信息安全保障方法.doc

信息安全保障措施一、信息安全保障措施采用IBM服务器作主机1、 软件系统：操作系统：WINGDOWSSERVER数据库：Oralce 防火墙：诺顿防病毒软件2、 硬件系统： 主机位置及带宽：系统主机设在IDC主机房内，通过100M带宽光纤与CHINGANET骨干网相连接。二、信息安全保密管理制度1. 建立全员安全意识，合理规划信息安全安全意识强弱对于整个信息系统防止或尽量减小损失，乃至整个具有积极防御能力信息安全体系搭建，都具有重要战略意义。我们首先建立起全员防护环境。在意识上建立牢固防患意识，并有足够资金支持，形成企业内部信息安全共识与防御信息风险基本常识，另一方面是选用安全性强软硬件产品，构筑软硬协防安全体系，保证安全应用。2. 建立信息采集（来源）、审核、公布管理制度并结合关键字过滤系统，保障信息安全。采编部按照采编制度和有关互联网规定，严格把关。3. 涉密信息，包括在对外交往与合作中经审查、同意与外部互换秘密信息，不得在连有外网计算机信息系统中存储、处理、传递。加强对计算机介质（软盘、磁带、光盘、磁卡等）管理，对储存有秘密文献、资料计算机等设备要有专人操作，采用必要防备措施，严格对涉密存储介质管理，建立规范管理制度，存储有涉密内容介质一律不得进入互联网络使用4. 建立系统保密措施，严格实行安全管理。系统安全、帐号及权限管理，责任到人；对系统软件管理；在系统维护过程中，产生记录：系统维护日志、系统维护卡片、详细维护记录。5. 对涉密信息实行加密、解密及管理，保证数据传播安全。6. 建立数据库信息保密管理制度，保障数据库安全。数据库由专人管理并负责。7. 建立日志跟踪、记录及查阅制度，及时发现和处理安全漏洞。三、技术保障措施1. 加强内部网络管理、监测违规(1)在强、弱电安全面，采用双路交流电供电形成电源冗余并配置UPS设计方案保证强电安全，此外，采用避雷防电和放置屏蔽管道措施来保证弱电线路(互换机、网线)安全。 (2)在IP资源管理方面，采用IP+MAC捆绑技术手段防止顾客随意更改IP地址和随意更换互换机上端口。通过网管中心管理软件，对该互换机远程实行PortSecurity方略，将客户端网卡MAC地址固定绑在对应端口上。 (3)在网络流量监测方面，使用网络监测软件对网络传播数据协议类型进行分类记录，查看数据、视频、语音等多种应用运用带宽，防止频繁进行大文献传播，甚至发现病毒转移及传播方向。 (4)在违规操作监控方面，对涉秘信息处理，严禁“一机两用”事件发生。即一台计算机同步联接内部网和互联网，还包括轮番上内部网和国际互联网情形，因此我们对每个客户端安装了监控系统，实行电脑在线监测、电脑在线登记、一机两用监测报警、电脑阻断、物理定位等措施。2. 管理服务器应用服务器安装操作系统为Windows系列,服务器管理包括服务器安全审核、组方略实行、服务器备份方略。 服务器安全审核范围包括安全漏洞检查、日志分析、补丁安装状况检查等，审核对象是DC、ExchangeServer、SQLServer、IIS等。 在组方略实行时，使用软件限制方略，即哪些内部顾客不能使用哪个软件，对操作顾客实行分权限管理。服务器备份方略包括系统软件备份和数据库备份两部分，系统软件备份拟运用既有ARCServer专用备份程序，制定合理备份方略，每周日晚上做一次完全备份，然后周一到周五晚上做增量备份或差额备份；定期对服务器备份工作状况进行检查（数据库备份背面有论述）。3. 管理客户端(1)将客户端都加入到域中，客户端纳入管理员集中管理范围。出于安全上考虑，安装win系列客户端。 (2)只给顾客以一般域顾客身份登录到域，由于一般域顾客不属于当地Administrators和PowerUsers组，这样就可以限制他们在当地计算机上安装大多数软件。当然为了便于顾客工作，通过当地安全方略措施，授予基本操作权利。 (3)实现客户端操作系统补丁程序自动安装。(4)实现客户端防病毒软件自动更新。(5)运用SMS对客户端进行不定期监控，发现不正常状况及时处理。4. 数据备份与冗余考虑到综合原因，采用如下数据备份和冗余方案： (1)在网络中心Oracle服务器以及文献服务器上分别安装VERITAS有关客户端Agent软件。 (2)在服务器上设置在线备份方略，每天凌晨1点自动备份SQL数据库、凌晨2点自动备份Oracle数据库、凌晨3点自动备份邮件，重要用于系统层恢复后数据加载。 (3)采用当地硬件RAID5对硬件级磁盘故障进行保护。5. 数据加密考虑到网络上非认证顾客也许试图旁路系统状况，如物理地“取走”数据库，在通信线路上窃听截获。对这样威胁采用了有效措施：数据加密。即以加密格式存储和传播敏感数据。发送方用加密密钥，通过加密设备或算法，将信息加密后发送出去。接受方在收到密文后，用解密密钥将密文解密，恢复为明文。假如传播中有人窃取，他只能得到无法理解密文，从而对信息起到保密作用。6. 病毒防治措施我们对防病毒软件规定是：能支持多种平台，至少是在Windows系列操作系统上都能运行；能提供中心管理工具，对各类服务器和工作站统一管理和控制；在软件安装、病毒代码升级等方面，可通过服务器直接进行分发，尽量减少客户端维护工作量；病毒代码升级要迅速有效。因此，综合以上多种原因，我们选择了SYMANTEC企业NortonAntivirus企业版。在实行过程中，本单位以一台服务器作为中央控制一级服务器，实现对网络中所有计算机保护和监控，并使用其中有效管理功能，如:管理员可以向客产端发送病毒警报、强制对远程客户端进行病毒扫描、锁定远程客产端等。正常状况下，一级服务器病毒代码库升级后半分钟内，客户端病毒代码库也进行了同步更新。7. 补丁更新与软件分发网络安全防御不是简朴防病毒或者防火墙。只有通过提高网络整体系统安全，才能让病毒攻打无门。然而提高网络整体系统安全不仅仅是一种技术问题，更重要是管理问题。 自动分发软件、升级补丁等工作是保证系统安全关键环节。我们使用微软SystemsManagementServer（SMS）和SoftwareUpdateService（SUS）软件来自动实现这一功能。 (1)我们使用微软SoftwareUpdateService（SUS）处理运行Windows操作系统计算机免受病毒和黑客袭击，将需要升级软件从Internet下载到企业Intranet服务器上，并为企业内所有客户端PC提供自动升级，打上所有需要“补丁”。 (2)我们使用微软SystemsManagementServer（SMS）进行软件分发、资产管理、远程问题处理等。四、信息安全审核制度1） 设置信息安全岗位，实行信息安全责任制（1）设置专职信息安全管理领导岗位和3个信息安全管理岗位；（2）信息安全岗位工作人员不得在其他单位兼任信息安全岗位；（3）信息安全管理岗位人员负责本单位制作、复制、公布、批量传播信息初审，信息安全管理领导岗位负责信息审核和同意，信息非经审核同意不得予以公布、传播。（4）不得制作、复制、公布、传播具有下列内容信息： 反对宪法所确定基本原则； 危害国家安全，泄露国家秘密，颠覆国家政权，破坏国家统一； 损害国家荣誉和利益； 煽动民族仇恨、民族歧视，破坏民族团结； 破坏国家宗教政策，宣扬邪教和封建迷信； 散布谣言，扰乱社会秩序，破坏社会稳定； 散布淫秽、色情、赌博、暴力、凶杀、恐怖或者教唆犯罪； 欺侮或者诽谤他人，侵害他人合法权益； 具有法律、行政法规严禁其他内容。（5）信息安所有门统一规划、组织、协调、监督、管理和实行内外部网络安全，详细职责如下： 负责多种资源安全监测、安全运行和安全管理； 负责计算机病毒防御、黑客入侵防备和不良信息过滤； 负责多种安全产品正常运行、管理和维护； 普及信息安全常识、建立有关安全制度、应急处理重大安全事件； 负责安全规划和安全项目研究，全面提高网络安全管理技术和水平。2） 建立并实行服务器平常维护及管理制度（1）服务器监控：管理员常常性监控服务器运行状况，如发现异常状况，及时处理，并作详细记录。（2）重要数据备份：对于数据服务器中顾客信息、重要文献和数据进行及时备份。信息每天更新备份，每周一次完全备份，备份信息应保留一种月。（3）定期系统升级：对于windows操作系统服务器每周做一次升级，如碰到安全问题立即升级。3） 建立并实行机房值班安全制度（1）保证线路畅通。上班后与下班前检查线路，寻找网络隐患。对在运行期间发生重要事件记录在案。准时定期对设备进行检修。每月最终一种工作日对所有设备进行测试，并填写汇报。（2）及时、精确、无误地填写运行记录。出现事故尽快处理，立即填写故障记录。当自己不能处理或不能立即处理时，及时与安全主管联络，并保持与其他值班人员联络，在己方线路或设备出现故障时，尽快查明原因，及时处理，并填写故障记录。（3）承担整个网络性能管理任务。对网络性能进行动态监测，并要有详细记录及记录分析。必要时把网络性能记录以图表形式打印出来。（4）注意网络运行安全，对网络异常现象进行反应。运用路由器等安全系统控制网络非法侵入。（5）保证机房供电及室内空气温度、湿度正常。注意UPS工作状况。注意网络设备安全，加强防火，防盗及防止他人破坏工作。注意临走时门窗关好，锁紧。严禁在机房内吸烟。严禁无关人员进入机房。值班人员不得随意离开。（6）完毕网络设备安装，调试。并对安装，测试过程中重要事件，做到有据可查。（7）积极监测网络，随时发现问题，及时查清故障点，并积极与有关主管和部门联络。4） 建立并实行防火墙等软件更新制度（1）防火墙软件使用与更新： 采用诺顿企业级防火墙； 及时更新防火墙（2）坚持使用对、安全软件及软件操作流程，从细节保障系统安全。5） 建立应急处理流程（1）清点数字资产，确定每项资产应受多大程度保护（2）明确界定资源合理使用，明确规定系统使用规范，例如谁可以拥有网络远程访问权，在访问之前须采用哪些安全措施。（3）控制系统访问权限，企业在容许某些人访问系统同步，必须制止此外某些人进入。网络防火墙、验证和授权系统、加密技术都为了保证信息安全。同步采用监视工具和入侵探测工具来查询企业网络上电脑活动，及时发现可疑行为。（4）使用安全软件；（5）找出问题本源；（6）提出处理方案并及时处理问题；（7）加入应急知识库，防止类似事件再次发生。6） 实行关键字设置、过滤与更新规则（1）通信平台具有信息内容过滤功能。信息过滤包括对播放有关短信、页面内容进行有效过滤。详细包括关键字设定、修改、查询功能，提供对应测试端口，并具有严格权限管理功能；对发现有害短信及时向有关部门汇报，并从技术上予以保证，包括有害信息内容、发现时间、发现来源；（2）关键字设置规则根据有关法律和互联网规定制定（3）过滤引擎建立：过滤引擎设定关键字、日志管理、报警管理。管理控制中心显示详细有害信息(有害信息发送方、接受方、内容、时间)，并截断该短消息。（4）对不良信息和事件发生进行记录，并储存，以备后需。7） 建立并实行信息储存与查阅制度（1）信息采集：信息资料来源渠道必须正规，不能侵犯他人版权，杜绝政治性和常识性错误；信息采集内容要广泛、真实、可靠、健康，要有时效性，有使用价值。（2）信息审核：信息采集人员要杜绝信息资源格式不规范、措辞不严谨等问题出现，减少或防止初审失误；切实做到“三密”信息不失密、不上网；重大信息、来源不清信息、披露性信息要报经信息审核主管终审后才能公布（3）信息公布更新：限时更新信息要及时采集、整顿，经审核后尽快公布。要保证及时、精确无误；各自分工任务，如不能按规定期限及时更新，将追究有关人员责任。（4）信息存储：对采集多种信息进行科学分类，以文本格式寄存在统一文献中；建立信息汇总渠道，开辟专用空间寄存归集信息，以便保留与查找；数据备份参见“数据备份与冗余”（5）信息查阅制度：根据信息重要性和保密级别不一样，实行区别看待，对涉秘信息、重要数据查询需向有关主管人员申请并报总负责人审批。8） 投诉流程与方式，处理构造顾客投诉客服人员填写顾客投诉汇报单，并向投诉人告知受理员姓名、电话记录：投诉事由、联络电话、投诉时间、顾客地区等立即贯彻投诉内容处理措施客服经理负责处理投诉有关事宜记录投诉处理成果受理客服人员向顾客反馈处理成果，满意后将处理汇报单存档当日报主管副总经理，做业绩考察五、信息安全责任贯彻信息安全重在管理，而安全管理又贯穿在整个网络运行之中。为此，首先抓好组织机构建设。在本来基础上，建立健全了企业计算机安全监察领导小组，并建立了决策层、管理层、执行层三级计算机安全组织机构。从而将安全工作贯彻到各个部门，做到分工明细，责任明确。从组织上、技术上切实保障了计算机信息系统安全运行。在此基础上，企业制定了完善安全管理方案，涵盖安全风险管理、物理安全管理、逻辑安全管理和平常安全管理等各方面。通过各级安全组织机构，全面抓好制度贯彻，真正做到事事有人管，事事管理有规章。其中安全风险管理是通过对全网、尤其是关键资产周期性风险计算，合理分派资源，为安全控制范围、类型和力度等提供决策参照；物理安全管理重要体目前针对物理基础设施、物理设备和物理访问控制中，重要通过机房物理安全来体现;逻辑安全管理则是从技术层面建立诸如顾客管理、口令管理、网络设备安全管理和主机系统安全管理制度，深入保障网络安全性；平常安全管理则偏重于平常安全审计以及安全事件响应内容。定期对高层管理人员进行信息安全意识和技术培训，及时组织信息安全员参与信息安全知识技术讲座；并通过多种宣传手段增强各级部门安全意识。为跟踪最新安全技术和理解更多安全产品，1) 信息安全专人负责本网络安全保护管理工作，建立健全安全保护管理制度2) 贯彻安全保护技术措施，保障本网络运行安全和信息安全3) 负责对本网络顾客安全教育和培训4) 对委托公布信息单位和个人进行登记，并对所提供信息内容按照信息公布审核制度进行审核5) 小区、等实现小时值班，并将信息安全责任贯彻到人，各分企业和各网站均有专人负责信息安全工作6) 完善信息安全事件迅速处理机制，缩短信息安全事件处理时间和环节，将不良影响降到最低7) 明确信息安全工作重点，平常信息安全工作重点为轻易发生信息安全事件栏目，如小区、留言簿和邮件等8) 采用技术手段检测和保障信息安全。通过采用如关键字过滤、防垃圾邮件等技术手段来杜绝有害信息9) 通过高原则控制来强化所有安全设施、重要服务器和通讯平台防火墙(Firewall)是在一种可信网络和不可信网络之间建立安全屏障软件或硬件产品。Linux操作系统内核具有包过滤能力，系统管理员通过管理工具设置一组规则即可建立一种基于Linux防火墙，用这组规则过滤被主机接受、发送包或主机从一种网卡转发到另一种网卡包，不必花费额外资金购置专门防火墙产品，比较合用于某些中小企业或部门级顾客。 六、防火墙类型和设计方略 -在构造防火墙时，常采用2种方式，包过滤和应用代理服务。包过滤是指建立包过滤规则，根据这些规则及IP包头信息，在网络层鉴定容许或拒绝包通过。如容许或严禁FTP使用，但不能严禁FTP特定功能（例如Get和Put使用）。应用代理服务是由位于内部网和外部网之间代理服务器完毕，它工作在应用层，代理顾客进、出网多种服务祈求，如FTP和Telenet等。 -目前，防火墙一般采用双宿主机（Dual-homed Firewall）、屏蔽主机(Screened Host Firewall)和屏蔽子网(Screened Subnet Firewall)等构造。双宿主机构造是指承担代理服务任务计算机至少有2个网络接口连接到内部网和外部网之间。屏蔽主机构造是指承担代理服务任务计算机仅仅与内部网主机相连。屏蔽子网构造是把额外安全层添加到屏蔽主机构造中，即添加了周围网络，深入把内部网和外部网隔开。 -防火墙规则用来定义哪些数据包或服务容许/拒绝通过，重要有2种方略。一种是先容许任何接入，然后指明拒绝项; 另一种是先拒绝任何接入，然后指明容许项。一般地，我们会采用第2种方略。由于从逻辑观点看，在防火墙中指定一种较小规则列表容许通过防火墙，比指定一种较大列表不容许通过防火墙更轻易实现。从Internet发展来看，新协议和服务不停出现，在容许这些协议和服务通过防火墙之前，有时间审查安全漏洞。 -二、基于Linux操作系统防火墙实现 -基于Linux操作系统防火墙是运用其内核具有包过滤能力建立包过滤防火墙和包过滤与代理服务构成复合型防火墙。下面，让我们来看看怎样配置一种双宿主机基于Linux防火墙。 -由于Linux内核各有不一样，提供包过滤设置措施也不一样样。IpFwadm是基于 Unix 中ipfw，它只合用于Linux2.0.36此前内核；对于Linux2.2后来版本，使用是Ipchains。IpFwadm和Ipchains工作方式很相似。用它们配置4个链中，有3个在Linux内核启动时进行定义，分别是：进入链（Input Chains）、外出链（Output Chains ）和转发链（Forward Chains），此外尚有一种顾客自定义链（User Defined Chains）。进入链定义了流入包过滤规则，外出链定义了流出包过滤规则，转发链定义了转发包过滤规则。这些链决定怎样处理进入和外出IP包，即当一种包从网卡上进来时候，内核用进入链规则决定了这个包流向; 假如容许通过，内核决定这个包下一步发往何处，假如是发往另一台机器，内核用转发链规则决定了这个包流向; 当一种包发送出去之前，内核用外出链规则决定了这个包流向。某个特定链中每条规则都是用来鉴定IP包，假如这个包与第一条规则不匹配，则接着检查下一条规则，当找到一条匹配规则后，规则指定包目，目也许是顾客定义链或者是Accept、Deny、Reject、Return、Masq和Redirect等。其中，Accept指容许通过; Deny指拒绝; Reject指把收到包丢弃，但给发送者产生一种ICMP答复；Return指停止规则处理，跳到链尾；Masq指对顾客定义链和外出链起作用，使内核伪装此包; Redirect只对进入链和顾客定义链起作用，使内核把此包改送到当地端口。为了让Masq和Redirect起作用，在编译内核时，我们可以分别选择Config_IP_Masquerading 和Config_IP_Transparent_Proxy。网络构造如附图所示。 附图 配置基于Linux防火墙 -假设有一种局域网要连接到Internet上，公共网络地址为202.101.2.25。内部网私有地址根据RFC1597中规定，采用C类地址192.168.0.0192.168.255.0。为了阐明以便，我们以3台计算机为例。实际上，最多可扩充到254台计算机。 -详细操作环节如下： 1. 在一台Linux主机上安装2块网卡ech0和ech1，给ech0网卡分派一种内部网私有地址191.168.100.0，用来与Intranet相连; 给ech1网卡分派一种公共网络地址202.101.2.25，用来与Internet相连。 2. Linux主机上设置进入、转发、外出和顾客自定义链。本文采用先容许所有信息可流入和流出，还容许转发包，但严禁某些危险包，如IP欺骗包、广播包和ICMP服务类型袭击包等设置方略。 -详细设置如下： - (1)刷新所有规则 /sbin/ipchains -F forward/sbin/ipchains -F input/sbin/ipchains -F output- (2)设置初始规则 /sbin/ipchains -A input -j ACCEPT /sbin/ipchains -A output -j ACCEPT /sbin/ipchains -A forward -j ACCEPT- (3)设置当地环路规则 /sbin/ipchains -A input -j ACCEPT - i lo /sbin/ipchains -A output -j ACCEPT - i lo -当地进程之间包容许通过。 - (4)严禁IP欺骗 /sbin/ipchains -A input -j DENY - i ech1 - s 192.168.100.0/24/sbin/ipchains -A input -j DENY - i ech1 - d 192.168.100.0/24/sbin/ipchains -A output -j DENY- i ech1 - s 192.168.100.0/24/sbin/ipchains -A output -j DENY - i ech1 - d 192.168.100.0/24/sbin/ipchains -A input -j DENY - i ech1 -s 202.101.2.25/32/sbin/ipchains -A output -j DENY- i ech1 -d 202.101.2.25/32- (5)严禁广播包 /sbin/ipchains -A input -j DENY - i ech0 - s 255.255.255.255/sbin/ipchains -A input -j DENY - i ech0 - d 0.0.0.0/sbin/ipchains -A output -j DENY - i ech0 - s 240.0.0.0/3- (6)设置ech0转发规则 /sbin/ipchains -A forword -j MASQ- i ech0- s 192.168.100.0/24- (7)设置ech1转发规则 /sbin/ipchains -A forword -j ACCEPT - i ech1- s 192.168.100.0/24/sbin/ipchains -A forword -j ACCEPT - i ech1- d 192.168.100.0/24-将规则保留到/etc/rc.firewallrules文献中，用chmod赋予该文献执行权限，在/etc/rc.d.rc.local中加入一行/etc/rc.firewallrules，这样当系统启动时，这些规则就生效了。 -通过以上各环节配置，我们可以建立一种基于Linux操作系统包过滤防火墙。它具有配置简朴、安全性高和抵御能力强等长处，尤其是可运用闲置计算机和免费Linux操作系统实现投入最小化、产出最大化防火墙构建。此外，假如在包过滤基础上再加上代理服务器，如TIS Firewall Toolkit 免费软件包（http:/www.fwtk.org/），还可构建愈加安全复合型防火墙。-再次采用安全服务商 中联绿盟信息技术有限企业(简称中联绿盟)为我们提供量身定制安全服务和全面网络安全处理方案-安全服务商提供安全服务最大特点是专注和专业。 -专注: 即专注安全服务。安全服务商也会根据顾客需要，设计某些针对性极强安全方案，但只适于某个顾客。严格说，他们没有产品，只提供服务。并且这种服务是“total solution”。 -专业: 首先，安全服务商提供技术服务技术人员极其专业，基本上是对安全领域有关知识了如指掌，安全技术背景深厚，安全故障处理经验丰富。 -另一方面，安全服务商提供服务非常专业，一般会包括网络安全评估、征询服务、培训、紧急响应、网络与系统安全加固以及企业内部网整体安全规划和服务实行等各方面服务项目。从中联绿盟安全服务中我们便可略见一斑。它服务由调查、设计、实行和支持等4个模块构成。其中调查是其安全服务体系基础，通过对顾客需求及网络系统深入、全面理解与查询，为顾客制定顾客系统资料登记表和顾客安全需求书。设计是指根据顾客需求对既有系统和管理制度安全性进行评估，确定危险点和安全漏洞之所在，进行安全代价分析，并提出安全处理方案。实行是指制定实行计划，配合顾客对网络实行修正、升级或补漏。支持是指根据顾客服务级别提供58小时、524小时和724小时整年电话技术支持热线，并建立当地安全支撑体系，为每个顾客提供NOA(Nsfocus Online Account)在线支持账号。 -最终，流程专业。安全服务服务过程必须规范，每个环节均有工程文档和日志记录等。