防病毒体系的分级管理与实现.docx

防病毒体系的分级管理与实现
在现代商业银行中，防病毒管理是一项涉及面广、技术难点多且处理时效性要求高的工作，特别是对大规模防病毒体系来说，更是需要建立一套完整的、分级管理的技术体系和管理体系。中国工商银行（以下简称“工行”）数据中心（上海）安全部承担着分布在全球各地的全行40万台客户端的防病毒管理工作，经过几年的努力，已经建立起一整套有效的防病毒技术架构，在明确病毒软件安装、病毒发生情况监控、病毒事件处理等管理流程的基础上，通过有效的病毒事件处理将病毒事件控制在萌芽状态，为全行安全生产运行提供了技术保障。

　　一、建立完整的防病毒技术架构
　　要实现分级的防病毒管理体系，首先要建立一套分级的防病毒技术架构，通过防病毒技术架构将防病毒软件覆盖全辖的所有设备，掌握防病毒系统的整体运作情况，对病毒发生情况进行实时监控并及时进行杀毒处理，这是防病毒工作真正落实到位的有效保障。

　　构建分级的防病毒技术架构还需要有效地区分各个层级的管理职责，各司其职，提高防病毒管理工作效率。同时，防病毒技术架构还应覆盖各个接入环节，如互联网接入、邮件接入等，将被动防御变为主动防御病毒入侵。

　　目前，工行已建立了包括父控制台、子控制台和防病毒服务器的三级防病毒技术架构（见图1）。父控制台由数据中心（上海）负责管理，监控全行子控制台的更新情况和病毒发生情况；子控制台由一级分行负责管理，监控其下属各机构防病毒服务器的更新情况和病毒发生情况；防病毒服务器由二级分行负责管理，监控其下属所有客户端的更新情况和病毒发生情况。

　　该技术架构明确了各级机构的防病毒工作职责，为各级机构做好防病毒工作提供了技术保障。通过该技术架构实现的主要功能包括：病毒码的自动更新，在父控制台上访问防病毒公司的官方更新源获得最新的病毒码，通过三级防病毒技术架构发布到全行所有客户端，确保病毒码更新的时效性；病毒日志的自动收集，在客户端检测到病毒时，及时将病毒信息向上传送，通过实时监控界面对所辖设备病毒发生情况进行监控。

　　此外，在邮件服务器上安装了专用的防病毒软件，对往来邮件进行病毒检测，防止病毒通过邮件传播；在互联网接口上安装了独立的专用防病毒软件，防止在网页浏览或数据下载时感染病毒；在客户端IE浏览器上安装了防病毒专用插件，提示用户该网站是否安全等信息，使用户在上网时免遭钓鱼网站、恶意网站的欺骗及恶意代码的攻击。通过这些专用软件防止病毒进入工行计算机系统，起到了综合防御的作用。

　　二、建立分级的防病毒管理体系

　　一般认为，信息安全工作是“三分技术、七分管理”，建立了分级的防病毒技术架构只是完成了技术层面的工作，更重要的是要建立职责分明的分级防病毒管理体系。
1.明确各个层级中负责防病毒工作的岗位及岗位职责

将防病毒工作职责落实到全行各相关单位使防病毒工作成为各单位的一项常规工作。目前，工行设置了防病毒运行管理岗、防病毒技术管理岗、防病毒运行监控岗和防病毒维护支持岗等4个类型的岗位，并明确了各岗位对应的单位和部门。
2.明确员工的防病毒工作要求

　　目前，病毒传播途径多，仅依靠专职防病毒管理人员难以做好防病毒管理工作，因此需要明确全行员工的防病毒工作职责，通过全行上下的共同努力，才能使防病毒工作事半功倍。

　　总行对员工防病毒相关的工作职责做出了规定，一是接入工行网络的计算机要安装全行统一的防病毒软件，并纳入全行统一的防病毒管理体系；二是员工要根据防病毒预警要求，及时更新系统补丁程序、防病毒软件引擎和病毒码；三是员工发现计算机受到病毒入侵，或发现计算机病毒无法有效清除时，要采取网络隔离措施，并及时报告防病毒维护支持岗统一解决；四是员工如遇到不能自行处理的防病毒软件运行故障问题，要立即报告防病毒管理部门，确保防病毒软件正常运行；五是员工在读取移动存储设备上的数据之前，要在脱网情况下进行病毒扫描。

　　3.检查防病毒工作要求的落实情况

　　在明确职责和工作要求的同时，要对制度的执行情况进行认真检查，防止防病毒工作存在短板。对防病毒工作的检查主要分为三个方面，一是防病毒相关制度的执行情况；二是防病毒软件的安装情况；三是病毒事件的处理情况。通过这些检查督促各单位做到安装到位、更新及时、监控到位、处理及时。

　　以实时监控、报表分析、现场检查、非现场检查、远程巡检等方式相结合检查全行防病毒工作的落实情况，并考核各单位防病毒工作的落实情况，对防病毒软件安装不到位、病毒事件处理不及时的单位进行考核扣分，提高了全行对防病毒工作的重视程度。

　　4.明确病毒信息传输的内容和渠道

　　建立明确的计算机病毒预警工作流程和通畅的预警传输渠道，确保计算机病毒预警信息传递准确、快捷，由专业部门负责通过国家计算机病毒应急处理中心及防病毒服务商了解病毒预警信息，及时通过邮件及网讯等形式向全行发布中、高度危害的病毒预警信息。通过总行、一级分行、二级分行的渠道向全行发布病毒预警信息，并明确了各相关岗位的工作职责。

　　三、建立覆盖全行的防病毒人员队伍

　　近年来，计算机病毒呈现数量大、更新快的特点，防病毒相关信息量也呈不断增长的态势。如何提高全行防病毒人员的技术水平，做好病毒相关信息的上传下达，如何让全员了解病毒知识并进行有效的病毒预防和处理，是分级防病毒体系管理工作面临的一个难题，我们主要从以下几个方面做好相关工作。

　　1.建立全行防病毒工作人员队伍

　　在每个一级分行确定防病毒管理员，包括防病毒管理人员和防病毒技术人员。总行收集汇总并不断更新防病毒管理员的联系方式，联系方式包括邮件地址、电话号码和手机号码等，确保在发生病毒事件时联系渠道的畅通。

　　2通过分级培训提高全行防病毒管理水平

　　每年举办各一级分行参加的防病毒管理员培训班，每次培训均确定不同的主题，由总行和防病毒服务商授课，在培训后通过考试获得防病毒服务商的技术认证证书。在培训的过程中加强总行和分行、分行和分行之间的交流，将分行好的经验和做法向全行推广。

　　由一级分行对二级分行的防病毒管理员进行培训，帮助二级分行防病毒管理员不断提高病毒事件处理能力。通过逐级培训在全行建立一支防病毒工作的专业队伍。

　　3.不断向全行提供防病毒工作方法

　　工行数据中心（上海）安全部作为全行防病毒运行管理单位，应不断研究计算机病毒的发展趋势，研究病毒预防和病毒处理的工作方法，将行之有效的病毒监控、病毒处理和应急处理方式向全行发布，帮助全行防病毒管理员提高发现问题、处理问题的能力。同时，还.要深入了解员工防病毒需求，提供面向所有员工的防病毒工作手册，使员工能够自行处理部分病毒问题，在提高防病毒工作效率的同时减轻防病毒管理员的工作压力。

　　四、防病毒体系的性能容量管理

　　大规模防病毒技术架构还需充分考虑防病毒体系本身和客户端的性能容量，稍有不慎就可能因防病毒体系管理不善对安全生产运行造成影响，因此应避免防病毒软件的运作对网络流量、客户端和防病毒设备本身造成影响。

　　1.充分考虑防病毒产品对网络流量的影响

　　在防病毒体系中下发病毒码更新防病毒产品、上收病毒日志均需通过网络，特别是在防病毒产品更新时传输的数据量较大，应提前对网络流量进行评估和测试，以防在各个客户端同时下载更新包时网络流量的突增。

　　另外，工行使用的防病毒产品的更新策略。是当客户端病毒码未更新的次数不超过7个时，采用增量更新的方式，若超过7个病毒码未更新就采用全量更新的方式。一旦过了一个7天长假，大家同时开机自动进行病毒码的全量更新，每个客户端的更新包达60M，如果1000个客户端同时更新将会产生60G的网络流量，给网络带来非常大的压力，甚至可能造成网络的瘫痪。我们用管理手段避免发生大规模的全量更新，避免对网络流量造成重大影响。

　　2．充分考虑防病毒产品对客户端性能的影响

　　随着计算机病毒的不断增加、防病毒产品识别处理机制的不断完善，防病毒产品所需的客户端系统开销呈不断上升的趋势。对大多数客户端来说，防病毒产品的系统开销尚不会对系统运行造成影响，但对于部分配置较低的ATM、自助终端设备来说，防病毒产品的资源开销非常大，我们需要权衡如何在不影响这些设备正常运作的情况下做好病毒防御工作。我们为这些配置较低的设备制定了特殊的防病毒策略，对防病毒产品的部分功能进行了删减，我们还和防病毒产品供应商一起研究制作简化版的防病毒客户端产品，充分考虑大规模防病毒体系中各类设备的特殊情况，为各类客户端提供其能够承受的防病毒产品。

　　3.充分考虑防病毒体系自身的容量

　　大规模防病毒体系还要充分考虑自身硬件、软件的性能容量，避免因数据量过大造成防病毒系统本身瘫痪。对于一个40万台客户端的防病毒体系来说，以平均每台设备增加1K的数据量计，父控制台就会增加400M的数据量，如果父控制台的处理能力不足，就可能造成防病毒服务的停顿。因此，在防病毒产品更新时，应根据客户端数进行压力测试，在新版本投产之前发现问题、解决问题，提高防病毒体系本身的可用性。

　　4.充分考虑防病毒产品自身的性能

　　要避免防病毒产品的误杀问题。几家知名的防病毒厂商曾发生过防病毒软件误杀系统文件的问题，造成客户端系统无法正常运作。要避免发生类似问题，就要与防病毒产品供应商紧密合作，要求其在病毒码测试过程中加强对重要系统文件的查杀测试，在保障系统正常运行的基础上杀除病毒。另外，要建立完善的应急处理机制，一旦发生误杀问题，应紧急回退病毒码，避免事态进一步扩大。

　　五、病毒爆发事件的应急处理工作

　　近年来，大规模的病毒爆发事件越来越少，但病毒传播的速度越来越快，病毒传播的途径也越来越丰富，一旦发生大规模病毒爆发事件将对生产运行造成重大影响，因此，做好病毒爆发的应急处理工作是大规模防病毒管理体系的一个重要组成部分。

　　1.提高对病毒爆发事件的敏感程度

　　一般来说，企业内部的病毒爆发和全球的病毒爆发息息相关如冲击波病毒曾造成全球互联网瘫痪，笔者在第一时间获得了相关病毒信息，及时启动了应急处理流程，有效地避免了该病毒对工行生产运行造成的影响。特别是对于通过网络传播的病毒，处理得早，感染病毒的设备就相对较少，处理难度也相应较小，对生产运行造成的影响也比较小，如果病毒已经在内网蔓延开来，会给处理工作带来极大的难度，也会对生产运行造成较大的影响。

　　2.建立有效的病毒事件处理应急预案

　　预先设想各类病毒爆发的场景，针对各类场景制定相应的处理流程，如针对通过网络传播的病毒、通过邮件传播的病毒应有不同的处理流程。应急预案应明确如何协调相关单位在第一时间进行处理以防病毒的蔓延。

　　应急预案还应充分考虑规避问题和解决问题相结合的方法进行应急处理。实践证明，先对染毒设备进行断网然后再进行病毒查杀是一种有效的病毒处理方法。同时，还应定期进行应急演练，以检验应急预案的有效性，发现应急预案存在的问题并进行改进。

　　六、防病毒工作的综合管理策略

　　应该看到，防病毒管理并非只是通过防病毒体系来实现的，该项工作同系统补丁管理、计算机漏洞管理、网络设备管理紧密相关，防病毒工作的综合管理将大大提升防病毒工作的实施效果。

　　（1）做好系统补丁管理工作将使防病毒工作事半功倍。打上系统补丁就可以防范部分病毒的入侵，例如打上MS08-067就可以防范飞客蠕虫病毒。工行数据中心上海）同时承担着全行Windows系统补丁的管理工作，可以将系统补丁管理工作作为防病毒管理工作的一个重要组成部分。在发生因系统补丁安装不全引发的病毒事件时，在完成病毒查杀的同时要求相关单位完成补丁安装，防止类似问题重复发生。

　　（2）计算机漏洞管理也是防病毒管理的一个重要组成部分。通过漏洞扫描发现计算机系统中存在的漏洞，对漏洞进行修补可大大提高计算机系统防御病毒的能力。如尼姆达病毒就是利用弱密码进行传播，而漏洞扫描可以发现弱密码的问题，在漏洞修补时改用强密码就切断了红色代码病毒的传播途径。

　　（3）加强防火墙、入侵检测等设备的管理和监控。通过防火墙、入侵检测等设备检测到的异常流量可发现计算机病毒的蛛丝马迹，如强风病毒是通过向外发送数据包传播病毒，就可以利用入侵检测设备发现感染病毒的客户端并要求相关单位及时处理。通过异常流量检测，还可以发现一些未知病毒，将未知病毒样本提供给防病毒厂商分析并提供解决方案。

　　通过管理措施和技术手段相结合的方法才能做好大规模防病毒体系的管理工作，在工作中应充分考虑大规模防病毒体系的复杂性和多样性，综合考虑各方面的因素，并采取相应的应对措施，才能确保防病毒体系的可用性，降低计算机病毒对安全生产运行造成的影响。
3、通过活动，使学生养成博览群书的好习惯。
B比率分析法和比较分析法不能测算出各因素的影响程度。√
C采用约当产量比例法，分配原材料费用与分配加工费用所用的完工率都是一致的。Ｘ
C采用直接分配法分配辅助生产费用时，应考虑各辅助生产车间之间相互提供产品或劳务的情况。错
C产品的实际生产成本包括废品损失和停工损失。√
C成本报表是对外报告的会计报表。×
C成本分析的首要程序是发现问题、分析原因。×
C成本会计的对象是指成本核算。×
C成本计算的辅助方法一般应与基本方法结合使用而不单独使用。√
C成本计算方法中的最基本的方法是分步法。X
D当车间生产多种产品时，“废品损失”、“停工损失”的借方余额，月末均直接记入该产品的产品成本
中。×
D定额法是为了简化成本计算而采用的一种成本计算方法。×
F“废品损失”账户月末没有余额。√
F废品损失是指在生产过程中发现和入库后发现的不可修复废品的生产成本和可修复废品的修复费用。Ｘ
F分步法的一个重要特点是各步骤之间要进行成本结转。(√)
G各月末在产品数量变化不大的产品，可不计算月末在产品成本。错
G工资费用就是成本项目。(×)
G归集在基本生产车间的制造费用最后均应分配计入产品成本中。对
J计算计时工资费用，应以考勤记录中的工作时间记录为依据。(√)
J简化的分批法就是不计算在产品成本的分批法。(×)
J简化分批法是不分批计算在产品成本的方法。对
J加班加点工资既可能是直接计人费用，又可能是间接计人费用。√
J接生产工艺过程的特点，工业企业的生产可分为大量生产、成批生产和单件生产三种，X
K可修复废品是指技术上可以修复使用的废品。错
K可修复废品是指经过修理可以使用，而不管修复费用在经济上是否合算的废品。Ｘ
P品种法只适用于大量大批的单步骤生产的企业。×
Q企业的制造费用一定要通过“制造费用”科目核算。Ｘ
Q企业职工的医药费、医务部门、职工浴室等部门职工的工资，均应通过“应付工资”科目核算。Ｘ
S生产车间耗用的材料，全部计入“直接材料”成本项目。Ｘ
S适应生产特点和管理要求，采用适当的成本计算方法，是成本核算的基础工作。(×)
W完工产品费用等于月初在产品费用加本月生产费用减月末在产品费用。对
Y“预提费用”可能出现借方余额，其性质属于资产，实际上是待摊费用。对
Y引起资产和负债同时减少的支出是费用性支出。X
Y以应付票据去偿付购买材料的费用，是成本性支出。X
Y原材料分工序一次投入与原材料在每道工序陆续投入，其完工率的计算方法是完全一致的。Ｘ
Y运用连环替代法进行分析，即使随意改变各构成因素的替换顺序，各因素的影响结果加总后仍等于指标的总差异，因此更换各因索替换顺序，不会影响分析的结果。(×)
Z在产品品种规格繁多的情况下，应该采用分类法计算产品成本。对
Z直接生产费用就是直接计人费用。X
Z逐步结转分步法也称为计列半成品分步法。√

A按年度计划分配率分配制造费用，“制造费用”账户月末(可能有月末余额/可能有借方余额/可能有贷方余额/可能无月末余额)。
A按年度计划分配率分配制造费用的方法适用于(季节性生产企业)