事情，IP地址、MAC地址、計算機名冒用、濫用現(xiàn)象廣泛存在，而管理人員缺少有效的監(jiān)控手段。局域網上若有兩臺主機IP地址相同，則兩臺主機互相報警，導致應用混亂。因此，IP地址盜用與沖突成了網管員最頭疼的問題。當幾百臺、甚至上千臺主機同時上網，如何控制IP地址盜用與沖突更是當務之急。在實際中，網絡管理員為入網用戶分派和提供的IP地址，只有通過客戶進行對的地注冊后才有效。

這為終端用戶直接接觸IP地址提供了一條途徑。由于終端用戶的介入，入網用戶有也許自由修改IP地址。改動后的IP地址在聯(lián)網運營時可導致三種結果：非法的IP地址，自行修改的IP地址不在規(guī)劃的網段內，網絡呼喊中斷。反復的IP地址，與已經分派且正在聯(lián)網運營的合法的IP地址發(fā)生資源沖突，無法鏈接。非法占用已分派的資源，盜用其它注冊用戶的合法IP地址（且注冊該IP地址的機器未通電運營）聯(lián)網通訊。IPScan能很好的控制非法的IP接入，并對內網已有的聯(lián)網IP通過切斷聯(lián)網實現(xiàn)迅速快捷的控制，以很方便的方式實現(xiàn)內網安全威脅的最小化。IPScan通過對IP/MAC的綁定，對每個IP地址都可以進行實時的監(jiān)控，一旦發(fā)現(xiàn)非法的IP地址和某個IP地址進行非法操作的時候，都可以及時對這些IP地址進行操作，，有效的防止IP沖突。產品是基于二層（數(shù)據鏈路層）的設計理念，可以有效地控制ARP廣播病毒，通過探測ARP廣播包，可以自動阻止中毒主機大量發(fā)送ARP廣播，從而保證了內網的安全。通過實現(xiàn)IP地址的綁定，從而變相的實現(xiàn)了網絡實名制，在接入網絡的終端都被授予唯一的IP地址，在網絡中產生的所有日記將會變得非常故意義，它可以關聯(lián)到是哪一個終端哪一個用戶，能讓安全日記產生定責的作用。防泄密技術的選擇國外有良好的法律環(huán)境，內部故意泄密相對很少，對內部人員確認為可信，數(shù)據泄露重要來自外部入侵和內部無意間的泄密。因此，國外DLP（數(shù)據防泄漏）解決方案重要用來防止外部入侵和內部無意間泄密，可以解決部分問題，但無法防止內部積極泄密，只能更多地依賴管理手段。而國內環(huán)境，法律威懾力小，追蹤難度大，泄密者比較容易逃脫法律制裁，犯罪成本比較??；同時，國內各種管理制度不完善，內部人員無意間泄密的概率也比較大。國內DLP以加密權限為核心，從積極防止的立足點來防止數(shù)據泄露，對數(shù)據進行加密，從源頭上進行控制。即使內部數(shù)據流失到外部，也由于已被加密而無法使用，從而保證了數(shù)據的安全。所以國內DLP既能防止內部泄密（涉及內部故意泄密和無意泄密），同時也能防止外部入侵竊密。主機賬號生命周期管理系統(tǒng)XXX用戶局越來越多的業(yè)務外包給系統(tǒng)提供商或者其他專業(yè)代維公司，這些業(yè)務系統(tǒng)涉及了大量的公民敏感信息。如何有效地監(jiān)控第三方廠商和運維人員的操作行為，并進行嚴格的審計是用戶現(xiàn)在面臨的一個挑戰(zhàn)。嚴格的規(guī)章制度只能約束一部分人的行為，只有通過嚴格的權限控制和操作審計才干保證安全管理制度的有效執(zhí)行，在發(fā)生安全事件后，才干有效的還原事故現(xiàn)場，準確的定位到負責人。主機賬號生命周期管理系統(tǒng)能幫助用戶建立集中的和統(tǒng)一的主機運維管理平臺，實現(xiàn)自動化的監(jiān)控審計，對所有維護人員和支持人員的操作行為（Telnet、SSH、RDP、FTP、SFTP、VNC、KVM等協(xié)議）進行監(jiān)控和跟蹤審計，（實現(xiàn)對所有登錄系統(tǒng)的人員的所有操作進行全面行為過程審計，達成對所訪問主機的操作行為進行采集，以便實時監(jiān)控和事后回放分析、重現(xiàn)和檢索，以最大限度地減少運營事故、減少運營風險、進行責任追溯，不可抵賴。同時提供直觀的問題報告工具），防止敏感數(shù)據從物理層被竊取。按照規(guī)定，一段時間內必須修改一次主機及數(shù)據庫的密碼，以符合安全性規(guī)定，往往這些密碼太多，修改一次也費時費力，還經常出現(xiàn)root密碼修改后忘掉的情況。很多時候，維護人員為了方便記憶密碼，將密碼記錄在一個文獻里，以明文方式保存在電腦上，即使文獻加了個簡樸的密碼，一旦這些數(shù)據泄漏，后果不堪設想?，F(xiàn)在可采用主機賬號生命周期管理系統(tǒng)進行密碼托管，可以設定定期自動修改主機密碼，不用人工干預了。既提高了信息安全工作的效率，又減少了管理成本，還減少了安全風險。數(shù)據庫賬號生命周期管理系統(tǒng)目前，XXX用戶的支持人員及第三方維護人員都是采用PL/SQL等工具對在線庫或離線庫進行直接操作，有的是通過業(yè)務系統(tǒng)的某些模塊直接操作數(shù)據庫，導致敏感數(shù)據可以直接被編輯、刪除，無法對其進行集中控制。針對這種情況，目前較有效的解決方案是通過數(shù)據庫賬號生命周期管理系統(tǒng)來實現(xiàn)。通過賬號生命周期管理系統(tǒng)的虛擬化技術，將有高風險的操作工具發(fā)布出來（如PL/SQL、業(yè)務系統(tǒng)的主界面、C/S架構系統(tǒng)的客戶端等），客戶端零安裝，用戶對程序遠程調用，避免真實數(shù)據的傳輸和漏泄，能實現(xiàn)避免數(shù)據的泄露、對重要操作進行全程跟蹤審計、對重要命令進行預警。系統(tǒng)嚴禁所有操作終端與服務器之間的數(shù)據復制操作，但操作人員經常需要復制一段代碼或腳本到PL/SQL里面進行查詢操作，假如是用手敲，勢必會影響工作效率。這里就規(guī)定數(shù)據庫賬號生命周期管理系統(tǒng)具有單向數(shù)據流的控制，只允許從終端復制數(shù)據到系統(tǒng)，嚴禁從系統(tǒng)上復制數(shù)據到本地磁盤，這樣既保存了用戶的使用習慣，又達成了安全的目的。假如支持人員要把數(shù)據保存到本地終端上進行二次解決，需要將文獻導出到指定的存儲途徑上，文獻產生后會被自動加密解決，支持人員可以在指定的途徑下載加密的文獻到本地磁盤，并進行后期的二次解決，同時在存儲上保存有文獻副本備查。假如支持人員需要把修改好的數(shù)據上傳應用系統(tǒng)中或主機中，需要將文獻導入到指定的存儲途徑上，文獻上傳后會被自動解密解決，即可被應用系統(tǒng)或主機正常辨認。雙因素認證系統(tǒng)目前，系統(tǒng)中的主機賬號共用情況比較普遍，一個賬號多個人使用，這就導致了事后難以定責的尷尬局面，并且靜態(tài)的口令也容易被獲取。為了杜絕這種現(xiàn)象，可采用雙因素認證系統(tǒng)加強身份認證的管理。 傳統(tǒng)的方式是在每臺需要保護的主機、數(shù)據庫上啟用Agent，假如主機數(shù)量很多的話，配置工作量很大，維護起來很繁瑣。我們推薦給XXX用戶局的解決方案是將令牌認證系統(tǒng)與主機賬號生命周期管理系統(tǒng)結合做雙因素認證，大大減少了配置工作量的同時，還滿足了系統(tǒng)安全性規(guī)定。此外，對于所有重要的業(yè)務系統(tǒng)、安全系統(tǒng)，都應當采用雙因素認證，以避免賬號共用情況，發(fā)生安全事件后，能準確的定責。數(shù)據庫審計系統(tǒng)審計系統(tǒng)在整個系統(tǒng)中起到一個很好的補充作用。數(shù)據庫賬號生命周期管理系統(tǒng)雖然會記錄所有操作數(shù)據庫的行為，但他只是記錄前臺的操作過程，但對于發(fā)生安全事件后快速定位、還原整個事件過程還是有些欠缺。專業(yè)數(shù)據庫審計系統(tǒng)會對數(shù)據庫操作進行審計，記錄數(shù)據庫的平常操作行為，記錄敏感數(shù)據的訪問、修改行為，會精確了每一個字符。在安全事件發(fā)生后，可以精確的使用操作命令來檢索需要審計的信息，甚至可以組合幾條信息來精擬定位，提高了審計的效率。它可以對數(shù)據庫發(fā)生的所有變化進行回放，讓用戶知道重要操作后數(shù)據庫返回了什么樣的結果、發(fā)生了什么變化，可以很好的幫助用戶恢復整個事件的原始軌跡，有助于還原參數(shù)及取證。并可可以進一步到應用層協(xié)議（如操作命令、數(shù)據庫對象、業(yè)務操作過程）實現(xiàn)細料度的安全審計，并根據事先設立的安全策略采用諸如產生告警記錄、發(fā)送告警郵件（或短信）、提高風險等級。數(shù)據脫敏系統(tǒng)在我們的用戶系統(tǒng)里面，存在著大量的敏感信息：公民數(shù)據、業(yè)務數(shù)據等，業(yè)務系統(tǒng)軟件開發(fā)的最后階段，是需要盡量真實的數(shù)據來作為基礎測試軟件的一系列功能。特別是用戶系統(tǒng)這樣的大型系統(tǒng)實行或開發(fā)的時候，對于基礎數(shù)據的規(guī)定很嚴格，很多時候都是直接克隆生產環(huán)境的數(shù)據來進行軟件系統(tǒng)的測試，但是隨之而來的影響卻是深遠的，生產數(shù)據中，一方面它是一個真實的數(shù)據，透過數(shù)據基本上掌握了整個數(shù)據庫的資料。另一方面，在這當中包含很多敏感數(shù)據，不光是敏感數(shù)據，并且還是真實的敏感數(shù)據。假如在測試環(huán)境中發(fā)生了信息泄露問題，那么對于用戶數(shù)據安全將導致致命的后果。近年來，政府行業(yè)重大的敏感數(shù)據泄漏事件時有發(fā)生，如下圖所示：核心數(shù)據脫敏模塊的建設基于動態(tài)數(shù)據脫敏技術，通常是應用于生產系統(tǒng)，當對數(shù)據庫提出讀取數(shù)據的請求時，動態(tài)數(shù)據脫敏按照訪問用戶的角色執(zhí)行不同的脫敏規(guī)則。如下圖所示：授權用戶可以讀取完整的原始數(shù)據，而非授權用戶只能看到脫敏后的數(shù)據。應用內嵌賬號管理系統(tǒng)復雜的IT環(huán)境，在其中包含過個腳本，進程，應用程序需要訪問多個平臺的資源和數(shù)據庫中存取敏感信息。為了更好地訪問這些資源，應用程序和腳本會運用數(shù)據庫上的帳號去獲取數(shù)據，有些帳號只有只讀權限，尚有些帳號具有讀寫權限。保護、管理和共享這類與應用程序相關的帳號成為了IT部門或者應用負責人的巨大挑戰(zhàn)，也是放在用戶面前的審計難題。調查表白42%的用戶從不修改嵌入在應用程序內的帳號密碼。這是一個嚴重的安全風險，并且明顯地違反了許多法律法規(guī)的規(guī)定，同樣也是直接導致運維效率低下的重要因素。應用程序的內嵌帳號通常也是具有非常高的權限的，可以毫無控制地訪問后端系統(tǒng)。假如該帳號不有效管理起來，勢必帶來繞開常規(guī)管理流程的非法訪問。以上圖的Billing系統(tǒng)為例，前端Bill應用通過內置的數(shù)據庫用戶連接數(shù)據庫，用以更新數(shù)據庫中相關記錄。非授權的第三方人員一旦知曉該密碼，則可以肆無忌憚地進入數(shù)據庫，刪除記錄，修改數(shù)據。如上描述，嵌入在應用程序中的密碼會帶來如下安全風險：密碼不定期修改：為了獲得更高的安全水平，密碼需要定期修改。而應用程序內嵌密碼其密碼修改過程非常復雜，由于密碼會被寫入在應用程序的多處。運維人員和開發(fā)人員都知曉應用密碼：由于應用程序密碼被嵌入在程序中，并且不會定期修改，所以通常密碼在IT運維人員和開發(fā)人員整個公司中是共享的，特別還涉及離職工工以及外包人員。密碼強度不夠：由于密碼是IT運維人員或者開發(fā)人員手工創(chuàng)建的，為了可以應對緊急情況，這些密碼盡量定義地簡樸，便于可以記憶。這將導致公司特權帳號密碼的策略不合規(guī)。密碼存儲在明文中：嵌入的密碼在配置文獻或者源代碼中是明文存儲的，有時密碼也不符合強度規(guī)定。所以這些密碼很容易被訪問到源代碼和配置文獻的人員獲得。相應用程序內嵌密碼缺少審計：在緊急情況下，IT運維人員和開發(fā)人員都需要使用應用程序密碼，現(xiàn)有的密碼方案無法提供相應的使用記錄的控制和審計。審計與合規(guī)：無法保護應用程序帳號，審計其使用記錄會違法安全標準和法規(guī)，并且導致無法通過內審和外審規(guī)定。應用程序帳號管理常見需求如之前章節(jié)描述，由于應用程序密碼濫用狀況引起了安全與合規(guī)性風險。擁有了應用程序就可以訪問公司的核心應用，為了成功地控制這些應用帳號，所選擇的解決方案必須滿足如下規(guī)定：安全需求：1.加密：應用程序密碼必須存儲在安全的場合，無論是存儲，還是被傳送至應用程序，密碼必須被加密。2.訪問控制：必須有很強的訪問控制作用在密碼使用之上，嚴格限定可以訪問密碼的人員或者是應用程序3.審計：可以快速審計到任何訪問密碼的活動，涉及個人訪問記錄。4.高可用性：相應的應用程序無法接受宕機時間。應用程序始終可以訪問這些密碼，不管是在網絡連接的問題或者存儲發(fā)生故障。管理需求：1.廣泛的平臺支持性：一個公司一般會擁有不同類型的系統(tǒng)、應用和腳本等。為了可以支持公司中不同應用的需求，應用程序密碼管理方案必須支持如下廣泛平臺：a)腳本–Shell,Perl,bat,Sqlplus,JCL等b)應用程序–自定義開發(fā)的C/C++應用程序，Java，.NET，Cobol等，也有一些諸如Oracle，SAP的商業(yè)系統(tǒng)c)應用服務器–大部分公司至少會擁有常見應用服務器的一款：比如IBMWebSphere,OracleWebLogic，JBOSS或者Tomcat2.簡樸和靈活的整合：改變應用消除硬編碼密碼的方式應當簡樸明了。整個方式應當簡化和縮短應用程序向動態(tài)密碼管理遷移的周期。3.支持復雜的分布式環(huán)境：大型公司中分布式系統(tǒng)非常多見。例如，一個集中的數(shù)據中心和多很分支機構運營著連接到中心的應用程序。網絡連接不是時時刻刻可靠的，偶爾也會斷網或發(fā)生震蕩，所以公司應用程序的高可用性是非常重要的，方案應當允許分支機構在連接到總部的網絡發(fā)生故障時，依舊可以運營良好。預設賬號口令管理系統(tǒng)通地在改變業(yè)務系統(tǒng)請求預設帳號方式，由傳統(tǒng)的應用內置帳號密碼，更改為向預設賬號口令管理系統(tǒng)發(fā)起預設帳號密碼請求，通過對網絡傳輸中的請求、返回數(shù)據進行加密，對請求源進行認證與授權的方式，安全保證最新的帳號密碼信息的供應。云計算平臺目前，大多數(shù)用戶的數(shù)據中心都部署了VMware的云計算平臺，這個平臺可以很好的融入到信息安全體系當中。賬號生命周期管理系統(tǒng)、加密系統(tǒng)、雙因素認證系統(tǒng)、活動目錄、內嵌賬號管理、數(shù)據脫敏系統(tǒng)、統(tǒng)一安全運營平臺、文獻服務器都是標準軟件應用，都可以跑在VMware云計算平臺上。運用VMware可以方便的對信息安全子系統(tǒng)做快照、系統(tǒng)遷移、系統(tǒng)擴容等，在發(fā)生故障時可快速恢復系統(tǒng)，為信息安全系統(tǒng)提供了良好的支撐平臺，減少了宕機時間，減少了維護成本，提高了工作效率。防火墻在數(shù)據中心部署獨立高性能防火墻，運用防火墻邏輯隔離出兩個區(qū)域，一個是內部核心服務器及數(shù)據庫區(qū)域（數(shù)據中心區(qū)），一個是信息安全系統(tǒng)及其他對外服務器區(qū)域（DMZ非軍事區(qū)）。在主機賬號生命周期管理系統(tǒng)上線運營后，數(shù)據中心防火墻需要配置安全策略，對FTP、SSH、Telnet、RDP以及所有未使用的端口進行封閉，嚴禁任何外部終端對數(shù)據中心主機直接發(fā)起有效連接，嚴禁終端直接接觸數(shù)據中心的資產，只允許其通過管理系統(tǒng)來訪問數(shù)據中心，但允許數(shù)據中心內部主機之間的互相連接。在數(shù)據庫賬號生命周期管理系統(tǒng)上線運營后，數(shù)據中心防火墻需要做安全策略，對數(shù)據庫端口進行封閉，嚴禁任何外部終端直接采用數(shù)據庫工具操作數(shù)據庫，但允許數(shù)據中心內部主機之間的數(shù)據同步。統(tǒng)一安全運營平臺隨著信息架構與應用系統(tǒng)日漸龐大，現(xiàn)行IT架構中，早已不是單一系統(tǒng)或是單一設備的單純環(huán)境，系統(tǒng)中往往擁有各種安全設備、主機設備、網絡設備、應用系統(tǒng)、中間件數(shù)據庫等等，天天產生巨大的日記文獻，即使是派專人都無法解決過來，一個安全事件的追查，對于結合異質系統(tǒng)、平臺的問題上，卻又需要花費大量的人力時間，對于問題解決的時間花費與異構平臺問題查找，都無法有效管理與減少成本。統(tǒng)一安全運營平臺可從單一位置實時搜尋、報警及報告任何使用者、網絡、系統(tǒng)或應用程序活動、配置變更及其它IT數(shù)據。消除設立多重主控臺的需要，從單一位置即可追查襲擊者的行蹤?，F(xiàn)在可以執(zhí)行更為進一步的分析，并更快速而徹底地予以回應，減少風險及危險暴露的限度。意外事件回應在接獲任何可疑活動的報警或報告時，統(tǒng)一安全運營平臺將會是第一個解決的窗口。只需在統(tǒng)一安全運營平臺搜尋框中輸入你所掌握的具體數(shù)據，涉及IDS報警的來源及目的IP，或是認為其私人數(shù)據已外泄的客戶賬戶ID即可。統(tǒng)一安全運營平臺會立即傳回整個網絡中所有應用程序、主機及裝置中，與該搜尋條件有關的每一事件。雖然開始傳回的數(shù)據非常多，但統(tǒng)一安全運營平臺可協(xié)助用戶理出頭緒，并依照所希望的方式加以整理。其會自動擷取及讓用戶篩選時間及其它字段、依據關鍵詞及模式將事件分類，因此用戶可快速解決完所有的活動數(shù)據。若用戶發(fā)現(xiàn)值得注意的事件，并希望加以追蹤，僅要點擊任何名詞，即可針對所點擊的詞匯執(zhí)行新搜尋。正由于統(tǒng)一安全運營平臺可為任何IT數(shù)據制作索引－而不僅是安全性事件或日記文獻，因此用戶只需使用統(tǒng)一安全運營平臺，即可掌握全盤狀況。用戶可在此單一位置中，搜尋及發(fā)現(xiàn)襲擊者當下也許執(zhí)行的程序、過去執(zhí)行的程序，并查看其也許已修改的配置變更。安全性監(jiān)控統(tǒng)一安全運營平臺可讓用戶非常容易跨越IT束縛監(jiān)控安全性事件；搜尋用戶路由器及防火墻日記文獻中的數(shù)據流違反情況，尋找服務器及應用程序上的違反情況，或是尋找未經授權或不安全的配置變更。運用統(tǒng)一安全運營平臺的趨勢分析、分類及執(zhí)行辨認功能，即可快速辨認極為復雜的使用情況，例如可疑的執(zhí)行及模式，或是網絡活動的變化。報警功能可透過電子郵件、RSS、短信或觸發(fā)腳本寄送告知，可容易與用戶現(xiàn)有的監(jiān)控主控臺整合。報警還能觸發(fā)自動化動作，以便立即響應特定狀況，譬如命令防火墻封鎖入侵者日后的數(shù)據流。變更偵測通過統(tǒng)一安全運營平臺，可連續(xù)監(jiān)測所有途徑上的檔案，無須另行部署其它代理程序。每次在用戶所監(jiān)控的途徑上加入、變更或刪除檔案時，統(tǒng)一安全運營平臺皆會記錄一個事件。用戶也可以讓統(tǒng)一安全運營平臺在每次整體檔案有所變更時，皆為其制作快照索引。若已部署專用的變更監(jiān)控工具，亦無影響，只要使用統(tǒng)一安全運營平臺為其所記錄的事件制作索引，代替直接監(jiān)控變更即可。無論來源為什么，只要索引中的數(shù)據變更，用戶就會接獲重大配置設定變更的警示，并能容易追蹤配置變更的錯誤癥結因素。安全性報告統(tǒng)一安全運營平臺為用戶提供單一位置，可跨越所有的IT基礎結構及技術產生報告，涉及跨越所有服務器、設備及應用程序，為安全性事件、效能記錄數(shù)據及配置變更提供報告，并使用趨勢圖表及摘要辨識異常及可疑變化。其報告采用交互式能讓用戶進一步發(fā)掘，以了解問題的因素及影響。使用統(tǒng)一安全運營平臺可傳達用戶基礎結構的安全性基本原則、檢查存取控制，或是密切監(jiān)視使用者的行為，并為用戶的客戶、管理階層或同事制作自動化的調度報表，或產生特定操作的報告。然后將報告結果列在儀表板上，為用戶組織中的資產管理人提供應用程序及系統(tǒng)的實時檢查，以增長對狀況的掌握能力。安全運維服務漏洞掃描服務：漏洞掃描結果、對比分析報告、漏洞情況匯總表系統(tǒng)加固服務：系統(tǒng)加固和優(yōu)化解決方案，系統(tǒng)加固實行報告（輔助）基線評估：對目的系統(tǒng)進行最小安全策略評估安全滲透測試服務：滲透測試方案，滲透測試報告安全設備巡檢服務：巡檢規(guī)范、巡檢報告系統(tǒng)安全評審服務：系統(tǒng)安全審核報告（安全策略）安全顧問征詢服務：信息安全征詢、安全規(guī)劃、解決方案征詢。安全事件響應：安全事件報告安全駐點服務：提供周報、月報、安全系統(tǒng)平常運維操作安全項目實行：調研、訪談、業(yè)務需求實行效果各安全子系統(tǒng)上線后，給數(shù)據中心的安全管理來帶明顯的效果，對終端、用戶、賬號、主機、網絡、中間件、數(shù)據庫、應用系統(tǒng)、安全管理等各個層面進行有效的補充，形成一個縱深的防御體系，并結合平常的安全運維服務，讓安全體系維持更新與運作，對安全事件有積極防止及事后回查的效果。針對終端接入的管理完整掌控公司內部所有IP/MAC地址資源，自動收集、偵測IP/MAC地址。提供在線、離線、未使用及未授權IP地址使用者的信息?；贚ayer2(MAC層)及Layer3(IP層)阻斷網絡設備接入。自動阻斷未授權MAC地址使用者接入網絡。自動阻斷未授權IP地址使用者接入網絡。具有IP與MAC地址綁定功能，自動阻斷非授權綁定的使用者接入網絡。自動檢測IP地址沖突，并自動阻斷非授權該IP使用者接入網絡。提供對重要應用系統(tǒng)設備IP地址的保護能力。提供網絡上IP/MAC地址具體信息的功能。自動探測并阻斷網絡上未授權的DHCP服務器。具有偵測并阻斷未授權設備（如無線AP）。內建SecuredDHCP功能（具有IP/MAC地址管理功能，防止靜態(tài)IP地址與DHCPIP范圍沖突）具有硬件網絡設備偵測功能。支持外部數(shù)據的導入等聯(lián)動功能。支持多重VLAN。Server與數(shù)據庫具有冗余功能。提供異常EventLog及報表功能?？奢敵鯡xcel文獻形式提供各種情況的信息CSV、HTML、Txt文獻輸出。提供API接口做第三方的拓展性開發(fā)。針對敏感數(shù)據的使用管理根據用戶的不同級別，可以設立文獻的不同使用權限和期限；實時監(jiān)控敏感文獻使用者使用文獻的情況；防止用戶非法拷貝、復制、打印、下載文獻；防止用戶通過電子郵件、移動硬盤、優(yōu)盤、軟盤等泄密；防止屏幕拷貝，屏幕錄制等使用第三方軟件非法操作；可以從服務器端及時控制加密文獻的使用權限及期限；可以進行用戶、用戶組、安全策略的管理；根據工作流程建立策略，對用戶權限實現(xiàn)模塊化設立；可以把用戶的密鑰，權限與指定的臺式機，筆記本電腦進行綁定，實現(xiàn)離線瀏覽；可以把用戶的密鑰，權限與指定的USB鎖進行綁定，實現(xiàn)離線瀏覽；可以控制用戶的閱讀，打印次數(shù)；結合水印技術可以查找文獻泄密渠道；針對敏感數(shù)據的訪問管理采用SQLProxy技術，動態(tài)攔截SQL命令，并按照數(shù)據脫敏規(guī)則對SQL命令進行調整，不需更改和另行轉換數(shù)據庫實際內容?？梢罁皵?shù)據庫、數(shù)據表、和字段名稱”定義數(shù)據自動脫敏規(guī)則，并可以使用數(shù)據庫自帯的內置函數(shù)，定制數(shù)據脫敏規(guī)則。數(shù)據脫敏規(guī)則支持：部分脫敏（例如：姓名“王大名>王某某”）隱藏脫敏（例如：密碼>“confidential”）依據“特定條件”進行脫敏（例如：根據A字段的內容，來決定是否對B字段進行脫敏）脫敏使用的字符，支持中英文各種標準字符；可對英文數(shù)字主鍵值數(shù)據（如：身份證號碼）進行脫敏，并使應用系統(tǒng)的主鍵值關聯(lián)查詢功能仍維持正常，不會因主鍵值脫敏后查不到資料。支持“*、？”等萬用字符，可以彈性設定數(shù)據庫表和字段的名稱；支持“中英文編碼”脫敏功能，支持BIG5與UNICODE編碼，不會因字符編碼長度不同而導致中文脫敏后產生亂碼?？砂凑铡皵?shù)據庫用戶、連接數(shù)據庫的應用系統(tǒng)名稱、主機名稱、時間、SQL命令關鍵字等多條件組合，來定義不同的脫敏規(guī)則。針對主機設備訪問的管理建立UNIX類服務器、LINUX類服務器、Windows類服務器、網絡\安全等重要設備的統(tǒng)一操作管理平臺，統(tǒng)一操作管理入口，并對用戶操作管理等網絡訪問行為進行控制，避免用戶直接接觸目的服務器重要資源，構建安全規(guī)范的服務器操作管理唯一通道。準確辨認用戶操作意圖，辨認用戶輸入操作命令，并對用戶操作進行限制。操作限制支持時間、用戶原始IP地址、目的服務器地址、用戶名稱、系統(tǒng)帳號、使用的命令等策略因子。對高危命令要能自動阻斷命令的執(zhí)行，對越權操作行為要能及時警告。用戶通過SSH、TELNET、RDP、X-WINDOW、VNC、FTP、SFTP、SCP等方式在服務器上的所有操作行為，都能做到全記錄、全審計。在審計對象出現(xiàn)故障或有管理事故時，審計管理系統(tǒng)可以快速、準確的定位查詢相關日記。回放事件的整個過程，用以問題的解決和責任認定。在服務器上所有的字符命令操作日記，都可以與第三方的syslog日記分析系統(tǒng)做無縫結合。不在服務器上安裝任何代理軟件，設備的部署不影響公司正常的業(yè)務數(shù)據流，不會發(fā)生正常業(yè)務流單點故障。不會更改現(xiàn)有的網絡拓撲，不會改變用戶的使用習慣支持現(xiàn)有標準TELNET、SSH、SFTP、FTP、RDP等客戶端，不需安裝任何第三方特殊功能客戶端，不需要特殊客戶端軟件和本產品配合使用。日記可以長期保存，以備日后查詢審計。針對數(shù)據庫訪問的管理數(shù)據庫賬號生命周期管理系統(tǒng)可以實現(xiàn)資源的統(tǒng)一，無論B/S、C/S架構應用（如PL/SQL），還是其他計算機資源，都可以采用統(tǒng)一的瀏覽器方式發(fā)布，構建統(tǒng)一應用門戶，提高用戶訪問體驗，做到快速部署新增應用系統(tǒng)；統(tǒng)一的應用發(fā)布平臺，統(tǒng)一的應用訪問門戶，統(tǒng)一的接入方式，方便的應用權限管理，支持單點登錄及雙因素認證，一次登錄后用戶可以直觀的看到自己所能訪問的應用資源；數(shù)據采用集中方式管理，讓用戶自由選擇網點及設備進行應用訪問，只有鼠標、鍵盤、屏幕數(shù)據通過網絡，大大加強了數(shù)據中心的安全性，杜絕泄密。由于網絡中不走實際應用數(shù)據，所以對帶寬的需求是固定的（一個終端100K即可），可以有效減少訪問帶寬，合理運用帶寬資源；可以方便的控制方便的控制訪問數(shù)據庫賬號生命周期管理系統(tǒng)的客戶端權限，如：本地打印、添加本地設備、映射本地目錄、虛擬化目錄訪問、訪問時間等；復雜的應用結構往往對終端的規(guī)定越來越高，如安裝眾多的插件、眾多的應用端口、兼容性問題、C/S架構導致終端運營緩慢、終端補丁升級、終端病毒感染、機器的老化等，維護的成本越來越高，數(shù)據庫賬號生命周期管理系統(tǒng)的建立，對終端的規(guī)定是只需要瀏覽器，對終端的配置及系統(tǒng)環(huán)境沒有太多規(guī)定，大大減少了維護的成本，并且只需要開放80端口，防火墻的配置不需要再經常變化，加強了安全性，減少了管理成本；方便的監(jiān)控應用訪問情況，對終端的應用訪問過程進行有效監(jiān)控，并對訪問行為進行審計記錄；針對數(shù)據庫的審計數(shù)據庫不安全配置；數(shù)據庫潛在弱點；數(shù)據庫用戶弱口令；數(shù)據庫軟件補丁層次；數(shù)據庫潛藏木馬等等。可以針對TNS、TDS等協(xié)議進行解析還原，涉及數(shù)據訪問的各項要素，如執(zhí)行的SQL命令、請求內容、包長度、操作回應、作用數(shù)量、執(zhí)行時長；以及客戶端及主機端IP、MAC地址、客戶端操作系統(tǒng)用戶名、主機名、端口、工具、及數(shù)據庫登錄用戶名、服務標記等內容。針對于數(shù)據庫的操作行為進行實時檢測，根據預設立的風險控制策略，結合對數(shù)據庫活動的實時監(jiān)控信息，進行特性檢測，任何嘗試的襲擊操作都會被檢測到并進行阻斷或告警。不僅支持對數(shù)據請求的報文進行審計，同時應對請求的返回結果進行審計，如操作回應、作用數(shù)量、執(zhí)行時長等內容，并可以根據返回的回應進行審計策略定制。提供全方位的多層（應用層、中間層、數(shù)據庫層）的訪問審計，通過多層業(yè)務審計可實現(xiàn)數(shù)據操作原始訪問者的精擬定位。提供針對用戶（數(shù)據庫）、表、字段、操作的審計規(guī)則；提供對存儲過程、函數(shù)、包的審計規(guī)則；提供對視圖、索引的審計規(guī)則；精細到表、字段、具體報文內容的細粒度審計規(guī)則，實現(xiàn)對敏感信息的精細監(jiān)控；基于IP地址、MAC地址和端標語審計；提供可定義作用數(shù)量動作門限，如SQL操作返回的記錄數(shù)或受影響的行數(shù)大于等于此值時觸發(fā)策略設定；提供可設定關聯(lián)表數(shù)目動作門限，如SQL操作涉及表的個數(shù)大于等于此值時觸發(fā)策略設定；可根據SQL執(zhí)行的時間長短設定規(guī)則；如命令執(zhí)行時長超過30秒進行告警；可根據SQL執(zhí)行的結果設定規(guī)則；支持多級部署環(huán)境下數(shù)據查詢；支持多級管理下審計規(guī)則分發(fā)；可預設立安全策略；告