集团网络安全信息化规划建议书

阳光新能源集团网络信息化规划

建

议

书

武汉信息技术有限公司

2014-02-20

非常感谢阳光新能源集团（简称集团）给予武汉信息技术有限公司机会参与贵司的《阳光新能源集团网络信息化规划项目》，并希望本文档所提供的解决方案能在整个项目规划和建设中发挥应有的作用。

需要指出的是，本文档所涉及到的文字、图表等，仅限于武汉公司和集团内部使用，未经武汉信息技术有限公司书面许可，请勿扩散到第三方。

文档送呈

目录

第一部分概述和介绍 (1)

1概述 (1)

1.1目的和范围 (1)

1.2读者和应用范围 (2)

1.1应用层安全威胁 (2)

1.3安全要素和原则 (3)

1.4参考标准和资料 (3)

2系统安全框架模型描述 (4)

第二部分系统安全管理框架 (6)

3系统安全策略 (6)

3.1系统安全策略概述 (6)

3.1.1系统安全最高方针文件 (6)

3.1.2编制与评审 (7)

3.2策略结构描述 (8)

3.2.1策略文档结构图 (8)

3.2.2最高方针 (9)

3.2.3安全体系框架 (9)

3.2.4规范 (9)

3.2.5管理制度、规定和标准 (9)

3.2.6基层文档 (10)

3.3系统安全保证 (10)

3.3.1管理体系的安全保证 (10)

3.3.2产品的安全保证 (10)

3.3.3安全保证技术手段 (11)

3.3.4其它安全保证 (11)

4系统安全组织管理 (12)

4.1系统安全组织概述 (12)

4.2角色和责任 (12)

4.3第三方管理 (15)

4.4人员安全 (16)

4.5宣传、教育和培训 (16)

4.6与外界的安全合作 (17)

5系统安全运作管理 (19)

5.1系统安全生命周期 (19)

5.2信息资产鉴别和分类 (21)

5.3系统安全风险评估 (22)

5.4系统的安全规划和接收 (23)

5.5维护管理 (23)

5.5.1物理和环境安全 (23)

5.5.2信息备份 (24)

5.5.3操作者日志 (24)

5.5.4差错记录 (25)

5.6意外和灾难恢复/入侵事件处理 (25)

5.7运作的技术化和产品化 (26)

5.7.1系统安全管理平台 (26)

5.7.2系统安全管理协议 (26)

第三部分系统安全技术框架 (28)

6系统安全技术框架 (28)

6.1IAARC框架图示 (28)

6.2Identification & Authentication 鉴别和认证 (29)

6.2.1技术特点 (29)

6.2.2与其它要素的关系 (29)

6.2.3典型技术和产品代表 (29)

6.3Access Control 访问控制 (30)

6.3.1技术特点 (30)

6.3.2与其它要素的关系 (31)

6.3.3典型技术和产品代表 (31)

6.4Content Security 内容安全 (32)

6.4.1技术特点 (32)

6.4.2与其它要素的关系 (32)

6.4.3典型技术和产品代表 (32)

6.5Redundant & Recovery 冗余和恢复 (33)

6.5.1技术特点 (33)

6.5.2与其它要素的关系 (33)

6.5.3典型技术和产品代表 (34)

6.6Audit&Response 审计和响应 (34)

6.6.1技术特点 (34)

6.6.2与其它要素的关系 (35)

6.6.3典型技术和产品代表 (35)

7鉴别和认证框架 (36)

7.1鉴别的对象和粒度 (36)

7.2用户鉴别机制 (37)

7.2.1基于所知的I&A (37)

7.2.2基于所持的I&A (38)

7.2.3基于所具有的I&A (38)

7.2.4Single Sign-on (39)

7.3PKI体系 (39)

7.4I&A系统的应用 (39)

7.4.1管理 (39)

7.4.2维护 (40)

7.4.3混合的鉴别认证体系 (40)

8访问控制框架 (42)

8.1访问控制与授权 (42)

8.2访问控制的准则 (42)

8.2.1基于鉴别的访问控制 (42)

8.2.2基于角色的访问控制 (43)

8.2.3地点 (43)

8.2.4时间 (43)

8.2.5交易限制 (43)

8.2.6服务限制 (43)

8.2.7通用访问模式 (44)

8.3访问控制策略 (44)

8.4用户访问管理 (45)

8.5用户职责 (45)

8.6网络访问控制 (46)

8.6.1使用网络服务的方针 (46)

8.6.2合理化网络拓扑 (46)

8.6.2.1强制路径 (47)

8.6.2.2网络路由控制 (47)

8.6.3网络设备安全 (47)

8.6.4网络的隔离 (48)

8.6.4.1系统安全域隔离的原则 (49)

8.6.5网络接入安全 (50)

8.6.5.2外部连接的用户认证 (50)

8.6.5.3节点认证 (51)

8.7操作系统访问控制 (51)

8.8应用访问控制 (53)

8.8.1基于Web应用的访问控制 (53)

8.9移动计算和远程工作 (54)

8.10访问控制的部署 (54)

8.10.1需要全面布置访问控制 (54)

8.10.2需要充分实现RM机制 (54)

8.10.3在网络层面上的访问控制部署 (55)

8.10.4在主机和操作系统层面上的访问控制部署 (55)

8.10.5在应用系统层面上的访问控制部署 (55)

9审计和响应框架 (56)

9.1一般安全目标 (56)

9.1.1个体的可审计性 (56)

9.1.2入侵检测 (56)

9.1.3事件定位与跟踪 (57)

9.1.4问题分析 (57)

9.2日志和审计 (57)

9.2.1法律方面的考虑 (57)

9.2.2键盘操作监控 (57)

9.2.3审计的对象 (58)

9.2.4事件日志 (58)

9.2.5监控系统的使用 (58)

9.2.5.1流程和风险区 (58)

9.2.5.3日志和事件审查 (59)

9.2.6时间同步 (60)

9.3网络日志审计体系 (61)

9.3.1日志系统总体框架 (61)

9.3.1.1安全产品日志管理 (62)

9.3.1.2网络设备日志管理 (63)

9.3.1.3主机系统日志管理 (63)

9.3.1.4应用系统日志管理 (64)

9.3.1.5总体框架示意图 (65)

9.3.2集中式的日志系统 (66)

9.4入侵检测 (67)

9.4.1不同的部署类型 (67)

9.4.1.1基于网络的入侵检测 (67)

9.4.1.2基于主机的入侵检测 (68)

9.4.1.3基于应用的入侵检测 (68)

9.4.2不同类型的发现机制 (68)

9.4.2.1基于日志的检测 (68)

9.4.2.2基于基线的检测 (68)

9.4.2.3基于协议分析的检测 (69)

9.4.2.4基于模式匹配的检测 (69)

9.4.2.5协议分析和模式匹配相结合的检测 (70)

9.4.3入侵检测的动态响应机制 (70)

9.5网络安全的监控管理 (70)

9.5.1监控管理系统的用途 (70)

9.5.2监控管理系统的架构 (71)

9.5.3入侵检测系统的部署原则 (72)

9.6用户行为监控系统 (72)

9.6.1用户行为监控系统特性要求 (72)

9.6.2用户行为监控系统部署原则 (73)

9.7系统弱点扫描 (73)

10冗余和恢复框架 (75)

10.1冗余和恢复的关键要素 (75)

10.2通过冗余实现高可用性 (75)

10.3系统自动响应恢复能力 (76)

10.4网络安全业务连续性管理 (77)

11内容安全框架 (77)

11.1加密 (77)

11.1.1关于使用加密控制措施的方针 (77)

11.1.2加密技术 (78)

11.1.3数字签名 (78)

11.1.4防抵赖服务 (79)

11.1.5密钥的管理 (79)

11.1.5.1密钥的保护 (79)

11.1.5.2标准、程序和方法 (80)

11.2防病毒 (81)

11.2.1防病毒技术和产品的部署 (81)

11.2.1.1单机 (81)

11.2.1.2企业级桌面 (81)

11.2.1.3文件服务器 (82)

11.2.1.4群件服务器 (82)

11.2.1.5网关 (82)

11.2.2应用防病毒技术和产品的要点 (82)

11.2.2.1多层次的纵深防范 (82)

11.2.2.2防病毒代码的更新 (83)

11.2.2.3防病毒体系的集中管理 (83)

11.3VPN的安全措施 (84)

第一部分概述和介绍

1 概述

随着企业规模的不断扩大，安全防护措施仅仅依托各子域边界的防火墙，以及在网络互联接口侧配置的访问控制列表，仅仅依靠这些还不足以完全抵挡网络风险的发生。针对近年来日益猖獗的DDOS攻击、木马、SQL注入等较为严重的网络安全问题，需要进一步完善防护机制，充分利用已有技术手段和安全设备，构建安全设施平台，部署安全防护产品，逐步提高安全防护能力，提升安全防护级别，加固风险，消除漏洞。因此安全需求成为一个非常突出的问题。

目前企业面临的主要应用威胁有：

边界防火墙设备面临DDoS攻击；

来自公网的病毒、木马、DDoS/DoS攻击；

数据中心服务器（业务支撑，MIS，Email）存在安全漏洞，给网络入侵者提供了可乘之机，服务器一旦被入侵，造成信息失窃；

网络蠕虫病毒，快速传播，危害极大；

外来计算机带来安全风险，带入病毒等；

内部扫描侦测；

1.1 目的和范围

本文档对于集团网络安全整体框架进行描述，不仅包括安全架构模型，安全策略和程序，安全组织，安全运作管理等方面；而且在安全技术方面进行较为详尽的描述。文档可以作为今后安全建设和安全管理的主要参考，作为集团网络进行全局安全工作部署的指南和依据。

1.2 读者和应用范围

本框架应用于对集团网络的策略、组织、运作、安全措施使用和安全产品部署等多方面的安全进行评估、设计和改进。或者说，在进行集团网络安全工作规划、实施、运行维护和评估时，可以依据框架对相关的管理和技术要素以及相互之间的关系进行分析。

本文档的读者包括集团网络管理者、安全管理人员、系统设计者、项目组双方成员以及本项目的评审人员。

1.3 应用层安全威胁

传统的以防火墙、IDS、防病毒为中心的安全解决方案最大的问题是，防火墙工作在TCP/IP 3～4层上，根本就“看”不到应用层安全威胁的存在，而据国家信息安全产品评测中心的最新应用安全报告表明：目前internet Top10的安全威胁为：

1.未被验证的输入

2.错误的访问控制

3.错误的认证和会话管理

4.跨站脚本

5.缓冲溢出

6.注入式漏洞

7.不适当的异常处理

8.不安全的存储

9.拒绝服务

10.不安全的配置管理

传统以防火墙、防病毒软件为中心的信息安全方案对这些威胁是“看不见的”，形同虚设，这正是目前企业部署了一系列传统安全方案后，信息安全问题仍然如此严重的根源所在。因此我们需要从信息安全管理、技术的全新角度，提出一个全新的安全整体解决方案。

1.4 安全要素和原则

以下安全原则应贯彻到网络安全工作的各个方面和各个阶段：

●系统安全目标必须与组织的整体目标相一致

●系统安全是健全管理的重要环节

●系统安全必须考虑投入和收益

●系统安全的责任必须清晰

●系统安全需要全面的、整体的解决方法

●系统安全需要周期性反复评估

●系统安全的实施者需要了解残余风险

●系统安全要考虑组织文化等许多其它因素

1.5 参考标准和资料

●ISO15408 / GB/T 18336 信息技术安全技术信息技术安全性评估准则，第

一部分简介和一般模型

●ISO15408 / GB/T 18336 信息技术安全技术信息技术安全性评估准则，第

二部分安全功能要求

●ISO15408 / GB/T 18336 信息技术安全技术信息技术安全性评估准则，第

三部分安全保证要求

●IT Baseline Protection Manual/Model (Federal Agency of Security in

Information Technology, Germany)

●Canadian Handbook on Information Technology Security, 1997

●ISO17799 Part I, Code of Practice for Information Security Management

●BS7799 Part II, Specification for Information Security Management

2 系统安全框架模型描述

如上图所示，系统安全框架可以分为安全管理框架和安全技术框架两个部分。这两部分既相对独立，又有机结合，形成整体安全框架。安全管理框架自上而下包括安全策略、安全组织管理和安全运作管理三个层面；安全技术框架覆盖鉴别和认证、访问控制、内容安全、冗余和恢复以及审计响应五个部分。

●系统安全策略是由最高方针统率的一系列文件，结合有效的发布、执行和

定期的回顾机制保证其对系统安全的指导和支持作用。

●安全组织明确安全工作中的角色和责任，以保证在组织内部开展和控制系

统安全的实施。

●系统安全运作管理是整个系统安全框架的执行环节。通过明确安全运作的

周期和各阶段的内容，保证安全框架的有效性。

●Identification & Authentication 鉴别和认证。I&A是通过对系统中的主客体

进行鉴别，并且给这些主客体赋予恰当的标签或证书等。

●Access Control 访问控制。访问控制以Reference Monitor形式工作，或者

说类似于网关、接口和边界的形式。主业务必须通过Access Control关口才能进行正常访问。

●Content Security内容安全。内容安全主要是直接保护在系统中传输和存储

的数据（信息）的内容，保证其特性不被破坏。

●Redundant & Recovery 冗余和恢复。通过设备或者线路的冗余保障业务的

连续性，通过备份恢复业务。

●Audit & Response审计和响应。审计主要实现机制是通过Standby/ Sniffer

类型的工作方式实现。这种机制一般情况下并不干涉和直接影响主业务流程，而是对主业务进行记录、检查、监控等。响应主要是对安全事件作出告警，阻断等反应。

第二部分系统安全管理框架

系统安全管理框架的描述包括策略、组织和运作三个方面。

3 系统安全策略

系统安全策略为系统安全提供指导和支持。集团网络应该制定一套清晰的指导方针、规范和标准，并通过在组织内对系统安全策略的发布和落实来保证对系统安全的承诺与支持。

3.1 系统安全策略概述

3.1.1 系统安全最高方针文件

系统安全最高方针文件应得到集团计费业务中心最高管理者的批准，并以适当的方式发布、传达到计费业务中心所有员工。该文件应该阐明管理者对实行系

统安全的承诺，并陈述系统安全管理的方法。它至少应该包括以下几个部分：

●系统安全的定义，总体目标和范围，及重要性；

●申明支持系统安全目标和原则的管理意向；

●对组织有重大意义的安全策略、原则、标准和符合性的简要说明；

●对系统安全管理的总体和具体责任的定义；

●提及支持安全方针的文件，如：信息系统的详细的安全策略和程序，或用

户应该遵守的安全规定等。

系统最高安全方针应以恰当、易得、易懂的方式向预期使用者进行传达。最高方针是建立策略体系，指导安全工作的基础。在安全方针的指导下，再进一步建设策略文档体系。

3.1.2 编制与评审

系统安全策略应当有专门的部门编制，并由专人按照既定的评审程序负责保持和评审。该程序应确保任何影响原始策略制定的变化都会得到相应的评审，如：重大的安全事故、新的弱点、组织基础结构或技术基础设施的变化。有计划的、定期的评审应包括但不限于以下各项：

●策略的有效性，可通过记录在案的安全事故的性质、数量和所造成的影响

来论证；

●对运营效率进行控制的成本和效果；

●技术变化所造成的影响；

安全策略系列文档制定后，必须有效发布和执行。发布和执行过程中除了要得到管理层的大力支持和推动外，还必须要有合适的、可行的发布和推动手段，同时在发布和执行前对每个人员都要做与其相关部分的充分培训，保证每个人员都知道和了解与其相关部分的内容。

必须要意识到这是一个长期、艰苦的工作，需要付出艰苦的努力，而且由于

牵扯到网络许多部门和绝大多数人员，可能需要改变工作方式和流程，所以推行起来的阻力会相当大；同时安全策略本身存在的缺陷，包括不切实可行，太过复杂和繁琐，部分规定有缺欠等等，都会导致整体策略难以落实。

每年审视安全策略系列文档时，需要包括但不限于以下内容：

●系统安全策略中的主要更新；

●系统安全标准中的主要更新；

●安全管理组织机构和人员安全职责的主要更新；

●操作流程的主要更新；

●各类管理规定、管理办法和暂行规定的主要更新；

●用户协议的主要更新；

3.2 策略结构描述

3.2.1 策略文档结构图

下图给出了网络安全策略体系的局部。网络最终的安全策略体系应包括但不限于以下文档。

3.2.2 最高方针

最高方针，纲领性的安全策略主文档，陈述方针的目的、适用范围、系统安全的管理意图、支持目标以及指导原则，系统安全各个方面所应遵守的原则和方法。

与其它部分的关系：所有其它安全文档都从最高方针引申出来，并遵照最高方针，不与之发生违背和抵触。

3.2.3 安全体系框架

安全整体架构描述，应覆盖安全策略、组织、运作、安全技术措施使用和安全产品部署等多方面。

与其它部分的关系：所有其它安全文档是安全体系框架某个部分的细化和引申，应遵照体系框架，不与之发生违背和抵触。安全体系框架向上遵照最高安全方针，是安全方针的实现。

3.2.4 规范

规范包括技术规范和管理规范，涉及技术要素和管理方法的实现。技术规范将作为设备、系统和应用程序的安装、配置、采购、评审以及日常安全管理和维护时的标准；管理规范将作为组织建设、人员考评等方面必须遵照的标准。

与其它部分的关系：向上遵照安全体系框架，向下延伸到安全操作流程，考评标准等文档。

3.2.5 管理制度、规定和标准

各类管理规定、管理办法、暂行规定和技术标准，针对具体情况，具有较强的可操作性，可以随情况变化及时调整。