天融信信息安全等级保护解决方案设计V1.4.doc

参考范围：内部参考
文档编号:TOPSEC-XXAQ-2008-0701
天融信信息安全等级保护
解决方案设计
Version 1.3
北京天融信公司
2008年7月
文档控制
拟 制：
韩丽楠、崔宗军、叶杰燎、杜旭晖
审 核：
杨庆华
批 准：

标准化：
杜旭晖
读 者：
公司战略方案中心、技术服务中心、销售
版本控制
版本号
日期
修改人
说明
V1.0
2008-06—20
杜旭晖
文档建立、初始化
V1。1
2006-06—25
韩丽楠、崔宗军、叶杰燎、杜旭晖
文档内容编制
V1。2
2006—06—29
杜旭晖
文档合成
V1.3
2006-07—01
韩丽楠、崔宗军、杜旭晖
部分内容调整－安全建设效果部分
V1.4
2006—07—02
韩丽楠、崔宗军、杜旭晖、叶杰燎
方案内容标准化，格式标准化
分发控制
编号
读者
文档权限
与文档的主要关系
1
韩丽楠、崔宗军、叶杰燎、杜旭晖
编写，修改
文档作者,负责编制、修改、审核本应答书
2
杨庆华
审阅
作为负责人，负责本文档的批准程序
3
公司战略方案中心、技术服务中心、销售
读取
读取并使用

目 录
1前言6
1。1设计目的6
1。2设计原则7
1。3参考标准9
1。3。1信息系统安全等级保护标准和规范9
1.3.2其他信息安全标准和规范10
1.4参考资料11
1.5其他说明11
2系统现状描述13
2.1网络架构描述13
2。2信息资产描述17
2。2.1网络设备情况17
2。2。2VLAN 划分17
2.2.3服务器设备情况19
2。2.4安全设备情况25
2。2.5应用系统描述33
3安全需求分析46
3。1系统定级建议46
3。1。1确定定级对象46
3。1。2确定系统定级47
3。1.3系统定级汇总52
3.2安全风险分析52
3.2.1根据风险扫描和调查问卷的结果进行分析52
3。2。2根据安全管理调查问卷的反馈进行分析57
3.3安全需求分析68
3.3.1符合等级保护技术要求的需求68
3.3.2符合等级保护管理要求的需求80
3.3。3符合自身安全防护的需求91
4安全解决方案96
4。1安全方案设计概述96
4.1.1构建分域的控制体系96
4.1。2构建纵深的防御体系96
4。1。3保证一致的安全强度97
4.1。4实现集中的安全管理97
4.2安全技术方案详细设计97
4。2。1确定保护对象98
4.2.2保护计算环境105
4。2。3保护区域边界140
4.2。4保护通信网络156
4.2.5安全管理平台165
4。3安全管理方案详细设计171
4。3。1安全管理机构规划171
4。3.2安全管理制度规划180
4.3。3人员安全规划185
4.3。4系统建设规划188
4。3。5系统运维规划193
4。4安全解决方案总结200
4.4.1安全技术建设效果200
4。4.2安全管理建设效果220
5安全建设方案224
5。1等级保护总体建设过程224
5.2等级保护建设过程规划225
5。2。1安全等级评估225
5。2。2安全体系设计226
5。2。3安全体系建设227
5。2.4安全运维建设228
5。3等级保护建设内容规划228
5。3。1阶段一:实现基本的加固与配置228
5.3.2阶段二:实现全面的安全配置230
5.3.3阶段三：系统优化配置233
6安全建设总结236
7附录一天融信安全建设投入概算242
8附录二等级保护基本要求248
8。1等级保护技术要求248
8。1.1第3级信息系统的技术要求（JS_REQ_3）248
8。1。2第2级信息系统的技术要求（JS_REQ_2）261
8.1.3第1级信息系统的技术要求(JS_REQ_1）271
8。2等级保护管理要求275
8。2。1第3级信息系统的管理要求（GL_REQ_3）275
8.2.2第2级信息系统的管理要求（GL_REQ_2）289
8。2。3第1级信息系统的管理要求（GL_REQ_1）299
1 前言
1.1 设计目的
天融信是一家在国内从事信息安全业务的著名厂商，从1995年成立起，天融信以防火墙为基础，陆续推出各类安全解决方案及产品，形成了安全产品、安全集成和安全服务三大业务体系，为政府、军队、金融、能源、电信、教育等众多行业用户提供安全技术及产品，协助用户搭建起安全保护平台，使其信息系统更好的服务于业务的应用。
在对外开展业务的同时,天融信公司自身也非常重视信息化建设,逐步建成了覆盖全国35个分支机构,覆盖公司研发、销售、商务、财务、生产等各个业务环节的信息处理平台,信息化的建设为企业的发展，提升企业业务处理效率，降低企业管理成本起到了关键的作用。
伴随着信息系统的快速发展，信息系统所面临的安全威胁日益复杂，对信息安全系统的需求与日俱增.天融信公司各层领导对安全工作非常重视，从96年起逐年加大在安全建设方面的投资,进行了一系列的安全组织、制度、管理和技术方面的安全建设工作，在近期要求的安全工作包括加强基础安全管理，包括落实组织保障和安全责任；加强日常安全生产工作；逐步开展安全建设。要从网络、主机、应用系统不同层面建设多层次、立体化安全防护体系；要集中统一建设必备的网络安全防护手段；在划分安全区域,统一边界的基础上，实现重点防护和隔离。目前公司利用防火墙、VPN、防病毒、终端安全管理、安全信息管理等技术，为公司信息网络的安全防护起到了一定的效果。
从外部环境来看,信息安全已经成为近几年信息化建设的热点话题,如何保障信息系统的安全已经成为国家关注的焦点，从27号文件开始，国家陆续出台了一系列的安全政策和标准，提出了以“适度安全、分级保护"为核心的等级保护建设思路,公安部、保密局、国密办以及国信办陆续出台政策,要求国内重要的信息系统应按照等级保护的办法和要求，进行相关安全防护系统的建设，并于2007年启动了等级保护的定级备案工作.等级保护针对信息安全系统建设的过程，提出了具体的管理办法和实施指南，并对信息安全系统提出了技术和管理方面的建设要求。
本方案针对天融信网络环境、应用系统以及当前的安全措施为基础,分析天融信公司的安全建设需求，结合国家等级保护的建设规范和技术要求而编制，一方面对天融信信息安全建设起到指导作用；另一方面可形成中小型企业(在业务以及信息化建设方面类似于天融信公司的客户）安全防护系统建设方案，为企业进行安全建设起到建议作用;还可通过将等级保护基本要求在天融信公司的实际网络环境中落地,形成多系统复杂环境的等级保护建设方法,指导用户落实等级保护的制度和要求。
1.2 设计原则
等级保护是国家信息安全建设的重要政策，其核心是对信息系统分等级、按标准进行建设、管理和监督。对于天融信公司信息安全建设，应当以适度风险为核心，以重点保护为原则，从业务的角度出发，重点保护重要的业务、研发类信息系统，在方案设计中应当遵循以下的原则：
适度安全原则
任何信息系统都不能做到绝对的安全，在进行天融信信息安全等级保护规划中,要在安全需求、安全风险和安全成本之间进行平衡和折中,过多的安全要求必将造成安全成本的迅速增加和运行的复杂性.
适度安全也是等级保护建设的初衷，因此在进行等级保护设计的过程中，一方面要严格遵循基本要求，从网络、主机、应用、数据等层面加强防护措施，保障信息系统的机密性、完整性和可用性，另外也要综合成本的角度，针对天融信公司信息系统的实际风险，提出对应的保护强度，并按照保护强度进行安全防护系统的设计和建设，从而有效控制成本。
重点保护原则
根据信息系统的重要程度、业务特点，通过划分不同安全保护等级的信息系统，实现不同强度的安全保护，集中资源优先保护涉及核心业务或关键信息资产的信息系统；本方案在设计中将重点保护天融信公司涉及生产、研发、销售等关键业务的信息系统，对其他信息系统则降低保护等级进行一般性设计和防护；
技术管理并重原则
信息安全问题从来就不是单纯的技术问题，把防范黑客入侵和病毒感染理解为信息安全问题的全部是片面的,仅仅通过部署安全产品很难完全覆盖天融信所有的信息安全问题,因此必须要把技术措施和管理措施结合起来，更有效的保障天融信信息系统的整体安全性，形成技术和管理两个部分的建设方案；
分区分域建设原则
对信息系统进行安全保护的有效方法就是分区分域，由于信息系统中各个信息资产的重要性是不同的，并且访问特点也不尽相同，因此需要把具有相似特点的信息资产集合起来，进行总体防护,从而可更好地保障安全策略的有效性和一致性，比如把业务服务器集中起来单独隔离，然后根据各业务部门的访问需求进行隔离和访问控制;另外分区分域还有助于对网络系统进行集中管理，一旦其中某些安全区域内发生安全事件，可通过严格的边界安全防护限制事件在整网蔓延；
标准性原则
天融信信息安全保护体系应当同时考虑与其他标准的符合性,在方案中的技术部分将参考IATF安全体系框架进行设计，在管理方面同时参考27001安全管理指南，使建成后的等级保护体系更具有广泛的实用性；
动态调整原则
信息安全问题不是静态的，它总是随着天融信管理相关的组织策略、组织架构、信息系统和操作流程的改变而改变,因此必须要跟踪信息系统的变化情况，调整安全保护措施；
标准性原则
信息安全建设是非常复杂的过程，在设计信息安全系统，进行安全体系规划中单纯依赖经验,是无法对抗未知的威胁和攻击，因此需要遵循相应的安全标准，从更全面的角度进行差异性分析，是本方案重点强调的设计原则；
成熟性原则
本方案设计采取的安全措施和产品,在技术上是成熟的，是被检验确实能够解决安全问题并在很多项目中有成功应用的;
科学性原则
本方案的设计是建立在对天融信公司进行安全评估基础上的，在威胁分析、弱点分析和风险分析方面,是建立在客观评价的基础上而展开分析的结果，因此方案设计的措施和策略一方面能够符合国家等级保护的相关要求，另一方面也能够很好地解决天融信公司信息网络中存在的安全问题，满足特性需求。
1.3 参考标准
本方案根据国家提出的等级保护管理办法和实施指南，针对天融信信息系统的特点和安全建设需求，进行全面的安全保障规划，设计中重点参考的政策和标准包括以下两个部分：
1.3.1 信息系统安全等级保护标准和规范
本方案重点参考以下的的政策和标准：
指导思想
中办[2003]27号文件（关于转发《国家信息化领导小组关于加强信息安全保障工作的意见》的通知)
公通字［2004］66号文件（关于印发《信息安全等级保护工作的实施意见》的通知)
公通字［2007］43号文件（关于印发《信息安全等级保护管理办法》的通知）
等级保护
GB 17859-1999 计算机信息系统安全保护等级划分准则
GB/T aaaaa-xxxx 信息安全技术 信息系统安全等级保护实施指南
系统定级
GB/T aaaaa—xxxx 信息安全技术 信息系统安全保护等级定级指南
技术方面
GB/T 20270—2006 信息安全技术 网络基础安全技术要求
GB/T 20271-2006 信息安全技术 信息系统通用安全技术要求
GB/T 20272-2006 信息安全技术 操作系统安全技术要求
GB/T 20273—2006 信息安全技术 数据库管理系统通用安全技术要求
GA/T671—2006信息安全技术 终端计算机系统安全等级技术要求
GA/T 709—2007 信息安全技术 信息系统安全等级保护基本模型
GB/T aaaaa-xxxx 信息安全技术 信息系统安全等级保护基本要求
管理方面
GB/T aaaaa—xxxx 信息安全技术 信息系统安全等级保护基本要求
ISO/IEC 27001 信息系统安全管理体系标准
方案设计
信息安全技术 信息系统等级保护安全建设技术方案设计规范
方案架构
IATF 信息保障技术框架
1.3.2 其他信息安全标准和规范
Ø ISO/IEC 15408（CC）：《信息技术安全评估准则》。该标准历经数年完成,提出了新的安全模型，是很多信息安全理论的基础。
Ø GB/T 18336：等同采用ISO 15408
Ø ISO/IEC 17799/BS7799—1：《信息安全管理体系实施指南》。这是目前世界上最权威的信息安全管理操作指南，对信息安全工作具有重要指导意义.
Ø ISO/IEC 13335，第一部分：《IT安全的概念和模型》；第二部分：《IT安全的管理和计划制定》；第三部分:《IT安全管理技术》；第四部分：《安全措施的选择》;第五部分：《网络安全管理指南》.
Ø GB 9361：《计算站场地安全要求》
Ø 公安部第51号令:《计算机病毒防治管理办法》
Ø 《计算机信息系统安全专用产品检测和销售许可证管理办法》公安部令32号
Ø 《计算机信息网络国际联网安全保护管理办法》公安部
1.4 参考资料
为确保本方案能够客观地反应天融信公司信息系统的当前现状，方案便之前对天融信公司信息系统进行了全面的检查，得到以下的调查表作为方案分析的参考资料：
n 《天融信信息安全等级保护安全检查－物理环境调查表》;
n 《天融信信息安全等级保护安全检查－网络结构调查表》；
n 《天融信信息安全等级保护安全检查－网管系统调查表》；
n 《天融信信息安全等级保护安全检查－应用设备调查表》;
n 《天融信信息安全等级保护安全检查－应用系统调查表》；
n 《天融信信息安全等级保护安全检查－数据存储与备份调查表》;
n 《天融信信息安全等级保护安全检查－安全管理调查表》.
1.5 其他说明
作为国家信息安全保障体系建设的政策标准，等级保护提出信息系统的运营、使用单位应当依照等级保护的办法及其相关标准规范，履行信息安全等级保护的义务和责任，同时还提出了五个级别的信息系统建设要求，从信息系统保护等级的划分定义可以看到,等级保护高度关注国家利益和社会秩序,信息系统一旦早到破坏后如果对社会秩序和公众利益造成严重损害，那么其信息系统至少应在3级以上。
天融信公司作为专业的信息安全厂商，经过十余年的经营发展，已经拥有了覆盖国内政府、军队、金融、能源、电信、教育等数万家用户，为用户提供各类安全产品及服务，因此一旦公司的核心技术资料早到泄露，那么将严重影响到用户的切身利益,将会引起大规模的恐慌,因此其信息系统可以按照严重影响社会和公众利益的程度进行定级，确定最高为3级。
2 系统现状描述
2.1 网络架构描述
天融信公司信息系统的建设是伴随着企业的发展而演进的,2005年底随着公司迁入华控大厦，公司对原有的网络进行了改造，形成了现有的网络结构，从整体上看主要包括以下几个部分：
图2。1 天融信公司网络架构示意图
参考图2。1,天融信公司信息网络包括总部和分支机构两大部分，其中重要的服务器均集中在总部，分级机构只包含了办公终端部分，天融信在全国共有35家分支机构，各分支机构均通过互联网远程访问总部。
总部信息网络包括办公和研发两大部分，其中办公部分包含了进行业务处理的业务服务网（运行着企业EBS系统、K3、CRM以及财务软件和内部办公系统)；外部服务网(公司主页发布、邮件系统、产品升级服务器等面向互联网的应用处理）;OA办公网（内部各个部门的办公终端以及内部论坛和文件服务器等）以及生产车间(生产部门的终端及服务器）；研发部分则包含了与研发相关的研发服务网（研发部门专用的版本服务器和BUG内部服务器）；以及研发办公网(研发部门的办公终端组成）。此外，对于公司里一些涉及国家秘密的文件,单独建设了涉密网（涉密档案室），对涉密文件进行单独处理，并严格按照国家保密局的相关技术和管理要求进行管理，在本方案中不再对其进行设计。
从组网方式上，天融信公司采取防火墙作为核心交换设备,并且在各个子网的边界也采用防火墙技术实现隔离，其具体的组网方式可见下图表示:
图2。1a 天融信公司网络拓扑结构示意图
参考图2。1a，天融信公司的网络结构分为总部和分支两个部分，其中分支机构的网络非常简单，通过二层交换机连接终端，然后通过边界防火墙接入到互联网；同时分支机构边界上部署的防火墙包含了IPSec VPN模块，与总部互联网边界部署的防火墙内置的VPN模块形成关到关的加密隧道，保障了分支机构可以安全地访问总部信息网络;
总部信息网络的核心为一台天融信猎豹防火墙,利用防火墙的接口将总部划分为多个隔离的安全区域，包括办公终端区域(包括分布在公司三楼、四楼和五楼的办公终端设备)、研发终端区域(分布在公司五楼研发部门的办公终端）、生产车间终端区域（生产车间内使用的专用于访问EBS的终端设备)、业务服务器区域(部署在公司五楼机房的服务器，运行着公司的EBS、财务等重要业务系统）、研发服务器区域（部署在五楼研发机房内的服务器，运行着研发的CVS、BUGzilla系统）,测试机房公网区域（部署在五楼研发的测试专用机房，主要是对公司的安全产品进行功能性测试的区域），外部服务器区域（部署在五楼机房内，运行着公司的邮件服务器、主页发布服务器、DNS服务器、产品升级服务器等面向互联网开发提供访问的区域)、网络运维区域(部署在公司四楼展示厅,运行着公司的终端安全管理平台以及安全信息管理平台的服务器,防火墙管理服务器以及公司内部使用的网络管理服务器和病毒升级服务器）。
其中各个区域之间的访问关系分别为:
办公终端区域：该区域包含公司总部的所有办公终端，涉及部门有总裁办、董事会、行政部、技术服务中心、人力资源中心、信息管理部、战略方案中心、销售中心、商务部、销售管理部、财务部、行政部、市场部等,该区域的终端均可通过部署在三楼、四楼以及五楼的防火墙以及核心防火墙访问到互联网;其中销售管理部、商务部、销售中心、财务部、行政部的办公终端可访问业务服务器区域内的EBS系统；所有的办公终端均可以访问业务服务器区域内的内部论坛；所有的办公终端均可访问外部服务器区域，可以访问邮件系统，公司主页以及DNS服务器;技术服务中心的终端可以访问研发服务器区域的BUGzilla外部服务器;
研发办公终端区域：该区域包含公司研发中心的所有终端,该区域可以访问外部服务器区域的公司主页服务器、邮件服务器以及DNS服务器；可以访问研发服务器的CVS服务器和BUGzilla服务器；在研发办公终端边界部署了防火墙设备，通过访问控制规则限制办公终端不得访问互联网；
业务服务器区域：该区域包含运行着公司的EBS系统以及内部论坛的所有服务器,该区域只接收外部的访问，目前EBS系统已开放采购、订单、制造、财务和CRM模块，并根据各个部门的职能划分，系统内进行模块的访问控制，比如允许行政部访问EBS的采购模块;商务部和销售中心以及各地的分支结构可以访问订单模块；各地分支机构的商务人员以及财务部可以访问其财务模块；销售中心以及各地分支机构的销售人员可以访问其CRM模块等;业务服务器区域直接连接到核心防火墙的端口上，通过核心交换机的访问控制规则限制该区域对外的任何访问；
研发服务器区域：该区域包含运行着研发CVS以及BUGzilla的所有服务器，主要提供给研发人员使用，此外,技术服务中心的办公终端可以访问其BUGzilla的外部服务器；该区域与研发终端区域以及测试机房区域共享一台防火墙,通过防火墙的访问控制规则限制该区域不得对外进行任何访问；
生产车间终端区域:该区域包含了生产车间的所有的终端，与三楼的办公终端共享一台服务器,防火墙通过严格的访问控制规则限制该区域只能访问业务服务器区域的EBS系统，并通过EBS系统的应用访问控制,限制生产车间终端只能访问其中的制造模块;并且该区域不得访问其他任何外部区域；
外部服务器区域:对互联网开放，提供四类服务器，包括主页发布服务、邮件服务、DNS服务，以及提供给天融信的安全产品用户进行升级的服务，该区域直接连接到核心防火墙上，其中主页发布服务和邮件、DNS也可提供给办公终端人员进行访问；
分支机构区域：各分支机构的边界均部署了防火墙,可以访问互联网，并且可通过互联网访问公司的外部服务器区域以及业务服务器区域,并且为确保远程访问传输的安全性，在边界的防火墙上,以及公司互联网出口的防火墙上都配置了IPSEC VPN模块,可实现安全传输；另外对于一些规模小的分支机构，则通过SSL VPN的方式来访问公司业务服务器区域和外部服务器区域；
移动办公用户：类似于分支机构区域,移动办公人员通过SSL VPN的方式可安全地访问公司业务服务器区域和外部服务器区域.
涉密档案室:在物理上单独部署,与其他任何区域没有连接，实行严格物理隔离的小型局域网，网络内存放并处理公司涉及国家秘密的文件，包括涉密项目的过程文件、方案，以及国家下发的涉密系统建设的相关政策要求和规范等。
2.2 信息资产描述
2.2.1 网络设备情况
天融信信息网络的特点是采用防火墙来进行连接，因此其用到的网络设备很少，参考图2。1a可以看到，网络设备主要是二层交换机,二层交换机的型号有CISCO、DELINK以及华为的设备，作为接入层网络设备连接到各个终端以及服务器上;
此外，在总部的网通宽带出口处部署了一台华为AR46型号的路由器，作为互联网接入路由器使用,该路由器的IP地址为202。99。27。193，IOS版本为RTM1RPUA。2，没有启用日志功能，该设备目前采用Telnet的方式进行登录，为方便维护允许远程登录,认证方式为帐号加口令的方式，在管理员登录进行访问时，如果连续三次输入错误则自动退出；防止恶意的尝试登录等行为；
在业务服务器区域和外部服务器区域分别部署了CISCO 3550交换机（没有启用三层功能），并且直接连接到服务器,设备没有启用日志功能，采用CONSOLE的方式进行管理员登录，认证方式为帐号加口令的方式,在管理登录进行访问时，如果连续三次输入错误则自动退出；防止恶意的尝试登录等行为.
2.2.2 VLAN 划分
天融信信息网络内没有引入三层交换机，在网段划分上则通过防火墙端口自然隔离为不同的VLAN，各个不同的VLAN提供给不同的部门使用,并且按照部门的职能划分，防火墙执行不同的访问控制策略，具体VLAN划分的方式如下：
VLAN
IP地址
VLAN内用户
网关
防火墙
VLAN 1
192.168。1。0/24
业务服务器区域
192.168。1.1/24
核心防火墙ETH1口
VLAN 2
192.168.2.0/24
行政部
192。168。2。1/24
四楼防火墙ETH1口
VLAN 3
192。168.3。0/24
总裁办公室
192.168。3.1/24
四楼防火墙ETH1口
VLAN 4
192.168.4。0/24
销售管理和售前
192。168。4。1/24
四楼防火墙ETH1口
VLAN 5
192。168.5.0/24
销售体系
192。168。5。1/24
四楼防火墙ETH1口
VLAN 6
192.168.6.0/24
财务部
192.168.6.1/24
四楼防火墙ETH1口
VLAN 7
192。168.7.0/24
客服部
192。168。7。1/24
三楼防火墙ETH1口
VLAN 8
192.168。8.0/24
信息管理部
192.168.8.1/24
四楼防火墙ETH1口
VLAN 9
192。168.9。0/24
人力资源部
192。168.9。1/24
四楼防火墙ETH1口
VLAN 10
192.168。10。0/24
生产车间
192。168.10。1/24
三楼防火墙ETH1口
VLAN 11
192。168.11.0/24
市场部
192。168。11。1/24
四楼防火墙ETH1口
VLAN 12
192。168。12。0/24
四层会议室
192.168。12。1/24
四楼防火墙ETH1口
VLAN 16
192.168.16.0/24
安全集成、服务
192.168.16。1/24
三楼防火墙ETH1口
VLAN 17
192。168。17.0/24
商务部
192。168。17.1/24
三楼防火墙ETH1口
VLAN 18
192。168.18。0/24
采购部
192。168。18。1/24
三楼防火墙ETH1口
VLAN 19
192。168。19。0/24
生产部
192。168.19。1/24
三楼防火墙ETH1口
VLAN 20
192。168。20.0/24
三层会议室
192。168。20。1/24
三楼防火墙ETH1口
VLAN 25
192。168。25。0/24
战略方案中心及五楼培训教室
192。168.25。1/24
四楼防火墙ETH2口
VLAN 26
192.168。26。0/24
战略方案中心及五楼培训教室
192。168。26。1/24
四楼防火墙ETH2口
VLAN 81
192。168。81.0/24
研发总工办
192。168.81。1/24
五楼防火墙ETH2口
VLAN 83
192。168。83。0/24
研发管理部
192。168.83.1/24
五楼防火墙ETH6口
VLAN 87
192.168.87。0/24
研发软件平台开发部
192。168.87。1/24
五楼防火墙ETH5口
VLAN 89
192。168。89。0/24
研发软件平台开发部
192.168.89。1/24
五楼防火墙ETH5口
VLAN 91
192。168.91.0/24
研发安全管理、高端开发部
192.168。91.1/24
五楼防火墙ETH4口
VLAN 92
192。168.92。0/24
研发软件平台开发部
192。168.92.1/24
五楼防火墙ETH5口
VLAN 94
192。168。94.0/24
研发安全管理、高端开发部
192.168。94.1/24
五楼防火墙ETH4口
VLAN 95
192.168。95.0/24
研发安全管理、高端开发部
192。168。95.1/24
五楼防火墙ETH4口
VLAN 96
192。168.96.0/24
研发测试部
192。168。96.1/24
五楼防火墙ETH1口
VLAN 97
192。168.97。0/24
应用软件研发部
192。168.97。1/24
五楼防火墙ETH3口
VLAN 98
192。168。98.0/24
研发测试部
192.168.98.1/24
五楼防火墙ETH1口
VLAN 99
192。168。99。0/24
研发服务器
192。168。99。1/24
五楼防火墙ETH7口
VLAN 100
192.168。100.0/24
研发服务器
192。168。100。1/24
五楼防火墙ETH7口
VLAN 105
192。168。105.0/24
研发安全管理、高端开发部
192.168。105。1/24
五楼防火墙ETH4口
2.2.3 服务器设备情况
天融信公司的服务器，按照其承载的应用系统可划分为六种类型,分别如下:
2.2.3.1 业务应用服务器
业务应用系统包括用友U8系统，金蝶K3及CRM系统，ORACLE的EBS电子商务套件,服务器均部署在业务服务器区域,该类服务器包括：
用友U8应用服务器
用友U8财务系统的应用和数据库都安装在一台服务器上，设备型号为IBM Xseries 345,操作系统为WINDOWS 2000 Advance Server SP4,服务器的管理认证方式为用户名/口令方式,没有做到分权管理;利用WINDOWS自带的口令加密方式进行保护;在管理上服务器采取高强度口令，并且能够定期自动更新，对于过期账户通过人工方式进行定期检查，并及时删除过期帐号，服务器IP地址为192.168。1.112，开启了日志审计功能，审计重点是用户登录日志；远程管理时采用SSL VPN＋远程桌面的方式进行;
金蝶K3应用服务器
系统与数据库服务器均安装在同一台设备上，设备型号为IBM Xseries 345，操作系统为WINDOWS 2000 Advance Server SP4，服务器的管理认证方式为用户名/口令方式,没有做到分权管理；利用WINDOWS自带的口令加密方式进行保护；在管理上服务器采取高强度口令，并且能够定期自动更新,对于过期账户通过人工方式进行定期检查，并及时删除过期帐号，服务器IP地址为192。168.1.112，开启了日志审计功能，审计重点是用户登录日志；远程管理时采用SSL VPN＋远程桌面的方式进行；
金蝶CRM应用服务器
应用服务器与数据库分开安装，设备型号为IBM Xseries 345，操作系统为WINDOWS 2000 Advance Server SP4,服务器的管理认证方式为用户名/口令方式,没有做到分权管理；利用WINDOWS自带的口令加密方式进行保护；在管理上服务器采取高强度口令,并且能够定期自动更新，对于过期账户通过人工方式进行定期检查，并及时删除过期帐号，服务器IP地址为192。168。1.118，开启了日志审计功能，审计重点是用户登录日志。远程管理时采用SSL VPN＋远程桌面的方式进行；
ORACLE EBS应用服务器
应用服务器与数据库分开安装,设备型号为IBM 9133 Model 55A，操作系统为IBM AIX 5。3,服务器的管理认证方式为用户名/口令方式，没有做到分权管理；利用AIX自带的加密机制进行口令保护，防止口令被窃取;在管理上服务器采取高强度口令，并且能够定期自动更新，对于过期账户通过人工方式进行定期检查,并及时删除过期帐号，服务器IP地址为192。168。1.167,开启了日志审计功能，审计重点是用户登录日志和故障日志。远程管理时采用SSL VPN＋Telnet的方式进行.
2.2.3.2 内部办公服务器
包括内部主页服务器,考勤服务器和进行办公软件下载的文件服务器，服务器均部署在业务服务器区域,该类服务器包括:
内部主页服务器
主要提供实现内部主页的发布和内部论坛的使用，设备型号为IBM Xseries 346，操作系统为WINDOWS 2000 Advance Server SP4，服务器的管理认证方式为用户名/口令方式，没有做到分权管理；利用WINDOWS自带的口令加密方式进行保护;在管理上服务器采取高强度口令,并且能够定期自动更新，对于过期账户通过人工方式进行定期检查,并及时删除过期帐号，服务器IP地址为192.168。1。39，开启了日志审计功能，审计重点是用户登录日志。远程管理时采用SSL VPN＋远程桌面的方式进行；
内部考勤服务器
实现办公考勤的应用，设备型号为联想PC服务器，操作系统为WINDOWS 2000 Advance Server SP4,数据库为Sql Server，服务器的管理认证方式为用户名/口令方式，没有做到分权管理；利用WINDOWS自带的口令加密方式进行保护;在管理上服务器采取高强度口令,并且能够定期自动更新，对于过期账户通过人工方式进行定期检查，并及时删除过期帐号,服务器IP地址为192.168。1.122，开启了日志审计功能，审计重点是用户登录日志。远程管理时采用SSL VPN＋远程桌面的方式进行；
文件服务器
主要提供给内部办公人员进行软件和工具的下载,设备型号为组装的PC服务器，操作系统为WINDOWS 2000 Advance Server SP4，服务器的管理认证方式为用户名/口令方式,没有做到分权管理；利用WINDOWS自带的口令加密方式进行保护；在管理上服务器采取高强度口令,并且能够定期自动更新，对于过期账户通过人工方式进行定期检查，并及时删除过期帐号，服务器IP地址为192。168。1.60,开启了日志审计功能，审计重点是用户登录日志。远程管理时采用SSL VPN＋远程桌面的方式进行.
2.2.3.3 外部服务器
包括对外的WEB发布、邮件应用和一些对外的升级服务器，服务器均部署在外部服务器区域，该类服务器包括:
WEB服务器
实现公司主页对外发布的服务器,共安装了两台服务器,设备型号为IBM ＠Server Xseries 335,采用的操作系统为CentOS—5。1—i386,其WEB服务系统为Apache2.2。3,IP地址分别为192。168。1.26/24和192.168。1。54/24，管理员认证手段为用户名/口令方式,没有做到分权管理，口令保护采取操作系统自带的加密措施来保障；操作系统口令有强度要求,定期地进行维护；对于过期账户定期地进行检查和删除，远程管理采用SSH的方式进行；服务器没有开启日志审计功能；
邮件服务器
实现公司邮件的发送和传输，邮件采取了Mirapoint的邮件解决方案，在硬件上也采取了Micrapoint专用邮件服务器Mirapoint M500,共使用两台,其操作系统也是专用的MOS操作系统,该系统的口令采取内部加密措施，可以很好的保障管理员帐号的安全性;系统对管理员登录的认证方式为用户名/口令方式，其口令强度有一定的要求，定期地进行维护；对于过期账户定期地进行检查和删除，远程管理采用TELNET的方式进行；服务器没有开启日志审计功能。
2.2.3.4 研发服务器
承载研发部门专用的CVS系统和BUGzilla系统的服务器,服务器均部署在研发专用机房内，该类服务器包括：
CVS应用服务器
该系统实现了对研发源代码的管理，系统部署在研发服务器区域内的7台服务器上，服务器型号分别为IBM ＠Server Xseries 335及IBM ＠Server Xseries 305，操作系统为Rad Hat Linux 9。0;系统对管理员的认证方式为用户名/口令方式，其口令强度有严格的要求,口令必须包含字母和数组以及特殊字符，防止被随意破解；另外管理员定期检查服务器的管理员帐号，对过期账户进行删除；服务器可通过本地局域网进行管理，但不允许通过互联网进行远程访问，管理方式采用SSH的方式，保障加密传输；另外没有开启日志服务器功能；服务器IP地址分别为：192。168。99。16、192。168。99。17、192。168.99。18、192。168.99.28、192。168。100。16、192.168.100.17、192。168.100。22;服务器没有启用IP地址访问控制，只通过用户名和口令来认证管理员身份；
BUGzilla服务器
该系统包含两个部分，一部分是提供给技术服务中心来提交产品的BUG问题;另一部分是测试人员提交测试过程中发现的BUG,系统部署在研发服务器区域内的2台服务器上，系统采用B/S结构,服务器型号为IBM @Server Xseries 305，系统对管理员的认证方式为用户名/口令方式,其口令强度有严格的要求，口令必须包含字母和数组以及特殊字符,防止被随意破解；另外管理员定期检查服务器的管理员帐号，对过期账户进行删除;服务器可通过本地局域网进行管理，管理方式采用SSH的方式,保障加密传输；另外没有开启日志服务器功能.；服务器IP地址分别为：内部研发使用的服务器IP地址为:192。168。100。18；外部提供给技术服务中心等部门使用的服务器IP地址为：192。168。99。19；服务器没有启用IP地址访问控制,只通过用户名和口令来认证管理员身份;
2.2.3.5 运维服务器