信息安全建设方案建议书五模板.docx

第1章 信息安全处理方案设计在第2章里，我们分别从网络、应用、终端及管理四个方面对企业信息系统安全建设进行了风险及需求分析。同时依据第3章安全方案设计标准，我们将企业网络安全建设分为以下多个方面进行了具体方案设计： 边界安全处理方案； 内网安全处理方案； 应用安全处理方案； 安全管了处理方案； 安全服务处理方案。下面我们分别针对这5个安全处理方案进行具体描述。1.1 边界安全处理方案在第2章网络安全风险及需求分析中，我们关键从外部网络连接及内部网络运行之间进行了风险分析。边界安全处理方案就是针对和外部网络连接处安全方面。网络是用户业务和数据通信纽带、桥梁，网络关键功效就是为用户业务和数据通信提供可靠、满足传输服务质量传输通道。就企业网络系统来讲，网络边界安全负责保护和检测进出网络流量；其次，对网络中部分关键子系统，其边界安全考虑是进出系统网络流量保护和控制。针对企业网络系统，来自外部互联网非安全行为和原因包含： 未经授权网络访问 身份（网络地址）欺骗 黑客攻击 病毒感染针对以上风险分析及需求总结，我们提议在网络边界处设置防火墙系统、安全网关及远程访问系统等来完善企业边界网络安全保护。1.1.1 防火墙系统为在企业网络和外界网络连接处保障安全，我们提议配置防火墙系统。将防火墙放置在网络联结处，这么能够经过以下方法保护网络： 为防火墙配置合适网络访问规则，能够预防来自外部网络对内网未经授权访问； 预防源地址欺骗，使得外部黑客不可能将本身伪装成系统内部人员，而对网络提议攻击； 经过对网络流量流量模式进行整型和服务质量确保方法，确保网络应用可用性和可靠性； 能够依据时间定义防火墙安全规则，满足网络在不一样时间有不一样安全需求现实需要； 提供用户认证机制，使网络访问规则和用户直接联络起来，安全更为有效和针对性； 对网络攻击进行检测，和防火墙内置IDS功效共同组建一个多级网络检测体系。现在新型状态检测防火墙有效处理并改善了传统防火墙产品在性能及功效上存在缺点，状态检测防火墙含有更高安全性、系统稳定性、愈加显著功效特征和优异网络性能，同时含有广泛适应能力。在不损失网络性能同时，能够实现网络安全策略正确制订和实施，同时有效地抵御来自非可信任网络攻击，并含有对防火墙系统安全性能诊疗功效。其内置入侵检测系统，能够自动识别黑客入侵，并对其采取确切响应方法，有效保护网络安全，同时使防火墙系统含有无可匹敌安全稳定性。我们能够依据业务模式及具体网络结构方法，不仅仅在内部网络和外部网络之间，同时在内部网络和内部网络之间和各子业务系统之间，考虑采取防火墙设备进行逻辑隔离，控制来自内外网络用户对关键业务系统访问。1.1.1.1 防火墙技术布署说明（依据具体网络情况描述）1.1.1.2 产品选型及功效介绍（依据具体产品描述）1.1.2 安全网关因为考虑到企业和互联网（Internet）进行连接，所以我们提议在系统网络和Internet接入处配置“安全网关”，布署位置灵活，可放置在接入路由器和防火墙之间，也可布署在防火墙和内部网络之间。伴随互联网飞速发展和应用，计算机病毒已将互联网作为其一个关键传输路径。其中利用电子邮件传输病毒是最直接方法，统计显示邮件传输方法占全部病毒传输90%以上。在过去一段时间内所发生几起影响较大计算机病毒事件中，以Internet为关键传输路径病毒占大多数，如Nimda、Code Red等，和近几年爆发Sobig.F、Swen、冲击波、振荡波等等。同时，因为病毒泛滥，垃圾邮件也越来越成为大家头痛问题。依据国际领导市场调查机构Radicati Group统计，现在全部邮件中，超出50是垃圾邮件，也就是说天天在国际上有超出150亿封垃圾邮件被发送出去，使各类企业每十二个月遭受到200亿美元以上因为劳动生产率下降及技术支出带来损失，到垃圾邮件数量将上升到惊人2万亿封十二个月。经过上述风险及需求分析，在Internet接入处对病毒、垃圾邮件及恶意代码进行控制，是实现接入安全最好方案。经过配置“安全网关”，我们能够实现： 确保全部关键Internet协议安全，包含HTTP、FTP、SMTP、POP3等信息在进入内部网络前由安全网关进行查杀毒； 过滤全部来自互联网垃圾邮件； 经过SMTP认证确保邮件服务器不会被黑客看成攻击她人跳板等。1.1.2.1 产品选型及功效描述安全网关目标是在网络边界或Internet网关处提供全方面病毒防护，而该病毒防护设备是即插即用，不需要改变任何Internet设置，并对全部应用及服务透明。经过全方面阻截已知及未知病毒和防垃圾邮件功效和内容过滤功效达成针对企业网络环境全方面防护。安全网关是一款高度可配置及提供负载均衡产品，为从中型到大型企业提供全方面处理方案，并对网络流量透明。v 关键模块 防病毒模块能够扫描最常见6种协议，阻止未知病毒和计算机蠕虫进入企业网络 防垃圾模块安全网关经过其反垃圾邮件模块检验进入企业全部邮件。信息被扫描而且被划分成垃圾或非垃圾，在未被请求邮件抵达用户信箱之前进行阻断或修改这些信息专题 内容过滤模块网页过滤模块许可管理员限制因特网访问。能够定义不受欢迎内容目录，授权和非授权网页。许可管理员控制企业网络资源，而且阻断非法，黄色或暴力网站内容，或只是不受欢迎内容进入企业。能够建立VIP用户列表，这些用户不需应用上述限制v 关键特点： 易于使用：安全网关是现在世面上最易于安装及使用硬件网关产品，作为网络信息传输桥梁而非需要重新路由网络流量。 安全：安全网关扫描6种网络协议，而其它硬件网关产品仅能够扫描2到4种网络协议。在安全网关安装在企业边界上时，它实时扫描全部收入及发出邮件及其它网络传输信息，而且含有防垃圾邮件功效和内容过滤功效 表现性能：安全网关最大性能是能够取得完全扫描及病毒防护。安全网关硬件及软件性能经过特殊优化处理，能够同时扫描6种网络协议，而且完全对企业网络透明。 扩展性：安全网关专门针对自动负载均衡设计，使增加扫描速度及增加网络防护能够随时达成。并可支持到百兆。v 功效及优势： 性能高度优化病毒防护 整合最新硬件及软件技术，提供超乎平常优异性能，能够在一个小时内扫描上万封邮件，完全对企业网络透明。 性能高度优化垃圾邮件防护 整合最新硬件及软件技术，提供超乎平常优异性能，能够在一个小时内扫描上万封邮件，完全对企业网络透明。 拓展性及负载均衡 因为安全网关高度可拓展性，安全网关适合中到大型企业，能够依据网络通讯流量调整扫描能力。负载均衡是完全自动，许可工作负载量能够自动在不一样工作单元间进行均衡，良好地保障了产品可拓展性及对企业边界全方面防护。 易于安装及配置 根据即插即用设计思绪，能够很简便地安装在企业网络中，不需要重新配置或重新路由Internet流量。一旦安装完成，就开始不知疲惫地扫描全部网络流量，保障网络100安全。 保护全部广泛使用网络协议 保护全部可能Internet相关威胁，完全扫描全部常见Internet协议，包含: HTTP, FTP, SMTP, POP3, IMAP, NNTP. 内容过滤 内容过滤预防未知病毒及蠕虫进入企业网络，大幅降低整体网络资源占用及带宽，预防可能恶意代码进入到企业网络。 远程管理 能够经过一个简练、启发式WEB管理控制台远程管理，让企业网络管理员经过企业内部任何一台电脑管理该产品。 每日自动病毒更新 能够每日自动病毒更新，意味着安全网关一直能够防护全部最新病毒。 具体汇报及可用户化报警安全网关提供完整扫描汇报，并能够用户化在企业内部网络病毒报警机制。 实时系统监控 安全网关提供网络管理员对网络病毒行为及网络流量实时监控。1.1.3 远程访问安全依据前面风险及需求分析可知，企业在经过Internet互连及远程访问方面，关键存在着以下两种类型： 企业总部和分支机构之间远程访问及互连； 企业和合作伙伴之间远程访问及互连。在总部和分支之间互连，通常要求将分支机构网络接入到总部网络。而和合作伙伴互连通常情况下合作伙伴访问企业固定一些应用系统。同时，远程应用中还存在着一个情况，即用户出差或移动状态中需要在远程访问安全方面，我们分别针对这两类应用类型设计了对应VPN远程访问系统。1.1.3.1 分支和总部连接现在，因为VPN（虚拟专网）比租用专线愈加廉价、灵活，所以有越来越多企业采取VPN，连接在家工作和出差在外职员，和替换连接分企业和合作伙伴标准广域网。VPN建在互联网公共网络架构上，经过“隧道”协议，在发端加密数据、在收端解密数据，以确保数据私密性。如在企业分部和企业总部之间，及企业职员和企业关键数据之间，全部可建立起端到端逻辑隧道(Tunnel)，所谓“隧道”是指其中所传输数据全部经过特殊包装和加密处理，从而能和同一物理链路中其它数据区分开来，避免被不法用户所窃取，只有在隧道始末两端才可能添加和去除这些特殊包装以得到真实数据。在经过公共网络(如Internet)传输业务数据时，这项技术尤为必需。现在大多数远程安全访问处理方案是采取IPSec VPN方法，应用最广泛组网结构是在站点到站点VPN组网方法。IPSec是网络层VPN技术，表示它独立于应用程序。IPSec以自己封包封装原始IP信息，所以可隐藏全部应用协议信息。一旦IPSec建立加密隧道后，就能够实现多种类型一对多连接，如Web、电子邮件、文件传输、VoIP等连接。而且，每个传输肯定对应到VPN网关以后相关服务器上。在设计上，IPSec VPN是一个基础设施性质安全技术。这类VPN真正价值在于，它们尽可能提升IP环境安全性。IPSec VPN诱人之处包含，它采取了集中式安全和策略管理部件，从而大大缓解了维护需求。1.1.3.2 应用系统远程访问信息技术发展到现在，Web成为标准平台已势不可挡，越来越多企业开始将ERP、CRM、SCM移植到Web上。SSL VPN将是Web应用热潮直接收益者，它被认为是实现远程安全访问Web应用最好手段。很多情况下，如采取SSL VPN能够就是降低成本。即使购置软件或硬件费用不一定廉价，但布署SSL VPN很廉价。安装了这类软件或硬件，使用者基础上就不需要IT部门支持了，只要从其PC机上浏览器向企业网注册即可。SSL连接也更稳定，据Infonetics最近发表汇报表明， SSL将不停取得吸引力。到，74%移动职员将依靠VPN（比增加15%），估计增加率关键来自SSL，这种IPSec以外方案避开了布署及管理必需用户软件复杂性和人力需求。最终用户避免了携带电脑，经过和因特网连接任何设备就能取得访问，SSL更轻易满足用户对移动连接需求。用户经过和因特网连接任何设备实现连接，并借助于SSL隧道取得安全访问。即使这需要在企业防火墙后面增添硬件，但企业只要管理一个设备，无须维护、升级及配置用户软件。SSL VPN将远程安全接入延伸到IPSec VPN扩展不到地方，使更多职员，在更多地方，使用更多设备，安全访问企业网络资源，同时降低了布署和支持费用。SSL VPN正在成为远程接入事实标准。SSL VPN能够在任何地点，利用任何设备，连接到对应网络资源上。SSL VPN通信运行在TCP/ UDP协议上，含有穿越防火墙能力。这种能力使SSL VPN能够从一家用户网络代理防火墙背后安全访问另一家用户网络中资源。IPSec VPN通常不能支持复杂网络，这是因为它们需要克服穿越防火墙、IP地址冲突等困难。鉴于IPSec用户机存在问题，IPSec VPN实际上只适适用于易于管理或位置固定设备。SSL VPN是基于应用VPN，基于应用层上连接意味着（和IPSec VPN 比较），SSL VPN 更轻易提供细粒度远程访问（即能够对用户权限和能够访问资源、服务、文件进行愈加细致控制，这是IPSec VPN难以做到）。IPSec VPN和SSL VPN 将在网络组网中发挥各自优势。在企业远程访问安全中，因为分别存在着这两种情况，所以我们提议在方案中采取IPSec 和SSL VPN相结合布署方法： 总部和分支机构之间需要经过现有Internet进行互连，提供分支机构对总部网络访问。所以，采取基于IPSec站点到站点VPN接入是比较理想接入方法。 出差用户及远程移动用户访问企业内部应用、及合作伙伴访问一些特定业务应用系统，采取SSL VPN方法更能有效满足应用需求。1.1.3.3 产品选型及功效说明（依据具体产品功效描述）1.1.4 入侵检测系统依据之前安全风险和安全需求分析，在企业网络中，因为直接接入Internet及内部网络用户众多，可能面临风险及威胁有： 拒绝服务攻击（DoS）：经过消耗网络带宽资源或网络设备处理能力资源，使正常服务和数据通信对网络传输质量要求得不到满足。尼姆达（Nimda）病毒冲击波（Blaster, Nachi）病毒就是很经典例子。 信息窃听 资源滥用：内部人员访问不妥站点、玩网络游戏，浪费网络资源，使正常服务和数据通信得不到保障。 管理失控：经过窃取网络设备管理权而使网络失去安全性所以，我们在方案中提议在网络中布署入侵检测系统来入侵及滥用行为进行检测及审计。经过在网络中布署入侵检测系统，能够在安全保障上做到： 检测和发觉针对系统中网络攻击行为，如DoS攻击。对这些攻击行为能够采取统计、报警、主动阻断等动作，方便事后分析和行为追踪。 经过定义严禁访问网站，限制内部人员对不良站点访问。 对部分恶意网络访问行为能够先统计，后回放，经过这种真实地再现方法更正确了解攻击意图和模式，为未来更有效地防范类似攻击提供经验 “入侵检测系统” 能够提供强大网络行为审计能力，让网络安全管理员跟踪用户（包含黑客）、应用程序等对网络使用情况，帮助她们改善网络计划。 对“入侵检测系统”使用和使用人员管理一定要有专门制度。IDS最关键功效是对网络入侵行为检测，它包含一般入侵探测和服务拒绝型攻击探测引擎，能够自动识别多种入侵模式，在对网络数据进行分析时和这些模式进行匹配，一旦发觉一些入侵企图，就会进行报警。IDS也支持基于网络异常情况检测方法。IDS含有强大碎片重组功效，能够抵御多种高级入侵方法。为了跟踪最新入侵方法和网络漏洞，IDS提供大容量入侵特征库和方便升级方法，每一个漏洞全部提供了具体说明和处理方法，而且给出了相关Bugtraq、CVE和CAI等国际标准编号。IDS能够基于时间、地点、用户账户和协议类型、攻击类型等等制订安全策略。经过对安全策略调整，用户能够很方便地将IDS自定义成为符合自己组织需要入侵检测系统。而且，经过IDS提供正则表示式，用户能够方便地对入侵特征库进行扩充，添加需要入侵特征，而且能够对入侵响应过程进行自定义。比如用户需要在发觉某种特定类型攻击方法时候开启一段自己编写程序以完成某项功效时候，就能够利用IDS提供接口灵活而方便地进行配置完成。在抵御拒绝服务攻击功效上，IDS不仅仅能够进行攻击报警，而且能够主动切断攻击。由此产生大量日志能够经过IDS含有强大工作区切换功效进行存放和转发，大大提升了网络入侵检测系统本身抗攻击能力。为了深入提升IDS抗攻击能力，IDS还支持Stealth模式配置，就是无IP设置。这么攻击者就无法访问运行IDS安全工作站，也就无法对IDS进行直接攻击。1.1.4.1 产品布署说明（依据具体网络情况描述）1.1.4.2 产品选型及功效描述（依据具体产品描述）1.2 内网安全处理方案面对网络信息安全多种风险，我们在边界及网关处安全处理方案处理了很多安全问题。比如：在网络边界，经过防火墙对网络连接和访问正当性进行控制，经过网关过滤设备对数据流非法内容进行控制；在网络传输上，经过入侵检测监视黑客攻击和非法网络活动等。但针对于内部网络我们仍然面临着很多安全问题。传统上，我们经过漏洞扫描发觉系统缺点；在主机设备，经过主机加固加强主机防护能力，经过防病毒、反间谍软件预防恶意代码等。然而伴随网络发展，病毒及恶意代码本身技术越来越优异，其防护也越来越复杂。而且伴随计算机技术及应用普及，桌面用户行为也越来越超出网管员管理能力范围。所以，在考虑内部网络安全时，假如有效管理网络及终端将是我们考虑关键问题。在此我们经过以下三种手段来完成基于终端安全管理： 经过布署网络防病毒系统来完善企业整体防病毒及恶意威胁能力； 经过漏洞扫描或风险评定工具来发展漏洞、脆弱性及威胁，并经过补丁分发系统对漏洞及脆弱性进行立即矫正及补充； 经过终端安全管理系统对桌面设备及用户进行安全管理及规范，有效确保终端安全。1.2.1 企业防病毒系统现在企业网络系统中并没有一套完整防病毒策略和技术方案，工作站安装防病毒软件多种多样，甚至有些服务器和工作站没有安装防病毒软件，部分工作上使用防病毒软件病毒特征代码没有立即更新，没有对防病毒软件进行统一管理。鉴于防病毒关键性和资源服务器系统网络目前情况，需要建立一套完整防病毒系统，把病毒对网络威胁降到最低。现在企业整体防病毒处理方案均已比较成熟。在此我们针对传统企业防病毒系统布署强调以下几点： 全方面性：实施网络防毒系统时，应该对网络内全部可能作为病毒借居、传输及受感染计算机进行有效防护。避免有“遗忘角落”造成病毒传输源泉； 功效及易用性：首先需要对多种病毒进行有效杀、防；其次，也要强调网络防毒在实施、操作，维护和管理中简练、方便和高效，最大程度地减轻使用人员和维护人员工作量； 资源占用：防毒系统和企业现行计算机系统兼容性、防毒软件运行效率及占用资源等是企业防病毒系统必需考虑问题。布署时考虑到企业现有计算环境及应用平台，是否和需求资源相匹配； 管理体系：为了确保防病毒系统一致性、完整性和自升级能力，还必需要有一个完善病毒防护管理体系，负责病毒软件自动分发、自动升级、集中配置和管理、统一事件和告警处理、确保整个企业范围内病毒防护体系一致性和完整性。 防病毒策略：这个是企业防病毒系统最轻易被忽略地方。系统必需明确地要求保护等级和所需采取对策，并制订系统防病毒策略和布署多层防御战略，服务器防病毒、个人桌面计算机防病毒和全部防病毒产品统一管理，不要让网络系统中存在“木桶效应”。一个良好防病毒处理方案需要做到“层层防护，四处设防”，全方位多层次布署防病毒体系。我们为企业网络中提供一个稳定高效、技术一流、方便管理、服务周全病毒防护处理方案，满足网络系统对病毒防护系统设计业务需求，确保网络系统能有效抵御多种病毒和恶意程序攻击。在企业网络中建立病毒防护管理服务器，全部防毒对象（工作站和服务器）均采取安装代理方法来实现集中控管。防毒服务器全方面控制防毒代理运行、升级和删除等权限。能够经过防毒服务器自动分发防毒策略和防病毒升级特征库，而整个防毒体系只需要网管和网络安全管理中心防毒服务器去Internet自动获取病毒库升级就能够自动完成全网升级工作。极大地提升了防毒工作效率。而且这种二层架构网络防毒体系含有很好扩展性。1.2.1.1 产品选型及功效描述NOD32企业级防病毒安全套装是一个高性能和稳定防病毒处理方案，它方便了对网络中全部计算机保护配置和更新，这些计算机包含：工作站，文件服务器，Exchange和Domino邮件服务器，SMTP网关和边界服务器。它不仅抵御病毒，蠕虫和特洛依木马，还防护新英特网攻击，如垃圾邮件，间谍程序，拨号器，黑客工具和恶作剧，和针对系统漏洞，并提供保护阻止安全冒险。入侵防护采取了新一代防护技术，它比传统检测系统愈加智能化，能在第一时间发觉新威胁，并阻断企图越过传统防病毒软件未知病毒攻击，不管该未知病毒是以下列何种方法传输：外围设备、局域网共享资源、电子邮件E-mail、互联网。入侵防护是市场上唯一一款集已知和未知威胁防护于一身入侵防护软件，能最大程度地抵御病毒、木马、蠕虫等网络威胁。入侵防护企业版关键特征包含： 发觉并清除未知病毒：结合了多个恶意代码程序检测及阻断技术，能有效发觉并清除未知病毒。 缓冲区溢出防护：不仅能抵御已知安全漏洞攻击，而且能防护未知攻击。能在第一时间保护系统内缓冲区溢出漏洞不会被恶意代码利用作为攻击手段，即使还没有任何针对该漏洞资料和补丁程序。 防护性阻断感染：能够在网络层预防病毒和蠕虫在企业网络中传输。 安全政策定义：经过建立安全政策来控制计算机上运行程序可实施操作，使网管人员能对企业网络内全部计算机进行整体控制管理、定义并干预正当及被严禁操作。 新一代防护技术，能抵御全部类型互联网威胁：包含病毒、木马、蠕虫等。 无可比拟集中式布署：能不受地域限制，对企业组织中全部工作站进行用户端分发和集中管理。 占用资源最小化：是在低带宽环境下保护笔记本电脑理想方案。 基于通用标准技术：优化网络内防病毒更新速度。 友好直观用户界面：避免混淆和误操作。1.2.2 终端安全管理在第2章里我们针对终端安全进行了具体风险及需求分析。终端安全是我们整体处理方案里不可或缺部分，因为终端安全是我们日常安全工作是最关键也是需要关注最多部分。所以对应终端安全处理方案必需做到：v 统一、灵活安全策略全部安全管理全部是经过策略集定制和分发来完成，支持集中安全管理，便于整个系统统一管理。安全策略分为用户策略和全局策略两类。通常情况下，用户终端工作在网络环境下，接收在线环境下用户策略控制；对于移动办公笔记本电脑等移动终端，接收脱机情况下全局策略保护。管理员可依据组织机构划分管理权限，不一样管理者含有不一样权限和管辖范围，支持系统清楚职权划分。安全策略能够分组分类，不一样策略组所起控制作用和使用范围也不一样。为了简化策略管理，我们将用户根据角色来管理；对不一样角色实施不一样安全策略。策略包含多个层次：物理和环境、链路和操作、网络、设备、系统、应用、数据、人员等各个层面安全策略制订、布署和实施，帮助用户有效实现网络安全建设。策略层次以下图所表示：v 多层面、全方位保护系统保护覆盖了“系统内核 - 系统设备 - 应用程序”三个层面，提供了全方位保护。在系统内核层面，可自动、透明地帮助用户加固操作系统、降低IT资源风险。终端用户勿需含有专业安全知识便可将自己计算机终端加固到教授级程度，从而将精力关注于关键业务。在系统设备层面，严格限定用户对硬件设备（比如：磁盘驱动器、CD-ROM、USB设备、打印机、网卡等）使用权限和网络传输控制，确保该主机遭受攻击或提议对外攻击可能性全部极大降低，同时也预防数据信息泄露。在应用程序层面，严格限定用户在指定电脑上正当行为和严禁行为，确保了用户只能在正当范围内正常使用电脑，避免了用户对资源滥用，也避免了由此造成维护成本升高。v 智能化分析和异常检测机制系统经过特有环境因子和用户因子生成报警因子，并结合策略因子和历史数据，共同输入到决议引擎中；该引擎采取专有安全算法，综合分析判定得出对某个事件是否报警。这么就避免了大量误报给管理员带来工作量。v 安全和管理相结合计算机终端生命周期管理过程中，既包含到安全保护，也涵盖终端管理，这两项工作内容全部服务于业务目标，目标是确保IT业务和办公正常运行和健康发展。安全和管理完善结合，正是终端管理系统设计关键思想。1.2.2.1 产品选型和功效介绍IP-GUARD终端安全管理系统是为了应对现在终端面临众多安全威胁而设计一个安全管理产品，也是实现ELM策略关键技术手段。提供了对终端生命周期管理（ELM）策略全方面技术支撑，涵盖了资产管理、终端保护、应用监管、审计分析等功效模块。以计算机终端为关键，经过完整、灵活、适应用户需求方法，提供终端安全处理方案。KSMS面向企业级用户，它布署在网络中每一台计算机终端，实现对终端全方面保护，而且强调对网络终端统一控制管理。象一个时刻守卫在用户身边安全管理员，提供有效安全保护，确保计算机安全使用和企业级统一管理。1.2.2.1.1 系统体系和结构由三个部分组成：策略服务器（KPS）、管理控制台（KMC）、安全用户端（KSA）。v 分布式体系结构系统采取分布式体系结构，布署在网络内全部需要保护计算机终端，经过集中管理中心进行控制管理。KSMS提供灵活布署能力，含有良好扩展性。KSMS体系结构以下图所表示：在上图中，安全管理中心包含策略服务器、管理控制台、日志和审计数据库。其中，日志和审计数据库可采取独立服务器，也可安装布署在管理控制台。需要保护管理计算机终端包含企业网络环境中工作多种PC、笔记本电脑、PC服务器等。接收保护和管理终端节点会产生多种安全审计信息，可集中传输并存放到日志审计数据库，管理控制台能够访问和管理审计信息并进行统计分析。v 系统组成 策略服务器策略服务器保留并分发安全策略。KPS负责系统认证授权、策略管理后台支持，负责整个系统策略公布和保留。支持分布式布署，能够适适用于大规模网络环境应用。 管理控制台KSMS管理控制台实现系统集中管理控制。负责用户终端管理、策略定义和应用、系统设置、日志查询和报表分析，为系统管理提供统一平台，并支持用户分权管理。 安全用户端安全用户端接收控制台管理，实施安全策略。KSA布署在需要保护用户PC和服务器上，保护计算机终端安全使用、约束用户操作行为，系统将多种安全信息和日志传输到控制台供管理员统一分析处理。1.2.2.1.2 关键功效v 资产管理企业级资产管理功效，帮助管理员和信息主管充足掌握企业范围内IT信息资产情况，为加强IT管理提供依据。 设备管理管理员可充足掌握分散计算机终端硬件配置及其变更情况（比如主板、CPU、内存、硬盘等），统筹管理，避免资产流失。 软件管理管理员可立即掌握用户端安装软件及改变情况（比如操作系统、版本、补丁、所安装应用软件等），便于监督管理。 用户管理职员用户是企业资产关键组成部分。提供基于按组织划分用户角色管理，管理员可在线查询用户终端操作系统、进程、设备情况、性能状态等多个信息。 资产识别对非法终端、设备资产真实性识别可经过绑定IP、MAC、用户方法实现。v 终端保护KSMS企业级强制安全策略，提供基础架构保护和资产保护功效，经过多个手段全方位保护计算机终端安全使用。基础架构保护关键包含：终端网络访问控制、恶意程序综合防范；资产保护关键包含：设备使用限制、数据文件保护。 终端网络访问控制经过IP地址、IP/TCP/UDP/ICMP/IGMP协议、服务端口等控制，预防遭受外来黑客攻击，而且预防内部终端对外（或内部网络其它终端）提议攻击。 恶意程序综合防范采取多个方法综合防范恶意程序破坏。经过端口控制，可阻止特定蠕虫攻击；经过限制程序实施，控制未知病毒发作；经过注册表保护，预防恶意代码篡改；经过补丁管理，可立即通知补丁信息，填补漏洞；经过和KILL及多种主流防病毒软件联动，集成实现防病毒管理。 设备使用限制经过限制串口/并口、软驱/光驱、USB磁盘、多种形式打印机、PCMCIA卡、红外、1394接口、多网卡/无线网卡、Modem/ADSL等设备使用，有效预防设备滥用、一机多网使用、信息经过设备泄露现象发生，同时为加强IT制度管理提供技术保障。 数据文件保护经过数据访问权限控制等方法，保护数据、预防破坏和信息泄露。v 应用监管经过多个方法对计算机终端应用情况和用户行为进行监控管理。 非法外联控制经过网络设备限制、网络程序/连接控制等手段，限制终端非法外联，对职员随意访问外部网络行为进行管理，同时避免从不安全网络引入安全风险。另外，还可经过联动方法，控制终端必需经过统一认证才能经过滤网关连接到外部网络。 网络准入控制可经过检测发觉并预防非法终端（非KSMS用户端）接入网络，以此保护企业网络资源；另外，还可和交换机联动，经过802.1x协议方法将非法终端隔离在网络之外。 程序限制可限制网络程序，对QQ、MSN、网络冲浪等行为进行管理；对游戏及业务无关行为进行技术限制；确保工作效率。 网页过滤预置上百万条分类URL网站（暴力、色情、赌博、邪教等）黑名单，可完全严禁访问；另外可经过自定义黑白名单、关键字方法过滤非法网站和网页，限制对严禁网页访问。 远程维护当终端计算机用户需要现场技术支持时，管理员可经过远程帮助功效帮助用户处理技术问题，在特权许可情况下对用户端进行远程维护和屏幕监控，大幅提升工作效率。v 审计分析提供系统日志、认证日志、报警日志等等多个水晶报表格式统计分析汇报，为管理员提供安全分析依据。日志划分为7个等级（紧急、警报、严重、错误、警告、通知、提醒），可选择多个告警方法（声音、邮件、Windows消息等）。1.3 应用安全处理方案在第2章里，我们对应用安全风险及需求进行了具体分析和定义。在我们整体处理方案中从以下两个方面来完善应用安全处理方案。1.3.1 身份认证1.4 安全管了处理方案在第2章安全管理风险及需求分析中，我们关键从技术层面和行政层面两个方面来进行了叙述。实际上，安全管理是一个复杂而渐进过程，因为作为管理能力，是需要经过不停改善和提升。在企业安全管了处理方案中，我们先从技术和行政这两个层面正确安全管理进行一个基础设计，先建立一个基础安全管理平台，然而我们会深入怎样建立有效安全管理体系（SOC），实现可管理安全进行初步叙述。1.4.1 安全管理平台建立1.4.1.1 技术层面作为信息安全管理平台所要求高效和安全应用，是离不开尖端计算机技术作为基础，当然也离不开企业行政管理手段，因为没有系统管理方法，那么再新技术也无法在系统中得到愈加好应用。在技术方面经过专业网络综合管理系统来建立一个基础安全管理中心技术平台。经过专业网络综合管理系统来实现对网络设备、主机设备、安全设备和应用系统安全管理。因为企业信息系统建设是分步进行，网络设备、应用系统和安全设备、用户平台等含有多样性，所以对管理平台或系统要求也比较高，必需采取专业网络综合管理系统，对网络中全部设备和系统平台全部能够统一集中管理，获取全部设备工作状态和网络负载状态，同时能够看到网络活动日志信息，用它来对网络状态进行分析，提供更有效安全策略，同时网管系统能够监测用户端系统状态，能够接管用户端系统，当网络中么一用户系统出现问题而自己却无法诊疗，这时能够经过网管系统进行远程接管，来帮助用户处理问题。1.4.1.2 行政层面在行政层面企业必需成立信息安全管理小组，经过小组会议确立信息安全政策总则、信息安全管理政策、信息安全审计考评及信息安全政策。v 信息安全政策总则关键是确定企业信息安全总体标准，明确以后安全目标，有组织、有计划为信息安全建设给出总体方向，是其它政策和标准依据。v 信息安全管理政策关键是制订信息安全政策和标准步骤、管理规范、推广实施、定时维护；设置安全组织管理体系结构；要求领导层对信息安全责任、考评。v 信息安全策略关键是明确企业内部全部用户、全部应用明确安全细则，它是作为企业领导对全部用户考评依据。其具体信息安全政策应包含以下内容： 安全事件监测和响应 职员信息安全管理 开发维护内部软件 数据和文档管理 商业软件购置和维护 网站、电子邮件 硬件设备和物理安全 信息系统访问控制 网络、系统操作和管理 防御病毒和防御攻击v 信息安全审计指定审计和考评标准目标是为了考察信息安全政策和标准实施情况，立即发觉问题，纠正问题。这有利于信息安全政策改善和完善。政策中应该包含审计考评标准、审计考评时间、方法、结果处理。在行政层面部分内容，如信息系统安全策略设计、具体安全策略制订等能够经过外部专业安全咨询企业进行咨询，然后结合企业信息安全建设来制订。此部分内容我们将在下一部分安全服务处理方案里进行深入叙述。1.4.2 安全运行中心（SOC）信息安全管理发展，伴随安全需求提升也不停发展。近几年以来，安全运行中心（SOC）概念及技术发展也越来越成熟。部分涉足比较早企业和服务商已经有了比较成功实施案例。在企业安全管了处理方案中，我们在基础安全管理平台之上，也提出相关建立有效安全运行中心（SOC），实现可管理安全服务。1.4.2.1 SOC基础传统安全管理方法是将分散在各地、不一样种类安全防护系统分别管理，这么造成安全信息分散互不相通，安全策略难以保持一致，这种传统管理运行方法所以成为许很多多安全隐患形成根源。安全运行中心（Security Operation Center）是针对传统管理方法一个重大变革。它将不一样位置、不一样安全系统中分散且海量单一安全事件进行汇总、过滤、搜集和关联分析，得出全局角度安全风险事件，并形成统一安全决议对安全事件进行响应和处理。总体来说SOC根本模型就是PDR模型，而SOC系统就是实现其中D（Detection，检测）和R（Response，响应）。SOC需求关键是从以下多个方面得到表现： v 大系统管理 通常安全系统是分别独立逐步建立起来，比如防病毒系统、防火墙系统、入侵检测系统等，各个系统全部有单独管理员或管理控制台。这种相对独立布署方法带来问题是各个设备独立配置、各个引擎独立事件报警，这些分散独立安全事件信息难以形成全局风险见解，造成了安全策略和配置难于统一协调。这种对于大规模系统安全管理也正是SOC需求根源，就是说只有大系统、拥有复杂应用系统才有SOC需求。 v 海量信息数据 伴随安全系统建设越来越大，除了需要协调各个安全系统之间问题之外，因为安全相关数据量越来越大，有些关键安全信息和告警事件常常被低价值或无价值告警信息所淹没，部分全局性、影响重大问题极难被分析和提炼出来。为了从大量、孤立单条事件中正确发觉全局性、整体安全威胁行为，需要SOC这么一个平台使得整个安全体系检测能力愈加正确，愈加集中于影响重大焦点问题。 v 信息安全目标 我们知道传统信息安全有7个属性，即保密性（Confidentiality）、完整性（Integrity）、可用性（Availability）、真实性（Authenticity）、不可否认性（Nonreputiation）、可追究性（Accountability）和可控性/可治理性（Controllability/Governability）。信息安全目标是要确保全局掌控，确保整个体系完整性，而不仅限于局部系统完整性；对于安全问题、事件检测要能够汇总和综合到中央监控体系，确保可追究性是整个体系可追究性。SOC出现就是为了确保对全局掌控，实现全方面支撑信息安全管理目标。 v 全局可控性 可控性是信息安全7个属性中最关键一个，可控性最关键表现是全局监控、预警能力和应急响应处理能力。全局预警就是要建立全局性安全情况搜集系统，对于新安全漏洞和攻击方法立即了解，针对体系内局部发生安全入侵等事件进行响应。我们通常见水桶效应来描述分布式系统安全性问题，认为整个系统安全性取决于水桶中最微弱一块木条。SOC就像是这个水桶箍，有了这个箍，水桶就极难瓦解，即使出现部分漏洞，也不至于对整个体系造成灾难性破坏。SOC充足利用所掌握空间、时间、知识、能力等资源优势，形成全局性资源协调体系，为系统全局可控性提供有力保障。1.4.2.2 SOC基础实施相关SOC基础实施，不一样供给商和实施方全部